JP2017143363A - 通信システム及びその認証接続方法 - Google Patents

Abstract

【課題】セキュリティ強度の高い通信システム及びその認証接続方法を提供する。【解決手段】加入者端末１０をキャリア網１００に接続する際に、キャリア網１００による端末認証と連動してグループの認証を実施することで、信頼できない加入端末を完全に排除する。また、グループ認証と連動して、認証されたグループのグループ閉域網２００に自動的に接続することで、キャリア網１００に接続しただけでグループ閉域網２００に参加する。また、１つのキャリアだけでなく、複数のキャリアに跨ってグループ閉域網２００を構築する。【選択図】図１

Description

本発明は、通信システムに関し、特にその認証及び接続技術に関する。

近年、ネットワークに接続されたマシン同士が人間を介在せずに通信を実行し、マシンの制御などを自動的に実行するＭＴＣ（Machine Type Communication）通信の検討が３ＧＰＰなどにより進められている（非特許文献１，２参照）。ここで、ＭＴＣ通信は、必ずしも人間の介入を必要としないデータ通信の一形態であり、センサと自動車など機械同士の通信であるＭ２Ｍ（Machine to Machine）通信も含む。

ＭＴＣ通信では、厳密なセキュリティが必要とされるユースケースが多数ある。例として、自動車やロボットの遠隔制御やヘルスケアセンサを用いたライフログ収集などがある。これらのユースケースでは、自動車やロボットの遠隔制御情報、ユーザの心身状態などの重大なプライバシ情報などが通信対象となる。自動車やロボットなどの端末の脆弱性を悪用した乗っ取りやプライバシ漏洩の防止のため、徹底的なセキュリティ対策が必要となる。

しかし、現在のＭＴＣ通信のアーキテクチャでは、インターネットを介してそれらの通信が行われることとなるため、端末などに脆弱性がある場合には前述の脅威に晒されるなどの問題がある。例えば、悪意のある攻撃者が、インターネットを介して、悪意のある信号を端末に送信することで、端末が遠隔制御できてしまう、また、プライバシ情報を取得できてしまうなどが懸念される。

一方で、端末はインターネットに接続されている必要はなく、データ収集機能や端末制御機能などと通信きればよい。インターネットへの接続性が必要な場合には、それら機能がプロキシとなるなどして、インターネットから完全に遮断することも可能である。

"Architecture enhancements to facilitate communications with packet data networks and applications", 3GPP TS 23.682, 3GPP Std., Rev. 13.3.0, 2015年9月 "Tsp interface protocol between the MTC Interworking Function (MTC-IWF) and Service Capability Server (SCS)", 3GPP TS 29.368, 3GPP Std., Rev. 13.1.0, 2015年9月 "Review of IT Security Suites for Corporate Users, 2010", ISBN: 9783842995431, AV-Comparatives, 2010年10月, [online], [平成28年1月6日検索], インターネット<http://www.av-comparatives.org/wp-content/uploads/2012/04/avc_cor_201010_en.pdf> K. Hamzeh, 他5名, "Point-to-Point Tunneling Protocol (PPTP)", RFC 2637, IETF, 1999年7月，[online], [平成28年1月6日検索], インターネット<URL:https://tools.ietf.org/html/rfc2637> B. Patel, 他4名, "Securing L2TP using IPsec", RFC 3193, IETF, 2001年11月，[online], [平成28年1月6日検索], インターネット<URL:https://tools.ietf.org/html/rfc3193> "Network architecture", 3GPP TS 23.002, 3GPP Std., Rev. 13.3.0, 2015年9月 "General Packet Radio Service (GPRS) enhancements for Evolved Universal Terrestrial Radio Access Network (E-UTRAN) access", 3GPP TS 23.401, 3GPP Std., Rev. 13.4.0, 2015年9月 "Numbering, addressing and identification", 3GPP TS 23.003, 3GPP Std., Rev. 13.3.0, 2015年9月 "System enhancements for the use of IP Multimedia Subsystem (IMS) services in local breakout and optimal routeing of media", 3GPP TR 23.894, 3GPP Std., Rev. 10.0.0, 2009年12月 "Study on roaming architecture for voice over IP Multimedia Subsystem (IMS) with local breakout", 3GPP TR 23.850, 3GPP Std., Rev. 11.0.0, 2011年12月

