JP7073976B2

JP7073976B2 - 管理装置および管理方法

Info

Publication number: JP7073976B2
Application number: JP2018148840A
Authority: JP
Inventors: 克真宮本; 昭宏岡田; 英雄土屋
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2018-08-07
Filing date: 2018-08-07
Publication date: 2022-05-24
Anticipated expiration: 2038-08-07
Also published as: US11463515B2; US20210297481A1; WO2020031752A1; JP2020025198A

Description

本発明は、管理装置および管理方法に関する。

従来、顧客宅内設備（ＣＰＥ、Customer Premises Equipment）の機能を、仮想ＣＰＥ（ｖＣＰＥ）としてコアネットワークの仮想化基盤で集約する技術が知られている（非特許文献１参照）。各仮想ＣＰＥは、ユーザ宅内のＣＰＥと、ＩＰｓｅｃ（ＩＰ SECurity Architecture、非特許文献２参照）等の通信方式で構築されるトンネルによって接続される。

ＩＰｓｅｃでは、通信開始時には「トンネル認証処理」が行われ、通信中には「パケット転送処理」が行われる。これらの処理は、ルータではそれぞれの専用ハードウェアによって実行され、汎用サーバ等ではＣＰＵ（Central Processing Unit）等のサーバ上のリソースによって実行される。

"ETSI GS NFV 001 V1.1.1(2013-10) Network Functions Virtualization (NFV); Use Cases"、［online］、ETSI、［平成30年7月11日検索］、インターネット＜URL：http://www.etsi.org/deliver/etsi_gs/NFV/001_099/001/01.01.01_60/gs_NFV001v010101p.pdf＞ "IPsecの概要"、［online］、YAMAHA Corporation、［平成30年7月11日検索］、インターネット＜URL：http://www.rtpro.yamaha.co.jp/RT/docs/ipsec/abst.html＞

しかしながら、従来の技術では、複数の仮想ＣＰＥが構築されたサーバにおいてトンネル接続要求が集中した場合には、トンネル確立が遅延する場合があった。例えば、大規模停電からの復旧時等に多数のＣＰＥが同一のサーバ上のｖＣＰＥに一斉に再接続を要求すると、サーバでは、各ｖＣＰＥとの間で一斉に「トンネル認証処理」が行われる。

その場合に、多数の接続済のＣＰＥが通信を行うと、ｖＣＰＥが構築されているサーバでは、「パケット転送処理」によって処理負荷が高くなり、再接続を要求している他のＣＰＥの「トンネル認証処理」の実行が遅くなるので、トンネル確立が遅延する。トンネル確立が遅延するとタイムアウトしてしまうので、サーバ全体として復旧に時間がかかることになる。

本発明は、上記に鑑みてなされたものであって、複数の仮想ＣＰＥが構築されたサーバにおいてトンネル接続要求が集中した場合に、トンネル確立の遅延を抑止することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る管理装置は、複数の仮想ＣＰＥが構築されたサーバの状態を取得する取得部と、前記仮想ＣＰＥと接続済のＣＰＥに、前記サーバの状態に応じて、通信帯域の制御を指示する指示部と、を備えることを特徴とする。

本発明によれば、複数の仮想ＣＰＥが構築されたサーバにおいてトンネル接続要求が集中した場合にも、トンネル確立の遅延を抑止することができる。

図１は、本実施形態に係る管理装置の処理対象のシステムの構成を例示する模式図である。図２は、管理装置の処理対象のシステムを説明するための説明図である。図３は、管理装置の処理対象のシステムを説明するための説明図である。図４は、管理装置の概略構成を例示する模式図である。図５は、管理装置の処理を説明するための説明図である。図６は、管理処理手順を例示するフローチャートである。図７は、管理プログラムを実行するコンピュータの一例を示す図である。

以下、図面を参照して、本発明の実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［システム構成］
まず、図１は、本実施形態に係る管理装置の処理対象のシステムの構成を例示する模式図である。図１に示すように、管理装置の処理対象のシステムは、汎用サーバ１上に構築された複数の仮想ＣＰＥ２（ｖＣＰＥ＃１、…、ｖＣＰＥ＃ｎ）と、ユーザ宅内のＣＰＥ３（ＣＰＥ＃１、…、ＣＰＥ＃ｎ）とを含む。汎用サーバ１上の各仮想ＣＰＥ２は、各ＣＰＥ３に対応して構築される。

