(57)【要約】      （修正有）【課題】暗号化されたクライアントデバイスコンテキストを用いたネットワークアーキテクチャおよびセキュリティを提供する。【解決手段】ネットワークはいくつかのクライアントデバイスをサポートし、クライアントデバイスは、ネットワークと通信するための要求を送信し、セキュリティコンテキストを確立し、ネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信する。暗号化されたクライアントデバイスコンテキストは、ネットワークにおけるコンテキストの再構築を可能にし、クライアントデバイスと関連付けられるネットワーク状態情報を含む。暗号化されたクライアントデバイスコンテキストに基づいてクライアントデバイスのコンテキストを再構築できるので、ネットワークデバイスは、より多数のクライアントデバイスをサポートするためにネットワークデバイスにおいて維持されるコンテキストの量を減らすことができる。【選択図】図８
2020129805.tif 000002
【特許請求の範囲】
【請求項１】
クライアントデバイスのための方法であって、
ネットワークと通信するための要求を送信するステップと、
前記ネットワークとの接続のためのセキュリティコンテキストを確立するステップであって、前記セキュリティコンテキストが少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む、ステップと、
前記要求に応答して前記ネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信するステップと、
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージを前記ネットワークに送信するステップであって、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとの通信のための前記ネットワークにおけるコンテキストの再構築を可能にし、前記コンテキストが前記クライアントデバイスと関連付けられるネットワーク状態情報を含む、ステップとを備える、方法。
【請求項２】
前記コンテキストが前記ネットワークにおいて除去される、請求項1に記載の方法。
【請求項３】
前記メッセージがデータを含むか制御情報を含むかに基づいて、使用すべき前記1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定するステップをさらに備える、請求項1に記載の方法。
【請求項４】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとのデータ関連の通信のために使用されるべき第1のコンテキストと、前記クライアントデバイスとの制御関連の通信のために使用されるべき第2のコンテキストとを含む、請求項1に記載の方法。
【請求項５】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、セキュリティコンテキスト、ベアラのサービス品質、トンネルエンドポイント識別子、またはこれらの組合せのうちの少なくとも1つを含む、請求項1に記載の方法。
【請求項６】
前記要求が、前記クライアントデバイスが前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを要求していることを示すものを備える、請求項1に記載の方法。
【請求項７】
前記要求が、前記クライアントデバイスが要求しているサービスを示すものを備える、請求項1に記載の方法。
【請求項８】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、ユーザプレーンの暗号化されたクライアントデバイスコンテキストおよび制御プレーンの暗号化されたクライアントデバイスコンテキストを含み、前記メッセージが、
前記ユーザプレーンの暗号化されたクライアントデバイスコンテキストを有する第1のデータパケット、または
前記制御プレーンの暗号化されたクライアントデバイスコンテキストを有する制御パケットを含む、請求項1に記載の方法。
【請求項９】
前記暗号鍵がユーザプレーン暗号鍵であり、前記完全性保護鍵がユーザプレーン完全性保護鍵であり、前記ユーザプレーン暗号鍵および前記ユーザプレーン完全性保護鍵が前記クライアントデバイスにおいて維持され、前記第1のデータパケットが少なくとも、前記ユーザプレーン完全性保護鍵を用いて完全性保護され、または前記ユーザプレーン暗号鍵を用いて暗号化される、請求項8に記載の方法。
【請求項１０】
前記第1のデータパケットを含む前記メッセージの送信が、前記ネットワークのネットワークアクセスノードとの無線リソース制御接続を確立しない、請求項8に記載の方法。
【請求項１１】
前記第1のデータパケットを含む前記メッセージを送信した直後にアイドルモードに入るステップをさらに備える、請求項8に記載の方法。
【請求項１２】
第2のデータパケットを受信するステップをさらに備え、前記第2のデータパケットを受信するステップが、ネットワークアクセスノードとの無線リソース制御接続を確立しない、請求項8に記載の方法。
【請求項１３】
前記暗号鍵がユーザプレーン暗号鍵であり、前記完全性保護鍵がユーザプレーン完全性保護鍵であり、前記ユーザプレーン暗号鍵および前記ユーザプレーン完全性保護鍵が前記クライアントデバイスにおいて維持され、前記第2のデータパケットを受信するステップが、前記ユーザプレーン完全性保護鍵を用いて前記第2のデータパケットを検証するステップまたは前記ユーザプレーン暗号鍵を用いて前記第2のデータパケットを復号するステップのうちの少なくとも1つを備える、請求項12に記載の方法。
【請求項１４】
前記制御パケットがトラッキングエリア更新である、請求項8に記載の方法。
【請求項１５】
前記ネットワークからページメッセージを受信するステップをさらに備える、請求項1に記載の方法。
【請求項１６】
前記ユーザプレーンの暗号化されたクライアントデバイスコンテキストを有する空のパケットを前記ネットワークに送信するステップをさらに備える、請求項1に記載の方法。
【請求項１７】
暗号化されたクライアントデバイスコンテキストが、前記ネットワークとの認証が成功した結果として、前記ネットワークから受信される、請求項1に記載の方法。
【請求項１８】
前記ネットワークとの前記認証の成功が、アクセス層セキュリティコンテキストを確立しない、請求項17に記載の方法。
【請求項１９】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストをローカルの記憶装置に記憶するステップをさらに備える、請求項1に記載の方法。
【請求項２０】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが前記クライアントデバイスにおいて復号されず、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成したネットワークデバイスのみによって復号される、請求項1に記載の方法。
【請求項２１】
前記メッセージがさらにリソース確立要求を含み、
前記メッセージに応答して前記クライアントデバイスのネットワークアドレスを受信するステップと、
前記ネットワークアドレスを含む複数のデータパケットを前記ネットワークに送信するステップとをさらに備える、請求項1に記載の方法。
【請求項２２】
リソース解放要求メッセージを前記ネットワークに送信するステップをさらに備え、前記リソース解放要求メッセージが、前記ネットワークが前記クライアントデバイスのための1つまたは複数のリソースを解放することを可能にする、請求項1に記載の方法。
【請求項２３】
前記コンテキストが、前記ネットワークから前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信した後に前記ネットワークにおいて除去される、請求項1に記載の方法。
【請求項２４】
ネットワークアクセスノードと通信するように構成されるワイヤレス通信回路と、
前記ワイヤレス通信回路に結合された処理回路とを備え、前記処理回路が、
ネットワークと通信するための要求を送信し、
前記ネットワークとの接続のためのセキュリティコンテキストを確立し、前記セキュリティコンテキストが少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含み、
前記要求に応答して前記ネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信し、
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージを前記ネットワークに送信し、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとの通信のための前記ネットワークにおけるコンテキストの再構築を可能にし、前記コンテキストが前記クライアントデバイスと関連付けられるネットワーク状態情報を含む、
ように構成される、クライアントデバイス。
【請求項２５】
前記コンテキストが前記ネットワークにおいて除去される、請求項24に記載のクライアントデバイス。
【請求項２６】
前記処理回路がさらに、
前記メッセージがデータを含むか制御情報を含むかに基づいて、使用すべき前記1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定するように構成される、請求項24に記載のクライアントデバイス。
【請求項２７】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとのデータ関連の通信のために使用されるべき第1のコンテキストと、前記クライアントデバイスとの制御関連の通信のために使用されるべき第2のコンテキストとを含む、請求項24に記載のクライアントデバイス。
【請求項２８】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、セキュリティコンテキスト、ベアラのサービス品質、トンネルエンドポイント識別子、またはこれらの組合せのうちの少なくとも1つを含む、請求項24に記載のクライアントデバイス。
【請求項２９】
前記処理回路がさらに、
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストをローカルの記憶装置に記憶するように構成される、請求項24に記載のクライアントデバイス。
【請求項３０】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、ユーザプレーンの暗号化されたクライアントデバイスコンテキストおよび制御プレーンの暗号化されたクライアントデバイスコンテキストを含み、前記メッセージが、
前記ユーザプレーンの暗号化されたクライアントデバイスコンテキストを有する第1のデータパケット、または
前記制御プレーンの暗号化されたクライアントデバイスコンテキストを有する制御パケットを含む、請求項24に記載のクライアントデバイス。
【請求項３１】
前記暗号鍵がユーザプレーン暗号鍵であり、前記完全性保護鍵がユーザプレーン完全性保護鍵であり、前記ユーザプレーン暗号鍵および前記ユーザプレーン完全性保護鍵が前記クライアントデバイスにおいて維持され、前記第1のデータパケットが少なくとも、前記ユーザプレーン完全性保護鍵を用いて完全性保護され、または前記ユーザプレーン暗号鍵を用いて暗号化される、請求項30に記載のクライアントデバイス。
【請求項３２】
ネットワークデバイスのための方法であって、
クライアントデバイスから、ネットワークと通信するための要求を受信するステップと、
前記クライアントデバイスとの少なくとも1つのコンテキストを確立するステップであって、前記少なくとも1つのコンテキストが、前記クライアントデバイスと前記ネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、前記ネットワーク状態情報が少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む、ステップと、
1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成するステップであって、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとの通信のための、前記ネットワークにおける前記少なくとも1つのコンテキストの再構築を可能にする、ステップと、
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスに送信するステップとを備える、方法。
【請求項３３】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成することを決定するステップをさらに備え、前記決定が、前記要求において示される暗号化されたクライアントデバイスコンテキストの使用情報、前記クライアントデバイスのサブスクリプション、ポリシー、またはこれらの組合せのうちの少なくとも1つに基づく、請求項32に記載の方法。
【請求項３４】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、データ関連の通信のために使用されるべき第1のコンテキストと、制御関連の通信のために使用されるべき第2のコンテキストとを備える、請求項32に記載の方法。
【請求項３５】
ホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバからの認証情報を要求するステップと、
前記クライアントデバイスとの相互認証を実行するステップとをさらに備える、請求項32に記載の方法。
【請求項３６】
制御パケットおよび暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスから受信するステップと、
前記クライアントデバイスから受信された前記暗号化されたクライアントデバイスコンテキストを検証するステップと、
前記暗号化されたクライアントデバイスコンテキストから前記少なくとも1つのコンテキストを再構築するステップと、
前記少なくとも1つのコンテキストを使用して前記制御パケットを処理するステップであって、前記コンテキストを使用して前記制御パケットを検証するステップ、復号するステップ、またはこれらの組合せのうちの少なくとも1つを備える、ステップと、
前記クライアントデバイスのためのダウンリンクパケットの一時識別子を記憶するステップと、
前記制御パケットのペイロード部分をアプリケーションサーバまたはパケットデータネットワークゲートウェイに転送するステップとをさらに備える、請求項32に記載の方法。
【請求項３７】
前記暗号鍵が少なくとも、制御プレーン暗号鍵、ユーザプレーン暗号鍵、またはこれらの組合せを含み、前記完全性保護鍵が少なくとも、ユーザプレーン完全性保護鍵、制御プレーン完全性保護鍵、またはこれらの組合せを含む、請求項36に記載の方法。
【請求項３８】
前記暗号化されたクライアントデバイスコンテキストを検証するステップが、
前記暗号化されたクライアントデバイスコンテキストが期限切れになったと決定するステップと、
以前の暗号化されたクライアントデバイスコンテキストが期限切れになっているとき、1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストを生成するステップと、
前記以前の暗号化されたクライアントデバイスコンテキストが期限切れになっているとき、前記1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスに送信するステップとを備える、請求項36に記載の方法。
【請求項３９】
第2のクライアントデバイスから制御パケットを受信するステップと、
第2のネットワークデバイスから前記第2のクライアントデバイスのコンテキストを要求するステップであって、前記要求が制御プレーンの暗号化されたクライアントデバイスコンテキストを含む、ステップと、
前記第2のネットワークデバイスから前記第2のクライアントデバイスの前記コンテキストを受信するステップと、
新しい暗号化されたクライアントデバイスコンテキストを生成するステップと、
前記新しい暗号化されたクライアントデバイスコンテキストを前記第2のクライアントデバイスに送信するステップとをさらに備える、請求項32に記載の方法。
【請求項４０】
前記暗号化されたクライアントデバイスコンテキストを検証するステップが、前記暗号化されたクライアントデバイスコンテキストを検証するための鍵を決定するステップを備える、請求項36に記載の方法。
【請求項４１】
前記少なくとも1つのコンテキストを除去するステップと、
リソース確立要求および前記1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージを前記クライアントデバイスから受信するステップと、
前記メッセージに応答して前記クライアントデバイスのネットワークアドレスを取得するステップと、
前記ネットワークアドレスを前記クライアントデバイスに送信するステップとをさらに備える、請求項32に記載の方法。
【請求項４２】
前記クライアントデバイスからリソース解放要求メッセージを受信するステップと、
前記リソース解放要求メッセージを前記クライアントデバイスからゲートウェイに送信するステップとをさらに備え、前記リソース解放要求メッセージが、前記ゲートウェイが前記クライアントデバイスのための1つまたは複数のリソースを解放することを可能にする、請求項41に記載の方法。
【請求項４３】
前記クライアントデバイスから前記ネットワークへの送信の前、または前記ネットワークから前記クライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信するステップをさらに備え、前記リソース解放要求メッセージが、前記ゲートウェイが前記クライアントデバイスのための1つまたは複数のリソースを解放することを可能にする、請求項41に記載の方法。
【請求項４４】
1つまたは複数のネットワークエンティティと通信するように構成されるネットワーク通信インターフェースと、
前記ネットワーク通信インターフェースに結合された処理回路とを備え、前記処理回路が、
クライアントデバイスから、ネットワークと通信するための要求を受信し、
前記クライアントデバイスとの少なくとも1つのコンテキストを確立し、前記少なくとも1つのコンテキストが、前記クライアントデバイスと前記ネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、前記ネットワーク状態情報が少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含み、
1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成し、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとの通信のための、前記ネットワークにおける前記少なくとも1つのコンテキストの再構築を可能にし、
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスに送信する
ように構成される、ネットワークデバイス。
【請求項４５】
ネットワークデバイスのための方法であって、
クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得するステップと、
第1のデータパケットおよび前記暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスから受信するステップと、
前記鍵を使用して、前記暗号化されたクライアントデバイスコンテキストから前記クライアントデバイスのセキュリティコンテキストを取得するステップと、
前記セキュリティコンテキストに基づいて、前記第1のデータパケットを復号し検証するステップと、
前記復号および検証が成功したとき、前記第1のデータパケットをサービスネットワークに転送するステップとを備える、方法。
【請求項４６】
前記セキュリティコンテキストを取得するステップが、前記鍵に基づいて前記暗号化されたクライアントデバイスコンテキストを復号するステップを備え、前記セキュリティコンテキストが少なくとも、ユーザプレーン暗号鍵、ユーザプレーン完全性保護鍵、またはこれらの組合せを含む、請求項45に記載の方法。
【請求項４７】
前記第1のデータパケットが少なくとも、前記ユーザプレーン完全性保護鍵を用いて検証され、または前記ユーザプレーン暗号鍵を用いて復号される、請求項46に記載の方法。
【請求項４８】
前記セキュリティコンテキストがユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含み、
サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信するステップと、
前記第2のデータパケットが転送されるネットワークアクセスノードを決定するステップと、
前記ネットワークアクセスノードが前記クライアントデバイスを決定することを可能にする一時識別子を前記第2のデータパケットに追加するステップと、
前記ユーザプレーン暗号鍵または前記ユーザプレーン完全性保護鍵を使用して、前記第2のデータパケットを暗号化または完全性保護するステップと、
前記第2のデータパケットを前記クライアントデバイスに転送するステップとをさらに備える、請求項45に記載の方法。
【請求項４９】
1つまたは複数のネットワークエンティティと通信するように構成されるネットワーク通信インターフェースと、
前記ネットワーク通信インターフェースに結合された処理回路とを備え、前記処理回路が、
クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得し、
第1のデータパケットおよび前記暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスから受信し、
前記鍵を使用して、前記暗号化されたクライアントデバイスコンテキストから前記クライアントデバイスのセキュリティコンテキストを取得し、
前記セキュリティコンテキストに基づいて、前記第1のデータパケットを復号して検証し、
前記復号および検証が成功したとき、前記第1のデータパケットをサービスネットワークに転送する
ように構成される、ネットワークデバイス。
【請求項５０】
前記セキュリティコンテキストを取得するように構成される前記処理回路がさらに、
前記鍵に基づいて前記暗号化されたクライアントデバイスコンテキストを復号するように構成され、前記セキュリティコンテキストが少なくとも、ユーザプレーン暗号鍵またはユーザプレーン完全性保護鍵を含む、請求項49に記載のネットワークデバイス。
【請求項５１】
前記セキュリティコンテキストがユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含み、前記処理回路がさらに、
サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信し、
前記第2のデータパケットが転送されるネットワークアクセスノードを決定し、
前記ネットワークアクセスノードが前記クライアントデバイスを決定することを可能にする一時識別子を前記第2のデータパケットに追加し、
前記ユーザプレーン暗号鍵および前記ユーザプレーン完全性保護鍵を使用して、前記第2のデータパケットを暗号化または完全性保護し、
前記第2のデータパケットを前記クライアントデバイスに転送する
ように構成される、請求項49に記載のネットワークデバイス。
【請求項５２】
ネットワークアクセスノードのための方法であって、
クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信するステップと、
前記第1のデータパケットが宛てられるネットワークノードを決定するステップと、
前記ネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信するステップと、
前記第2のデータパケットが転送されるべき前記クライアントデバイスを決定するステップとを備える、方法。
【請求項５３】
前記クライアントデバイスの一時識別子を記憶するステップをさらに備え、前記一時識別子がセル無線ネットワーク一時識別子(C-RNTI)であり、前記一時識別子が所定の期間記憶される、請求項52に記載の方法。
【請求項５４】
前記一時識別子を前記第1のデータパケットに追加するステップをさらに備える、請求項53に記載の方法。
【請求項５５】
前記要求が転送されるべき前記ネットワーク機能を決定するステップであって、前記決定が前記ネットワークアクセスノードにおいて事前に構成される、ステップと、
前記第1のデータパケットを前記ネットワーク機能に転送するステップとをさらに備える、請求項52に記載の方法。
【請求項５６】
前記第2のデータパケットの中の前記一時識別子を除去するステップと、
前記第2のデータパケットを前記クライアントデバイスに転送するステップとをさらに備える、請求項52に記載の方法。
【請求項５７】
前記第2のデータパケットが転送されるべき前記クライアントデバイスを前記決定するステップが、前記第2のデータパケットの中の一時識別子から前記クライアントデバイスを特定するステップを備える、請求項52に記載の方法。
【請求項５８】
1つまたは複数のネットワークエンティティと通信するように構成される通信回路と、
前記通信回路に結合された処理回路とを備え、前記処理回路が、
クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信し、
前記第1のデータパケットが宛てられるネットワークノードを決定し、
前記ネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信し、
前記第2のデータパケットが転送されるべき前記クライアントデバイスを決定する
ように構成される、ネットワークアクセスノード。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
本出願は、2015年7月12日に米国特許商標庁に出願された仮出願第62/191,457号、2016年4月9日に米国特許商標庁に出願された仮出願第62/320,506号、および2016年5月20日に米国特許商標庁に出願された非仮出願第15/160,198号に対する優先権を主張し、これらの出願の内容全体が、参照により本明細書に組み込まれる。
【０００２】
本開示の態様は全般に、ネットワーク通信に関し、より具体的には、限定はしないが、モノのインターネット(IoT:Internet of Things)ネットワークアーキテクチャに関する。
【背景技術】
【０００３】
電子デバイスがデータを収集し、処理し、交換する能力は成長し続けている。その上、ますます多くのこれらの電子デバイスがネットワーク接続性を与えられている。そのような能力および機能は、多くの電子デバイスがモノのインターネット(IoT)デバイスへと進化することを可能にしている。これらのタイプの電子デバイスの数が急速に増え続けているので、ネットワークはこれらの電子デバイスを適切にサポートするためのリソースを有しないことがある。
【０００４】
たとえば、IoT環境においては、ネットワーク(たとえば、LTEネットワーク)は多数の(たとえば、数十億個の)IoTデバイスをサポートする必要があり得る。IoTの目的でネットワークにより割り振られるリソースの量は限られていることがあるので、ネットワークはこれらのタイプのデバイスのすべてのコンテキストを維持することが可能ではないことがある。その上、IoTデバイスは頻繁には活動せずリソースが限られていることがあるので、これらのデバイスは、接続に必要とされる複雑なシグナリングを実行することが可能ではないことがある。
【発明の概要】
【課題を解決するための手段】
【０００５】
以下では、本開示のいくつかの態様の基本的な理解をもたらすように、そのような態様の簡略化された概要を提示する。この概要は、本開示のすべての企図された特徴の広範な概要ではなく、本開示のすべての態様の主要な要素または重要な要素を特定するものでもなく、本開示のいずれかまたはすべての態様の範囲を定めるものでもない。その唯一の目的は、後で提示されるより詳細な説明の前置きとして、本開示のいくつかの態様の様々な概念を簡略化された形態で提示することである。
【０００６】
ある態様では、ネットワークアクセスノードのための方法が提供される。ネットワークアクセスノードは、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得し、クライアントデバイスから第1のデータパケットおよび暗号化されたクライアントデバイスコンテキストを受信し、鍵を使用して暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得し、セキュリティコンテキストに基づいて第1のデータパケットを復号および/または検証し、復号および検証が成功するときに第1のデータパケットをサービスネットワークに転送する。ある態様では、ネットワークアクセスノードは、鍵に基づいて暗号化されたクライアントデバイスコンテキストを復号することによってセキュリティコンテキストを取得し、セキュリティコンテキストは少なくとも、ユーザプレーン暗号鍵、ユーザプレーン完全性保護鍵、またはこれらの組合せを含む。ある態様では、第1のデータパケットは、少なくとも、ユーザプレーン完全性保護鍵を用いて検証され、またはユーザプレーン暗号鍵を用いて復号される。ある態様では、セキュリティコンテキストは、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含む。そのような態様では、ネットワークアクセスノードは、サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信し、ユーザプレーン暗号鍵またはユーザプレーン完全性保護鍵を使用して第2のデータパケットを暗号化または完全性保護し、第2のデータパケットをクライアントデバイスに転送し得る。ネットワークアクセスノードは少なくとも1つのコンテキストを除去し得る。ネットワークアクセスノードは、リソース確立要求と、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージを、クライアントデバイスから受信し得る。ネットワークアクセスノードは、メッセージに応答して、クライアントデバイスのネットワークアドレスを取得し得る。ネットワークアクセスノードは、ネットワークアドレスをクライアントデバイスに送信し得る。ある態様では、ネットワークアクセスノードは、クライアントデバイスからリソース解放要求メッセージを受信することがあり、クライアントデバイスからゲートウェイへリソース解放要求メッセージを送信することがあり、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。別の態様では、ネットワークアクセスノードは、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信することがあり、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。ある態様では、ネットワークアクセスノードは、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、クライアントデバイスのための1つまたは複数のリソースを解放し得る。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。別の態様では、ネットワークアクセスノードは、クライアントデバイスからリソース解放要求メッセージを受信し得る。そのような態様では、ネットワークアクセスノードは、リソース解放要求メッセージに応答して、クライアントデバイスのための1つまたは複数のリソースを解放し得る。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。
【０００７】
ある態様では、ネットワークアクセスノードが提供される。ネットワークアクセスノードは、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得するための手段と、クライアントデバイスから第1のデータパケットおよび暗号化されたクライアントデバイスコンテキストを受信するための手段と、鍵を使用して暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得するための手段と、セキュリティコンテキストに基づいて第1のデータパケットを復号および/または検証するための手段と、復号および検証が成功するときに第1のデータパケットをサービスネットワークに転送するための手段とを含む。ある態様では、セキュリティコンテキストを取得するための手段は、鍵に基づいて暗号化されたクライアントデバイスコンテキストを復号するように構成され、セキュリティコンテキストは少なくとも、ユーザプレーン暗号鍵、ユーザプレーン完全性保護鍵、またはこれらの組合せを含む。ある態様では、第1のデータパケットは、少なくとも、ユーザプレーン完全性保護鍵を用いて検証され、またはユーザプレーン暗号鍵を用いて復号される。ある態様では、セキュリティコンテキストは、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含む。そのような態様では、ネットワークアクセスノードは、サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信するための手段と、ユーザプレーン暗号鍵またはユーザプレーン完全性保護鍵を使用して第2のデータパケットを暗号化または完全性保護するための手段と、第2のデータパケットをクライアントデバイスに転送するための手段とを含み得る。ある態様では、ネットワークアクセスノードは、少なくとも1つのコンテキストを除去するための手段を含む。ある態様では、ネットワークアクセスノードは、リソース確立要求と、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージを、クライアントデバイスから受信するための手段を含む。ある態様では、ネットワークアクセスノードは、メッセージに応答して、クライアントデバイスのネットワークアドレスを取得するための手段を含む。ある態様では、ネットワークアクセスノードは、クライアントデバイスにネットワークアドレスを送信するための手段を含む。ある態様では、ネットワークアクセスノードは、クライアントデバイスからリソース解放要求メッセージを受信するための手段と、クライアントデバイスからゲートウェイへリソース解放要求メッセージを送信するための手段とを含み、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。別の態様では、ネットワークアクセスノードは、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信するための��段を含み、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。ある態様では、ネットワークアクセスノードは、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、クライアントデバイスのための1つまたは複数のリソースを解放するための手段を含む。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。別の態様では、ネットワークアクセスノードは、クライアントデバイスからリソース解放要求メッセージを受信するための手段を含む。そのような態様では、ネットワークアクセスノードは、リソース解放要求メッセージに応答して、クライアントデバイスのための1つまたは複数のリソースを解放するための手段を含む。ある態様では、1つまたは複数のリソースは少なくとも、クライアントデバイスのネットワークアドレスまたはベアラを備える。
【０００８】
