JP7565321B2 - オンボーディングプロセスのためのユーザ端末と通信ネットワークとの間の認証 - Google Patents

Description

本分野は、一般に、通信ネットワークに関し、より具体的には、そのような通信ネットワークにおけるセキュリティ管理に関するものであるが、これに限定されない。

本節では、本発明をよりよく理解するために役立つ態様を紹介する。したがって、本節の記載は、この観点から読まれるべきであり、先行技術にあるものまたは先行技術にないものの容認として理解されるものでない。

Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）技術としても知られる第４世代（４Ｇ）無線移動体通信技術は、特に人間の相互作用のために高いデータレートで大容量のモバイルマルチメディアを提供するように設計されたものである。次世代または第５世代（５Ｇ）技術は、人間の相互作用のためだけでなく、いわゆるモノのインターネット（ＩｏＴ）ネットワークにおけるマシンタイプ通信のためにも使用されることを意図している。

５Ｇネットワークは、大規模なＩｏＴサービス（例えば、非常に多数の限られた容量のデバイス）およびミッションクリティカルなＩｏＴサービス（例えば、高い信頼性が必要）を可能にすることを意図しているが、従来の移動体通信サービスに対する改善は、モバイルデバイスに対して改良型無線インターネットアクセスを提供する高速大容量（ｅＭＢＢ）サービスの形態でサポートされる。

例示的な通信システムにおいて、モバイル端末（加入者）などのユーザ端末（５Ｇネットワークにおける５Ｇ ＵＥ、より広義にはＵＥ）は、５Ｇネットワークにおいて５Ｇ ＡＮと呼ばれるアクセスネットワークの基地局またはアクセスポイントとエアインターフェースを介して通信する。アクセスポイント（例えば、ｇＮＢ）は、例示的に、通信システムのアクセスネットワークの一部である。例えば、５Ｇネットワークにおいて、５Ｇ ＡＮと呼ばれるアクセスネットワークは、「Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ； Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ ｔｈｅ ５Ｇ Ｓｙｓｔｅｍ」と題する５Ｇの技術仕様書（ＴＳ）２３．５０１、および「Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ； Ｐｒｏｃｅｄｕｒｅｓ ｆｏｒ ｔｈｅ ５Ｇ Ｓｙｓｔｅｍ（５ＧＳ）」と題するＴＳ ２３．５０２で説明され、それらの開示は参照により全体として本明細書に組み込まれるものとする。一般に、アクセスポイント（ｇＮＢなど）は、ＵＥに対してコアネットワーク（ＣＮまたは５ＧＣ）へのアクセスを提供し、コアネットワークは、ＵＥに対して他のＵＥおよび／またはパケットデータネットワーク（インターネットなど）などのデータネットワークへのアクセスを提供する。

ＴＳ ２３．５０１は、サービスをネットワーク機能（ＮＦ）としてモデル化し、表現状態転送アプリケーションプログラミングインターフェース（Ｒｅｓｔｆｕｌ ＡＰＩ）を使用して互いに通信する５Ｇサービスベースアーキテクチャ（ＳＢＡ）をさらに定義している。

さらに、「Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ； Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ａｎｄ Ｐｒｏｃｅｄｕｒｅｓ ｆｏｒ ｔｈｅ ５Ｇ Ｓｙｓｔｅｍ」と題する５Ｇの技術仕様書（ＴＳ） ３３．５０１は、その開示内容が参照により全体として本明細書に組み込まれるが、５Ｇネットワークに関連するセキュリティ管理の詳細についてさらに説明している。

ＴＳ ２３．５０１およびＴＳ ３３．５０１は、「ＵＥオンボーディング」または「デバイスオンボーディング」（またはより一般的にはオンボーディングプロセス）と呼ばれる、ＵＥのオンボーディングプロセスにも言及することにさらに留意されたい。より具体的には、オンボーディングは、初めてオンラインになる新しいデバイスがプロビジョニングされるプロセスである。新しいデバイスは、ベースライン接続（ｂａｓｅｌｉｎｅ ｃｏｎｎｅｃｔｉｖｉｔｙ）とネットワークサービスを獲得し、デバイスがネットワークやアプリケーション層の手順で自身をブートストラップできるようにする。

セキュリティ管理は、あらゆる通信システムにおいて重要な考慮事項である。しかし、ネットワークの効率や加入者の利便性を高めるために、５Ｇネットワークに関連するアーキテクチャやプロトコルを改善しようとする試みが続いているため、セキュリティ管理の問題は、特にオンボーディングプロセスに関して大きな課題となる可能性がある。

例示的な実施形態は、ユーザ端末のためのオンボーディングプロセスの間のセキュリティ管理のための技術を提供する。

例えば、ユーザ端末の観点からの１つの例示的な実施形態では、方法は、ユーザ端末によって、前記ユーザ端末とオンボーディングネットワークとの間の認証プロセスを開始させることであって、前記認証プロセスが、前記オンボーディングネットワークを介して、前記ユーザ端末または前記ユーザ端末の組に対して事前に構成され、前記オンボーディングネットワークによって維持される、少なくとも１つのオンボーディングレコードに基づいて、行われる。前記認証プロセスが正常に完了すると、通信セッションが、前記オンボーディングネットワークを介して、前記ユーザ端末のリモートプロビジョニングのためのプロビジョニングサーバーに要求される。

さらなる例として、オンボーディングネットワークの観点からの１つの例示的な実施形態では、方法は、オンボーディングネットワークを介して、ユーザ端末または前記ユーザ端末の組に対して事前に構成され、前記オンボーディングネットワークによって維持されるオンボーディングレコードに基づいて、前記ユーザ端末を認証することを含む。認証に成功した場合、通信セッションが、前記オンボーディングネットワークから、前記ユーザ端末のリモートプロビジョニングのためのプロビジョニングサーバーに確立される。
を含む、方法。

さらなる例示的な実施形態は、プロセッサによって実行されたときにプロセッサに上記のステップを実行させる実行可能なプログラムコードをそこに含む、非一時的コンピュータ可読記憶媒体の形態で提供される。さらに、さらなる例示的な実施形態は、上記のステップを実行するように構成されたプロセッサとメモリとを備える装置を備える。有利には、オンボーディングプロセスは、デフォルトクレデンシャルサーバーなしに実行される。

本明細書に記載される実施形態のこれらおよび他の特徴および利点は、添付の図面および以下の詳細な説明からより明らかになるであろう。

１つ以上の例示的な実施形態が実装され得る通信システムを示す図である。 １つ以上の例示的な実施形態が実装され得るユーザ端末およびネットワークエンティティを示す図である。 例示的な実施形態による、通信ネットワークに関するユーザ端末のオンボーディングプロセスを示す図である。 例示的な実施形態による、ユーザ端末のためのオンボーディングプロセスにおける信号フローを示す図である。 例示的な実施形態による、ユーザ端末のためのオンボーディングレコードを作成／削除するための信号フローを示す図である。

実施形態は、通信システムにおけるセキュリティ管理のための例示的な通信システムおよび関連する技術と共に本明細書に例示される。しかし、特許請求の範囲は、開示された特定の種類の通信システムおよび／またはプロセスに限定されないことを理解されたい。実施形態は、代替のプロセスおよび動作を使用して、多種多様な他の種類の通信システムで実施することができる。例えば、３ＧＰＰ次世代システム（５Ｇ）などの３ＧＰＰシステム要素を利用する無線携帯電話システムのコンテキストで図示されているが、開示された実施形態は、様々な他の種類の通信システムにそのまま適応させることができる。

５Ｇ通信システム環境で実装される例示的な実施形態に従って、１つ以上の３ＧＰＰ技術仕様書（ＴＳ）および技術報告書（ＴＲ）は、例えば、上記の３ＧＰＰ ＴＳ ２３．５０１および３ＧＰＰ ＴＳ ３３．５０１など、本発明のソリューションの一部と相互作用し得るネットワーク要素／機能および／または動作に関するさらなる説明を提供し得る。他の３ＧＰＰ ＴＳ／ＴＲ文書は、当業者が実現する他の詳細を提供することができる。例えば、「Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ； Ｓｔｕｄｙ ｏｎ Ｅｎｈａｎｃｅｄ Ｓｅｃｕｒｉｔｙ Ｓｕｐｐｏｒｔ ｆｏｒ Ｎｏｎ－Ｐｕｂｌｉｃ Ｎｅｔｗｏｒｋｓ （ＮＰＮ）」と題するＴＲ ３３．８５７；その開示内容は参照によりその全体が本明細書に組み込まれるが、以下に言及するか、またはいくつかの例示の実施形態のコンテキストにおいて他の形で適用することができる。しかし、５Ｇ関連の３ＧＰＰ規格によく適しているが、実施形態は、必ずしも特定の規格に限定されることを意図していない。