ユーザ宅内のＣＰＥ３と、これに対応する仮想ＣＰＥ２とは、ＩＰｓｅｃ等によってネットワーク内に作成されたトンネルで接続される。図１に示した例では、ｖＣＰＥ＃１とＣＰＥ＃１とがトンネルで接続され、ｖＣＰＥ＃ｎとＣＰＥ＃ｎとがトンネルで接続される。

ここで、図２および図３は、管理装置の処理対象のシステムを説明するための説明図である。まず、図２に示すように、ＩＰｓｅｃでは、トンネル認証処理とパケット転送処理を経て通信が行われる。

トンネル認証処理は、ＩＫＥ（Internet Key Exchange）と呼ばれる鍵交換プロトコルで実行される。このトンネル認証処理には、ＩＰｓｅｃの通信に用いる鍵情報を安全に運ぶための制御用トンネルを作成するフェーズ１と、制御用トンネル内で通信に用いる通信用トンネルを作成するフェーズ２とが含まれる。

また、パケット転送処理では、トンネル認証処理で作成された通信用トンネルを用いて通信が行われる。通信用トンネルは、上り通信用と下り通信用との２つのトンネルが対になったトンネルである。また、ＩＰｓｅｃの通信では、トンネル認証処理で交換された鍵を用いた暗号通信が行われる。

また、図３に示すように、複数の仮想ＣＰＥ２が構築された汎用サーバ１は、仮想ＣＰＥ２と未接続のＣＰＥ３（ＣＰＥ＃ｎ）に対してはトンネル認証処理を行ってトンネルで接続し、通信可能な接続済の状態にする。また、汎用サーバ１は、トンネル認証処理を経て接続済となったＣＰＥ３（ＣＰＥ＃１）との間では、パケット転送処理によって通信が行われる。

管理装置１０は、複数の仮想ＣＰＥ２が構築された汎用サーバ１に実装される。ただし、本発明は汎用サーバ１に実装される場合に限定されず、例えば、汎用サーバ１と通信可能に構成された異なるハードウェアに実装されてもよい。

管理装置１０は、例えば、複数のＣＰＥ３が一斉に切断された場合、複数のＣＰＥ３が一斉にトンネル接続を要求した場合、あるいはオペレータの判断により手動で、後述する管理処理を実行する。具体的には、管理装置１０は、接続済のＣＰＥ３に対して汎用サーバ１の状態に応じた通信帯域の制御を指示する。管理装置１０は、これにより、汎用サーバ１の状態に応じて動的に、接続済のＣＰＥ３（ＣＰＥ＃１）との間のパケット転送処理の帯域を制限し、未接続のＣＰＥ３（ＣＰＥ＃ｎ）に対するトンネル認証処理を優先的に行えるようにする。

［管理装置の構成］
次に、図４は、本実施形態の管理装置の概略構成を例示する模式図である。図４に示すように、本実施形態に係る管理装置１０は、ＣＰＵ（Central Processing Unit）やＦＰＧＡ（Field Programmable Gate Array）等で実現され、メモリに記憶された処理プログラムを実行して、制御部１１として機能する。また、管理装置１０は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子で実現される記憶部１２を備える。

記憶部１２は、帯域情報１２ａを記憶する。帯域情報１２ａは、汎用サーバ１の状態と通信帯域とを対応づけた情報であり、後述する管理処理において、指示部１１ｂが参照する。帯域情報１２ａは、例えば、不図示のキーボード等の入力部を介して、予め記憶部１２に記憶される。

制御部１１は、図４に例示するように、取得部１１ａおよび指示部１１ｂとして機能する。なお、これらの機能部は、それぞれが異なるハードウェアに実装されてもよい。

取得部１１ａは、複数の仮想ＣＰＥ２が構築された汎用サーバ１の状態を取得する。例えば、取得部１１ａは、汎用サーバ１の状態として、汎用サーバ１のＣＰＵ使用率、トラヒック量、汎用サーバ１に構築された仮想ＣＰＥ２と接続済のＣＰＥ３のコネクション数、または、汎用サーバ１に構築された仮想ＣＰＥ２と未接続のＣＰＥ３の有無等を取得する。