ある態様では、クライアントデバイスのための方法が提供される。クライアントデバイスは、ネットワークと通信するための要求を送信し、ネットワークとの接続のためのセキュリティコンテキストを確立し、ここでセキュリティコンテキストが少なくとも暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含み、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信する。クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信し、1つまたは複数の暗号化されたクライアントデバイスコンテキストが、クライアントデバイスとの通信のためのネットワークにおけるコンテキストの再構築を可能にし、コンテキストがクライアントデバイスと関連付けられるネットワーク状態情報を含む。ある態様では、コンテキストはネットワークにおいて除去される。ある態様では、クライアントデバイスは、メッセージがデータを含むか制御情報を含むかに基づいて、使用すべき1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定する。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとのデータ関連の通信のために使用されるべき第1のコンテキストと、クライアントデバイスとの制御関連の通信のために使用されるべき第2のコンテキストとを含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、セキュリティコンテキスト、ベアラのサービス品質、トンネルエンドポイント識別子、またはこれらの組合せのうちの少なくとも1つを含む。ある態様では、要求は、クライアントデバイスが1つまたは複数の暗号化されたクライアントデバイスコンテキストを要求していることを示すものを備える。ある態様では、要求は、クライアントデバイスが要求しているサービスを示すものを備える。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、ユーザプレーンの暗号化されたクライアントデバイスコンテキストおよび制御プレーンの暗号化されたクライアントデバイスコンテキストを含む。そのような態様では、メッセージは、ユーザプレーンの暗号化されたクライアントデバイスコンテキストを有する第1のデータパケット、または制御プレーンの暗号化されたクライアントデバイスコンテキストを有する制御パケットを含む。ある態様では、暗号鍵はユーザプレーン暗号鍵であり、完全性保護鍵はユーザプレーン完全性保護鍵であり、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵はクライアントデバイスにおいて維持され、第1のデータパケットは少なくとも、ユーザプレーン完全性保護鍵を用いて完全性保護され、またはユーザプレーン暗号鍵を用いて暗号化される。ある態様では、第1のデータパケットを含むメッセージの送信は、ネットワークのネットワークアクセスノードとの無線リソース制御接続を確立しない。ある態様では、クライアントデバイスは、第1のデータパケットを含むメッセージを送信した直後に、アイドルモードに入る。ある態様では���クライアントデバイスは第2のデータパケットを受信し、第2のデータパケットを受信するステップは、ネットワークアクセスノードとの無線リソース制御接続を確立しない。ある態様では、暗号鍵はユーザプレーン暗号鍵であり、完全性保護鍵はユーザプレーン完全性保護鍵であり、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵はクライアントデバイスにおいて維持され、第2のデータパケットを受信するステップは、ユーザプレーン完全性保護鍵を用いて第2のデータパケットを検証するステップまたはユーザプレーン暗号鍵を用いて第2のデータパケットを復号するステップのうちの少なくとも1つを備える。ある態様では、制御パケットはトラッキングエリア更新である。ある態様では、クライアントデバイスは、ネットワークからページメッセージを受信する。ある態様では、クライアントデバイスは、ユーザプレーンの暗号化されたクライアントデバイスコンテキストを有する空のパケットをネットワークに送信する。ある態様では、暗号化されたクライアントデバイスコンテキストは、ネットワークとの認証が成功した結果として、ネットワークから受信される。ある態様では、ネットワークとの認証の成功は、アクセス層セキュリティコンテキストを確立しない。ある態様では、クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストをローカルの記憶装置に記憶する。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストはクライアントデバイスにおいて復号されず、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成したネットワークデバイスのみによって復号される。ある態様では、メッセージはさらに、リソース確立要求を含む。そのような態様では、クライアントデバイスは、メッセージに応答してクライアントデバイスのネットワークアドレスを受信し、ネットワークアドレスを含む複数のデータパケットをネットワークに送信する。ある態様では、クライアントデバイスは、リソース解放要求メッセージをネットワークに送信し、リソース解放要求メッセージは、ネットワークがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、コンテキストは、ネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信した後にネットワークにおいて除去される。
【０００９】
ある態様では、クライアントデバイスが提供される。クライアントデバイスは、ネットワークと通信するための要求を送信するための手段と、ネットワークとの接続のためのセキュリティコンテキストを確立するための手段であって、セキュリティコンテキストが少なくとも暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む、手段と、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信するための手段と、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信するための手段とを含み、1つまたは複数の暗号化されたクライアントデバイスコンテキストが、クライアントデバイスとの通信のためのネットワークにおけるコンテキストの再構築を可能にし、コンテキストがクライアントデバイスと関連付けられるネットワーク状態情報を含む。ある態様では、コンテキストはネットワークにおいて除去される。ある態様では、クライアントデバイスは、メッセージがデータを含むか制御情報を含むかに基づいて、使用すべき1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定するための手段を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとのデータ関連の通信のために使用されるべき第1のコンテキストと、クライアントデバイスとの制御関連の通信のために使用されるべき第2のコンテキストとを含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、セキュリティコンテキスト、ベアラのサービス品質、トンネルエンドポイント識別子、またはこれらの組合せのうちの少なくとも1つを含む。ある態様では、要求は、クライアントデバイスが1つまたは複数の暗号化されたクライアントデバイスコンテキストを要求していることを示すものを備える。ある態様では、要求は、クライアントデバイスが要求しているサービスを示すものを備える。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、ユーザプレーンの暗号化されたクライアントデバイスコンテキストおよび制御プレーンの暗号化されたクライアントデバイスコンテキストを含む。そのような態様では、メッセージは、ユーザプレーンの暗号化されたクライアントデバイスコンテキストを有する第1のデータパケット、または制御プレーンの暗号化されたクライアントデバイスコンテキストを有する制御パケットを含む。ある態様では、暗号鍵はユーザプレーン暗号鍵であり、完全性保護鍵はユーザプレーン完全性保護鍵であり、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵はクライアントデバイスにおいて維持され、第1のデータパケットは少なくとも、ユーザプレーン完全性保護鍵を用いて完全性保護され、またはユーザプレーン暗号鍵を用いて暗号化される。ある態様では、第1のデータパケットを含むメッセージの送信は、ネットワークのネットワークアクセスノードとの無線リソース制御接続を確立しない。ある態様では、クライアントデバイスは、第1のデータパケットを含むメッセージを送���した直後に、アイドルモードに入るための手段を含む。ある態様では、クライアントデバイスは第2のデータパケットを受信するための手段を含み、第2のデータパケットを受信することは、ネットワークアクセスノードとの無線リソース制御接続を確立しない。ある態様では、暗号鍵はユーザプレーン暗号鍵であり、完全性保護鍵はユーザプレーン完全性保護鍵であり、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵はクライアントデバイスにおいて維持され、第2のデータパケットを受信するステップは、ユーザプレーン完全性保護鍵を用いて第2のデータパケットを検証するステップまたはユーザプレーン暗号鍵を用いて第2のデータパケットを復号するステップのうちの少なくとも1つを備える。ある態様では、制御パケットはトラッキングエリア更新である。ある態様では、クライアントデバイスは、ネットワークからページメッセージを受信するための手段を含む。ある態様では、クライアントデバイスは、ユーザプレーンの暗号化されたクライアントデバイスコンテキストを有する空のパケットをネットワークに送信するための手段を含む。ある態様では、暗号化されたクライアントデバイスコンテキストは、ネットワークとの認証が成功した結果として、ネットワークから受信される。ある態様では、ネットワークとの認証の成功は、アクセス層セキュリティコンテキストを確立しない。ある態様では、クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストをローカルの記憶装置に記憶するための手段を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストはクライアントデバイスにおいて復号されず、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成したネットワークデバイスのみによって復号される。ある態様では、メッセージはさらに、リソース確立要求を含む。そのような態様では、クライアントデバイスは、メッセージに応答してクライアントデバイスのネットワークアドレスを受信するための手段と、ネットワークアドレスを含む複数のデータパケットをネットワークに送信するための手段とを含む。ある態様では、クライアントデバイスは、リソース解放要求メッセージをネットワークに送信するための手段を含み、リソース解放要求メッセージは、ネットワークがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、コンテキストは、ネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信した後にネットワークにおいて除去される。
【００１０】
ある態様では、クライアントデバイスのための方法が提供される。クライアントデバイスは、ネットワークと通信するための要求を送信し、ネットワークとの接続のためのセキュリティコンテキストを確立し、ここでセキュリティコンテキストが少なくとも暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含み、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信する。クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信する。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおけるコンテキストの少なくとも一部分の再構築を可能にし、コンテキストはクライアントデバイスと関連付けられるネットワーク状態情報を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストの各々が、ネットワークによって提供される複数のサービスのうちの1つと関連付けられる。ある態様では、クライアントデバイスはメッセージを取得し、メッセージはネットワークによって提供されるサービスと関連付けられる。そのような態様では、クライアントデバイスは、サービスと関連付けられる1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定し、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちのその少なくとも1つは、サービスをサポートするクライアントデバイスコンテキストの部分の再構築を可能にする。たとえば、複数のサービスは、モバイルブロードバンドサービス、ultra-reliable low-latency communications(URLLC)サービス、高優先度のアクセスサービス、遅延に耐性のあるアクセスサービス、および/またはマシン型通信(MTC)サービスを含み得る。クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと関連付けられる使用情報を取得する。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと関連付けられる使用情報は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかを示す。ある態様では、使用情報は、ネットワークによって提供されるあるタイプのサービスのためにネットワークによって再構築されるべきコンテキスト(またはコンテキストの部分)と関連付けられる値(たとえば、インデックス数または他の値)を含み得る。ある態様では、コンテキストのその部分は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかに基づいて決定される期間、ネットワークにおいて維持される。ある態様では、メッセージは使用情報を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、ネットワークの中の第1のエンティティにおけるクライアントデバイスの第1のコンテキストの再構築を可能にする第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストと、ネットワークの中の第2のエンティティにおけるクライアント���バイスの第2のコンテキストの再構築を可能にする第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストとを含む。そのような態様では、メッセージは少なくとも、第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストと、第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストとを含む。
【００１１】
ある態様では、クライアントデバイスが提供される。クライアントデバイスは、ネットワークと通信するための要求を送信するための手段と、ネットワークとの接続のためのセキュリティコンテキストを確立するための手段であって、セキュリティコンテキストが少なくとも暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む、手段と、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信するための手段とを含む。クライアントデバイスはさらに、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信するための手段を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおけるコンテキストの少なくとも一部分の再構築を可能にし、コンテキストはクライアントデバイスと関連付けられるネットワーク状態情報を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストの各々が、ネットワークによって提供される複数のサービスのうちの1つと関連付けられる。ある態様では、クライアントデバイスはメッセージを取得するための手段を含み、メッセージはネットワークによって提供されるサービスと関連付けられる。そのような態様では、クライアントデバイスは、サービスと関連付けられる1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定するための手段を含み、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちのその少なくとも1つは、サービスをサポートするクライアントデバイスコンテキストの部分の再構築を可能にする。たとえば、複数のサービスは、モバイルブロードバンドサービス、ultra-reliable low-latency communications(URLLC)サービス、高優先度のアクセスサービス、遅延に耐性のあるアクセスサービス、および/またはマシン型通信(MTC)サービスを含み得る。ある態様では、クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと関連付けられる使用情報を取得するための手段を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと関連付けられる使用情報は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかを示す。ある態様では、使用情報は、ネットワークによって提供されるあるタイプのサービスのためにネットワークによって再構築されるべきコンテキスト(またはコンテキストの部分)と関連付けられる値(たとえば、インデックス数または他の値)を含み得る。ある態様では、コンテキストのその部分は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかに基づいて決定される期間、ネットワークにおいて維持される。ある態様では、メッセージは使用情報を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、ネットワークの中の第1のエンティティにおけるクライアントデバイスの第1のコンテキストの再構築を可能にする第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストと、ネットワークの中の第2のエンティティにおけるクライアントデバイスの第2のコンテキストの再構築を可能にする第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストとを含む。そのような態様では、メッセージは少なくとも、第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストと、第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストとを含む。
【００１２】
ある態様では、ネットワークデバイスのための方法が提供される。ネットワークデバイスは、クライアントデバイスから、ネットワークと通信するための要求を受信し、クライアントデバイスとの少なくとも1つのコンテキストを確立し、少なくとも1つのコンテキストがクライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、ネットワーク状態情報が少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含み、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成し、1つまたは複数の暗号化されたクライアントデバイスコンテキストが、クライアントデバイスとの通信のための、ネットワークにおける少なくとも1つのコンテキストの再構築を可能にし、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信する。ある態様では、ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成することを決定し、この決定は、要求において示される暗号化されたクライアントデバイスコンテキスト使用情報、クライアントデバイスのサブスクリプション、ポリシー、またはこれらの組合せのうちの少なくとも1つに基づく。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、データ関連の通信のために使用されるべき第1のコンテキストと、制御関連の通信のために使用されるべき第2のコンテキストとを備える。ある態様では、ネットワークデバイスは、ホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバからの認証情報を要求し、クライアントデバイスとの相互認証を実行する。ある態様では、ネットワークデバイスは、クライアントデバイスから制御パケットおよび暗号化されたクライアントデバイスコンテキストを受信し、クライアントデバイスから受信された暗号化されたクライアントデバイスコンテキストを検証し、暗号化されたクライアントデバイスコンテキストから少なくとも1つのコンテキストを再構築し、少なくとも1つのコンテキストを使用して制御パケットを処理し、処理することが、コンテキストを使用して制御パケットを検証すること、復号すること、またはこれらの組合せのうちの少なくとも1つを備え、クライアントデバイスのためのダウンリンクパケットの一時識別子を記憶し、制御パケットのペイロード部分をアプリケーションサーバまたはパケットデータネットワークゲートウェイに転送する。ある態様では、暗号鍵は少なくとも、制御プレーン暗号鍵、ユーザプレーン暗号鍵、またはこれらの組合せを含み、完全性保護鍵は少なくとも、ユーザプレーン完全性保護鍵、制御プレーン完全性保護鍵、またはこれらの組合せを含む。ある態様では、暗号化されたクライアントデバイスコンテキストを検証するステップは、暗号化されたクライアントデバイスコンテキストが期限切れになっているかどうかを決定するステップと、以前に暗号化されたクライアントデバイスコンテキストが期限切れになっているときに1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストを生成するステップと、以前に暗号化されたクライアントデバイスコンテキストが���限切れになっているときに1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信するステップとを含む。ある態様では、ネットワークデバイスは、第2のクライアントデバイスから制御パケットを受信し、第2のネットワークデバイスから第2のクライアントデバイスのコンテキストを要求し、要求が制御プレーンの暗号化されたクライアントデバイスコンテキスト含み、第2のネットワークデバイスから第2のクライアントデバイスのコンテキストを受信し、新しい暗号化されたクライアントデバイスコンテキストを生成し、新しい暗号化されたクライアントデバイスコンテキストを第2のクライアントデバイスに送信する。ある態様では、暗号化されたクライアントデバイスコンテキストを検証するステップは、暗号化されたクライアントデバイスコンテキストを検証するための鍵を決定するステップを含む。ある態様では、ネットワークデバイスは、少なくとも1つのコンテキストを除去し、リソース確立要求と1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージをクライアントデバイスから受信し、メッセージに応答してクライアントデバイスのネットワークアドレスを取得し、ネットワークアドレスをクライアントデバイスに送信する。ある態様では、ネットワークデバイスは、クライアントデバイスからリソース解放要求メッセージを受信し、クライアントデバイスからゲートウェイへリソース解放要求メッセージを送信し、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、ネットワークデバイスは、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信し、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。
【００１３】
ある態様では、ネットワークデバイスが提供される。ネットワークデバイスは、クライアントデバイスから、ネットワークと通信するための要求を受信するための手段と、クライアントデバイスとの少なくとも1つのコンテキストを確立するための手段であって、少なくとも1つのコンテキストがクライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、ネットワーク状態情報が少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む、手段と、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成するための手段であって、1つまたは複数の暗号化されたクライアントデバイスコンテキストが、クライアントデバイスとの通信のための、ネットワークにおける少なくとも1つのコンテキストの再構築を可能にする、手段と、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信するための手段とを含む。ある態様では、ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成することを決定するための手段を含み、この決定は、要求において示される暗号化されたクライアントデバイスコンテキスト使用情報、クライアントデバイスのサブスクリプション、ポリシー、またはこれらの組合せのうちの少なくとも1つに基づく。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、データ関連の通信のために使用されるべき第1のコンテキストと、制御関連の通信のために使用されるべき第2のコンテキストとを備える。ある態様では、ネットワークデバイスは、ホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバからの認証情報を要求するための手段と、クライアントデバイスとの相互認証を実行するための手段とを含む。ある態様では、ネットワークデバイスは、クライアントデバイスから制御パケットおよび暗号化されたクライアントデバイスコンテキストを受信するための手段と、クライアントデバイスから受信された暗号化されたクライアントデバイスコンテキストを検証するための手段と、暗号化されたクライアントデバイスコンテキストから少なくとも1つのコンテキストを再構築するための手段と、少なくとも1つのコンテキストを使用して制御パケットを処理するための手段であって、処理することが、コンテキストを使用して制御パケットを検証すること、復号すること、またはこれらの組合せのうちの少なくとも1つを備える、手段と、クライアントデバイスのためのダウンリンクパケットの一時識別子を記憶するための手段と、制御パケットのペイロード部分をアプリケーションサーバまたはパケットデータネットワークゲートウェイに転送するための手段とを含む。ある態様では、暗号鍵は少なくとも、制御プレーン暗号鍵、ユーザプレーン暗号鍵、またはこれらの組合せを含み、完全性保護鍵は少なくとも、ユーザプレーン完全性保護鍵、制御プレーン完全性保護鍵、またはこれらの組合せを含む。ある態様では、暗号化されたクライアントデバイスコンテキストを検証するための手段は、暗号化されたクライアントデバイスコンテキストが期限切れになっているかどうかを決��し、以前に暗号化されたクライアントデバイスコンテキストが期限切れになっているときに1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストを生成し、以前に暗号化されたクライアントデバイスコンテキストが期限切れになっているときに1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信するように構成される。ある態様では、ネットワークデバイスは、第2のクライアントデバイスから制御パケットを受信するための手段と、第2のネットワークデバイスから第2のクライアントデバイスのコンテキストを要求するための手段であって、要求が制御プレーンの暗号化されたクライアントデバイスコンテキストを含む、手段と、第2のネットワークデバイスから第2のクライアントデバイスのコンテキストを受信するための手段と、新しい暗号化されたクライアントデバイスコンテキストを生成するための手段と、新しい暗号化されたクライアントデバイスコンテキストを第2のクライアントデバイスに送信するための手段とを含む。ある態様では、暗号化されたクライアントデバイスコンテキストを検証するための手段は、暗号化されたクライアントデバイスコンテキストを検証するための鍵を決定するように構成される。ある態様では、ネットワークデバイスは、少なくとも1つのコンテキストを除去するための手段と、リソース確立要求と1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージをクライアントデバイスから受信するための手段と、メッセージに応答してクライアントデバイスのネットワークアドレスを取得するための手段と、ネットワークアドレスをクライアントデバイスに送信するための手段とを含む。ある態様では、ネットワークデバイスは、クライアントデバイスからリソース解放要求メッセージを受信するための手段と、クライアントデバイスからゲートウェイへリソース解放要求メッセージを送信するための手段とを含み、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。ある態様では、ネットワークデバイスは、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信するための手段を含み、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。
【００１４】
ある態様では、ネットワークデバイスのための方法が提供される。ネットワークデバイスは、クライアントデバイスから、ネットワークと通信するための要求を受信する。ネットワークデバイスは、クライアントデバイスとの少なくとも1つのコンテキストを確立し、少なくとも1つのコンテキストは、クライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、ネットワーク状態情報は少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む。ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成し得る。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおける少なくとも1つのコンテキストの再構築を可能にする。ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信し得る。ネットワークデバイスは少なくとも1つのコンテキストを除去する。ネットワークデバイスはクライアントデバイスからメッセージを受信し、メッセージは、1つまたは複数の暗号化されたクライアントデバイスコンテキストと、1つまたは複数の暗号化されたクライアントデバイスコンテキストと関連付けられる使用情報とのうちの少なくとも1つを含む。ある態様では、使用情報は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかを示す。ある態様では、ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストおよび使用情報のうちの少なくとも1つに基づいて、コンテキストの少なくとも一部分を再構築し得る。ある態様では、ネットワークデバイスは、使用情報が減らされたデータ送信を示すときには第1の閾値の期間、または使用情報がバーストデータ送信を示すときには第2の閾値の期間、コンテキストの少なくとも一部分を維持し、第2の閾値の期間は第1の閾値の期間より長い。
【００１５】
ある態様では、ネットワークデバイスが提供される。ネットワークデバイスは、クライアントデバイスから、ネットワークと通信するための要求を受信するための手段を含む。ネットワークデバイスはさらに、クライアントデバイスとの少なくとも1つのコンテキストを確立するための手段を含み、少なくとも1つのコンテキストは、クライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、ネットワーク状態情報は少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む。ある態様では、ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成するための手段を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおける少なくとも1つのコンテキストの再構築を可能にする。ある態様では、ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信するための手段を含む。ある態様では、ネットワークデバイスは、少なくとも1つのコンテキストを除去するための手段を含む。ある態様では、ネットワークデバイスはクライアントデバイスからメッセージを受信するための手段を含み、メッセージは、1つまたは複数の暗号化されたクライアントデバイスコンテキストと、1つまたは複数の暗号化されたクライアントデバイスコンテキストと関連付けられる使用情報とのうちの少なくとも1つを含む。ある態様では、使用情報は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかを示す。ある態様では、ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストおよび使用情報のうちの少なくとも1つに基づいて、コンテキストの少なくとも一部分を再構築するための手段を含む。ある態様では、ネットワークデバイスは、使用情報が減らされたデータ送信を示すときには第1の閾値の期間、または使用情報がバーストデータ送信を示すときには第2の閾値の期間、コンテキストの少なくとも一部分を維持するための手段を含み、第2の閾値の期間は第1の閾値の期間より長い。
【００１６】
ある態様では、ネットワークデバイスのための方法が提供される。ネットワークデバイスは、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得し、クライアントデバイスから第1のデータパケットおよび暗号化されたクライアントデバイスコンテキストを受信し、鍵を使用して暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得し、セキュリティコンテキストに基づいて第1のデータパケットを復号および検証し、復号および検証が成功するときに第1のデータパケットをサービスネットワークに転送する。ある態様では、ネットワークデバイスは、鍵に基づいて暗号化されたクライアントデバイスコンテキストを復号することによってセキュリティコンテキストを取得し、セキュリティコンテキストは少なくとも、ユーザプレーン暗号鍵、ユーザプレーン完全性保護鍵、またはこれらの組合せを含む。ある態様では、第1のデータパケットは、少なくとも、ユーザプレーン完全性保護鍵を用いて検証され、またはユーザプレーン暗号鍵を用いて復号される。ある態様では、セキュリティコンテキストは、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含む。そのような態様では、ネットワークデバイスは、サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信し、第2のデータパケットが転送されるネットワークアクセスノードを決定し、そのネットワークアクセスノードがクライアントデバイスを決定することを可能にする一時識別子を第2のデータパケットに追加し、ユーザプレーン暗号鍵またはユーザプレーン完全性保護鍵を使用して第2のデータパケットを暗号化または完全性保護し、第2のデータパケットをクライアントデバイスに転送する。
【００１７】