さらに、本明細書で例示的に使用されるように、以下を含むがこれらに限定されない様々な略語が参照されるであろう。
ＡＭＦ：アクセスおよびモビリティ管理機能（Ａｃｃｅｓｓ ａｎｄ Ｍｏｂｉｌｉｔｙ ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）
ＡＰＩ：アプリケーションプログラミングインタフェース（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）
ＡＵＳＦ：認証サーバー機能（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｓｅｒｖｅｒ Ｆｕｎｃｔｉｏｎ）
ＣＡ：認証局（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ）
ＤＣＯ：ＤＣＳ所有者（ＤＣＳ Ｏｗｎｅｒ）
ＤＣＳ：デフォルトクレデンシャルサーバー（Ｄｅｆａｕｌｔ Ｃｒｅｄｅｎｔｉａｌ Ｓｅｒｖｅｒ）
ＤＮＳ：ドメイン名サーバー（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｅｒ）
ＦＱＤＮ：完全修飾ドメイン名（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）
ＨＮＩ：ホームネットワークＩＤ（Ｈｏｍｅ Ｎｅｔｗｏｒｋ Ｉｄｅｎｔｉｔｙ）
ＮＥＦ：ネットワークエクスポージャー機能（Ｎｅｔｗｏｒｋ Ｅｘｐｏｓｕｒｅ Ｆｕｎｃｔｉｏｎ）
ＮＦ：ネットワーク機能（Ｎｅｔｗｏｒｋ Ｆｕｎｃｔｉｏｎ）
ＯＮＮ：オンボーディングネットワーク（Ｏｎｂｏａｒｄｉｎｇ Ｎｅｔｗｏｒｋ）
ＯＮ－ＳＮＰＮ：オンボーディングＳＮＰＮ（Ｏｎｂｏａｒｄｉｎｇ ＳＮＰＮ）
ＯＮ－ＳＵＰＩ：オンボーディングＳＵＰＩ（Ｏｎｂｏａｒｄｉｎｇ ＳＵＰＩ）
ＰＣＦ：ポリシー制御機能（Ｐｏｌｉｃｙ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ）
ＰＥＩ：端末永久識別子（Ｐｅｒｍａｎｅｎｔ Ｅｑｕｉｐｍｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）
ＰＶＳ：プロビジョニングサーバー（Ｐｒｏｖｉｓｉｏｎｉｎｇ Ｓｅｒｖｅｒ）
ＳＭＦ：セッション管理機能（Ｓｅｓｓｉｏｎ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）
ＳＮＰＮ：スタンドアロン非公共ネットワーク（Ｓｔａｎｄａｌｏｎｅ Ｎｏｎ－Ｐｕｂｌｉｃ Ｎｅｔｗｏｒｋ）
ＳＯ－ＳＮＰＮ：加入所有者スタンドアロン非公共ネットワーク（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｏｗｎｅｒ Ｓｔａｎｄａｌｏｎｅ Ｎｏｎ－Ｐｕｂｌｉｃ Ｎｅｔｗｏｒｋ）
ＳＵＣＩ：加入者暗号化識別子（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｃｏｎｃｅａｌｅｄ Ｉｄｅｎｔｉｆｉｅｒ）
ＳＵＰＩ：加入者永久識別子（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｐｅｒｍａｎｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）
ＵＤＲ：統合データリポジトリ（Ｕｎｉｆｉｅｄ Ｄａｔａ Ｒｅｐｏｓｉｔｏｒｙ）
ＵＰＦ：ユーザプレーン機能（Ｕｓｅｒ Ｐｌａｎｅ Ｆｕｎｃｔｉｏｎ）

例示的な実施形態を説明する前に、図１および図２のコンテキストにおいて、５Ｇネットワークの特定の主要構成要素の一般的な説明を以下に記載し、その後、そのような５ＧネットワークへのＵＥオンボーディングのための既存のプロセスを説明する。

図１は、例示的な実施形態が実装される内の通信システム１００を示す。通信システム１００に示される要素は、システム内で提供される主な機能、例えば、ＵＥアクセス機能、モビリティ管理機能、認証機能、サービングゲートウェイ機能などを表すことを意図していることが理解される。そのため、図１に示されたブロックは、これらの主要な機能を提供する５Ｇネットワーク内の特定の要素を参照する。しかし、他のネットワーク要素が、表された主要機能の一部または全部を実装するために使用され得る。また、図１には、５Ｇネットワークのすべての機能が描かれているわけではないことを理解されたい。むしろ、例示的な実施形態の説明を容易にする少なくともいくつかの機能が表されている。後続の図には、いくつかの追加の要素／機能（すなわち、ネットワークエンティティ）が描かれている場合がある。

したがって、示されるように、通信システム１００は、アクセスポイント（ｇＮＢ）１０４とエアインターフェース１０３とを介して通信するユーザ端末（ＵＥ）１０２から構成される。ＵＥ１０２は、ｇＮＢ以外の５Ｇコアと通信するために、１つ以上の他の種類のアクセスポイント（例えば、アクセス機能、ネットワークなど）を使用することができることが理解されよう。あくまで例として、アクセスポイント１０４は、Ｎ３ＩＷＦ（非３ＧＰＰインターワーキング機能（Ｎｏｎ－３ＧＰＰ Ｉｎｔｅｒｗｏｒｋｉｎｇ Ｆｕｎｃｔｉｏｎ））、ＴＮＧＦ（信頼された非３ＧＰＰゲートウェイ機能（Ｔｒｕｓｔｅｄ Ｎｏｎ－３ＧＰＰ Ｇａｔｅｗａｙ Ｆｕｎｃｔｉｏｎ））、Ｗ－ＡＧＦ（有線アクセスゲートウェイ機能（Ｗｉｒｅｌｉｎｅ Ａｃｃｅｓｓ Ｇａｔｅｗａｙ Ｆｕｎｃｔｉｏｎ））などの任意の５Ｇアクセスネットワークであってもよく、従来のアクセスポイント（ｅＮＢなど）に相当するものであってもよい。

ＵＥ１０２は移動端末であってもよく、そのような移動端末は、一例として、携帯電話、コンピュータ、または任意の他の種類の通信デバイスで構成されてもよい。したがって、本明細書で使用される「ユーザ端末」という用語は、ラップトップに挿入されたデータカードまたはスマートフォンなどの他のデバイスの組み合わせなどの例を含む、様々な異なる種類の移動端末、加入者端末、またはより一般的には通信デバイスを包含するように、広義に解釈されることが意図される。このような通信デバイスは、一般にアクセス端末と呼ばれるデバイスを包含することも意図している。

一実施形態では、ＵＥ１０２は、汎用集積回路カード（ＵＩＣＣ）部とモバイル端末（ＭＥ）部とで構成される。ＵＩＣＣは、ＵＥのユーザ依存部分であり、少なくとも１つのユニバーサル加入者ＩＤモジュール（ＵＳＩＭ）および適切なアプリケーションソフトウェアを含む。ＵＳＩＭは、加入者永久識別子とその関連鍵とを安全に格納し、アクセスネットワークへの加入者を一意に識別および認証するために使用される。ＭＥはＵＥのユーザ非依存部分であり、端末機器（ＴＥ）機能および様々な移動端末（ＭＴ）機能を含んでいる。

一実施例では、加入者永久識別子は、ＵＥに固有の国際移動体加入者識別子（ＩＭＳＩ）であることに留意されたい。一実施形態では、ＩＭＳＩは、固定１５桁の長さであり、３桁の移動体国コード（ＭＣＣ）、３桁の移動体ネットワークコード（ＭＮＣ）、および９桁の移動体端末識別番号（ＭＳＩＮ）で構成される。５Ｇ通信システムでは、ＩＭＳＩは加入者永久識別子（ＳＵＰＩ）と呼ばれる。ＳＵＰＩとしてのＩＭＳＩの場合、ＭＳＩＮは加入者のＩＤを提供する。したがって、通常、ＩＭＳＩのＭＳＩＮ部分のみを暗号化する必要がある。ＩＭＳＩのＭＮＣおよびＭＣＣ部分は、サービングネットワークが正しいホームネットワークにルーティングするために使用する、ルーティング情報を提供する。ＳＵＰＩのＭＳＩＮが暗号化されている場合、それは加入者暗号化識別子（ＳＵＣＩ）と呼ばれる。ＳＵＰＩの他の例では、ネットワークアクセス識別子（ＮＡＩ）を使用する。ＮＡＩは、典型的には、ＩｏＴ通信に使用される。

