Method and apparatus for resource isolation on network slicing

Abstract

Embodiments of the present disclosure provide a method and an apparatus for resource isolation on network slicing. A method (600) by a first network node comprises: receiving (S602) a first request for network slice creation, including at least one security requirement; creating (S604) a NS MOI; providing (S606) a group for the NS MOI, based at least on the at least one security requirement; transmitting (S608), a second request for at least one NSS MOI; receiving (S610) a response to the second request, including at least one identifier of the at least one NSS MOI; storing (S612) the at least one identifier of the at least one NSS MOI; and transmitting (S614), a response to the first request, including at least an identifier of the NS MOI.

Description

METHOD AND APPARATUS FOR RESOURCE ISOLATION ON NETWORK SLICINGTECHNICAL FIELD

[0001] Various example embodiments of the present disclosure relate generally to the technology of communication, and in particular to a method and an apparatus for resource isolation on network slicing.BACKGROUND

[0002] In current communication system, such as 3GPP 5G NR (3rd generation partnership project, 5th generation, new radio) , network slicing enables enterprises and operators to address specific requirements, including security requirements coming from different market segments.

[0003] Some slices need to be isolated from each other, since a compromised or malicious low security profiled slice may impact a highly sensitive slice breaching isolation and / or access control.

[0004] However, slice resource isolation currently focuses on only at network slice and network slice subnet layers to enable the network slice provider (NSP) to receive slice isolation requirement from network slice consumer (NSC) , and translate the requirement to lower layer (network slice subnet layer) .SUMMARY

[0005] This summary is provided to introduce some aspects in a simplified form that are further described below in the detailed description. This summary is not intended to identify key features or essential features of the claimed subject matter, nor is it intended to be used to limit the scope of the claimed subject matter.

[0006] Certain aspects of the present disclosure and their embodiments may provide solutions to these or other challenges. There are, proposed herein, various embodiments which address one or more of the issues disclosed herein. Specific method and apparatus for resource isolation on network slicing may be provided.

[0007] A first aspect of the present disclosure provides a method performed by a first network node. The method comprises: receiving, from a second network node, a first request for network slice creation, including at least one security requirement; creating a network slice management object instance, NS MOI; providing a group for the NS MOI based at least on the at least one security requirement; transmitting, to a third network node, a second request for at least one network slice subnet management object instance, NSS MOI, wherein the second request at least includes: the at least one security requirement, and an identifier of the group; receiving, from the third network node, a response to the second request, including at least one identifier of the at least one NSS MOI; storing the at least one identifier of the at least one NSS MOI; and transmitting, to the second network node, a response to the first request, including at least an identifier of the NS MOI.

[0008] In exemplary embodiments of the present disclosure, the at least one NSS MOI comprises: at  least one core network NSS MOI, CN NSS MOI, and / or at least one radio access network NSS MOI, RAN NSS MOI. The first network node further creates a root network slice subnet management object instance, NSS MOI. The group comprises an isolation group or a sharing group. The group is further provided for the root NSS MOI.

[0009] In exemplary embodiments of the present disclosure, when there is no matched group for the NS MOI and / or the root NSS MOI, the group is created by the first network node, and the at least one CN NSS MOI and / or the at least one RAN NSS MOI are created by the third network node; or when there is a matched group for the NS MOI and / or the root NSS MOI, the group is assigned by the first network node, and the at least one CN NSS MOI and / or the at least one RAN NSS MOI are updated by the third network node.

[0010] In exemplary embodiments of the present disclosure, the first request further includes a list of service profile, with each service profile including an application descriptor; and the at least one security requirement includes a security level, or a list of security features.

[0011] In exemplary embodiments of the present disclosure, the group comprises an isolation profile based at least on the at least one security requirement; the isolation profile includes group resource isolation rules; the group resource isolation rules at least include: resources type, isolation rule, and / or security criteria; the resources type includes at least one of: a network function type, a network function, a database, or a communication interface; and the security criteria include a security level, or a list of security features.

[0012] In exemplary embodiments of the present disclosure, the first network node provides the group further based on regulation, and operator policies.

[0013] In exemplary embodiments of the present disclosure, the second request further comprises at least one slice profile for the at least one CN NSS MOI and / or the at least one RAN NSS MOI.

[0014] In exemplary embodiments of the present disclosure, the first network node comprises: a Network Slice Management Service Producer, NSMS_P; the second network node comprises: a Network Slice Management Service consumer, NSMS_C; and the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P.

[0015] A second aspect of the present disclosure provides a method performed by a second network node. The method comprises: transmitting, to a first network node, a first request for network slice creation, including at least one security requirement; and receiving, from the first network node, a response to the first request, including at least an identifier of a network slice management object instance, NS MOI, provided based at least on the at least one security requirement.

[0016] In exemplary embodiments of the present disclosure, the first request for network slice creation further includes an application descriptor. The response to the first request is provided further based on the application descriptor. The first network node comprises: a Network Slice Management Service Producer, NSMS_P; and the second network node comprises: a Network Slice Management Service consumer, NSMS_C.

[0017] A third aspect of the present disclosure provides a method performed by a third network node. The method comprises: receiving, from a first network node, a second request for at least one NSS  MOI, wherein the second request at least includes: at least one security requirement; generating the at least one NSS MOI, based at least on the second request; generating resource requirements and / or configurations for core network functions and / or radio access network functions, related to the at least one NSS MOI; transmitting, to a fourth network node, the resource requirements and / or configurations; and transmitting, to the first network node, a response to the second request, including at least one identifier of the at least one at least one NSS MOI.

[0018] In exemplary embodiments of the present disclosure, the at least one NSS MOI comprises: at least one CN NSS MOI and / or at least one RAN NSS MOI. The second request further includes: an identifier of a group, and at least one slice profile each including at least one application descriptor.

[0019] In exemplary embodiments of the present disclosure, the third network node sets security criteria and an optional identifier of network slice group in the at least one CN NSS MOI and / or at least one RAN NSS MOI, based at least on the second request; and the third network node assigns one or more identifiers of Network Slice Instance, NSI, to a CN NSS MOI, for 5th generation core network, 5GC, based at least on local policies.

[0020] In exemplary embodiments of the present disclosure, generating the at least one CN NSS MOI and / or at least one RAN NSS MOI comprises: creating a root CN NSS MOI and / or a root RAN NSS MOI; creating a dedicated CN NSS MOI and / or a dedicated RAN NSS MOI, for a dedicated resource of the root CN NSS MOI and / or the root RAN NSS MOI; and creating a shared CN NSS MOI and / or a shared RAN NSS MOI, with or without a NSS group, for a shared resource of the root CN NSS MOI and / or the root RAN NSS MOI.

[0021] In exemplary embodiments of the present disclosure, generating the at least one CN NSS MOI and / or at least one RAN NSS MOI further comprises: setting a resource sharing indicator for the dedicated CN NSS MOI and / or the dedicated RAN NSS MOI, or for the shared CN NSS MOI and / or the shared RAN NSS MOI.

[0022] In exemplary embodiments of the present disclosure, the third network node sets a first resource sharing indicator in a NSS MOI; when the first resource sharing indicator indicates that the NSS MOI is shared, the third network node splits the NSS MOI into a dedicated part and a shared part; when the dedicated part is not empty, the third network creates a dedicated NSS MOI for the dedicated part; and when the shared part is not empty, the third network creates / updates a matched NSS MOI for the shared part, with or without a NSS group; and sets a second resource sharing indicator in the matched NSS MOI based at least on security criteria and local policies.

[0023] In exemplary embodiments of the present disclosure, when the first resource sharing indicator indicates that the NSS MOI is dedicated, the third network node sets the type of the NSS MOI to leaf NSS.

[0024] In exemplary embodiments of the present disclosure, the resource requirements and / or configurations comprise slice information and Network Slice Instance, NSI, information, for configuring a network slice selection function, NSSF; and / or the resource requirements and / or configurations comprise mappings between at least one identifier of application and at least one Single Network Slice Selection Assistance Information, S-NSSAI, for configuring a policy control function,  PCF.

[0025] In exemplary embodiments of the present disclosure, the slice information includes Network Slice Selection Assistance Information, S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, and the NSI information includes at least one identifier of NSI and at least one identifier of network slice isolation group associated to at least one identifier of NSI.

[0026] In exemplary embodiments of the present disclosure, the at least one S-NSSAI is based on at least one slice profile associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI; and the at least one S-NSSAI is used to generate User Equipment Route Selection Policy, URSP, rules for User Equipment, UE, supporting slices associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI.

[0027] In exemplary embodiments of the present disclosure, the at least one security requirement includes a security level, or a list of security features.

[0028] In exemplary embodiments of the present disclosure, the group includes an isolation profile; the isolation profile includes group resource isolation rules; the group resource isolation rules at least include: resources type, isolation rule, and security criteria; the resources type includes at least one of: a network function type, a network function, a database, or a communication interface; and the security criteria include a security level, or a list of security features.

[0029] In exemplary embodiments of the present disclosure, the first network node comprises: a Network Slice Management Service Producer, NSMS_P; the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P; and the fourth network node comprises at least one of: a Network Function Management Service Producer, NFMS_P, a cloud infrastructure, a network slice selection function, NSSF, or a policy control function, PCF.

[0030] A fourth aspect of the present disclosure provides a method performed by a fourth network node. The method comprises: receiving, from a third network node, resource requirements and / or configurations. The resource requirements and / or configurations are for configuring core network functions and / or radio access network functions, related to at least one NSS MOI.

[0031] In exemplary embodiments of the present disclosure, the at least one NSS MOI comprises: at least one CN NSS MOI and / or at least one RAN NSS MOI.

[0032] In exemplary embodiments of the present disclosure, the resource requirements and / or configurations comprise: slice information and Network Slice Instance, NSI, information, for configuring a network slice selection function, NSSF.

[0033] In exemplary embodiments of the present disclosure, the slice information includes Network Slice Selection Assistance Information, S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, and the NSI information includes at least one identifier of NSI and at least one identifier of network slice isolation group associated to at least one identifier of NSI.