ある態様では、ネットワークデバイスが提供される。ネットワークデバイスは、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得するための手段と、クライアントデバイスから第1のデータパケットおよび暗号化されたクライアントデバイスコンテキストを受信するための手段と、鍵を使用して暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得するための手段と、セキュリティコンテキストに基づいて第1のデータパケットを復号および検証するための手段と、復号および検証が成功するときに第1のデータパケットをサービスネットワークに転送するための手段とを含む。ある態様では、セキュリティコンテキストを取得するための手段は、鍵に基づいて暗号化されたクライアントデバイスコンテキストを復号するように構成され、セキュリティコンテキストは、少なくともユーザプレーン暗号鍵、ユーザプレーン完全性保護鍵、またはこれらの組合せを含む。ある態様では、第1のデータパケットは、少なくとも、ユーザプレーン完全性保護鍵を用いて検証され、またはユーザプレーン暗号鍵を用いて復号される。ある態様では、セキュリティコンテキストは、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含む。そのような態様では、ネットワークデバイスは、サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信するための手段と、第2のデータパケットが転送されるネットワークアクセスノードを決定するための手段と、そのネットワークアクセスノードがクライアントデバイスを決定することを可能にする一時識別子を第2のデータパケットに追加するための手段と、ユーザプレーン暗号鍵またはユーザプレーン完全性保護鍵を使用して第2のデータパケットを暗号化または完全性保護するための手段と、第2のデータパケットをクライアントデバイスに転送するための手段とを含む。
【００１８】
ある態様では、ネットワークアクセスノードのための方法が提供される。ネットワークアクセスノードは、クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信し、第1のデータパケットが宛てられるネットワークノードを決定し、そのネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信し、第2のデータパケットが転送されるべきクライアントデバイスを決定する。ある態様では、ネットワークアクセスノードはクライアントデバイスの一時識別子を記憶し、一時識別子はセル無線ネットワーク一時識別子(C-RNTI)であり、一時識別子は所定の期間記憶される。ある態様では、ネットワークアクセスノードは、一時識別子を第1のデータパケットに追加する。ある態様では、ネットワークアクセスノードは、要求が転送されるべきネットワーク機能を決定し、この決定がネットワークアクセスノードにおいて事前に構成され、第1のデータパケットをネットワーク機能に転送する。ある態様では、ネットワークアクセスノードは、第2のデータパケットの中の一時識別子を除去し、第2のデータパケットをクライアントデバイスに転送する。ある態様では、ネットワークアクセスノードは、第2のデータパケットの中の一時識別子からクライアントデバイスを特定することによって、第2のデータパケットが転送されるべきクライアントデバイスを決定する。
【００１９】
ある態様では、ネットワークアクセスノードが提供される。ネットワークアクセスノードは、クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信するための手段と、第1のデータパケットが宛てられるネットワークノードを決定するための手段と、そのネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信するための手段と、第2のデータパケットが転送されるべきクライアントデバイスを決定するための手段とを含む。ある態様では、ネットワークアクセスノードはクライアントデバイスの一時識別子を記憶するための手段を含み、一時識別子はセル無線ネットワーク一時識別子(C-RNTI)であり、一時識別子は所定の期間記憶される。ある態様では、ネットワークアクセスノードは、一時識別子を第1のデータパケットに追加するための手段を含む。ある態様では、ネットワークアクセスノードは、要求が転送されるべきネットワーク機能を決定するための手段であって、この決定がネットワークアクセスノードにおいて事前に構成される、手段と、第1のデータパケットをネットワーク機能に転送するための手段とを含む。ある態様では、ネットワークアクセスノードは、第2のデータパケットの中の一時識別子を除去するための手段と、第2のデータパケットをクライアントデバイスに転送するための手段とを含む。ある態様では、第2のデータパケットが転送されるべきクライアントデバイスを決定するための手段は、第2のデータパケットの中の一時識別子からクライアントデバイスを特定するように構成される。
【００２０】
本開示のこれらの態様および他の態様は、以下の詳細な説明を検討することにより、より完全に理解されるであろう。本開示の他の態様、特徴、および実装形態は、添付の図とともに本開示の特定の実装形態の以下の説明を検討すれば、当業者に明らかになろう。本開示の特徴が以下のいくつかの実装形態および図に対して論じられ得るが、本開示のすべての実装形態が、本明細書において説明される有利な特徴のうちの1つまたは複数を含み得る。言い換えれば、1つまたは複数の実装形態が、いくつかの有利な特徴を有するものとして論じられ得るが、そのような特徴のうちの1つまたは複数はまた、本明細書において説明される本開示の様々な実装形態に従って使用され得る。同様に、いくつかの実装形態が、デバイス、システム、または方法の実装形態として以下で論じられ得るが、そのような実装形態が様々なデバイス、システム、および方法で実装され得ることを理解されたい。
【図面の簡単な説明】
【００２１】
【図１】本開示の様々な態様による、モノのインターネット(IoT)ネットワークアーキテクチャのブロック図である。
【図２】本開示の様々な態様による、IoTネットワークアーキテクチャの鍵階層を示す図である。
【図３】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるコンテキストを暗号化するための鍵階層を示す図である。
【図４】ネットワークの中のクライアントデバイスの様々なコンテキスト(たとえば、ネットワーク状態情報)を示す図である。
【図５】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるクライアントデバイスによる初期接続手順を示すブロック図である。
【図６】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるクライアントデバイスによる接続手順の信号フロー図である。
【図７】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるクライアントデバイスによって開始されるデータ送信を示すブロック図である。
【図８】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるクライアントデバイスによって開始されるデータ送信を示す信号フロー図である。
【図９】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるクライアントデバイスで終端するデータ送信の信号フロー図である。
【図１０】本開示の様々な態様による、IoTネットワークアーキテクチャにおける例示的なリソースの確立および解放の信号フロー図である。
【図１１】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるクライアントデバイスによる例示的な接続手順の信号フロー図である。
【図１２】本開示の様々な態様による、IoTネットワークアーキテクチャにおける例示的なリソースの確立および解放の信号フロー図である。
【図１３】本開示の様々な態様による、IoTデータ送信のための制御プレーンプロトコルスタックである。
【図１４】本開示の様々な態様による、IoTデータ送信のためのユーザプレーンプロトコルスタックを示す図である。
【図１５】本開示の様々な態様による、パケットフォーマットの図である。
【図１６】本開示の様々な態様による、IoTネットワークアーキテクチャにおけるトラッキングエリア更新(TAU)手順の信号フロー図である。
【図１７】本開示の様々な態様による、IoTネットワークアーキテクチャにおける通信に関する動作をサポートするように構成される装置の図である。
【図１８Ａ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図１８Ｂ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図１９】本開示の様々な態様による、ネットワークと通信するための方法を示す図である。
【図２０】本開示の様々な態様による、ネットワークと通信するための方法を示す図である。
【図２１】本開示の様々な態様による、IoTネットワークアーキテクチャにおける通信に関する動作をサポートするように構成される装置の図である。
【図２２Ａ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２２Ｂ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２３Ａ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２３Ｂ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２４】本開示の様々な態様による、IoTネットワークアーキテクチャにおける通信のための装置において動作可能な方法を示す図である。
【図２５Ａ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２５Ｂ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２６Ａ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２６Ｂ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２７】本開示の様々な態様による、IoTネットワークアーキテクチャにおける通信に関する動作をサポートするように構成される装置の図である。
【図２８】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２９Ａ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【図２９Ｂ】本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示す図である。
【発明を実施するための形態】
【００２２】
添付の図面に関して以下に記載される詳細な説明は、様々な構成の説明として意図されており、本明細書において説明される概念が実践され得る唯一の構成を表すことは意図されていない。詳細な説明は、様々な概念の十分な理解を提供するために、具体的な詳細を含む。しかしながら、これらの概念がこれらの具体的な詳細なしに実践され得ることは、当業者に明らかであろう。いくつかの例では、よく知られている構造および構成要素は、そのような概念を不明瞭にすることを避けるために、ブロック図の形式で示されている。
【００２３】
上で論じられたように、IoT環境においては、ネットワーク(たとえば、LTEネットワーク)は多数の(たとえば、数十億個の)クライアントデバイス(モノのインターネット(IoT)デバイスとも呼ばれる)をサポートする必要があり得る。クライアントデバイスは、携帯電話(たとえば、スマートフォン)、パーソナルコンピュータ(たとえば、ラップトップ)、ゲームデバイス、ユーザ機器(UE)、またはネットワーク(たとえば、LTEネットワーク)と通信するように構成される任意の他の適切なデバイスであり得る。クライアントデバイスは、データ送信およびセキュリティのための異なる要件を有し得る。たとえば、クライアントデバイストラフィック(IoTトラフィックとも呼ばれる)は、遅延に耐性があることがあり、または信頼性のある送信を必要としないことがある。別の例では、クライアントデバイストラフィックは、オーバーヘッドを減らすためにアクセス層(AS)セキュリティを必要としないことがある。
【００２４】
従来、クライアントデバイスがアイドルモードから接続モードに移行するとき、シグナリングのオーバーヘッドを招くことがある。たとえば、クライアントデバイスは、ネットワークアクセスノード(たとえば、発展型ノードB(eNB)、基地局、またはネットワークアクセスポイント)との接続を確立することがあり、ネットワークアクセスノードは、クライアントデバイスのコンテキストを生成することがある。クライアントデバイスがその後でアイドルモードに入るとき、ネットワークアクセスノードはもはやクライアントデバイスコンテキストを維持しないことがある。
【００２５】
クライアントデバイスがネットワークに接続するとき、ネットワークの中のクライアントデバイスのコンテキストは、デバイスがデータを送信するためにより少ないシグナリングを実行することを可能にし得る。たとえば、登録されているクライアントデバイスは、完全な認証手順を実行することは必要とされないことがある。しかしながら、そのような効率性を達成するために、ネットワークは、多数の接続されたクライアントデバイスの各々の1つまたは複数のコンテキストを維持するためにかなりの量のリソースを使用することがある。
【００２６】
本明細書において使用される、クライアントデバイスの「コンテキスト」は、クライアントデバイスと関連付けられるネットワーク状態情報を指し得る。たとえば、コンテキストは、クライアントデバイスのセキュリティコンテキスト、E-UTRAN無線アクセスベアラ(eRAB)と関連付けられるコンテキスト、ならびに/または無線ベアラおよびS1ベアラと関連付けられるコンテキストを指し得る。
【００２７】
IoTの目的でネットワークにより割り振られるリソースの量(たとえば、ネットワーク機能を実装する機器)は限られていることがあるので、ネットワーク機能は、頻繁には活動しないクライアントデバイスのすべてのコンテキスト(たとえば、ネットワーク状態情報)を維持することが可能ではないことがある。たとえば、一部のクライアントデバイスは、10分またはそれより長い時間ごとに起動し、トラフィックをサーバに送信し(たとえば、データを送信し)、直ちにスリープモードに入り得る。別の例として、一部のクライアントデバイスは、予想されないイベントが発生するとサーバに警告を送信し得る。その上、一部のクライアントデバイスは、限られたリソース(たとえば、メモリ、プロセッサ、バッテリ)を有することがあり、複雑なプロトコルスタックおよび/またはシグナリング手順を扱うのに適していないことがある。
【００２８】
ロングタームエボリューション(LTE)のモビリティ管理およびセッション管理は、潜在的には数十億個のクライアントデバイスへと急拡大するために、あまりにも多くのオーバーヘッドを招く。具体的には、ネットワークノードにおけるコンテキストの管理および記憶が課題になることがある。
【００２９】
たとえば、クライアントデバイスがアイドルモードから起動して接続モードに入るとき、ネットワークアクセスノードは、モビリティ管理エンティティ(MME)へのサービス要求を介して新しいクライアントデバイスコンテキストを確立する。クライアントデバイスコンテキストは、クライアントデバイスが発展型パケットシステムモビリティ管理(EMM:Evolved Packet System Mobility Management)登録状態にある間、MMEおよびサービングゲートウェイ(S-GW)において維持され得る。したがって、多数のクライアントデバイスをサポートするために、MMEおよびS-GWは、大半の時間はアイドルモードにとどまり得るクライアントデバイスのコンテキストを維持するために、大量の記憶装置を装備する必要がある。
【００３０】
本明細書において開示される態様は、より上層の観点から、クライアントデバイスの超低消費電力、セルごとの多数のクライアントデバイス、小さいスペクトル、および/またはセルにおけるカバレッジエリアの拡大を達成するための、クライアントデバイス(モノのインターネット(IoT)デバイスとも呼ばれる)のネットワークアーキテクチャを含む。独立した展開を可能にし、スケーラビリティ/相互機能の要件をなくすために、専用のネットワーク機能が導入される。セキュリティは、IoTネットワーク機能(IoT機能(IoTF)とも呼ばれる)においてアンカーされる。
【００３１】
様々な態様によれば、アーキテクチャは、クライアントデバイスからの、またはクライアントデバイスへのデータ移送のために、ネットワークアクセスノード(たとえば、eNB、基地局、ネットワークアクセスポイント)におけるセキュリティコンテキストを許容しないことがある。通常のクライアントデバイスのPDN接続/トラフィックに影響するのを避けるために、少量のデータ移送のために専用のコアネットワークリソースが割り振られる。ネットワークは、少量のデータトラフィックも制限するために、アクセス制御に専用の物理(PHY)層リソースを割り振ることがある。アイドル状態の間のIoTFにおけるクライアントデバイスの準持続的なコンテキストを削除するために、少量のデータ移送のためにクライアントデバイスコンテキストが使用される。IoTデバイスに対する効率的なデータ送信を達成するために、開示されるネットワークアーキテクチャは、ネットワークデバイスにおいて実装されるIoTFを含み得る。そのようなIoTFは、制御プレーンIoTF(IoTF-C)およびユーザプレーンIoTF(IoTF-U)を含み得る。ある態様では、IoTF-Cは、モビリティ管理エンティティと同様の機能を有し得る。ある態様では、IoTF-Uは、ユーザプレーンデータトラフィックのためのモビリティおよびセキュリティのアンカーであり得る。ある態様では、IoTF-Uは、サービングゲートウェイ(S-GW)および/またはネットワークアクセスノード(たとえば、発展型ノードB(eNB)、基地局、またはネットワークアクセスポイント)と同様の機能を有し得る。
【００３２】
ネットワーク機能(たとえば、IoTF-C、IoTF-U)がクライアントデバイスのリソース使用を最適化することを可能にするために、開示されるIoTネットワークアーキテクチャの様々な態様は、クライアントデバイスコンテキストがパケット(たとえば、IPパケット)において搬送されIoTF(たとえば、IoTF-CおよびIoTF-Uを含むIoTF)がクライアントデバイスコンテキストを機会主義的に作成する、設計プロトコルを実装し得る。これにより、ネットワーク機能は、クライアントデバイスのためのネットワーク状態情報を最小限維持すること、またはまったく維持しないことが可能になり、シグナリングオーバーヘッドを最小限にし、またはまったくなくすことが可能になる。たとえば、クライアントデバイスは、携帯電話(たとえば、スマートフォン)、パーソナルコンピュータ(たとえば、ラップトップ)、ゲームデバイス、自動車、家電機器、またはネットワークと通信するように構成される任意の他の適切なデバイスであり得る。いくつかの態様では、クライアントデバイスは、ユーザ機器(UE)またはアクセス端末(AT)と呼ばれ得る。いくつかの態様では、本明細書において言及されるクライアントデバイスは、モバイルデバイスまたは固定デバイスであり得る。開示されるIoTネットワークアーキテクチャおよび本明細書に含まれる機能は、クライアントデバイス以外のデバイスとの少量のデータ移送のために使用され得ることを理解されたい。ある態様では、クライアントデバイスは、接続を確立しデータを移送するノミナルモードを有し得るが、クライアントデバイスコンテキストを使用してデータを移送するための本明細書において開示されるような手順も使用する。
【００３３】
IoTネットワークアーキテクチャ
図1は、本開示の様々な態様による、IoTネットワークアーキテクチャ100のブロック図である。図1に示されるように、IoTネットワークアーキテクチャ100は、クライアントデバイス102(IoTデバイスとも呼ばれる)、ネットワークアクセスノード104、ネットワークデバイス105、サービスネットワーク110、およびホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバ112を含む。一態様では、ネットワークアクセスノード104は、eNB、基地局、またはネットワークアクセスポイントであり得る。
【００３４】
一態様では、ネットワークデバイス105は、IoTFを実装するように構成される1つまたは複数の処理回路および/または他の適切なハードウェアを含み得る。本開示の一態様では、IoTFは、制御プレーンIoT機能(IoTF-C)106およびユーザプレーンIoT機能(IoTF-U)108を含み得る。たとえば、IoTF-C106は第1のネットワークノード107において実装されることがあり、IoTF-U108は第2のネットワークノード109において実装されることがある。本明細書において開示される様々な態様によれば、「ノード」という用語は、処理回路、デバイス、サーバ、またはネットワークエンティティなどの、ネットワークデバイス105に含まれる物理エンティティを表し得る。したがって、たとえば、ネットワークノードはネットワークノードデバイスと呼ばれ得る。
【００３５】
一態様では、IoTF-C106およびIoTF-U108は、同じハードウェアプラットフォーム(たとえば、処理回路およびメモリなどの他の関連するハードウェア構成要素)において実装され得る。そのような態様では、たとえば、IoTF-C106はハードウェアプラットフォーム(たとえば、ネットワークデバイス105)上で提供される第1の仮想機械(たとえば、第1のオペレーティングシステム)において実装されることがあり、IoTF-U108はハードウェアプラットフォーム上で提供される第2の仮想機械(たとえば、第2のオペレーティングシステム)において実装されることがある。
【００３６】
図1に示されるように、IoTF-C106は、第1のS1接続116を介してネットワークアクセスノード104と通信しており、IoTF-U108は、第2のS1接続114を介してネットワークアクセスノード104と通信している。ある態様では、サービスネットワーク110は、様々なタイプのサービスを提供するように構成される、いくつかのエンティティ、機能、ゲートウェイ、および/またはサービスを含み得る。たとえば、サービスネットワーク110は、ショートメッセージエンティティ(SME)118、マシン型通信インターワーキング機能(MTC-IWF:machine type communication interworking function)120、IoTサーバ122、および/またはパケットデータネットワーク(PDN)ゲートウェイ(P-GW)124を含み得る。図1において開示されるサービスネットワーク110は一例として機能し、他の態様では、サービスネットワーク110は、図1において開示されたものとは異なるタイプのエンティティ、機能、および/またはサーバを含み得ることを理解されたい。
【００３７】
本開示のある態様では、ネットワークデバイス105において実装されるIoTFは、制御プレーンおよびユーザプレーンの機能を提供し得る。ある態様では、IoTF-C106は、クライアントデバイスのための制御プレーンシグナリング(たとえば、制御情報を搬送するパケット、本明細書では「制御パケット」と呼ばれる)を扱う。たとえば、IoTF-C106は、クライアントデバイスのためのモビリティおよびセッションの管理を実行し、クライアントデバイスとの認証および鍵共有(AKA手順とも呼ばれる)を実行することができ、かつ/または、クライアントデバイスのセキュリティコンテキストを作成することができる。ある態様では、IoTF-C106は、クライアントデバイス102と関連付けられる制御プレーントラフィックのための制御プレーン(CP)鍵126、クライアントデバイス102と関連付けられるユーザプレーントラフィックのためのユーザプレーン(UP)鍵128、および/または、クライアントデバイス102の暗号化されたコンテキストを生成するためのコンテキスト鍵130を導出し得る。ある態様では、IoTF-C106は、ユーザプレーン鍵128、および/またはコンテキスト鍵130の少なくとも1つを、IoTF-U108に提供し得る。したがって、いくつかの態様では、IoTF-U108は、IoTF-C106によって提供されるユーザプレーン鍵128および/またはコンテキスト鍵131を含み得る。
【００３８】
ある態様では、IoTF-U108は、クライアントデバイスのためのユーザプレーントラフィックを扱い得る。たとえば、IoTF-U108は、暗号鍵および完全性鍵(たとえば、UP鍵128を使用するAuthenticated Encryption with Associated Data(AEAD)暗号)を導出し、オンザフライでクライアントデバイスコンテキストを作成し、クライアントデバイスにより送信されるアップリンクパケットを認証および復号してPDNまたはP-GW(たとえば、P-GW124)にアップリンクパケットを転送し、接続されたクライアントデバイスのためのダウンリンクパケットを暗号化および認証してダウンリンクパケットを次のホップのネットワークアクセスノード(たとえば、eNB)に転送し、かつ/または、ページングの間にアイドル状態のクライアントデバイスのためのダウンリンクパケットをバッファリングすることができる。ある態様では、IoTF-U108は、データトラフィックのためのモビリティおよびセキュリティのアンカーであると見なされ得る。
【００３９】
IoTネットワークのための例示的な鍵階層
図2は、本開示の様々な態様による、IoTネットワークアーキテクチャ(たとえば、IoTネットワークアーキテクチャ100)の鍵階層200を示す図である。図2では、鍵KIOT202は、クライアントデバイス(たとえば、クライアントデバイス102)のUniversal Mobile Telecommunications System(UMTS)加入者識別モジュール(USIM)およびネットワークの認証センター(AuC)において永続的に記憶される秘密鍵であり得る。完全性鍵(IK)および暗号鍵(CK)(図2においてIK、CK204として示されている)は、AKA手順の間にAuCおよびUSIMにおいて導出される一対の鍵である。図1を参照すると、AKA手順の間、IoTF-C106は、HSS/AAAサーバ112から認証ベクトル(AV)を受信することができ、認証ベクトルはアクセスセキュリティ管理エンティティ(ASME)からの鍵(KASME206として図2に示されている)を含む。IoTF-C106は、鍵KASME206から制御プレーン鍵(KCP)208およびユーザプレーン鍵(KUP)214を導出することができる。IoTF-C106は、鍵KUP214をIoTF-U108に提供することができる。IoTF-C106は、鍵KCP208から暗号鍵KIoT-CPenc210および完全性保護鍵KIoT-CPint212を導出することができる。IoTF-U108は、鍵KUP214から暗号鍵KIoT-UPenc216および完全性保護鍵KIoT-UPint218を導出することができる。
【００４０】
図3は、本開示の様々な態様による、IoTネットワークアーキテクチャ(たとえば、IoTネットワークアーキテクチャ100)においてコンテキストを暗号化するための鍵階層300を示す図である。本開示のある態様では、図1を参照すると、IoTF-C106は、クライアントデバイスのコンテキスト鍵KCDC-IoTF302に基づいて、クライアントデバイス(たとえば、クライアントデバイス102)の制御プレーンクライアントデバイスコンテキスト暗号鍵(KCDC-IoTF-C)304およびユーザプレーンクライアントデバイスコンテキスト暗号鍵(KCDC-IoTF-U)306をランダムに生成することができる。
【００４１】
クライアントデバイスの例示的なネットワーク状態
ワイヤレス通信システム(たとえば、LTEネットワーク)において、ネットワーク状態は、モビリティ管理(たとえば、発展型パケットシステムモビリティ管理(EMM))のためにクライアントデバイスに対して定義される。そのようなネットワーク状態は、クライアントデバイスとネットワークの中の他のエンティティとの間の効率的な通信を可能にする。
【００４２】
本開示のある態様では、クライアントデバイス(たとえば、図1のクライアントデバイス102)は、未登録状態または登録状態にあり得る。たとえば、クライアントデバイスが未登録状態にあるとき、クライアントデバイスのコンテキストはHSSに記憶され得る。ネットワークはクライアントデバイスについて有効な位置情報またはルーティング情報を保持せず、クライアントデバイスは到達可能ではない。
【００４３】
別の例として、クライアントデバイスは、ネットワークへの登録の成功により登録状態に入り得る。本開示のある態様では、クライアントデバイスは、ネットワークとの接続手順を実行することにより、そのような登録を実行し得る。登録状態において、クライアントデバイスは少なくとも1つの有効なPDN接続を有する。クライアントデバイスはまた、発展型パケットシステム(EPS:Evolved Packet System)セキュリティコンテキストのセットアップを有する。未登録状態および登録状態は、クライアントデバイスがネットワークのための証明書(たとえば、HSSの中に利用可能な署名がある)を有することを仮定していることに留意されたい。
【００４４】
ワイヤレス通信ネットワーク(たとえば、LTEネットワーク)はさらに、発展型パケットシステム接続管理(ECM:Evolved Packet System Connection Management)のためにクライアントデバイスに対して定義されるネットワーク状態を含み得る。したがって、登録状態にあるクライアントデバイス(たとえば、図1のクライアントデバイス102)は、アイドル状態または接続状態などの、2つの状態(登録状態の副状態とも呼ばれる)のうちの1つにあり得る。アイドル状態において、非アクセス層(NAS)シグナリング接続が、クライアントデバイスと他のネットワークエンティティとの間に存在する。加えて、クライアントデバイスは、セルの選択/再選択および公衆交換電話網(PLMN)の選択を実行することができ、RAN(たとえば、ネットワークアクセスノード)の中のクライアントデバイスに対してコンテキストがないことがある。その上、アイドル状態のクライアントデバイスに対して、S1-MME接続およびS1-U接続がないことがある。
【００４５】
接続状態において、クライアントデバイスの位置は、サービングアクセスネットワーク識別子(たとえば、eNB識別子(ID)、基地局ID、またはネットワークアクセスポイントID)の精度で、MMEにおいて知られている。クライアントデバイスのモビリティは、ハンドオーバー手順によって扱われる。接続状態において、クライアントデバイスとMMEとの間にシグナリング接続が存在する。シグナリング接続は、無線リソース制御(RRC)接続およびS1-MME接続という2つの部分からなり得る。
【００４６】
図4は、ネットワーク400の中の様々なエンティティによって維持されるクライアントデバイスの例示的なネットワーク状態を示す図である。図4に示されるように、ネットワーク400は、クライアントデバイス402、ネットワークアクセスノード404、および発展型パケットコア(EPC)406を含む。図4にさらに示されるように、EPC406は、ホーム加入者サーバ(HSS)412、モビリティ管理エンティティ(MME)408、およびパケットデータネットワークゲートウェイ(P-GW)/サービングゲートウェイ(S-GW)410を含む。本開示のある態様では、ネットワーク400は4Gネットワークであり得る。他の態様では、ネットワーク400は、3Gネットワーク、LTEネットワーク、5Gネットワーク、または他の適切なネットワークであり得る。
【００４７】
たとえば、図4を参照すると、ネットワークアクセスノード404は、クライアントデバイス402が接続状態にあるとき、クライアントデバイス402のコンテキスト414(ネットワーク状態情報とも呼ばれる)を維持し得る。MME408は、クライアントデバイス402が接続状態にあるときはクライアントデバイス402のコンテキスト416を維持し、クライアントデバイス402がアイドル状態にあるときはクライアントデバイス402のコンテキスト418を維持し得る。P-GW/S-GW410は、クライアントデバイス402が接続状態にあるときはクライアントデバイス402のコンテキスト426を維持し、クライアントデバイス402がアイドル状態にあるときはクライアントデバイス402のコンテキスト428を維持し得る。HSS412は、クライアントデバイス402が接続状態にあるときはクライアントデバイス402のコンテキスト420を維持し、クライアントデバイス402がアイドル状態にあるときはクライアントデバイス402のコンテキスト422を維持し、クライアントデバイス402が未登録状態にあるときはクライアントデバイス402のコンテキスト424を維持し得る。本開示のある態様では、ネットワーク400が3Gネットワークとして実装される場合、P-GW/S-GW410は、クライアントデバイス402がアイドル状態にあるときはクライアントデバイス402のコンテキストを維持しないことがある。
【００４８】
本開示のある態様では、クライアントデバイスのコンテキスト(クライアントデバイスコンテキストとも呼ばれる)の機会主義的な再構築を可能にするために、図1のIoTF-C106およびIoTF-U108などのネットワーク機能に対して、暗号化されたクライアントデバイスコンテキストが生成され得る。たとえば、暗号化されたクライアントデバイスコンテキストは、クライアントデバイスのためのネットワーク状態情報を最小限維持しながら、またはまったく維持せずに、ネットワークエンティティがクライアントデバイスコンテキストを再構築することを可能にし得る。したがって、暗号化されたクライアントデバイスコンテキストは、ネットワーク状態情報を何ら記憶またはキャッシュすることなく、ネットワークエンティティがクライアントデバイスコンテキストを再構築することを可能にし得る。
【００４９】
トラフィックを頻繁には送信しない、潜在的には数十億個のクライアントデバイスが存在する場合、ネットワーク機能(たとえば、MME408、P-GW/S-GW410)がクライアントデバイスのコンテキスト(セキュリティコンテキストを含む)を維持するのは望ましくないことに留意されたい。また、暗号化されたクライアントデバイスコンテキストは、ハンドオーバーの間に、またはアイドルモードから接続モードへの移行の間に、ネットワークアクセスノード(たとえば、eNB、基地局、またはネットワークアクセスポイント)におけるシグナリングオーバーヘッドを削除し得る。暗号化されたクライアントデバイスコンテキストは、MME/コントローラとの通信が回避され得るので、シグナリングオーバーヘッドをかなり除去し、またはなくすために使用され得る。
【００５０】
ユーザプレーンの暗号化されたクライアントデバイスコンテキスト
本開示のある態様では、ユーザプレーン(UP)の暗号化されたクライアントデバイスコンテキストが、クライアントデバイスのために生成され得る。たとえば、図1を参照すると、ユーザプレーンの暗号化されたクライアントデバイスコンテキストは、アップリンク(UL)データ送信のためにIoTF-U108において使用され得る。本開示のある態様では、ユーザプレーンの暗号化されたクライアントデバイスコンテキストは、ベアラID、発展型パケットシステム(EPS)ベアラサービス品質(QoS)、ユーザプレーンの汎用パケット無線サービス(GPRS)トンネリングプロトコル(GTP-U)のS5トンネルエンドポイント識別子(TEID)、IoTF-U108がULデータを転送するP-GWインターネットプロトコル(IP)アドレス(または等価な情報)、セキュリティコンテキスト(たとえば、選択された暗号化アルゴリズムおよびユーザプレーン(UP)鍵128)、クライアントデバイスにサービスを提供するためにネットワークにより必要とされ得る任意の他のパラメータ、値、設定、または特徴を含み得る。たとえば、UL鍵128は鍵KUP214であることがあり、鍵KIoT-UPenc216および鍵KIoT-UPint218は鍵KUP214から導出され得る。ユーザプレーンの暗号化されたクライアントデバイスコンテキストは、図3に示される鍵KCDC-IoTF-U306などの、IoTF-U108の秘密鍵を使用してクライアントデバイスのユーザプレーンコンテキストを暗号化することによって、生成され得る。本開示のある態様では、鍵KCDC-IoTF-U306などのIoTF-U108の秘密鍵は、IoTF-C106によってプロビジョニングされ得る。ユーザプレーンの暗号化されたクライアントデバイスコンテキストは、秘密鍵(たとえば、鍵KCDC-IoTF-U306)を有するIoTFによって復号され得る。したがって、ユーザプレーンの暗号化されたクライアントデバイスコンテキストは、ユーザプレーンの暗号化されたクライアントデバイスコンテキストを生成したIoTFによって復号され得る。
【００５１】
制御プレーンの暗号化されたクライアントデバイスコンテキスト