指示部１１ｂは、仮想ＣＰＥ２と接続済のＣＰＥ３に、汎用サーバ１の状態に応じて、通信帯域の制御を指示する。具体的には、指示部１１ｂは、取得部１１ａが取得した汎用サーバ１の状態と帯域情報１２ａとを対比して、仮想ＣＰＥ２と、これと接続済みのＣＰＥ３とに対し、通信帯域の制御（帯域制御）を指示する。

ここで、図５は、管理装置の処理を説明するための説明図である。図５には、大規模停電が復旧した場合に、停電が復旧したエリアに設置された多数のＣＰＥ３（ＣＰＥ＃１、…、ＣＰＥ＃ｎ）から、同一の汎用サーバ１の仮想ＣＰＥ２（ｖＣＰＥ＃１、…、ｖＣＰＥ＃ｎ）に、一斉に再接続の要求があった場合が例示されている。

管理装置１０では、例えば、取得部１１ａが、汎用サーバ１のＣＰＵ使用率を取得したときには、指示部１１ｂは、汎用サーバ１のＣＰＵ使用率が所定の閾値を超えた場合に、仮想ＣＰＥ２（ｖＣＰＥ＃１）と、これと接続済のＣＰＥ３（ＣＰＥ＃１）とに、通信帯域を所定値以下に制限することを指示する。

この場合には、帯域情報１２ａには、例えば、ＣＰＵ使用率が高いほど、通信帯域の所定値が小さくなるように、複数段階に分類したＣＰＵ使用率の段階ごとに、異なる通信帯域の所定値を設定しておく。指示部１１ｂは、帯域情報１２ａを参照し、取得部１１ａが取得したＣＰＵ使用率に対応する通信帯域の所定値を、仮想ＣＰＥ２（ｖＣＰＥ＃１）と、これと接続済のＣＰＥ３（ＣＰＥ＃１）とに通知する。

帯域制御を指示された場合に、ユーザ宅内のＣＰＥ３（ＣＰＥ＃１）が、上りパケットの通信帯域を指示された所定値に制限する。また、仮想ＣＰＥ２（ｖＣＰＥ＃１）が、下りパケットの通信帯域を指示された所定値に制限する。

これにより、汎用サーバ１では、ＣＰＵ使用率が高い場合に、接続済のＣＰＥ３との間の「パケット転送処理」が制限される。そのため、未接続のＣＰＥ３との間の「トンネル認証処理」を優先して行える。したがって、トンネル確立の遅延によるタイムアウトを抑止できるので、汎用サーバ１全体として、停電からの復旧が早くなる。

なお、汎用サーバ１の状態として、汎用サーバ１のＣＰＵ使用率の代わりに汎用サーバ１のトラヒック量を用いてもよい。すなわち、取得部１１ａが、汎用サーバ１のトラヒック量を、汎用サーバ１の状態として取得して、指示部１１ｂが、トラヒック量が所定の閾値を超えた場合に、仮想ＣＰＥと接続済のＣＰＥに、通信帯域を所定値以下に制限することを指示する。この場合には、帯域情報１２ａには、例えば、トラヒック量が多いほど、通信帯域の所定値が小さくなるように、複数段階に分類したトラヒック量の段階ごとに、異なる通信帯域の所定値を設定しておけばよい。

また、取得部１１ａが、汎用サーバ１に構築された仮想ＣＰＥ２と接続済のＣＰＥ３の数（コネクション数）を取得したときには、指示部１１ｂは、コネクション数が所定の閾値を下回った場合に、仮想ＣＰＥ２と接続済のＣＰＥ３（ＣＰＥ＃１）に、通信帯域を所定値以下に制限することを指示する。

この場合には、帯域情報１２ａには、例えば、コネクション数が少ないほど、通信帯域の所定値が小さくなるように、複数段階に分類したコネクション数の段階ごとに、異なる通信帯域の所定値を設定しておく。指示部１１ｂは、帯域情報１２ａを参照し、取得部１１ａが取得したコネクション数に対応する通信帯域の所定値を、仮想ＣＰＥ２（ｖＣＰＥ＃１）と接続済のＣＰＥ３（ＣＰＥ＃１）とに通知する。これにより、汎用サーバ１では、ＣＰＥ３のコネクション数が少ない場合に、接続済のＣＰＥ３との間の「パケット転送処理」が制限され、未接続のＣＰＥ３との間の「トンネル認証処理」を優先して行える。