アクセスポイント１０４は、例示的に、通信システム１００のアクセスネットワークの一部である。このようなアクセスネットワークは、例えば、複数の基地局および１つ以上の関連する無線ネットワーク制御機能を有する５Ｇシステムで構成されてもよい。基地局および無線ネットワーク制御機能は、論理的に別個のエンティティであってもよいが、所定の実施形態では、例えば、基地局ルータまたは携帯電話アクセスポイントなどの同じ物理ネットワーク要素に実装されてもよい。

この例示的な実施形態におけるアクセスポイント１０４は、モビリティ管理機能１０６に動作可能に結合される。５Ｇネットワークでは、モビリティ管理機能は、アクセスおよびモビリティ管理機能（ＡＭＦ）により実装される。セキュリティアンカー機能（ＳＥＡＦ）も、ＵＥをモビリティ管理機能と接続するＡＭＦと共に実装され得る。本明細書で使用されるモビリティ管理機能とは、通信システムのコアネットワーク（ＣＮ）部分において、他のネットワーク動作のうち、ＵＥとのアクセスおよびモビリティ動作を（アクセスポイント１０４を介して）管理するか、そうでなければ、参加する要素または機能（すなわち、エンティティ）である。ＡＭＦは、本明細書において、より一般的には、アクセスおよびモビリティ管理エンティティとも呼ばれ得る。

この例示的な実施形態におけるＡＭＦ１０６は、他のネットワーク機能１０８に動作可能に結合されている。示されるように、機能１０８のいくつかは、統合データ管理（ＵＤＭ）機能、統合データリポジトリ（ＵＤＲ）、ならびに認証サーバー機能（ＡＵＳＦ）を含むことができる。ＡＵＳＦおよびＵＤＭ／ＵＤＲ（別個にまたは集合的に）は、本明細書において、より一般的には、認証エンティティとしても言及される。さらに、機能１０８は、ネットワークエクスポージャー機能（ＮＥＦ）、アプリケーション機能（ＡＦ）、およびサービス提供者（ＮＦｐ）および／またはサービス利用者（ＮＦｃ）として動作できる他のネットワーク機能を含み得るが、これらに限定されない。どのネットワーク機能も、あるサービスではサービス提供者となり、他のサービスではサービス利用者となり得ることに留意されたい。さらに、提供されるサービスがデータを含む場合、データを提供するＮＦｐはデータ提供者と呼ばれ、データを要求するＮＦｃはデータ利用者と呼ばれる。また、データ提供者は、他のＮＦによって生成されたデータを修正または他の方法で処理することによってデータを生成するＮＦであることができる。

ＵＥ１０２などのＵＥは、典型的には、機能１０６および１０８の一部またはすべてが存在するホーム公衆陸上移動体ネットワーク（ＨＰＬＭＮ）と呼ばれるものに加入していることに留意されたい。ＨＰＬＭＮは、家庭環境（ＨＥ）とも呼ばれる。ＵＥがローミングしている（ＨＰＬＭＮにいない）場合、ＵＥは通常、訪問済みネットワークとも呼ばれる訪問済み公衆陸上移動体ネットワーク（ＶＰＬＭＮ）と接続され、ＵＥに現在サービスを提供しているネットワークはサービングネットワークと呼ばれる。ローミングの場合、機能１０６および１０８のいくつかはＶＰＬＭＮに常駐することができ、その場合、ＶＰＬＭＮ内の機能は、必要に応じてＨＰＬＭＮ内の機能と通信する。しかし、非ローミングシナリオでは、モビリティ管理機能１０６および他のネットワーク機能１０８は、同じ通信ネットワーク、すなわちＨＰＬＭＮに常駐する。本明細書で説明する実施形態は、どの機能がどのＰＬＭＮ（すなわち、ＨＰＬＭＮまたはＶＰＬＭＮ）に常駐するかによって限定されるものではない。

アクセスポイント１０４はまた、サービングゲートウェイ機能、すなわち、セッション管理機能（ＳＭＦ）１１０に（機能１０６および／または１０８のうちの１つ以上を介して）動作可能に結合され、この機能はユーザプレーン機能（ＵＰＦ）１１２に動作可能に結合される。ＵＰＦ１１２は、パケットデータネットワーク、例えば、インターネット１１４に動作可能に結合されている。この図の太い実線は、通信ネットワークの制御プレーン（ＣＰ）を示す細い実線と比較して、通信ネットワークのユーザプレーン（ＵＰ）を示すことに留意されたい。図１のインターネット１１４は、追加的または代替的に、クラウドコンピューティングインフラおよび／またはエッジコンピューティングインフラを含むがこれらに限定されない他のネットワークインフラを表すことができることが理解されるであろう。そのようなネットワーク要素の更なる典型的な動作および機能は、例示的な実施形態の焦点ではなく、適切な３ＧＰＰ ５Ｇ文書に見出され得るので、ここでは説明されない。１０６、１０８、１１０、および１１２に示される機能は、ネットワーク機能（ＮＦ）の例であることに留意されたい。

システム要素のこの特定の配置は例示に過ぎず、他の実施形態において通信システムを実装するために、追加要素または代替要素の他の種類および配置を使用することができることを理解されたい。例えば、他の実施形態では、システム１００は、本明細書に明示的に示されていない他の要素／機能から構成され得る。

したがって、図１の配置は、無線携帯電話システムの一例の構成に過ぎず、システム要素の多数の代替構成が使用されてもよい。例えば、図１の実施形態では、単一の要素／機能のみが示されているが、これは、説明を単純化し、明確にするためだけである。所定の代替実施形態は、もちろん、より多数のこのようなシステム要素、ならびに従来のシステム実装に一般的に関連するタイプの追加要素または代替要素を含むことができる。

また、図１ではシステム要素を単数の機能ブロックとして示しているが、５Ｇネットワークを構成する様々なサブネットワークは、いわゆるネットワークスライスに分割されていることに留意されたい。ネットワークスライス（ネットワークパーティション）は、共通の物理インフラストラクチャ上でネットワーク機能仮想化（ＮＦＶ）を使用して、対応するサービス種別ごとに一連のネットワーク機能（ＮＦ）の組（すなわち、機能チェーン）を構成する。ネットワークスライスは、所定のサービス（例えば、ｅＭＢＢサービス、大規模ＩｏＴサービス、ミッションクリティカルなＩｏＴサービスなど）に応じて必要に応じてインスタンス化されます。したがって、ネットワークスライスまたは機能は、そのネットワークスライスまたは機能のインスタンスが作成されるときにインスタンス化される。いくつかの実施形態では、これは、基礎となる物理インフラストラクチャの１つ以上のホストデバイスにネットワークスライスまたは機能をインストールするか、そうでない場合、実行することを含む。ＵＥ１０２は、ｇＮＢ１０４を介して、これらのサービスのうちの１つ以上にアクセスするように構成される。図２は、例示的な実施形態による方法論における様々な参加者のためのコンピューティングアーキテクチャを示すブロック図である。より具体的には、システム２００は、ユーザ端末（ＵＥ）２０２と、複数のネットワークエンティティ２０４－１、．．．、２０４－Ｎとを備えることが示されている。例えば、例示的な実施形態において、および図１に戻って参照すると、ＵＥ２０２はＵＥ１０２を表すことができ、一方で、ネットワークエンティティ２０４－１、．．．、２０４－Ｎは、機能１０６および１０８を表すことができる。ＵＥ２０２およびネットワークエンティティ２０４－１、．．．、２０４－Ｎは、本明細書に記載されるセキュリティ管理および他の技術を提供するために相互作用するように構成されることを理解されたい。

ユーザ端末２０２は、メモリ２１６およびインターフェース回路２１０に結合されたプロセッサ２１２を備える。ユーザ端末２０２のプロセッサ２１２は、プロセッサによって実行されるソフトウェアの形態で少なくとも部分的に実装され得るセキュリティ管理プロセスモジュール２１４を含む。プロセスモジュール２１４は、後続の図の文脈で説明されるセキュリティ管理および本明細書のその他の事項を実行する。ユーザ端末２０２のメモリ２１６は、セキュリティ管理動作中に生成された、または他の方法で使用されたデータを格納するセキュリティ管理格納モジュール２１８を含む。