制御プレーン(CP)の暗号化されたクライアントデバイスコンテキストは、制御メッセージ(たとえば、制御パケットまたは制御パケットを含むメッセージ)のための制御プレーンクライアントデバイスコンテキストを暗号化することによって、生成され得る。ある態様では、制御プレーンの暗号化されたクライアントデバイスコンテキストは、クライアントデバイス識別子、クライアントデバイスセキュリティコンテキスト(たとえば、鍵KIoT(KASMEと等価)、鍵KIoT-CPenc210、鍵KIoT-CPint212などの制御プレーン鍵)、クライアントデバイスのセキュリティ能力(たとえば、発展型パケットシステム暗号化アルゴリズム(EEA:Evolved Packet System Encryption Algorithm)、発展型パケットシステム完全性アルゴリズム(EIA:Evolved Packet System Integrity Algorithm))、および/または次のホップ(S5/S8)の構成情報を含み得る。たとえば、次のホップの構成情報は、IoTサーバアドレス、P-GWアドレス、および/またはTEIDを含み得る。たとえば、図1を参照すると、制御メッセージのための制御プレーンクライアントデバイスコンテキストは、図3に示される鍵KCDC-IoTF-C304などの、IoTF-C106の秘密鍵を用いて暗号化され得る。制御プレーンの暗号化されたクライアントデバイスコンテキストは、秘密鍵(たとえば、鍵KCDC-IoTF-C304)を有するIoTFによって復号され得る。したがって、制御プレーンの暗号化されたクライアントデバイスコンテキストは、制御プレーンの暗号化されたクライアントデバイスコンテキストを生成したIoTFによって復号され得る。
【００５２】
初期接続手順
図5は、本開示の様々な態様による、IoTネットワークアーキテクチャ500におけるクライアントデバイスによる初期接続手順を示すブロック図である。いくつかの態様では、本明細書において説明されるような接続手順は、ネットワーク接続手順または登録手順とも呼ばれる。
【００５３】
図5に示されるように、IoTネットワークアーキテクチャ500は、クライアントデバイス502(IoTデバイスとも呼ばれる)、ネットワークアクセスノード504(たとえば、eNB、基地局、ネットワークアクセスポイント)、ネットワークデバイス505、サービスネットワーク510、およびホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバ512を含む。
【００５４】
一態様では、ネットワークデバイス505は、IoTFを実装するように構成される1つまたは複数の処理回路および/または他の適切なハードウェアを含み得る。たとえば、IoTFは、制御プレーンIoT機能(IoTF-C)506およびユーザプレーンIoT機能(IoTF-U)508を含み得る。そのような態様では、IoTF-C506はネットワークノード507において実装されることがあり、IoTF-U508はネットワークノード509において実装されることがある。一態様では、IoTF-C506およびIoTF-U508は同じハードウェアプラットフォームにおいて実装され得るので、IoTF-C506およびIoTF-U508は各々、アーキテクチャ500の中の独立したノードを表す。そのような態様では、たとえば、IoTF-C506はハードウェアプラットフォーム(たとえば、ネットワークデバイス505)上で提供される第1の仮想機械(たとえば、第1のオペレーティングシステム)において実装されることがあり、IoTF-U508はハードウェアプラットフォーム上で提供される第2の仮想機械(たとえば、第2のオペレーティングシステム)において実装されることがある。
【００５５】
図5に示されるように、IoTF-C506は、第1のS1接続516を介してネットワークアクセスノード504と通信しており、IoTF-U508は、第2のS1接続514を介してネットワークアクセスノード504と通信している。本開示のある態様では、サービスネットワーク510は、様々なタイプのサービスを提供するように構成される、いくつかのエンティティ、機能、ゲートウェイ、および/またはサービスを含み得る。たとえば、サービスネットワーク510は、ショートメッセージエンティティ(SME)518、マシン型通信インターワーキング機能(MTC-IWF)520、IoTサーバ522、および/またはパケットデータネットワーク(PDN)ゲートウェイ(P-GW)524を含み得る。図5において開示されるサービスネットワーク510は一例として機能し、他の態様では、サービスネットワーク510は、図5において開示されたものとは異なるタイプのエンティティ、機能、および/またはサーバを含み得ることを理解されたい。
【００５６】
図5に示されるように、クライアントデバイス502は、ネットワークアクセスノード504によって受信され得る接続要求532をネットワークに送信し得る。本開示のある態様では、接続要求532は1つまたは複数の指示を提供し得る。たとえば、接続要求532は、1)クライアントデバイス502がIoTデバイスとして接続すべきであること、2)接続要求532が少量の(減らされた)データ移送を実行するための要求であること、および/または3)クライアントデバイス502が低電力消費モードで動作していることを示し得る。接続要求532はさらに、認証情報がそこから取り出されるべき、ホームドメイン(たとえば、HPLMN IDまたは完全修飾ドメイン名(FQDN))を示し得る。ネットワークアクセスノード504は、それ自体が属するIoTF-C506へ要求を転送し得る。
【００５７】
IoTF-C506は、クライアントデバイス502によって提供されるホームドメイン情報からHSS/AAAサーバ512のアドレスを決定することができ、クライアントデバイス502の認証情報に対する要求534をHSS/AAAサーバ512に送信することができる。IoTF-C506は、HSS/AAAサーバ512から認証情報535を受信することができる。
【００５８】
IoTF-C506は、クライアントデバイス502との相互認証(たとえば、AKA手順)を実行し得る。AKA手順の間、IoTF-C506は、認証情報535を通じてHSS/AAAサーバ512からAVを受信し得る。たとえば、AVは、アクセスセキュリティ管理エンティティ(ASME)から鍵(鍵KASME206として図2において示されている)を含み得る。たとえば、IoTF-C506は、信号536を通じて鍵KASME206をクライアントデバイス502に提供し得る。AKA手順が完了すると、IoTF-C506およびクライアントデバイス502は、鍵KCP208、鍵KIoT-CPenc210、および/または鍵KIoT-CPint212などのCP鍵526を導出することができ、鍵KASME206または鍵KIoT202から、鍵KUP214、鍵KIoT-UPenc216、および/または鍵KIoT-UPint218などの、UP鍵528を導出することができる。
【００５９】
いくつかの態様では、IoTF-C506は、鍵KUP214と、鍵KIoT-UPenc216およびKIoT-UPint218などのユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵とを、メッセージ538を介してIoTF-U508に移送し得る。
【００６０】
本開示のある態様では、IoTF-C506は、クライアントデバイスコンテキストを暗号化するためにコンテキスト鍵530を使用することによって、クライアントデバイス502のための1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成し得る。IoTF-C506は次いで、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイス502に送信し得る。たとえば、IoTF-C506は、制御プレーンのための暗号化されたクライアントデバイスコンテキストと、ユーザプレーンのための暗号化されたクライアントデバイスコンテキストとを生成し得る。そのような例では、コンテキスト鍵530は、制御プレーンのための暗号化されたクライアントデバイスコンテキストを生成するための第1のコンテキスト鍵(たとえば、鍵KCDC-IoTF-C304)と、ユーザプレーンのための暗号化されたクライアントデバイスコンテキストを生成するための第2のコンテキスト鍵(たとえば、鍵KCDC-IoTF-U306)とを含み得る。本開示のある態様では、IoTF-C506は、コンテキスト鍵530のうちの1つまたは複数をIoTF-U508に提供し得る。たとえば、IoTF-C506は、メッセージ538を介して、ユーザプレーンのための暗号化されたクライアントデバイスコンテキストを生成するための第2のコンテキスト鍵(たとえば、鍵KCDC-IoTF-U306)をIoTF-U508に送信し得る。したがって、いくつかの態様では、IoTF-U508は、IoTF-C506によって提供されるコンテキスト鍵531を含み得る。
【００６１】
図6は、本開示の様々な態様による、IoTネットワークアーキテクチャ(たとえば、IoTネットワークアーキテクチャ100、500)におけるクライアントデバイスによる例示的な接続手順の信号フロー図600である。図6に示されるように、信号フロー図600は、クライアントデバイス602(IoTデバイスとも呼ばれる)、ネットワークアクセスノード604(たとえば、eNB、基地局、またはネットワークアクセスポイント)、ネットワークノード605において実装されるIoTF-C606、ネットワークノード607において実装されるIoTF-U608、サービスネットワーク609、およびホーム加入者サーバ(HSS)610を含む。
【００６２】
図6に示されるように、クライアントデバイス602は、ネットワークと通信するために、要求612(たとえば、RRC接続要求)をネットワークアクセスノード604に送信し得る。クライアントデバイス602はRRC接続セットアップメッセージ614を受信することができ、これは、シグナリング無線ベアラ(SRB)構成(たとえば、専用制御チャネル(DCCH)を通じてNASメッセージを送信するためのSRB1構成)を含み得る。クライアントデバイス602は、RRC接続セットアップ完了メッセージ616をネットワークアクセスノード604に送信し得る。たとえば、RRC接続セットアップ完了メッセージ616は接続要求を示し得る。
【００６３】
ネットワークアクセスノード604は、初期クライアントデバイスメッセージ618をIoTF-C606に送信し得る。IoTF-C606は、クライアントデバイス602によって提供されるホームドメイン情報からHSSサーバ610のアドレスを決定することができ、HSS610と通信することができる(621)。たとえば、IoTF-C606は、クライアントデバイス602の認証情報に対する要求をHSSサーバ610に送信することができ、HSSサーバ610から認証情報を受信することができる。
【００６４】
図6に示されるように、IoTF-C606は、クライアントデバイス602との、AKA手順620などの相互認証を実行し得る。AKA手順620が完了すると、IoTF-C606およびクライアントデバイス602は、鍵KASME206または鍵KIOT202から、鍵KIoT-CPenc210および/または鍵KIoT-CPint212などの制御プレーン鍵を導出し得る。IoTF-C606およびクライアントデバイス602はさらに、鍵KASME206または鍵KIOT202から、鍵KIoT-UPenc216および/または鍵KIoT-UPint218などのユーザプレーン鍵を導出し得る。
【００６５】
本開示のある態様では、IoTF-C606は、鍵KCDC-IoTF-C304を使用してクライアントデバイス602の制御プレーンコンテキストを暗号化することによって、制御プレーンの暗号化されたクライアントデバイスコンテキストを生成することができ、かつ/または、鍵KCDC-IoTF-U306を使用してクライアントデバイス602のユーザプレーンコンテキストを暗号化することによって、ユーザプレーンの暗号化されたクライアントデバイスコンテキストを生成することができる。IoTF-C606は、メッセージ622を介して、1つまたは複数の鍵(たとえば、鍵IoT-UPenc216および/もしくは鍵KIoT-UPint218などのユーザプレーン鍵、ならびに/または鍵KCDC-IoTF-U306)をIoTF-U608に移送し得る。
【００６６】
IoTF-C606は、暗号化されたクライアントデバイスコンテキスト(たとえば、制御プレーンの暗号化されたクライアントデバイスコンテキストおよび/またはユーザプレーンの暗号化されたクライアントデバイスコンテキスト)を有する初期コンテキストセットアップ要求メッセージ623を、クライアントデバイス602に送信し得る。したがって、暗号化されたクライアントデバイスコンテキストは、IoTF-C606および/またはIoTF-U608と関連付けられるクライアントデバイスコンテキストを含むことがあり、ここでクライアントデバイスコンテキストは、クライアントデバイス602によるアップリンクデータ送信のために使用されることがある。
【００６７】
本開示のある態様によれば、暗号鍵はIoTFにのみ知られている(たとえば、クライアントデバイスセキュリティコンテキストは、IoTF-C606および/またはIoTF-U608によって独占的に取り出され得る)。したがって、そのような態様では、暗号鍵はKCDC-IoTF-U306であることがあり、これは、ネットワークアクセスノード604またはクライアントデバイス602などの、IoTFの外部のネットワークエンティティには知られないことがある。本開示のある態様では、各々の暗号化されたクライアントデバイスコンテキストは、1つのデータ無線ベアラ(DRB)に対応する。
【００６８】
ネットワークアクセスノード604は、RRC接続再構成メッセージ626をクライアントデバイス602に送信し得る。本開示のある態様では、RRC接続再構成メッセージ626は、暗号化されたクライアントデバイスコンテキストを含み得る。クライアントデバイス602は、RRC接続再構成完了メッセージ628をネットワークアクセスノード604に送信し得る。
【００６９】
クライアントデバイス602は、データパケット(たとえば、ULデータパケット)を含む第1のメッセージ630をネットワークアクセスノード604に送信し得る。ネットワークアクセスノード604は、第2のメッセージ632を介して、データパケットをサービスネットワーク609に転送し得る。たとえば、図6に示されるように、第2のメッセージ632は、ネットワークアクセスノード604およびIoTF-U608によってサービスネットワーク609に転送され得る。
【００７０】
サービスネットワーク609は、データパケット(たとえば、DLデータパケット)を含む第3のメッセージ634をクライアントデバイス602に送信し得る。たとえば、図6に示されるように、第3のメッセージ634は、IoTF-U608およびネットワークアクセスノード604によってクライアントデバイス602に転送され得る。クライアントデバイス602は次いで、アイドルモードに移行し得る(636)。ネットワークアクセスノード604、IoTF-C606、およびIoTF-U608は、クライアントデバイスコンテキストを除去する(638)ことに進み得る。
【００７１】
IoTアップリンク(UL)データ移送
図7は、本開示の様々な態様による、IoTネットワークアーキテクチャ700におけるクライアントデバイスによって開始されるデータ送信を示すブロック図である。図7に示されるように、IoTネットワークアーキテクチャ700は、クライアントデバイス702(IoTデバイスとも呼ばれる)、ネットワークアクセスノード704(たとえば、eNB、基地局、ネットワークアクセスポイント)、ネットワークデバイス705、サービスネットワーク710、およびホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバ712を含む。
【００７２】
一態様では、ネットワークデバイス705は、IoTFを実装するように構成される1つまたは複数の処理回路および/または他の適切なハードウェアを含み得る。たとえば、IoTFは、制御プレーンIoT機能(IoTF-C)706およびユーザプレーンIoT機能(IoTF-U)708を含み得る。そのような態様では、IoTF-C706はネットワークノード707において実装されることがあり、IoTF-U708はネットワークノード709において実装されることがある。一態様では、IoTF-C706およびIoTF-U708は同じハードウェアプラットフォームにおいて実装され得るので、IoTF-C706およびIoTF-U708は各々、アーキテクチャ700の中の独立したノードを表す。そのような態様では、たとえば、IoTF-C706はハードウェアプラットフォーム(たとえば、ネットワークデバイス705)上で提供される第1の仮想機械(たとえば、第1のオペレーティングシステム)において実装されることがあり、IoTF-U708はハードウェアプラットフォーム上で提供される第2の仮想機械(たとえば、第2のオペレーティングシステム)において実装されることがある。
【００７３】
本開示のある態様では、サービスネットワーク710は、様々なタイプのサービスを提供するように構成される、いくつかのエンティティ、機能、ゲートウェイ、および/またはサービスを含み得る。たとえば、サービスネットワーク710は、ショートメッセージエンティティ(SME)718、マシン型通信インターワーキング機能(MTC-IWF)720、IoTサーバ722、および/またはパケットデータネットワーク(PDN)ゲートウェイ(P-GW)724を含み得る。図7において開示されるサービスネットワーク710は一例として機能し、他の態様では、サービスネットワーク710は、図7において開示されたものとは異なるタイプのエンティティ、機能、および/またはサーバを含み得ることを理解されたい。
【００７４】
図7の態様では、たとえば、IoTF-C706は、制御プレーンのための暗号化されたクライアントデバイスコンテキストと、ユーザプレーンのための暗号化されたクライアントデバイスコンテキストとを生成した可能性がある。そのような態様では、コンテキスト鍵730は、制御プレーンのための暗号化されたクライアントデバイスコンテキストを生成するための第1のコンテキスト鍵(たとえば、鍵KCDC-IoTF-C304)と、ユーザプレーンのための暗号化されたクライアントデバイスコンテキストを生成するための第2のコンテキスト鍵(たとえば、鍵KCDC-IoTF-U306)とを含み得る。たとえば、IoTF-C706は、ユーザプレーンのための暗号化されたクライアントデバイスコンテキストを生成するための第2のコンテキスト鍵(たとえば、鍵KCDC-IoTF-U306)をIoTF-U708に送信した可能性がある。したがって、そのような例では、IoTF-U708は、図7に示されるように、IoTF-C706によって提供されるコンテキスト鍵731を含み得る。図7の態様では、クライアントデバイス702は、以前に論じられた方式で、CP鍵726およびUP鍵728を導出している。
【００７５】
図7に示されるように、クライアントデバイス702は、IoTF-C706によって提供されるデータパケットと暗号化されたクライアントデバイスコンテキストとを含む第1のメッセージ732を、ネットワークアクセスノード704に送信し得る。ネットワークアクセスノード704は、データパケットの中のIoTF-U識別子からIoTF-U708のアドレスを決定することができ、第2のメッセージ734を介してデータパケットをIoTF-U708に転送することができる。ある態様では、ネットワークアクセスノード704は、パケットを検証することなく、クライアントデバイス702によって示される次のホップのノード(たとえば、IoTF-U708)にデータパケットを転送し得る。IoTF-U708は、暗号化されたクライアントデバイスコンテキストを検証することができ、コンテキスト鍵731(たとえば、ユーザプレーンのための暗号化されたクライアントデバイスコンテキストを生成するための鍵KCDC-IoTF-U306)を使用して、暗号化されたクライアントデバイスコンテキストを復号することができる。IoTF-U708は次いで、復号された情報に基づいてクライアントデバイスを再構築し得る。IoTF-U708は次いで、暗号鍵および完全性鍵(たとえば、UP鍵728)を用いてデータパケットを復号し検証し得る。
【００７６】
図8は、本開示の様々な態様による、IoTネットワークアーキテクチャ(たとえば、IoTネットワークアーキテクチャ700)におけるクライアントデバイスにより開始される例示的なデータ送信を示す信号フロー図800である。図8に示されるように、信号フロー図800は、クライアントデバイス802(IoTデバイスとも呼ばれる)、ネットワークアクセスノード804(たとえば、eNB、基地局、またはネットワークアクセスポイント)、ネットワークノード805において実装されるIoTF-U806、およびサービスネットワーク808を含む。クライアントデバイス802は、暗号化されたクライアントデバイスコンテキストとデータパケット(たとえば、ULデータパケット)とを含むデータ移送要求メッセージ810をネットワークアクセスノード804に送信し得る。ある態様では、データ移送要求メッセージ810は、ネットワークアクセスノード804とのRRC接続を確立することなくクライアントデバイス802によって送信され得る。
【００７７】
ネットワークアクセスノード804は、データ移送要求メッセージ810を受信すると、潜在的なダウンリンク(DL)トラフィックに対してクライアントデバイス802の一時識別子(TID)を割り当て得る(812)。たとえば、TIDは、セル無線ネットワーク一時識別子(C-RNTI)であり得る。ネットワークアクセスノード804は、データパケットのヘッダに含まれるIoTF-U識別子を決定し得る。そのようなヘッダを含むデータパケットの例示的なフォーマットが、図12を参照して本明細書において論じられる。
【００７８】
ネットワークアクセスノード804は、IoTF-U806のIPアドレスを決定することができ、第1のメッセージ814を介してデータパケットをIoTF-U806に転送することができる。たとえば、運用および保守(OAM)手順の一部として、ネットワークアクセスノード804は、IoTF-U識別子の集合および対応するIPアドレスを用いて構成されることがあり、または代替的に、ネットワークアクセスノード804は、IoTF-U806のIPアドレスを決定するためにIoTF-U IDに基づくドメイン名システム(DNS)クエリを使用することがある。本開示のある態様によれば、図8に示されるように、ネットワークアクセスノード804は、データパケットとともに、TIDおよび暗号化されたクライアントデバイスコンテキストを第1のメッセージ814に含め得る。本開示のある態様によれば、TIDは、事前に定義された間隔の間、ネットワークアクセスノード804に記憶される。そのような態様では、ネットワークアクセスノード804は、第1のメッセージ814において、TIDとともにIoTF-U806へTID期限切れ時間を送信し得る。IoTF-U806は、暗号化されたクライアントデバイスコンテキストを復号することができ、クライアントデバイスコンテキスト(たとえば、S5ベアラ)を再構築することができる(816)。IoTF-U806は、第2のメッセージ818を介して、データパケットをサービスネットワーク808(たとえば、サービスネットワーク808の中のP-GWまたはサービスネットワーク808の中の他のエンティティ)に転送し得る。
【００７９】
アップリンクデータ(たとえば、第2のメッセージ818の中のULデータパケット)に応答して、IoTF-U806は、第3のメッセージ820を介して、サービスネットワーク808(たとえば、サービスネットワーク808の中のP-GWまたはサービスネットワーク808の中の対応するエンティティ)からデータパケット(たとえば、DLデータパケット)を受信し得る。IoTF-U806は、第4のメッセージ822において、受信されたデータパケットをTIDとともにネットワークアクセスノード804へ送信し得る。ネットワークアクセスノード804は、TIDを使用してクライアントデバイス802を特定することができ、第5のメッセージ824においてデータパケットをクライアントデバイス802に送信することができる。クライアントデバイス802は、事前に設定されたタイマーに基づいてアイドルモードに移行し得る(826)。ネットワークアクセスノード804およびIoTF-U806は、暗号化されたクライアントデバイスコンテキストからオンザフライで作成されたクライアントデバイスコンテキストを除去する(828)ことに進み得る。
【００８０】
クライアントデバイスで終端するデータ移送(ページング)
図9は、本開示の様々な態様による、IoTネットワークアーキテクチャ(たとえば、IoTネットワークアーキテクチャ100)における例示的なクライアントデバイスで終端するデータ送信の信号フロー図900である。図9に示されるように、信号フロー図900は、クライアントデバイス902(IoTデバイスとも呼ばれる)、ネットワークアクセスノード904(たとえば、eNB、基地局、ネットワークアクセスポイント)、ネットワークノード905において実装されるIoTF-C906、ネットワークノード907において実装されるIoTF-U908、P-GW910、およびIoTサーバ912を含む。IoTサーバ912は、DLデータパケットおよびグローバルIoTF識別子(GIOTFI)を含むダウンリンク(DL)メッセージ914をP-GW910に送信し得る。P-GW910は、GIOTFIに基づいてIoTF-U908を位置特定することができ、転送メッセージ916においてDLデータパケットをIoTF-U908に転送することができる。IoTF-U908は、DLデータ通知メッセージ918をIoTF-C906に送信し得る。本開示のある態様では、DLデータ通知メッセージ918は、DLデータパケットがページングメッセージにおいて搬送されるのに十分小さい場合、DLデータパケットを含み得る。IoTF-C906は、ページングメッセージ920を1つまたは複数のネットワークアクセスノード(たとえば、ネットワークアクセスノード904)に送信し得る。ネットワークアクセスノード904は次いで、ページメッセージ922を送信することによって、クライアントデバイス902をページングし得る。
【００８１】
クライアントデバイス902は、ULデータパケットを含むRRC接続要求メッセージ924をIoTF-U908に送信し得る。本開示のある態様では、クライアントデバイス902によって送信されるULデータパケットは空であり得る。ネットワークアクセスノード904は、潜在的なダウンリンク(DL)トラフィックに対してクライアントデバイス902の一時識別子(TID)を割り当て得る(926)。たとえば、TIDは、セル無線ネットワーク一時識別子(C-RNTI)であり得る。ネットワークアクセスノード904は次いで、転送メッセージ928において、TIDおよび暗号化されたクライアントデバイスコンテキストを有するULデータパケットをIoTF-U908に転送し得る。IoTF-U908は、ネットワークアクセスノード904のTIDおよびIDを記憶し得る(930)。
【００８２】
IoTF-U908は、クライアントデバイス応答メッセージ932をIoTF-C906に送信し得る。本開示のある態様では、IoTF-U908は、DLデータパケットをDLデータ通知メッセージ918に含めることが可能ではなかった場合、クライアントデバイス902のためのDLデータパケットおよびTIDを含むメッセージ934を、クライアントデバイス902に送信し得る。ネットワークアクセスノード904は、転送メッセージ936において、DLデータパケットをクライアントデバイス902に転送し得る。クライアントデバイス902は次いで、アイドルモードに移行し得る(938)。ネットワークアクセスノード904およびIoTF-C906は、クライアントデバイスコンテキストを除去し得る(940)。
【００８３】
リソースの確立および解放
図10は、本開示の様々な態様による、IoTネットワークアーキテクチャ(たとえば、IoTネットワークアーキテクチャ100)における例示的なリソースの確立および解放の信号フロー図1000である。図10に示されるように、信号フロー図1000は、クライアントデバイス1002(IoTデバイスとも呼ばれる)、ネットワークノード1006において実装されるIoTF-C1004、ネットワークノード1010において実装されるIoTF-U1008、およびP-GW1012を含む。
【００８４】
図10に示されるように、IoTF-C1004、IoTF-U1008、および/またはP-GW1012は、クライアントデバイス1002のコンテキストを除去し得る(1014)。一態様では、IoTF-C1004および/またはIoTF-U1008は、IoTF-C1006が暗号化されたクライアントデバイスコンテキストをクライアントデバイス1002に提供した後で、クライアントデバイス1002のコンテキストを除去し得る。図10に示されるように、クライアントデバイス1002は、リソース確立要求メッセージ1016をIoTF-C1004に送信し得る。たとえば、クライアントデバイス1002は、頻繁ではないバーストデータ送信をネットワークに(たとえば、P-GW1012に)送信する予定であるとき、リソース確立要求メッセージ1016を送信し得る。たとえば、バーストデータ送信は、IPパケットなどのプロトコルデータユニット(PDU)のシーケンスを含み得る。ある態様では、リソース確立要求メッセージ1016は、暗号化されたクライアントデバイスコンテキスト(たとえば、制御プレーンのクライアントデバイスコンテキスト)を含み得る。
【００８５】
リソース確立動作1018の間、IoTF-C1004は、クライアントデバイス1002からの暗号化されたクライアントデバイスコンテキストを検証することができ、検証が成功すると、IoTF-C1004は、暗号化されたクライアントデバイスコンテキストを復号することができる。IoTF-C1004は次いで、クライアントデバイス1002のコンテキストを再構築し得る。ある態様では、IoTF-U1008およびP-GW1012はまた、クライアントデバイス1002のコンテキストを再構築し得る。ある態様では、IoTF-C1004は、クライアントデバイス1002のネットワークアドレス(たとえば、IPアドレス)を取得することができ、リソース確立動作1018の間にネットワークアドレスをクライアントデバイス1002に提供することができる。図10に示されるように、クライアントデバイス1002は、IoTF-U1008を介して、アップリンク(UL)データ1020をP-GW1012に送信し得る。ある態様では、クライアントデバイス1002は、クライアントデバイス1002のネットワークアドレスを含む1つまたは複数のPDUにおいてULデータ1020を送信し得る。
【００８６】
一態様では、クライアントデバイス1002は、ネットワークに対して行われるべきさらなるデータ送信がないと決定し得る。そのような態様では、クライアントデバイス1002は任意選択で、リソース解放要求メッセージ1 1022をIoTF-C1004に送信し得る。クライアントデバイス1002は次いで、アイドルモード1024に入り得る。IoTF-C1004は、リソース解放要求メッセージ1 1022をP-GW1012に送信し得る。ある態様では、リソース解放要求メッセージ1 1022は、P-GW1012がクライアントデバイス1002のための1つまたは複数のリソースを解放することを可能にする。たとえば、1つまたは複数のリソースは、クライアントデバイス1002に割り当てられるネットワークアドレス(たとえば、そのネットワークアドレスの再割振りを可能にするための)、クライアントデバイス1002のためのベアラ、および/またはクライアントデバイス1002のための他のリソースを含み得る。IoTF-C1004およびIoTF-U1008は次いで、クライアントデバイス1002のコンテキストを除去し得る(1030)。別の態様では、IoTF-C1004および/またはIoTF-U1008は、ULデータ1020がIoTF-U1008において受信された後でタイマー1026を始動し得る。クライアントデバイス1002から任意の新しいULデータ(たとえば、ULデータ1020に後続する追加のULデータ)を受信する前に、かつ/またはクライアントデバイス1002へ任意のダウンリンク(DL)データを送信する前に、タイマー1026が満了する場合、IoTF-C1004および/またはIoTF-U1008は、クライアントデバイス1002がアイドルモード1024にあると決定し得る。そのような状況では、IoTF-C1004は、リソース解放要求メッセージ2 1028をP-GW1012に送信し得る。ある態様では、リソース解放要求メッセージ2 1028は、P-GW1012がクライアントデバイス1002のための1つまたは複数のリソースを解放することを可能にする。たとえば、1つまたは複数のリソースは、クライアントデバイス1002に割り当てられるネットワークアドレス(たとえば、そのネットワークアドレスの再割振りを可能にするための)、クライアントデバイス1002のためのベアラ、および/またはクライアントデバイス1002のための他のリソースを含み得る。IoTF-C1004およびIoTF-U1008は次いで、クライアントデバイス1002のコンテキストを除去し得る(1030)。一態様では、タイマー1026は、タイマー1026の満了の前に新しいULデータ送信(たとえば、ULデータ1020に後続する追加のULデータ)がクライアントデバイス1002からIoTF-U1008において受信されるとき、IoTF-C1004および/またはIoTF-U1008によってリセットされ得る。
【００８７】
図11は、本開示の様々な態様による、IoTネットワークアーキテクチャにおけるクライアントデバイスによる例示的な接続手順の信号フロー図1100である。図11に示されるように、信号フロー図1100は、クライアントデバイス1102(IoTデバイスとも呼ばれる)、ネットワークアクセスノード1104(たとえば、eNB、基地局、またはネットワークアクセスポイント)において実装されるユーザプレーン機能1112、ネットワークノード1106において実装される制御プレーン機能1114、サービスネットワーク1108、およびホーム加入者サーバ(HSS)1110を含む。
【００８８】
図11に示されるように、クライアントデバイス1102は、ネットワークと通信するために、要求1116(たとえば、RRC接続要求)をネットワークアクセスノード1104に送信し得る。クライアントデバイス1102はRRC接続セットアップメッセージ1118を受信することができ、これは、シグナリング無線ベアラ(SRB)構成(たとえば、専用制御チャネル(DCCH)を通じてNASメッセージを送信するためのSRB1構成)を含み得る。クライアントデバイス1102は、RRC接続セットアップ完了メッセージ1120をネットワークアクセスノード1104に送信し得る。たとえば、RRC接続セットアップ完了メッセージ1120は接続要求を示し得る。
【００８９】
ネットワークアクセスノード1104は、初期クライアントデバイスメッセージ1122をネットワークノード1106に送信し得る。制御プレーン機能1114は、クライアントデバイス1102によって提供されるホームドメイン情報からHSSサーバ1110のアドレスを決定することができ、HSS1110と通信することができる(1126)。たとえば、制御プレーン機能1114は、クライアントデバイス1102の認証情報に対する要求をHSSサーバ1110に送信することができ、HSSサーバ1110から認証情報を受信することができる。
【００９０】
図11に示されるように、制御プレーン機能1114は、クライアントデバイス1102との、AKA手順1124などの相互認証を実行し得る。AKA手順1124が完了すると、制御プレーン機能1114およびクライアントデバイス1102は、鍵KASME206または鍵KIOT202から、鍵KIoT-CPenc210および/または鍵KIoT-CPint212などの制御プレーン鍵を導出し得る。制御プレーン機能1114およびクライアントデバイス1102はさらに、鍵KASME206または鍵KIOT202から、鍵KIoT-UPenc216および/または鍵KIoT-UPint218などのユーザプレーン鍵を導出し得る。
【００９１】
本開示のある態様では、制御プレーン機能1114は、鍵KCDC-IoTF-C304を使用してクライアントデバイス1102の制御プレーンコンテキストを暗号化することによって、制御プレーンの暗号化されたクライアントデバイスコンテキストを生成することができ、かつ/または、鍵KCDC-IoTF-U306を使用してクライアントデバイス1102のユーザプレーンコンテキストを暗号化することによって、ユーザプレーンの暗号化されたクライアントデバイスコンテキストを生成することができる。
【００９２】
制御プレーン機能1114は、暗号化されたクライアントデバイスコンテキスト(たとえば、制御プレーンの暗号化されたクライアントデバイスコンテキストおよび/またはユーザプレーンの暗号化されたクライアントデバイスコンテキスト)を有する初期コンテキストセットアップ要求メッセージ1128を、クライアントデバイス1102に送信し得る。したがって、暗号化されたクライアントデバイスコンテキストは、制御プレーン機能1114および/またはユーザプレーン機能1112と関連付けられるクライアントデバイスコンテキストを含むことがあり、ここでクライアントデバイスコンテキストは、クライアントデバイス1102によるアップリンクデータ送信のために使用されることがある。ある態様では、制御プレーン機能1114は、メッセージ1128を介して、1つまたは複数の鍵(たとえば、鍵IoT-UPenc216および/もしくは鍵KIoT-UPint218などのユーザプレーン鍵、ならびに/または鍵KCDC-IoTF-U306)をユーザプレーン機能1112に移送し得る。