セキュリティを確保する既存の技術としては、端末に搭載するセキュリティ機能や、ＶＰＮ（Virtual Private Network）などがあるが、下記のように、いずれも脆弱性の問題がある。このため、徹底的なセキュリティ対策方法が必要である。

セキュリティ機能に関しては、端末に搭載可能なアンチウイルスやファイアウォールなどがあるが（非特許文献３参照）、新たに発見される端末の脆弱性を突いた攻撃（ゼロデイ攻撃）などには対応できず、完全に脅威を排除することはできないという問題がある。

ＶＰＮは、端末と機能ノード間などでＰＰＴＰ（Point-to-Point Tunneling Protocol）やＩＰＳｅｃ／Ｌ２ＴＰ（IP Security / Layer 2 Tunneling Protocol）などのトンネルを構築し、閉域化する技術である（非特許文献４，５参照）。しかし、端末側への機能追加が必要であるという問題がある。ここで機能ノードとは、端末制御機能やログ収集機能など、端末が通信するノードを意味する。ＭＴＣ通信では、センサと通信機能のみを有する端末のように、高度な機能を搭載できない端末も存在するため、ＶＰＮが使用できない場合が多い。また、ＰＰＴＰは脆弱性が指摘されており、ＶＰＮの外部から内部の通信を解読可能である。今後ＩＰＳｅｃ／Ｌ２ＴＰも同様の問題が発生する懸念がある。

本発明は上記事情に鑑みてなされたものであり、その目的とするところは、セキュリティ強度の高い通信システム及びその認証接続方法を提供することにある。

本願発明は、図１に示すように、キャリア網１００内に、信頼された加入者端末１０や機能ノード２０のみで構成されたグループを構成し、端末認証と連動してグループを認証する認証システム、およびそのグループで閉域化されたネットワーク・スライスであるグループ閉域網２００に加入者端末を接続する接続システムである。

本発明は、以下の点をポイントとしている。加入者端末１０をキャリア網１００に接続する際に、キャリア網１００による端末認証と連動してグループの認証を実施することで、信頼できない加入端末を完全に排除する認証システムを有する。また、グループ認証と連動して、認証されたグループのグループ閉域網２００に自動的に接続することで、キャリア網１００に接続しただけでグループ閉域網２００に参加できる接続システムを有する。また、１つのキャリアだけでなく、複数のキャリアに跨ってグループ閉域網２００を構築できる接続システムを有する。また、キャリア網１００による端末認証と連動することで、加入者端末１０への新たなクライアント機能の追加は不要である。

すなわち、上記目的を達成するために、本願発明は、加入者端末を収容する一以上のキャリア網と、キャリア網内に配置されキャリア網に接続を要求する加入者端末の端末認証処理を行う端末認証処理手段とを備えた通信システムにおいて、前記端末認証処理と連動して、キャリア網が加入者に対して割り当てる加入者識別子を用いて加入者端末が属するグループの認証処理を行うグループ認証処理手段と、前記端末認証処理手段で端末認証され且つ前記グループ認証処理手段でグループ認証された加入者端末を認証されたグループに対応するグループ閉域網に接続するよう制御する接続処理手段とを備えたことを特徴とする。

ここで、グループとは、図２に示すように、互いに信頼された加入者端末同士で構成された加入者端末群と機能ノードの集合を意味する。また、グループ閉域網とは、グループ内の加入者端末やノード同士のみが通信できるネットワーク・スライスを意味する。

本発明によれば、加入者端末をキャリア網に接続する際に実施されるキャリア網による端末認証と連動してグループの認証を実施するので、信頼できない端末を完全に排除し徹底的なセキュリティを実現できる。また、グループの認証と連動して，認証されたグループのグループ閉域網に自動的に接続するので、キャリア網に接続しただけでグループ閉域網に参加できる。また、１つのキャリア網だけでなく、複数のキャリア網に跨ってグループ閉域網を構築でき、加入者端末が異なるキャリア網から接続してもいつでもグループ閉域網に参加できる。また、キャリア網による端末認証と連動することで、加入者端末へのグループ閉域網のための新たなクライアント機能の追加が不要でグループに参加できる。