ネットワーク実体の各々（本明細書では個別にまたは集合的に２０４と呼ぶ）は、メモリ２２６（２２６－１、．．．、２２６－Ｎ）およびインターフェース回路２２０（２２０－１、．．．、２２０－Ｎ）に結合されたプロセッサ２２２（２２２－１、．．．、２２２－Ｎ）から構成される。各ネットワークエンティティ２０４の各プロセッサ２２２は、プロセッサ２２２によって実行されるソフトウェアの形態で少なくとも部分的に実装され得るセキュリティ管理プロセスモジュール２２４（２２４－１、．．．、２２４－Ｎ）を含む。プロセスモジュール２２４は、後続の図の文脈で説明されるセキュリティ管理動作および本明細書のその他の事項を実行する。各ネットワークエンティティ２０４の各メモリ２２６は、セキュリティ管理動作の間に生成された、または他の方法で使用されたデータを格納するセキュリティ管理格納モジュール２２８（２２８－１、．．．、２２８－Ｎ）を含む。

プロセッサ２１２および２２２は、例えば、中央処理装置（ＣＰＵ）などのマイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、デジタル信号プロセッサ（ＤＳＰ）または他の種類の処理デバイス、並びにそのような要素の一部または組み合わせを備えることができる。

メモリ２１６および２２６は、それぞれのプロセッサ２１２および２２２によって実行され、本明細書に記載の機能の少なくとも一部を実装する１つ以上のソフトウェアプログラムを格納するために使用されてもよい。例えば、後続の図の文脈で説明されるようなセキュリティ管理動作および他の機能性は、プロセッサ２１２および２２２によって実行されるソフトウェアコードを使用して、直接的な方法で実装されてもよい。

したがって、メモリ２１６および２２６のうちの所定の１つは、本明細書でより一般的にコンピュータプログラム製品と呼ばれるものの、またはさらに一般的には実行可能なプログラムコードが組み込まれたプロセッサ可読記憶媒体と呼ばれるものの例と見なすことができる。プロセッサ可読記憶媒体の他の例としては、任意の組み合わせで、ディスクまたは他の種類の磁気もしくは光学媒体を含むことができる。例示的な実施形態は、そのようなコンピュータプログラム製品または他のプロセッサ可読記憶媒体を備える製造物品を含むことができる。

さらに、メモリ２１６および２２６は、より具体的には、例えば、スタティックＲＡＭ（ＳＲＡＭ）、ダイナミックＲＡＭ（ＤＲＡＭ）または他の種類の揮発性または不揮発性電子メモリなどの、電子ランダムアクセスメモリ（ＲＡＭ）を備えることができる。後者は、例えば、フラッシュメモリ、磁気ＲＡＭ（ＭＲＡＭ）、相変化ＲＡＭ（ＰＣ－ＲＡＭ）または強誘電体ＲＡＭ（ＦＲＡＭ（登録商標））などの不揮発性メモリを含むことができる。本明細書で使用される「メモリ」という用語は、広く解釈されることを意図しており、追加的または代替的に、例えば、読み取り専用メモリ（ＲＯＭ）、ディスクベースのメモリ、または他の種類の記憶デバイス、ならびにそのようなデバイスの一部または組み合わせを含むことができる。

インターフェース回路２１０および２２０は、例示的に、関連するシステム要素が本明細書に記載の方法で互いに通信できるようにする、トランシーバまたは他の通信ハードウェアもしくはファームウェアを備える。

図２から明らかなように、ユーザ端末２０２および複数のネットワークエンティティ２０４は、それぞれのインターフェース回路２１０および２２０を介して、セキュリティ管理参加者として互いに通信するように構成される。この通信は、各参加者が他の参加者のうちの１つ以上にデータを送信すること、および／または他の参加者からデータを受信することを含む。本明細書で使用される「データ」という用語は、ＩＤデータ、鍵ペア、鍵指示、セキュリティ管理メッセージ、登録要求／応答メッセージおよびデータ、要求／応答メッセージ、認証要求／応答メッセージおよびデータ、メタデータ、制御データ、オーディオ、ビデオ、マルチメディア、他のメッセージなどを含むがこれらに限定されない参加者の間で送信され得る任意の種類の情報を含むように、広く解釈することを意図するものである。

図２に示される構成要素の特定の配置は例示に過ぎず、多数の代替構成が他の実施形態で使用され得ることを理解されたい。例えば、任意の所定のネットワーク要素／機能は、追加または代替の構成要素を組み込むように、および他の通信プロトコルをサポートするように構成することができる。

ｇＮＢ１０４、ＳＭＦ１１０、およびＵＰＦ１１２などの他のシステム要素をそれぞれ、プロセッサ、メモリ、およびネットワークインターフェースなどの構成要素を含むように構成することができる。これらの要素は、個別のスタンドアロン処理プラットフォーム上に実装される必要はないが、代わりに、例えば、単一の共通処理プラットフォームの異なる機能部分を表すことができる。

より一般的には、図２は、それぞれのセキュリティ管理機能性を提供するように構成され、通信システムにおいて互いに動作可能に結合された処理デバイスを表すと考えることができる。

前述のように、３ＧＰＰ ＴＳ ２３．５０１は、５Ｇシステムアーキテクチャをサービスベース、例えば、サービスベースアーキテクチャ（ＳＢＡ）として定義している。ここで、異なるＮＦを配置する際に、ＮＦがＳＢＡベースの５Ｇコアネットワークの外部のエンティティ（例えば、対応するＰＬＭＮ（ｓ）、例えば、ＨＰＬＭＮおよびＶＰＬＭＮを含む）と相互作用する必要がある多くの状況が存在し得ることが、本明細書において理解される。したがって、本明細書で使用される「内部」という用語は、ＳＢＡベースの５Ｇコアネットワーク（例えば、ＳＢＡベースのインターフェース）内の動作および／または通信を例示的に指し、「外部」という用語は、ＳＢＡベースの５Ｇコアネットワーク（非ＳＢＡインターフェース）外の動作および／または通信を例示的に指す。

５Ｇネットワークのいくつかの例示的な特徴の上記の一般的な説明を前提として、既存のＵＥオンボーディングアプローチの問題点および例示的な実施形態に従って提案されるソリューションが、次に、本明細書において説明される。

背景の節で前述したように、オンボーディングは、初めてオンラインになる新しいデバイス（たとえば、ＵＥ１０２とする）がプロビジョニングされるプロセスである。既存のＵＥオンボーディングは、例えば、以下のステップを含む（さらなる詳細については、上述のＴＳ ２３．５０１およびＴＳ ３３．５０１を参照されたい）。

（１）製造中、ＵＥは、オンボーディングＳＵＰＩ（ＯＮ－ＳＵＰＩ）として知られる一意の識別子、秘密鍵、およびＯＮ－ＳＵＰＩを暗号的に保護するために使用される対応する証明書を含むデフォルト資格情報の組を受信する。

（２）ＯＮ－ＳＵＰＩと対応する証明書は、デフォルトクレデンシャル所有者（ＤＣＯ）と呼ばれるエンティティによって発行され、通常、デバイス製造者となる。

（３）オンボーディングＵＥがデフォルトクレデンシャルを使用してオンボーディングスタンドアロン非公共ネットワーク（ＯＮ－ＳＮＰＮ）などのオンボーディングネットワークに接続すると、ＯＮ－ＳＮＰＮは、ＤＣＯが運用するデフォルトクレデンシャルサーバ（ＤＣＳ）を呼び出す（３ＧＰＰ ＴＳ ２３．５０１を参照）。

（ｉｖ）正常に認証されると、オンボーディングＵＥは、ユーザプレーン（ＵＰ）接続を確立することができるが、これはプロビジョニング目的でのみ使用することが認可されている。つまり、プロビジョニングサーバー（ＰＶＳ）またはドメイン名サーバー（ＤＮＳ）への接続のみが可能である。

（ｖ）オンボーディングＵＥは、ＰＶＳへの接続を確立し、ＰＶＳからＳＯ－ＳＮＰＮ固有のクレデンシャルを受信する。

現在３ＧＰＰによって支持されているオンボーディングソリューションは、ＤＣＯによって運用されるＤＣＳの配置を含む。しかし、このような実装は、オンボーディングネットワーク（原則的に複数のネットワークであり得る）とＤＣＳとの間の統合のための余分な労力を要することが本明細書において理解される。オンボーディングネットワークおよびＤＣＯの数は潜在的に非常に大きくなる可能性があるため、これは、異なるネットワークおよびドメインにわたってオンボーディングサービスを適切に配置するためのエコシステムの負担を増加させる。

また、ＤＣＳを配置することにより、オンボーディングＵＥがＯＮ－ＳＮＰＮのドメイン外のサーバーに接続する可能性が生じるため、セキュリティリスクが高まることが本明細書において理解される。これは、セキュリティが隔離の概念に厳密に基づく特殊用途のネットワーク（例えば、産業、重要インフラ、軍事）にとって特に問題である。

