(57)【要約】  非セキュアネットワークを介してＩＰＳｅｃトンネルを自動的に生成することと、境界デバイスでＩＰＳｅｃトンネルを終端することと、ＩＰＳｅｃトンネルとセキュアネットワークとの間でトラフィックをブリッジするために適切なサービスを作成することとによるなど、非セキュアネットワークインフラストラクチャ上でセキュアネットワークインフラストラクチャを自動的に提供する方法および装置。さまざまな実施形態は、セキュアネットワークインフラストラクチャの素早いプロビジョニング、特定の顧客要件およびさまざまなビジネス方法論に適合されたセキュアゲートウェイ（ＳＥＧ）実施形態を提供する。
2013523021.tif 000002
【特許請求の範囲】
【請求項１】
保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、
所望のＩＰＳｅｃサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、
セキュアゲートウェイ（ＳＥＧ）としての使用のために境界デバイスを含む少なくとも１つのルーティングデバイスを選択することと、
境界デバイスの第１の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
境界デバイスの第２の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することと
を含む、方法。
【請求項２】
セキュアネットワークにアクセスすることを許可される非セキュアネットワーク内の複数のアクセスポイントを選択することと、
アクセスポイントのそれぞれを適切なＳＥＧに関連付けることと、
対応するアクセスポイントからのトンネリングされたパブリックトラフィックを終端するために各ＳＥＧのセキュアネットワーキングサービスを構成することと
をさらに含む、請求項１に記載の方法。
【請求項３】
非セキュアネットワークからのトンネリングされたトラフィックを終端するための前記セキュアネットワーキングサービスが、レベル３仮想プライベートネットワーク（Ｌ３  ＶＰＮ）サービス、仮想プライベートルーティッドネットワーク（ＶＰＲＮ：Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｒｏｕｔｅｄ  Ｎｅｔｗｏｒｋ）サービス、およびＩＥＳ（Ｉｎｔｅｒｎｅｔ  Ｅｎｈａｎｃｅｄ  Ｓｅｒｖｉｃｅ）サービスの１つである、請求項１に記載の方法。
【請求項４】
境界デバイスを含む前記少なくとも１つのルーティングデバイスの前記選択することが、
保護されるセキュアネットワークに近接する１つまたは複数のルータを識別することと、
コスト、顧客への近接度、サービスプロバイダへの近接度、および利用レベルという判断基準のうちの１つまたは複数に従って前記ルータのうちの１つを選択することと
を含む、請求項１に記載の方法。
【請求項５】
前記生成されたＩＰＳｅｃサービス層が、複数のユーザを前記保護されるネットワークにセキュアに接続するサービスを含み、前記方法が、
前記ユーザをユーザ位置に従って定義される複数のグループに分割することと、
ユーザの各グループに関連するトラフィックをそれぞれの地理的に近接するスイッチング要素で集約することと
をさらに含むことをさらに含み、
前記集約されたトラフィックが、ビデオサービストラフィックを含み、前記集約されたトラフィックが、前記地理的に近接するスイッチング要素とビデオサービスプロバイダのヘッドエンドとの間で通信され、
前記ビデオサービスプロバイダが、ケーブルテレビジョンシステム、ＭＳＯ、遠隔通信システムプロバイダ、および放送網のうちの１つを含む、
請求項１に記載の方法。
【請求項６】
前記方法が、ネットワークサービスプロバイダのネットワークオペレーションズセンタ（ＮＯＣ）に関連するコンピュータ内でインスタンス化されるサービス作成エンジン（ＳＣＥ）によって実行され、前記サービス要求が、単一のフォームに入力されるデータを介して提供される、請求項１に記載の方法。
【請求項７】
保護されるネットワークが、セキュアな企業ネットワーク、セキュアイントラネット、単一のサードパーティネットワークの１つまたは複数の部分、および複数のサードパーティネットワークの１つまたは複数の部分のうちの少なくとも１つを含む、請求項７に記載の方法。
【請求項８】
前記要求が、トンネリングされるトラフィックフローに関連するシグナリングパラメータおよびポリシを含むトンネルテンプレートに関連し、前記ポリシが、特定のＩＰアドレスと対応するサービスとの間の関連付けを含む、請求項１に記載の方法。
【請求項９】
プロセッサによって実行される時に、保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、
所望のＩＰＳｅｃサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、
セキュアゲートウェイ（ＳＥＧ）としての使用のために境界デバイスを含む少なくとも１つのルーティングデバイスを選択することと、
境界デバイスの第１の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
境界デバイスの第２の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応する終端されたセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することと
を含む方法を実行するソフトウェア命令を含む、コンピュータ可読媒体。
【請求項１０】
非セキュアネットワークに関連するトラフィックを受け入れる第１の複数のポートと、
セキュアネットワークに関連するトラフィックを受け入れる第２の複数のポートと、
第１の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供するように適合され、第２の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスに適合され、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成するように適合された境界デバイスであって、各グループが、それぞれのカプセル化識別子に関連する、境界デバイスと
を含む、セキュアゲートウェイ（ＳＥＧ）。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、引用によりその全体が本明細書に組み込まれている、２０１０年３月１６日に出願した米国特許出願第６１／３１４，４４８号、名称「ＭＥＴＨＯＤ，ＳＹＳＴＥＭ  ＡＮＤ  ＡＰＰＡＲＡＴＵＳ  ＦＯＲ  ＩＰＳＥＣ  ＩＮＦＲＡＳＴＲＵＣＴＵＲＥ  ＰＲＯＶＩＳＩＯＮＩＮＧ，ＭＡＮＡＧＥＭＥＮＴ  ＡＮＤ  ＡＰＰＬＩＣＡＴＩＯＮＳ  ＴＨＥＲＥＯＦ」の利益を主張するものである。
【０００２】
本発明は、全般的には通信ネットワークに関し、排他的にではないがより具体的には、非セキュアトランスポート層を介するセキュアサービスのプロビジョニングに関する。
【背景技術】
【０００３】
第４世代（４Ｇ）無線ネットワークなどのさまざまなネットワークは、１つまたは複数のアプリケーションを走行させる多数の無線加入者をサポートする。トラフィックは、異なるトランスポート技術を利用する複数のネットワーク要素、適用されるサービス品質（ＱｏＳ）ポリシなどに従って、パケット化され、ＩＰネットワークを介してトランスポートされる。そのようなネットワークは、本来複雑であり、モバイル加入者への高品質サービスの一貫した配信を保証するために、ネットワークサービスプロバイダおよび彼らが頼るネットワーク管理ツールに新しい課題を提示する。
【０００４】
その上でＩＰＳｅｃインフラストラクチャ層が構築されるトランスポート層に関連するＩＰＳｅｃインフラストラクチャ層などのセキュアインフラストラクチャ層のプロビジョニングおよび監視は、複雑で誤りをこうむりやすい。トランスポートネットワークは、当初に、さまざまな顧客目標に必要と思われる帯域幅をサポートするためにプロビジョニングされる。その後、ＩＰＳｅｃインフラストラクチャが、セキュアネットワーキングが必要になる時に、プロビジョニングされたネットワークの上に構築される。
【０００５】
トランスポートネットワークプロビジョニングプロセスおよびＩＰＳｅｃインフラストラクチャプロビジョニングプロセスは、お互いと独立である。この独立性は、非効率性およびこの２つの層の間の相互認識の欠如につながり、この非効率性および相互認識の欠如は、トラブルシューティング、更新、ネットワーク管理、および他の機能中の問題を引き起こす。たとえば、ＩＰＳｅｃ層の下位のトランスポートネットワーク要素内の障害は、末端加入者または末端顧客の仮想プライベートリモートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｒｅｍｏｔｅ  Ｎｅｔｗｏｒｋｉｎｇ：ＶＰＲＮ）を劣化させることによるなど、ＩＰＳｅｃ層の機能性に影響する。
【発明の概要】
【課題を解決するための手段】
【０００６】
従来技術のさまざまな欠陥は、非セキュアネットワークインフラストラクチャを介してセキュアネットワークインフラストラクチャを提供する実施形態によって対処される。さまざまな実施形態は、セキュアネットワークインフラストラクチャ、特定の顧客要件、さまざまなビジネス方法論などに適合されたセキュアゲートウェイ（ＳＥＧ）実施形態の素早いプロビジョニングを提供する。
【０００７】
さまざまな実施形態は、レベル３（Ｌ３）仮想プライベートネットワーキング（ＶＰＮ）サービス、仮想プライベートルーティッドネットワーク（ＶＰＲＮ：Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｒｏｕｔｅｄ  Ｎｅｔｗｏｒｋ）、ＩＥＳ（Ｉｎｔｅｒｎｅｔ  Ｅｎｈａｎｃｅｄ  Ｓｅｒｖｉｃｅ）サービス、および／または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間のセキュアトンネリングをサポートするのに必要なサービスを使用可能にするために、既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワーク（たとえば、企業ネットワーク）は、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護される（たとえば、企業ネットワークまたは他のセキュアネットワークへのＩＰＳｅｃ接続）。
【０００８】
セキュアゲートウェイ（ＳＥＧ）実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、ルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するＩＰＳｅｃトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザＩＰＳｅｃトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコル（たとえば、Ｌ２  ＶＰＮ）を保持することができる。
【０００９】
本発明の教示を、添付図面に関連する次の詳細な説明を考慮することによってたやすく理解することができる。
【図面の簡単な説明】
【００１０】
【図１】一実施形態による例示的アーキテクチャを示す図である。
【図２】図１のアーキテクチャにおいて、ルータ内の境界カードに近接するネットワークプロトコルを示すより詳細な図である。
【図３】図２の例示的管理システムによって実行されるサービス作成および相関プロセスを示す高水準ブロック図である。
【図４】卸売ビデオサービスアーキテクチャを示す高水準ブロック図である。
【図５】さまざまな実施形態での使用に適する例示的管理システムを示す図である。
【図６】一実施形態による管理システムを含む例示的な無線通信システムを示す図である。
【図７】さまざまな実施形態による管理システムによって実行されるディスカバリおよび相関プロセスを示す高水準ブロック図である。
【図８】さまざまな実施形態による管理システムによって実行されるディスカバリおよび相関プロセスを示す高水準ブロック図である。
【発明を実施するための形態】
【００１１】
理解を容易にするために、複数の図面に共通する同一の要素を指定するのに、可能な場合には同一の符号を使用した。
【００１２】
本発明を、主に特定の実施形態の環境で説明するが、本明細書の教示によって情報を得た当業者は、本発明が他の技術分野および／または実施形態に適用可能でもあることに気付くであろう。
【００１３】
一般的に言って、さまざまな実施形態は、セキュアネットワーキングサービスが必要になる時にそのようなサービスを提供するために、プロビジョニングされたネットワークトランスポート層の上でのセキュアインフラストラクチャ層（たとえば、ＩＰＳｅｃインフラストラクチャ層）の構築に関連するプロビジョニングおよび監視を使用可能にし、サポートし、かつ／または改善する。
【００１４】
さまざまな実施形態は、Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ（ＳＳＬ）仮想プライベートネットワーク（ＶＰＮ）、動的マルチポイントＶＰＮ（Ｄｙｎａｍｉｃ  Ｍｕｌｔｉｐｏｉｎｔ  ＶＰＮ）、オポチュニスティックエンクリプション（Ｏｐｐｏｒｔｕｎｉｓｔｉｃ  Ｅｎｃｒｙｐｔｉｏｎ）などの環境で適用可能でもある。１つまたは複数の非セキュアコアネットワークおよび／または非セキュアアクセスネットワークを介するセキュアな企業ネットワークへのアクセス、ビデオオンデマンド（ＶＯＤ）および他のテレビジョン／放送サービスの提供などを含む、そのようなサービスから利益を得るさまざまな実施形態をも議論する。
【００１５】
さまざまな実施形態は、既存のおよび将来の有線および／または無線のＩＰネットワークあるいはＩＰタイプの制御プロトコルを使用するネットワークを含む、ＩＰＳｅｃトンネリングなどのセキュアネットワーキング技法をサポートする任意のアクセスネットワーク環境またはコアネットワーク環境での使用に適する。たとえば、ロングタームエボリューション（ＬＴＥ）関連環境（通常はｅＮｏｄｅＢを介してアクセスされる）に関して本明細書で説明されるさまざまなシステム、装置、方法論、機能、プログラム、トポロジなどは、デジタル加入者回線（ＤＳＬ）、ケーブルモデム、ならびに他の既存のおよび将来のアクセス技術を介してアクセスされるものなどの他の環境にも適用可能である。本発明者は、ＭＭＥ、ＳＧＷ、ＰＣＲＦ（ＤＳＣ）、および／またはＰＧＷなど、他のさまざまなＬＴＥコンポーネントが、本発明によるセキュアトンネルを使用することもできることも企図している。一般的に言って、ＬＴＥネットワークまたは他のネットワークの任意のコンポーネントは、セキュリティゲートウェイ（ＳＥＧ）を介して保護されたトンネルを有することから利益を得ることができる。とはいえ、この機能性の最も一般的なクライアントになるのがｅＮｏｄｅＢであることは確かである。
【００１６】
さまざまな実施形態は、レベル３（Ｌ３）仮想プライベートネットワーキング（ＶＰＮ）サービス、２５４７ｂｉｓなどの仮想プライベートルーティッドネットワーク（ＶＰＲＮ：Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｒｏｕｔｅｄ  Ｎｅｔｗｏｒｋ）サービス、ＩＥＳ（Ｉｎｔｅｒｎｅｔ  Ｅｎｈａｎｃｅｄ  Ｓｅｒｖｉｃｅ）サービス、および／または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間のセキュアトンネリングをサポートするために必要なサービスを使用可能にするために既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワーク（たとえば、企業ネットワーク）は、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護される（たとえば、企業ネットワークまたは他のセキュアネットワークへのＩＰＳｅｃ接続）。
【００１７】
セキュアゲートウェイ（ＳＥＧ）実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、ルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するＩＰＳｅｃトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザＩＰＳｅｃトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコル（たとえば、Ｌ２  ＶＰＮ）を保持することができる。
【００１８】
セキュアインフラストラクチャ層の提供
一般的に言って、さまざまな実施形態は、１つまたは複数の非セキュアコアネットワークおよび／または非セキュアアクセスネットワークを介するセキュアな企業ネットワークへのアクセスを提供するなど、セキュアネットワーキングサービスが必要になる時にそのようなサービスを提供するために、プロビジョニングされたネットワークトランスポート層の上でのＩＰＳｅｃインフラストラクチャ層などのセキュアインフラストラクチャ層の構築に関連するプロビジョニングおよび監視を使用可能にし、サポートし、かつ／または改善する。
【００１９】