本願発明の概要を説明する図 グループ及びグループ閉域網を説明するイメージ図 ネットワークシステムの基本構成図 他の例に係るネットワークシステムの基本構成図 グループ認証とグループ閉域網への接続のシーケンス 他の例に係るグループ認証とグループ閉域網への接続のシーケンス 実施例１に係るグループ認証とグループ閉域網への接続のシーケンス 実施例１に係るグループ認証とグループ閉域網への接続の詳細シーケンス 実施例２に係るグループ認証とグループ閉域網への接続のシーケンス

本発明の一実施の形態に係る通信システムについて図面を参照して説明する。本実施の形態では、通信システムの一例としてＬＴＥ（Long Term Evolution）アーキテクチャを採用した移動網において本発明を適用した場合について説明する。

まず、本実施の形態に係る通信システムの基本構成について図３を参照して説明する。ＬＴＥアーキテクチャでは、キャリア網１００に、ＨＳＳ（Home Subscriber Server）と呼ばれ加入者情報を格納し端末認証を行う加入者情報管理機能部１１０と、ＭＭＥ（Mobility Management Entity）と呼ばれ端末（ＵＥ：User Equipment）１０の移動管理を行う移動管理機能部１２０と、Ｓ−ＧＷ（Serving-Gateway）と呼ばれ端末（ＵＥ）１０の通信を中継する中継ノード１３０と、Ｐ−ＧＷ（Packet data network-Gateway）と呼ばれ端末（ＵＥ）１０の通信を終端しグループ閉域網２００に中継するゲートウェイ１４０と、ＢＴＳ（Base Transceiver Station）と呼ばれ端末（ＵＥ）１０を無線区間で収容する基地局１５０を備えている。なお、ＬＴＥアーキテクチャの詳細については、非特許文献６〜８を参照されたい。ここで、端末（ＵＥ）１０は、携帯電話やスマートフォンなどユーザが操作するものだけでなく、ＭＴＣ通信における被制御端末やセンサなどの各種装置を含み、キャリア網１００に収容される装置全般を含む。

なお、上記において、１つのキャリア網１００に対して、端末（ＵＥ）１０、基地局（ＢＴＳ）１５０、移動管理機能部（ＭＭＥ）１２０、加入者情報管理機能部（ＨＳＳ）１１０、中継ノード（Ｓ−ＧＷ）１３０、ゲートウェイ（Ｐ−ＧＷ）１４０は、それぞれ２つ以上あってもよい。また、キャリア網１００も２つ以上であってもよい。また、前記各機能部は、ハードウェアとして実装してもよいし、汎用のハードウェアにプログラムをインストールして実装するようにしてもよい。

端末（ＵＥ）１０は、基地局（ＢＴＳ）と通信し、キャリア網１００へのアタッチを要求する機能を有する。また、端末（ＵＥ）１０は、キャリアから指定されたＳＩＭ（Subscriber Identity Module）カードを装着しており、ＳＩＭカードには加入者識別子であるＩＭＳＩ（International Mobile Subscriber Identity）、接続先を選択するＡＰＮ（Access Point Name）などの情報が格納されている。ここで加入者識別子であるＩＭＳＩは、ワールドワイドで加入者を識別する識別子である。また、端末（ＵＥ）１０には、製造者により予め設定された端末固有の識別子であるＩＭＥＩ（International Mobile Equipment Identity）が格納されている。前記加入者識別子及び端末識別子は、キャリア網間で共通的に使用され、異なるキャリアであっても唯一性が担保されるものである。

加入者情報管理機能部（ＨＳＳ）１１０は、キャリアと契約する加入者の情報、加入者がどのグループに参加しているかの情報を有する。例えば、加入者識別子とグループ識別子とを関連づけて記憶した情報を有する。グループ識別子としては、ＬＴＥではＩＭＳＩ−Ｇｒｏｕｐ−ＩＤというグループ識別子があり、これを用いることができる。加入者情報管理機能部（ＨＳＳ）１１０は、前記記憶情報を用いて、移動管理機能部（ＭＭＥ）１２０からの要求に応じて従来周知の端末認証を実施するとともに、この端末認証と連動してグループ認証を行う。グループ認証処理では、加入者識別子をキーとして加入者が属するグループのグループ識別子を取得し、端末認証された加入者識別子を有する加入者が前記グループ識別子で特定されるグループに属するか否かを認証する処理を含む。