また、取得部１１ａが、汎用サーバ１に構築された仮想ＣＰＥ２と未接続のＣＰＥ３の有無を取得したときには、指示部１１ｂは、仮想ＣＰＥ２と未接続のＣＰＥ３が有る場合に、仮想ＣＰＥ２と接続済のＣＰＥ３（ＣＰＥ＃１）に、所定の通信種別以外の通信種別の通信の遮断を指示する。

すなわち、例えば、停電が復旧して再接続中のＣＰＥ３（ＣＰＥ＃ｎ）がある間には、指示部１１ｂは、接続済のＣＰＥ３（ＣＰＥ＃１）には、ＶｏＩＰ等の特定の通信種別の通信のみを許可し、それ以外の通信種別の通信は遮断させる。また、指示部１１ｂは、全ＣＰＥ３のトンネル認証処理が完了して停電復旧した場合には、全ての通信種別の通信を許可する。

この場合には、帯域情報１２ａには、例えば、特定の通信種別以外の通信の通信帯域を０に設定しておく。指示部１１ｂは、取得部１１ａが仮想ＣＰＥ２と未接続のＣＰＥ３が有るとの情報を取得した場合に、帯域情報１２ａを参照し、仮想ＣＰＥ２（ｖＣＰＥ＃１）と接続済のＣＰＥ３（ＣＰＥ＃１）とに、通信を許可する通信種別と、それ以外の通信種別の通信の帯域を０にする指示とを通知する。これにより、汎用サーバ１では、未接続のＣＰＥ３が有る場合に、特定の通信種別以外の通信を遮断して、未接続のＣＰＥ３との間の「トンネル認証処理」を優先して行える。

［管理処理］
次に、図６は、管理処理手順を例示するフローチャートである。図６に示すフローチャートは、例えば、所定の間隔で定期的に、あるいは、オペレータが指示したタイミングで開始される。

まず、取得部１１ａが、複数の仮想ＣＰＥ２が構築された汎用サーバ１の状態を取得する（ステップＳ１）。例えば、取得部１１ａは、汎用サーバ１のＣＰＵ使用率、トラヒック量、汎用サーバ１に構築された仮想ＣＰＥ２と接続済のユーザ宅内のＣＰＥ３のコネクション数、または汎用サーバ１に構築された仮想ＣＰＥ２と未接続のＣＰＥ３の有無等を取得する。

次に、指示部１１ｂが、仮想ＣＰＥ２と接続済のＣＰＥ３に、汎用サーバ１の状態に応じて、通信帯域の制御を指示する（ステップＳ２）。具体的には、指示部１１ｂは、取得部１１ａが取得した汎用サーバ１の状態と帯域情報１２ａと対比して、仮想ＣＰＥ２と、これと接続済みのＣＰＥ３とに対し、帯域制御を指示する。

例えば、指示部１１ｂは、汎用サーバ１のＣＰＵ使用率が所定の閾値を超えた場合に、仮想ＣＰＥ２と、これと接続済のＣＰＥ３とに、通信帯域を所定値以下に制限することを指示する。

または、指示部１１ｂは、汎用サーバ１のトラヒック量が所定の閾値を超えた場合に、仮想ＣＰＥと接続済のＣＰＥに、通信帯域を所定値以下に制限することを指示する。

または、指示部１１ｂは、汎用サーバ１に構築された仮想ＣＰＥ２と接続済のＣＰＥ３のコネクション数が所定の閾値を下回った場合に、仮想ＣＰＥ２と接続済のＣＰＥ３に、通信帯域を所定値以下に制限することを指示する。

または、指示部１１ｂは、仮想ＣＰＥ２と未接続のＣＰＥ３が有る場合に、仮想ＣＰＥ２と接続済のＣＰＥ３に、所定の通信種別以外の通信種別の通信の遮断を指示する。

帯域制御を指示されたユーザ宅内のＣＰＥ３は、上りパケットの通信帯域を指示された所定値に制限する。また、仮想ＣＰＥ２（ｖＣＰＥ＃１）は、下りパケットの通信帯域を指示された所定値に制限する。これにより、一連の管理処理が終了する。

以上、説明したように、本実施形態の管理装置１０では、取得部１１ａが、複数の仮想ＣＰＥ２が構築された汎用サーバ１の状態を取得する。また、指示部１１ｂが、仮想ＣＰＥ２と接続済のＣＰＥ３に、汎用サーバ１の状態に応じて、通信帯域の制御を指示する。