[0034] In exemplary embodiments of the present disclosure, the NSSF transmits, to access and mobility management function, AMF, at least one identifier of NSI for a S-NSSAI, based at least on the S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, during mobility and session management signaling procedure; or the NSSF selects an alternative S-NSSAI, based on an  isolation group related to the S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, during slice replace procedure; or the NSSF checks whether a slice selected by an application function, AF, or a user equipment, UE, for an application is in the same group defined in a User Equipment Route Selection Policy, URSP, related to the application.

[0035] In exemplary embodiments of the present disclosure, the resource requirements and / or configurations comprise: mappings between at least one identifier of application and at least one Single Network Slice Selection Assistance Information, S-NSSAI, for configuring a policy control function, PCF.

[0036] In exemplary embodiments of the present disclosure, the at least one S-NSSAI is based on at least one slice profile associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI; and the at least one S-NSSAI is used to generate User Equipment Route Selection Policy, URSP, rules for User Equipment, UE, supporting slices associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI.

[0037] In exemplary embodiments of the present disclosure, the PCF determines whether slices selected for an application in a User Equipment Route Selection Policy, URSP, are in the same group.

[0038] In exemplary embodiments of the present disclosure, the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P; and the fourth network node comprises at least one of: a Network Function Management Service Producer, NFMS_P, a cloud infrastructure, a network slice selection function, NSSF, or a policy control function, PCF.

[0039] A fifth aspect of the present disclosure provides a first network node comprising means configured for: receiving, from a second network node, a first request for network slice creation, including at least one security requirement; creating a network slice management object instance, NS MOI; providing a group for the NS MOI, based at least on the at least one security requirement; transmitting, to a third network node, a second request for at least one network slice subnet management object instance, NSS MOI, wherein the second request at least includes: the at least one security requirement, and an identifier of the group; receiving, from the third network node, a response to the second request, including at least one identifier of the at least one NSS MOI; storing the at least one identifier of the at least one NSS MOI; and transmitting, to the second network node, a response to the first request, including at least an identifier of the NS MOI.

[0040] In exemplary embodiments of the present disclosure, the means are further configured for performing the method according any of the embodiments in the first aspect.

[0041] In exemplary embodiments of the present disclosure, the means comprise: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the first network node.

[0042] A sixth aspect of the present disclosure provides a second network node comprising means configured for: transmitting, to a first network node, a first request for network slice creation, including at least one security requirement; and receiving, from the first network node, a response to the first request, including at least an identifier of a network slice management object instance, NS MOI, provided based at least on the at least one the security requirement.

[0043] In exemplary embodiments of the present disclosure, the means are further configured for performing the method according any of the embodiments in the second aspect.

[0044] In exemplary embodiments of the present disclosure, the means comprise: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the second network node.

[0045] A seventh aspect of the present disclosure provides a third network node comprising means configured for: receiving, from a first network node, a second request for at least one NSS MOI, wherein the second request at least includes: at least one security requirement; generating the at least one NSS MOI, based at least on the second request; generating resource requirements and / or configurations for core network functions and / or radio access network functions, related to the at least one NSS MOI; transmitting, to a fourth network node, the resource requirements and / or configurations; and transmitting, to the first network node, a response to the second request, including at least one identifier of the at least one at least one NSS MOI.

[0046] In exemplary embodiments of the present disclosure, the means are further configured for performing the method according any of the embodiments in the first aspect.

[0047] In exemplary embodiments of the present disclosure, the means comprise: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the third network node.

[0048] An eighth aspect of the present disclosure provides a fourth network node comprising means configured for: receiving, from a third network node, resource requirements and / or configurations. The resource requirements and / or configurations are for configuring core network functions and / or radio access network functions, related to at least one NSS MOI.

[0049] In exemplary embodiments of the present disclosure, the means are further configured for performing the method according any of the embodiments in the second aspect.

[0050] In exemplary embodiments of the present disclosure, the means comprise: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the fourth network node.

[0051] A ninth aspect of the present disclosure provides a computer-readable storage medium storing instructions, which when executed by at least one processor of a network node, cause the at least one processor of the network node to perform the method according to any of the embodiments of the first, second, third, and fourth aspects.

[0052] A tenth aspect of the present disclosure provides an apparatus. The apparatus comprises: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to perform the method according to any of embodiments of the first, second, third, and fourth aspects.

[0053] In exemplary embodiments of the present disclosure, the apparatus is or is comprised in a network node.

[0054] Embodiments herein afford many advantages. According to embodiments of the present disclosure, an improved manner for resource isolation on network slicing may be provided.

[0055] According to embodiments of the present disclosure, the exemplary embodiments of the present disclosure propose a mechanism that allows to determine at least one NSS MOI, in response to a request for network slice creation including at least one security requirement. Isolation requirements for resources, particularly for network functions, NFs, defined in the at least one NSS MOI, may be defined as satisfying the at least one security requirement.

[0056] Therefore, the interaction between the NFs belonging to different isolation groups may be limited, UE’s signaling message may be routed to the right control plane (CP) NFs and UE’s data traffic may be routed to the right user plane functions (UPFs) without compromising isolation requirement.BRIEF DESCRIPTION OF DRAWINGS

[0057] The above and other aspects, features, and benefits of various embodiments of the present disclosure will become more fully apparent, by way of example, from the following detailed description with reference to the accompanying drawings, in which like reference numerals or letters are used to designate like or equivalent elements. The drawings are illustrated for facilitating better understanding of the embodiments of the disclosure and not necessarily drawn to scale, in which:

[0058] FIG. 1 is a diagram showing some exemplary slice isolation groups.

[0059] FIG. 2 is a diagram showing slice isolation for UEs.

[0060] FIG. 3 is a diagram showing a network resource model (NRM) for network slicing.

[0061] FIG. 4 is a diagram showing cross layer resource distribution for network slicing.

[0062] FIG. 5 is a diagram showing unexpected resource isolation for network slicing.

[0063] FIG. 6 is a flow chart showing a method performed by a first network node, according to exemplary embodiments of the present disclosure.

[0064] FIG. 7 is a flow chart showing a method performed by a second network node, according to exemplary embodiments of the present disclosure.

[0065] FIG. 8A is a flow chart showing a method performed by a third network node, according to exemplary embodiments of the present disclosure.

[0066] FIG. 8B is a flow chart showing further steps of the method as shown in FIG. 8A, according to exemplary embodiments of the present disclosure.

[0067] FIG. 9 is a flow chart showing a method performed by a fourth network node, according to exemplary embodiments of the present disclosure.

[0068] FIG. 10 is a configuration of network slice subnet and NFs in 5G network, according to embodiments of the present disclosure.

[0069] FIG. 11 is a diagram showing a procedure for network slice deployment and resource isolation, according to embodiment 1 of the present disclosure.

[0070] FIG. 12 is a diagram showing a procedure for NSS creation, according to embodiment 2 of the present disclosure.

[0071] FIG. 13 is a block diagram showing an exemplary structure for a first network node, according to exemplary embodiments of the present disclosure.

[0072] FIG. 14 is a block diagram showing an exemplary structure for a second network node, according to exemplary embodiments of the present disclosure.

[0073] FIG. 15 is a block diagram showing an exemplary structure for a third network node, according to exemplary embodiments of the present disclosure.

[0074] FIG. 16 is a block diagram showing an exemplary structure for a fourth network node, according to exemplary embodiments of the present disclosure.

[0075] FIG. 17 is a block diagram showing an apparatus / computer readable storage medium, according to embodiments of the present disclosure.

[0076] FIG. 18 is a block diagram showing exemplary apparatus units for a first network node, which is suitable for performing the method according to embodiments of the disclosure.

[0077] FIG. 19 is a block diagram showing exemplary apparatus units for a second network node, which is suitable for performing the method according to embodiments of the disclosure.

[0078] FIG. 20 is a block diagram showing exemplary apparatus units for a third network node, which is suitable for performing the method according to embodiments of the disclosure.

[0079] FIG. 21 is a block diagram showing exemplary apparatus units for a fourth network node, which is suitable for performing the method according to embodiments of the disclosure.DETAILED DESCRIPTION

[0080] The embodiments of the present disclosure are described in detail with reference to the accompanying drawings. It should be understood that these embodiments are discussed only for better understanding, rather than limitations on the scope of the present disclosure. The described features, advantages, and characteristics of the disclosure may be combined in any suitable manner in one or more embodiments.

[0081] Generally, all terms used herein are to be interpreted according to their ordinary meaning in the relevant technical field, unless a different meaning is clearly given and / or is implied from the context in which it is used. The steps of any methods disclosed herein do not have to be performed in the exact order disclosed, unless clearly given and / or implied from the context. Any feature of any of the embodiments disclosed herein may be applied to any other embodiment, wherever appropriate.

[0082] As used herein, the term “network” or “communication network” refers to a network following any suitable communication standards (such for an internet network, or any wireless network) . For example, wireless communication standards may comprise WLAN (Wireless Local Area Network) , new radio (NR) , long term evolution (LTE) , LTE-Advanced, 5G NR, etc. In the following description, the terms “network” and “system” can be used interchangeably.

[0083] The term “network node” refers to a network device or network entity or network function or any other devices (physical or virtual) in a communication network. For example, the network node in the network may include a base station (BS) , an access point (AP) , or any other suitable device in a wireless communication network. The BS may be, for example, a node B (NodeB or NB) , an evolved NodeB (eNodeB or eNB) , a next generation NodeB (gNodeB or gNB) , a remote radio unit (RRU) , a radio header (RH) , a remote radio head (RRH) , a relay, a low power node such as a femto, a pico, and  so forth.

[0084] The term “terminal device” refers to any end device that can access a communication network and receive services therefrom. By way of example and not limitation, the terminal device refers to a mobile terminal, user equipment (UE) , a non-APdevice (such as a non-AP Station (STA) ) , or other suitable devices. The terminal device may include, but not limited to, a mobile phone, a cellular phone, a smart phone, a wearable device, a vehicle-mounted wireless terminal device, a vehicle, and the like.

[0085] As one example, a terminal device may represent a device configured for communication in accordance with one or more communication standards promulgated by any standard organization, such as 3rd generation partnership project, 3GPP.