移動管理機能部（ＭＭＥ）１２０は、アタッチを要求した端末（ＵＥ）１０を加入者情報管理機能部（ＨＳＳ）１１０に照会し、グループ認証を依頼する機能を有する。中継ノード（Ｓ−ＧＷ）１３０は、基地局（ＢＴＳ）１５０からの通信をゲートウェイ（Ｐ−ＧＷ）１４０に転送する機能を有する。ゲートウェイ（Ｐ−ＧＷ）は、中継ノード（Ｓ−ＧＷ）からの通信をグループ閉域網２００やインターネットなどの外部ネットワーク（図示省略）に転送する機能を有する。基地局（ＢＴＳ）１５０は、端末１０と通信し、端末１０のアタッチ要求を移動管理機能部（ＭＭＥ）に通知する機能と、端末１０の通信を中継ノード（Ｓ−ＧＷ）に転送する機能を有する。

グループ閉域網２００は、グループに属する端末（ＵＥ）１０や機能ノードが互いに通信するための接続性を提供する機能を有する。ここで、グループとは互いに信頼された端末（ＵＥ）１０同士で構成された端末群と機能ノード２０の集合により構成されるものであり、グループ閉域網２００とはグループ内の端末１０や機能ノード２０同士のみが通信できるネットワーク・スライスである。ここで機能ノード２０とは、端末制御機能やログ収集機能など、加入者端末１０が通信する通信相手先のノードを意味する。機能ノード２０は、キャリア網１００又はグループ閉域網２００内に配置し、通信相手である加入者端末１０と同じグループに属する。例えば、機能ノード２０は、キャリア網１００内に設置したデータセンタ内に配備される。

グループ閉域網２００は、グループ毎に複数存在する。グループ毎の各グループ閉域網２００は、それぞれ異なる物理ネットワークにより形成してもよいし、共通の物理ネットワーク上にグループ毎に仮想化したネットワークにより形成してもよい。グループ閉域網２００には、前記加入者情報管理機能部（ＨＳＳ）１１０で認証された端末（ＵＥ）１０のみが接続できる。また、同一のグループ閉域網２００に属する端末（ＵＥ）１０及び機能ノード２０同士は、収容キャリアが異なっていても互いに通信可能である。また、あるグループ閉域網２００に属する端末（ＵＥ）１０及び機能ノード２０は、そのグループ閉域網２００に属する端末（ＵＥ）及び機能ノード２０のみと通信可能であり、グループ外の端末（ＵＥ）１０及び機能ノード２０や、他のグループ閉域網２００に属する端末（ＵＥ）１０及び機能ノード２０とは通信できない。本発明における「グループ」はキャリア網１００とは独立した概念なので、図２のイメージ図に示すように、グループ閉域網２００は複数の通信事業者（キャリア）のキャリア網１００を跨がって構成できる。

図４に本実施の形態の変形例に係るネットワークシステムの基本構成を示す。図４の基本構成は、中継ノード（Ｓ−ＧＷ）１３０とゲートウェイ（Ｐ−ＧＷ）を統合ゲートウェイ（Ｓ／Ｐ−ＧＷ）１６０として単一のエンティティに統合したものである。統合ゲートウェイ（Ｓ／Ｐ−ＧＷ）１６０は、中継ノード（Ｓ−ＧＷ）１３０とゲートウェイ（Ｐ−ＧＷ）１４０の両方の機能を具備するエンティティであり、この実施形態では、中継ノード（Ｓ−ＧＷ）１３０とゲートウェイ（Ｐ−ＧＷ）の両方の役割を統合ゲートウェイ（Ｓ／Ｐ−ＧＷ）１６０が実施するものとする。その他の構成及びその機能は図３の基本構成と同様である。