これにより、これにより、汎用サーバ１の状態に応じて動的に、接続済のＣＰＥ３との間のパケット転送処理を制限し、未接続のＣＰＥ３に対するトンネル認証処理を優先的に行える。例えば、複数の仮想ＣＰＥが構築された汎用サーバ１においてトンネル接続要求が集中した場合に、「トンネル認証処理」を「パケット転送処理」より優先して実行することができる。したがって、トンネル確立の遅延によるタイムアウトを抑止することができるので、汎用サーバ１全体として例えば大規模停電からの復旧が早期に可能となる。

また、取得部１１ａが汎用サーバ１のＣＰＵ使用率を、汎用サーバ１の状態として取得したときには、指示部１１ｂは、帯域情報１２ａを参照し、ＣＰＵ使用率が所定の閾値を超えた場合に、仮想ＣＰＥ２と接続済のＣＰＥ３に、通信帯域を所定値以下に制限することを指示する。これにより、これにより、汎用サーバ１では、ＣＰＵ使用率が高い場合に、接続済のＣＰＥ３との間の「パケット転送処理」が制限され、未接続のＣＰＥとの間の「トンネル認証処理」を優先して行える。

また、取得部１１ａが、汎用サーバ１に構築された仮想ＣＰＥ２と接続済のＣＰＥ３のコネクション数を、汎用サーバ１の状態として取得したときには、指示部１１ｂは、コネクション数が所定の閾値を下回った場合に、仮想ＣＰＥ２と接続済のＣＰＥ３に、通信帯域を所定値以下に制限することを指示する。これにより、汎用サーバ１では、ＣＰＥ３のコネクション数が少ない場合に、接続済のＣＰＥ３との間の「パケット転送処理」が制限され、未接続のＣＰＥとの間の「トンネル認証処理」を優先して行える。

また、取得部１１ａが、汎用サーバ１に構築された仮想ＣＰＥ２と未接続のＣＰＥ３の有無を、汎用サーバ１の状態として取得したときには、指示部１１ｂは、仮想ＣＰＥ２と未接続のＣＰＥ３が有る場合に、仮想ＣＰＥ２と接続済のＣＰＥ３に、所定の通信種別以外の通信種別の通信の遮断を指示する。これにより、汎用サーバ１では、未接続のＣＰＥ３が有る場合に、特定の通信種別以外の通信を遮断して、未接続のＣＰＥ３との間の「トンネル認証処理」を優先して行える。

［プログラム］
上記実施形態に係る管理装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、管理装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の管理処理を実行する管理プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の管理プログラムを情報処理装置に実行させることにより、情報処理装置を管理装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistants）等のスレート端末などがその範疇に含まれる。また、管理装置１０の機能を、クラウドサーバに実装してもよい。

図７は、管理プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、管理プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した管理装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。

また、管理プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。

１汎用サーバ
２仮想ＣＰＥ
３ＣＰＥ
１０管理装置
１１制御部
１１ａ取得部
１１ｂ指示部
１２記憶部
１２ａ帯域情報

Claims

複数の仮想ＣＰＥ（Customer Premises Equipment）が構築されたサーバの状態として、前記サーバに構築された前記仮想ＣＰＥと未接続のＣＰＥの有無を取得する取得部と、
前記仮想ＣＰＥと未接続のＣＰＥが有る場合に、前記仮想ＣＰＥと接続済のＣＰＥに、所定の通信種別以外の通信種別の通信の遮断を指示することにより、前記仮想ＣＰＥと接続済のＣＰＥに、通信帯域の制御を指示する指示部と、
を備えることを特徴とする管理装置。
管理装置で実行される管理方法であって、
複数の仮想ＣＰＥ（Customer Premises Equipment）が構築されたサーバの状態として、前記サーバに構築された前記仮想ＣＰＥと未接続のＣＰＥの有無を取得する取得工程と、
前記仮想ＣＰＥと未接続のＣＰＥが有る場合に、前記仮想ＣＰＥと接続済のＣＰＥに、所定の通信種別以外の通信種別の通信の遮断を指示することにより、前記仮想ＣＰＥと接続済のＣＰＥに、通信帯域の制御を指示する指示工程と、
を含んだことを特徴とする管理方法。