【００９３】
本開示のある態様では、暗号鍵はユーザプレーン機能1112および/または制御プレーン機能1114にのみ知られている(たとえば、クライアントデバイスセキュリティコンテキストは、ユーザプレーン機能1112および/または制御プレーン機能1114によって独占的に取り出され得る)。そのような態様では、たとえば、暗号鍵はKCDC-IoTF-U306であり得る。本開示のある態様では、各々の暗号化されたクライアントデバイスコンテキストは、1つのデータ無線ベアラ(DRB)に対応する。
【００９４】
ネットワークアクセスノード1104は、RRC接続再構成メッセージ1130をクライアントデバイス1102に送信し得る。本開示のある態様では、RRC接続再構成メッセージ1130は、暗号化されたクライアントデバイスコンテキストを含み得る。クライアントデバイス1102は、RRC接続再構成完了メッセージ1132をネットワークアクセスノード1104に送信し得る。
【００９５】
クライアントデバイス1102は、データパケット(たとえば、ULデータパケット)を含む第1のメッセージ1134をネットワークアクセスノード1104に送信し得る。ネットワークアドレスノード1104において実装されるユーザプレーン機能1112は、データパケットをサービスネットワーク1108に転送し得る。サービスネットワーク1108は、データパケット(たとえば、DLデータパケット)を含む第2のメッセージ1136をクライアントデバイス1102に送信し得る。たとえば、図11に示されるように、第2のメッセージ1136は、ネットワークアクセスノード1104におけるユーザプレーン機能1112によってクライアントデバイス1102に転送され得る。クライアントデバイス1102は次いで、アイドルモードに移行し得る(1138)。ネットワークアクセスノード1104およびネットワークノード1106は、クライアントデバイスコンテキストを除去する(1140)ことに進み得る。
【００９６】
図12は、本開示の様々な態様による、IoTネットワークアーキテクチャにおける例示的なリソースの確立および解放の信号フロー図1200である。図12に示されるように、信号フロー図1200は、クライアントデバイス1202(IoTデバイスとも呼ばれる)、ネットワークアクセスノード1204において実装されるユーザプレーン機能1210、ネットワークノード1206において実装される制御プレーン機能1212、およびP-GW1208を含む。ある態様では、図12のネットワークアクセスノード1204、ユーザプレーン機能1210、ネットワークノード1206、および制御プレーン機能1212はそれぞれ、図11のネットワークアクセスノード1104、ユーザプレーン機能1112、ネットワークノード1106、および制御プレーン機能1114に対応し得る。
【００９７】
図12に示されるように、ネットワークアクセスノード1204、ネットワークノード1206、および/またはP-GW1208は、クライアントデバイス1202のコンテキストを除去し得る(1214)。一態様では、ネットワークアクセスノード1204および/またはネットワークノード1206は、制御プレーン機能1212が暗号化されたクライアントデバイスコンテキストをクライアントデバイス1202に提供した後で、クライアントデバイス1202のコンテキストを除去し得る。図12に示されるように、クライアントデバイス1202は、リソース確立要求1216をネットワークアクセスノード1204に送信し得る。たとえば、クライアントデバイス1202は、頻繁ではないバーストデータ送信をネットワークに(たとえば、P-GW1208に)送信する予定であるとき、リソース確立要求1216を送信し得る。たとえば、バーストデータ送信は、IPパケットなどのプロトコルデータユニット(PDU)のシーケンスを含み得る。ある態様では、リソース確立要求1216は、暗号化されたクライアントデバイスコンテキスト(たとえば、制御プレーンのクライアントデバイスコンテキスト)を含み得る。
【００９８】
リソース確立動作1218の間、制御プレーン機能1212は、クライアントデバイス1202からの暗号化されたクライアントデバイスコンテキストを検証することができ、検証が成功すると、制御プレーン機能1212は、暗号化されたクライアントデバイスコンテキストを復号することができる。制御プレーン機能1212は次いで、クライアントデバイス1202のコンテキストを再構築し得る。ある態様では、ユーザプレーン機能1210およびP-GW1208はまた、クライアントデバイス1202のコンテキストを再構築し得る。ある態様では、制御プレーン機能1212は、クライアントデバイス1202のネットワークアドレス(たとえば、IPアドレス)を取得することができ、リソース確立動作1218の間にネットワークアドレスをクライアントデバイス1202に提供することができる。図12に示されるように、クライアントデバイス1202は、ネットワークアクセスノード1204を介して、アップリンク(UL)データ1220をP-GW1208に送信し得る。ある態様では、クライアントデバイス1202は、クライアントデバイス1202のネットワークアドレスを含む1つまたは複数のPDUにおいてULデータ1220を送信し得る。
【００９９】
一態様では、クライアントデバイス1202は、ネットワークに対して行われるべきさらなるデータ送信がないと決定し得る。そのような態様では、クライアントデバイス1202は任意選択で、リソース解放要求メッセージ1 1222をネットワークアクセスノード1204に送信し得る。クライアントデバイス1202は次いで、アイドルモード1224に入り得る。図12に示されるように、ネットワークアクセスノード1204は、ネットワークノード1206を介して、リソース解放要求メッセージ1 1222をP-GW1208に送信し得る。ある態様では、リソース解放要求メッセージ1 1222は、P-GW1208がクライアントデバイス1202のための1つまたは複数のリソースを解放することを可能にする。たとえば、1つまたは複数のリソースは、クライアントデバイス1202に割り当てられるネットワークアドレス(たとえば、そのネットワークアドレスの再割振りを可能にするための)、クライアントデバイス1202のためのベアラ、および/またはクライアントデバイス1202のための他のリソースを含み得る。制御プレーン機能1212およびユーザプレーン機能1210は次いで、クライアントデバイス1202のコンテキストを除去し得る(1232)。別の態様では、ユーザプレーン機能1210および/または制御プレーン機能1212は、ULデータ1220が受信された後でタイマー1226を始動し得る。クライアントデバイス1202から任意の新しいULデータ(たとえば、ULデータ1220に後続する追加のULデータ)を受信する前に、かつ/またはクライアントデバイス1202へ任意のダウンリンク(DL)データを送信する前に、タイマー1226が満了する場合、制御プレーン機能1212および/またはユーザプレーン機能1210は、クライアントデバイス1202がアイドルモード1224にあると決定し得る。そのような状況では、一態様によれば、ユーザプレーン機能1210は、ネットワークノード1206を介して、リソース解放要求メッセージ2 1228をP-GW1208に送信し得る。代替的に、別の態様によれば、制御プレーン機能1212は、リソース解放要求メッセージ3 1230をP-GW1208に送信し得る。ある態様では、リソース解放要求メッセージ2 1228またはリソース解放要求メッセージ3 1230は、P-GW1208がクライアントデバイス1202のための1つまたは複数のリソースを解放することを可能にする。たとえば、1つまたは複数のリソースは、クライアントデバイス1202に割り当てられるネットワークアドレス(たとえば、そのネットワークアドレスの再割振りを可能にするための)、クライアントデバイス1202のためのベアラ、および/またはクライアントデバイス1202のための他のリソースを含み得る。制御プレーン機能1212およびユーザプレーン機能1210は次いで、クライアントデバイス1202のコンテキストを除去し得る(1232)。一態様では、タイマー1226は、タイマー1226の満了の前に新しいULデータ送信(たとえば、ULデータ1220に後続する追加のULデータ)がクライアントデバイス1202からユーザプレーン機能1210において受信されるとき、制御プレーン機能1212および/またはユーザプレーン機能1210によってリセットされ得る。
【０１００】
制御プレーンプロトコルスタック
図13は、本開示の様々な態様による、IoTデータ送信のための制御プレーンプロトコルスタック1300を示す図である。図13に示されるように、プロトコルスタック1300は、クライアントデバイスプロトコルスタック1302(IoTデバイスプロトコルスタックとも呼ばれる)、ネットワークアクセスノードプロトコルスタック1304、ネットワークノード1305において実装されるIoTFプロトコルスタック1306、およびサービスネットワークプロトコルスタック1308を含み得る。たとえば、ネットワークアクセスノードプロトコルスタック1304は、eNB、基地局、またはネットワークアクセスポイントにおいて実装され得る。別の例として、サービスネットワークプロトコルスタック1308は、P-GWにおいて実装され得る。図13に示されるように、クライアントデバイスプロトコルスタック1302は、物理(PHY)層1310、媒体アクセス制御(MAC)層1312、無線リンク制御(RLC)層1314、パケットデータコンバージェンスプロトコル(PDCP)層1316、および制御(Ctrl)層1320を含み得る。図13にさらに示されるように、クライアントデバイスプロトコルスタック1302は、制御プレーンの暗号化されたクライアントデバイスコンテキスト(図13では「CDCCP」と省略される)を通信するためのコンテキストプロトコル層1318を実装し得る。コンテキストプロトコル層1318はさらに、暗号化されたクライアントデバイスコンテキストの存在を示すIoTF ID(IID)および/またはセキュリティヘッダ(図13では「Sec」と省略される)の通信を可能にし得る。
【０１０１】
図13に示されるように、ネットワークアクセスノードプロトコルスタック1304は、クライアントデバイスプロトコルスタック1302のPHY層1310、MAC層1312、RLC層1314、およびPDCP層1316とそれぞれインターフェースする、PHY層1322、MAC層1324、RLC層1326、およびPDCP層1328を含み得る。ネットワークアクセスノードプロトコルスタック1304はさらに、イーサネット層1330、MAC層1332、インターネットプロトコル(IP)層1334、ユーザデータグラムプロトコル(UDP)層1336、および制御プレーンGPRSトンネリングプロトコル(GTP-C)層1338を含み得る。
【０１０２】
図13に示されるように、IoTFプロトコルスタック1306は、イーサネット層1340、MAC層1342、IP層1344、UDP層1346、GTP-C層1348、および制御(Ctrl)層1352を含み得る。図13にさらに示されるように、IoTFプロトコルスタック1306は、制御プレーンの暗号化されたクライアントデバイスコンテキスト(図13では「CDCCP」と省略される)を通信するためのコンテキストプロトコル層1350を実装し得る。コンテキストプロトコル層1350はまた、暗号化されたクライアントデバイスコンテキストの存在を示すIoTF ID(IID)および/またはセキュリティヘッダ(図13では「Sec」と省略される)の通信を可能にし得る。図13に示されるように、クライアントデバイスプロトコルスタック1302のコンテキストプロトコル層1318は、IoTFプロトコルスタック1306のコンテキストプロトコル層1350と通信している。ある態様では、暗号化されたクライアントデバイスコンテキストは、図15に関して説明される例示的なIoTパケットフォーマットに従って、ユーザプレーンメッセージの外側のパケットヘッダにおいて搬送され得る。
【０１０３】
サービスネットワークプロトコルスタック1308は、IoTFプロトコルスタック1306のIP層1344、UDP層1346、GTP-C層1348、およびCtrl層1352とそれぞれインターフェースする、IP層1354、UDP層1356、GTP-C層1358、およびCtrl層1360を含み得る。本開示のある態様では、ネットワークアーキテクチャがGSM EDGE無線アクセスネットワーク(GERAN)として実装される場合、IPプロトコル1364とは異なるプロトコルが使用され得る。本開示のある態様では、領域1362および1366により示されるGTP-CプロトコルおよびUDPプロトコルは省略され得る。
【０１０４】
ユーザプレーンプロトコルスタック
図14は、本開示の様々な態様による、IoTデータ送信のためのユーザプレーンプロトコルスタック1400を示す図である。図14に示されるように、プロトコルスタック1400は、クライアントデバイスプロトコルスタック1402(IoTデバイスプロトコルスタックとも呼ばれる)、ネットワークアクセスノードプロトコルスタック1404、ネットワークノード1405において実装されるIoTFプロトコルスタック1406、およびサービスネットワークプロトコルスタック1408を含み得る。たとえば、ネットワークアクセスノードプロトコルスタック1404は、eNB、基地局、またはネットワークアクセスポイントにおいて実装され得る。別の例として、サービスネットワークプロトコルスタック1408は、P-GWにおいて実装され得る。図14に示されるように、クライアントデバイスプロトコルスタック1402は、物理(PHY)層1410、媒体アクセス制御(MAC)層1412、無線リンク制御(RLC)層1414、パケットデータコンバージェンスプロトコル(PDCP)層1416、およびユーザプレーン(UP)層1420を含み得る。図14にさらに示されるように、クライアントデバイスプロトコルスタック1402は、ユーザプレーンの暗号化されたクライアントデバイスコンテキスト(図14では「CDCUP」と省略される)を通信するためのコンテキストプロトコル層1418を実装し得る。コンテキストプロトコル層1418はさらに、暗号化されたクライアントデバイスコンテキストの存在を示すIoTF ID(IID)および/またはセキュリティヘッダ(図14では「Sec」と省略される)の通信を可能にし得る。
【０１０５】
図14に示されるように、ネットワークアクセスノードプロトコルスタック1404は、クライアントデバイスプロトコルスタック1402のPHY層1410、MAC層1412、RLC層1414、およびPDCP層1416とそれぞれインターフェースする、PHY層1422、MAC層1424、RLC層1426、およびPDCP層1428を含み得る。ネットワークアクセスノードプロトコルスタック1404はさらに、イーサネット層1430、MAC層1432、インターネットプロトコル(IP)層1434、ユーザデータグラムプロトコル(UDP)層1436、およびユーザプレーンGPRSトンネリングプロトコル(GTP-U)層1438を含み得る。
【０１０６】
図14に示されるように、IoTFプロトコルスタック1406は、イーサネット層1440、MAC層1442、IP層1444、UDP層1446、GTP-U層1448を含み得る。図14にさらに示されるように、IoTFプロトコルスタック1406は、ユーザプレーンの暗号化されたクライアントデバイスコンテキスト(図14では「CDCUP」と省略される)を通信するためのコンテキストプロトコル層1450を実装し得る。コンテキストプロトコル層1450はまた、暗号化されたクライアントデバイスコンテキストの存在を示すIoTF ID(IID)および/またはセキュリティヘッダ(図14では「Sec」と省略される)の通信を可能にし得る。図14に示されるように、クライアントデバイスプロトコルスタック1402のコンテキストプロトコル層1418は、IoTFプロトコルスタック1406のコンテキストプロトコル層1450と通信している。ある態様では、ユーザプレーンの暗号化されたクライアントデバイスコンテキストは、図15に関して説明される例示的なIoTパケットフォーマットに従って、UPメッセージの外側のパケットヘッダにおいて搬送され得る。
【０１０７】
サービスネットワークプロトコルスタック1408は、IoTFプロトコルスタック1406のIP層1444、UDP層1446、GTP-U層1448、およびUP層1452とそれぞれインターフェースする、IP層1454、UDP層1456、GTP-U層1458、およびUP層1460を含み得る。本開示のある態様では、ネットワークアーキテクチャがGSM EDGE無線アクセスネットワーク(GERAN)として実装される場合、IPプロトコル1464とは異なるプロトコルが使用され得る。本開示のある態様では、領域1462および1466により示されるGTP-UプロトコルおよびUDPプロトコルは省略され得る。本開示のある態様では、IPプロトコルがUPメッセージの配信のために使用される場合、ユーザプレーンの暗号化されたネットワーク到達可能性コンテキストが、IPオプションフィールド(IPv4)またはIP拡張ヘッダ(IPv6)において搬送され得る。
【０１０８】
IoTパケットフォーマット
図15は、本開示の様々な態様による、IoTネットワークアーキテクチャにおける送信のためのパケットフォーマット1500の図である。図15を参照すると、一時識別子(TID)フィールド1502は、クライアントデバイス(IoTデバイスとも呼ばれる)をローカルに識別するために、ネットワークアクセスノード(たとえば、eNB、基地局、またはネットワークアクセスポイント)によって使用され得る。たとえば、クライアントデバイスを識別するためのTIDフィールド1502へネットワークアクセスノードにより割り当てられる値は、C-RNTIまたはその等価物であり得る。
【０１０９】
本開示のある態様では、IoTF ID(IID)フィールド1504は、グローバルに固有の一時識別子(GUTI:globally unique temporary identifier)を含み得る。たとえば、GUTIは、IoTFと関連付けられる識別子およびクライアントデバイスと関連付けられる識別子(たとえば、モビリティ管理エンティティ(MME)一時モバイル加入者識別情報(M-TMSI)などの一時識別子)を含み得る。たとえば、GUTIはIoTFを識別するためにネットワークアクセスノードにより使用されることがあり、GUTIはクライアントデバイスを識別するためにIoTFにより使用されることがある。別の態様では、IIDフィールド1504は、グローバルIoTF識別子(GIOTFI)およびクライアントデバイスと関連付けられる識別子(たとえば、M-TMSIなどの一時識別子)を含み得る。たとえば、GIOTFIは、IoTFのグローバルに固有のモビリティ管理エンティティ識別子(GUMMEI:globally unique mobility management entity identifier)の等価物であり得る。本開示のある態様では、M-TMSIは、クライアントデバイスのプライバシーのために暗号化され得る。IoTF IPアドレスを使用することは、ネットワークトポロジーを公開し得ることに留意されたい。
【０１１０】
セキュリティヘッダフィールド1506は、暗号化されたクライアントデバイスコンテキストの存在、制御プレーン(CP)/ユーザプレーン(UP)の指示、シーケンス番号、タイムスタンプ値、および/またはランダム値を示し得る。たとえば、タイムスタンプ値は、時間およびカウンタに基づくことがあり、ここで時間はネットワークアクセスノード時間またはIoTF時間である。クライアントデバイスコンテキストフィールド1508は、暗号化されたクライアントデバイスコンテキストを含み得る。タイムスタンプがシーケンス番号の代わりに暗号化のために使用される場合、IoTFはいずれのクライアントデバイスネットワーク状態も維持する必要がない可能性があることに留意されたい。ランダム値は、乱数およびカウンタに基づき得る。ランダム値は、ネットワークアクセスノードによって、またはクライアントデバイスによって、またはこれらの組合せによって生成される。カウンタは、各パケットに対してある値(たとえば、1)だけインクリメントされ得る。ランダム値がシーケンス番号の代わりに暗号化のために使用される場合、クライアントデバイスは、セキュリティコンテキストの中の暗号鍵および乱数に基づいて、新しい暗号鍵を生成し得る。ランダム値がシーケンス番号の代わりに完全性保護のために使用される場合、クライアントデバイスは、セキュリティコンテキストの中の完全性保護鍵および乱数に基づいて、新しい完全性保護鍵を生成することができ、新しい完全性保護鍵を使用してメッセージを保護することができる。ペイロードフィールド1510は、データまたは制御情報(たとえば、データパケットまたは制御パケット)を含み得る。
【０１１１】
メッセージ認証符号(MAC)フィールド1512は、完全性保護のために使用され得る。たとえば、MACフィールド1512は、送信デバイスまたは送信エンティティによって生成されるメッセージ認証符号を含み得る。MACフィールド1512の中のメッセージ認証符号は次いで、メッセージの完全性が棄損されていないこと(たとえば、メッセージの内容が変更または操作されていないこと)を検証するために、受信デバイスまたはエンティティによって使用され得る。一態様では、MACフィールド1512の中のメッセージ認証符号は、メッセージ認証符号生成アルゴリズム(たとえば、AEAD暗号)を適用することによって、送信デバイスまたはエンティティにおいて生成されることがあり、ここで、メッセージ(たとえば、パケット)およびユーザプレーン鍵または制御プレーン鍵が、メッセージ認証符号生成アルゴリズムのための入力として使用される。メッセージ認証符号生成アルゴリズムの出力は、MACフィールド1512に含まれるメッセージ認証符号であり得る。受信デバイスまたはエンティティは、メッセージ認証符号生成アルゴリズム(たとえば、AEAD暗号)をメッセージに適用することによって、受信されたメッセージの完全性を検証し得る。たとえば、受信されたメッセージ(たとえば、パケット)およびユーザプレーン鍵または制御プレーン鍵は、メッセージ認証符号生成アルゴリズムのための入力として使用され得る。受信デバイスまたはエンティティは次いで、メッセージ認証符号生成アルゴリズムの出力を、MACフィールド1512に含まれるメッセージ認証符号と比較し得る。そのような例では、メッセージ認証符号生成アルゴリズムの出力がMACフィールド1512に含まれるメッセージ認証符号と一致するとき、受信デバイスまたは受信エンティティは、メッセージの検証が成功したと決定し得る。
【０１１２】
暗号化されたクライアントデバイスコンテキストの設計および生成
本明細書において開示される態様によれば、暗号化されたクライアントデバイスコンテキストは、クライアントデバイスにサービスを提供するためにネットワークによって必要とされ得る情報を含み得る。たとえば、クライアントデバイスコンテキストは、セキュリティコンテキスト、ベアラID、発展型パケットシステム(EPS)ベアラサービス品質(QoS)およびS5-TEID、ならびに/または、サービスをクライアントデバイスに提供するためにネットワークによって必要とされ得る他のサービス、パラメータ、値、設定、もしくは特徴を含み得る。いくつかの態様では、クライアントデバイスコンテキストは、AKA手順の間に確立され得る。
【０１１３】
いくつかの態様では、暗号化されたクライアントデバイスコンテキストは、クライアントデバイスコンテキストに加えて1つまたは複数の情報の項目を含み得る。たとえば、暗号化されたクライアントデバイスコンテキストは、IoTF-C106によって設定される(またはクライアントデバイスコンテキストにおいて示される)期限切れ時間を含むことがあり、これは、(たとえば、永続的な再使用を防ぐために)暗号化されたクライアントデバイスコンテキストの寿命を制限する。別の例として、暗号化されたクライアントデバイスコンテキストは、暗号化されたクライアントデバイスコンテキストを生成するために使用される鍵を識別する鍵インデックスを有し得る。
【０１１４】
いくつかの態様では、暗号化されたクライアントデバイスコンテキストは、ネットワークの中のあるエンティティにのみ知られている秘密鍵を使用して生成され得るので、クライアントデバイスによって解釈および/または修正されることが可能ではない。たとえば、暗号化されたクライアントデバイスコンテキストは、IoTF-U(たとえば、IoTF-U108)の秘密鍵を使用してクライアントデバイスコンテキストを暗号化することによって生成され得る。いくつかの態様では、暗号化されたクライアントデバイスコンテキストは、IoTF-U(たとえば、IoTF-U108)の秘密鍵を用いて完全性保護され得るので、クライアントデバイスによって操作/修正されることが可能ではない。
【０１１５】
ある態様では、暗号化されたクライアントデバイスコンテキストは、認証およびコンテキスト(たとえば、ベアラ)セットアップの完了の成功として、IoTF-C(たとえば、IoTF-C106)によってクライアントデバイス(たとえば、クライアントデバイス102)に提供され得る。ある態様では、クライアントデバイスは、IoTF-U(たとえば、IoTF-U108)がクライアントデバイスコンテキストをオンザフライで再構築することを可能にするために、1つまたは複数のユーザプレーンパケット(たとえば、ULデータパケット)に暗号化されたクライアントデバイスコンテキストを含め得る。たとえば、クライアントデバイスが複数のパケットを連続して送信する必要がある場合、クライアントデバイスは、後続のパケットに暗号化されたクライアントデバイスコンテキストを含めることなく、最初のパケットに暗号化されたクライアントデバイスコンテキストを含め得る。いくつかの態様では、暗号化されたクライアントデバイスコンテキストは、クライアントデバイスに特有であり得るので、クライアントデバイスに出される暗号化されたクライアントデバイスコンテキストは、いずれの他のクライアントデバイスによっても使用され得ない。
【０１１６】
a)制御プレーンの暗号化されたクライアントデバイスコンテキスト
本開示のある態様では、IoTF(たとえば、図1のIoTF-C106)は、1つまたは複数の情報の項目を連結することによって、暗号化されたクライアントデバイスコンテキストを生成し得る。たとえば、制御プレーン(CP)の暗号化されたクライアントデバイスコンテキスト(CDCCP)は、式KeyID||Enc_KCDC-IoTF-C(CDCCP)||MACに基づいて生成され得る。本開示のある態様では、鍵KCDC-IoTF-C(たとえば、図3の鍵KCDC-IoTF-C304)は、鍵KCDC-IoTF(たとえば、図3の鍵KCDC-IoTF302)と同じであることがあり、または鍵KCDC-IoTFから導出されることがある。項KeyIDは、(暗号化されたクライアントデバイスコンテキストを生成するために使用される)鍵インデックスを表し得る。項CDCCPは、制御プレーンクライアントデバイスコンテキストを表し得る。たとえば、制御プレーンクライアントデバイスコンテキストは、クライアントデバイス識別子、クライアントデバイスセキュリティコンテキスト(たとえば、鍵KIoT(KASMEの等価物)、鍵KIoT-CPenc210、鍵KIoT-CPint212などの制御プレーン鍵)、クライアントデバイスのセキュリティ能力(たとえば、発展型パケットシステム暗号化アルゴリズム(EEA)、発展型パケットシステム完全性アルゴリズム(EIA))、および/または次のホップ(S5/S8)の構成情報を含み得る。たとえば、次のホップの構成情報は、IoTサーバアドレス、P-GWアドレス、および/またはTEIDを含み得る。項MACは、暗号化モードおよび/またはメッセージ認証符号生成アルゴリズム(MACアルゴリズムとも呼ばれる)を示すことができ、これは、移動体通信事業者(MNO)により選ばれ、IoTFに対して構成され得る。したがって、項Enc_KCDC-IoTF-C(CDCCP)は、鍵KCDC-IoTF-Cを使用して制御プレーンクライアントデバイスコンテキストに対して実行される暗号化動作の結果を表し得る。
【０１１７】
b)ユーザプレーンの暗号化されたクライアントデバイスコンテキスト
別の例として、ユーザプレーン(UP)の暗号化されたクライアントデバイスコンテキスト(CDCUP)は、式KeyID||Enc_KCDC-IoTF-U(CDCUP)||MACに基づいて生成され得る。項CDCUPは、ユーザプレーンクライアントデバイスコンテキストを表し得る。たとえば、ユーザプレーンクライアントデバイスコンテキストは、クライアントデバイス識別子、ベアラID、発展型パケットシステム(EPS)ベアラサービス品質(QoS)、ユーザプレーン汎用パケット無線サービス(GPRS)トンネリングプロトコル(GTP-U)のS5トンネルエンドポイント識別子、IoTF-U108がULデータを転送するP-GWインターネットプロトコル(IP)アドレス(または等価な情報)、クライアントデバイスのセキュリティコンテキスト(たとえば、鍵KIoT-UPenc216、鍵KIoT-UPint218などの選択された暗号化アルゴリズムおよびユーザプレーン鍵)、クライアントデバイスのセキュリティ能力(たとえば、発展型パケットシステム暗号化アルゴリズム(EEA)、発展型パケットシステム完全性アルゴリズム(EIA))、および/または次のホップ(S5/S8)の構成情報を含み得る。たとえば、次のホップの構成情報は、IoTサーバアドレス、P-GWアドレス、および/またはTEIDを含み得る。したがって、項Enc_KCDC-IoTF-U(CDCUP)は、鍵KCDC-IoTF-Uを使用してユーザプレーンクライアントデバイスコンテキストに対して実行される暗号化動作の結果を表し得る。本開示のある態様では、暗号化されたクライアントデバイスコンテキストは、クライアントデバイスが接続される/関連付けられるIoTF(たとえば、IoTF-C106および/またはIoTF-U108)のみによって復号され得る。本開示のある態様では、クライアントデバイスコンテキストは、暗号化される前に圧縮され得る。
【０１１８】
暗号化されたクライアントデバイスコンテキストは、1つまたは複数の特性を有し得る。たとえば、暗号化されたクライアントデバイスコンテキストは、特定のクライアントデバイスと関連付けられるネットワーク状態情報を含み得るので、他のクライアントデバイスに移送可能ではないことがある。IoTF-C/U(たとえば、IoTF-C106および/またはIoTF-U108)は、クライアントデバイスのコンテキスト(たとえば、ネットワーク状態情報)を維持しない。したがって、そのようなIoTF-C/Uは、固有の秘密鍵を使用して暗号化されたクライアントデバイスコンテキストからクライアントデバイスコンテキストを復元し得るので、IoTF-C/Uは、クライアントデバイスコンテキストを復元するための追加の情報を何ら記憶する必要がない。IoTF-C/Uは、ある条件(たとえば、発展型パケットシステム接続管理(ECM)-Idleまたは少量のデータ移送の直後)のもとでクライアントデバイスコンテキストを除去し、必要なときに(たとえば、データ移送のために)それを回復することができる。
【０１１９】
クライアントデバイスは、高速なULデータの移送/高速な制御プレーンメッセージの移送のためにIoTF-Cによって提供される、暗号化されたクライアントデバイスコンテキストを記憶し得る。クライアントデバイスは、1つまたは複数のデータパケットを送信した直後にスリープモードに入り得る。クライアントデバイスコンテキストを再構築するための、IoTF-Uに対するメッセージ交換のオーバーヘッドがないことがあるので、少量のデータパケットの送信について遅延が生じないことがある。本開示のある態様では、クライアントデバイスがアイドルモードにあるとき、ユーザプレーンのデータ送信のために制御プレーンのメッセージはまったく使用されないことがある。
【０１２０】
トラッキングエリア更新
クライアントデバイスは、アイドルモードの間に新しいトラッキングエリアに入るとき、トラッキングエリア更新(TAU)手順を実行し得る。TAUメッセージは、ソースIoTF-Cの現在のトラッキングエリアid(TAI)およびGIOTFIまたは等価物(たとえば、グローバルに固有なモバイル管理エンティティ識別子(GUMMEI))を含み得る。ターゲットIoTF-Cは、クライアントデバイスの位置および1つまたは複数のネットワークエンティティ(たとえば、P-GW)に対するモビリティアンカー(たとえば、IoTF-U ID)を、暗号化されたネットワーク到達可能性コンテキストとともに更新し得る。本開示のある態様では、暗号化されたネットワーク到達可能性コンテキストは、IoTF-Uがダウンリンクパケットを検証することを可能にし得る。本開示のある態様では、アプリケーションサーバ(たとえば、IoTサーバ)および/またはP-GWは、暗号化されたネットワーク到達可能性コンテキストを有するダウンリンク(DL)パケットをIoTF-U/C(GIOTFIによって識別される)に送信し得る。
【０１２１】
図16は、本開示の様々な態様による、IoTネットワークアーキテクチャ(たとえば、IoTネットワークアーキテクチャ100)におけるTAU手順の信号フロー図1600である。図16に示されるように、信号フロー図1600は、クライアントデバイス1602(IoTデバイスとも呼ばれる)、ネットワークアクセスノード1604(たとえば、eNB、基地局、ネットワークアクセスポイント)、ターゲットネットワークデバイス1605において実装されるターゲットIoTF-C1606、ソースネットワークデバイス1607において実装されるソースIoTF-C1608、P-GW1610、およびIoTサーバ1612(アプリケーションサーバとも呼ばれる)を含む。クライアントデバイス1602は、暗号化されたクライアントデバイスコンテキスト(たとえば、制御プレーン(CP)の暗号化されたクライアントコンテキスト)とTAU要求とを含むデータ移送要求メッセージ1614をネットワークアクセスノード1604に送信し得る。本開示のある態様では、データ移送要求メッセージ1614は、RRC接続を確立することなくクライアントデバイス1602によって送信され得る。
【０１２２】
ネットワークアクセスノード1604は、TAU要求に含まれるターゲットIoTF-C識別子を決定し得る(1616)。ネットワークアクセスノード1604は次いで、ターゲットIoTF-C1606のIPアドレスを決定することができ、クライアントデバイス1602と関連付けられるTIDと、暗号化されたクライアントデバイスコンテキストと、TAU要求とを含むメッセージ1618を、ターゲットIoTF-C1606に送信し得る。ターゲットIoTF-C1606は、クライアントデバイスコンテキストに対する要求と暗号化されたクライアントデバイスコンテキストとを含むメッセージ1620を、ソースIoTF-C1608に送信し得る。
【０１２３】
ソースIoTF-C1608は、クライアントデバイスコンテキストを含むメッセージ1622をターゲットIoTF-C1606に送信し得る。ターゲットIoTF-C1606は、クライアントデバイスのTIDおよびネットワークアクセスノード1604のIDを記憶することができ(1624)、受信されたクライアントデバイスコンテキストに基づいて、クライアントデバイス1602のための新しいGUTIおよび新しい暗号化されたクライアントデバイスコンテキストを生成することができる(1624)。本開示のある態様では、ターゲットIoTF-C1606は、ユーザプレーン(UP)鍵およびコンテキスト生成鍵を生成することができ、これらの鍵をIoTF-Uに提供することができる。
【０１２４】
ターゲットIoTF-C1606は、トラッキングエリアID(TAI)とターゲットIoTF-C1606のID(たとえば、GIOTFI)とを含むメッセージ1626を、IoTサーバ1612(またはP-GW1610)に送信し得る。ターゲットIoTF-C1606は、TIDと、新しいGUTIと、新しい暗号化されたクライアントデバイスコンテキストと、TAU応答とを含むメッセージ1628を、クライアントデバイス1602に送信し得る。ネットワークアクセスノード1604は、TIDに基づいて、新しいGUTIと、新しい暗号化されたクライアントデバイスコンテキストと、TAU応答とを、メッセージ1630においてクライアントデバイス1602に転送し得る。
【０１２５】