次に、本実施の形態に係る通信システムにおけるグループ認証とグループ閉域網への接続シーケンスについて図５及び図６を参照して説明する。図５は図３を参照して説明した通信システムにおける認証・接続のシーケンス図である。図６は図４を参照して説明した他の例に係る通信システムにおける認証・接続のシーケンス図である。

図５に示すように、まず、端末（ＵＥ）１０は、キャリア網１００にアタッチする（ステップＳ１）。基地局（ＢＴＳ）１５０は、端末（ＵＥ）１０のアタッチ要求を移動管理機能部（ＭＭＥ）１２０に通知する（ステップＳ２）。移動管理機能部（ＭＭＥ）１２０は、加入者情報管理機能部（ＨＳＳ）１１０にグループ認証と位置登録を要求する（ステップＳ３）。加入者情報管理機能部（ＨＳＳ）１１０は、端末認証を行うとともに、グループ認証を実施する（ステップＳ４）。移動管理機能部（ＭＭＥ）１２０は、中継ノード（Ｓ−ＧＷ）１３０にゲートウェイ（Ｐ−ＧＷ）１４０への接続を指示し、グループへの接続情報を通知する（ステップＳ５）。中継ノード（Ｓ−ＧＷ）１３０は、ゲートウェイ（Ｐ−ＧＷ）１４０に接続を要求し、グループへの接続情報を通知する（ステップＳ６）。ゲートウェイ（Ｐ−ＧＷ）１４０は、グループへの接続情報に基づき、グループ識別子に一致したグループ閉域網２００に端末（ＵＥ）１０を接続する（ステップＳ７）。この際、ゲートウェイ（Ｐ−ＧＷ）１４０は、グループへの接続情報に基づき、グループ毎の経路設定を自身に設定する。端末（ＵＥ）１０が属するグループのグループ閉域網２００が未生成の場合には、グループ閉域網２００を構成するシステムに対し、該グループのグループ閉域網２００の構築を要求する。以上の処理により、端末（ＵＥ）１０は、自身が属する個々のグループ閉域網２００に参加する（ステップＳ８）。

図６に示すように、図４を参照して説明した他の例に係る通信システムにおいても上記のシーケンスと同様となる。すなわち、前記ステップＳ５における通知先及び前記ステップＳ６及びＳ７において動作主体が統合ゲートウェイ（Ｓ／Ｐ−ＧＷ）１６０となること以外は、図５のシーケンスと同様である。

ＬＴＥアーキテクチャにおいて、加入しているキャリア網（Ｈ網）１００に端末（ＵＥ）１０が接続する際の実施例を図７に示す。ここでは、図５及び図６を参照して説明したシーケンスにおいて、特にＬＴＥに特化した部分のみを差分として説明するものとする。

図７に示すように、標準のＬＴＥ端末と同様に、端末（ＵＥ）１０は、キャリア網１００にアタッチする（ステップＳ１１）。加入者情報管理機能部（ＨＳＳ等）１１０は、端末認証を行うとともに、加入者識別子を用いてグループ認証を実施する（ステップＳ２）。移動管理機能部（ＭＭＥ等）１２０は、ＡＰＮによりゲートウェイ選択を行う（ステップＳ３）。中継ノード（Ｓ−ＧＷ等）１３０は、ゲートウェイに接続要求を行う（ステップＳ４）。ゲートウェイ（Ｐ−ＧＷ等）１４０は、グループへの接続情報に基づき、グループ識別子に一致したグループ閉域網２００に端末（ＵＥ）１０を接続する（ステップＳ５）。この際、ゲートウェイ（Ｐ−ＧＷ等）１４０は、グループへの接続情報に基づき、グループ毎の経路設定を自身に設定する。端末（ＵＥ）１０が属するグループのグループ閉域網２００が未生成の場合には、グループ閉域網２００を構成するシステムに対し、該グループのグループ閉域網２００の構築を要求する。以上の処理により、端末（ＵＥ）１０は、自身が属する個々のグループ閉域網２００に参加する（ステップＳ８）。

以上の処理の詳細シーケンスについて図８を参照して説明する。

まず、端末（ＵＥ）１０は、移動管理機能部（ＭＭＥ）１２０に対してアタッチ要求を送信する（ステップＳ１０１）。ここでアタッチ要求は、端末／無線についての情報（ＩＭＳＩ，ＡＰＮを含む）を含む。端末（ＵＥ）１０と移動管理機能部（ＭＭＥ）１２０間では、認証、秘匿、インテグリティ制御が実施される。