したがって、ソリューションは、ＯＮ－ＳＮＰＮへのアクセスを、ＯＮ－ＳＮＰＮまたはＯＮ－ＳＮＰＮによって信頼されたエンティティによって認証されたＵＥに制限し、接続サービスをリモートプロビジョニングプロセスのみに制限する（すなわち、オンボーディングＵＥがＰＶＳまたはＤＮＳにのみ接続できるようにする）必要がある。

例示的な実施形態は、ＤＣＳを配置する必要なく、デフォルト認証情報を使用してオンボーディングＵＥとオンボーディングネットワークとの間の相互認証を提供することにより、既存のアプローチに関連する上記および他の課題に対処するソリューションを提供する。例えば、いくつかの例示的な実施形態では、ＵＥ上に配置されたデフォルト資格情報は、秘密鍵およびＤＣＯによって発行された証明書を含み、これは、ＵＥのデフォルト証明書に署名するために使用される認証局（ＣＡ）によって発行された証明書を使用してＯＮ－ＳＮＰＮによって検証され得る。構成可能なオンボーディングレコードの概念は、例示的な実施形態に従って、認証されたオンボーディングＵＥのアクセスを制限し、リモートプロビジョニングプロセスのみに接続サービスを制限するために導入される。

例として、図３は、例示的な実施形態によるユーザ端末のオンボーディングプロセス３００を示す。示されるように、ＵＥ３０２はオンボーディングＵＥであり、デバイス所有者３０４はＵＥ３０２の製造者または他の所有者を表すと仮定する。デバイス所有者３０４は、個人、コンピューティングシステムまたは他の処理デバイス、または製造者が通信ネットワーク３１０と相互作用する他のエンティティであり得ることに留意されたい。さらに、通信ネットワーク３１０は、ＵＥ３０２がオンボーディングプロセスを実行しているネットワーク、すなわち、ＯＮ－ＳＮＰＮであると仮定する。図示のように、通信ネットワーク３１０は、ＡＭＦ３１２、ＳＭＦ３１４、ＡＵＳＦ３１６、ＵＤＭ／ＵＤＲ３１８、ＮＥＦ３２０、およびＵＰＦ３２２を備える。通信ネットワーク３１０は、明示的に示されていない他のＮＦを備えることができることが理解されよう。さらに、明らかなように、また、以下でさらに説明されるように、オンボーディングプロセス３００は、ＤＣＳを配置する必要なく実行される。

一般に、図３に示すように、ＵＥ３０２は、登録、認証、およびセッション管理の目的のために、ＡＭＦ３１２を介して通信ネットワーク３１０と通信する。なお、図示を簡略化するために、ＵＥ３０２と通信ネットワーク３１０とを接続する無線アクセスネットワーク（例えば、１つ以上のｇＮＢを含む）は明示的に示されていないことに留意されたい。ＡＭＦ３１２は、ＡＵＳＦ３１６およびＵＤＭ／ＵＤＲ３１８と連携して、ＵＥ３０２の認証（認可）を実行し、ＵＤＭ／ＵＤＲ３１８でＵＥ３０２のコンテキスト管理登録を実行する。ＵＥ３０２が認証されると、ＳＭＦ３１４は、ＵＰＦ３２２を介して、ＵＥ３０２のためのＰＶＳ３３０との制限されたセッションを確立する。

より具体的には、示されるように、デバイス所有者３０４は、オンボーディングレコード３１９を構成するために、ＮＥＦ３２０を介して、ＵＤＭ／ＵＤＲ３１８に情報を提供する。代替的に、デバイス所有者３０４は、他のＮＦを介して、またはＵＤＭ／ＵＤＲ３１８によって提供されるインターフェース（例えば、アプリケーションプログラミングインターフェースまたはＡＰＩ）を介して直接、そのような情報を提供することができる。デバイス所有者３０４は、ＵＤＭ／ＵＤＲ３１８でオンボーディングレコード３１９をアドレス指定できるように、単一のＯＮ－ＳＵＰＩ、単一のＯＮ－ＳＵＰＩの範囲、ドメインまたは他の任意の情報を提供することができる。そのために、デバイス所有者３０４と潜在的オンボーディングネットワーク、すなわち、通信ネットワーク３１０などのＯＮ－ＳＮＰＮとの間に、デバイス所有者３０４がＮＥＦ３１８、他のＮＦまたはＵＤＭ／ＵＤＲ３１８へのアクセスを与えられ、デバイス所有者３０４からの要求を認可するために使用される、合意書が存在することが仮定される。

ＵＤＭ／ＵＤＲ３１８または任意の他のネットワーク機能は、オンボーディングレコード３１９を格納する。例として、オンボーディングレコード３１９は、ＯＮ－ＳＵＰＩ（またはＯＮ－ＳＵＣＩ）、ＣＡ証明書、およびＰＶＳ情報およびオンボーディングに使用されるその他の情報を含む。ＣＡ証明書情報は、ＵＥ３０２により提供された証明書を検証するために、ＡＵＳＦ３１６により使用される。ＰＶＳ情報は、オンボーディングＵＥ３０２の正常な一次認証の後に起こるプロセスのリモートプロビジョニング部分（ＰＶＳ３３０経由）の間に使用されるＰＶＳ３３０のための完全修飾ドメイン名（ＦＱＤＮ）および／またはインターネットプロトコル（ＩＰ）アドレスを含むことができる。ＵＤＭ／ＵＤＲ３１８のオンボーディングレコード３１９は、ＯＮ－ＳＵＰＩまたはデバイス上に安全に格納されている他の識別子（例えば、機器永久識別子またはＰＥＩ）またはＵＥ３０２のデバイス証明書の一部を使用してアクセスすることができる。オンボーディングレコードは、ＵＤＭ／ＵＤＲ３１８によって、デバイスごとまたはデバイスのグループごとに格納することができる。アクセス鍵としてＯＮ－ＳＵＰＩを使用する場合、１つ以上の例示的な実施形態に従って、および上述のように、単一のオンボーディングＳＵＰＩ（ｄｅｖｉｃｅ１２３４５＠ｅｘａｍｐｌｅ．ｃｏｍ）に対して、オンボーディングＳＵＰＩの範囲に対して、またはオンボーディングＳＵＰＩドメイン（ｅｘａｍｐｌｅ．ｃｏｍ）全体に対して、１つのオンボーディングレコードがあってもよい。同様に、ＯＮ－ＳＵＰＩごとに格納されるＰＶＳ３３０のＦＱＤＮ／ＩＰアドレスは１つであっても、ＯＮ－ＳＵＰＩのグループに対して、あるいはあるドメインまたはサブドメインに属するすべてのＯＮ－ＳＵＰＩに対して、ＰＶＳ３３０のＦＱＤＮ／ＩＰアドレスは１つであってもよい。

ＡＵＳＦ３１６およびＵＤＭ／ＵＤＲ３１８は、オンボーディングレコードを使用して、例えば、これらのレコードに格納されたルート証明書を使用して、オンボーディングＵＥの認証を可能にするように適合される。したがって、例えば図示のように、ＡＵＳＦ３１６は、ＵＤＭ／ＵＤＲ３１８に格納されたオンボーディングレコード３１９を使用してＵＥ３０２を認証する。さらに、ＡＭＦ３１２は、ＵＥ３０２から受信したＯＮ－ＳＵＰＩ／ＯＮ－ＳＵＣＩまたは他の任意の識別子に基づいてＡＵＳＦ３１６を選択する。ＡＭＦ３１２は、ＵＥ３０２のオンボーディング登録時にＵＤＭ／ＵＤＲ３１８からＰＶＳ３３０用のＦＱＤＮ／ＩＰアドレス等を取得する。

オンボーディングレコード３１９などのオンボーディングレコードは、ＵＤＭ／ＵＤＲ３１８から消去（削除）することができる。これは、ＵＥ３０２のリモートプロビジョニングが正常に実行されると、ＮＥＦ３２０、他のＮＦ、またはＵＤＭ／ＵＤＲ３１８を介した明示的な要求によってデバイス所有者３０４が行うことができる。あるいは、ＵＤＭ／ＵＤＲ３１８は、オンボーディングネットワーク、すなわち通信ネットワーク３１０からのＵＥ３０２の登録解除によって引き起こされるオンボーディングレコード３１９を暗黙的に消去することができる。さらに、オンボーディングレコード３１９は、制限された有効期間を有し、有効期間が切れた後に自動的に削除され得る、すなわち、オンボーディングは、オンボーディングレコード３１９の有効期間によって定義される時間ウィンドウに制限され、ＵＥ３０２は、オンボーディングレコード３１９が自動的に削除されると通信ネットワーク３１０によって非登録化される。