本明細書で説明するさまざまな実施形態は、既存のおよび将来の有線および／または無線のＩＰネットワークあるいはＩＰタイプの制御プロトコルを使用するネットワークを含む、ＩＰＳｅｃトンネリングなどのセキュアネットワーキング技法をサポートする任意のアクセスネットワーク環境またはコアネットワーク環境での使用に適する。たとえば、ロングタームエボリューション（ＬＴＥ）関連環境（ｅＮｏｄｅＢを介してアクセスされる）に関して本明細書で説明されるさまざまなシステム、装置、方法論、機能、プログラム、トポロジなどは、デジタル加入者回線（ＤＳＬ）、ケーブルモデム、ならびに他の既存のおよび将来のアクセス技術を介してアクセスされるものなどの他の環境にも適用可能である。
【００２０】
さまざまな実施形態は、レベル３（Ｌ３）仮想プライベートネットワーキング（ＶＰＮ）サービス、仮想プライベートルーティッドネットワーク（ＶＰＲＮ：Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｒｏｕｔｅｄ  Ｎｅｔｗｏｒｋ）サービス、ＩＥＳ（Ｉｎｔｅｒｎｅｔ  Ｅｎｈａｎｃｅｄ  Ｓｅｒｖｉｃｅ）サービス、および／または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間のセキュアトンネリングをサポートするのに必要なサービスを使用可能にするために、既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワーク（たとえば、企業ネットワーク）は、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護される（たとえば、企業ネットワークまたは他のセキュアネットワークへのＩＰＳｅｃ接続）。
【００２１】
セキュアゲートウェイ（ＳＥＧ）実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、ルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するＩＰＳｅｃトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザＩＰＳｅｃトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコル（たとえば、Ｌ２  ＶＰＮ）を保持することができる。
【００２２】
図１に、一実施形態による単純化されたアーキテクチャを示す。具体的には、図１の単純化されたアーキテクチャ１００は、２人のユーザが非セキュアネットワークを介するそれぞれのセキュアパスを介してお互いと通信し、各セキュアパスが、保護されないネットワークのアクセスポイントで開始され、ユーザの間のセキュアパスをこれによって形成するためにユーザを接続するように動作するセキュアな企業ネットワークで終端される、より大きいネットワーク（図示せず）の一部を表す。
【００２３】
図１を参照すると、第１のユーザ１１０１は、それぞれのアクセスデバイス１２０１を介して第１の非セキュアネットワーク８３０１にアクセスし、第２のユーザ１１０２は、それぞれのアクセスデバイス１２０２を介して第２の非セキュアネットワーク１３０２にアクセスする。トラフィックは、第１のアクセスデバイス１２０１と第１のルーティングデバイス１４０１との間で第１の非セキュアネットワーク８３０１内の１つまたは複数のリンク／パスによって、および第２のユーザ１１０２と第２のルーティングデバイス１４０２との間で第２の非セキュアネットワーク８３０２内の１つまたは複数のリンク／パスによってトランスポートされる。
【００２４】
ユーザデバイス１１０によってアクセスされる非セキュアネットワーク１３０のタイプに応じて、対応するアクセスデバイス１２０は、デジタル加入者回線（ＤＳＬ）、ケーブルモデム、ｅＮｏｄｅＢ、または他のアクセスデバイスもしくはアグリゲーションポイントを含むことができる。
【００２５】
ルーティングデバイス１４０のそれぞれは、非セキュアネットワーク１３０からのトラフィックを終端し、セキュアネットワーク１４０からのトラフィックを終端し、終端されたトラフィックを非セキュアネットワーク１３０とセキュア１４０ネットワークとの間で適切にブリッジするために、境界デバイス１４２または類似する終端／ブリッジング機構を含むかこれに関連する。
【００２６】
ルーティングデバイス１４０は、ルーティング、ブリッジング、および／または本明細書で説明する他の機能を提供できる任意のルータ、スイッチングデバイス、またはその組合せを含むことができる。一実施形態では、ルーティングデバイス１４０は、ＩＰＳｅｃ境界カード１４２をその中に設置されたＡｌｃａｔｅｌ−Ｌｕｃｅｎｔ７７５０サービスルータを含む。
【００２７】
したがって、一実施形態では、ユーザデバイスのそれぞれは、それぞれのアクセスデバイス１２０と、たとえばそれぞれのルータ内のそれぞれのＩＰＳｅｃ境界カードの、非セキュア側との間のリンクを介して通信する。ＩＰＳｅｃ境界カードのセキュアネットワーク側は、セキュアな企業ネットワークを介してお互いと通信する。
【００２８】
セキュアネットワーク内を移動するパケットは、それを通って移動するためにＩＰＳｅｃトンネリングを必要としない。一般的に言って、セキュアな企業ネットワークは、トラフィックをトランスポートするのにＬ３  ＶＰＮまたは他のセキュアインフラストラクチャを利用し、その結果、企業ネットワーク内のそのようなトラフィックのさらなる暗号化が不要になる（実際に、さらなる暗号化は、暗号化されたパケットを読取り不能にする可能性がある）。
【００２９】
非セキュアネットワークを介して移動するパケットは、さまざまなトランスポート層ハードウェア、ソフトウェア、プロトコルなどによってサポートされるＩＰＳｅｃセッション（暗号化された）を介して伝えられる。
【００３０】
境界デバイス１４２は、Ｌ３  ＶＰＮ、ＶＰＲＮなどを使用する非セキュアネットワークを介するセキュア（暗号化された）サービスを作成／終端するのに使用される。すなわち、セキュアＩＰＳｅｃセッションが、ユーザデバイス（それ自体のそれぞれのＩＰアドレスを有する）と境界デバイス（やはりそれ自体のそれぞれのＩＰアドレスを有する）との間で作成される。この形で、境界デバイスは、一例として、セキュアな企業ネットワーク内のユーザまたはセキュアな企業ネットワークの外部のユーザ（たとえば、図１の第２のユーザ）への伝搬のために、非セキュアネットワークを介して提供されるセキュア（暗号化された）サービスからセキュアな企業ネットワークにパケットを通信する。
【００３１】
オプションで、境界デバイスは、セキュアＩＰＳｅｃセッションのためのＩｎｔｅｒｎｅｔ  Ｅｎｈａｎｃｅｄ  Ｓｅｒｖｉｃｅ（ＩＥＳ）をもサポートする。境界デバイス１４２は、図２に関して下でより詳細に説明する。
【００３２】
図１は、非セキュアネットワーク１３０を管理する管理機能を提供する管理システム（ＭＳ）１７０をも示す。ＭＳ１７０は、任意の適切な形で非セキュアネットワーク１３０と通信することができる。図１のＭＳ１７０としての使用に適する例示的な管理システムを、下で示し、図５に関して説明する。
【００３３】
図１では、破線が、暗号化されたＩＰＳｅｃセッションのパスを表す。第１のユーザと第２のユーザとの両方が、それぞれのルーティングデバイス１４０で終端するそれぞれの暗号化されたＩＰＳｅｃセッションに関連することに留意されたい。境界デバイスは、オプションで、そうでなければパケットが理解できないものになる可能性があるので、パケットをセキュアネットワークに渡す前に、パケットから暗号化をはぎとる。
【００３４】
図１は、２つのユーザだけを示すが、３人以上のユーザがお互いと通信していることができ、各ユーザが２人以上の他のユーザと通信していることができることを了解されたい。
【００３５】
図１は、それぞれのアクセスデバイス１２０を介してそれぞれの非セキュアネットワーク１３０にアクセスする各ユーザ１１０を示すが、ユーザは、実際には、それぞれのまたは共通のアクセスデバイスによって共通の非セキュアネットワークにアクセスしている可能性がある。さらに、３Ｇ／４Ｇ／ｘＧネットワーク、ローカル８０２．１１ｘネットワーク、またはホットスポットにアクセスするモバイルデバイスユーザなど、ユーザは、複数の非セキュアネットワークに同時にアクセスすることができる。
【００３６】
図１は、ユーザ１１０とルーティングデバイス１４０との間の単一の非セキュアネットワークを示すが、さまざまな実施形態では、ユーザトラフィックが、アクセスネットワークおよびコアネットワークを介するなど、複数の非セキュアネットワークを介してトランスポートされる。
【００３７】
１つまたは複数のユーザを、一例としてセキュアゲートウェイ（ＳＥＧ）として動作する１つまたは複数のルーティングデバイス１４０を介してセキュアネットワークに接続できることに留意されたい。さらに、さまざまな実施形態では、ルーティングデバイス１４０のうちの１つまたは複数を、複数のネットワークからアクセス可能とすることができる。たとえば、さまざまな実施形態では、図１に関して本明細書で示される保護されないネットワーク１３０の両方が、ルーティングデバイス１４０の両方にアクセスすることができる。特定の保護されないネットワーク１３０が、コストの考慮事項に基づいて特定のルーティングデバイス１４０を選ぶ場合があるが、複数のルーティングデバイス１４０にアクセスする能力は、さまざまな実施形態の環境で冗長性および／または回復力を提供する。
【００３８】
さまざまな実施形態では、Ａｌｃａｔｅｌ−Ｌｕｃｅｎｔ社のヴァーサタイルサービスモジュール（ｖｅｒｓａｔｉｌｅ  ｓｅｒｖｉｃｅ  ｍｏｄｕｌｅ：ＶＳＭ）が、サービスの相互接続を可能にするのに使用される。
【００３９】
上で説明した実施形態は、セキュアネットワーク１４０へのセキュアゲートウェイとして動作するルーティングデバイスによってサポートされる。たとえば、境界デバイスを含むルータ（たとえば、複数の境界カード、スイッチングモジュールなどを有する７７５０ルータ）を、サービスプロバイダネットワーク内に設置された時に本明細書で説明されるさまざまなセキュアトランスポート機能および管理機能を提供し、および／またはサポートするセキュリティゲートウェイ製品として構成することができる。
【００４０】
図２に、一実施形態による例示的なセキュリティゲートウェイ（ＳＥＧ）を示す。具体的には、図２は、入出力インターフェース２１０と表される第１の複数の入出力インターフェース、スイッチングファブリック２２０、境界デバイス２３０、および第２の複数の入出力インターフェース２４０を含むセキュリティゲートウェイ２００を示す。
【００４１】
さまざまな実施形態に従ってプロビジョニングされる時に、セキュリティゲートウェイ（ＳＥＧ）２００は、本明細書で議論されるさまざまな実施形態の環境で終端、ルーティング、およびブリッジング機能性を提供する。すなわち、暗号化されたユーザトラフィックは、非セキュアネットワーク１３０を介して、境界デバイス２３０の第１の部分２３０Ａで終端されるＩＰＳｅｃトンネルを介してセキュリティゲートウェイ２００へ／からトランスポートされる。暗号化されていないユーザトラフィックは、セキュアネットワーク１５０を介してセキュリティゲートウェイ２００へ／からトランスポートされ、境界デバイス２３０の第２の部分２３０Ｂで終端される。
【００４２】
図２の実施形態では、境界デバイス２３０の第１の部分および第２の部分は、それぞれの第１の境界カード２３０Ａおよび第２の境界カード２３０Ｂを含む。他の実施形態では、単一の境界カードが使用される。他の実施形態では、さらに他の境界デバイス機構が使用される。
【００４３】
たとえば、図２は、一例としてＨＡ内に展開された２つの境界カードおよび負荷平衡化モードの使用を示すが、より多数またはより少数の境界カードを、さまざまな実施形態の環境で使用することができる。具体的には、単一の境界カードが、非セキュアネットワークサービスをセキュアネットワークサービスに接続することができる。たとえば、入口ＩＰｓｅｃインターフェースと出口ＩＰｓｅｃインターフェースとの両方が、同一の境界デバイスまたは境界カード上にあることができる。というのは、さまざまな実施形態において、これらのＩＰｓｅｃインターフェースが、単にＩＰＳｅｃサービスをサポートするための必要な機能性を提供する仮想インターフェースであるからである。
【００４４】
第１の複数の入出力インターフェースは、入出力インターフェース２１０１、２１０２、２１０３から２１０Ｎと表され、ここで、入出力インターフェースのそれぞれは、複数の入口ポート、出口ポート、バッファなど（図示せず）を含む。暗号化されたユーザトラフィックは、第１の複数の入出力インターフェース２１０と境界デバイス２３０の第１の部分２３０Ａとの間で、一例としてスイッチングファブリック２２０の第１の部分２２０１を介して通信される。
【００４５】
第２の複数の入出力インターフェースは、入出力インターフェース２４０１、２４０２、２４０３から２４０Ｍと表され、ここで、入出力インターフェースのそれぞれは、複数の入口ポート、出口ポート、バッファなど（図示せず）を含む。暗号化されていないユーザトラフィックは、第２の複数の入出力インターフェース２１０と境界デバイス２３０の第２の部分２３０Ｂとの間で、一例としてスイッチングファブリック２２０の第２の部分２２０２を介して通信される。
【００４６】
図２の実施形態では、スイッチングファブリック２２０は、境界デバイス２３０とそれぞれ第１の複数の入出力インターフェース２１０および第２の複数の入出力インターフェース２２０との間でトラフィックを切り替えるための第１の部分および第２の部分を含むものとして図示されている。スイッチングファブリック２２０を、別々の部分なしで実施することができ、かつ／または完全に省略することができる。たとえば、さまざまな実施形態では、非常に少数の第２の複数の入出力インターフェースが使用される。というのは、ＳＥＧ２００を、非常に少数のセキュアネットワークの必要（たとえば、特定の位置の複数の企業クライアント）のために働くために展開できるからである。
【００４７】
境界デバイス２３０の第１の部分２３０Ａで終端されるＩＰＳｅｃトンネルを介する暗号化されたユーザトラフィックをサポートするためには、前に注記したＬ３  ＶＰＮ、ＩＥＳ、ＶＰＲＮなど、そのようなＩＰＳｅｃトンネリングを使用可能にするプロトコルをサポートするように境界デバイスを構成することが必要である。
【００４８】
図３に、非セキュアトランスポートインフラストラクチャを介してセキュアトランスポートインフラストラクチャを自動的にプロビジョニングする方法の流れ図を示す。図３の方法３００を、サービス要求または顧客（たとえば、サービスプロバイダの非セキュアネットワークと通信しているセキュアネットワークを有する企業顧客）にセキュアサービスを提供する必要の他の表示に応答してトリガすることができる。
【００４９】
ステップ３１０では、保護のためにセキュアネットワークを選択する。たとえば、図１および２を参照すると、セキュアネットワーク１５０は、サービスプロバイダの企業顧客に関連する企業ネットワークを含むことができる。この場合に、企業顧客は、１つまたは複数のユーザに企業ネットワークへのセキュアアクセスを与えることを望み、ここで、１つまたは複数のユーザは、非セキュアネットワークを介してアクセスする。保護されるセキュアネットワークは、顧客サービス要求内に含まれる、サービス要求内のプロファイル情報に含まれる、運用職員によって直接に入力されるなどとすることができる。
【００５０】
ステップ３２０では、セキュアゲートウェイ（ＳＥＧ）を選択する。たとえば、図１および２を参照すると、企業ネットワーク１５０に近接し、境界デバイス１４２を有するルーティングデバイス１４０を、セキュアゲートウェイ２００としてのプロビジョニングのために選択することができる。四角３２５を参照すると、使用のために選択される特定のＳＥＧは、複数の使用可能なＩＰＳｅｃ対応ゲートウェイデバイスのうちの１つを含むことができる。ＳＥＧを、次の判断基準のうちの１つまたは複数に従って自動的に選択することができる：コスト（たとえば、最短パスまたは他の尺度に関する最低のコスト）、顧客への近接度、サービスプロバイダへの近接度、利用レベル（使用可能帯域幅または処理リソース）、および／または他の判断基準。セキュアゲートウェイＳＥＧとして使用される特定のゲートウェイを選択するさまざまな他の機構を使用することもできる。ＮＯＣ実施形態では、潜在的なＳＧのリストを、選択を助けるために上の判断基準に関してオペレータに視覚的に提示することができる。
【００５１】
ステップ３３０では、１つまたは複数のＳＧ内の１つまたは複数のＩＰＳｅｃカードまたはＩＰＳｅｃグループなどの１つまたは複数の境界デバイスを、セキュアネットワークを保護する際の使用のために選択する。複数の境界デバイスを使用して、冗長性、回復力を提供し、または他の形で大きい帯域幅のトラフィックを処理することができる。
【００５２】
ステップ３４０では、Ｌ３  ＶＰＮサービスなどのセキュアネットワーキングサービスを選択し、作成し、または他の形で提供して、選択された境界デバイス（たとえば、ＩＰＳｅｃカード）およびセキュアネットワークを接続する。選択され、作成され、または他の形で提供されるサービスは、境界カード２３０の第２の部分２３０Ｂなど、境界デバイス１３０のうちでセキュアネットワークに面する部分に関連する。たとえば、セキュアネットワーク１５０が、Ｌ３  ＶＰＮ以外の何か（たとえば、Ｌ２  ＶＰＮ）を介して選択されたゲートウェイデバイスに結合される場合には、ＩＰＳｅｃ機能性／インフラストラクチャをセキュアネットワーク１５０に接続できるように、適切なＬ３  ＶＰＮサービスが作成される。