次に移動管理機能部（ＭＭＥ）１２０は、加入者情報管理機能部（ＨＳＳ）１１０に対して、ＩＭＳＩ，ＭＭＥ識別子等を含む位置登録要求を送信する（ステップＳ１０２）。加入者情報管理機能部（ＨＳＳ）１１０は、位置登録情報の記憶、具体的には端末（ＵＥ）１０の在圏先ＭＭＥの記憶を行う（ステップＳ１０３）。次に、加入者情報管理機能部（ＨＳＳ）は、端末（ＵＥ）１０が提示した加入者識別子（ＩＭＳＩ）をキーにしてグループ認証処理を行う（ステップＳ１０４）。このグループ認証処理では、具体的には、端末（ＵＥ）１０のＩＭＳＩをキーとして属するグループの識別子であるＩＭＳＩ−Ｇｒｏｕｐ−ＩＤを特定する。次に、加入者情報管理機能部（ＨＳＳ）１１０は、移動管理機能部（ＭＭＥ）１２０に対して位置登録応答を送信する（ステップＳ１０５）。この位置登録応答は、グループ識別子であるＩＭＳＩ−Ｇｒｏｕｐ−ＩＤと、加入契約情報（契約ＡＰＮ等）が含まれる。

次に移動管理機能部（ＭＭＥ）１２０は、中継ノード（Ｓ−ＧＷ）１３０及びゲートウェイ（Ｐ−ＧＷ）１４０を選択する（ステップＳ１０６）。具体的には、端末（ＵＥ）１０が通知したＡＰＮ又は加入者情報管理機能部（ＨＳＳ）１１０が指示した契約ＡＰＮなどに基づき中継ノード（Ｓ−ＧＷ）１３０及びゲートウェイ（Ｐ−ＧＷ）１４０を選択する。

次に移動管理機能部（ＭＭＥ）１２０は、選択した中継ノード（Ｓ−ＧＷ）１３０に対してベアラ設定要求を送信する（ステップＳ１０７）。このベアラ設定要求には、ＩＭＳＩ、ＩＭＳＩ−Ｇｒｏｕｐ−ＩＤ、前記ステップＳ１０６で選択したゲートウェイ（Ｐ−ＧＷ）１４０の情報が含まれる。

次に中継ノード（Ｓ−ＧＷ）１３０は、前記ステップＳ１０６で選択したゲートウェイ（Ｐ−ＧＷ）１４０に対して経路設定要求を送信する（ステップＳ１０８）。この経路設定要求には、ＩＭＳＩ、ＩＭＳＩ−Ｇｒｏｕｐ−ＩＤの情報が含まれる。ゲートウェイ（Ｐ−ＧＷ）１４０は、ＰＤＮ接続処理、より具体的には、中継ノード（Ｓ−ＧＷ）１３０からのベアラをグループ閉域網２００に接続する（ステップＳ１０９）。この際、ゲートウェイ（Ｐ−ＧＷ）１４０は、グループへの接続情報（ＩＭＳＩ−Ｇｒｏｕｐ−ＩＤ）に基づき、グループ毎の経路設定を自身に設定する（ステップＳ１１３）。なお、端末（ＵＥ）１０が属するグループのグループ閉域網２００が未生成の場合には、グループ閉域網２００を構成するシステムに対し、該グループのグループ閉域網の構築を要求する（ステップＳ１１０）。グループ閉域網２００を構成するシステムは、ゲートウェイから（Ｐ−ＧＷ）１４０の要求に基づき、該グループを収容するグループ閉域網２００のネットワーク（ＶＬＡＮ、ＶｘＬＡＮ、ＭＰＬＳ−ＶＰＮ等）を構築する（ステップＳ１１１，Ｓ１１２）。そしてゲートウェイ（Ｐ−ＧＷ）１４０は、経路設定応答を中継ノード（Ｓ−ＧＷ）１３０に送信する（ステップＳ１１４）。中継ノード（Ｓ−ＧＷ）１３０は、無線アクセスベアラの準備処理を実施し（ステップＳ１１５）、移動管理機能部（ＭＭＥ）１２０に対してベアラ設定応答を送信する（ステップＳ１１６）。このベアラ設定応答には、基地局（ＢＴＳ）１５０向けの伝達情報が含まれる。