[0086] As yet another example, in an Internet of Things (IoT) scenario, a terminal device may represent a machine or other device that performs monitoring and / or measurements, and transmits the results of such monitoring and / or measurements to another terminal device and / or network equipment. Particular examples of such machines or devices are sensors, metering devices such as power meters, industrial machinery, or home or personal appliances, for example refrigerators, televisions, personal wearables such as watches etc. In other scenarios, a terminal device may represent a vehicle or other equipment that is capable of monitoring and / or reporting on its operational status or other functions associated with its operation.

[0087] It shall be understood that although the terms “first” and “second” etc. may be used herein to describe various elements, these elements should not be limited by these terms. These terms are only used to distinguish one element from another. For example, a first element could be termed a second element, and similarly, a second element could be termed a first element, without departing from the scope of example embodiments. As used herein, the term “and / or” includes any and all combinations of one or more of the associated listed terms.

[0088] As used herein, “at least one of the following: <a list of two or more elements>” and “at least one of <a list of two or more elements>” and similar wording, where the list of two or more elements are joined by “and” or “or” , mean at least any one of the elements, or at least any two or more of the elements, or at least all the elements.

[0089] Exemplary embodiments of the disclosure are relevant to a method and an apparatus for a method and an apparatus for resource isolation on network slicing.

[0090] Slice isolation management developed in a working group of Services and System Aspects (SA) 5. Network Slicing enables enterprises and operators to address specific requirements, including security requirements coming from different market segments. A compromised or malicious low security profiled slice may impact a highly sensitive slice breaching isolation and / or access control. In 3GPP SA5, slice isolation management is studied in a 3GPP technical report, TR 28.811 V17.0.0 and slice isolation requirements are defined in TS 28.530 V17.4.0. Accordingly, sharing / isolation group with isolation profile / policies for each group was proposed to implement the resource isolation as show in below example.

[0091] FIG. 1 is a diagram showing some exemplary slice isolation groups.

[0092] Tenant isolation is listed below as examples. Particularly, managed resource (e.g., access  network, AN, core network, CN, transport network, TN) isolation based on Tenant may be illustrated.

[0093] ● As shown in IG_Tenant-A101, an Enhanced Mobile Broadband (eMBB) slice and a massive Internet of Things (mIoT) slice of tenant A are assigned to the same isolation group, no isolation is required between SliceA_eMBB-1 and SliceA_mIOT-1. But slices of tenant A are required to be logically isolated from other tenant slices.

[0094] ● As shown in IG_Tenant-B102, an Ultra-Reliable Low-Latency Communications (URLLC) slice of tenant B (SliceB_uRLL-1) is physically / logically isolated from other slices.

[0095] ● As shown in IG_SST (slice / service type) -eMBB-common 103, two eMBB slices of the operator (SliceO_eMBB-1 and SliceO_eMBB-2) share resources but are logically isolated from other tenant slices.

[0096] FIG. 2 is a diagram showing slice isolation for UEs.

[0097] Slice isolation is also developed in other 3GPP groups. Different examples of resource isolation between slices for different UEs are given below.

[0098] ● A slice can be fully isolated from other slices, in a path from radio access network (RAN) to transport link / layer and then to core network (CN) , and in both control plane and user plane. Thus, dedicated resources are allocated to the slice, e.g., S-NSSAI#1.

[0099] ● A slice can be partially isolated from other slices. E. g., distributed unit (DU) and other control plane (CP) network functions (NFs) may be shared, but dedicated user plane (UP) related NFs are used for, e.g., S-NSSAI#3.

[0100] ● A slice can share all NFs with other slices. E. g., DU, centralized Unit (CU) , CP and UP NFs may be shared for, e.g., S-NSSAI#4 and 5.

[0101] FIG. 3 is a diagram showing a network resource model (NRM) for network slicing.

[0102] NRM for NetworkSlice, NetworkSliceSubnet and their associations are defined to support network slice management and orchestration.

[0103] Based on UML, in FIG. 3, aggregation is graphically represented as a hollow diamond shape, the star ‘*’ represents a multiplicity of instances, ‘1’ represents one instance, and an arrow represents a directional association.

[0104] The relationship between network slice (information object class) 311, service profile (data type) 321, network slice subnet (information object class) 322, slice profile (data type) 331, managed function (information object class) 332, network service (open model class, preliminary) 333, End Point (EP) _Transport (information object class) 334, and virtual network function (VNF) () (open model class, preliminary) 341 may be shown.

[0105] Some studies are already made for such theme. For example, use cases, requirements and solution for isolation of management data and managed resources were described in the 3GPP TR 28.811 V17.0.0. The potential solution with Isolation Group is based on WO2021 / 15946. It provided a way to gather Network Slices with same security properties or in the same organization, and share resources between slices within the group, while isolated the resources from slices in other group.

[0106] Other solution introduces a mechanism to extend ServiceProfile and SliceProfile with additional attributes that can be used by the Network Service Customer (NSC) and Network Service  Provider (NSP) to select an Isolation Group, with appropriate isolation requirements, while requesting for creation of a Network slice. Additionally, the NSC can use the same attributes to request association or modification of Isolation groups and hence isolation requirements for the created slice.

[0107] A new datatype may be further introduced where the NSC can specify a composite condition for selection of an isolation group by NSP.

[0108] 3GPP release 18 (R18) work item (WI) also makes study about network slicing rule (NSRULE) . The serviceProfile and sliceProfile are updated to be able to hold the rules information, including grouping, which provided additional input regarding under what condition the Management Service (MnS) producer may share a network slice or network slice subnet between multiple allocation requests and profiles.

[0109] FIG. 4 is a diagram showing cross layer resource distribution for network slicing.

[0110] As shown in FIG. 4, vertically, an end-to-end slice covers logical network, network resources and infrastructure layers. For example, the S-NSSAI-0 covers application (layer 4, L4) , logic network (L3) , Network resource (L2) , virtualization resource (L1) , and physical resource (L0) .

[0111] Compared to FIG. 2, in which, horizontally, an end-to-end slice includes piece of UE, RAN, transport, CN and data network (DN) .

[0112] Previous studies were focused on slice resource isolation only at network slice and network slice subnet layers to enable the network slice provider (NSP) to receive slice isolation requirement from network slice consumer (NSC) , and translate the requirement to lower layer (network slice subnet layer) . However, the involved network functions were not considered in detail.

[0113] FIG. 5 is a diagram showing unexpected resource isolation for network slicing.

[0114] As shown in FIG. 5, operator may allocate virtual network and network resource to specific vertical applications using network slicing, and expect that the resources are isolated for application based on corresponding policies and existing isolation solutions in network, e.g., slice aware access control for service-based interface (SBI) based 5GC, select the right CP or UP NFs considering Single NetworkSliceSelection Assistance Information (S-NSSAIs) , etc.

[0115] However, as lack of coordination between management and network layers, the isolation policies and related parameters may not be correctly provisioned on NFs, so all isolation solution in control plane may not take effective. E. g., management plane expects isolate resources of apps in S-NSSAI#3 from apps in S-NSSAI#4 and S-NSSAI#5, but incorrectly configured network slice information (NSIs) and S-NSSAIs in NFs as lack of standardized information model, which may cause the NFs in S-NSSAI#4 can access NF Services of NFs in S-NSSAI#3. Further, a compromised or malicious low security profiled slice may impact a highly sensitive slice, e.g., steal services / resources and data of mission critical applications.

[0116] Also refer to FIG. 2, various isolation models may be deployed according to isolation and security requirements, e.g. fully isolation slice, fully shared slices, partially shared slices, etc. The association between NSI Id and S-NSSAI is not correctly reflected in NRM defined in SA5, while isolation or sharing related requirements / policies are not mapped to NRM of 5GC or RAN NFs defined in SA5 and data model defined in communication technology (CT) , that may cause wrong NSI, then  NF, being selected for signaling or user traffic, especially when more than one NSI Ids are supported by a “shared” NF in partially isolation case.

[0117] The Network Slice Replacement feature is introduced in R18 to replace an S-NSSAI with an alternative S-NSSAI when an S-NSSAI becomes unavailable or congested Slice. Without properly configuration, the access and mobility management function / policy control function / network slice selection function (AMF / PCF / NSSF) may select an alternative S-NSSAI which was required to be securely isolated from the original S-NSSAI, then violate the security / isolation requirement for a vertical application.

[0118] Embodiments of the present disclosure may provide solutions to improve such situations.

[0119] FIG. 6 is a flow chart showing a method performed by a first network node, according to exemplary embodiments of the present disclosure.

[0120] As shown in FIG. 6, the method 600 comprises: a step S602, receiving, from a second network node, a first request for network slice creation, including at least one security requirement; a step S604, creating a network slice management object instance, NS MOI; a step S606, providing a group for the NS MOI, based at least on the at least one security requirement; a step S608, transmitting, to a third network node, a second request for at least one network slice subnet management object instance, NSS MOI, wherein the second request at least includes: the at least one security requirement, and an identifier of the group; a step S610, receiving, from the third network node, a response to the second request, including at least one identifier of the at least one NSS MOI; a step S612, storing the at least one identifier of the at least one NSS MOI; and a step S614, transmitting, to the second network node, a response to the first request, including at least an identifier of the NS MOI.

[0121] According to embodiments of the present disclosure, the exemplary embodiments of the present disclosure propose a mechanism that allows to determine at least one NSS MOI, in response to a request for network slice creation including at least one security requirement. Isolation requirements for resources, particularly for network functions, NFs, defined in the at least one NSS MOI, may be defined as satisfying the at least one security requirement. It should be noted that, for clarity, the full terms such as NS MOI, NSS MOI are used herein. However, sometimes in this disclosure or in other disclosure, other terms such as NS / NSI, NSS etc. may be also used to indicate an instance related to a network slice, or network slice subnet.

[0122] Therefore, the interaction between the NFs belonging to different isolation groups may be limited, UE’s signaling message may be routed to the right control plane (CP) NFs and UE’s data traffic may be routed to the right user plane functions (UPFs) without compromising isolation requirement.