【００５３】
ステップ３５０では、ＩＰＳｅｃクライアントなどのセキュアクライアントによる使用のためのパブリックＩＰアドレスをホスティングするためのＩＥＳ、ＶＰＮ、および／またはＶＰＲＮサービスなどのサービスを選択し、作成し、または他の形で提供する。ＩＥＳ、ＶＰＮ、および／またはＶＰＲＮサービスによってホスティングされるパブリックＩＰアドレスは、ＩＰＳｅｃクライアントによって、ＩＰＳｅｃトンネルの作成を開始するのに使用される。選択され、作成され、または他の形で提供されるサービスは、境界カード２３０の第１の部分２３０Ａなど、境界デバイス１３０のうちで非セキュアネットワークに面する部分に関連する。たとえば、ユーザデバイス１１０は、ＩＰＳｅｃトンネルを終端するのに使用されるアドレスを必要とし、このアドレスは、境界カードの第１の部分に関連するＩＥＳ、ＶＰＮ、および／またはＶＰＲＮサービスによって提供される。
【００５４】
ステップ３６０では、保護されるネットワークが適切なトンネルを介して適切なユーザからパブリックトラフィックを受信し、トラフィックを適切なトンネルを介して適切なユーザに伝えるように、単一グループ内で非セキュアネットワークのパブリックトラフィックおよび保護されるネットワークに関連するセキュアトラフィックを対にしまたは関連付けるために、ＩＰＳｅｃインターフェースを作成する。パブリックトラフィックは、境界デバイスのうちで非セキュアネットワークに面する部分で終端されるＩＰＳｅｃトンネルによって伝えられ、プライベートトラフィックは、境界デバイスのうちでセキュアネットワークに面する部分で終端されるトラフィックを含む。セキュアネットワークに関連するトラフィックを伝えるこれらのＩＰＳｅｃトンネリングされるパスは、セキュアネットワークトラフィックパスと共にグループ化される。
【００５５】
ステップ３７０では、異なるサービス対（保護された、分散；保護された、パブリック）に関連する識別されたトラフィックを分離できるようにするために、各サービス対にそれぞれのカプセル化識別子を関連付ける。この形で、パブリック／プライベートパスは、セキュアネットワークの適切なユーザまたは許可されたユーザにセキュアパブリックアクセスを提供するために、境界デバイスを介してブリッジされる。
【００５６】
さまざまな実施形態では、グループは、境界カードを束ねるように動作し、この動作は、ＩＰｓｅｃグループの環境で作成されるＩＰｓｅｃインターフェースにＩＰｓｅｃ機能性を与える。さまざまな実施形態では、１つはパブリック、１つはプライベートの、グループごとに２つのＩＰｓｅｃインターフェースがある。この２つのインターフェースでのカプセル化は、１つのパブリックＬ３ＶＰＮとプライベートＬ３ＶＰＮとのバインディングのために一致しなければならない。このカプセル化は、単一のＩＰｓｅｃインターフェース対への複数のサービスバインディングの割当を可能にする（たとえば、あるネットワークまたはユーザから別のネットワークまたはユーザへのトラフィックを分離するためのポートでのＶＬＡＮの提供など）。
【００５７】
図３の方法３００は、サービスプロバイダの企業顧客または他の顧客によって所有されるセキュアネットワークへのアクセスをサービスプロバイダによって自動的に提供できるプロビジョニング機構を提供する。動作時に、非セキュアネットワーク内の多数のアクセスポイントがセキュアネットワークにアクセスすることを許可することができる。これらのアクセスポイントのそれぞれは、セキュアトンネルを介して任意のＳＥＧへおよび任意のＳＥＧからトラフィックを通信する。さまざまな実施形態では、複数のＳＧを使用して、セキュアネットワークを保護することができる。これらの実施形態では、さまざまなアクセスポイントのそれぞれが、特定のＳＥＧに関連付けられ、各ＳＥＧを、さまざまなアクセスポイントからの１つまたは複数のトンネルを終端するのに使用することができる。
【００５８】
いくつかの実施形態では、特定のユーザに関連する特定のＳＥＧは、ユーザのサービス品質の必要、ユーザに関連するサービスレベル契約（ｓｅｒｖｉｃｅ  ｌｅｖｅｌ  ａｇｒｅｅｍｅｎｔ）、ユーザと保護されたネットワークとの間のトラフィックのタイプ、ユーザの特定のアクセスデバイスなどに従って選択される。ルータの中には、非常に大きい容量／帯域幅ＳＥＧ機能を提供できるものと、セキュアネットワークを保護するために穏当な容量だけを提供できるものとがある。いくつかの実施形態では、特定の境界デバイス能力、帯域幅能力などを有する特殊目的ルータが、本明細書で論ずるようにセキュアインフラストラクチャの素早いインスタンス化または構築を素早く提供できるように、サービスプロバイダ顧客のセキュアネットワークに近接して展開されることも、企図されている。
【００５９】
さまざまな実施形態では、ステップ３４０、３６０、および／または３７０は、特定のサービスの存在、既に使用中のカプセル化識別または関連付けの、余分な容量を有する境界デバイスまたは境界サブデバイス（たとえば、ＩＰｓｅｃモジュールまたはＩＰｓｅｃカード）などのリソース可用性に基づいて、自動的に呼び出される。セキュアトンネルの作成またはプロビジョニングのためにオペレータからの特定の入力が不要になるように、これらのステップを、本明細書で説明されるものなどのｓｅｒｖｉｃｅ  ａｗａｒｅ  ｍａｎａｇｅｒ（ＳＡＭ）、トラフィックフローがそれによってセキュアトンネルと保護されたネットワークなどとの間で流れる機構を介して自動化することができる。
【００６０】
コンテンツプロバイダ実施形態
一実施形態では、コンテンツプロバイダは、特定の時刻にセキュアＩＰＳｅｃパスを介してユーザにコンテンツを配信する（たとえば、クライアントＤＶＲデバイスに補給するＮｅｔｆｌｉｘ）。ユーザにコンテンツを供給するために必要なＩＰＳｅｃパスをサポートするＩＰＳｅｃインフラストラクチャは、加入者ベースが変化する時に変化する。周期的に、コンテンツプロバイダは、サービス作成エンジンに（ネットワーク管理システムを介して）サービス要求を送信し、この要求は、特定の地理的区域内のユーザにコンテンツをストリーミングするための追加のＩＰＳｅｃパスの要求など、サービス作成エンジンが要求されたサービスに対処するためにＩＰＳｅｃインフラストラクチャを適合させることをもたらす。
【００６１】
テレビジョン／ビデオ／ビデオオンデマンド（ＶＯＤ）卸売実施形態
図４に、テレビジョン、ビデオ、および／またはＶＯＤサービスをリモート位置に配信するシステムの高水準ブロック図を示す。具体的には、図４のシステム４００は、そうでなければ大規模コンテンツ配布企業（ケーブル企業、テレコム企業など）によってサービスされない比較的小さい市場が、媒介企業または卸売企業を介してそのようなサービスを受けることができる機構を提供する。
【００６２】
具体的には、複数のケーブルアクセス地域４１０のそれぞれが、さまざまな地理的領域に散在する。ケーブルアクセス地域４１０のそれぞれは、それぞれの複数のユーザデバイス１１０に関連する。図４を参照すると、第１のケーブルアクセス地域４１０１は、複数のユーザデバイス１１０１、１１０２から１１０Ｎのために働くものとして図示されている。ユーザデバイス１１０は、セットアップボックス、無線ネットワーク、またはケーブルアクセス地域４１０内の機器を介してアクセスを得ることができる任意の他のユーザデバイスタイプを含むことができる。
【００６３】
ケーブルアクセス地域４１０のそれぞれは、ネットワーク４３０へのアクセスを提供するアクセスポイント４２０と通信する。さまざまな実施形態では、ネットワーク４３０は、任意のタイプの物理層（光、電気、マイクロ波など）によって伝えられるパブリックＩＰネットワークを含む。
【００６４】
ネットワーク４３０は、境界デバイス４４２を含むセキュリティゲートウェイ（ＳＥＧ）４４０と通信する。ＳＥＧ４４０は、その中にテレビジョン、ビデオ、および／またはＶＯＤサービスプロバイダに関連する高価な機器を含むセキュアネットワーク４５０と通信する。たとえば、図４には、セキュリティゲートウェイ４４０が保護されたネットワーク１５０を介してヘッドエンド４６０と通信することが示されている。ヘッドエンド４６０は、衛星テレビジョン送信システム４７４地上テレビジョン送信システム４８０の一方または両方に関連するダウンリンク機構などを含む。
【００６５】
ＳＥＧ４４０は、図１−３に関して上で説明したものに類似する形で動作する。図４に関して示された卸売ビデオサービスアーキテクチャの環境では、ＳＥＧ４４０は、セキュアネットワーク４５０に関連する出費を減らすために、地理的にヘッドエンド４６０に近接して配置される。
【００６６】
図４の卸売ビデオアーキテクチャは、離れた卸売ケーブルテレビジョン購入者（たとえば、小規模メトロポリタンシステムオペレータ）にサービスする１つまたは複数のスイッチ／ルータ（一例として、サービスルータ）に保護されたネットワーク通信を提供することによって、高価な機器設置（ケーブルテレビジョンヘッドエンドなど）の数を減らすように動作する。
【００６７】
具体的には、ケーブルテレビジョンヘッドエンドは、ローカル記憶用の放送ビデオ、放送テレビジョン、ビデオ番組などを地上テレビジョン送信器および衛星テレビジョン送信器の一方または両方から受信する。
【００６８】
ヘッドエンドは、上で議論したセキュアな企業ネットワークに似て、保護されたネットワークを介してＳＥＧ４４０と通信する。このネットワークは、ファイヤウォールおよびさまざまな他のセキュリティコンポーネントを含む。ＳＥＧ４４０は、一例として、コストを減らすためにヘッドエンドから短い距離に配置される。
【００６９】
ＳＥＧ４４０は、より小さい卸売業者またはユーザ／加入者１１０でさえも、複数（一例として３つ）のケーブルテレビジョンエンドポイント４１０のそれぞれと通信する。ＳＥＧ４４０、アクセスポイント、およびケーブルテレビジョンエンドポイントの間の距離は、非常に大きい場合があり、１つまたは複数のパブリックネットワークを通過する場合などがある。一般的に言って、ＳＥＧ４４０とケーブルテレビジョンエンドポイントとの間でビデオサービスを提供するようになされた特定のトランスポート層インフラストラクチャを、パブリック／保護されないものとすることができる。
【００７０】
コンテンツセキュリティを保つために、ＩＰＳｅｃインフラストラクチャは、ケーブルテレビジョンエンドポイントをサポートするために１つまたは複数のセキュアＩＰＳｅｃパスまたはセキュアＩＰＳｅｃセッションを提供するように構成される。セキュアＩＰＳｅｃパスのプロビジョニングおよび監視を、上で説明したものなどのネットワーク管理ソフトウェア／ハードウェアによって実行することができる。
【００７１】
単一フォームプロビジョニング実施形態
さまざまな実施形態では、サービスプロバイダは、一例としてネットワークオペレーションズセンタ（ＮＯＣ）のユーザ端末のグラフィカルユーザインターフェース内の１つまたは複数のウィンドウと対話するオペレータを介して顧客用のサービスをプロビジョニングする。そのようなサービスを効率的に提供するために、一実施形態は、保護されるセキュアネットワークに関連する最小限の量のデータだけ（すなわち、セキュアネットワークの識別）が提供される単一フォーム入力を企図する。もう１つの実施形態は、保護されるセキュアネットワークがその中で提供される顧客要求に応答した、そのようなサービスの自動プロビジョニングを企図する。
【００７２】
したがって、さまざまな実施形態は、ＩＰＳｅｃシステムを構成するのに必要な複数のステップのそれぞれに関連する複数の構成フォームではなく、単一の構成フォームを使用してＩＰＳｅｃシステムを構成する能力を提供する。この形で、ネットワーク運用職員の通常の時間のかかる対話が回避され、ここで、各対話は、通常、データ入力用の特定のフォームに関連する（たとえば、ネットワーク機器、リンクなどを選択し、プロビジョニングするフォーム、冗長性機能のためのグループを提供するフォーム、セキュアサービスを提供するフォーム、暗号化鍵ポリシを構成するフォームなど）。
【００７３】
一実施形態では、ＮＯＣユーザは、一例として、セキュアＩＰＳｅｃ確立フォームが提供されるグラフィカルユーザインターフェースをサポートするコンピュータ端末で、さまざまな実施形態による方法を呼び出す。このフォームは、入力として、所望のセキュアＩＰＳｅｃ機能性に関連するさまざまな判断基準を受け入れる。
【００７４】
第１に、保護されるネットワークに関する選択を行う（たとえば、企業ネットワーク、イントラネット、インターネット、ネットワークの単一のまたは複数の賃借される部分など）。
【００７５】
第２に、所望のセキュアＩＰＳｅｃ機能性をサポートするのに使用される選択されたネットワークへの特定の入口点またはアクセスポイントに関する選択を行う。これらの入口点は、一例として、保護されるネットワーク（たとえば、図１のセキュアネットワークまたは企業ネットワーク）とアクセスネットワークまたはコアネットワーク（たとえば、図１の非セキュアネットワークまたはサービスプロバイダネットワーク）との間のブリッジ（たとえば、ルータ）を含むことができる。その代わりに、デフォルトアクセスポイントを使用することができる。
【００７６】
リモートの従業者の環境でそのセキュアな企業ネットワークを使用することを望む企業は、各従業者のアクセスポイントまたはよりありうることにはＮ人の従業者ごとのアクセスポイントを含むサービス要求を提供することができ、ここで、Ｎは、１より大きいが従業者の総数より小さい整数である。一般に、すべてのユーザが同時にリモートネットワークにアクセスすることが必要ではない限り、リモートユーザごとに１つのアクセスポイントを提供する必要はない。
【００７７】
さまざまなアクセスポイントの物理的位置は、リモートユーザのいそうな位置に適合される。リモートユーザが広い地理的領域全体に散在する場合に、１つの物理的位置にすべてのアクセスポイントを割り当てることには利益がない。この場合に、地理的に離れた領域のリモートユーザは、アクセスポイントに達するだけのために１つまたは複数のアクセスネットワークを使用することを強制され、これは、確かに、経験の質を下げ、おそらくは非セキュアパブリックネットワークにオーバーレイされるセキュアＩＰＳｅｃインフラストラクチャを介するセキュアな企業ネットワークのアクセスのコストを増やす。従業者をサポートするセキュアＩＰＳｅｃトンネルは、従業者を境界カードに接続するのに必要なネットワークが何であれ、それを通って走る。
【００７８】
第３に、ブリッジング機構と通信できるパブリックまたはプライベートのアクセスポイントまたはアクセスポイントタイプ、ならびにそのような通信をサポートするプロトコルその他など、使用されるＩＰＳｅｃプロビジョニングのタイプに関する選択を行う。代替案では、デフォルトＩＰＳｅｃプロビジョニングを使用することができる。
【００７９】
保護について選択されたネットワークならびにすべてのアクセスポイント、ＩＰＳｅｃプロビジョニング情報、または他の情報は、その後、ＩＰＳｅｃインフラストラクチャを生成するためにサービス作成エンジンによって処理される。生成されるＩＰＳｅｃインフラストラクチャを、実施の前に、最適化し、全体的にまたは部分的に妥当性検査し、または他の形で洗練することができる。
【００８０】
サービス作成エンジン（ＳＣＥ）実施形態
一実施形態は、さまざまなプロファイル情報（たとえば、選択された保護されるネットワーク、ネットワーク入口点、およびタイプＩＰＳｅｃプロビジョニング）を含むサービス要求に応答して、ＩＰＳｅｃインフラストラクチャ／サービス層全体を作成するサービス作成エンジン（ＳＣＥ）を含む。サービス作成エンジンは、アプリケーションのために適合されたさまざまなＩＰＳｅｃトンネルまたは動的ＶＰＮトンネルでの使用のために構成された使用可能な相互接続（パブリック／プライベート）を検査する、さまざまなプロビジョニングアルゴリズムを呼び出すなどを行う。
【００８１】
サービス作成エンジンは、どのサービスが保護されるのか、およびどのノードがクライアントまたは企業への所望のアクセスを提供するのに必要であるのかを判定する。サービス作成エンジンによって作成されるＩＰＳｅｃインフラストラクチャ／サービス層は、オプションで、作成されたＩＰＳｅｃ層の１つまたは複数の部分がサービスプロバイダによって制御されるネットワーク機器を通過する時など、分析のためにサービスプロバイダに提供される。サービスプロバイダは、必須の機器を追加し、スケーリングし、または他の形で更新する要求、暗号化および鍵交換のアルゴリズム、暗号化鍵など、作成されたＩＰＳｅｃインフラストラクチャ／サービス層を満足するのに必要な機器を識別するために、サービス作成エンジンの出力を分析する。
【００８２】
トンネルテンプレートは、トランスポートパケットの暗号化／暗号化解除を可能にするのに使用されるさまざまなシグナリングパラメータを含むことができる。さらに、特定の範囲内のＩＰアドレスを対応する特定のサービスに割り当て、これによってこれらのＩＰアドレスを特定のサービスにマッピングするなど、さまざまなルール／ポリシが、トラフィックフローを管理するのに使用される。さらに、ＩＰＳｅｃトンネルの断片的使用を使用して、サービスゲートウェイ（ＳＥＧ）内の帯域幅またはスイッチング容量など、さまざまなサービスのために予約された容量を管理することができる。