次に移動管理機能部（ＭＭＥ）１２０は、基地局（ＢＴＳ）１５０に対してコンテキスト設定要求を送信する（ステップＳ１１７）。このコンテキスト設定要求には、中継ノード（Ｓ−ＧＷ）１３０からの伝達情報及びアタッチ受入信号が含まれる。基地局（ＢＴＳ）１５０は、端末（ＵＥ）１０に対して、無線アクセスベアラ設定要求及びアタッチ受入信号を送信する（ステップＳ１１８）。そして、基地局（ＢＴＳ）１５０は、端末（ＵＥ）１０から無線アクセスベアラ設定応答を受信すると（ステップＳ１１９）、移動管理機能部（ＭＭＥ）１２０にコンテキスト設定応答を送信する（ステップＳ１２０）。一方、端末（ＵＥ）１０は、移動管理機能部（ＭＭＥ）１２０に対してアタッチ完了応答を送信する（ステップＳ１２１）。以上の処理で、上りユーザパケットデータの接続が完了する（端末（ＵＥ）１０→グループ閉域網２００向け）。

次に移動管理機能部（ＭＭＥ）１２０は、中継ノード（Ｓ−ＧＷ）１３０に対してベアラ更新要求を送信する（ステップＳ１２２）。中継ノード（Ｓ−ＧＷ）１３０は、中継ノード（Ｓ−ＧＷ）１３０から基地局（ＢＴＳ）１５０方向の無線アクセスベアラを更新し（ステップＳ１２３９）、ベアラ更新応答を移動管理機能部（ＭＭＥ）１２０に送信する（ステップＳ１２４）。以上の処理で、下りユーザパケットデータの接続が完了する（グループ閉域網２００→端末（ＵＥ）１０向け）。

ＬＴＥアーキテクチャにおいて、加入していないキャリア網（Ｖ網）１００ｂに端末（ＵＥ）１０が接続し、ローミングによりグループ閉域網に接続する際の実施例を図９に示す。端末（ＵＥ）１０はキャリア網（Ｈ網）１００ａに加入しているものとする。ここでは、図５及び図６を参照して説明したシーケンスにおいて、特にＬＴＥに特化した部分のみを差分として説明するものとする。

図９に示すように、標準のＬＴＥ端末と同様に、端末（ＵＥ）１０は、キャリア網（Ｖ網）１００ｂにアタッチする（ステップＳ２１）。移動管理機能部（ＭＭＥ等）１２０ｂは、端末（ＵＥ）１０が加入しているキャリア網（Ｈ網）１００ａの加入者情報管理機能部（ＨＳＳ）１１０ａに対して、グループ認証と位置登録を要求する（ステップＳ２２）。キャリア網（Ｈ網）１００ａの加入者情報管理機能部（ＨＳＳ等）１１０ａは、端末認証を行うとともに、加入者識別子（ＩＭＳＩ）を用いてグループ認証を実施する（ステップＳ２３）。移動管理機能部（ＭＭＥ等）１２０ｂは、ゲートウェイを選択し、中継ノード（Ｓ−ＧＷ等）１３０ｂに対し、ローカルブレークアウトを指示する（ステップＳ２４）。中継ノード（Ｓ−ＧＷ等）１３０ｂは、ゲートウェイに接続要求を行う（ステップＳ２５）。ゲートウェイ（Ｐ−ＧＷ等）１４０ｂは、グループへの接続情報に基づき、グループ識別子に一致したグループ閉域網２００に端末（ＵＥ）１０を接続する（ステップＳ２６）。この際、ゲートウェイ（Ｐ−ＧＷ等）１４０ｂは、グループへの接続情報に基づき、グループ毎の経路設定を自身に設定する。端末（ＵＥ）１０が属するグループのグループ閉域網２００が未生成の場合には、グループ閉域網２００を構成するシステムに対し、該グループのグループ閉域網２００の構築を要求する。以上の処理により、端末（ＵＥ）１０は、自身が属する個々のグループ閉域網２００に参加する（ステップＳ２７）。