図４は、例示的な実施形態によるユーザ端末のオンボーディングプロセスにおけるシグナリングフロー４００を示す図である。示されるように、シグナリングフロー４００は、参加者を含む。ＵＥ４０２、ＡＭＦ４０４、ＳＭＦ４０６、ＵＰＦ４０８、ＡＵＳＦ４１０、およびＵＤＭ／ＵＤＲ４１２である。明らかなように、シグナリングフロー４００の参加者は、図３の関連で上述した構成要素と同じまたは類似の機能性を有する。シグナリングフロー４００のステップの説明は、オンボーディングレコードの識別のためのＯＮ－ＳＵＰＩの使用を想定しているが、代替の実施形態では他の識別子を使用できることが理解されよう。

ステップ１において、ＵＥ４０２およびＡＵＳＦ４１０は、拡張認証プロトコル－トランスポートレイヤープロトコル（ＥＡＰ－ＴＬＳ）を使用して、一次認証の実行を開始する。ただし、１つ以上の代替的な一次認証方法を使用することができる。ＡＵＳＦ４１０は、ＡＭＦ４０４から受信した認証要求から、ＵＥ４０２のオンボーディングプロセスを実行する必要があることを導出する。一例では、ＳＵＣＩのホームネットワークアイデンティティ（ＨＮＩ）が予め定義された値に設定され得るか、またはオンボーディング表示がＡＭＦ４０４からＡＵＳＦ４１０に送信され得る。あるいは、オンボーディングを示すために、専用のＳＵＰＩ型を割り当てることができる。ＵＥ４０２がＡＵＳＦ４１０のサーバー証明書を検証した後、ＵＥ４０２は自身のＵＥ証明書を送信する。

ステップ２において、ＡＵＳＦ４１０は、ＯＮ－ＳＵＰＩまたは他の任意の識別子（例えば、ステップ１において受信したＵＥ証明書から得られる）を使用して、ＵＤＭ／ＵＤＲ４１２に認証要求を送信する。この認証要求は、完全に新しい要求であっても、既存の要求の拡張であってもよい。

ステップ３において、ＵＤＭ／ＵＤＲ４１２は、ＯＮ－ＳＵＰＩと一致するオンボーディングレコードが存在するかどうかを確認する。この確認は、単一のＯＮ－ＳＵＰＩまたはＯＮ－ＳＵＰＩの組をカバーする個々のオンボーディングレコードを含む。

ステップ４において、ステップ３における確認が成功した場合、ＵＤＭ／ＵＤＲ４１２は、オンボーディングレコードから取得したＣＡ証明書をＡＵＳＦ４１０に返信し、そうでなければ、ＵＤＭ／ＵＤＲ４１２は、適切なエラーメッセージをＡＵＳＦ４１０に返信する。

ステップ５において、ＡＵＳＦ４１０は、ステップ４でＵＤＭ／ＵＤＲ４１２によって供給されたＣＡ証明書を使用して、ＵＥ証明書を検証する。

ステップ６において、ＡＵＳＦ４１０は、（適切な５Ｇ鍵と共に）ＯＮ－ＳＵＰＩをＡＭＦ４０４に送信することにより、一次認証を確定する。

ステップ７において、ＡＭＦ４０４は、要求パラメータとしてＯＮ－ＳＵＰＩを使用して、ＵＤＭ／ＵＤＲ４１２に登録要求を送信する。例えば、例示的な実施形態に従って、Ｕｄｍ＿ＵＥコンテキスト管理（ａｍｆ－３ｇｇｐアクセス）登録要求をこの目的のために使用することができる。

ステップ８において、ＵＤＭ／ＵＤＲ４１２は、ＰＶＳ情報（例えば、ＦＱＤＮ／ＩＰアドレス）および既存のプロトコルに従って所望または必要とされるか、またはオンボーディングプロセスのために必要とされ得る他の情報を含む登録応答でＡＭＦ４０４に応答する。ステップ７においてＵｄｍ＿ＵＥコンテキスト管理登録要求が使用される場合、Ｕｄｍ＿ＵＥコンテキスト管理におけるＡｍｆ３Ｇｐｐアクセス登録データ構造は、図示の実施形態に従って、この目的のために拡張されることが可能である。

続いて、ＰＶＳ情報および上記の任意の追加情報を入力として使用して制限付きユーザプレーン接続が確立され、ＵＥ４０２はＰＶＳに接続し、ＰＶＳから通常のＳＯ－ＳＮＰＮ加入者プロファイルを受信する。これは、ステップ９～１２にまとめられている。

ステップ９において、ＡＭＦ４０４は、ＵＥ登録が受理されたことをＵＥ４０２に通知し、これによりリモートプロビジョニングを進めることができる。

ステップ１０において、ＵＥ４０２は、リモートプロビジョニングのためのセッション要求をＡＭＦ４０４に送信する。

ステップ１１において、ＡＭＦ４０４は、ＰＶＳ情報および上述の任意の追加情報を入力として、セッション作成要求をＳＭＦ４０６に送信する。

ステップ１２において、ＳＭＦ４０６はセッション作成要求をＵＰＦ４０８に転送し、ＵＰＦ４０８はＰＶＳおよび任意の他の情報に基づいて、ＰＶＳによるＵＥ４０２のリモートプロビジョニングが進行できるように、セッション作成要求を適切なＰＶＳ（図示せず）に転送する。

図５は、例示的な実施形態による、ユーザ端末のためのオンボーディングレコードを作成／削除するためのシグナリングフロー５００を示す。示されるように、シグナリングフロー５００には、参加者：デバイス所有者５０２、ポータル５０４、およびＵＤＭ／ＵＤＲ５０６が含まれる。明らかなように、シグナリングフロー５００の参加者は、図３の関連で上記の構成要素と同じまたは類似の機能性を有する。ポータル５０４は、例えば、ＮＥＦ、他のＮＦ、またはＵＤＭ／ＵＤＲ５０６に関連するＡＰＩの一部として実装され得ることに留意されたい。シグナリングフロー５００のステップの説明は、オンボーディングレコードの識別のためにＯＮ－ＳＵＰＩの使用を想定しているが、代替の実施形態では他の識別子を使用できることを理解されたい。

ステップ１において、デバイス所有者５０２（またはＵＥのオンボーディングを担当する任意の他のエンティティ）は、ＯＮ－ＳＮＰＮ（例えば、図３の通信ネットワーク３１０）のポータル５０４に接続する。デバイス所有者５０２からの要求は、オンボーディングのＵＥ（例えば、ＵＥ３０２）のＯＮ－ＳＵＰＩと、デバイス所有者５０２がＤＣＯから受信したＣＡ証明書と、デバイス所有者５０２が加入所有者ＳＮＰＮ（ＳＯ－ＳＮＰＮ）と呼ばれる加入者から受信したＰＶＳなどの情報とを含む。

上述のように、ポータル５０４は、ＯＮ－ＳＮＰＮのＮＥＦの一部として、またはそれを利用して実装することができ、またはＯＮ－ＳＮＰＮのＮＥＦから独立して、例えば、直接ＵＤＭ／ＵＤＲ５０６または任意の他のＮＦで実装することができる。

ステップ２において、ポータル５０４は、着信したオンボーディング要求を認可する。これは、要求者（例えば、デバイス所有者５０２）が、要求を行う権利があり、かつ信頼されているかどうかを確認することを含む。例えば、要求者は、ＯＮ－ＳＮＰＮ事業者の従業員またはＯＮ－ＳＮＰＮの信頼されたビジネスパートナーであってもよい。認可には、提供されたＰＶＳ情報がＯＮ－ＳＮＰＮのポリシーに沿っているかどうかを確認することも含む。例えば、オンボーディング要求は、ＰＶＳやその他の情報が参照するＯＮ－ＳＮＰＮおよびＳＮＰＮ（例えばＳＯ－ＳＮＰＮ）がビジネス的な合意書を締結しており、技術またはビジネス関連の統合手順を実行した場合にのみ認可され得る。

ステップ３において、認可に成功した後、ポータル５０４は、ＯＮ－ＳＵＰＩ、ＣＡ証明書、ＰＶＳおよび他の情報を含む新しいオンボーディングレコードをＵＤＭ／ＵＤＲ５０６に追加する要求を送信する。