[0123] In exemplary embodiments of the present disclosure, the at least one NSS MOI comprises: at least one core network NSS MOI, CN NSS MOI, and / or at least one radio access network NSS MOI, RAN NSS MOI. The first network node further creates a root network slice subnet management object instance, NSS MOI. The group comprises an isolation group or a sharing group. The group is further provided for the root NSS MOI.

[0124] According to embodiments of the present disclosure, specific types of network functions  (such as CN NF, RAN NF, or TN NF) , may be isolated when needed. Particularly, a group may be configured. The group can clearly illustrate the isolation or sharing relationship between different NS, or even NSS. For example, different NS in the same group or related to the same group may share the communication resources related to this group, while being isolated from communication resources in other groups.

[0125] In exemplary embodiments of the present disclosure, when there is no matched group for the NS MOI and / or the root NSS MOI, the group is created by the first network node, and the at least one CN NSS MOI and / or the at least one RAN NSS MOI are created by the third network node; or when there is a matched group for the NS MOI and / or the root NSS MOI, the group is assigned by the first network node, and the at least one CN NSS MOI and / or the at least one RAN NSS MOI are updated by the third network node. According to embodiments of the present disclosure, the group may be either created or updated.

[0126] According to embodiments of the present disclosure, two kinds of Root / Top (i.e., a higher level) NSS may be utilized, the first one is Top / root End to End (E2E) NSS, which stitches CN top NSS, RAN top NSS, and probably transport NSS to form a E2E NSS to serve a network slice. A root / top network slice subnet (NSS) is described in TS 28.530 V17.4.0 and 28.541 V18.4.0. The second kind of top NSS is top NSS in specific domain, e.g., in CN or RAN domain, which is NSS created in each domain to support a specific isolation group of network slices. Leaf (i.e., a lower level) NSS is the NSS which only include dedicated / isolated resources without sharing with other NSSs. Such kinds of NSS may be used to better illustrated the isolation / sharing relationship between different NS.

[0127] In exemplary embodiments of the present disclosure, the first request further includes a list of service profile, with each service profile including an application descriptor; and the at least one security requirement includes a security level, or a list of security features.

[0128] According to embodiments of the present disclosure, the group may be associated to specific application, by using application descriptor.

[0129] In exemplary embodiments of the present disclosure, the group comprises an isolation profile based at least on the at least one security requirement; the isolation profile includes group resource isolation rules; the group resource isolation rules at least include: resources type, isolation rule, and / or security criteria; the resources type includes at least one of: a network function type, a network function, a database, or a communication interface; and the security criteria include a security level, or a list of security features.

[0130] According to embodiments of the present disclosure, the group resource isolation rules are much clearer, and thus the specific NF, or other communication resource will be much better isolated.

[0131] In exemplary embodiments of the present disclosure, the first network node provides the group further based on regulation, and operator policies.

[0132] In exemplary embodiments of the present disclosure, the second request further comprises at least one slice profile for the at least one CN NSS MOI and / or the at least one RAN NSS MOI.

[0133] In exemplary embodiments of the present disclosure, the first network node comprises: a  Network Slice Management Service Producer, NSMS_P; the second network node comprises: a Network Slice Management Service consumer, NSMS_C; and the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P.

[0134] FIG. 7 is a flow chart showing a method performed by a second network node, according to exemplary embodiments of the present disclosure.

[0135] As shown in FIG. 7, the method 700 comprises: a step S702, transmitting, to a first network node, a first request for network slice creation, including at least one security requirement; and a step S704, receiving, from the first network node, a response to the first request, including at least an identifier of a network slice management object instance, NS MOI, provided based at least on the at least one security requirement.

[0136] In exemplary embodiments of the present disclosure, the first request for network slice creation further includes an application descriptor. The response to the first request is provided further based on the application descriptor. The first network node comprises: a Network Slice Management Service Producer, NSMS_P; and the second network node comprises: a Network Slice Management Service consumer, NSMS_C.

[0137] FIG. 8A is a flow chart showing a method performed by a third network node, according to exemplary embodiments of the present disclosure.

[0138] As shown in FIG. 8A, the method 800 comprises: a step S802, receiving, from a first network node, a second request for at least one NSS MOI, wherein the second request at least includes: at least one security requirement; a step S804, generating the at least one NSS MOI, based at least on the second request; a step S806, generating resource requirements and / or configurations for core network functions and / or radio access network functions, related to the at least one NSS MOI; a step S808, transmitting, to a fourth network node, the resource requirements and / or configurations; and a step S810, transmitting, to the first network node, a response to the second request, including at least one identifier of the at least one at least one NSS MOI.

[0139] According to embodiments of the present disclosure, the resource requirements and / or configurations for core network functions and / or radio access network functions may be generated based at least on second request. Thus, the core network functions and / or radio access network functions may be configured in accordance to at least the security requirement. The isolation requirement to the communication resource, particularly to the NFs, may be better satisfied.

[0140] In exemplary embodiments of the present disclosure, the at least one NSS MOI comprises: at least one CN NSS MOI and / or at least one RAN NSS MOI. The second request further includes: an identifier of a group, and at least one slice profile each including at least one application descriptor.

[0141] In exemplary embodiments of the present disclosure, the third network node sets security criteria and an optional identifier of network slice group in the at least one CN NSS MOI and / or at least one RAN NSS MOI, based at least on the second request; and the third network node assigns one or more identifiers of Network Slice Instance, NSI, to a CN NSS MOI, for 5th generation core network, 5GC, based at least on local policies.

[0142] FIG. 8B is a flow chart showing further steps of the method as shown in FIG. 8A, according  to exemplary embodiments of the present disclosure.

[0143] In exemplary embodiments of the present disclosure, generating the at least one CN NSS MOI and / or at least one RAN NSS MOI comprises: a step S812, creating a root CN NSS MOI and / or a root RAN NSS MOI; a step S814, creating a dedicated CN NSS MOI and / or a dedicated RAN NSS MOI, for a dedicated resource of the root CN NSS MOI and / or the root RAN NSS MOI; and a step S816, creating a shared CN NSS MOI and / or a shared RAN NSS MOI, with or without a NSS group, for a shared resource of the root CN NSS MOI and / or the root RAN NSS MOI.

[0144] In exemplary embodiments of the present disclosure, generating the at least one CN NSS MOI and / or at least one RAN NSS MOI further comprises: a step S818, setting a resource sharing indicator for the dedicated CN NSS MOI and / or the dedicated RAN NSS MOI, or for the shared CN NSS MOI and / or the shared RAN NSS MOI.

[0145] In exemplary embodiments of the present disclosure, the third network node sets a first resource sharing indicator in a NSS MOI; when the first resource sharing indicator indicates that the NSS MOI is shared, the third network node splits the NSS MOI into a dedicated part and a shared part; when the dedicated part is not empty, the third network creates a dedicated NSS MOI for the dedicated part; and when the shared part is not empty, the third network creates / updates a matched NSS MOI for the shared part, with or without a NSS group; and sets a second resource sharing indicator in the matched NSS MOI based at least on security criteria and local policies.

[0146] In exemplary embodiments of the present disclosure, when the first resource sharing indicator indicates that the NSS MOI is dedicated, the third network node sets the type of the NSS MOI to leaf NSS.

[0147] According to embodiments of the present disclosure, dedicated or shared resources, particularly including the NFs, may be better assigned and configured in NSS MOI.

[0148] In exemplary embodiments of the present disclosure, the resource requirements and / or configurations comprise slice information and Network Slice Instance, NSI, information, for configuring a network slice selection function, NSSF; and / or the resource requirements and / or configurations comprise mappings between at least one identifier of application and at least one Single Network Slice Selection Assistance Information, S-NSSAI, for configuring a policy control function, PCF.

[0149] In exemplary embodiments of the present disclosure, the slice information includes Network Slice Selection Assistance Information, S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, and the NSI information includes at least one identifier of NSI and at least one identifier of network slice isolation group associated to at least one identifier of NSI.

[0150] In exemplary embodiments of the present disclosure, the at least one S-NSSAI is based on at least one slice profile associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI; and the at least one S-NSSAI is used to generate User Equipment Route Selection Policy, URSP, rules for User Equipment, UE, supporting slices associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI.

[0151] In exemplary embodiments of the present disclosure, the at least one security requirement  includes a security level, or a list of security features.

[0152] In exemplary embodiments of the present disclosure, the group includes an isolation profile; the isolation profile includes group resource isolation rules; the group resource isolation rules at least include: resources type, isolation rule, and security criteria; the resources type includes at least one of: a network function type, a network function, a database, or a communication interface; and the security criteria include a security level, or a list of security features.

[0153] According to embodiments of the present disclosure, the requirements and / or configurations for NFs may be aware by the NSSF and / or the PCF. The NFs in slice’s CP and UP will be better configured and / or selected. The isolation requirements will be better satisfied.

[0154] In exemplary embodiments of the present disclosure, the first network node comprises: a Network Slice Management Service Producer, NSMS_P; the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P; and the fourth network node comprises at least one of: a Network Function Management Service Producer, NFMS_P, a cloud infrastructure, a network slice selection function, NSSF, or a policy control function, PCF.

[0155] FIG. 9 is a flow chart showing a method performed by a fourth network node, according to exemplary embodiments of the present disclosure.

[0156] The method 900 comprises: a step S902, receiving, from a third network node, resource requirements and / or configurations. The resource requirements and / or configurations are for configuring core network functions and / or radio access network functions, related to at least one NSS MOI.

[0157] In exemplary embodiments of the present disclosure, the at least one NSS MOI comprises: at least one CN NSS MOI and / or at least one RAN NSS MOI.

[0158] In exemplary embodiments of the present disclosure, the resource requirements and / or configurations comprise: slice information and Network Slice Instance, NSI, information, for configuring a network slice selection function, NSSF.

[0159] In exemplary embodiments of the present disclosure, the slice information includes Network Slice Selection Assistance Information, S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, and the NSI information includes at least one identifier of NSI and at least one identifier of network slice isolation group associated to at least one identifier of NSI.