【００８３】
さまざまな実施形態では、顧客は、セットアップされる保護されたサービスに関連するさまざまなプロファイル情報を含むサービス要求をネットワークプロバイダに提供する。プロファイル情報は、実質的に上で説明した通りであり、保護される企業サーバのアイデンティティ、保護されるサービスに関して使用されるアクセスポイント、使用されるプロトコル、使用される暗号化鍵などを含むことができる。
【００８４】
それに応答して、サービス作成エンジンは、サービス要求を満足する際に使用される保護されたＩＰＳｅｃインフラストラクチャを自動的に生成するためにサービス要求を処理する。生成されるインフラストラクチャに関連する仮定が適切であることを保証するために、生成される保護されたＩＰＳｅｃインフラストラクチャの出所が、中間サービスプロバイダによるさらなる分析を必要とする場合がある。仮定が適切ではない場合に、サービスプロバイダは、生成される保護されたＩＰＳｅｃインフラストラクチャのどの部分が実行可能ではないのかの提案（できれば）または少なくとも表示で応答する。
【００８５】
さまざまな実施形態では、ＳＣＥは、所望のＩＰＳｅｃサービスに関するパラメータ（たとえば、プロファイル）を受け取り、これに応答して、基礎になる通信チャネル（トランスポート層）のプロビジョニングおよびプロビジョントランスポート層上での適切なＩＰＳｅｃインフラストラクチャのレイヤリングを実施する。この実施形態は、顧客がそれへのアクセスを提供することを望むネットワーク（たとえば、セキュアな企業ネットワークまたはイントラネット）と、リモートユーザの数、ユーザがネットワークにアクセスするための特定のアクセスポイントその他など、そのアクセスに関連するさまざまなパラメータとを定義するサービス要求を顧客が提供できる、自動化されたシステムまたは半自動化されたシステムを提供する。ＳＣＥを自律モードで使用して、受け取られたパラメータに応答してプロビジョニングプランを提供することができる。
【００８６】
ＳＣＥを、単一フォーム入力画面（現在使用されている複数画面／フォームに対して）を介して、たとえばネットワークオペレーションズセンタユーザ内で対話モードで使用することができる。ネットワークマネージャソフトウェアは、ＩＰＳｅｃインフラストラクチャの仮定が、他の（たとえばサードパーティの所有する）ネットワーククラウドなどのさまざまなパラメータについて適切であるか否かを判定するために、中間ネットワーククラウドに関連する管理ソフトウェアと相互作用することができる。他の置換も企図されている。さまざまな実施形態は、ＳＣＥ自体、ＮＯＣユーザによって利用されるソフトウェア、ＳＥＣ、ユーザ、プロファイルの間の相互作用を含む方法論、および／または他のネットワーククラウドに関連するサードパーティ管理ソフトウェアを含む。
【００８７】
ＩＰＳｅｃインフラストラクチャ監視実施形態
セキュアＩＰＳｅｃインフラストラクチャの作成／プロビジョニングの後に、この方法のもう１つの実施形態は、事前監視モードに入る。この実施形態では、さまざまな通信システムまたは管理システム（たとえば、ＬＴＥシステムを管理する、Ａｌｃａｔｅｌ−Ｌｕｃｅｎｔ社によって製造されるＳｅｒｖｉｃｅ  Ａｗａｒｅ  Ｍａｎａｇｅｒ  Ｌｕｃｅｎｔ（ＳＡＭ））の環境でなど、各パスに関連するさまざまなネットワーク要素およびリンクが既知である。
【００８８】
本明細書で論ずるさまざまな管理機能を、改善されたネットワーク管理機能を提供できるように、各パスおよび／またはＩＰＳｅｃトンネルに関連するトランスポート層要素を相関させるために諸実施形態の環境で使用することができる。この形で、特定の保護されたＩＰＳｅｃインフラストラクチャパスに関連するサービスの劣化を使用して、そのパスに必要なネットワーク要素またはリンクのどれがサービスを劣化させたのかを識別することができる。同様に、特定のネットワーク要素またはリンクに関連するサービスの劣化を使用して、悪い劣化したネットワーク要素またはリンクに相関された保護されたＩＰＳｅｃインフラストラクチャパスのどれが問題を経験する可能性があるのかを識別することができる。
【００８９】
障害（アクセスポイント、リンク、またはネットワーク要素などでの）に応答して、カプセル化するエンティティは、障害をセキュアＩＰＳｅｃパスおよび／またはそのパスをサポートする送信層要素のうちの１つまたは複数に自動的に相関させる。カプセル化するエンティティおよび管理機能、境界カードを含むスイッチまたはルータ、サービスアウェアマネージャ（ｓｅｒｖｉｃｅ  ａｗａｒｅ  ｍａｎａｇｅｒ：ＳＡＭ）など。さらに、影響分析が、他のセキュアＩＰＳｅｃパスおよび／または送信層要素が障害を発生しまたは劣化したかどうかを判定するために実行される。
【００９０】
オプションで、ネットワークプローブまたはテストベクトルが、劣化しまたは障害を発生している可能性がある特定のセキュアＩＰＳｅｃパス、モバイルサービス、ネットワーク要素、リンクなどを識別するために実行される。これらのテストは、リアルタイムでネットワーク性能を測定し、ネットワーク劣化がより大きい問題または障害をもたらす前に、そのような劣化のエラー条件または他の指示を上げる。
【００９１】
さまざまな実施形態では、プロビジョニングされたＩＰＳｅｃインフラストラクチャは、潜在的なサービスの劣化または障害を示すエラー条件または他の異常が検出されるかどうかを判定するために監視される。この監視は、受動的な性質を有するものとすることができ、ここでは、エラー条件、アラーム条件などが、発生時にネットワーク管理システムに送信され、電気管理システムが適切な訂正アクションを行う。この監視は、能動的な性質を有するものとすることができ、ここでは、テストベクトルおよび／または他の監査する機構が、今まさに起ころうとしているエラー条件を識別しようとしてトランスポート層要素をテストしまたは働かせるのに利用される。たとえば、増やされた帯域幅利用を引き起こすテストベクトルを使用して、１つまたは複数のセキュアＩＰＳｅｃパスをサポートするさまざまなコンポーネントにストレスをかけて、帯域幅利用の増加がサービスの劣化をもたらすか否かを判定することができる。
【００９２】
図５に、さまざまな実施形態での使用に適する例示的管理システムを示す。図５に示されているように、ＭＳ５００は、プロセッサ５１０、メモリ５２０、ネットワークインターフェース５３０Ｎ、およびユーザインターフェース５３０Ｉを含む。プロセッサ５１０は、メモリ５２０、ネットワークインターフェース５３０Ｎ、およびユーザインターフェース５３０Ｉのそれぞれに結合される。
【００９３】
プロセッサ５１０は、さまざまな図に関して上で論じた保護されないネットワーク１３０など、ネットワーク１３０のさまざまな管理機能を提供するために、メモリ５２０、ネットワークインターフェース５３０Ｎ、ユーザインターフェース５３０Ｉ、およびサポート回路５４０と協働するように適合される。
【００９４】
メモリ５２０は、一般的に言って、ネットワーク１３０のさまざまな管理機能を提供する際の使用のために適合されたデータおよびツールを格納する。メモリは、ディスカバリエンジン（ＤＥ）５２１、ディスカバリデータベース（ＤＤ）５２２、相関エンジン（ＣＥ）５２３、パスデータベース（ＰＤ）５２４、アナライザツール（ＡＮＴ）５２５、監査ツール（ＡＵＴ）５２６、トレースツール（ＴＴ）５２７、サービス作成エンジン（ＳＣＥ）５２８、およびサービスデータベース（ＳＤ）５２９を含む。オプションで、公平性管理ツール（ＦＭＴ）方法が提供される（図示せず）。
【００９５】
一実施形態では、ＤＥ５２１、ＣＥ５２３、ＡＮＴ５２５、ＡＵＴ５２６、ＴＴ５２７、ＳＣＥ５２８、およびＳＤ５２９は、本明細書で図示され説明されるさまざまな管理機能を実行するためにプロセッサ（たとえば、プロセッサ５１０）によって実行できるソフトウェア命令を使用して実施される。
【００９６】
ディスカバリデータベース（ＤＤ）５２２およびパスデータベース（ＰＤ）５２４は、それぞれ、メモリ５２０のエンジンおよびツールのさまざまな１つおよび／または組合せによって生成され、使用される可能性があるデータを格納する。ＤＤ５２２およびＰＤ５２４を、単一のデータベースに組み合わせることができ、あるいは、それぞれのデータベースとして実施することができる。組み合わされたデータベースまたはそれぞれのデータベースのいずれかを、当業者に既知の配置のいずれかで単一のデータベースまたは複数のデータベースとして実施することができる。
【００９７】
エンジン、データベース、およびツールのそれぞれがメモリ１２０内に格納される実施形態に関して図示され、説明されるが、当業者は、エンジン、データベース、および／またはツールを、ＭＳ５００の内部および／またはＭＳ５００の外部の１つまたは複数の他のストレージデバイス内に格納できることを了解するであろう。エンジン、データベース、および／またはツールを、ＭＳ５００の内部および／または外部の任意の適切な個数および／またはタイプのストレージデバイスにまたがって分散させることができる。メモリ５２０のエンジン、データベース、およびツールのそれぞれを含むメモリ５２０を、本明細書でさらに詳細に説明する。
【００９８】
ネットワークインターフェース５３０Ｎは、ネットワーク１３０との通信を容易にするように適合される。たとえば、ネットワークインターフェース５３０Ｎは、ネットワーク１３０から情報（たとえば、ネットワークのトポロジを判定する際の使用のために適合されたディスカバリ情報、ネットワーク１３０に対してＭＳ５００によって開始されたテストの結果など、ならびにＭＳ５００によって実行される管理機能をサポートしてネットワーク１３０からＭＳ５００によって受信できる任意の他の情報）を受信するように適合される。同様に、たとえば、ネットワークインターフェース５３０Ｎは、ネットワーク１３０に情報（たとえば、ネットワークのトポロジを判定する際のＭＳ５００による使用のために適合された情報を発見するためのディスカバリ要求、ネットワーク１３０の諸部分を監査する監査要求など、ならびにＭＳ５００によって実行される監査機能をサポートしてＭＳ５００によってネットワーク１３０に送信できる任意の他の情報）を送信するように適合される。
【００９９】
ユーザインターフェース５３０Ｉは、１つまたは複数のユーザがネットワーク１３０の管理機能を実行することを可能にするために、１つまたは複数のユーザワークステーション（一例として、ユーザワークステーション５５０）との通信を容易にするように適合される。通信は、ユーザワークステーション５５０への通信（たとえば、ＭＳ５００によって生成された像を提示するため）およびユーザワークステーション５５０からの通信（たとえば、情報がユーザワークステーション５５０を介して提示される、ユーザ対話を受信するため）を含む。主にＭＳ５００とユーザワークステーション５５０との間の直接接続として図示され、説明されるが、ユーザワークステーション５５０をＭＳ５００に近接して（たとえば、ＭＳ５００とユーザワークステーション５５０との両方が、ネットワークオペレーションズセンタ（ＮＯＣ）内に配置される場合など）またはＭＳ５００から離れて（たとえば、ＭＳ５００とユーザワークステーション５５０との間の通信を長距離にわたってトランスポートできる場合など）配置できるように、ＭＳ５００とユーザワークステーション５５０との間の接続を、任意の適切な基礎になる通信能力を使用して提供できることを了解されたい。
【０１００】
主に本明細書では１つのユーザワークステーションに関して図示され、説明されるが、任意の個数のユーザが、ネットワーク１３０の管理機能を実行できるように（たとえば、ＮＯＣの専門家のチームが、ネットワーク１３０のさまざまな管理機能を実行するためにそれぞれのユーザワークステーションを介してＭＳ５００にアクセスする場合など）、ＭＳ５００が、任意の適切な個数のユーザワークステーションと通信できることを了解されたい。主にユーザワークステーションに関して図示され、説明されるが、ユーザインターフェース５３０Ｉが、ＭＳ５００を介してネットワーク１３０を管理する際の使用に適する任意の他のデバイスとの通信をサポートするように適合されていてもよいことを了解されたい（たとえば、１つまたは複数の共通のＮＯＣディスプレイ画面上にＭＳ５００によって生成された像を表示するため、リモートコンピュータを介するユーザによるＭＳ５００へのリモート仮想プライベートネットワーク（ＶＰＮ）アクセスを可能にするためなど、ならびにそのさまざまな組合せ）。管理システムとの対話を介して管理機能を実行するためのユーザワークステーションの使用は、当業者によって理解されるであろう。
【０１０１】
本明細書で説明するように、メモリ５２０は、メモリは、ディスカバリエンジン（ＤＥ）５２１、ディスカバリデータベース（ＤＤ）５２２、相関エンジン（ＣＥ）５２３、パスデータベース（ＰＤ）５２４、アナライザツール（ＡＮＴ）５２５、監査ツール（ＡＵＴ）５２６、トレースツール（ＴＴ）５２７、サービス作成エンジン（ＳＣＥ）５２８、サービスデータベース（ＳＰ）５２９、およびオプションで公平性管理ツール（ＦＭＴ）方法（図示せず）を含む。本明細書で図示され説明されるさまざまな管理機能を提供するために協働するＤＥ５２１、ＤＤ５２２、ＣＥ５２３、ＰＤ５２４、ＡＮＴ５２５、ＡＵＴ５２６、ＴＴ５２７、およびＦＭＴ５２８。本明細書では主にメモリ５２０のエンジン、データベース、および／またはツールのうちの特定の１つによっておよび／またはこれを使用して実行される特定の機能に関して図示され説明されるが、本明細書で図示され説明される管理機能のいずれをも、メモリ５２０のエンジン、データベース、および／またはツールのうちの任意の１つまたは複数によっておよび／またはこれを使用して実行できることを了解されたい。
【０１０２】
エンジンおよびツールを、任意の適切な形でアクティブ化することができる。一実施形態では、たとえば、エンジンおよびツールを、ユーザワークステーションを介してユーザによって開始される手動要求に応答して、ＭＳ５００によって開始される自動化された要求に応答してなど、ならびにそのさまざまな組合せでアクティブ化することができる。
【０１０３】
たとえば、エンジンまたはツールが自動的にアクティブ化される場合に、エンジンまたはツールを、スケジューリングされた要求に応答して、ＭＳ５００で実行される処理に基づいてＭＳ５００によって開始される要求に応答して（たとえば、ＣＥ５２３によって生成された結果が、ＡＮＴ５２５を呼び出さなければならないことを示す場合など、ＡＮＴ５２５によって実行された監査の結果が、ＴＴ５２７を呼び出さなければならないことを示す場合など、ＴＴによって実行されたモバイルセッションパストレースの結果が、ＦＭＴ５２８を呼び出さなければならないことを示す場合など、ならびにその組合せ）アクティブ化することができる。ＭＳ５００のエンジン、データベース、およびツールの説明を、これに続ける。
【０１０４】
一実施形態では、自動的にトリガされたエンジンまたはツールが、コンピューティングリソースまたは他のリソースをしきいレベルを超えて消費し始める場合に、そのエンジンまたはツールの後続の自動トリガリングは、制約される。この実施形態では、ネットワークマネージャまたは運用職員がエンジンまたはツールの直接制御または手動制御を引き受けられるように、制約された自動トリガリング条件を示すアラームまたはステータスインジケータが、ネットワークマネージャに提供される。
【０１０５】
包括的ネットワーク実施形態
上で説明した実施形態は、レベル３（Ｌ３）仮想プライベートネットワーキング（ＶＰＮ）サービス、ＶＰＲＮ、ＩＥＳ、および／または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間でセキュアトンネリングをサポートするのに必要なサービスを使用可能にするために、既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワーク（たとえば、企業ネットワーク）は、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護される（たとえば、企業ネットワークまたは他のセキュアネットワークへのＩＰＳｅｃ接続）。
【０１０６】
セキュアゲートウェイ（ＳＥＧ）実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、そのルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するＩＰＳｅｃトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザＩＰＳｅｃトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコル（たとえば、Ｌ２  ＶＰＮ）を保持することができる。
【０１０７】
さまざまな実施形態は、複数のネットワーク環境のいずれの中でも動作可能である。一般的に言って、さまざまな実施形態は、後続のディスカバリ機能および構成機能を含むさまざまな管理機能をより効率的に実施できるように、非セキュアネットワーク内のトランスポート層要素が発見され、構成され、これらのトランスポート層要素によってサポートされるパスと相関される機構をサポートするシステム、装置、方法論、機能、プログラム、トポロジなどを提供する。