ステップ３で送信されるＰＶＳおよびその他の情報は、ステップ２で受信したＰＶＳ情報と同じ情報でない可能性があることを理解されたい。むしろ、ポータル５０４は、ステップ２において受信したＰＶＳ情報を使用するよりも、ＡＭＦ、ＳＭＦ、ＰＣＦ、およびＵＰＦによる解釈に適した新しいＰＶＳ情報を導出するための中間ステップを実行することができる。例えば、デバイス所有者５０２は、ＳＯ－ＳＮＰＮの名前のみを提供することができ、ポータル５０４（またはポータルで使用される他のエンティティ）は、この名前をＳＯ－ＳＮＰＮとの事前統合からＯＮ－ＳＮＰＮが知っているＩＰアドレスまたはＦＱＤＮのリストに変換することができる。

ステップ４において、ＵＤＭ／ＵＤＲ５０４は、ＣＡ証明書、ＰＶＳおよび他の情報を含むＯＮ－ＳＵＰＩ（複数可）のための新しいオンボーディングレコードを追加する。図３の文脈で上述したように、例示的な実施形態は、ＵＤＭ／ＵＤＲ５０６からオンボーディングレコードを削除するための方法を提供する。このオンボーディングレコード削除動作は、ステップ５にまとめられる。

１つの方法において、デバイス所有者５０２（またはオンボーディング要求を開始したエンティティ）は、図５のステップ１～４に記載されているのと同様のフローを使用して、オンボーディングレコードの削除を明示的に要求することができる。ポータル５０４にステップ１の「オンボーディング要求」コマンドを発行する代わりに、デバイス所有者５０２は、「オンボーディング完了」コマンドを発行する。要求者が以前にオンボーディングを要求した要求者と同じであることの確認を含み得る認可の後、ポータル５０４は、ＵＤＭ／ＵＤＲ５０６におけるオンボーディングレコードの削除をトリガすることができる。

他の方法では、オンボーディングレコードの削除は、ＡＭＦとＵＤＭとの間の相互作用によってトリガされ得る。例示に過ぎないが、オンボーディングレコードの削除は、登録要求（図４のステップ７）によってトリガされ得、または削除は、ＵＥとＰＶＳとの間の通信が正常に完了した後に行われる、ＡＭＦからＵＤＭに送信される登録解除要求によってトリガされ得る。他の実施形態は、ＵＥがＯＮ－ＳＮＰＮから登録解除するときに、リモートプロビジョニングが正常に完了したことを、ＡＭＦへの登録解除要求において示すことを含むことができる。

さらなる実施形態では、上述のように、オンボーディングレコードは、有限の有効期間を有してもよい。有効期間パラメータは、「オンボーディング要求」コマンド（図５のステップ１）の一部として定義することができるか、または有効期間パラメータは、ＯＮ－ＳＮＰＮが独自のポリシーに基づいて設定することができる。ほんの一例として、有効期間パラメータは、期間、時間枠、または有効期限によって定義することができる。有効期間パラメータは、オンボーディングレコードと共にＵＤＭ／ＵＤＲ５０６によって記憶されることができる。ＵＤＭ／ＵＤＲ５０６は、定期的にすべてのオンボーディングレコードをスキャンし、有効期限が切れたすべてのオンボーディングレコードを削除または非アクティブ化する。さらに、オンボーディングレコードの有効期間が開始時刻を有する時間枠によって定義されている場合、オンボーディングレコードを開始時刻より前に使用することはできない。

本明細書に記載された図の文脈で説明された特定の処理動作および他のシステム機能は、例示的な方法によってのみ提示され、いかなる方法によっても本開示の範囲を限定するものとして解釈されるべきではない。代替の実施形態は、他の種類の処理動作およびメッセージングプロトコルを使用することができる。例えば、他の実施形態では、ステップの順序を変えてもよいし、特定のステップを連続的にではなく、少なくとも部分的に互いに同時に実行してもよい。また、１つ以上のステップが周期的に繰り返されてもよく、または方法の複数のインスタンスが互いに並行して実行されてもよい。

本明細書に記載された様々な実施形態は、例示的な方法によってのみ提示され、特許請求の範囲を限定するものとして解釈されるべきではないことが、再度強調されるべきである。例えば、代替の実施形態は、例示的な実施形態の文脈で上述したものとは異なる通信システム構成、ユーザ端末構成、基地局構成、プロビジョニングおよび使用プロセス、メッセージングプロトコルおよびメッセージ形式を利用してもよい。添付の特許請求の範囲の請求項の範囲内のこれらおよび多数の他の代替の実施形態は、当業者には容易に明らかであろう。

１００ 通信システム
１０２ ユーザ端末
１０３ エアインターフェース
１０４ アクセスポイント
１０６ モビリティ管理機能
１０８ 他のネットワーク機能
１１０ セッション管理機能
１１２ ユーザプレーン機能
１１４ インターネット

Claims (36)