本明細書において開示される態様は、独立した展開を可能にし、スケーラビリティ/相互動作の要件を回避する、新しい専用のネットワーク機能を有するアーキテクチャを提供する。本明細書において開示される態様は、ネットワークアクセスノード(たとえば、基地局)が、クライアントデバイスのセキュリティコンテキストを記憶または維持することなく、クライアントデバイスへ、またはクライアントデバイスからデータを移送することを可能にでき、これによって、ネットワークアクセスノード(または他のネットワークエンティティ)における大量のリソースの消費を回避する。セキュリティ機能は、新しいネットワーク機能(IoT機能(IoTF)と呼ばれる)においてアンカーされ得る。通常のクライアントデバイスのPDN接続/トラフィックに影響するのを回避するために、IoTデータ移送に対して専用のリソースが割り振られる。UEがアイドル状態にあるときにIoTFにおけるUEの準永続的なコンテキストを削除するために、暗号化されたUEコンテキストがデータ移送のために使用され得る。MME/S-GWは、トラフィックを頻繁には送信しないIoTデバイスの多数の状態(すなわち、コンテキスト)を維持すべきではない。IoTデバイスは、高価なコアネットワークリソースを消耗させることなく、コスト効率の良いデータ配信を必要とするだけであり得る。
【０１２６】
暗号化されたクライアントデバイスコンテキスト使用情報
本開示の様々な態様によれば、クライアントデバイス(たとえば、図7のクライアントデバイス702)は、クライアントデバイスが暗号化されたクライアントデバイスコンテキストをネットワークに送信するとき、暗号化されたクライアントデバイスコンテキストと関連付けられる使用情報(暗号化されたクライアントデバイスコンテキスト使用情報とも呼ばれる)を送信し得る。
【０１２７】
一態様では、暗号化されたクライアントデバイスコンテキスト使用情報は、クライアントデバイスから送信されるべきデータの量を示し得る。たとえば、データの量は、減らされたデータ送信(たとえば、単一のデータパケットを含む送信)またはバーストデータ送信(たとえば、いくつかのデータパケットを含む1つまたは複数の送信)として示され得る。ある態様では、クライアントデバイスから送信されるべきデータの量は、単一のビットを使用して(たとえば、パケットのヘッダの中の情報要素(IE)の一部として)示され得る。そのような態様では、たとえば、クライアントデバイスは、クライアントデバイスから送信されることになるデータの量が減らされたデータ送信であることを示すためにビットを有効化する(たとえば、ビットを「1」に設定する)ことができ、クライアントデバイスから送信されることになるデータの量がバーストデータ送信であることを示すためにビットを無効化する(たとえば、ビットを「0」に設定する)ことができる。
【０１２８】
一態様では、送信されることになるデータの量が減らされたデータ送信であることをクライアントデバイスが示すとき、ネットワーク(たとえば、ネットワークノード707、709などのネットワークノード、および/またはネットワークアクセスノード704などのネットワークアクセスノード)は、減らされたデータ送信がクライアントデバイスから受信された直後に、クライアントデバイスのコンテキストを除去し得る。別の態様では、送信されることになるデータの量が減らされたデータ送信であることをクライアントデバイスが示すとき、ネットワークは、第1の閾値の期間、クライアントデバイスのコンテキストを維持し得る。たとえば、ネットワークは、第1の閾値の期間を測定するように構成される第1のタイマーを実装し得る。この態様では、ネットワークは、第1のタイマーが満了すると、クライアントデバイスのコンテキストを除去し得る。一態様では、ネットワークが第1のタイマーの満了の前にクライアントデバイスからデータ送信(たとえば、パケット)を受信する場合、ネットワークは、第1のタイマーをリセットすることができ、第1のタイマーが満了するまでクライアントデバイスのコンテキストを維持することができる。
【０１２９】
別の態様では、送信されることになるデータの量がバーストデータ送信であることをクライアントデバイスが示すとき、ネットワークは、第2の閾値の期間、クライアントデバイスのコンテキストを維持し得る。たとえば、ネットワークは、第2の閾値の期間を測定するように構成される第2のタイマーを実装し得る。この態様では、ネットワークは、第2のタイマーが満了すると、クライアントデバイスのコンテキストを除去し得る。一態様では、ネットワークが第2のタイマーの満了の前にクライアントデバイスからデータ送信(たとえば、パケット)を受信する場合、ネットワークは、第2のタイマーをリセットすることができ、第2のタイマーが満了するまでクライアントデバイスのコンテキストを維持することができる。たとえば、第2の閾値の期間は第1の閾値の期間より長いことがある。
【０１３０】
一態様では、暗号化されたクライアントデバイスコンテキスト使用情報は、ネットワークに送信されるパケットのヘッダに含まれ得る。別の態様では、クライアントデバイスは、RRCシグナリング手順の間に、暗号化されたクライアントデバイスコンテキスト使用情報をネットワークに提供し得る。
【０１３１】
一態様では、ネットワーク(たとえば、図6のネットワークノード605)は、複数のタイプの暗号化されたクライアントデバイスコンテキストをクライアントデバイス(たとえば、図6のクライアントデバイス602)に提供し得る。そのような態様では、各タイプの暗号化されたクライアントデバイスコンテキストは、クライアントデバイスのコンテキストの一部分(たとえば、クライアントデバイスのコンテキストの部分集合)を再構築するためにネットワーク(たとえば、図9のネットワークノード907)によって使用され得る。たとえば、第1のタイプの暗号化されたクライアントデバイスコンテキストは、ネットワークによって提供される第1のサービス(たとえば、モバイルブロードバンドサービス)と関連付けられることがあり、ここで、第1のタイプの暗号化されたクライアントデバイスコンテキストは、第1のサービスをサポートすることが必要とされるクライアントデバイスコンテキストの第1の部分をネットワークが再構築することを可能にする。そのような例では、第2のタイプの暗号化されたクライアントデバイスコンテキストは、ネットワークによって提供される第2のサービス(たとえば、ultra-reliable low-latency communications(URLLC))と関連付けられることがあり、ここで、第2のタイプの暗号化されたクライアントデバイスコンテキストは、第2のサービスをサポートすることが必要とされるクライアントデバイスコンテキストの第2の部分をネットワークが再構築することを可能にする。ある態様では、クライアントデバイスコンテキストの第1の部分およびクライアントデバイスコンテキストの第2の部分は、クライアントデバイスのためのネットワークにより当初生成されたクライアントデバイスコンテキストよりも少量のコンテキスト情報を含み得る。
【０１３２】
ある態様では、クライアントデバイスは、ネットワークに送信される(またはネットワークから受信される)ことになる送信のタイプに基づいて、使用すべき複数のタイプの暗号化されたクライアントデバイスコンテキストのうちの1つまたは複数を決定し得る。たとえば、上で提供された例に関して、クライアントデバイスがモバイルブロードバンドサービスと関連付けられるデータを送信する予定である場合、クライアントデバイスは、第1のタイプの暗号化されたクライアントデバイスコンテキストをネットワークに送信し得る。別の例として、クライアントデバイスがURLLCサービスと関連付けられるデータを送信すべきである場合、クライアントデバイスは、第2のタイプの暗号化されたクライアントデバイスコンテキストをネットワークに送信し得る。高優先度のアクセスサービス、遅延に耐性のあるアクセスサービス、またはマシン型通信(MTC)サービスなどの上で提供された例に加えて、またはそれらの代わりに、他のタイプのサービスがネットワークによって提供され得ることを理解されたい。
【０１３３】
本開示の様々な態様によれば、クライアントデバイスは、クライアントデバイスが暗号化されたクライアントデバイスコンテキストをネットワークに送信するとき、前に説明された使用情報において暗号化されたクライアントデバイスコンテキストのタイプを示し得る。一態様では、暗号化されたクライアントデバイスコンテキスト使用情報は、クライアントデバイスから送信されている情報のタイプを示し得る。たとえば、暗号化されたクライアントデバイスコンテキスト使用情報は、クライアントデバイスから送信されている情報がユーザプレーン(たとえば、データ)または制御プレーン(たとえば、制御情報)と関連付けられることを示し得る。前に論じられた様々なタイプの暗号化されたクライアントデバイスコンテキストの各々がクライアントデバイスのコンテキストの一部分(たとえば、クライアントデバイスのコンテキストの部分集合)を再構築するためにネットワークにより使用され得るので、そのような様々なタイプの暗号化されたクライアントデバイスコンテキストは、全体の(たとえば、完全な)クライアントデバイスコンテキストの再構築を可能にする暗号化されたクライアントデバイスコンテキストと比較すると、サイズが減らされ得ることを理解されたい。
【０１３４】
ある態様では、(たとえば、図9のIoTサーバ912において)ネットワークによって提供されるサービスのタイプのために(たとえば、図9のネットワークノード907において)ネットワークによって再構築されるべきコンテキスト(またはコンテキストの部分)は、ある値(たとえば、インデックス番号または他の値)と関連付けられ得る。そのような態様では、クライアントデバイス(たとえば、図9のクライアントデバイス902)は、特定のサービス(または他の特殊な使用法または適用例)のためのネットワークにおけるコンテキストの再構築を容易にするために、暗号化されたクライアントデバイスコンテキストとともにインデックス番号を送信し得る。たとえば、インデックス番号「1」は、モバイルブロードバンドサービスに対する特定のサービス品質(QoS)と、そのQoSをサポートするためのコンテキストを再構築するために必要な情報とを示し得る。そのような例では、クライアントデバイスは、モバイルブロードバンドサービスをサポートするクライアントデバイスコンテキストの一部分の再構築を容易にするために、モバイルブロードバンドサービスと関連付けられる暗号化されたクライアントデバイスコンテキストとインデックス番号「1」とを送信し得る。
【０１３５】
複数のユーザプレーンネットワーク機能
本開示の一態様では、ネットワークは、とりわけ、クライアントデバイス、ネットワークアクセスノード(たとえば、eNB、基地局、ネットワークアクセスポイント)、およびネットワークエンティティ(たとえば、サービングゲートウェイ(S-GW)、パケットデータネットワークゲートウェイ(P-GW))を含み得る。そのような態様では、ネットワークアクセスノードは第1のユーザプレーンネットワーク機能を実装することができ、ネットワークエンティティは第2のユーザプレーンネットワーク機能を実装することができる。したがって、ネットワークアクセスノードは第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストを取得してそれをクライアントデバイスに送信することができ、ネットワークエンティティは第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストを取得してそれをクライアントデバイスに送信することができる。ある態様では、第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストは、第1のユーザプレーンネットワーク機能がクライアントデバイスのためのユーザデータトラフィックの処理のための(たとえば、ユーザデータパケットを検証および/または復号するための)クライアントデバイスの第1のコンテキスト(たとえば、第1のセキュリティコンテキスト)を再構築することを可能にでき、第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストは、第2のユーザプレーンネットワーク機能がクライアントデバイスのためのユーザデータトラフィックの処理のための(たとえば、ユーザデータパケットを検証および/または復号するための)クライアントデバイスの第2のコンテキスト(たとえば、第2のセキュリティコンテキスト)を再構築することを可能にできる。一態様では、クライアントデバイスは、ULデータトラフィックとともに、複数の暗号化されたクライアントデバイスコンテキストをネットワークに送信し得る。たとえば、クライアントデバイスは、ULデータトラフィックとともに、第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストと第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストの両方を送信し得る。一態様では、第1および第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストは同時に(たとえば、クライアントデバイスから送信される同じパケットにおいて)送信され得る。したがって、いくつかの態様では、クライアントデバイスから送信される複数の暗号化されたクライアントデバイスコンテキストが、ネットワークの中の異なるエンティティ(たとえば、ネットワークアクセスノード、S-GW)と関連付けられる独立したクライアントデバイスコンテキストの再構築を可能にし得ることが理解され得る。
【０１３６】
例示的な装置(たとえば、クライアントデバイス)およびそこでの方法
図17は、本開示の1つまたは複数の態様(たとえば、以下で説明される、図18〜図20の方法に関する態様)による、IoTネットワークアーキテクチャに基づいてネットワークと通信するように構成される装置1700の図である。装置1700は、通信インターフェース(たとえば、少なくとも1つのトランシーバ)1702と、記憶媒体1704と、ユーザインターフェース1706と、メモリデバイス1708と、処理回路1710とを含む。
【０１３７】
これらの構成要素は、図17において接続線によって一般に表される、シグナリングバスまたは他の適切な構成要素を介して互いに結合され、かつ/または互いに電気通信するように配置され得る。シグナリングバスは、処理回路1710の具体的な適用例および全体的な設計制約に応じて、任意の数の相互接続バスおよびブリッジを含み得る。シグナリングバスは、通信インターフェース1702、記憶媒体1704、ユーザインターフェース1706、およびメモリデバイス1708の各々が、処理回路1710に結合され、かつ/または処理回路1710と電気通信するように、様々な回路を一緒につなぐ。シグナリングバスはまた、タイミングソース、周辺装置、電圧調整器、および電力管理回路などの様々な他の回路(図示せず)をつなぎ得るが、これらの回路は当技術分野でよく知られており、したがって、これ以上は説明されない。
【０１３８】
通信インターフェース1702は、装置1700のワイヤレス通信を容易にするように適合され得る。たとえば、通信インターフェース1702は、ネットワークの中の1つまたは複数の通信デバイスに関して双方向に情報の通信を容易にするように適合された回路および/またはコード(たとえば、命令)を含み得る。通信インターフェース1702は、ワイヤレス通信システム内のワイヤレス通信のための1つまたは複数のアンテナ1712に結合され得る。通信インターフェース1702は、1つまたは複数のスタンドアロン受信機および/または送信機、ならびに1つまたは複数のトランシーバを用いて構成され得る。図示される例では、通信インターフェース1702は、送信機1714および受信機1716を含む。
【０１３９】
メモリデバイス1708は、1つまたは複数のメモリデバイスを表し得る。示されるように、メモリデバイス1708は、ネットワーク関連情報を、装置1700によって使用される他の情報とともに維持し得る。いくつかの実装形態では、メモリデバイス1708および記憶媒体1704は、共通メモリ構成要素として実装される。メモリデバイス1708はまた、処理回路1710、または装置1700のいくつかの他の構成要素によって操作されるデータを記憶するために使用され得る。
【０１４０】
記憶媒体1704は、プロセッサ実行可能コードもしくは命令(たとえば、ソフトウェア、ファームウェア)などのコード、電子データ、データベース、または他のデジタル情報を記憶するための1つまたは複数のコンピュータ可読、機械可読、および/またはプロセッサ可読デバイスを表し得る。記憶媒体1704はまた、コードを実行するときに処理回路1710によって操作されるデータを記憶するために使用され得る。記憶媒体1704は、ポータブル記憶デバイスもしくは固定された記憶デバイスと、光記憶デバイスと、コードを記憶し、格納し、または搬送することが可能な様々な他の媒体とを含む、汎用または専用プロセッサによってアクセスされ得る任意の利用可能な媒体であり得る。
【０１４１】
限定ではなく例として、記憶媒体1704は、磁気記憶デバイス(たとえば、ハードディスク、フロッピーディスク、磁気ストリップ)、光ディスク(たとえば、コンパクトディスク(CD)またはデジタル多用途ディスク(DVD))、スマートカード、フラッシュメモリデバイス(たとえば、カード、スティック、またはキードライブ)、ランダムアクセスメモリ(RAM)、読取り専用メモリ(ROM)、プログラマブルROM(PROM)、消去可能PROM(EPROM)、電気的消去可能PROM(EEPROM)、レジスタ、リムーバブルディスク、および、コンピュータによってアクセスされ読み取られ得るコードを記憶するための任意の他の適切な媒体を含み得る。記憶媒体1704は、製造品(たとえば、コンピュータプログラム製品)において具現化され得る。例として、コンピュータプログラム製品は、パッケージング材料の中のコンピュータ可読媒体を含み得る。上記のことに鑑みて、いくつかの実装形態では、記憶媒体1704は、非一時的な(たとえば、有形の)記憶媒体であり得る。
【０１４２】
記憶媒体1704は、処理回路1710が記憶媒体1704から情報を読み取り、記憶媒体1704に情報を書き込むことができるように、処理回路1710に結合され得る。すなわち、記憶媒体1704は、少なくとも1つの記憶媒体が処理回路1710と一体である例および/または少なくとも1つの記憶媒体が処理回路1710から分離されている(たとえば、装置1700内にある、装置1700の外部にある、複数のエンティティにわたって分散されている、など)例を含め、記憶媒体1704が少なくとも処理回路1710によってアクセス可能であるように、処理回路1710に結合され得る。
【０１４３】
記憶媒体1704によって記憶されているコードおよび/または命令は、処理回路1710によって実行されると、処理回路1710に、本明細書において説明される様々な機能および/またはプロセス動作のうちの1つまたは複数を実行させる。たとえば、記憶媒体1704は、処理回路1710の1つまたは複数のハードウェアブロックにおける動作を調整するように、ならびにそれらのそれぞれの通信プロトコルを利用するワイヤレス通信に通信インターフェース1702を利用するように構成された動作を含み得る。
【０１４４】
処理回路1710は、一般に、記憶媒体1704上に記憶されたそのようなコード/命令の実行を含む処理のために適合される。本明細書において使用される「コード」または「命令」という用語は、ソフトウェアと呼ばれるか、ファームウェアと呼ばれるか、ミドルウェアと呼ばれるか、マイクロコードと呼ばれるか、ハードウェア記述言語と呼ばれるか、またはそれ以外で呼ばれるかにかかわらず、限定はされないが、プログラミング、命令、命令セット、データ、コード、コードセグメント、プログラムコード、プログラム、サブプログラム、ソフトウェアモジュール、アプリケーション、ソフトウェアアプリケーション、ソフトウェアパッケージ、ルーチン、サブルーチン、オブジェクト、実行ファイル、実行スレッド、手順、関数などを含むように広く解釈されなければならない。
【０１４５】
処理回路1710は、データを取得し、処理し、および/または送信し、データのアクセスおよび記憶を制御し、命令を出し、所望の動作を制御するように構成される。処理回路1710は、少なくとも1つの例において、適切な媒体によって与えられる所望のコードを実装するように構成された回路を含み得る。たとえば、処理回路1710は、1つまたは複数のプロセッサ、1つまたは複数のコントローラ、および/または実行可能なコードを実行するように構成された他の構造として実装され得る。処理回路1710の例は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブル論理構成要素、個別ゲートもしくはトランジスタ論理、個別のハードウェア構成要素、または本明細書において説明される機能を実行するように設計されたそれらの任意の組合せを含み得る。汎用プロセッサは、マイクロプロセッサ、ならびに任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械を含み得る。処理回路1710はまた、DSPとマイクロプロセッサの組合せ、いくつかのマイクロプロセッサ、DSPコアと連携する1つもしくは複数のマイクロプロセッサ、ASICおよびマイクロプロセッサ、または任意の他の数の様々な構成などの、コンピューティング構成要素の組合せとして実装され得る。処理回路1710のこれらの例は例示のためのものであり、本開示の範囲内の他の適切な構成も企図される。
【０１４６】
本開示の1つまたは複数の態様によれば、処理回路1710は、本明細書において説明される装置のいずれかもしくはすべてのための、特徴、プロセス、機能、動作、および/またはルーチンのいずれかもしくはすべてを実行するように適合され得る。処理回路1710に関して本明細書において使用される「適合される」という用語は、処理回路1710が、本明細書において説明される様々な特徴に従って、特定のプロセス、機能、動作、および/またはルーチンを実行するように構成されること、利用されること、実装されること、および/またはプログラムされることのうちの1つまたは複数を指し得る。
【０１４７】
装置1700の少なくとも1つの例によれば、処理回路1710は、本明細書において説明される特徴、プロセス、機能、動作、および/またはルーチン(たとえば、図18〜図20に関して説明された特徴、プロセス、機能、動作、および/またはルーチン)のいずれかまたはすべてを実行するように適合される、送信回路/モジュール1720、受信回路/モジュール1722、暗号化されたクライアントデバイスコンテキスト記憶回路/モジュール1724、暗号化されたクライアントデバイスコンテキスト決定回路/モジュール1726、アイドルモード進入回路/モジュール1728、セキュリティコンテキスト確立回路/モジュール1730、メッセージ取得回路/モジュール1732、および使用情報取得回路/モジュール1733のうちの1つまたは複数を含み得る。
【０１４８】
送信回路/モジュール1720は、たとえば、ネットワークと通信するための要求を送信すること、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信すること、UPの暗号化されたクライアントデバイスコンテキストを有する空のパケットをネットワークに送信すること、ネットワークアドレスを含む複数のデータパケットをネットワークに送信すること、およびリソース解放要求メッセージをネットワークに送信することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶された送信命令1734)を含むことがあり、リソース解放要求メッセージはネットワークがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。
【０１４９】
受信回路/モジュール1722は、たとえば、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信すること、第2のデータパケットを受信することであって、第2のデータパケットを受信することがネットワークアクセスノードとの無線リソース制御(RRC)接続を確立しない、受信すること、ネットワークからページメッセージを受信すること、およびメッセージに応答してクライアントデバイスのネットワークアドレスを受信することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶された受信命令1736)を含み得る。
【０１５０】
暗号化されたクライアントデバイスコンテキスト記憶回路/モジュール1724は、たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストをローカルの記憶装置に記憶することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶された、暗号化されたクライアントデバイスコンテキスト記憶命令1738)を含み得る。
【０１５１】
暗号化されたクライアントデバイスコンテキスト決定回路/モジュール1726は、たとえば、通信がデータを備えるか制御情報を備えるかに基づいて使用されるべき1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定すること、および1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つがサービスと関連付けられると決定することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶されている暗号化されたクライアントデバイスコンテキスト決定命令1740)を含むことがあり、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つが、サービスをサポートするクライアントデバイスコンテキストの部分の再構築を可能にする。
【０１５２】
アイドルモード進入回路/モジュール1728は、たとえば、第1のデータパケットを含むメッセージを送信した直後にアイドルモードに入ることに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶されたアイドルモード進入命令1742)を含み得る。
【０１５３】
セキュリティコンテキスト確立回路/モジュール1730は、たとえば、ネットワークとの接続のためのセキュリティコンテキストを確立することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶されたセキュリティコンテキスト確立命令1744)を含むことがあり、セキュリティコンテキストは少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む。
【０１５４】
メッセージ取得回路/モジュール1732は、たとえば、メッセージを取得することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶されたメッセージ取得命令1746)を含むことがあり、メッセージはネットワークにより提供されるサービスと関連付けられる。
【０１５５】
使用情報取得回路/モジュール1733は、たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと関連付けられる使用情報を取得することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体1704に記憶された使用情報取得命令1747)を含み得る。
【０１５６】
上述のように、記憶媒体1704によって記憶されている命令は、処理回路1710によって実行されると、処理回路1710に、本明細書において説明される様々な機能および/またはプロセス動作のうちの1つまたは複数を実行させる。たとえば、記憶媒体1704は、送信命令1734、受信命令1736、暗号化されたクライアントデバイスコンテキスト記憶命令1738、暗号化されたクライアントデバイスコンテキスト決定命令1740、アイドルモード進入命令1742、セキュリティコンテキスト確立命令1744、メッセージ取得命令1746、およびユーザ情報取得命令1747のうちの1つまたは複数を含み得る。
【０１５７】
図18(図18Aおよび図18Bを含む)は、本開示の様々な態様による、ネットワークと通信するための方法を示すフローチャート1800である。方法は、クライアントデバイス(たとえば、クライアントデバイス102、502、または装置1700)などの装置によって実行され得る。図18において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０１５８】
クライアントデバイスは、ネットワークと通信するための要求を送信する(1802)。一例では、要求は、図6に関して前に説明された要求612であり得る。ある態様では、要求は、クライアントデバイスが暗号化されたクライアントデバイスコンテキストを要求していることの指示、および/またはクライアントデバイスが要求しているサービスの指示を含み得る。クライアントデバイスは、ネットワークとの接続のためのセキュリティコンテキストを確立し、セキュリティコンテキストは少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、および/または完全性保護鍵を含む(1803)。ある態様では、暗号鍵はユーザプレーン暗号鍵であり、完全性保護鍵はユーザプレーン完全性保護鍵であり、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵はクライアントデバイスにおいて維持され、第1のデータパケットは少なくとも、ユーザプレーン完全性保護鍵を用いて完全性保護され、またはユーザプレーン暗号鍵を用いて暗号化される。
【０１５９】
クライアントデバイスは、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信する(1804)。一例では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、図6のクライアントデバイス602によって受信されるRRC接続再構成メッセージ626の中の暗号化されたクライアントデバイスコンテキストであり得る。一態様では、暗号化されたクライアントデバイスコンテキストは、ネットワークとの認証が成功した結果として、ネットワークから受信され得る。そのような態様では、ネットワークとの認証の成功は、アクセス層(AS)セキュリティコンテキストを確立しない。たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、セキュリティコンテキスト、ベアラのサービス品質(QoS)、および/またはトンネルエンドポイント識別子(TEID)のうちの少なくとも1つを含み得る。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとのデータ関連の通信のために使用されるべき第1のコンテキストと、クライアントデバイスとの制御関連の通信のために使用されるべき第2のコンテキストとを含み得る。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストはクライアントデバイスにおいて復号され得ない。そのような態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成したネットワークデバイスのみによって復号され得る。
【０１６０】
クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストをローカルの記憶装置に記憶する(1806)。クライアントデバイスは、クライアントデバイスから送信されることになるメッセージ(たとえば、パケット)がデータを含むか制御情報を含むかに基づいて、使用されるべき1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定する(1808)。たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、ユーザプレーン(UP)の暗号化されたクライアントデバイスコンテキストおよび制御プレーン(UP)の暗号化されたクライアントデバイスコンテキストを含み得る。そのような例では、クライアントデバイスは、UPの暗号化されたクライアントデバイスコンテキストを有する第1のデータパケット、またはCPの暗号化されたクライアントデバイスコンテキストを有する制御パケットを送信し得る。たとえば、制御パケットは、トラッキングエリア更新(TAU)パケットであり得る。
【０１６１】
クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信する(1810)。いくつかの例では、メッセージは、暗号化されたクライアントデバイスコンテキストと図8のネットワークアクセスノード804へクライアントデバイス802によって送信されるデータパケットとを含む、データ移送要求メッセージ810であり得る。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおけるコンテキストの再構築を可能にし、コンテキストはクライアントデバイスと関連付けられるネットワーク状態情報を含む。ある態様では、コンテキストはネットワークにおいて除去される(たとえば、削除され、またはもはや維持されない)。ある態様では、クライアントデバイスは、ネットワークのネットワークアクセスノードとの無線リソース制御(RRC)接続を確立することなく、第1のデータパケットを含むメッセージを送信し得る。クライアントデバイスは、第1のデータパケットを含むメッセージを送信した直後に、アイドルモードに入る(1812)。
【０１６２】
クライアントデバイスは第2のデータパケットを受信し、第2のデータパケットを受信するステップは、ネットワークアクセスノードとのRRC接続を確立しない(1814)。一例では、第2のデータパケットは、図8のネットワークアクセスノード804からクライアントデバイス802へ送信される第5のメッセージ824の中のデータパケットであり得る。ある態様では、暗号鍵はユーザプレーン暗号鍵であり、完全性保護鍵はユーザプレーン完全性保護鍵であり、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵はクライアントデバイスにおいて維持される。そのような態様では、第2のデータパケットを受信するとき、クライアントデバイスは、ユーザプレーン完全性保護鍵を用いて第2のデータパケットを検証し、かつ/または、ユーザプレーン暗号鍵を用いて第2のデータパケットを復号する。クライアントデバイスは、ネットワークからページメッセージを受信する(1816)。クライアントデバイスは、UPの暗号化されたクライアントデバイスコンテキストを有する空のパケットをネットワークに送信する(1818)。
【０１６３】
図19は、本開示の様々な態様による、ネットワークと通信するための方法を示すフローチャート1900である。方法は、クライアントデバイス(たとえば、クライアントデバイス102、502、または装置1700)などの装置によって実行され得る。図19において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０１６４】
クライアントデバイスは、ネットワークと通信するための要求を送信する(1902)。一例では、要求は、図6に関して前に説明された要求612であり得る。ある態様では、要求は、クライアントデバイスが暗号化されたクライアントデバイスコンテキストを要求していることの指示、および/またはクライアントデバイスが要求しているサービスの指示を含み得る。クライアントデバイスは、ネットワークとの接続のためのセキュリティコンテキストを確立し、セキュリティコンテキストは少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、および/または完全性保護鍵を含む(1904)。ある態様では、暗号鍵はユーザプレーン暗号鍵であり、完全性保護鍵はユーザプレーン完全性保護鍵であり、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵はクライアントデバイスにおいて維持され、第1のデータパケットは少なくとも、ユーザプレーン完全性保護鍵を用いて完全性保護され、またはユーザプレーン暗号鍵を用いて暗号化される。
【０１６５】