【０１０８】
ＬＴＥネットワーク実施形態を使用する詳細な実施例
さまざまな実施形態を、これからＬＴＥネットワークの環境で説明する。具体的には、ネットワーク分析機能、故障分析機能、監査機能、トレーシング機能、公平性または帯域幅管理機能などを含むさまざまな管理機能をＬＴＥ関連ネットワーク環境に関して詳細に説明する。本教示によって情報を与えられた当業者は、ＬＴＥ関連ネットワーク環境に関して本明細書で説明されるシステム、装置、方法論、機能、プログラム、トポロジなどが、上で説明したさまざまなネットワークなどの他のネットワーク環境ならびに他のタイプのネットワーク、システム、トポロジなどにも適用可能であることを了解するであろう。
【０１０９】
ＬＴＥの実施例を使用するパスおよびトランスポート層要素の相関
さまざまな実施形態は、トランスポート層要素とそれらがサポートするＩＰＳｅｃパスとの間の既知の相関を利用する。本明細書の説明に従うＩＰＳｅｃ関連管理機能、ツール、方法、装置、システムデータ構造などの提供など、ＩＰＳｅｃに関して本明細書で説明するさまざまな実施形態のいずれをも、お互いおよび下で説明するさまざまな実施形態のいずれかと任意の形で組み合わせることができる。
【０１１０】
管理能力は、第４世代（４Ｇ）ロングタームエボリューション（ＬＴＥ）無線ネットワークを管理するために提供される。管理能力は、アナライザツール、監査ツール、トレースツール、実施ツールなど、ならびにその組合せのうちの１つまたは複数を含むことができる。本明細書では主に４Ｇ  ＬＴＥ無線ネットワーク内での管理機能の提供の環境で図示され、説明されるが、本明細書で図示され説明される管理機能を、他のタイプの無線ネットワーク内で利用できることを了解されたい。
【０１１１】
図６に、一実施形態による管理システムを含む例示的な無線通信システムを示す。具体的には、図６は、複数のユーザ機器（ＵＥ）またはユーザデバイス（ＵＤ）６０２、ロングタームエボリューション（ＬＴＥ）ネットワーク６１０、ＩＰネットワーク６３０、および管理システム（ＭＳ）６４０を含む例示的な無線通信システム６００を示す。ＬＴＥネットワーク６１０は、ＵＥ６０２とＩＰネットワーク６３０との間の通信をサポートする。ＭＳ６４０は、図５のＭＳ５００に関して説明され、本明細書でさらに説明されるものなどのＬＴＥネットワーク６１０のさまざまな管理機能をサポートするように構成される。
【０１１２】
ＵＥ６０２は、ＬＴＥネットワーク６１０などの無線ネットワークにアクセスできる無線ユーザデバイスである。ＵＥ６０２は、ベアラセッションをサポートする制御シグナリングをサポートすることができる。ＵＥ６０２を、電話機、ＰＤＡ、コンピュータ、または任意の他の無線ユーザデバイスとすることができる。
【０１１３】
ＬＴＥネットワーク６１０は、例示的なＬＴＥネットワークである。ＬＴＥネットワークの構成および動作は、当業者によって理解されるであろう。例示的なＬＴＥネットワーク６１０は、２つのｅＮｏｄｅＢ６１１１および６１１２（集合的にｅＮｏｄｅＢ６１１）、２つのサービングゲートウェイ（ＳＧＷ）６１２１および６１２２（集合的にＳＧＷ６１２）、パケットデータネットワーク（ＰＤＮ）ゲートウェイ（ＰＧＷ）６１３、２つの移動管理エンティティ（ＭＭＥ）６１４１および６１４２（集合的にＭＭＥ６１４）、ならびにＰｏｌｉｃｙ  ａｎｄ  Ｃｈａｒｇｉｎｇ  Ｒｕｌｅｓ  Ｆｕｎｃｔｉｏｎ（ＰＣＲＦ）６１５を含む。ｅＮｏｄｅＢ６１１は、ＵＥ６０２に無線アクセスインターフェースを提供する。ＳＧＷ６１２、ＰＧＷ６１３、ＭＭＥ６１４、およびＰＣＲＦ６１５ならびに明瞭さのために省略されている他のコンポーネントは、ＩＰを使用するエンドツーエンドサービス配信をサポートする進化型パケットコア（Ｅｖｏｌｖｅｄ  Ｐａｃｋｅｔ  Ｃｏｒｅ：ＥＰＣ）ネットワークを提供するために協働する。
【０１１４】
ｅＮｏｄｅＢ６１１は、ＵＥ６０２の通信をサポートする。図６に示されているように、各ｅＮｏｄｅＢ６１１は、それぞれの複数のＵＥ６０２をサポートする。ｅＮｏｄｅＢ６１１とＵＥ６０２との間の通信は、ＵＥ６０２のそれぞれに関連するＬＴＥ−Ｕｕインターフェースを使用してサポートされる。
【０１１５】
ＳＧＷ６１２は、ｅＮｏｄｅＢ６１１の通信をサポートする。図６に示されているように、ＳＧＷ６１２１は、ｅＮｏｄｅＢ６１１１の通信をサポートし、ＳＧＷ６１２２は、ｅＮｏｄｅＢ６１１２の通信をサポートする。ＳＧＷ６１２とｅＮｏｄｅＢ６１１との間の通信は、それぞれのＳ１−ｕインターフェースを使用してサポートされる。Ｓ１−ｕインターフェースは、ベアラごとのユーザプレーントンネリングおよびハンドオーバ中のｅＮｏｄｅＢ間パススイッチングをサポートする。
【０１１６】
ＰＧＷ６１３は、ＳＧＷ６１２の通信をサポートする。ＰＧＷ６１３とＳＧＷ６１２との間の通信は、それぞれのＳ５／Ｓ８インターフェースを使用してサポートされる。Ｓ５インターフェースは、ＰＧＷ６１３とＳＧＷ６１２との間の通信のユーザプレーントンネリングおよびトンネル管理、ＵＥモビリティに起因するＳＧＷ再配置などの機能を提供する。Ｓ８インターフェースは、Ｓ５インターフェースのＰｕｂｌｉｃ  Ｌａｎｄ  Ｍｏｂｉｌｅ  Ｎｅｔｗｏｒｋ（ＰＬＭＮ）変形形態であるが、ビジタＰＲＬＭ（ＶＰＲＬＭ）内のＳＧＷとホームＰＬＭＮ（ＨＰＬＭＮ）内のＰＧＷとの間のユーザプレーンおよび制御プレーンの接続性を提供するＰＬＭＮ間インターフェースを提供する。ＰＧＷ６１３は、ＬＴＥネットワーク６１０とＩＰネットワーク６３０との間のＳＧｉインターフェースを介する通信を容易にする。
【０１１７】
ＭＭＥ６１４は、ＵＥ６０２のモビリティをサポートするモビリティ管理機能を提供する。ＭＭＥ６１４は、ｅＮｏｄｅＢ６１１をサポートする。ＭＭＥ６１４１は、ｅＮｏｄｅＢ６１１１をサポートし、ＭＭＥ６１４２は、ｅＮｏｄｅＢ６１１２をサポートする。ＭＭＥ６１４とｅＮｏｄｅＢ６１１との間の通信は、それぞれのＳ１−ＭＭＥインターフェースを使用してサポートされ、このＳ１−ＭＭＥインターフェースは、ＭＭＥ６１４とｅＮｏｄｅＢ６１１との間の通信の制御プレーンプロトコルを提供する。
【０１１８】
ＰＣＲＦ６１５は、動的管理能力を提供し、それによってサービスプロバイダがＬＴＥネットワーク６１０を介して提供されるサービスに関連するルールおよびＬＴＥネットワーク６１０を介して提供されるサービスの課金に関連するルールを管理できる。
【０１１９】
図６に示されているように、ＬＴＥネットワーク６１０の要素は、要素の間のインターフェースを介して通信する。ＬＴＥネットワーク６１０に関して説明されるインターフェースを、セッションと称する場合もある。
【０１２０】
ＬＴＥネットワーク６１０は、進化型パケットシステム／ソリューション（Ｅｖｏｌｖｅｄ  Ｐａｃｋｅｔ  Ｓｙｓｔｅｍ／Ｓｏｌｕｔｉｏｎ：ＥＰＳ）を含む。一実施形態では、ＥＰＳは、ＥＰＳノード（たとえば、ｅＮｏｄｅＢ６１１、ＳＧＷ６１２、ＰＧＷ６１３、ＭＭＥ６１４、およびＰＣＲＦ６１５）と、ＥＰＳ関連相互接続性（たとえば、Ｓ＊インターフェース、Ｇ＊インターフェースなど）を含む。ＥＰＳ関連インターフェースを、本明細書ではＥＰＳ関連パスと称する場合がある。
【０１２１】
ＩＰネットワーク６３０は、それを介してＵＥ６０２がコンテンツ、サービスなどにアクセスできる１つまたは複数のパケットデータネットワークを含む。
【０１２２】
ＭＳ６４０は、ＬＴＥネットワーク６１０を管理する管理機能を提供する。ＭＳ６４０は、任意の適切な形でＬＴＥネットワーク６１０と通信することができる。一実施形態では、たとえば、ＭＳ６４０は、ＩＰネットワーク６３０を通過しない通信パス６４１を介してＬＴＥネットワーク６１０と通信することができる。一実施形態では、たとえば、ＭＳ６４０は、ＩＰネットワーク６３０によってサポートされる通信パス６４２を介してＬＴＥネットワーク６１０と通信することができる。通信パス６４１および６４２を、任意の適切な通信能力を使用して実施することができる。図６のＭＳ６４０としての使用に適する例示的な管理システムが、図５に関して図示され、説明されている。
【０１２３】
図６は、さらに、例示的なモバイルサービス６０１に関連するパスを示す。図６に示されているように、例示的なモバイルサービス６０１は、ｅＮｏｄｅＢ１１１１、ＳＧＷ１１２１、ＰＧＷ１１３、ｅＮｏｄｅＢ１１１１とＳＧＷ１１２１との間のＳ１−ｕインターフェース、ＳＧＷ１１２１とＰＧＷ１１３との間のＳ５／Ｓ８インターフェース、ＰＧＷ１１３とＩＰネットワーク１３０との間のＳＧｉインターフェース、ｅＮｏｄｅＢ１１１１とＭＭＥ１１４１との間のＳ１−ＭＭＥインターフェース、ＳＧＷ１１２１とＭＭＥ１１４１との間のＳ１−ｕインターフェース、およびＰＧＷ１１３とＰＣＲＦ１１５との間のＳ７インターフェースを含む。例示的なモバイルサービス６０１は、図６では実線表現を使用してマークされている。オプションの実施形態は、たとえば、ＭＭＥ１１４１およびＰＣＲＦ１１５を含むことができる。
【０１２４】
ＥＰＳパスＩＰＳｅｃインフラストラクチャ相関
図６に関して前に注記したように、ＬＴＥネットワーク１１０のさまざまな実施形態は、ＥＰＳノード（たとえば、ｅＮｏｄｅＢ１１１、ＳＧＷ１１２、ＰＧＷ１１３、ＭＭＥ１１４、およびＰＣＲＦ１１５）を有するＥｖｏｌｖｅｄ  Ｐａｃｋｅｔ  Ｓｙｓｔｅｍ／Ｓｏｌｕｔｉｏｎ（ＥＰＳ）インフラストラクチャおよびＥＰＳ関連相互接続性（たとえば、Ｓ＊インターフェース、Ｇ＊インターフェースなど）を含む。この本開示の環境で、ＥＰＳ関連インターフェースを、本明細書ではＥＰＳ関連パスまたは単にパスと称する。
【０１２５】
このインフラストラクチャは、ネットワークサービスプロバイダによって提供される無線サービスをサポートする適切なおよび必要なＥＰＳノードを提供するために構築される。ネットワークサービスプロバイダは、消費者の期待と一致する形でそのサービス提供をその無線／モバイルユーザに提供するためにネットワークを管理する。たとえば、無線／モバイルユーザ（たとえば、さまざまな音声、データ、または他のサービス提供を購入する、標準電話機、スマートホン、コンピュータなどのユーザ）は、ほぼ完全な電話／音声サービス、ほぼ完全なデータサービス、欠陥のないストリーミングメディアなどを期待する。彼ら自体のユーザのためにサービスバンドルを購入するサードパーティサービスプロバイダは、同一のものならびにさまざまなネットワークの間でインターオペラビリティを提供する管理レベルインターフェースおよび他の機構を期待する。顧客期待は、仮定されるまたは期待されるサービスのレベル、サービスレベル契約（ＳＬＡ）で定義されるサービスのレベルなどを含むことができる。
【０１２６】
さまざまな実施形態は、各ＥＰＳ関連相互接続がその機能性をサポートするのに必要な特定のインフラストラクチャに相関されるネットワーク管理システムおよびツールを対象とする。すなわち、ＥＰＳ関連パスごとに、障害を発生するか劣化する場合に関連するＥＰＳ関連パスの障害または劣化をもたらすネットワーク要素、部分要素、リンクなどを含む、そのパスをサポートするのに必要な特定のインフラストラクチャへの関連付けが行われる。
【０１２７】
どのトラフィックフローまたはパスが、必要なサポート要素として要素、部分要素、またはリンクを含むのかを理解することによって、ネットワーク管理システムは、どのトラフィックフローまたはパスが、特定の要素、部分要素、またはリンクの劣化／障害によって影響を受けるのかを知ることができる。さらに、ネットワーク管理システムは、どのＩＰＳｅｃトンネルが特定のトラフィックフローまたはパスの劣化／障害によって影響を受けるのかを知ることができる。これは、他所でより詳細に論ずるように、分析ツールの環境で特に有用である。
【０１２８】
同様に、どのＩＰＳｅｃトンネル、トラフィックフロー、またはパスが障害を発生しまたは劣化したのかを理解することによって、ネットワーク管理システムは、どの要素、部分要素、またはリンクがそのＩＰＳｅｃトンネル、トラフィックフロー、またはパスをサポートするのに必要であるのかを識別することができる。この形で、ネットワークマネージャは、障害を発生しまたは劣化したＩＰＳｅｃトンネル、トラフィックフロー、またはパスに関連する障害を発生／劣化した要素部分要素、部分要素、および／またはリンクを識別することの複雑さを減らす。これは、本明細書で詳細に論ずるように、トレースツールの環境で特に有用である。
【０１２９】
相関の環境で、管理システムは、ネットワーク要素または部分要素の間の接続ごとにサービス表現を作成することができる。
【０１３０】
さまざまな実施形態では、物理レベル（たとえば、ケーブルまたは他の物理レベルリンク）またはサービスレベル（たとえば、一般化されたクラウドまたは他のサービスレベルリンク）の一方または両方のポートの間で、接続が設けられる。
【０１３１】
１つの物理レベル接続実施形態では、第１のネットワーク要素（ＮＥ）上のポート（または他の部分要素）が障害を発生する場合に、第２のＮＥ上の対応するまたは接続されたポート（または他の部分要素）は、リンクダウンステータス（ＬＬＤＰ）を示す。この形で、第２のＮＥは、第１のＮＥの障害を知る。他の物理レベル接続実施形態では、そのような知ることが、ルータもしくはスイッチおよび／またはそのさまざまな部分要素など、隣接するネットワーク要素の環境で提供される。
【０１３２】
１つのサービスレベル実施形態では、第１のＮＥ上のポート（または他の部分要素）を、第２のＮＥ上のポート（または他の部分要素）に直接にまたは１つもしくは複数ＮＥの１つもしくは複数のポート（または他の部分要素）（すなわち、第１のＮＥと第２のＮＥとの間の複数ホップ）を介して接続することができる。この実施形態では、第１のＮＥまたはいずれかの中間ＮＥ上のポート（または他の部分要素）が障害を発生するか劣化する場合に、管理システムは、ＮＥのシーケンス内の最後のＮＥの動作ステータスに起因して、障害／劣化が存在することを知らない場合がある。しかし、本明細書で論ずる管理技法およびツールに起因して、ネットワークマネージャは、最初のまたは中間の障害／劣化を知らされる。この挙動のさまざまな原因は、輻輳、ローカル／地域再ルーティングなどを含む。短く言うと、ステータスインジケータは緑（適切な動作を示す）であるが、ネットワークのこの部分の性能が、制約されるか劣化している。この制約されたまたは劣化したネットワーク動作は、本明細書で論ずるさまざまな実施形態によって相関され、示される。
【０１３３】
ディスカバリツール／機能
ディスカバリエンジン（ＤＥ）５２１は、一般に、ＬＴＥネットワーク１１０に関する情報を発見するネットワークディスカバリ機能を提供するように適合される。一般的に言って、ＤＥ５２１は、下でより詳細に述べるように、ネットワークを形成する要素および部分要素に関する構成情報、ステータス／動作情報、および接続情報が収集され、取り出され、推論され、かつ／または生成される、ディスカバリプロセスを実行する。
【０１３４】
ＬＴＥネットワーク内の基礎になる要素、部分要素、およびリンクが、ローカルネットワーク適合、再ルーティング、障害、劣化、スケジューリングされた保守などに起因して経時的に変化し得るという点で、ディスカバリプロセスを動的とすることができる。したがって、ネットワーク変化がＡＮＴ５２５、ＡＵＴ５２６、ＴＴ５２７、およびＦＭＴ５２８によって検出されるか引き起こされた後に、ＤＥ５２１を呼び出すことができる。
【０１３５】
第１のディスカバリレベルでは、ネットワーク管理システム（ＮＭＳ）は、任意のレガシデータベース情報を使用して、管理されるネットワークを形成するさまざまな要素（および対応する部分要素）を発見する。すなわち、このディスカバリの一部は、管理されるネットワークの全体的な青写真を提供する既存データベース情報の使用を含む。そのようなデータベース内の情報は、ネットワークを形成する主要な機能要素、ネットワーク内で確立される主要なパイプまたは導管などに関連する情報を含む。そのような情報が、極端に詳細である場合があるが、その情報は、パスレベルネットワーク動作を反映しない。
【０１３６】
第２のディスカバリレベルでは、ネットワーク管理システムは、管理されるネットワーク内のネットワーク要素のそれぞれに、構成情報、ステータス／動作情報、および接続情報を要求する。要求される情報は、さまざまなトラフィックフローをサポートする、ネットワーク要素内の特定のスイッチ、ポート、バッファ、プロトコルなどを判定する際に有用な情報を含む。
【０１３７】
ネットワーク管理システムは、ネットワーク要素と部分要素との間の可能な接続および管理されるネットワーク内の接続を推論するために、既存のデータベース情報を利用することもできる。たとえば、既存のデータベース情報を、接続されたネットワーク要素の間のトラフィックフローをサポートできる、その接続されたネットワーク要素のシーケンスを示すものと解釈することができる。しかし、既存のデータベース情報は、さまざまなトラフィックフローをサポートするネットワーク要素内の受信／送信されるパケットなどの特定のスイッチ、ポート、バッファ、プロトコル、アドレス情報を識別する情報を含まない可能性が高い。
【０１３８】