1. 装置であって、
   少なくとも１つのプロセッサと、
   コンピュータプログラムコードを含む、少なくとも１つのメモリと、
   前記少なくとも１つのメモリおよび前記コンピュータプログラムコードは、前記少なくとも１つのプロセッサにより、前記装置に少なくとも、
   前記装置とオンボーディングネットワークとの間の認証プロセスを開始させることであって、前記認証プロセスは、前記オンボーディングネットワークを介して、前記装置または前記装置の組に対して事前に構成され、前記オンボーディングネットワークによって維持される少なくとも１つのオンボーディングレコードに基づいて、行われることと、
   前記認証プロセスが正常に完了すると、前記オンボーディングネットワークを介して、前記装置のリモートプロビジョニングのためのプロビジョニングサーバーに通信セッションを要求することと、
   リモートプロビジョニングが正常に完了すると、前記オンボーディングネットワークから登録を解除し、登録解除要求において前記オンボーディングネットワークにリモートプロビジョニングの成功に関する表示を提供することと、
   （１）明示的な要求、（２）トリガーアクション、および（３）前記少なくとも１つのオンボーディングレコードに関連する有効期間パラメータのうちの１つ以上に基づいて、前記少なくとも１つのオンボーディングレコードを削除させることと、
   をさせるように構成される、
   装置。
2. 前記オンボーディングネットワークは、オンボーディングスタンドアロン非公共ネットワーク（ＯＮ－ＳＮＰＮ）を含む、請求項１記載の装置。
3. 前記装置は、前記オンボーディングネットワークにアクセスするように構成されたユーザ端末の一部である、請求項１記載の装置。
4. 前記オンボーディングネットワークによって維持される前記少なくとも１つのオンボーディングレコードは、前記ユーザ端末に固有のオンボーディング識別子を含む、請求項３に記載の装置。
5. 前記ユーザ端末に固有の前記オンボーディング識別子は、前記ユーザ端末の加入者識別子を含む、請求項４に記載の装置。
6. 前記ユーザ端末の前記加入者識別子は、オンボーディング加入者永久識別子（ＳＵＰＩ）およびオンボーディング加入者暗号化識別子（ＳＵＣＩ）のうちの１つを備える、請求項５に記載の装置。
7. 方法であって、
   ユーザ端末によって、前記ユーザ端末とオンボーディングネットワークとの間の認証プロセスを開始させることであって、前記認証プロセスが、前記オンボーディングネットワークを介して、前記ユーザ端末または前記ユーザ端末の組に対して事前に構成され、前記オンボーディングネットワークによって維持される少なくとも１つのオンボーディングレコードに基づいて、行われることと、
   前記認証プロセスが正常に完了すると、前記オンボーディングネットワークを介して、前記ユーザ端末のリモートプロビジョニングのためのプロビジョニングサーバーに通信セッションを要求することと、
   リモートプロビジョニングが正常に完了すると、前記オンボーディングネットワークから登録を解除し、登録解除要求において前記オンボーディングネットワークにリモートプロビジョニングの成功に関する表示を提供することと、
   （１）明示的な要求、（２）トリガーアクション、および（３）前記少なくとも１つのオンボーディングレコードに関連する有効期間パラメータのうちの１つ以上に基づいて、前記少なくとも１つのオンボーディングレコードを削除させることと、
   を含む、方法。
8. 前記オンボーディングネットワークは、オンボーディングスタンドアロン非公共ネットワーク（ＯＮ－ＳＮＰＮ）を含む、請求項７に記載の方法。
9. 前記オンボーディングネットワークによって維持される前記少なくとも１つのオンボーディングレコードは、前記ユーザ端末に固有のオンボーディング識別子を含む、請求項７に記載の方法。
10. 前記ユーザ端末に固有の前記オンボーディング識別子は、オンボーディング加入者永久識別子（ＳＵＰＩ）およびオンボーディング加入者暗号化識別子（ＳＵＣＩ）のうちの１つを含む、請求項９に記載の方法。
11. プロセッサによって実行されたときにプロセッサに請求項７のことを実行させる実行可能なプログラムコードをそこに含む、非一時的コンピュータ可読記憶媒体を備える、製造物品。
12. システムであって、
    １つ以上のプロセッサと、
    コンピュータプログラムコードを含む、１つ以上のメモリと、
    前記１つ以上のメモリおよび前記コンピュータプログラムコードは、前記１つ以上のプロセッサにより、前記システムに少なくとも、
    オンボーディングネットワークのうち１つ以上のネットワークエンティティを介して、ユーザ端末または前記ユーザ端末の組に対して事前に構成され、前記１つ以上のネットワークエンティティのうちの１つによって維持される少なくとも１つのオンボーディングレコードに基づいて、前記ユーザ端末を認証することと、
    認証に成功した場合、前記１つ以上のネットワークエンティティの少なくとも１つを介して、前記ユーザ端末のリモートプロビジョニングのためのプロビジョニングサーバーとの通信セッションの確立を可能にすることと、
    リモートプロビジョニングが正常に完了すると、前記オンボーディングネットワークから登録を解除し、登録解除要求において前記オンボーディングネットワークにリモートプロビジョニングの成功に関する表示を提供することと、
    （１）明示的な要求、（２）トリガーアクション、および（３）前記少なくとも１つのオンボーディングレコードに関連する有効期間パラメータのうちの１つ以上に基づいて、前記少なくとも１つのオンボーディングレコードを削除することと、
    をさせるように構成される、
    システム。
13. 前記システムは、オンボーディングスタンドアロン非公共ネットワーク（ＯＮ－ＳＮＰＮ）の一部である、請求項１２に記載のシステム。
14. 前記少なくとも１つのオンボーディングレコードが構成され維持される前記１つ以上のネットワークエンティティのうちの前記１つは、１つ以上のデータ管理およびリポジトリネットワーク機能を備える、請求項１２に記載のシステム。
15. 前記１つ以上のデータ管理およびリポジトリ機能は、統合データ管理（ＵＤＭ）機能および統合データリポジトリ（ＵＤＲ）機能のうちの少なくとも１つを備える、請求項１４に記載のシステム。
16. 前記１つ以上のデータ管理およびリポジトリネットワーク機能は、（１）前記ユーザ端末に関連する所有者エンティティから構成情報を受信し、（２）前記受信した構成情報から前記少なくとも１つのオンボーディングレコードを作成し、（３）前記少なくとも１つのオンボーディングレコードを格納する、ように動作可能である、請求項１４に記載のシステム。
17. 前記１つ以上のデータ管理およびリポジトリネットワーク機能は、（１）明示的な要求、（２）トリガーアクション、および（３）前記少なくとも１つのオンボーディングレコードに関連する有効期間パラメータのうちの１つ以上に基づいて、前記少なくとも１つのオンボーディングレコードを削除するようにさらに動作可能である、請求項１４に記載のシステム。
18. 前記少なくとも１つのオンボーディングレコードは、前記ユーザ端末に固有のオンボーディング識別子を含む、請求項１４に記載のシステム。
19. 前記ユーザ端末に固有の前記オンボーディング識別子は、前記１つ以上のデータ管理およびリポジトリ機能によって格納された前記少なくとも１つのオンボーディングレコードにアクセスするために使用可能である、請求項１８に記載のシステム。
20. 前記少なくとも１つのオンボーディングレコードは、複数のユーザ端末にそれぞれ固有の複数のオンボーディング識別子をさらに含む、請求項１４に記載のシステム。
21. 前記少なくとも１つのオンボーディングレコードは、認証局によって発行された証明書をさらに含む、請求項１４に記載のシステム。
22. 前記認証局によって発行された前記証明書は、前記ユーザ端末によって提供された証明書を検証するために、前記１つ以上のネットワークエンティティのうちの他の１つによって使用可能である、請求項２１に記載のシステム。
23. 前記認証局によって発行された前記証明書を使用して、前記ユーザ端末によって提供された前記証明書を検証する前記１つ以上のネットワークエンティティのうちの前記他の１つは、認証サーバー機能（ＡＵＳＦ）を含む、請求項２２に記載のシステム。
24. 前記ユーザ端末によって提供された前記証明書を検証するために使用される前記１つ以上のネットワークエンティティのうちの前記他の１つは、前記ユーザ端末に固有のオンボーディング識別子に基づいて、前記１つ以上のネットワークエンティティのうちのさらに他の１つによって選択可能である、請求項２２に記載のシステム。
25. 前記１つ以上のネットワークエンティティのうちの前記さらに他の１つは、アクセスおよびモビリティ管理機能（ＡＭＦ）を含む、請求項２４に記載のシステム。
26. 前記少なくとも１つのオンボーディングレコードは、認証に成功した場合に、前記ユーザ端末をリモートでプロビジョニングするための前記通信セッションを確立するために、前記プロビジョニングサーバーにアクセスするための情報をさらに含む、請求項１４に記載のシステム。
27. 方法であって、
    オンボーディングネットワークを介して、ユーザ端末または前記ユーザ端末の組に対して事前に構成され、前記オンボーディングネットワークによって維持されるオンボーディングレコードに基づいて、前記ユーザ端末を認証することと、
    認証に成功した場合、前記オンボーディングネットワークから、前記ユーザ端末のリモートプロビジョニングのためのプロビジョニングサーバーに通信セッションを確立することと、
    リモートプロビジョニングが正常に完了した場合、前記オンボーディングネットワークから登録を解除し、登録解除要求において前記オンボーディングネットワークにリモートプロビジョニングの成功に関する表示を提供することと、
    （１）明示的な要求、（２）トリガーアクション、および（３）前記オンボーディングレコードに関連する有効期間パラメータのうちの１つ以上に基づいて、前記オンボーディングレコードを削除することと、
    を含む、方法。
28. 前記認証するステップは、前記オンボーディングネットワークの第１のネットワークエンティティが、前記オンボーディングネットワークの第２のネットワークエンティティに認証要求を送信することをさらに含み、前記認証要求は、前記ユーザ端末に固有の識別子と、前記認証要求がオンボーディング向けのものであるという表示とを含む、請求項２７に記載の方法。
29. 前記認証するステップは、前記第２のネットワークエンティティが、前記ユーザ端末に固有の前記識別子に基づいて前記オンボーディングレコードを取得することと、前記第１のネットワークエンティティに認証応答を送信することと、をさらに含み、前記認証応答は、認証局によって発行された証明書を含む、請求項２８に記載の方法。
30. 前記認証するステップは、前記第１のネットワークエンティティが、前記認証局によって発行された前記証明書を使用して前記ユーザ端末によって提供された証明書を検証することと、検証に成功すると、前記オンボーディングネットワークの第３のネットワークエンティティに認証応答を送信することと、をさらに含み、前記認証応答が前記ユーザ端末に固有の前記識別子を含む、請求項２９に記載の方法。
31. 前記認証するステップは、前記第３のネットワークエンティティが、前記第２のネットワークエンティティに登録要求を送信することをさらに含み、前記登録要求は、前記ユーザ端末に固有の前記識別子、または前記ユーザ端末に固有および前記ユーザ端末によって提供される任意の他の識別子を含む、請求項３０に記載の方法。
32. 前記認証するステップは、前記第２のネットワークエンティティが前記第３のネットワークエンティティに登録応答を送信することであって、前記登録応答はプロビジョニングサーバーにアクセスするための情報を含み、送信することと、前記第３のネットワークエンティティが前記ユーザ端末に登録受付を提供することと、をさらに含む、請求項３１に記載の方法。
33. 前記認証するステップの前に、前記第２のネットワークエンティティが、（１）前記ユーザ端末に関連する所有者エンティティから構成情報を受信することと、（２）前記受信した構成情報から前記オンボーディングレコードを作成することと、（３）前記少なくとも１つのオンボーディングレコードを格納することと、をさらに含む、請求項３２に記載の方法。
34. 前記第２のネットワークエンティティは、（１）明示的な要求、（２）トリガーアクション、および（３）前記オンボーディングレコードに関連する有効期間パラメータのうちの１つ以上に基づいて、前記オンボーディングレコードを削除する、請求項３３に記載の方法。
35. 前記第１のネットワークエンティティは、認証サーバー機能（ＡＵＳＦ）を含み、前記第２のネットワークエンティティは、統合データ管理（ＵＤＭ）機能および／または統合データリポジトリ（ＵＤＲ）機能を含み、前記第３のネットワークエンティティは、アクセスおよびモビリティ管理機能（ＡＭＦ）を含む、請求項３４に記載の方法。
36. １つ以上のプロセッサによって実行されたとき、１つ以上のプロセッサに、請求項２７のステップを実行させる実行可能なプログラムコードをそこに含む、非一時的コンピュータ可読記憶媒体を備える、製造物品。

Images