[0160] In exemplary embodiments of the present disclosure, the NSSF transmits, to access and mobility management function, AMF, at least one identifier of NSI for a S-NSSAI, based at least on the S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, during mobility and session management signaling procedure; or the NSSF selects an alternative S-NSSAI, based on an isolation group related to the S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, during slice replace procedure; or the NSSF checks whether a slice selected by an application function, AF, or a user equipment, UE, for an application is in the same group defined in a User Equipment Route Selection Policy, URSP, related to the application.

[0161] In exemplary embodiments of the present disclosure, the resource requirements and / or configurations comprise: mappings between at least one identifier of application and at least one Single  Network Slice Selection Assistance Information, S-NSSAI, for configuring a policy control function, PCF.

[0162] In exemplary embodiments of the present disclosure, the at least one S-NSSAI is based on at least one slice profile associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI; and the at least one S-NSSAI is used to generate User Equipment Route Selection Policy, URSP, rules for User Equipment, UE, supporting slices associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI.

[0163] In exemplary embodiments of the present disclosure, the PCF determines whether slices selected for an application in a User Equipment Route Selection Policy, URSP, are in the same group.

[0164] In exemplary embodiments of the present disclosure, the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P; and the fourth network node comprises at least one of: a Network Function Management Service Producer, NFMS_P, a cloud infrastructure, a network slice selection function, NSSF, or a policy control function, PCF.

[0165] Accordingly, embodiments of the present disclosure will bring a solution on how to map the isolation requirements to configuration of NFs, limit interaction between the NFs belonging to different isolation groups, enable to route UE signaling message to the right control plane (CP) NFs and route user traffic to the right user plane functions (UPFs) without compromising isolation requirement.

[0166] The embodiments of the present disclosure may:

[0167] ● Extend the network slice and network function related management services and procedures to support correct resource provision and isolation during network slice deployment and update. The isolation modes could be fully isolated (dedicated NFs / resource for a slice) , partially isolated (share some NFs such as CP NFs, while other NFs are separated / dedicated, such as UP NFs) , fully shared (share all NFs between slices) .

[0168] ● Extend NRM of NF to support resource (NF or NF Service) selection and isolation in signaling procedure.

[0169] FIG. 10 is a configuration of network slice subnet and NFs in 5G network, according to embodiments of the present disclosure.

[0170] After enhancement, the configuration of network slice subnet and NFs in 5G network will be looked as in FIG. 10.

[0171] Since there is coordination between management and network layers, the isolation policies and related parameters can be correctly provisioned on NFs, so all isolation solution in control plane may take effective. E.g., management plane expects isolate resources of apps in S-NSSAI#3 from apps in S-NSSAI#4 and S-NSSAI#5, and correctly configured network slice information (NSIs) and S-NSSAIs in NFs, which may cause the NFs (in user plane) in S-NSSAI#4 and #5 being isolated from NF Services of NFs in S-NSSAI#3. Further, no compromised or malicious low security profiled slice can impact a highly sensitive slice, e.g., steal services / resources and data of mission critical applications. Compared to FIG. 5, the resources in FIG. 10 are better isolated.

[0172] Some detailed embodiments of the present disclosure may be further illustrated below.

[0173] FIG. 11 is a diagram showing a procedure for network slice deployment and resource isolation, according to embodiment 1 of the present disclosure. In the FIG. 11, IG refers to Isolation Group.

[0174] Some exemplary prerequisites include the following.

[0175] ■ A tenant / vertical customer has registered to the business support system (BSS) of a mobile network operator (MNO) . The tenant information could include industry of the tenant, restricted region, regulatory requirements, etc. (BSS procedure may be performed by any kind of business support system out of 3GPP scope, without limitation)

[0176] ■ A Network Slice Management Service consumer (NSMS_C) on behalf of the tenant or administer of MNO has registered to operation supporting system (OSS) of the MNO, authenticated to the OSS and been authorized to access the NSMS. (annex D of 28.533 V17.3.0)

[0177] Procedure may include following steps (also refer to clauses 7.2, 7.3 of 28.531 V18.2.0 and clause 6 of 28.541 V18.4.0) .

[0178] 1. The Network Slice Management Service (NSMS) consumer (NSMS_C) sends network slice creation request to the NSMS producer (NSMS_P) , the request includes a list of service profile, security requirements (e.g SOC 2 / ISO27001 / CC EALx / new 5G NW security certification) on the slice, together with other parameters. Application descriptor is included in each service profile. SOC refers to Security Operations Center, ISO refers to International Organization for Standardization, CC EALx refers to Common Criteria Evaluation Assurance Level x.

[0179] 2. NSMS_P creates a NetworkSlice management object instance (NS MOI) and a Top NetworkSliceSubnet MOI (NSS MOI) for the requested network slice, the service profiles will be associated to the NS MOI and translated to a slice profile. The Top NSS MOI is associated to the NS MOI. The translated slice profile is associated to the Top NSS MOI.

[0180] 3. NSMS_P assigns (3.1b) a network slice isolation group to the Top NSS MOI and / or the NS MOI according to security requirements on the slice, regulation related to the applications and / or industries of the tenant represented by the NSMS_C, and operator policies, etc. If there’s no matched isolation group, the NSMS_P creates (3.1a) a new isolation group for the slice. The isolation group (IG) include: (refer to S5-234700)

[0181] ■ Group Type, Group Id,

[0182] ■ Group resource isolation rules, which is list of:

[0183] - resource type (e.g. CP NF, Session management (MGMT) related NF, UP NF, exposure NF, radio frequency (RF) , subscriber database (DB) , N2, N3) ,

[0184] - isolation rule (e.g. dedicated / isolated, shared) ,

[0185] - security criteria (e.g. high level criteria such as SOC 2 Certified / EAL 3, or a list of security features, e.g. role based access control (RBAC) , Trusted Platform Module (TPM) , firewall (FW) , Web Application Firewall (WAF) , etc. )

[0186] 3.2a. The NSMS_P sends request to 5GC and RAN network slice subnet management service producers (NSSMS_P) to create 5GC NSS MOI and RAN NSS MOI if the NSS MOI corresponding to the isolation group are not existed. The request includes slice profile (s) which  is derived from slice profile (s) of the Top NSS MOI (s) associated to the isolation group, isolation group Id, security criteria, etc.

[0187] 3.3a. The 5GC / RAN NSSMS_P creates Top 5GC / RAN NSS MOI (s) , associate the slice profile (s) to the NSS MOI (s) , and set isolation group id and security criteria in the NSS MOI (s) . In addition, the NSSMS_P sets the resource sharing indicator in the NSS MOI (s) according to security criteria, and it may propagate other sub NSSs according to request from NSMS_P and local policies.

[0188] Note: The NSSMS_P may create more than one 5GC NSS MOI (s) and RAN NSS MOI (s) for an isolation group for load balance and redundancy. The 5GC NSSMS_P may assign one or more NSI-Ids to a 5GC NSS MOI according to local polices.

[0189] 3.2b. The NSMS_P sends request to 5GC and RAN network slice subnet management service producers (NSSMS_P) to update existing 5GC NSS MOI and RAN NSS MOI corresponding to the isolation group. The request includes slice profile (s) which is derived from slice profile (s) of the Top NSS MOI (s) associated to the isolation group, isolation group Id, and optional security criteria if needed, etc.

[0190] 3.3b. The 5GC / RAN NSSMS_P updates Top 5GC / RAN NSS MOI (s) , associates the slice profile (s) to the NSS MOI (s) , and update sub NSSs (if existed) accordingly. It may update security criteria of the NSS MOI (s) if needed, and update the resource sharing indicator in the NSS MOI (s) according to updated security criteria.

[0191] 4. The NSSMS_P translates service requirements from slice profiles and security requirements from security criteria to virtualization resource requirements and configuration parameters of 5GC / RAN NFs.

[0192] 5. The NSSMS_P sends request to cloud management system to deploy / update virtualized resources for the NSS MOIs which constituted with virtual network functions / cloud native functions (VNFs / CNFs) and corresponding virtual links.

[0193] 6. After successfully deployed / updated VNFs / CNFs serving 5GC / RAN NFs, the NSSMS_P sends request to network function management service producer (NFMS_P) to configure the 5GC / RAN NFs based on the enhanced network resource mode (NRM) which take security and isolation requirements into account.

[0194] 7. The NFMS_P configures the 5GC / RAN NFs accordingly based on the enhanced NRM.

[0195] 8. The NSSMS_P sends response to the NSMS_P with NSS information corresponding the Top 5GC / RAN NSS (s) . Each NSS includes NSS MOI Id (such as a DN in FIG. 11, which refers to Distinguish Name) and NSI-Ids together with other attributes.

[0196] 9. The NSMS_P stores the NSSInfo returned in step 8 in the isolation group, and associates the NSS MOI (s) with the Top NSS MOI.

[0197] 10. The NSMS_P sends response to the NSMS_C with Id of NetworkSlice MOI.

[0198] FIG. 12 is a diagram showing a procedure for NSS creation, according to embodiment 2 of the present disclosure.

[0199] As shown in step 3 of embodiment 1 (FIG. 11) , after received NSS creation request from  NSMS_P, the 5GC / RAN NSSMS_P deploys and provisioning resources / NFs for a network slice isolation group considering isolation and security requirements as following as shown in FIG. 12:

[0200] S1201: The 5GC / RAN NSSMS_P creates Top 5GC / RAN NSS MOI (s) , associates the slice profile (s) to the NSS MOI (s) , and sets security criteria and optional network slice isolation group id in the (Top 5GC / RAN) NSS MOI (s) . For 5GC, the NSSMS_P may assign one or more NSI-Ids to a 5GC NSS MOI according to local polices.

[0201] S1202: The NSSMS_P sets the resource sharing indicator in the NSS MOI (s) according to security criteria. The resource sharing indicator indicates if the NSS MOI share resources with other NSSs.

[0202] S1203: The NSSMS_P checks resource sharing indicator of a NSS MOI:

[0203] S1203a if the indicator is “shared” :

[0204] S1203a. 1 the NSSMS_P split the NSS MOI into two parts. One is dedicated partion which includes a group of NFs dedicated for the NSS. Another is shared partion which includes a group of NFs, some or all of those NFs are shared with other NSSs.