構成情報は、ネットワーク要素、ネットワーク要素の機能および／または構成、ネットワーク要素を形成する部分要素の機能および／または構成などを識別する情報を含む。構成情報は、一例として、ネットワーク要素のタイプ、ネットワーク要素によってサポートされるプロトコル、ネットワーク要素によってサポートされるサービスなどを識別する情報を含むが、これに限定されない。構成情報は、一例として、ネットワーク要素を形成する部分要素に関連する入力ポート、スイッチ、バッファ、および出力ポートなど、ネットワーク要素内のさまざまな部分要素に添付する情報を含む。
【０１３９】
ステータス／動作情報は、ネットワーク要素および／またはネットワーク要素を形成する部分要素の動作状態に関連するステータス／動作情報を含む。ステータス／動作情報は、一例として、パケットカウント、利用レベル、コンポーネント合格／不合格表示、ビットエラー率（ＢＥＲ）などのメトリックに関する情報を含む動作ステータス／アラームインジケータを提供する情報を含むが、これに限定されない。
【０１４０】
接続情報は、ネットワーク要素またはその部分要素から受信されたデータのソース、ネットワーク要素またはその部分要素によって送信されるデータの宛先、その他など、ネットワーク要素および／または部分要素の間の接続を確かめまたは推論する際に有用な情報を含む。すなわち、接続情報は、ネットワーク要素によって提供される、ネットワーク要素の主観的な観点からの情報である。ネットワーク要素は、必ずしも、そこからパケットを受信するネットワーク要素またはそれに向かってパケットを送信するネットワーク要素を具体的に識別する情報を有しない。
【０１４１】
接続情報は、一例として、受信されたパケットに関連するソースアドレス情報、送信されるパケットに関連する宛先アドレス情報、パケットフローに関連するプロトコル情報、パケットフローに関連するサービス情報、ディープパケットインスペクション結果データなどを含むが、これに限定されない。
【０１４２】
第３のディスカバリレベルでは、ネットワーク管理システムは、発見された情報を使用して、ネットワークのインフラストラクチャを形成する要素、部分要素、およびリンクのそれぞれ、ならびにそれらのそれぞれのさまざまな相互接続を表す詳細なフレームワークを形成する。
【０１４３】
一般的に言って、ＤＥ５２１は、ＬＴＥネットワーク１１０に関連する任意の適切な情報を発見し、この情報は、本明細書では集合的にディスカバリ情報と呼ばれる場合があり、構成情報、ステータス／動作情報、および接続情報にさらに分割される。
【０１４４】
さまざまな実施形態では、ＤＥ５２１は、ＬＴＥネットワーク１１０のコンポーネントと、ＬＴＥネットワーク１１０のコンポーネントに関連した情報、そのようなネットワーク要素（ＥＰＣネットワーク要素、非ＥＰＣネットワーク要素など）、ネットワーク要素の部分要素（たとえば、シャシー、トラフィックカード、制御カード、インターフェース、ポート、プロセッサ、メモリなど）、ネットワーク要素を接続する通信リンク、ネットワーク要素の間の通信をサポートするインターフェース／セッション（たとえば、ＬＴＥ−Ｕｕセッション、Ｓ＊セッションなど）、基準点、機能、サービスなど、ならびにその組合せに関連する情報とを発見する。
【０１４５】
ＤＥ５２１は、ＬＴＥネットワーク１１０のネットワーク要素（たとえば、ｅＮｏｄｅＢ１１１、ＳＧＷ１１２、ＰＧＷ１１３、ＭＭＥ１１４、ＰＣＲＦ１１５などのＥＰＣネットワーク要素、ＥＰＣネットワーク要素の間のセッションを介する通信を容易にする非ＥＰＣネットワーク要素など、ならびにその組合せ）を発見することができる。ＤＥ５２１は、ＬＴＥネットワーク１１０のネットワーク要素（たとえば、ディスカバリが実行されるネットワーク要素のタイプに依存するものとすることができる、シャシー構成、ラインカード、ラインカード上のポート、プロセッサ、メモリなど）に関連するネットワーク要素構成情報を発見することができる。ＤＥ５２１は、インターフェース／セッション情報（たとえば、ＬＴＥ−Ｕｕセッションに関連する情報、Ｓ＊セッションに関連する情報など、ならびにその組合せ）を発見することができる。ＤＥ５２１は、ＬＴＥネットワーク１１０の基準点を発見することができる。ＤＥ５２１は、機能、サービスなど、ならびにその組合せを発見することができる。ＤＥ５２１は、ＬＴＥネットワーク１１０に関連する、本明細書で図示され説明されるさまざまな管理機能の提供での使用に適するか適する可能性がある任意の他の情報を発見することができる。
【０１４６】
ＤＥ５２１は、任意の適切な形で（たとえば、任意の適切なソースから、任意の適切な時に、任意の適切なプロトコルを使用して、任意の適切なフォーマットでなど、ならびにその組合せ）ＬＴＥネットワーク１１０に関連する情報を発見することができる。
【０１４７】
発見された情報は、ネットワーク運用職員および／または他のユーザによる素早い取出を容易にするために、ディスカバリデータベース（ＤＤ）５２２など、１つまたは複数のデータベース内に格納される。ＤＤ５２２は、当業者によって理解されるように、任意の適切なフォーマットでディスカバリ情報を格納することができる。ＤＤ５２２は、ＣＥ５２３による使用のために、およびオプションでそれぞれの管理機能を提供するためのＡＮＴ５２５、ＡＵＴ５２６、ＴＴ５２７、およびＦＭＴ５２８のうちの１つまたは複数による使用のために、ディスカバリ情報のリポジトリを提供する。
【０１４８】
相関エンジンツール／機能
相関エンジン（ＣＥ）５２３は、本明細書で図示され説明される管理機能をサポートするのに使用される情報の相関を提供する。ＣＥ５２３は、発見されたネットワーク要素機能、部分要素機能、およびリンク機能を顧客サービスをサポートする特定の顧客トラフィックフローおよび／またはパスに相関させるために、一例としてＤＥ５２１によって提供され、ＤＤ５２２内に格納された、構成情報、ステータス／動作情報、および／または接続情報を利用する。すなわち、ネットワーク内の要素、部分要素、およびリンクのそれぞれとそれらのさまざまな相互接続とを表すフレームワークを使用して、ＣＥ５２３は、各顧客サービス、トラフィックフロー、および／またはＥＰＳパスを、顧客サービス、トラフィックフロー、および／またはパスをサポートするのに必要な特定の要素、部分要素、およびリンクに相関させる。
【０１４９】
相関プロセスは、任意の所与のパスについて、そのパスをサポートする基礎になる要素、部分要素、およびリンクが、ローカルネットワーク適合、再ルーティング、障害、劣化、スケジューリングされた保守などに起因して経時的に変化する可能性があるという点で、動的とすることができる。したがって、ネットワーク変化がＡＮＴ５２５、ＡＵＴ５２６、ＴＴ５２７、およびＦＭＴ５２８のいずれかによって検出されまたは引き起こされた後に、ＣＥ５２３を呼び出すことができる。
【０１５０】
ＣＥ５３３は、各顧客サービス、トラフィックフロー、および／またはパスに関連する必要なサポートするインフラストラクチャの現在の表現を維持するように動作する。この表現を提供することによって、顧客サービスの障害または劣化に対応する労力の焦点を、影響を受ける顧客サービスをサポートする特定の要素、部分要素、およびリンクの機能に合わせることができる（たとえば、トレースツール（ＴＴ）５２７を使用することによって）。同様に、要素、部分要素、およびリンク機能の障害または劣化に応答する労力の焦点を、影響を受ける要素、部分要素、およびリンク機能によってサポートされる特定の顧客および／またはサービスに合わせることができる。
【０１５１】
通常、特定の要素内の部分要素の小さいサブセットだけが、特定のパスをサポートするのに必要である。したがって、ある要素内の他の部分要素に関連する障害は、その特定のパスに影響しない。各パスに、そのパスをサポートするのに必要な要素だけを相関させることによって、個々のパスを管理することに関連する処理／ストレージの重荷が、必須でない（特定のパスの観点から）要素に関連する処理／ストレージ要件を回避することによって減らされる。
【０１５２】
一実施形態では、ＣＥ５２３は、ＬＴＥネットワーク１１０のパスをサポートする基礎になるトランスポート要素を判定するために、ディスカバリデータベース（ＤＤ）５２２内に格納されたディスカバリ情報を処理し、その後にパスデータベース（ＰＤ）５２４内に格納することができる。一実施形態では、ＣＥ５２３によって判定されＰＤ５２４に格納されるパス相関されたトランスポート要素情報は、ＬＴＥネットワーク１１０のＥＰＳ関連パスを含む。一般に、ＥＰＳ関連パスは、２つのＥＰＳ基準点の間のピアリング関係を表すトランスポート機構であるパスであり、ここで、ＥＰＳ基準点は、４Ｇ仕様に存在するプロトコルのうちの１つまたは複数を実施する（たとえば、ＧＴＰ、ＰＭＩＰ、または任意の他の適切なプロトコルなど、ならびにその組合せを使用して）ＬＴＥネットワーク１１０の任意のノードの終端点である。パス相関されたトランスポート要素情報は、ネットワーク要素、通信リンク、サブネット、プロトコル、サービス、アプリケーション、層、およびその任意の部分を含むことができる。これらのトランスポート要素を、ネットワーク管理システムまたはその諸部分によって管理することができる。ネットワーク管理システムは、単に、これらのトランスポート要素を知ることができる。
【０１５３】
一実施形態では、ＣＥ５２３によって判定されＰＤ５２４に格納されるパス相関されたトランスポート要素情報は、他のタイプのパス（たとえば、ＥＰＳ関連パス以外のパス）を含む。たとえば、他のタイプのパスは、次のうちの１つまたは複数を含むことができる：（１）ＥＰＳ関連パスの副部分を形成するパス（たとえば、ＥＰＳ関連パスが基礎になる通信技術を使用してサポートされる場合に、ＥＰＳ関連パスの副部分を形成するパスを、基礎になる通信技術に関連するパスとすることができる、（２）複数のＥＰＳ関連パスを含むパス（たとえば、Ｓ１−ｕセッションとＳ５／Ｓ８セッションとの両方を通過するｅＮｏｄｅＢからＰＧＷへのパス、ＬＴＥ−ＵｕセッションとＳ１−ｕセッションとの両方を通過するＵＥからＳＷＧへのパスなど）、（３）エンドツーエンドモバイルセッションパス（たとえば、ＵＥとＩＰネットワークとの間のパス）。ＣＥ５２３によって判定されＰＤ５２４に格納されるパス相関されたトランスポート要素情報は、さまざまなタイプのパスと相関された他の情報を含むことができる。
【０１５４】
ＣＥ５２３によって判定されＰＤ５２４に格納されるパス相関されたトランスポート要素情報を、任意の適切な処理を使用して判定することができる。
【０１５５】
ＣＥ５２３は、ＬＴＥネットワーク１１０の発見されたコンポーネントの間で直接相関を行うように適合される。
【０１５６】
ＣＥ５２３は、ＬＴＥネットワーク１１０の発見されたコンポーネントの間の関連に関する推論を行うように適合される。
【０１５７】
一実施形態では、その中でＣＥ５２３が動作するネットワークマネージャは、異なるＥＰＳパス（Ｓ１−ｕを含む）のピアリングに関連する情報の実質的にすべてを含む。そのピアリング情報から、ＣＥ５２３は、パスの各端のノードを識別でき、その後、対応する隣接するノードを識別しまたは検査することができる。隣接ノード情報から、ＣＥ５２３は、次に、隣接するノードの次のグループを識別しまたは検査することができ、以下同様である。
【０１５８】
相関エンジンは、管理されるネットワーク要素からのパスを発見した時に、そのパスを処理し始める。相関エンジンは、パスの発見時に、そのパスをサポートするさまざまなインフラストラクチャ要素、部分要素、およびリンクを計算し、推論し、かつ／または他の形で発見する。一実施形態では、ＳＧＷ内の初期Ｓ１−ｕ基準点が発見される。任意の基準点またはＳ−ピアが発見される時に、次いで対応するＳ−パスが形成される。
【０１５９】
ＣＥ５２３によって判定されたパスは、任意の適切なパス情報をそれに関連付けさせることができる。一実施形態では、たとえば、ＥＰＳ関連パスに関連するパス情報は、ＥＰＳ関連パスをサポートする基礎になる通信能力を示すすべての情報を含むことができる。たとえば、ＥＰＳ関連パスのパス情報は、ＥＰＳ関連パスの端点を形成するＳ＊基準点を識別する情報、そのパスをサポートするネットワーク要素（たとえば、ルータ、スイッチなど）を識別する情報、そのパスをサポートするネットワーク要素上のポートを識別する情報、そのパスをサポートするＩＰインターフェースを識別する情報、そのパスをサポートするＩＰインターフェースの構成を指定する情報、そのパスをサポートするネットワーク要素のポートの構成を指定する情報（たとえば、管理構成、動作構成など）など、ならびにその組合せを含むことができる。
【０１６０】
さまざまな実施形態では、パスは、共通の要素、部分要素、リンク、サービス、プロバイダ、サードパーティサービス借主などに従って論理構造内で一緒にグループ化される。
【０１６１】
バンドルは、共通の端点要素、始点要素など、共通の要素を共有するパスの論理グループ化とすることができる。この環境では、バンドリングは、共通の要素の障害によって影響を受けるパスのすべてを識別するのに有用である。すなわち、共通のタイプの複数の他のネットワーク要素からの、特定のネットワーク要素で終端する複数のパスを、バンドルまたはグループと定義することができる。実施例は、「ＳＧＷｘと通信しているｅＮｏｄｅＢ要素のすべて」、ここで、ＳＧＷｘは、特定のＳＧＷを表す）または「ＰＧＷｘと通信しているＳＧＷのすべて」（ここで、ＰＧＷｘは、特定のＰＧＷを表す）を含む。上記および他のバンドルまたはグループを定義して、それらが接続される共通のネットワーク要素または部分要素に関して同様の位置を与えられているネットワーク要素または部分要素の素早い識別を可能にすることができる。
【０１６２】
相関された情報は、ネットワーク運用職員および／または他のユーザによる素早い取出を容易にするために、パスデータベース（ＰＤ）５２４などの１つまたは複数のデータベース内に格納される。ＰＤ５２４は、ＣＥ５２３によって判定されたパス相関されたトランスポート要素情報を格納する。ＰＤ５２４は、パス相関されたトランスポート要素情報および関連するパス情報を任意の適切なフォーマットで格納することができる。ＰＤ５２４は、ＡＮＴ５２５、ＡＵＴ５２６、ＴＴ５２７、およびＦＭＴ５２８の１つまたは複数による、それらのそれぞれの管理機能を提供するための使用のために、パスおよびネットワーク要素関連情報のリポジトリを提供する。
【０１６３】
図７に、一実施形態による管理システムによって実行されるディスカバリおよび相関プロセスを示す高水準ブロック図を示す。図７に示され、さまざまな図面に関して本明細書で説明されるように、例示的なＭＳ１４０によって実行されるディスカバリおよび相関プロセス７００は、ＤＥ５２１、ＤＤ５２２、ＣＥ５２３、およびＰＤ５２４によって実行される。ＤＥ５２１は、ＬＴＥネットワーク１１０に関連する情報を発見し、ディスカバリ情報をＤＤ５２２に格納し、ＤＥ５２１およびＤＤ５２２は、ＬＴＥネットワークのパスを識別するためにディスカバリ情報を相関する際およびＬＴＥネットワークの識別されたパスに関連するパス相関されたトランスポート要素情報をＰＤ５２４に格納する際のＣＥ５２３による使用のためにディスカバリ情報をＣＥ５２３に提供する。
【０１６４】
図８は、さまざまな実施形態での使用に適する例示的な管理システムによって実行されるディスカバリおよび相関プロセスを示す高水準ブロック図を示す。図８に示され、さまざまな図面に関して説明されるように、例示的なＭＳ１４０によって実行されるサービス作成および相関プロセス８００は、サービス作成エンジン５２８、相関エンジン５２３、パスデータベース５２４、およびサービスデータベース５２９によって実行される。
【０１６５】
サービス作成エンジン５２８は、ＬＴＥネットワーク１１０のトランスポート層インフラストラクチャによってサポートされるさまざまなパスの上で作成されるＩＰＳｅｃサービス層などのサービス層を生成し、サービス層情報をサービスデータベース５２９に格納する。サービス作成エンジン５２８は、サービス層を変更し、更新し、妥当性検査し、または他の形で変更することもでき、その場合には、サービスデータベース５２９内のサービス層情報も変更される。
【０１６６】
サービス作成エンジン５２８およびサービスデータベース５２９は、ＬＴＥネットワーク１１０の以前に識別されたパス（およびサポートするトランスポート層要素）にサービスを相関させる際ならびにサービス相関されたパスおよび拡張によってサービス相関されたパスＬＴＥネットワーク１１０に関連するトランスポート要素情報をＰＤ５２４内に格納する際のＣＥ５２３による使用のためにサービス情報をＣＥ５２３に提供する。図８のディスカバリおよび相関プロセス８００を、図１−５および対応するテキストを参照することによってよりよく理解することができる。
【０１６７】
アナライザツール（ＡＮＴ）５２５は、ＬＴＥネットワークのＥＰＳ要素をモバイルサービスに構造化する。一実施形態では、ＥＰＳ要素は、ＥＰＳネットワーク要素（たとえば、ｅＮｏｄｅＢ、ＳＧＷ、ＰＧＷ、ＭＭＥ、ＰＣＲＦ、および／または任意の他のＥＰＳ関連ネットワーク要素）およびＥＰＳネットワーク要素の間のＥＰＳ関連相互接続性（たとえば、Ｓ＊セッション、Ｇ＊セッションなど）を含む。たとえば、図１のＬＴＥネットワーク１１０に関して、ＡＮＴ５２５は、ＬＴＥネットワーク１１０のＥＰＳ要素をモバイルサービス（たとえば、ｅＮｏｄｅＢ１１１、ＳＧＷ１１２、ＰＧＷ１１３、ＭＭＥ１１４、ＰＣＲＦ１１５、Ｓ＊セッションなど）に構造化する。この形で、モバイルサービスは、ＥＰＳネットワーク要素およびＥＰＳネットワーク要素の間のＥＰＳ関連相互接続性の表現である。
【０１６８】