クライアントデバイスは、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信する(1906)。一例では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、図6のクライアントデバイス602によって受信されるRRC接続再構成メッセージ626の中の暗号化されたクライアントデバイスコンテキストであり得る。一態様では、暗号化されたクライアントデバイスコンテキストは、ネットワークとの認証が成功した結果として、ネットワークから受信され得る。そのような態様では、ネットワークとの認証の成功は、アクセス層(AS)セキュリティコンテキストを確立しない。たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、セキュリティコンテキスト、ベアラのサービス品質(QoS)、および/またはトンネルエンドポイント識別子(TEID)のうちの少なくとも1つを含み得る。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとのデータ関連の通信のために使用されるべき第1のコンテキストと、クライアントデバイスとの制御関連の通信のために使用されるべき第2のコンテキストとを含み得る。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストはクライアントデバイスにおいて復号され得ない。そのような態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成したネットワークデバイスのみによって復号され得る。ある態様では、コンテキストは、クライアントデバイスがネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信した後にネットワークにおいて除去される。クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信する(1908)。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおけるコンテキストの再構築を可能にし、コンテキストはクライアントデバイスと関連付けられるネットワーク状態情報を含む。ある態様では、メッセージはさらに、リソース確立要求と、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含む。たとえば、メッセージはリソース確立要求メッセージ1016であり得る。クライアントデバイスは、メッセージに応答して、クライアントデバイスのネットワークアドレスを受信する(1910)。クライアントデバイスは、ネットワークアドレスを含む複数のデータパケットをネットワークに送信する(1912)。クライアントデバイスは、リソース解放要求メッセージをネットワークに送信し、リソース解放要求メッセージは、ネットワークがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする(1914)。
【０１６６】
図20は、本開示の様々な態様による、ネットワークと通信するための方法を示すフローチャート2000である。方法は、クライアントデバイス(たとえば、クライアントデバイス102、502、または装置1700)などの装置によって実行され得る。図20において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０１６７】
ある態様では、クライアントデバイスのための方法が提供される。クライアントデバイスは、ネットワークと通信するための要求を送信する(2002)。クライアントデバイスは、ネットワークとの接続のためのセキュリティコンテキストを確立し、セキュリティコンテキストは少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む(2004)。クライアントデバイスは、要求に応答してネットワークから1つまたは複数の暗号化されたクライアントデバイスコンテキストを受信する(2006)。
【０１６８】
クライアントデバイスはメッセージを取得し、メッセージはネットワークによって提供されるサービスと関連付けられる(2008)。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストの各々が、ネットワークによって提供される複数のサービスのうちの1つと関連付けられる。そのような態様では、クライアントデバイスは、サービスと関連付けられる1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを決定し、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちのその少なくとも1つは、サービスをサポートするクライアントデバイスコンテキストの部分の再構築を可能にする(2010)。たとえば、複数のサービスは、モバイルブロードバンドサービス、ultra-reliable low-latency communications(URLLC)サービス、高優先度のアクセスサービス、遅延に耐性のあるアクセスサービス、および/またはマシン型通信(MTC)サービスを含み得る。
【０１６９】
クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと関連付けられる使用情報を取得する(2012)。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと関連付けられる使用情報は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかを示す。ある態様では、使用情報は、ネットワークによって提供されるあるタイプのサービスのためにネットワークによって再構築されるべきコンテキスト(またはコンテキストの部分)と関連付けられる値(たとえば、インデックス数または他の値)を含み得る。
【０１７０】
クライアントデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つを含むメッセージをネットワークに送信する(2014)。ある態様では、メッセージは使用情報を含む。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおけるコンテキストの少なくとも一部分の再構築を可能にし、コンテキストはクライアントデバイスと関連付けられるネットワーク状態情報を含む。ある態様では、コンテキストのその部分は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかに基づいて決定される期間、ネットワークにおいて維持される。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、ネットワークの中の第1のエンティティにおけるクライアントデバイスの第1のコンテキストの再構築を可能にする第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストと、ネットワークの中の第2のエンティティにおけるクライアントデバイスの第2のコンテキストの再構築を可能にする第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストとを含む。そのような態様では、メッセージは少なくとも、第1のユーザプレーンの暗号化されたクライアントデバイスコンテキストと、第2のユーザプレーンの暗号化されたクライアントデバイスコンテキストとを含む。
【０１７１】
例示的な装置(たとえば、ネットワークデバイス)およびそこでの方法
図21は、本開示の1つまたは複数の態様(たとえば、以下で説明される、図22〜図26の方法に関する態様)による、装置2100の図である。装置2100は、ネットワーク通信インターフェース(たとえば、少なくとも1つのトランシーバ)2102と、記憶媒体2104と、ユーザインターフェース2106と、メモリデバイス2108と、処理回路2110とを含む。ある態様では、装置2100は、モノのインターネット(IoT)機能を実装するネットワークデバイス(たとえば、ネットワークデバイス105、505、705)であり得る。たとえば、装置2100は、制御プレーンIoT機能(たとえば、IoTF-C106、506、606、706、906、1406)、および/またはユーザプレーンIoT機能(たとえば、IoTF-U108、508、608、708、806、908)を実装し得る。そのようなネットワークデバイスは、単一のネットワークエンティティまたは複数のネットワークエンティティとして実装され得ることを理解されたい。
【０１７２】
これらの構成要素は、図21において接続線によって一般に表される、シグナリングバスまたは他の適切な構成要素を介して互いに結合され、かつ/または互いに電気通信するように配置され得る。シグナリングバスは、処理回路2110の特定の適用例および全体的な設計制約に応じて、任意の数の相互接続バスおよびブリッジを含み得る。シグナリングバスは、ネットワーク通信インターフェース2102、記憶媒体2104、ユーザインターフェース2106、およびメモリデバイス2108の各々が、処理回路2110に結合され、ならびに/または処理回路2110と電気通信するように、様々な回路を一緒につなぐ。シグナリングバスはまた、タイミングソース、周辺装置、電圧調整器、および電力管理回路などの様々な他の回路(図示せず)をつなぎ得るが、それらは当技術分野でよく知られており、したがって、これ以上説明されない。
【０１７３】
ネットワーク通信インターフェース2102は、装置2100の通信を容易にするように適合され得る。たとえば、ネットワーク通信インターフェース2102は、ネットワークの中の1つまたは複数のネットワークエンティティに関して双方向に情報の通信を容易にするように適合された回路および/またはコード(たとえば、命令)を含み得る。ネットワーク通信インターフェース2102は、1つまたは複数のスタンドアロン受信機および/または送信機、ならびに1つまたは複数のトランシーバを用いて構成され得る。
【０１７４】
メモリデバイス2108は、1つまたは複数のメモリデバイスを表し得る。示されるように、メモリデバイス2108は、ネットワーク関連情報を、装置2100によって使用される他の情報とともに維持し得る。いくつかの実装形態では、メモリデバイス2108および記憶媒体2104は、共通メモリ構成要素として実装される。メモリデバイス2108はまた、処理回路2110または装置2100の何らかの他の構成要素によって処理されるデータを記憶するために使用され得る。
【０１７５】
記憶媒体2104は、プロセッサ実行可能コードもしくは命令(たとえば、ソフトウェア、ファームウェア)などのコード、電子データ、データベース、または他のデジタル情報を記憶するための1つまたは複数のコンピュータ可読、機械可読、および/またはプロセッサ可読デバイスを表し得る。記憶媒体2104はまた、コードを実行するときに処理回路2110によって操作されるデータを記憶するために使用され得る。記憶媒体2104は、ポータブル記憶デバイスもしくは固定された記憶デバイスと、光記憶デバイスと、コードを記憶し、格納し、または搬送することが可能な様々な他の媒体とを含む、汎用または専用プロセッサによってアクセスされ得る任意の利用可能な媒体であり得る。
【０１７６】
限定ではなく例として、記憶媒体2104は、磁気記憶デバイス(たとえば、ハードディスク、フロッピーディスク、磁気ストリップ)、光ディスク(たとえば、コンパクトディスク(CD)またはデジタル多用途ディスク(DVD))、スマートカード、フラッシュメモリデバイス(たとえば、カード、スティック、またはキードライブ)、ランダムアクセスメモリ(RAM)、読取り専用メモリ(ROM)、プログラマブルROM(PROM)、消去可能PROM(EPROM)、電気的消去可能PROM(EEPROM)、レジスタ、リムーバブルディスク、および、コンピュータによってアクセスされ読み取られ得るコードを記憶するための任意の他の適切な媒体を含み得る。記憶媒体2104は、製造品(たとえば、コンピュータプログラム製品)において具現化され得る。例として、コンピュータプログラム製品は、パッケージング材料内のコンピュータ可読媒体を含み得る。上記に鑑みて、いくつかの実装形態では、記憶媒体2104は、非一時的な(たとえば、有形の)記憶媒体であり得る。
【０１７７】
記憶媒体2104は、処理回路2110が記憶媒体2104から情報を読み取り、記憶媒体2104に情報を書き込むことができるように、処理回路2110に結合され得る。すなわち、記憶媒体2104は、少なくとも1つの記憶媒体が処理回路2110と一体である例および/または少なくとも1つの記憶媒体が処理回路2110から分離されている(たとえば、装置2100内に存在している、装置2100の外部に存在している、複数のエンティティにわたって分散しているなど)例を含め、記憶媒体2104が少なくとも処理回路2110によってアクセス可能であるように、処理回路2110に結合され得る。
【０１７８】
記憶媒体2104によって記憶されているコードおよび/または命令は、処理回路2110によって実行されると、処理回路2110に、本明細書において説明される様々な機能および/またはプロセス動作のうちの1つまたは複数を実行させる。たとえば、記憶媒体2104は、処理回路2110の1つまたは複数のハードウェアブロックにおける動作を調整するように、ならびにそれらのそれぞれの通信プロトコルを利用するネットワーク通信のためのネットワーク通信インターフェース2102を利用するように構成される動作を含み得る。
【０１７９】
処理回路2110は、一般に、記憶媒体2104上に記憶されたそのようなコード/命令の実行を含む処理のために適合される。本明細書において使用される「コード」または「命令」という用語は、ソフトウェアと呼ばれるか、ファームウェアと呼ばれるか、ミドルウェアと呼ばれるか、マイクロコードと呼ばれるか、ハードウェア記述言語と呼ばれるか、またはそれ以外で呼ばれるかにかかわらず、限定はされないが、プログラミング、命令、命令セット、データ、コード、コードセグメント、プログラムコード、プログラム、サブプログラム、ソフトウェアモジュール、アプリケーション、ソフトウェアアプリケーション、ソフトウェアパッケージ、ルーチン、サブルーチン、オブジェクト、実行ファイル、実行スレッド、手順、関数などを含むように広く解釈されなければならない。
【０１８０】
処理回路2110は、データを取得し、処理し、および/または送信し、データのアクセスおよび記憶を制御し、命令を出し、所望の動作を制御するように構成される。処理回路2110は、少なくとも1つの例において、適切な媒体によって与えられる所望のコードを実装するように構成された回路を含み得る。たとえば、処理回路2110は、1つまたは複数のプロセッサ、1つまたは複数のコントローラ、および/または実行可能なコードを実行するように構成された他の構造として実装され得る。処理回路2110の例は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブル論理構成要素、個別ゲートもしくはトランジスタ論理、個別のハードウェア構成要素、または本明細書において説明される機能を実行するように設計されたそれらの任意の組合せを含み得る。汎用プロセッサは、マイクロプロセッサ、ならびに任意の従来のプロセッサ、コントローラ、マイクロコントローラ、またはステートマシンを含み得る。処理回路2110はまた、DSPとマイクロプロセッサの組合せ、いくつかのマイクロプロセッサ、DSPコアと連携する1つもしくは複数のマイクロプロセッサ、ASICおよびマイクロプロセッサ、または任意の他の数の様々な構成などの、コンピューティング構成要素の組合せとして実装され得る。処理回路2110のこれらの例は説明のためのものであり、本開示の範囲内の他の適切な構成も企図される。
【０１８１】
本開示の1つまたは複数の態様によれば、処理回路2110は、本明細書において説明される装置のいずれかもしくはすべてのための、特徴、プロセス、機能、動作、および/またはルーチンのいずれかもしくはすべてを実行するように適合され得る。処理回路2110に関して本明細書において使用される「適合される」という用語は、処理回路2110が、本明細書において説明される様々な特徴による特定のプロセス、機能、動作および/またはルーチンを実行するように構成されること、利用されること、実装されること、および/またはプログラムされることのうちの1つまたは複数を指し得る。
【０１８２】
装置2100の少なくとも1つの例によれば、処理回路2110は、本明細書において説明される特徴、プロセス、機能、動作、および/またはルーチン(たとえば、図22〜図26に関して説明された特徴、プロセス、機能、動作、および/またはルーチン)のいずれかまたはすべてを実行するように適合される、送信回路/モジュール2120、受信回路/モジュール2122、認証および検証回路/モジュール2124、暗号化されたクライアントデバイスコンテキスト生成回路/モジュール2126、コンテキスト再構築/除去回路/モジュール2128、パケット処理回路/モジュール2130、記憶回路/モジュール2132、ネットワークアクセスノード決定回路/モジュール2134、一時識別子追加回路/モジュール2136、ネットワークアドレス取得/解放回路/モジュール2137、パケット暗号化および保護回路/モジュール2138、およびセキュリティコンテキスト確立回路/モジュール2139のうちの1つまたは複数を含み得る。
【０１８３】
送信回路/モジュール2120は、たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信すること、新しい暗号化されたクライアントデバイスコンテキストを第2のクライアントデバイスに送信すること、制御パケットのペイロード部分をアプリケーションサーバまたはパケットデータネットワークゲートウェイ(P-GW)に転送すること、制御パケットをクライアントデバイスに転送すること、第1のデータパケットをサービスネットワークに転送すること、第2のデータパケットをクライアントデバイスに転送すること、および/またはネットワークアドレスをクライアントデバイスに送信することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶された送信命令2140)を含み得る。
【０１８４】
受信回路/モジュール2122は、たとえば、クライアントデバイスから、ネットワークと通信するための要求を受信すること、クライアントデバイスから制御パケットおよび暗号化されたクライアントデバイスコンテキストを受信すること、クライアントデバイスから第1のデータパケットおよび暗号化されたクライアントデバイスコンテキストを受信すること、サーバまたはパケットデータネットワークゲートウェイ(P-GW)から第2のデータパケットを受信すること、第2のクライアントデバイスから制御パケットを受信すること、第2のネットワークデバイスから第2のクライアントデバイスのコンテキストを受信すること、リソース確立要求と1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージをクライアントデバイスから受信すること、クライアントデバイスからメッセージを受信することであって、メッセージが1つまたは複数の暗号化されたクライアントデバイスコンテキストおよび1つまたは複数の暗号化されたクライアントデバイスコンテキストと関連付けられる使用情報のうちの少なくとも1つを含む、受信すること、および/または、クライアントデバイスからリソース解放要求メッセージを受信することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶された受信命令2142)を含み得る。
【０１８５】
認証および検証回路/モジュール2124は、たとえば、ホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバから認証情報を要求すること、クライアントデバイスとの相互認証を実行すること、およびクライアントデバイスから受信された暗号化されたクライアントデバイスコンテキストを検証することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶された認証および検証命令2144)を含み得る。
【０１８６】
暗号化されたクライアントデバイスコンテキスト生成回路/モジュール2126は、たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成することであって、1つまたは複数の暗号化されたクライアントデバイスコンテキストがクライアントデバイスとの通信のためのネットワークにおける少なくとも1つのコンテキストの再構築を可能にする、生成すること、暗号化されたクライアントデバイスコンテキストが期限切れになったと決定すること、新しい暗号化されたクライアントデバイスコンテキストを生成すること、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成すると決定することであって、この決定が、要求において示される暗号化されたクライアントデバイスコンテキスト使用情報、デバイスのサブスクリプション、またはポリシーのうちの少なくとも1つに基づく、決定すること、および、第2のネットワークデバイスから第2のクライアントデバイスのクライアントデバイスコンテキストを要求することであって、要求が制御プレーン(CP)の暗号化されたクライアントデバイスコンテキストを含む、要求することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶された暗号化されたクライアントデバイスコンテキスト生成命令2146)を含み得る。たとえば、1つまたは複数の暗号化されたクライアントデバイスコンテキストはデータ関連の通信のために使用されるべき第1のコンテキストと、制御関連の通信のために使用されるべき第2のコンテキストとを含み得る。
【０１８７】
コンテキスト再構築/除去回路/モジュール2128は、たとえば、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストの鍵(たとえば、鍵KCDC-IoTF-U)を取得すること、その鍵に基づいて暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得すること、暗号化されたクライアントデバイスコンテキストから少なくとも1つのコンテキストを再構築すること、1つまたは複数の暗号化されたクライアントデバイスコンテキストおよび使用情報のうちの少なくとも1つに基づいてコンテキストの少なくとも一部分を再構築すること、少なくとも1つのコンテキストを除去すること、および/または、使用情報が減らされたデータ送信であることを示すときは第1の閾値の期間、もしくは使用情報がバーストデータ送信であることを示すときは第2の閾値の期間、コンテキストの少なくとも一部分を維持することであって、第2の閾値の期間が第1の閾値の期間より長い、維持することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶されたコンテキスト再構築/除去命令2148)を含み得る。
【０１８８】
パケット処理回路/モジュール2130は、たとえば、少なくとも1つのコンテキストを使用して制御パケットを処理することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶されたパケット処理令2150)を含むことがあり、この処理することは、コンテキストを使用して制御パケットを検証することまたは復号することのうちの少なくとも1つを含む。
【０１８９】
記憶回路/モジュール2132は、たとえば、クライアントデバイスのためのダウンリンクパケットの一時識別子(ID)を記憶することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶された記憶命令2152)を含み得る。
【０１９０】
ネットワークアクセスノード決定回路/モジュール2134は、たとえば、第2のデータパケットが転送されるネットワークアクセスノードを決定することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶されたネットワークアクセスノード決定命令2154)を含み得る。
【０１９１】
一時識別子追加回路/モジュール2136は、たとえば、ネットワークアクセスノードがクライアントデバイスを決定することを可能にする一時識別子を第2のデータパケットに追加することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶された一時識別子追加命令2156)を含み得る。
【０１９２】
ネットワークアドレス取得/解放回路/モジュール2137は、たとえば、メッセージに応答してクライアントデバイスのネットワークアドレスを取得すること、クライアントデバイスからゲートウェイにリソース解放要求メッセージを送信することであって、リソース解放要求メッセージがゲートウェイにクライアントデバイスのネットワークアドレスを解放させる、送信すること、および/または、クライアントデバイスからネットワークへの送信の前、もしくはネットワークからクライアントデバイスへの送信の前にタイマーが満了したときにリソース解放要求メッセージをゲートウェイへ送信することであって、リソース解放要求メッセージが、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする、送信することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶されたネットワークアドレス取得/解放命令2157)を含み得る。
【０１９３】
パケット暗号化および保護回路/モジュール2138は、たとえば、ユーザプレーン(UP)クライアントデバイス鍵を使用してパケットを暗号化もしくは完全性保護すること、セキュリティコンテキストに基づいて第1のデータパケットを復号および検証すること、ならびに/または、ユーザプレーン暗号鍵もしくはユーザプレーン完全性保護鍵を使用して第2のデータパケットを暗号化もしくは完全性保護することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶されたパケット暗号化および保護命令2158)を含み得る。
【０１９４】
セキュリティコンテキスト確立回路/モジュール2139は、たとえば、クライアントデバイスとの少なくとも1つのコンテキストを確立することであって、少なくとも1つのコンテキストがクライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含む、確立することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2104に記憶されたセキュリティコンテキスト確立命令2159)を含むことがあり、ネットワーク状態情報は少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む。
【０１９５】
上述のように、記憶媒体2104によって記憶されている命令は、処理回路2110によって実行されると、処理回路2110に、本明細書において説明される様々な機能および/またはプロセス動作のうちの1つまたは複数を実行させる。たとえば、記憶媒体2104は、送信命令2140、受信命令2142、認証および検証命令2144、暗号化されたクライアントデバイスコンテキスト生成命令2146、コンテキスト再構築/除去命令2148、パケット処理命令2150、記憶命令2152、ネットワークアクセスノード決定命令2154、一時識別子追加命令2156、ネットワークアドレス取得/解放命令2157、パケット暗号化および保護命令2158、ならびにセキュリティコンテキスト確立命令2159のうちの1つまたは複数を含み得る。
【０１９６】
図22(図22Aおよび図22Bを含む)は、本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示すフローチャート2200である。方法は、IoT機能(たとえば、図1の制御プレーンIoTF106などの制御プレーンIoTF)を実装するネットワークデバイス(たとえば、図1のネットワークデバイス105または図21の装置2100)などの装置によって実行され得る。図22において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０１９７】
装置は、クライアントデバイスから、ネットワークと通信するための要求を受信する(2202)。装置は、ホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバからの認証情報を要求する(2204)。装置は、クライアントデバイスとの相互認証を実行する(2206)。
【０１９８】
装置は、クライアントデバイスとの少なくとも1つのコンテキストを確立し、少なくとも1つのコンテキストは、クライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含む(2207)。ある態様では、ネットワーク状態情報は少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、および/または完全性保護鍵を含む。装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成することを決定し、この決定は、要求において示される暗号化されたクライアントデバイスコンテキストの使用情報、クライアントデバイスのサブスクリプション、および/またはポリシーのうちの少なくとも1つに基づく(2208)。
【０１９９】
装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成する(2210)。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおけるコンテキストの再構築を可能にする。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストはデータ関連の通信のために使用されるべき第1のコンテキストと、制御関連の通信のために使用されるべき第2のコンテキストとを含む。装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信する(2212)。
【０２００】
装置は、制御パケットおよび暗号化されたクライアントデバイスコンテキストをクライアントデバイスから受信する(2214)。装置は、クライアントデバイスから受信された暗号化されたクライアントデバイスコンテキストを検証する(2216)。ある態様では、装置は、暗号化されたクライアントデバイスコンテキストが期限切れになっているかどうかを決定することによってクライアントデバイスから受信された暗号化されたクライアントデバイスコンテキストを検証し、以前に暗号化されたクライアントデバイスコンテキストが期限切れになっているときに1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストを生成し、以前に暗号化されたクライアントデバイスコンテキストが期限切れになっているときに1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信する。ある態様では、暗号化されたクライアントデバイスコンテキストを検証するステップは、暗号化されたクライアントデバイスコンテキストを検証するための鍵を決定するステップを含む。
【０２０１】
装置は、暗号化されたクライアントデバイスコンテキストから少なくとも1つのコンテキストを再構築する(2218)。装置は、少なくとも1つのコンテキストを使用して制御パケットを処理し、この処理は、少なくとも1つのコンテキストを使用して制御パケットを検証することまたは復号することのうちの少なくとも1つを含む(2220)。装置は、クライアントデバイスのためのダウンリンクパケットの一時識別子(ID)を記憶する(2222)。装置は、制御パケットのペイロード部分をアプリケーションサーバまたはパケットデータネットワークゲートウェイ(P-GW)に転送する(2224)。
【０２０２】
図23(図23Aおよび図23Bを含む)は、本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示すフローチャート2300である。方法は、IoT機能(たとえば、図1の制御プレーンIoTF106などの制御プレーンIoTF)を実装するネットワークデバイス(たとえば、図1のネットワークデバイス105または図21の装置2100)などの装置によって実行され得る。図23において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０２０３】
装置は、クライアントデバイスから、ネットワークと通信するための要求を受信する(2302)。装置は、クライアントデバイスとの少なくとも1つのコンテキストを確立し、少なくとも1つのコンテキストは、クライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、ネットワーク状態情報は少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、および/または完全性保護鍵を含む(2304)。装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成する(2306)。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおける少なくとも1つのコンテキストの再構築を可能にする。装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信する(2308)。装置は少なくとも1つのコンテキストを除去する(2310)。装置はクライアントデバイスからメッセージを受信し、メッセージは、1つまたは複数の暗号化されたクライアントデバイスコンテキストと、1つまたは複数の暗号化されたクライアントデバイスコンテキストと関連付けられる使用情報とのうちの少なくとも1つを含む(2312)。ある態様では、使用情報は、メッセージの送信が減らされたデータ送信であるかバーストデータ送信であるかを示す。ある態様では、ネットワークデバイスは、1つまたは複数の暗号化されたクライアントデバイスコンテキストおよび使用情報のうちの少なくとも1つに基づいて、コンテキストの少なくとも一部分を再構築し得る。ある態様では、クライアントデバイスからのメッセージは、リソース確立要求と、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含む。たとえば、メッセージは図10のリソース確立要求メッセージ1016であり得る。装置は、メッセージに応答して、クライアントデバイスのネットワークアドレスを取得する(2314)。装置は、ネットワークアドレスをクライアントデバイスに送信する(2316)。ある態様では、装置は、使用情報が減らされたデータ送信を示すときには第1の閾値の期間、または使用情報がバーストデータ送信を示すときには第2の閾値の期間、コンテキストの少なくとも一部分を維持し、第2の閾値の期間は第1の閾値の期間より長い。一態様では、装置は、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信する(2318)。ある態様では、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。別の態様では、装置は、クライアントデバイスからリソース解放要求メッセージを受信する(2320)。そのような態様では、装置は、クライアントデバイスからゲートウェイにリソース解放要求メッセージを送信する(2322)。ある態様では、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。いくつかの態様では、動作2318ならびに動作2320および2322は、二者択一で実行され得る。たとえば、動作2318が実行される場合、動作2320および2322は実行されないことがある。別の例として、動作2320および2322が実行される場合、動作2318は実行されないことがある。
【０２０４】
図24は、本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示すフローチャート2400である。方法は、IoT機能(たとえば、図1の制御プレーンIoTF106などの制御プレーンIoTF)を実装するネットワークデバイス(たとえば、図1のネットワークデバイス105または図21の装置2100)などの装置によって実行され得る。
【０２０５】
装置は、第2のクライアントデバイスから制御プレーンパケットを受信する(2402)。ある態様では、第2のクライアントデバイスは、ネットワークと通信するための要求が最初にそこから受信されるクライアントデバイスとは異なる。装置は、第2のネットワークデバイスからの第2のクライアントデバイスのコンテキストを要求し、この要求は制御プレーン(CP)の暗号化されたクライアントデバイスコンテキストを含む(2404)。装置は、第2のネットワークデバイスから第2のクライアントデバイスのコンテキストを受信する(2406)。装置は、新しい暗号化されたクライアントデバイスコンテキストを生成する(2408)。装置は、新しい暗号化されたクライアントデバイスコンテキストを第2のクライアントデバイスに送信する(2410)。
【０２０６】