[0205] S1203a. 2 If the dedicated part is not empty, the NSSMS_P created a dedicated NSS MOI for this part, populate NSI-Ids, S-NSSAIs, security criteria and performance requirements on the dedicated NSS MOI. Then set the resource sharing indicator of the MOI to dedicated.

[0206] S1203a. 3, S1203a. 4 If the shared part is not empty, based on security criteria of the NSS MOI and local policies and security profile of existing NSS isolation groups, the NSSMS_P may assign a NSS isolation group to the shared part if there’s matched NSS isolation group existed, and update the NSS MOI associated to the NSS isolation group. If there’s no matched NSS isolation group, NSSMS_P may create a new NSS isolation group to the shared part, create a NSS MOI and associate the NSS MOI with the NSS isolation group. NSSMS_P sets the resource sharing indicator in the NSS MOI according to security criteria of the current NSS MOI and local policies.

[0207] Note: The NSSMS_P may create / update a matched NSS MOI for shared part directly without introducing NSS isolation group.

[0208] S1203b if the indicator is “dedicated” :

[0209] S1203b. 1 set the type of NSS MOI to Leaf NSS

[0210] S1203b. 2, S1203b. 3 deploy VNFs / CNFs for the NSS and provision NFs.

[0211] S1203b. 31, S1203b. 32 If the NF is NSSF, provision slice information to the NF which including S-NSSAIs and corresponding NSI Ids supporting each S-NSSAI, and provision NSI information which including NSI-Ids and Id of network slice isolation groups associated to each NSI-Id.

[0212] S1203b. 33 If the NF is PCF, provision mappings between application id and S-NSSAI based on slice profiles associated to the NSS MOI, which will be used to generate UE Route Selection Policy (URSP) rules for UE supporting the slices.

[0213] Steps S1202 and S1203 are repeated until all resources are allocated and provisioned.

[0214] Embodiment 3 provides NRM enhancement to populate slice isolation related attributes in NetworkSlice, NetworkSliceSubnet and 5GC ManagedFunction.

[0215] Following new attributes are added in NRM fragment for network slice.

[0216] NetworkSlice->ServiceProfile:

[0217] Note: security level is required status of NRM fragment for network slice.

[0218] NetworkSlice->IsolationGroup:

[0219] NetworkSlice->IsolationGroup. IsolationProfile:

[0220] Note: security level is understood as predefined isolation protection level with explicitly required security controls used and status of runtime protection.

[0221] Note: Security controls used for security protection level could be a dynamic process and negotiated during runtime. E.g. when a resource is under attack, additional security control may be applied to “maintain” the same security level.

[0222] NetworkSliceSubnet:

[0223] NetworkSliceSubnet->SliceProfile:

[0224] NetworkSliceSubnet->IsolationGroup:

[0225] NetworkSlice->IsolationGroup. IsolationProfile:

[0226] Following slice related attributes are extended in NRM fragment for 5GC NF.

[0227] NSSFFunction:

[0228] PCFFunction:

[0229] Embodiment 4 provides enforcement of isolation in signaling procedure based on isolation during deployment with new NRM.

[0230] 1. During mobility and session management signaling procedure, NSSF return NSI-Id (s) for a S-NSSAI to AMF according to local configuration provisioned during slice deployment procedures (such as shown in embodiments 1, 2) , which considered security and isolation requirements.

[0231] 2. During slice replace procedure, NSSF selects alternative S-NSSAI which is in the suitable isolation group.

[0232] 3. URSP is configured based on mappings between application id and S-NSSAI which are provisioned during slice deployment procedure (such as shown in embodiments 1, 2) .

[0233] 4. In application function (AF) influence URSP case, PCF should check with NSSF if the slice selected by the AF for an application is in the same isolation group of the slice (s) which got from mapping table based on application Id.

[0234] 5. If UE does not follow URSP, NSSF may check if the slice selected for a protocol data unit (PDU) session belongs to the same isolation group of the slice corresponding to the application in URSP.

[0235] The above embodiments could be used by network and network slice management related product, NSSF and PCF related products to enforce network slice resource isolation.

[0236] FIG. 13 is a block diagram showing an exemplary structure for a first network node, according to exemplary embodiments of the present disclosure.

[0237] As shown in FIG. 13, the first network node 130 comprises means 1300 configured for: receiving, from a second network node, a first request for network slice creation, including at least one security requirement; creating a network slice management object instance, NS MOI; providing a group for the NS MOI, based at least on the at least one security requirement; transmitting, to a third network node, a second request for at least one network slice subnet management object instance, NSS MOI, wherein the second request at least includes: the at least one security requirement, and an identifier of the group; receiving, from the third network node, a response to the second request, including at least one identifier of the at least one NSS MOI; storing the at least one identifier of the at least one NSS MOI; and transmitting, to the second network node, a response to the first request, including at least an identifier of the NS MOI.

[0238] In exemplary embodiments of the present disclosure, the means 1300 are further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 6, 11.

[0239] In exemplary embodiments of the present disclosure, the means 1300 comprise: at least one processor 1302; and at least one memory 1304 storing instructions that, when executed by the at least one processor 1302, cause the performance of the first network node 130.

[0240] FIG. 14 is a block diagram showing an exemplary structure for a second network node, according to exemplary embodiments of the present disclosure.

[0241] As shown in FIG. 14, the second network node 140 comprises means 1400 configured for: transmitting, to a first network node, a first request for network slice creation, including at least one of security requirement; and receiving, from the first network node, a response to the first request, including at least an identifier of a network slice management object instance, NS MOI, provided based at least on the at least one the security requirement.

[0242] In exemplary embodiments of the present disclosure, the means 1400 are further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 7, 11.

[0243] In exemplary embodiments of the present disclosure, the means 1400 comprise: at least one processor 1402; and at least one memory 1404 storing instructions that, when executed by the at least one processor 1402, cause the performance of the second network node 140.

[0244] FIG. 15 is a block diagram showing an exemplary structure for a third network node, according to exemplary embodiments of the present disclosure.

[0245] As shown in FIG. 15, the third network node 150 comprises means 1500 configured for: receiving, from a first network node, a second request for at least one NSS MOI, wherein the second request at least includes: at least one security requirement; generating the at least one NSS MOI, based at least on the second request; generating resource requirements and / or configurations for core network functions and / or radio access network functions, related to the at least one NSS MOI; transmitting, to a fourth network node, the resource requirements and / or configurations; and transmitting, to the first network node, a response to the second request, including at least one identifier of the at least one at least one NSS MOI.

[0246] In exemplary embodiments of the present disclosure, the means 1500 are further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 8A, 8B, 11, 12.

[0247] In exemplary embodiments of the present disclosure, the means 1500 comprise: at least one processor 1502; and at least one memory 1504 storing instructions that, when executed by the at least one processor 1502, cause the performance of the third network node 150.

[0248] FIG. 16 is a block diagram showing an exemplary structure for a fourth network node, according to exemplary embodiments of the present disclosure.

[0249] As shown in FIG. 16, the fourth network node 160 comprises means 1600 configured for: receiving, from a third network node, resource requirements and / or configurations. The resource requirements and / or configurations are for configuring core network functions and / or radio access network functions, related to at least one NSS MOI.

[0250] In exemplary embodiments of the present disclosure, the means 1600 are further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 9, 11.

[0251] In exemplary embodiments of the present disclosure, the means 1600 comprise: at least one  processor 1602; and at least one memory 1604 storing instructions that, when executed by the at least one processor 1602, cause the performance of the fourth network node 160.

[0252] The processor 1302, 1402, 1502, 1602 may be any kind of processing component, such as one or more microprocessor or microcontrollers, as well as other digital hardware, which may include digital signal processors (DSPs) , special-purpose digital logic, and the like. The memory 1304, 1404, 1504, 1604 may be any kind of storage component, such as read-only memory (ROM) , random-access memory, cache memory, flash memory devices, optical storage devices, etc.

[0253] FIG. 17 is a block diagram showing an apparatus / computer readable storage medium, according to embodiments of the present disclosure.

[0254] As shown in FIG. 17, a computer-readable storage medium 170 storing instructions 171, which when executed by at least one processor of a network node (such as the first, second, third, fourth network node) , cause the at least one processor of the network node to perform the method according to any of the embodiments above mentioned, such as shown in FIG. 6, 7, 8A, 8B, 9, 11, 12.

[0255] In addition, the present disclosure may also provide a carrier containing the computer program / instructions as mentioned above. The carrier is one of an electronic signal, optical signal, radio signal, or the above computer readable storage medium. The computer readable storage medium can be, for example, an optical compact disk or an electronic memory device like a RAM (random access memory) , a ROM (read only memory) , Flash memory, magnetic tape, CD-ROM, DVD, Blue-ray disc and the like.

[0256] FIG. 18 is a block diagram showing exemplary apparatus units for a first network node, which is suitable for performing the method according to embodiments of the disclosure.

[0257] As shown in FIG. 18, the first network node 180 may include: a receiving unit 1802, configured for receiving, from a second network node, a first request for network slice creation, including at least one security requirement; a creating unit 1804, configured for creating a network slice management object instance, NS MOI; a providing unit 1806, configured for providing a group for the NS MOI, based at least on the at least one security requirement; a transmitting unit 1808, configured for transmitting, to a third network node, a second request for at least one network slice subnet management object instance, NSS MOI, wherein the second request at least includes: the at least one security requirement, and an identifier of the group; a receiving unit 1810, configured for receiving, from the third network node, a response to the second request, including at least one identifier of the at least one NSS MOI; a storing unit 1812, configured for storing the at least one identifier of the at least one NSS MOI; and a transmitting unit 1814, configured for transmitting, to the second network node, a response to the first request, including at least an identifier of the NS MOI.

[0258] In exemplary embodiments of the present disclosure, the first network node 170 is further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 6, 11.

[0259] FIG. 19 is a block diagram showing exemplary apparatus units for a second network node, which is suitable for performing the method according to embodiments of the disclosure.

[0260] As shown in FIG. 19, the second network node 190 may include: a transmitting unit 1902,  configured for transmitting, to a first network node, a first request for network slice creation, including at least one security requirement; and a receiving unit 1904, configured for receiving, from the first network node, a response to the first request, including at least an identifier of a network slice management object instance, NS MOI, provided based at least on the at least one security requirement.