モバイルサービスは、ネットワーク要素ごとに、それに接続された他のネットワーク要素のすべてのリストを格納する。したがって、特定のｅＮｏｄｅＢについて、モバイルサービスは、そのｅＮｏｄｅＢが通信するＳＧＷおよびＰＧＷを含むリストを格納する。同様に、特定のＳＧＷについて、モバイルサービスは、そのＳＧＷが通信するｅＮｏｄｅＢおよびＰＧＷを含むリストを格納する。他の共通の要素またはアンカ要素を使用して、そのようなバンドルを形成することができる。これらの実施例は、それぞれ、アンカ要素または共通の要素としての特定のｅＮｏｄｅＢおよびアンカ要素または共通の要素としての特定のＳＧＷを企図するものである。他のアンカ要素または共通の要素を、さまざまな実施形態の環境で定義することができる。
【０１６９】
ＡＮＴ５２５は、任意の適切な情報を使用して、ＬＴＥネットワーク１１０のＥＰＳ要素をモバイルサービスに構造化することができる（たとえば、ＰＤ５２４からのＥＰＳ関連パスに相関された基礎になるトランスポート要素を使用して、ＤＤ５２２からのディスカバリ情報を処理することによってなど、ならびにその組合せ）。一実施形態では、ＡＮＴ５２５は、ＬＴＥネットワーク１１０の諸区域がＤＥ５２１によって発見される時にモバイルサービスを自動的に作成するように構成される。
【０１７０】
アナライザ機能／ツール
ＡＮＴ５２５は、ＬＴＥネットワークのサービスプロバイダが、ＬＴＥネットワークの縁のｅＮｏｄｅＢアクセスノードを介するＩＰコアネットワークからのサービス配信分散ネットワークのステータスの現在のビューを有することを可能にする。ＡＮＴ５２５は、ＬＴＥネットワークのサービスプロバイダが、論理レベルでＬＴＥネットワークのステータスを監視することを可能にする。これは、ＬＴＥネットワーク内のモバイルトラフィックの配信を妨げる可能性がある問題または潜在的問題を効率的に診断するのに有利である。たとえば、ＬＴＥネットワークの機器が動作している可能性があるが、ＳＧＷインスタンスの誤った構成が、モバイルトラフィックの配信をブロックしている場合がある。
【０１７１】
さまざまな実施形態では、他のネットワークパラメータが、本明細書で論じるさまざまなツールおよび技法によって監視され、その処理の対象になる。たとえば、各特定のＩＰｓｅｃトンネルの監視に加えて、特定のトンネルが属するＩＰｓｅｃサービスを監視することもできる。ＳＥＧ、パブリック＋プライベートＬ３ＶＰＮ、ＩＰｓｅｃカードおよびグループ、インターフェース、その他の監視など、有用な時にはいつでも、追加の監視を提供することができる。ＡＮＴ５２５は、たとえば、どのＥＰＳ要素が問題または潜在的問題の責任を負うのかを識別することと、その後、責任を負うＥＰＳ要素のどのコンポーネントが問題または潜在的問題の責任を負うのかをさらに識別することとによって、ＬＴＥネットワークのサービスプロバイダが、ＬＴＥネットワーク１１０のどのコンポーネントがＬＴＥネットワーク１１０のモバイルサービスレベルで識別される問題または潜在的問題の責任を負うのかを素早く簡単に識別することを可能にする。
【０１７２】
たとえば、これは、ＩＰＳｅｃトンネルまたはモバイルサービスレベルで、問題の責任を負う特定のＥＰＳネットワーク要素を識別することと、その後、問題の責任を負うＥＰＳネットワーク要素のコンポーネントを識別するために問題の責任を負うＥＰＳネットワーク要素を掘り下げることとを含む。ＥＰＳネットワーク要素のコンポーネントは、ＥＰＳネットワーク要素の任意のコンポーネント（たとえば、トラフィックカード、制御カード、ポート、インターフェース、プロセッサ、メモリなど）を含むことができる。
【０１７３】
ＡＮＴ５２５は、コンポーネント情報が望まれるＥＰＳ要素のタイプに依存するものとすることができる任意の適切な形でＥＰＳ要素を掘り下げることができる（たとえば、ＥＰＳネットワーク要素のコンポーネントを判定するためにＤＤ５２２内に格納されたディスカバリ情報を使用して、ＥＰＳ関連パスのコンポーネントを判定するためにＰＤ５２４内に格納されたパス相関されたトランスポート要素、部分要素、システム、および他の情報を使用してなど、ならびにその組合せ）。ＡＮＴ５２５は、ＡＮＴ５２５によって判定されたＩＰＳｅｃトンネルまたはモバイルサービスの１つまたは複数の管理機能を実行することができる。
【０１７４】
一実施形態では、ＡＮＴ５２５は、ＩＰＳｅｃトンネルまたはモバイルサービスに関連する統計を収集することができる（たとえば、ＩＰＳｅｃトンネルまたはモバイルサービスに関連するエンドツーエンド統計、ＩＰＳｅｃトンネルまたはモバイルサービスの個々のコンポーネントおよび／またはコンポーネントのサブセットに関連する統計など、ならびにその組合せ）。ＡＮＴ５２５は、ＩＰＳｅｃトンネルまたはモバイルサービスに関連する輻輳または今まさに起ころうとしている輻輳の存在を識別するために、収集された統計を分析することができる。ＡＮＴ５２５は、そのような分析に基づいて、輻輳を解決するか防止するための解決策を事前判定することができる。
【０１７５】
一実施形態では、ＡＮＴ５２５は、ＩＰＳｅｃトンネルまたはモバイルサービスを検証するために監査を開始することができる（たとえば、ＡＮＴ５２５によって現在維持されているＩＰＳｅｃトンネルまたはモバイルサービスのビューが正確であり、更新される必要がないことを保証するため、そのような更新が要求される場合にＩＰＳｅｃトンネルまたはモバイルサービスのビューを更新する際に使用するためなど、ならびにその組合せ）。
【０１７６】
一実施形態では、ＡＮＴ５２５は、ＩＰＳｅｃトンネルまたはモバイルサービスの運用、管理、および維持（Ｏｐｅｒａｔｉｏｎｓ，Ａｄｍｉｎｉｓｔｒａｔｉｏｎ，ａｎｄ  Ｍａｉｎｔｅｎａｎｃｅ：ＯＡＭ）テストを開始することができる。
【０１７７】
一実施形態では、ＡＮＴ５２５は、ＩＰＳｅｃトンネルまたはモバイルサービスの故障分析を実行することができる。ＡＮＴ５２５は、検出されたイベントを、その重要性に基づいて分類することができる。
【０１７８】
一実施形態では、ＡＮＴ５２５は、サービスプロバイダのネットワーク専門家にイベントのビジュアル表現（たとえば、イベントの位置、イベントのスコープなど）を与えるために表示されるように適合された像の生成を開始することができる。
【０１７９】
一実施形態では、ＡＮＴ５２５は、イベントのスコープおよび影響のよりよい理解を提供する追加情報を判定するために、イベントに関連するモバイルサービスのＯＡＭテスト（たとえば、ｐｉｎｇ、ｔｒａｃｅｒｏｕｔｅなど）を開始することができる。
【０１８０】
ＡＮＴ５２５は、ＡＮＴ５２５によって判定されたＩＰＳｅｃトンネルまたはモバイルサービスに関連する任意の他の適切な管理機能を実行することができる。
【０１８１】
一般的に言って、前に説明したようにネットワークマネージャがネットワーク要素およびその接続を発見した後に、アナライザツールを呼び出すことができる。サービスアウェアマネージャは、ＰＧＷ、ＳＧＷ、ｅＮｏｄｅＢ、ＭＭＥ、ＰＣＲＦ、ＳＧＳＮなどのＬＴＥタイプネットワーク要素を識別する。主に重要なのは、ＰＧＷ、ＳＧＷ、およびｅＮｏｄｅＢである。これらのネットワーク要素の間には、ネットワーク要素上の関連する基準点を有するＥＰＳパスがあり、ここで、ＥＰＳパス／基準点は、Ｓ１−ｕ、Ｓ５、ＳＧｉなどと表される。したがって、データベース内に格納されるのは、ＰＧＷ、ＳＧＷ、ｅＮｏｄｅＢなどのタイプ「ネットワーク要素」の、またはＥＰＳパスのタイプ「コネクタ」のモジュラコンポーネントのコレクションである。
【０１８２】
ネットワーク要素およびコネクタを発見した後に、サービスアウェアマネージャは、特定のｅＮｏｄｅＢを介してサービスされる顧客とＰＧＷでＩＰコアネットワークから受信されるデータストリームまたは他のサービスとの間のネットワーク要素およびコネクタのシーケンスなど、２タイプのモジュラコンポーネント（すなわち、ネットワーク要素およびコネクタ）のインスタンスを接続しまたは連結することによって、複数のＩＰＳｅｃトンネルまたはモバイルサービスを定義する。したがって、一実施形態では、モバイルサービスは、ネットワーク要素およびコネクタの連結されたシーケンスを含む構造またはラッパを含む。モバイルサービスを、特定の顧客、特定のｅＮｏｄｅＢ、特定のＡＰＮなどに関して定義することができる。モバイルサービスは、単一のまたは共通のネットワーク要素上のＳＧＷまたはＰＧＷのうちの１つまたは複数など、あるネットワーク要素上のＥＰＳの１つまたは複数のインスタンスを含むことができる。
【０１８３】
ＩＰＳｅｃトンネルおよび／またはモバイルサービスを定義した後に、そのＩＰＳｅｃトンネルまたはモバイルサービスを、分析しまたはテストすることができる。そのようなテストを、モバイルサービスを形成するコンポーネント、モバイルサービスに関連するエンドポイントなどに向けることができる。そのようなテストを、モバイルサービスを形成する特定のコンポーネントまたはエンドポイントの特定の部分に向けることができる。
【０１８４】
一実施形態では、個々のＩＰＳｅｃトンネルもしくはモバイルサービスまたはＩＰＳｅｃトンネルもしくはモバイルサービスのグループは、特定の個々のＩＰＳｅｃトンネルもしくはモバイルサービスまたはＩＰＳｅｃトンネルもしくはモバイルサービスの特定のグループを形成するモバイルサービスモジュラコンポーネントのそれぞれから統計を収集することによって分析される。すなわち、モバイルサービス分析要求（手動でまたは自動的に生成される）は、管理システムによって、モバイルサービスを形成するモジュラコンポーネント（たとえば、ネットワーク要素およびコネクタ）のそれぞれに関係する統計情報を収集する要求と解釈される。
【０１８５】
したがって、ＩＰＳｅｃトンネルまたはモバイルサービスを形成するための「ネットワーク要素」または「コネクタ」などのモジュラコンポーネントの論理表現は、正確な監査機能、分析機能、およびトレーシング機能をさまざまな実施形態の環境で実施することを可能にする。
【０１８６】
監査機能／ツール
監査ツール（ＡＵＴ）５２６は、ネットワークを監査する監査能力を提供するように構成される。ＡＵＴ５２６は、エンドユーザトラフィックを妨げつつあるか妨げる可能性があるネットワーク故障または潜在的なネットワーク故障を識別し、処理するためのネットワークのネットワークインフラストラクチャの事前監査を可能にする。ＡＵＴ５２６は、ネットワーク故障または潜在的なネットワーク故障の素早い検出、故障の影響または潜在的なネットワーク故障の潜在的影響を判定するための影響分析、およびすべてのネットワーク故障または潜在的なネットワーク故障の矯正をサポートする。
【０１８７】
ＡＵＴ５２６は、たとえばポート、ラインカード、物理接続性、論理接続性、Ｓ＊基準点、Ｓ＊セッション、ネットワークパス、エンドユーザのエンドツーエンドモバイルセッションなど、ならびにその組合せの健全性のチェックのための、任意の粒度レベルでのＬＴＥネットワーク１１０上の徹底的なネットワーク健全性チェックまたはサニティチェックを実行する能力を提供する。ＬＴＥネットワークは本来複雑であり、したがって、異なるトランスポート技術および適用されるＱｏＳポリシを利用する複数のネットワーク要素を通過するＩＰネットワークを介するトランスポートのためにパケット化されたモバイル加入者データに相関させることがしばしばむずかしいネットワーク故障を非常に受けやすいので、ＡＵＴ５２６は、ＬＴＥネットワークを管理する上で大きい利益を提供する。
【０１８８】
一実施形態では、ＡＵＴ５２６は、ＬＴＥネットワーク１１０内の相互接続性の監査をサポートする。相互接続性の監査は、接続性に関する事前監視、接続性のテスト、および類似する監査機能の実行を含むことができる。
【０１８９】
トレーサ機能／ツール
トレースツール（ＴＴ）５２７は、モバイルセッショントレース能力を提供するように構成される。モバイルセッショントレース能力は、ＵＥのモバイルセッションのパスを、無線ネットワークを通じてトレースすることを可能にする。短く言うと、ＴＴ５２７は、無線ネットワークを介するＩＰＳｅｃトンネルまたはモバイルセッションのパスの判定、およびオプションで、モバイルセッションに関連する追加情報の判定を可能にする。ＩＰＳｅｃトンネルモバイルセッショントレース能力は、無線サービスプロバイダが、無線ネットワークを介するＩＰＳｅｃトンネルまたはモバイルセッションの判定されたパスに基づいて管理機能を実行することを可能にする。
【０１９０】
公平性マネージャ機能／ツール
公平性マネージャツール（ＦＭＴ）５２８は、モバイル加入者によるネットワークリソースの使用を制御するように適合されたさまざまな公平性管理機構を提供する。短く言うと、ＦＭＴ５２８は、サービスレベル契約（ＳＬＡ）などによって定義されるものなど、顧客による適切なリソース（たとえば、帯域幅）使用を実施する。公平性マネージャは、さまざまな実施機構のいずれかによって適切な帯域幅使用を実施する。公平性マネージャは、さまざまなユーザ、ユーザのグループ、顧客、サードパーティネットワーク購入者などに関連する適切なリソース消費レベルを、これらのレベルが契約または許容可能な実践のいずれによって定義されるものであれ、実施するように動作する。
【０１９１】
さまざまな実施形態をサポートする環境の例
一般的に言って、さまざまな実施形態は、ユーザが、管理システム／ソフトウェアと対話し、これによって、ユーザインターフェースを介してユーザによって選択されたより上のレベルのパス要素に関連する、より下のレベルのパス要素を表示することによってより上の階層レベルのパス要素からより下の階層レベルのパス要素へより深く「掘り下げる」ことを可能にする。ユーザは、グラフィカルユーザインターフェース（ＧＵＩ）を有するコンピュータ端末または他のユーザワークステーションを利用するネットワークオペレーションズセンタ（ＮＯＣ）内のユーザとすることができる。
【０１９２】
一実施形態では、モバイルセッションパス情報は、モバイルセッションをサポートするネットワークコンポーネントだけを含む「サブマップ」を生成することと、生成されたサブマップを表示することとによって表示される。たとえば、無線ネットワークのグラフィカルディスプレイが、多数のｅＮｏｄｅＢ、ＳＧＷ、およびＰＧＷを含む場合に、モバイルセッションのサブマップは、これらの要素のそれぞれの１つのみ、ならびにこれらの要素のそれぞれの間のセッションを含み、これによって、無線ネットワークのどのネットワーク要素がモバイルセッションをサポートしているのかを強調する。
【０１９３】
この例では、サブマップを、任意の適切な形で（たとえば、無線ネットワークが表示されるウィンドウの異なる部分内の１つのウィンドウ内で同時に、サブマップを表示するために開かれる新しいウィンドウ内でなど）表示することができる。この例では、前の例と同様に、モバイルセッションパスまたはモバイルセッションパスのコンポーネントおよびサブコンポーネントさえ（たとえば、物理機器、物理通信リンク、物理通信リンク上のサブチャネルなど）、ユーザによって選択された時に、ユーザにモバイルセッションに関連する追加のモバイルセッションパス情報が提示されるように、選択可能とすることができる。
【０１９４】
そのような例から、モバイルセッションパスに関連する追加情報の表示を、任意の適切な形（たとえば、モバイルセッションパス情報を含むためのディスプレイウィンドウ内のリフレッシュ、モバイルセッションパス情報を含む新しいウィンドウのオープンなど、ならびにその組合せ）で提供できることを了解されたい。
【０１９５】
さまざまな方法の実施態様は、オプションで、１つまたは複数のパス、１つまたは複数のパスをサポートする基礎になるトランスポート要素、ならびに本明細書で論じられるさまざまなプロトコル、ハードウェア、ソフトウェア、ファームウェア、ドメイン、サブネット、ネットワーク要素、および／または部分要素接続の論理表現および／または物理表現を作る。これらの物理表現および／または論理表現のいずれをも、グラフィカルユーザインターフェース（ＧＵＩ）の環境で視覚的に提示することができる。さらに、これらの物理表現および／または論理表現の間のさまざまな相互作用および対応を、「あるパスをサポートするのに必要な」表現、「あるクライアント／顧客をサポートするのに必要な」表現、「単一のクライアント／顧客に関連する」表現など、特定の判断基準に制限された表現を含めて、視覚的に表すこともできる。そのようなグラフィカル表現および関連する像は、静的な形または動的な形のいずれかでのネットワークのインフラストラクチャビュー（すなわち、１つまたは複数のトランスポート要素の観点から）またはサービスビュー（すなわち、１つまたは複数のサービスの観点から）を提供する。
【０１９６】
本明細書で説明される機能を実行する際の使用に適するコンピュータは、一例として、プロセッサ要素（たとえば、中央処理装置（ＣＰＵ）および／または他の適切なプロセッサ）、メモリ（たとえば、ランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）など）、管理モジュール／プロセッサ、およびさまざまな入出力デバイス（たとえば、ユーザ入力デバイス（キーボード、キーパッド、マウスなど）、ユーザ出力デバイス（ディスプレイ、スピーカなど）、入力ポート、出力ポート、受信器／送信器（たとえば、ネットワーク接続または他の適切なタイプの受信器／送信器）、およびストレージデバイス（たとえば、ハードディスクドライブ、コンパクトディスクドライブ、光ディスクドライブなど））を含むことができる。一実施形態では、さまざまな実施形態を呼び出す方法に関連するコンピュータソフトウェアコードを、メモリにロードし、プロセッサによって実行して、本明細書で上で論じた機能を実施することができる。さまざまな実施形態を呼び出す方法に関連するコンピュータソフトウェアコードを、コンピュータ可読記憶媒体、たとえばＲＡＭメモリ、磁気ドライブ、磁気ディスケット、光ドライブ、光ディスケットなどに格納することができる。