なお、上記のローミングやローカルブレークアウトの方式は３ＧＰＰで規定されている方式（非特許文献９，１０参照）やその他の方式を使用するとし、ここでは規定しないものとする。

このように、本実施の形態によれば、端末（ＵＥ）１０をキャリア網１００に接続する際に実施されるキャリア網１００による端末認証と連動して加入者識別子を用いてグループの認証を実施するので、信頼できない端末（ＵＥ）１０を完全に排除し徹底的なセキュリティを実現できる。また、グループの認証と連動して、認証されたグループのグループ閉域網２００に自動的に接続するので、キャリア網１００に接続しただけでグループ閉域網２００に参加できる。また、１つのキャリア網１００だけでなく、複数のキャリア網１００に跨ってグループ閉域網２００を構築でき、端末（ＵＥ）１０が異なるキャリア網１００から接続してもどこでもグループ閉域網２００に参加できる。また、キャリア網１００による端末認証と連動することで、端末（ＵＥ）１０へのグループ閉域網２００のための新たなクライアント機能の追加が不要でグループに参加できる。

以上、本発明は一実施の形態について詳述したが、本発明はこれに限定されるものではない。例えば、上記実施の形態ではキャリア網としてＬＴＥアーキテクチャのものを例示したが、他のアーキテクチャのキャリア網でも本発明を実施できる。また、複数のキャリア網が全て同一のアーキテクチャである必要はなく、複数のアーキテクチャが混在していてもよい。

１０…端末（ＵＥ）
２０…機能ノード
１００…キャリア網
１１０…加入者情報管理機能部（ＨＳＳ）
１２０…移動管理機能部（ＭＭＥ）
１３０…中継ノード（Ｓ−ＧＷ）
１４０…ゲートウェイ（Ｐ−ＧＷ）
１５０…基地局（ＢＴＳ）
１６０…統合ゲートウェイ（Ｓ／Ｐ−ＧＷ）
２００…グループ閉域網

Claims (5)

1. 加入者端末を収容する一以上のキャリア網と、キャリア網内に配置されキャリア網に接続を要求する加入者端末の端末認証処理を行う端末認証処理手段とを備えた通信システムにおいて、
   前記端末認証処理と連動して、キャリア網が加入者に割り当てる加入者識別子を用いて加入者端末が属するグループの認証処理を行うグループ認証処理手段と、
   前記端末認証処理手段で端末認証され且つ前記グループ認証処理手段でグループ認証された加入者端末を認証されたグループに対応するグループ閉域網に接続するよう制御する接続処理手段とを備えた
   ことを特徴とする通信システム。
2. 前記グループ閉域網には異なる複数のキャリア網に接続した同一グループに属する複数の加入者端末が接続する
   ことを特徴とする請求項１記載の通信システム。
3. 前記接続処理手段は、自身のキャリア網に加入していない加入者端末から接続要求を受けると、該加入者端末の加入しているキャリア網に対して、該キャリア網の端末認証処理手段及びグループ認証処理手段で端末認証処理及びグループ認証処理を行うよう接続要求を送信する
   ことを特徴とする請求項１又は２何れか１項記載の通信システム。
4. キャリア網内又はグループ閉域網に配置され通信相手である加入者端末と同じグループに属する通信装置を備えた
   ことを特徴とする請求項１乃至３何れか１項記載の通信システム。
5. 加入者端末を収容する一以上のキャリア網と、キャリア網内に配置されキャリア網に接続を要求する加入者端末の端末認証処理を行う端末認証処理手段とを備えた通信システムにおける認証接続方法であって、
   グループ認証処理手段が、前記端末認証処理と連動して、キャリア網が加入者に対して割り当てる加入者識別子を用いて加入者端末が属するグループの認証処理を行うステップと、
   接続処理手段が、前記端末認証処理手段で端末認証され且つ前記グループ認証処理手段でグループ認証された加入者端末を認証されたグループに対応するグループ閉域網に接続するよう制御する
   ことを特徴とする通信システムにおける認証接続方法。

Images