[0261] In exemplary embodiments of the present disclosure, the second network node 190 is further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 7, 11.

[0262] FIG. 20 is a block diagram showing exemplary apparatus units for a third network node, which is suitable for performing the method according to embodiments of the disclosure.

[0263] As shown in FIG. 20, the third network node 200 may include: a receiving unit 2002, configured for receiving, from a first network node, a second request for at least one NSS MOI, wherein the second request at least includes: at least one security requirement; a generating unit 2004, configured for generating the at least one NSS MOI, based at least on the second request; a generating unit 2006, configured for generating resource requirements and / or configurations for core network functions and / or radio access network functions, related to the at least one NSS MOI; a transmitting unit 2008, configured for transmitting, to a fourth network node, the resource requirements and / or configurations; and a transmitting unit 2010, configured for transmitting, to the first network node, a response to the second request, including at least one identifier of the at least one at least one NSS MOI.

[0264] In exemplary embodiments of the present disclosure, the third network node 200 is further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 8A, 8B, 11, 12.

[0265] FIG. 21 is a block diagram showing exemplary apparatus units for a fourth network node, which is suitable for performing the method according to embodiments of the disclosure.

[0266] As shown in FIG. 21, the fourth network node 210 may include: a receiving unit 2102, configured for receiving, from a third network node, resource requirements and / or configurations. The resource requirements and / or configurations are for configuring core network functions and / or radio access network functions, related to at least one NSS MOI.

[0267] In exemplary embodiments of the present disclosure, the fourth network node 210 is further configured for performing the method according any of the embodiments above mentioned, such as shown in FIG. 9, 11.

[0268] The term ‘unit’ may have conventional meaning in the field of electronics, electrical devices and / or electronic devices and may include, for example, electrical and / or electronic circuitry, devices, modules, processors, memories, logic solid state and / or discrete devices, computer programs or instructions for carrying out respective tasks, procedures, computations, outputs, and / or displaying functions, and so on, as such as those that are described herein.

[0269] As used in the present disclosure, the term “circuitry” may refer to one or more or all of the following:

[0270] (a) hardware-only circuit implementations (such as implementations in only analogy and / or  digital circuitry) and

[0271] (b) combinations of hardware circuits and software, such as (as applicable) :

[0272] (i) a combination of analogy and / or digital hardware circuit (s) with software / firmware and

[0273] (ii) any portions of hardware processor (s) with software (including digital signal processor (s) ) , software, and memory (ies) that work together to cause an apparatus, such as a mobile phone or server, to perform various functions) and

[0274] (c) hardware circuit (s) and or processor (s) , such as a microprocessor (s) or a portion of a microprocessor (s) , that requires software (e.g., firmware) for operation, but the software may not be present when it is not needed for operation. ”

[0275] This definition of circuitry applies to all uses of this term in the present disclosure, including in any claims. As a further example, as used in the present disclosure, the term circuitry also covers an implementation of merely a hardware circuit or processor (or multiple processors) or portion of a hardware circuit or processor and its (or their) accompanying software and / or firmware. The term circuitry also covers, for example and if applicable to the particular claim element, a baseband integrated circuit or processor integrated circuit for a mobile device or a similar integrated circuit in server, a cellular network device, or other computing or network device.

[0276] With these units, the apparatus may not need a fixed processor or memory, any kind of computing resource and storage resource may be arranged from at least one network node / device / entity / apparatus relating to the communication system. The virtualization technology and network computing technology (e.g., cloud computing) may be further introduced, so as to improve the usage efficiency of the network resources and the flexibility of the network.

[0277] The techniques described herein may be implemented by various means so that an apparatus implementing one or more functions of a corresponding apparatus described with an embodiment comprises not only prior art means, but also means for implementing the one or more functions of the corresponding apparatus described with the embodiment and it may comprise separate means for each separate function, or means that may be configured to perform two or more functions. For example, these techniques may be implemented in hardware (one or more apparatuses) , firmware (one or more apparatuses) , software (one or more modules / units) , or combinations thereof. For a firmware or software, implementation may be made through modules (e.g., procedures, functions, and so on) that perform the functions described herein.

[0278] In certain embodiments, some or all of the functionality described herein may be provided by processing circuitry executing instructions stored on in memory, which in certain embodiments may be a computer program product in the form of a non-transitory computer-readable storage medium. In alternative embodiments, some or all of the functionalities may be provided by the processing circuitry without executing instructions stored on a separate or discrete device-readable storage medium, such as in a hard-wired manner. In any of those particular embodiments, whether executing instructions stored on a non-transitory computer-readable storage medium or not, the processing circuitry can be configured to perform the described functionality. The benefits provided by such  functionality are not limited to the processing circuitry alone or to other components of the computing device, but are enjoyed by the computing device as a whole, and / or by end users and a wireless network generally.

[0279] The term “non-transitory, ” as used herein, is a limitation of the medium itself (i.e., tangible, not a signal) as opposed to a limitation on data storage persistency (e.g., RAM vs. ROM) .

[0280] As described in above exemplary embodiments of this disclosure, embodiments herein afford many advantages. According to embodiments of the present disclosure, the exemplary embodiments of the present disclosure propose a mechanism that allows to determine at least one NSS MOI, in response to a request for network slice creation including at least one security requirement. Isolation requirements for resources, particularly for network functions, NFs, defined in the at least one NSS MOI, may be defined as satisfying the at least one security requirement.

[0281] Therefore, the interaction between the NFs belonging to different isolation groups may be limited, UE’s signaling message may be routed to the right control plane (CP) NFs and UE’s data traffic may be routed to the right user plane functions (UPFs) without compromising isolation requirement.

[0282] It should be understood that the above embodiments are only for illustration but not limitation. The present disclosure may be carried out in other ways than those specifically set forth herein without departing from essential characteristics of the disclosure. All changes to these embodiments not departing from the meaning and equivalency of the appended claims are intended to be comprised herein.

[0283] REFERENCES

[0284] The followings are the references which are incorporated herein in their entirety:

[0285] 3GPP TR 28.811 V17.0.

[0286] 3GPP TS 28.530 V17.4.

[0287] 3GPP TS 28.533 V17.3.

[0288] 3GPP TS 28.531 V18.2.

[0289] 3GPP TS 28.541 V18.4.

[0290] 3GPP TS 23.501 V18.2.

[0291] S5-234700, Add NRM for network slice isolation, 3GPP TSG-SA5 Meeting #149, Berlin, Germany, 22 -26 May 2023