【０１９７】
本明細書で図示され説明される機能を、ソフトウェアおよび／またはソフトウェアとハードウェアとの組合せで、たとえば、汎用コンピュータ、１つまたは複数の特定用途向け集積回路（ＡＳＩＣ）、および／または任意の他のハードウェア同等物を使用して、実施できることに留意されたい。
【０１９８】
ソフトウェア方法として本明細書で議論されるステップの一部を、ハードウェア内で、たとえばさまざまな方法ステップを実行するためにプロセッサと協働する回路網として実施できることが企図されている。本明細書で説明される機能／要素の諸部分を、コンピュータプログラム製品として実施することができ、ここで、コンピュータ命令は、コンピュータによって処理される時に、本明細書で説明される方法および／または技法が呼び出されまたは他の形で提供されるように、コンピュータの動作を適合させる。発明の方法を呼び出す命令を、有形の固定媒体または取外し可能媒体内に格納し、有形のまたは非有形の放送媒体または他の信号担持媒体内のデータストリームを介して送信し、かつ／または命令に従って動作するコンピューティングデバイス内のメモリ内に格納することができる。
【０１９９】
本明細書では主に管理能力がＬＴＥ無線ネットワークを管理するのに使用される実施形態に関して図示され、説明されるが、管理能力を、他のタイプの４Ｇ無線ネットワーク、３Ｇ無線ネットワーク、２．５Ｇ無線ネットワーク、２Ｇ無線ネットワークなど、ならびにその組合せを含むがこれに限定されない他のタイプの無線ネットワークを管理するのに使用できることを了解されたい。
【０２００】
保護されないネットワークインフラストラクチャ上でＩＰＳｅｃネットワークをプロビジョニングするさまざまな方法が開示され、ここで、保護されないネットワークインフラストラクチャは、複数のサービスをサポートするように適合された複数のネットワーク要素および通信リンクを含むことができ、方法は、セキュアネットワークとのセキュア通信で１つまたは複数のスイッチングデバイスを識別することと、識別されたスイッチングデバイスに関連する構成情報を取り出すことと、ＩＰＳｅｃネットワークをサポートするのに必要な保護されないネットワークインフラストラクチャ内のトランスポート層要素を判定することと、セキュア通信がＩＰＳｅｃネットワークとセキュアネットワークとの間で提供されるように、識別された必要なトランスポート層要素の動作をＩＰＳｅｃネットワークに適合させることとを含むことができる。１つまたは複数のスイッチングデバイスを識別することは、ネットワークオペレーションズセンタ（ＮＯＣ）内の入力フォームを介して提供することができる。ＩＰＳｅｃネットワークをサポートするのに必要な保護されないネットワークインフラストラクチャのトランスポート層要素を、トランスポート層要素とモバイルサービスとを相関させるデータを使用して識別することができる。トランスポート層要素とモバイルサービスとを相関させるデータは、本明細書で説明されるさまざまな技法に従って発見される。
【０２０１】
さまざまな実施形態の態様は、特許請求の範囲で指定される。さまざまな実施形態の上記および他の態様は、次の番号付きの句で指定される。
【０２０２】
１．保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、
所望のＩＰＳｅｃサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、
セキュアゲートウェイ（ＳＥＧ）としての使用のために境界デバイスを含む少なくとも１つのルーティングデバイスを選択することと、
境界デバイスの第１の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
境界デバイスの第２の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することと
を含む方法。
【０２０３】
２．セキュアネットワークにアクセスすることを許可される非セキュアネットワーク内の１つまたは複数のアクセスポイントを選択すること
をさらに含む、句１の方法。
【０２０４】
３．非セキュアネットワーク内の複数のアクセスポイントが、セキュアネットワークにアクセスすることを許可され、方法が、
アクセスポイントのそれぞれを適切なＳＥＧに関連付けることと、
対応するアクセスポイントからのトンネリングされたパブリックトラフィックを終端するために各ＳＥＧのセキュアネットワーキングサービスを構成することと
をさらに含む、句２の方法。
【０２０５】
４．セキュアネットワークからのセキュアトラフィックを終端するための前記セキュアネットワーキングサービスが、レベル３仮想プライベートネットワーク（Ｌ３  ＶＰＮ）サービスを含む、句１の方法。
【０２０６】
５．非セキュアネットワークからのトンネリングされたトラフィックを終端するための前記セキュアネットワーキングサービスが、レベル３仮想プライベートネットワーク（Ｌ３  ＶＰＮ）サービス、ＶＰＲＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｒｏｕｔｅｄ  Ｎｅｔｗｏｒｋ）サービス、およびＩＥＳ（Ｉｎｔｅｒｎｅｔ  Ｅｎｈａｎｃｅｄ  Ｓｅｒｖｉｃｅ）サービスの１つである、句１の方法。
【０２０７】
６．セキュアネットワークからのセキュアトラフィックを終端するための前記セキュアネットワーキングサービスが、終端されたＩＰＳｅｃトンネルとレベル２（Ｌ２）ＶＰＮセキュアネットワークとの間の通信を可能にする、句１の方法。
【０２０８】
７．前記セキュアサービス層が、ＩＰＳｅｃインフラストラクチャを含み、前記トンネリングされたパブリックトラフィックが、ＩＰＳｅｃトンネリングされたトラフィックを含む、句１の方法。
【０２０９】
８．境界デバイスを含む前記少なくとも１つのルーティングデバイスの前記選択することが、
保護されるセキュアネットワークに近接する１つまたは複数のルータを識別することと、
コスト、顧客への近接度、サービスプロバイダへの近接度、および利用レベルという判断基準のうちの１つまたは複数に従って前記ルータのうちの１つを選択することと
を含む、句１の方法。
【０２１０】
９．前記生成されたＩＰＳｅｃサービス層が、複数のユーザを前記保護されるネットワークにセキュアに接続するサービスを含み、前記方法が、
前記ユーザを複数のグループに分割することと、
各グループに関連するトラフィックをそれぞれのアクセスポイントに向けることと
をさらに含むことをさらに含む、句１の方法。
【０２１１】
１０．前記ユーザグループが、ユーザ位置に従って定義される、句９の方法。
【０２１２】
１１．ユーザのグループに関連するトラフィックをユーザのグループに地理的に近接するスイッチング要素で集約することをさらに含む、句１０の方法。
【０２１３】
１２．前記集約されたトラフィックが、ビデオサービストラフィックを含み、前記集約されたトラフィックが、前記地理的に近接するスイッチング要素とビデオサービスプロバイダのヘッドエンドとの間で通信される、句１１の方法。
【０２１４】
１３．前記ビデオサービスプロバイダが、ケーブルテレビジョンシステム、ＭＳＯ、遠隔通信システムプロバイダ、および放送網のうちの１つを含む、句１２の方法。
【０２１５】
１４．前記方法が、ネットワークサービスプロバイダに関連するコンピュータ内でインスタンス化されるサービス作成エンジン（ＳＣＥ）によって実行される、句１の方法。
【０２１６】
１５．前記方法が、ネットワークサービスプロバイダのネットワークオペレーションズセンタ（ＮＯＣ）内でインスタンス化されるサービス作成エンジン（ＳＣＥ）によって実行される、句１の方法。
【０２１７】
１６．前記要求が、１つまたは複数の識別されたアクセスポイントを介して行われるセキュア接続のタイプに関連する構成情報を含む、句１４の方法。
【０２１８】
１７．セキュア接続のタイプが、ＩＰＳｅｃトンネルを含む、句１４の方法。
【０２１９】
１８．保護されるネットワークが、セキュアな企業ネットワーク、セキュアイントラネット、単一のサードパーティネットワークの１つまたは複数の部分、および複数のサードパーティネットワークの１つまたは複数の部分のうちの少なくとも１つを含む、句１４の方法。
【０２２０】
１９．要求が、保護されるネットワークとのセキュア通信内の１つまたは複数のアクセスポイントに関連する識別する情報をさらに含む、句１４の方法。
【０２２１】
２０．前記アクセスポイントのそれぞれが、前記保護されたネットワークと前記保護されないネットワークとの間のスイッチングデバイス、ルータ、およびブリッジのうちの少なくとも１つを含む、句１９の方法。
【０２２２】
２１．前記保護されないネットワークが、コアネットワークおよびアクセスネットワークのうちの１つを含む、句２０の方法。
【０２２３】
２２．前記アクセスポイントが、前記保護されたネットワークで前記生成されたＩＰＳｅｃサービス層からのＩＰＳｅｃトラフィックを終端するように動作可能なＩＰＳｅｃ境界デバイスを含むルータを含む、句１９の方法。
【０２２４】
２３．前記生成されたＩＰＳｅｃ層が、各ユーザからそれぞれのＩＰＳｅｃトンネルを介して前記保護されたネットワークのそれぞれのアクセスポイントへトラフィックをルーティングすることによって前記保護されないネットワークにアクセスするユーザの間からのセキュアトラフィックをサポートし、
前記保護されたネットワークへの異なるアクセスポイントを有するユーザについて、前記ユーザの間のトラフィックが、前記異なるアクセスポイントの間で前記保護されたネットワークを介してルーティングされ、
前記保護されたネットワークへの共通のアクセスポイントを有するユーザについて、前記ユーザの間のトラフィックが、前記共通のアクセスポイントを介して直接にルーティングされる
句１９の方法。
【０２２５】
２４．前記生成されたＩＰＳｅｃサービス層に従って１つまたは複数のモバイルサービスの動作を適合させ、これによって所望のＩＰＳｅｃサービスをプロビジョニングすることをさらに含む、句１の方法。
【０２２６】
２５．前記生成されたＩＰＳｅｃサービス層内に含まれるモバイルサービスに関連するパスをサポートする１つまたは複数のトランスポート層の動作を適合させることをさらに含む、句１の方法。
【０２２７】
２６．サービス要求が、ネットワークオペレーションズセンタ（ＮＯＣ）で単一のフォームに入力されるデータを介して提供される、句１の方法。
【０２２８】
２７．サービス要求が、顧客によって単一のフォーム内に含められるデータを介して提供され、方法が、顧客に関連するサービスレベル契約（ＳＬＡ）への適合を妥当性検査するためにサービス要求を再検討することをさらに含む、句２６の方法。
【０２２９】
２８．前記要求が、トンネリングされるトラフィックフローに関連するシグナリングパラメータを含むトンネルテンプレートに関連する、句１の方法。
【０２３０】
２９．前記トンネルテンプレートが、トンネリングされるトラフィックフローに関連するポリシをさらに含む、句２８の方法。
【０２３１】
３０．前記ポリシが、特定のＩＰアドレスと対応するサービスとの間の関連付けられたのうちの１つまたは複数を含む、句２９の方法。
【０２３２】
３１．前記ポリシが、ＩＰＳｅｃトンネルの断片的使用を提供する、句２９の方法。
【０２３３】
３２．生成されたＩＰＳｅｃサービス内のモバイルサービスのいずれかの部分が管理されないネットワークを通過するかどうかを判定することと、
前記管理されないネットワークに関連するモバイルサービス部分を介して伝えられる生成されたＩＰＳｅｃサービスを妥当性検査する要求を、前記管理されないネットワークのマネージャに向かって転送することと
をさらに含む、句１の方法。
【０２３４】
３３．管理されないネットワークを通過する前記生成されたＩＰＳｅｃサービス内の１つまたは複数のモバイルサービス部分のサポートを妥当性検査する要求を前記管理されないネットワークのマネージャに向かって転送することをさらに含む、句１の方法。
【０２３５】
３４．モバイルサービス部分に関する前記管理されないネットワークによるサポートの欠如を示すメッセージに応答して、前記モバイルサービス部分のサポートを提供するために前記モバイルサービス部分のプロビジョニングを適合させる要求を前記管理されないネットワークの前記マネージャに向けて転送すること
をさらに含む、句３３の方法。
【０２３６】
３５．各パスをそのそれぞれのトランスポート層インフラストラクチャに相関させるデータが、当初にディスカバリプロセス中に生成されるデータベース内に格納される、句１の方法。
【０２３７】
３６．前記データベースが、基礎になるトランスポート層構造に関連するパス構造を反復して相関させるステップと、この相関の結果を格納するステップとに従って生成される、句６の方法。
【０２３８】
３７．保護されないネットワークが、ＬＴＥネットワークを含み、方法が、
１つまたは複数の識別されたアクセスポイントに関連するＩＥＳサービスおよびＶＲＰＮサービスを識別することであって、各モバイルサービスが、少なくとも１つのパスを含み、各パスが、前記保護されないネットワーク内のトランスポート層インフラストラクチャによってサポートされる、識別することと、
前記モバイルサービスのうちの１つまたは複数を使用してＩＰＳｅｃサービス層を生成することと
をさらに含む、句１の方法。
【０２３９】
３８．プロセッサによって実行される時に、保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、
所望のＩＰＳｅｃサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、
セキュアゲートウェイ（ＳＥＧ）としての使用のために境界デバイスを含む少なくとも１つのルーティングデバイスを選択することと、
境界デバイスの第１の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
境界デバイスの第２の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応する終端されたセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することと
を含む方法を実行するソフトウェア命令を含むコンピュータ可読媒体。
【０２４０】
３９．コンピュータが、保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、
所望のＩＰＳｅｃサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、
セキュアゲートウェイ（ＳＥＧ）としての使用のために境界デバイスを含む少なくとも１つのルーティングデバイスを選択することと、
境界デバイスの第１の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
境界デバイスの第２の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、
セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することと
を含む方法を実行するように、コンピュータが、コンピュータの動作を適合させるソフトウェア命令を処理するように動作可能である、コンピュータプログラム製品。
【０２４１】
４０．非セキュアネットワークに関連するトラフィックを受け入れる第１の複数のポートと、
セキュアネットワークに関連するトラフィックを受け入れる第２の複数のポートと、
第１の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供するように適合され、第２の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスに適合され、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成するように適合された境界デバイスであって、各グループが、それぞれのカプセル化識別子に関連する、境界デバイスと
を含むセキュアゲートウェイ（ＳＥＧ）。
【０２４２】
本発明の教示を組み込むさまざまな実施形態を、本明細書で詳細に図示し、説明したが、当業者は、これらの教示をなお組み込む多数の他の変更された実施形態をたやすく考案することができる。
【図１】
2013523021.tif 000003
【図２】
2013523021.tif 000004
【図３】
2013523021.tif 000005
【図４】
2013523021.tif 000006
【図５】
2013523021.tif 000007
【図６】
2013523021.tif 000008
【図７】
2013523021.tif 000009
【図８】
2013523021.tif 000010
【国際調査報告】
2013523021.tif 000011
2013523021.tif 000012
2013523021.tif 000013