[0292] WO2021 / 159461

[0293] ABBREVIATION     EXPLANATION

[0294] CNF        Containerized Network Function

[0295] MnS        Management Service

[0296] MOI        Management Object Instance

[0297] NFMS_P     Network Function Management Service Producer

[0298] NSMS_P     Network Slice Management Service Producer

[0299] NSSMS_P   Network Slice Subnet Management Service Producer

[0300] NRM       Network Resource Model

[0301] NSC       Network Service Customer

[0302] NSP       Network Service Provider

[0303] NS        Network Slice

[0304] NSS       Network Slice Subnet

[0305] VNF       Virtual Network Function

[0306] S-NSSAI   Single Network Slice Selection Assistance Information

[0307] NSI       Network Slice Instance

Claims

1.A method (600) performed by a first network node, comprising:receiving (S602) , from a second network node, a first request for network slice creation, including at least one security requirement;creating (S604) a network slice management object instance, NS MOI;providing (S606) a group for the NS MOI, based at least on the at least one security requirement;transmitting (S608) , to a third network node, a second request for at least one network slice subnet management object instance, NSS MOI, wherein the second request at least includes: the at least one security requirement, and an identifier of the group;receiving (S610) , from the third network node, a response to the second request, including at least one identifier of the at least one NSS MOI;storing (S612) the at least one identifier of the at least one NSS MOI; andtransmitting (S614) , to the second network node, a response to the first request, including at least an identifier of the NS MOI.2.The method (600) according to claim 1,wherein the at least one NSS MOI comprises: at least one core network NSS MOI, CN NSS MOI, and / or at least one radio access network NSS MOI, RAN NSS MOI;wherein the first network node further creates a root network slice subnet management object instance, NSS MOI;wherein the group comprises an isolation group or a sharing group; andwherein the group is further provided for the root NSS MOI.3.The method (600) according to claim 2,wherein when there is no matched group for the NS MOI and / or the root NSS MOI, the group is created by the first network node, and the at least one CN NSS MOI and / or the at least one RAN NSS MOI are created by the third network node; orwherein when there is a matched group for the NS MOI and / or the root NSS MOI, the group is assigned by the first network node, and the at least one CN NSS MOI and / or the at least one RAN NSS MOI are updated by the third network node.4.The method (600) according to claim 2 or 3,wherein the first request further includes a list of service profile, with each service profile including an application descriptor; andwherein the at least one security requirement includes a security level, or a list of security features.5.The method (600) according to any of claims 2 to 4,wherein the group comprises an isolation profile based at least on the at least one security requirement;wherein the isolation profile includes group resource isolation rules;wherein the group resource isolation rules at least include: resources type, isolation rule, and / or security criteria;wherein the resources type includes at least one of: a network function type, a network function, a database, or a communication interface; andwherein the security criteria include a security level, or a list of security features.6.The method (600) according to any of claims 2 to 5,wherein the first network node provides the group further based on regulation, and operator policies.7.The method (600) according to any of claims 2 to 6,wherein the second request further comprises at least one slice profile for the at least one CN NSS MOI and / or the at least one RAN NSS MOI.8.The method (600) according to any of claims 1 to 7,wherein the first network node comprises: a Network Slice Management Service Producer, NSMS_P;wherein the second network node comprises: a Network Slice Management Service consumer, NSMS_C; andwherein the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P.9.A method (700) performed by a second network node,transmitting (S702) , to a first network node, a first request for network slice creation, including at least one security requirement; andreceiving (S704) , from the first network node, a response to the first request, including at least an identifier of a network slice management object instance, NS MOI, provided based at least on the at least one security requirement.10.The method (700) according to claim 9,wherein the first request for network slice creation further includes an application descriptor;wherein the response to the first request is provided further based on the application descriptor;wherein the first network node comprises: a Network Slice Management Service Producer, NSMS_P; andwherein the second network node comprises: a Network Slice Management Service consumer, NSMS_C.11.A method (800) performed by a third network node, comprising:receiving (S802) , from a first network node, a second request for at least one NSS MOI, wherein the second request at least includes: at least one security requirement;generating (S804) the at least one NSS MOI, based at least on the second request;generating (S806) resource requirements and / or configurations for core network functions and / or radio access network functions, related to the at least one NSS MOI;transmitting (S808) , to a fourth network node, the resource requirements and / or configurations; andtransmitting (S810) , to the first network node, a response to the second request, including at least one identifier of the at least one at least one NSS MOI.12.The method (800) according to claim 11,wherein the at least one NSS MOI comprises: at least one CN NSS MOI and / or at least one RAN NSS MOI; andwherein the second request further includes: an identifier of a group, and at least one slice profile each including at least one application descriptor.13.The method (800) according to claim 12,wherein the third network node sets security criteria and an optional identifier of network slice group in the at least one CN NSS MOI and / or at least one RAN NSS MOI, based at least on the second request; andwherein the third network node assigns one or more identifiers of Network Slice Instance, NSI, to a CN NSS MOI, for 5th generation core network, 5GC, based at least on local policies.14.The method (800) according to claim 12 or 13,wherein generating the at least one CN NSS MOI and / or at least one RAN NSS MOI comprises:creating (S812) a root CN NSS MOI and / or a root RAN NSS MOI;creating (S814) a dedicated CN NSS MOI and / or a dedicated RAN NSS MOI, for a dedicated resource of the root CN NSS MOI and / or the root RAN NSS MOI; andcreating (S816) a shared CN NSS MOI and / or a shared RAN NSS MOI, with or without a NSS group, for a shared resource of the root CN NSS MOI and / or the root RAN NSS MOI.15.The method (800) according to any of claims 12 to 14,wherein generating the at least one CN NSS MOI and / or at least one RAN NSS MOI further comprises:setting (S818) a resource sharing indicator for the dedicated CN NSS MOI and / or the dedicated RAN NSS MOI, or for the shared CN NSS MOI and / or the shared RAN NSS MOI.16.The method (800) according to any of claims 12 to 14,wherein the third network node sets a first resource sharing indicator in a NSS MOI;wherein when the first resource sharing indicator indicates that the NSS MOI is shared, the third network node splits the NSS MOI into a dedicated part and a shared part;wherein when the dedicated part is not empty, the third network creates a dedicated NSS MOI for the dedicated part; andwherein when the shared part is not empty, the third network creates / updates a matched NSS MOI for the shared part, with or without a NSS group; and sets a second resource sharing indicator in the matched NSS MOI based at least on security criteria and local policies.17.The method (800) according to any of claim16,wherein when the first resource sharing indicator indicates that the NSS MOI is dedicated, the third network node sets the type of the NSS MOI to leaf NSS.18.The method (800) according to any of claims 12 to 17,wherein the resource requirements and / or configurations comprise slice information and Network Slice Instance, NSI, information, for configuring a network slice selection function, NSSF; and / orwherein the resource requirements and / or configurations comprise mappings between at least one identifier of application and at least one Single Network Slice Selection Assistance Information, S-NSSAI, for configuring a policy control function, PCF.19.The method (800) according to claim 18,wherein the slice information includes Network Slice Selection Assistance Information, S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, andwherein the NSI information includes at least one identifier of NSI and at least one identifier of network slice isolation group associated to at least one identifier of NSI.20.The method (800) according to claim 18 or 19,wherein the at least one S-NSSAI is based on at least one slice profile associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI; andwherein the at least one S-NSSAI is used to generate User Equipment Route Selection Policy, URSP, rules for User Equipment, UE, supporting slices associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI.21.The method (800) according to any of claims 12 to 20,wherein the at least one security requirement includes a security level, or a list of security features.22.The method (800) according to any of claims 12 to 21,wherein the group includes an isolation profile;wherein the isolation profile includes group resource isolation rules;wherein the group resource isolation rules at least include: resources type, isolation rule, and security criteria;wherein the resources type includes at least one of: a network function type, a network function, a database, or a communication interface; andwherein the security criteria include a security level, or a list of security features.23.The method (800) according to any of claims 11 to 22,wherein the first network node comprises: a Network Slice Management Service Producer, NSMS_P;wherein the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P; andwherein the fourth network node comprises at least one of: a Network Function Management Service Producer, NFMS_P, a cloud infrastructure, a network slice selection function, NSSF, or a policy control function, PCF.24.A method (900) performed by a fourth network node,receiving (S902) , from a third network node, resource requirements and / or configurations;wherein the resource requirements and / or configurations are for configuring core network functions and / or radio access network functions, related to at least one NSS MOI.25.The method (900) according to claim 24,wherein the at least one NSS MOI comprises: at least one CN NSS MOI and / or at least one RAN NSS MOI.26.The method (900) according to claim 25,wherein the resource requirements and / or configurations comprise: slice information and Network Slice Instance, NSI, information, for configuring a network slice selection function, NSSF.27.The method (900) according to claim 26,wherein the slice information includes Network Slice Selection Assistance Information, S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, andwherein the NSI information includes at least one identifier of NSI and at least one identifier of network slice isolation group associated to at least one identifier of NSI.28.The method (900) according to claim 27,wherein the NSSF transmits, to access and mobility management function, AMF, at least one identifier of NSI for a S-NSSAI, based at least on the S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, during mobility and session management signaling procedure; orwherein the NSSF selects an alternative S-NSSAI, based on an isolation group related to the S-NSSAI and corresponding identifier of NSI supporting each S-NSSAI, during slice replace procedure; orwherein the NSSF checks whether a slice selected by an application function, AF, or a user equipment, UE, for an application is in the same group defined in a User Equipment Route Selection Policy, URSP, related to the application.29.The method (900) according to claim 25,wherein the resource requirements and / or configurations comprise: mappings between at least one identifier of application and at least one Single Network Slice Selection Assistance Information, S-NSSAI, for configuring a policy control function, PCF.30.The method (900) according to claim 29,wherein the at least one S-NSSAI is based on at least one slice profile associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI; andwherein the at least one S-NSSAI is used to generate User Equipment Route Selection Policy, URSP, rules for User Equipment, UE, supporting slices associated to the at least one CN NSS MOI and / or at least one RAN NSS MOI.31.The method (900) according to claim 30,wherein the PCF determines whether slices selected for an application in a User Equipment Route Selection Policy, URSP, are in the same group.32.The method (900) according to any of claims 24 to 31,wherein the third network node comprises: a Network Slice Subnet Management Service Producer, NSSMS_P; andwherein the fourth network node comprises at least one of: a Network Function Management Service Producer, NFMS_P, a cloud infrastructure, a network slice selection function, NSSF, or a policy control function, PCF.33.A first network node (130) comprising means (1300) configured for:receiving, from a second network node, a first request for network slice creation, including at least one security requirement;creating a network slice management object instance, NS MOI;providing a group, for the NS MOI, based at least on the at least one security requirement;transmitting, to a third network node, a second request for at least one network slice subnet management object instance, NSS MOI, wherein the second request at least includes: the at least one security requirement, and an identifier of the group;receiving, from the third network node, a response to the second request, including at least one identifier of the at least one NSS MOI;storing the at least one identifier of the at least one NSS MOI; andtransmitting, to the second network node, a response to the first request, including at least an identifier of the NS MOI.34.The first network node (130) according to claim 33, wherein the means (1300) are further configured for performing the method according to any of the claims 2 to 8.35.The first network node (130) according to claim 33 or 34, wherein the means (1300) comprise:at least one processor (1302) ; andat least one memory (1304) storing instructions that, when executed by the at least one processor (1302) , cause the performance of the first network node (130) .36.A second network node (140) comprising means (1400) configured for:transmitting, to a first network node, a first request for network slice creation, including at least one of: a security requirement, and an application descriptor; andreceiving, from the first network node, a response to the first request, including at least an identifier of a network slice management object instance, NS MOI, provided based at least on the at least one of: the security requirement, and the application descriptor.37.The second network node (140) according to claim 36, wherein the means (1400) are further configured for performing the method according to claim 10.38.The second network node (140) according to claim 36 or 37, wherein the means (1400) comprise:at least one processor (1402) ; andat least one memory (14044) storing instructions that, when executed by the at least one processor (1402) , cause the performance of the second network node (140) .39.A third network node (150) comprising means (1500) configured for:receiving, from a first network node, a second request for at least one NSS MOI, wherein the second request at least includes: at least one security requirement;generating the at least one NSS MOI, based at least on the second request;generating resource requirements and / or configurations for core network functions and / or radio access network functions, related to the at least one NSS MOI;transmitting, to a fourth network node, the resource requirements and / or configurations; andtransmitting, to the first network node, a response to the second request, including at least one identifier of the at least one at least one NSS MOI.40.The third network node (150) according to claim 39, wherein the means are further configured  for performing the method according to any of the claims 12 to 23.41.The third network node (150) according to claim 39 or 40, wherein the means (1500) comprise:at least one processor (1502) ; andat least one memory (1504) storing instructions that, when executed by the at least one processor (1502) , cause the performance of the third network node (150) .42.A fourth network node (160) comprising means (1600) configured for:receiving, from a third network node, resource requirements and / or configurations;wherein the resource requirements and / or configurations are for configuring core network functions and / or radio access network functions, related to at least one NSS MOI.43.The fourth network node (160) according to claim 42, wherein the means (1600) are further configured for performing the method according to any of the claims 25 to 32.44.The fourth network node (160) according to claim 42 or 43, wherein the means (1600) comprise:at least one processor (1602) ; andat least one memory (1604) storing instructions that, when executed by the at least one processor (1602) , cause the performance of the fourth network node.45.A computer-readable storage medium (170) storing instructions (171) , which when executed by at least one processor of a network node, cause the at least one processor of a network node to perform the method according to any of claims 1 to 32.

Images