図25(図25Aおよび図25Bを含む)は、本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示すフローチャート2500である。方法は、IoT機能(たとえば、図1のユーザプレーンIoTF108などのユーザプレーンIoTF)を実装するネットワークデバイス(たとえば、図1のネットワークデバイス105または図21の装置2100)などの装置によって実行され得る。図25において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０２０７】
装置は、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストの鍵(たとえば、鍵KCDC-IoTF-U)を取得する(2502)。装置は、第1のデータパケット(たとえば、ULデータパケット)および暗号化されたクライアントデバイスコンテキストをクライアントデバイスから受信する(2504)。装置は、鍵を使用して、暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得する(2506)。装置は、セキュリティコンテキストに基づいて、第1のデータパケットを復号し検証する(2508)。装置は、復号および検証が成功したとき、第1のデータパケットをサービスネットワークに転送する(2510)。
【０２０８】
ある態様では、装置は、サーバまたはパケットデータネットワークゲートウェイから第2のデータパケット(たとえば、図9のメッセージ914の中のDLデータパケット)を受信する(2512)。装置は、第2のデータパケットが転送されるネットワークアクセスノードを決定する(2514)。装置は、ネットワークアクセスノードがクライアントデバイスを決定することを可能にする一時識別子を第2のデータパケットに追加する(2516)。装置は、ユーザプレーン暗号鍵またはユーザプレーン完全性保護鍵を使用して、第2のデータパケットを暗号化または完全性保護する(2518)。装置は、(たとえば、図9のメッセージ934を介して)第2のデータパケットをクライアントデバイス2520に転送する。
【０２０９】
図26(図26Aおよび図26Bを含む)は、本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示すフローチャート2600である。方法は、IoT機能(たとえば、図1の制御プレーンIoTF106などの制御プレーンIoTF)を実装するネットワークデバイス(たとえば、図1のネットワークデバイス105または図21の装置2100)などの装置によって実行され得る。図26において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０２１０】
装置は、クライアントデバイスから、ネットワークと通信するための要求を受信する(2602)。装置は、ホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバからの認証情報を要求する(2604)。装置は、クライアントデバイスとの相互認証を実行する(2606)。
【０２１１】
装置は、クライアントデバイスとの少なくとも1つのコンテキストを確立し、少なくとも1つのコンテキストは、クライアントデバイスとネットワークとの間の接続と関連付けられるネットワーク状態情報を含む(2608)。ある態様では、ネットワーク状態情報は少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、および/または完全性保護鍵を含む。装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成することを決定し、この決定は、要求において示される暗号化されたクライアントデバイスコンテキストの使用情報、クライアントデバイスのサブスクリプション、および/またはポリシーのうちの少なくとも1つに基づく(2610)。
【０２１２】
装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成する(2612)。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストは、クライアントデバイスとの通信のための、ネットワークにおけるコンテキストの再構築を可能にする。ある態様では、1つまたは複数の暗号化されたクライアントデバイスコンテキストはデータ関連の通信のために使用されるべき第1のコンテキストと、制御関連の通信のために使用されるべき第2のコンテキストとを含む。装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストをクライアントデバイスに送信する(2614)。装置は少なくとも1つのコンテキストを除去する(2616)。装置はクライアントデバイスからメッセージを受信し、メッセージは、1つまたは複数の暗号化されたクライアントデバイスコンテキストと、1つまたは複数の暗号化されたクライアントデバイスコンテキストと関連付けられる使用情報とのうちの少なくとも1つを含む(2618)。装置は、1つまたは複数の暗号化されたクライアントデバイスコンテキストおよび使用情報のうちの少なくとも1つに基づいて、コンテキストの少なくとも一部分を再構築する(2620)。装置は、使用情報が減らされたデータ送信を示すときには第1の閾値の期間、または使用情報がバーストデータ送信を示すときには第2の閾値の期間、コンテキストの少なくとも一部分を維持し、第2の閾値の期間は第1の閾値の期間より長い(2622)。
【０２１３】
例示的な装置(たとえば、ネットワークアクセスノード)およびそこでの方法
図27は、本開示の1つまたは複数の態様(たとえば、以下で説明される、図28および図29の方法に関する態様)による、装置2700の図である。装置2700は、通信インターフェース(たとえば、少なくとも1つのトランシーバ)2702と、ネットワーク通信インターフェース2703と、記憶媒体2704と、ユーザインターフェース2706と、メモリデバイス2708と、処理回路2710とを含む。
【０２１４】
これらの構成要素は、図27において接続線によって一般に表される、シグナリングバスまたは他の適切な構成要素を介して互いに結合され、かつ/または互いに電気通信するように配置され得る。シグナリングバスは、処理回路2710の具体的な適用例および全体的な設計制約に応じて、任意の数の相互接続バスおよびブリッジを含み得る。シグナリングバスは、通信インターフェース2702、ネットワーク通信インターフェース2703、記憶媒体2704、ユーザインターフェース2706、およびメモリデバイス2708の各々が、処理回路2710に結合され、ならびに/または処理回路2710と電気通信するように、様々な回路を一緒につなぐ。シグナリングバスはまた、タイミングソース、周辺装置、電圧調整器、および電力管理回路などの様々な他の回路(図示せず)をつなぎ得るが、それらは当技術分野でよく知られており、したがって、これ以上説明されない。
【０２１５】
通信インターフェース2702は、装置2700のワイヤレス通信を容易にするように適合され得る。たとえば、通信インターフェース2702は、ネットワーク内の1つまたは複数の通信デバイスに関して双方向に情報の通信を容易にするように適合された回路および/またはコード(たとえば、命令)を含み得る。通信インターフェース2702は、ワイヤレス通信システム内のワイヤレス通信のための1つまたは複数のアンテナ2712に結合され得る。通信インターフェース2702は、1つまたは複数のスタンドアロン受信機および/または送信機、ならびに1つまたは複数のトランシーバを用いて構成され得る。図示される例では、通信インターフェース2702は、送信機2714および受信機2716を含む。
【０２１６】
ネットワーク通信インターフェース2703は、装置2700の通信を容易にするように適合され得る。たとえば、ネットワーク通信インターフェース2703は、ネットワークの中の1つまたは複数のネットワークエンティティに関して双方向に情報の通信を容易にするように適合された回路および/またはコード(たとえば、命令)を含み得る。ネットワーク通信インターフェース2703は、1つまたは複数のスタンドアロン受信機および/または送信機、ならびに1つまたは複数のトランシーバを用いて構成され得る。
【０２１７】
メモリデバイス2708は、1つまたは複数のメモリデバイスを表し得る。示されるように、メモリデバイス2708は、ネットワーク関連情報を、装置2700によって使用される他の情報とともに維持し得る。いくつかの実装形態では、メモリデバイス2708および記憶媒体2704は、共通メモリ構成要素として実装される。メモリデバイス2708はまた、処理回路2710、または装置2700のいくつかの他の構成要素によって操作されるデータを記憶するために使用され得る。
【０２１８】
記憶媒体2704は、プロセッサ実行可能コードもしくは命令(たとえば、ソフトウェア、ファームウェア)などのコード、電子データ、データベース、または他のデジタル情報を記憶するための1つまたは複数のコンピュータ可読、機械可読、および/またはプロセッサ可読デバイスを表し得る。記憶媒体2704はまた、コードを実行するときに処理回路2710によって操作されるデータを記憶するために使用され得る。記憶媒体2704は、ポータブル記憶デバイスもしくは固定された記憶デバイスと、光記憶デバイスと、コードを記憶し、格納し、または搬送することが可能な様々な他の媒体とを含む、汎用または専用プロセッサによってアクセスされ得る任意の利用可能な媒体であり得る。
【０２１９】
限定ではなく例として、記憶媒体2704は、磁気記憶デバイス(たとえば、ハードディスク、フロッピーディスク、磁気ストリップ)、光ディスク(たとえば、コンパクトディスク(CD)またはデジタル多用途ディスク(DVD))、スマートカード、フラッシュメモリデバイス(たとえば、カード、スティック、またはキードライブ)、ランダムアクセスメモリ(RAM)、読取り専用メモリ(ROM)、プログラマブルROM(PROM)、消去可能PROM(EPROM)、電気的消去可能PROM(EEPROM)、レジスタ、リムーバブルディスク、および、コンピュータによってアクセスされ読み取られ得るコードを記憶するための任意の他の適切な媒体を含み得る。記憶媒体2704は、製造品(たとえば、コンピュータプログラム製品)において具現化され得る。例として、コンピュータプログラム製品は、パッケージング材料内のコンピュータ可読媒体を含み得る。上記に鑑みて、いくつかの実装形態では、記憶媒体2704は、非一時的な(たとえば、有形の)記憶媒体であり得る。
【０２２０】
記憶媒体2704は、処理回路2710が記憶媒体2704から情報を読み取り、記憶媒体2704に情報を書き込むことができるように、処理回路2710に結合され得る。すなわち、記憶媒体2704は、少なくとも1つの記憶媒体が処理回路2710と一体である例および/または少なくとも1つの記憶媒体が処理回路2710から分離されている(たとえば、装置2700内に存在している、装置2700の外部に存在している、複数のエンティティにわたって分散しているなど)例を含め、記憶媒体2704が少なくとも処理回路2710によってアクセス可能であるように、処理回路2710に結合され得る。
【０２２１】
記憶媒体2704によって記憶されているコードおよび/または命令は、処理回路2710によって実行されると、処理回路2710に、本明細書において説明される様々な機能および/またはプロセス動作のうちの1つまたは複数を実行させる。たとえば、記憶媒体2704は、処理回路2710の1つまたは複数のハードウェアブロックにおける動作を調整するように、ならびにそれらのそれぞれの通信プロトコルを利用するワイヤレス通信に通信インターフェース2702を利用するように構成された動作を含み得る。
【０２２２】
処理回路2710は、一般に、記憶媒体2704上に記憶されたそのようなコード/命令の実行を含む処理のために適合される。本明細書において使用される「コード」または「命令」という用語は、ソフトウェアと呼ばれるか、ファームウェアと呼ばれるか、ミドルウェアと呼ばれるか、マイクロコードと呼ばれるか、ハードウェア記述言語と呼ばれるか、またはそれ以外で呼ばれるかにかかわらず、限定はされないが、プログラミング、命令、命令セット、データ、コード、コードセグメント、プログラムコード、プログラム、サブプログラム、ソフトウェアモジュール、アプリケーション、ソフトウェアアプリケーション、ソフトウェアパッケージ、ルーチン、サブルーチン、オブジェクト、実行ファイル、実行スレッド、手順、関数などを含むように広く解釈されなければならない。
【０２２３】
処理回路2710は、データを取得し、処理し、および/または送信し、データのアクセスおよび記憶を制御し、命令を出し、所望の動作を制御するように構成される。処理回路2710は、少なくとも1つの例において、適切な媒体によって与えられる所望のコードを実装するように構成された回路を含み得る。たとえば、処理回路2710は、1つまたは複数のプロセッサ、1つまたは複数のコントローラ、および/または実行可能なコードを実行するように構成された他の構造として実装され得る。処理回路2710の例は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブル論理構成要素、個別ゲートもしくはトランジスタ論理、個別のハードウェア構成要素、または本明細書において説明される機能を実行するように設計されたそれらの任意の組合せを含み得る。汎用プロセッサは、マイクロプロセッサ、ならびに任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械を含み得る。処理回路2710はまた、DSPとマイクロプロセッサの組合せ、いくつかのマイクロプロセッサ、DSPコアと連携する1つもしくは複数のマイクロプロセッサ、ASICおよびマイクロプロセッサ、または任意の他の数の様々な構成などの、コンピューティング構成要素の組合せとして実装され得る。処理回路2710のこれらの例は例示のためのものであり、本開示の範囲内の他の適切な構成も企図される。
【０２２４】
本開示の1つまたは複数の態様によれば、処理回路2710は、本明細書において説明される装置のいずれかもしくはすべてのための、特徴、プロセス、機能、動作、および/またはルーチンのいずれかもしくはすべてを実行するように適合され得る。処理回路2710に関して本明細書において使用される「適合される」という用語は、処理回路2710が、本明細書において説明される様々な特徴による特定のプロセス、機能、動作および/またはルーチンを実行するように構成されること、利用されること、実装されること、および/またはプログラムされることのうちの1つまたは複数を指し得る。
【０２２５】
装置2700の少なくとも1つの例によれば、処理回路2710は、本明細書において説明される特徴、プロセス、機能、動作、および/またはルーチン(たとえば、図28および図29に関して説明された特徴、プロセス、機能、動作、および/またはルーチン)のいずれかまたはすべてを実行するように適合される、受信回路/モジュール2722、一時識別子追加回路/モジュール2724、記憶回路/モジュール2726、一時識別子除去回路/モジュール2728、データパケット転送回路/モジュール2730、パケット処理回路/モジュール2732、パケット暗号化および保護回路/モジュール2734、コンテキスト再構築/除去回路/モジュール2738、ネットワークアドレス取得/解放回路/モジュール2740のうちの1つまたは複数を含み得る。
【０２２６】
受信回路/モジュール2722は、たとえば、クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信すること、第1のデータパケットおよび暗号化されたクライアントデバイスコンテキストをクライアントデバイスから受信すること、ネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信すること、および、リソース確立要求と1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージをクライアントデバイスから受信することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶された受信命令2742)を含み得る。
【０２２７】
一時識別子追加回路/モジュール2724は、たとえば、一時識別子を第1のデータパケットに追加することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶された一時識別子追加命令2744)を含み得る。
【０２２８】
記憶回路/モジュール2726は、たとえば、クライアントデバイスの一時識別子を記憶することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶された記憶命令2746)を含み得る。たとえば、一時識別子は、セル無線ネットワーク一時識別子(C-RNTI)であり得る。ある態様では、一時識別子は所定の期間記憶される。
【０２２９】
一時識別子除去回路/モジュール2728は、たとえば、第2のデータパケットの中の一時識別子を除去することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶された一時識別子除去命令2748)を含み得る。
【０２３０】
データパケット転送回路/モジュール2730は、たとえば、第1のデータパケットが宛てられる第1のネットワークノードを決定すること、復号および検証が成功したときに第1のデータパケットをサービスネットワークに転送すること、要求が転送されるべきネットワーク機能を決定することであって、決定がネットワークアクセスノードにおいて事前に構成される、決定すること、第2のデータパケットが転送されるべきクライアントデバイスを決定すること、および第2のデータパケットをクライアントデバイスに転送することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶されたデータパケット転送命令2750)を含み得る。
【０２３１】
パケット処理回路/モジュール2732は、たとえば、セキュリティコンテキストに基づいて第1のデータパケットを復号および検証することに関するいくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶されたパケット処理命令2752)を含み得る。
【０２３２】
パケット暗号化および保護回路/モジュール2734は、たとえば、ユーザプレーン(UP)クライアントデバイス鍵を使用してパケットを暗号かもしくは完全性保護すること、セキュリティコンテキストに基づいて第1のデータパケットを復号および検証すること、ならびに/または、ユーザプレーン暗号鍵もしくはユーザプレーン完全性保護鍵を使用して第2のデータパケットを暗号化もしくは完全性保護することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶されたパケット暗号化および保護命令2754)を含み得る。
【０２３３】
コンテキスト再構築/除去回路/モジュール2738は、たとえば、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストの鍵(たとえば、鍵KCDC-IoTF-U)を取得すること、その鍵を使用して暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得すること、暗号化されたクライアントデバイスコンテキストから少なくとも1つのコンテキストを再構築すること、1つまたは複数の暗号化されたクライアントデバイスコンテキストおよび使用情報のうちの少なくとも1つに基づいてコンテキストの少なくとも一部分を再構築すること、少なくとも1つのコンテキストを除去すること、および/または、使用情報が減らされたデータ送信であることを示す第1の閾値の期間、もしくは使用情報がバーストデータ送信であることを示す第2の閾値の期間、コンテキストの少なくとも一部分を維持することであって、第2の閾値の期間が第1の閾値の期間より長い、維持することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶されたコンテキスト再構築/除去命令2758)を含み得る。
【０２３４】
ネットワークアドレス取得/解放回路/モジュール2740は、たとえば、メッセージに応答してクライアントデバイスのネットワークアドレスを取得すること、ネットワークアドレスをクライアントデバイスに送信すること、クライアントデバイスからゲートウェイにリソース解放要求メッセージを送信することであって、リソース解放要求メッセージが、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする、送信すること、および/または、クライアントデバイスからネットワークへの送信の前、もしくはネットワークからクライアントデバイスへの送信の前にタイマーが満了したときにリソース解放要求メッセージをゲートウェイへ送信することであって、リソース解放要求メッセージが、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする、送信することに関する、いくつかの機能を実行するように適合される回路および/または命令(たとえば、記憶媒体2704に記憶されたネットワークアドレス取得/解放命令2760)を含み得る。
【０２３５】
上述のように、記憶媒体2704によって記憶されている命令は、処理回路2710によって実行されると、処理回路2710に、本明細書において説明される様々な機能および/またはプロセス動作のうちの1つまたは複数を実行させる。たとえば、記憶媒体2704は、受信命令2742、一時識別子追加命令2744、記憶命令2746、一時識別子除去命令2748、データパケット転送命令2750、パケット処理命令2752、パケット暗号化および保護命令2754、コンテキスト再構築/除去命令2758、およびネットワークアドレス取得/解放命令2760のうちの1つまたは複数を含み得る。
【０２３６】
図28は、本開示の様々な態様による、IoTネットワークアーキテクチャにおいて通信するための方法を示すフローチャート2800である。方法は、ネットワークアクセスノード(たとえば、図1のネットワークアクセスノード104または図27の装置2700)などの装置によって実行され得る。
【０２３７】
装置は、クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信する(2802)。装置は、クライアントデバイスの一時識別子を記憶する(2804)。たとえば、一時識別子はセル無線ネットワーク一次識別子(C-RNTI)であることがあり、一次識別子は所定の期間記憶されることがある。装置は、一時識別子を第1のデータパケットに追加する(2806)。
【０２３８】
装置は、第1のデータパケットが宛てられる第1のネットワークノードを決定する(2808)。装置は、要求が転送されるべきネットワーク機能を決定し、この決定はネットワークアクセスノードにおいて事前に構成される(2810)。装置は、第1のデータパケットをネットワーク機能に転送する(2812)。
【０２３９】
装置は、ネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信する(2814)。装置は、第2のデータパケットが転送されるべきクライアントデバイスを決定する(2816)。ある態様では、装置は、第2のデータパケットの中の一時識別子からクライアントデバイスを特定することによって、第2のデータパケットが転送されるべきクライアントデバイスを決定する。装置は、第2のデータパケットの中の一時識別子を除去する(2818)。装置は、第2のデータパケットをクライアントデバイスに転送する(2820)。
【０２４０】
図29(図29Aおよび図29Bを含む)は、本開示の様々な態様による、ネットワークにおいて通信するための方法を示すフローチャート2900である。方法は、ネットワークアクセスノード(たとえば、図12のネットワークアクセスノード1204または図27の装置2700)などの装置によって実行され得る。図27において点線により示される動作は任意選択の動作を表すことを理解されたい。
【０２４１】
装置は、クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストの鍵(たとえば、鍵KCDC-IoTF-U)を取得する(2902)。装置は、第1のデータパケット(たとえば、ULデータパケット)および暗号化されたクライアントデバイスコンテキストをクライアントデバイスから受信する(2904)。装置は、鍵を使用して、暗号化されたクライアントデバイスコンテキストからクライアントデバイスのセキュリティコンテキストを取得する(2906)。装置は、セキュリティコンテキストに基づいて、第1のデータパケットを復号および/または検証する(2908)。装置は、復号および検証が成功したとき、第1のデータパケットをサービスネットワークに転送する(2910)。装置は、サーバまたはパケットデータネットワークゲートウェイから第2のデータパケット(たとえば、DLデータパケット)を受信する(2912)。装置は、ユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を使用して、第2のデータパケットを暗号化または完全性保護する(2914)。装置は、第2のデータパケットをクライアントデバイスに転送する(2916)。装置は少なくとも1つのコンテキストを除去する(2918)。装置は、リソース確立要求と、1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つとを含むメッセージを、クライアントデバイスから受信する(2920)。装置は、メッセージに応答して、クライアントデバイスのネットワークアドレスを取得する(2922)。装置は、ネットワークアドレスをクライアントデバイスに送信する(2924)。一態様では、装置は、クライアントデバイスからネットワークへの送信の前、またはネットワークからクライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信する(2926)。ある態様では、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。別の態様では、装置は、クライアントデバイスからリソース解放要求メッセージを受信する(2928)。そのような態様では、装置は、クライアントデバイスからゲートウェイにリソース解放要求メッセージを送信する(2930)。ある態様では、リソース解放要求メッセージは、ゲートウェイがクライアントデバイスのための1つまたは複数のリソースを解放することを可能にする。いくつかの態様では、動作2926ならびに動作2928および2930は、二者択一で実行され得る。たとえば、動作2926が実行される場合、動作2928および2930は実行されないことがある。別の例として、動作2928および2930が実行される場合、動作2926は実行されないことがある。
【０２４２】
図に示される構成要素、ステップ、特徴および/または機能のうちの1つまたは複数は、単一の構成要素、ステップ、特徴または機能として再構成されてもよく、かつ/または結合されてもよく、あるいはいくつかの構成要素、ステップ、または機能として具現化されてもよい。追加の要素、構成要素、ステップ、および/または機能もまた、本明細書において開示される新規の特徴から逸脱することなく追加され得る。図に示される装置、デバイス、および/または構成要素は、本明細書において説明された方法、特徴、またはステップの1つまたは複数を実行するように構成され得る。本明細書において説明された新規のアルゴリズムはまた、効率的にソフトウェアで実装されることがあり、かつ/またはハードウェアに埋め込まれることがある。
【０２４３】
開示された方法におけるステップの特定の順序または階層は、例示的なプロセスを示すものと理解されたい。設計上の選好に基づき、方法におけるステップの特定の順序または階層は、再配置され得ることを理解されたい。添付の方法クレームは、例示的な順序で様々なステップの要素を提示するものであり、特に記載されない限り、提示された特定の順序または階層に限定されることを意味するものではない。また、本開示から逸脱することなく、追加の要素、構成要素、ステップ、および/または機能が追加されることがあり、または利用されないことがある。
【０２４４】
本開示の特徴がいくつかの実装形態および図に対して論じられたが、本開示のすべての実装形態は、本明細書において説明された有利な特徴のうちの1つまたは複数を含み得る。言い換えれば、1つまたは複数の実装形態が、いくつかの有利な特徴を有するものとして論じられることがあったが、そのような特徴のうちの1つまたは複数はまた、本明細書において説明された様々な実装形態のいずれかに従って使用され得る。同様に、例示的な実装形態がデバイス、システム、または方法の実装形態として本明細書において論じられたことがあったが、そのような例示的な実装形態が様々なデバイス、システム、および方法において実装されてもよいことを理解されたい。
【０２４５】
また、少なくともいくつかの実装形態がフローチャート、フロー図、構造図、またはブロック図として示されるプロセスとして説明されたことに留意されたい。フローチャートは動作を逐次プロセスとして説明し得るが、動作の多くは並行してまたは同時に実行され得る。加えて、動作の順序は並べ替えられ得る。プロセスは、その動作が完了したときに終了する。いくつかの態様では、プロセスは、方法、関数、プロシージャ、サブルーチン、サブプログラムなどに相当し得る。プロセスが関数に相当するとき、その終了は、関数が呼び出し関数またはメイン関数に戻ることに相当する。本明細書において説明された様々な方法のうちの1つまたは複数は、機械可読記憶媒体、コンピュータ可読記憶媒体、および/またはプロセッサ可読記憶媒体に記憶され得るプログラミング(たとえば、命令および/またはデータ)によって部分的にまたは完全に実装されることがあり、1つまたは複数のプロセッサ、機械、および/またはデバイスによって実行されることがある。
【０２４６】
本明細書において開示された実装形態に関して説明された様々な例示的な論理ブロック、モジュール、回路、およびアルゴリズムステップが、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、またはそれらの任意の組合せとして実装され得ることが当業者にはさらに諒解されよう。この互換性を明確に示すために、様々な例示的な構成要素、ブロック、モジュール、回路、およびステップが、概してそれらの観点から上記で説明された。そのような機能がハードウェアとして実装されるのか、それともソフトウェアとして実装されるのかは、具体的な適用例および全体的なシステムに課された設計制約によって決まる。
【０２４７】
本開示内で、「例示的」という単語は、「例、事例、または例示の働きをすること」を意味するために使用される。「例示的」として本明細書において説明されるいずれの実装形態または態様も、必ずしも本開示の他の態様よりも好ましいかまたは有利であると解釈されるべきではない。同様に、「態様」という用語は、本開示のすべての態様が、論じられた特徴、利点、または動作モードを含むことを必要としない。「結合される」という用語は、2つの物体間の直接的または間接的結合を指すために本明細書において使用される。たとえば、物体Aが物体Bに物理的に接触し、物体Bが物体Cに接触する場合、物体AとCはやはり、直接的に物理的に互いに接触しない場合であっても、互いに結合されると見なされ得る。たとえば、第1のダイは、第1のダイがパッケージ内の第2のダイに物理的に直接接触していなくても、第2のダイに結合され得る。「回路(circuit)」および「回路(circuitry)」という用語は広く使用され、電子回路のタイプに関する制限なく、接続および構成されたときに本開示において説明された機能の実行を可能にする電気デバイスおよび導体というハードウェア実装形態と、プロセッサによって実行されたときに本開示において説明された機能の実行を可能にする情報および命令というソフトウェア実装形態の両方を含むものとする。
【０２４８】
本明細書において使用される「決定すること」という用語は、幅広い様々なアクションを包含する。たとえば、「決定する」ことは、計算すること、算出すること、処理すること、導出すること、調査すること、ルックアップすること(たとえば、テーブル、データベースまたは別のデータ構造においてルックアップすること)、確認することなどを含み得る。また、「決定すること」は、受信すること(たとえば、情報を受信すること)、アクセスすること(たとえば、メモリの中のデータにアクセスすること)などを含み得る。また、「決定すること」は、解決すること、選択すること、選ぶこと、確立することなどを含み得る。本明細書において使用される「取得すること」という用語は、限定はされないが、受信すること、生成すること、決定すること、またはこれらの任意の組合せを含む1つまたは複数のアクションを含み得る。
【０２４９】
上述の説明は、当業者が本明細書において説明される様々な態様を実践することを可能にするために提供される。これらの態様への様々な変更が当業者には容易に明らかになり、本明細書において定義された一般原理は他の態様に適用され得る。したがって、特許請求の範囲は本明細書において示された態様に限定されるものではなく、特許請求の範囲の文言と一致する最大限の範囲を与えられるべきであり、単数形の要素への言及は、「唯一の」と明記されていない限り、「唯一の」ではなく、「1つまたは複数の」を意味することを意図している。別段に明記されていない限り、「いくつか」という用語は、1つまたは複数を指す。項目のリストのうちの「少なくとも1つ」に言及する語句は、単一のメンバーを含むそれらの項目の任意の組合せを指す。ある例として、「a、b、またはcのうちの少なくとも1つ」は、a、b、c、aおよびb、aおよびc、bおよびc、ならびにa、bおよびcを包含することを意図している。当業者に知られているか、または後に知られることになる、本開示を通じて説明される様々な態様の要素に対するすべての構造的および機能的同等物は、参照により本明細書に明確に組み込まれ、特許請求の範囲によって包含されることが意図される。その上、本明細書において開示されたものは、そのような開示が特許請求の範囲において明示的に列挙されているかどうかにかかわらず、公に供されるものではない。いかなるクレーム要素も、「のための手段」という句を使用して要素が明確に列挙されていない限り、または方法クレームの場合、「のためのステップ」という句を使用して要素が列挙されていない限り、米国特許法第112条第6項の規定の下で解釈されるべきではない。
【０２５０】
したがって、本明細書において説明され添付図面に示された例に関連する様々な特徴は、本開示の範囲から逸脱することなく、異なる例および実装形態で実装され得る。したがって、いくつかの特定の構成および配置が説明され添付の図面において示されたが、説明された実装形態への様々な他の追加および修正、ならびにそうした実装形態からの削除が当業者には明らかになるので、そのような実装形態は例示にすぎず、本開示の範囲を限定するものではない。したがって、本開示の範囲は、以下の特許請求の範囲の文言、および法的均等物によってのみ決定される。
【符号の説明】
【０２５１】
100  IoTネットワークアーキテクチャ
102  クライアントデバイス
104  ネットワークアクセスノード
105  ネットワークデバイス
106  制御プレーンIoT機能、IoTF-C
107  ネットワークノード
108  ユーザプレーンIoT機能、IoTF-U
109  ネットワークノード
110  サービスネットワーク
112  HSS/AAAサーバ
114  第2のS1接続
116  第1のS1接続
118  SME
120  MTC-IWF
122  IoTサーバ
124  P-GW
126  CP鍵
128  UP鍵
130  コンテキスト鍵
131  コンテキスト鍵
200  鍵階層
202  KIOT
204  IK、CK
206  KASME
208  KCP
210  KIoT-CPenc
212  KIoT-CPint
214  KUP
216  KIoT-UPenc
218  KIoT-UPint
300  鍵階層
302  KCDC-IoTF
304  KCDC-IoTF-C
306  KCDC-IoTF-U
400  ネットワーク
402  クライアントデバイス
404  ネットワークアクセスノード
406  EPC
408  モビリティ管理エンティティ
410  P-GW/S-GW
412  ホーム加入者サーバ
414  コンテキスト
416  コンテキスト
418  コンテキスト
420  コンテキスト
422  コンテキスト
424  コンテキスト
426  コンテキスト
428  コンテキスト
500  IoTネットワークアーキテクチャ
502  クライアントデバイス
504  ネットワークアクセスノード
505  ネットワークデバイス
506  制御プレーンIoT機能、IoTF-C
507  ネットワークノード
508  ユーザプレーンIoT機能、IoTF-U
509  ネットワークノード
510  サービスネットワーク
512  HSS/AAAサーバ
514  第2のS1接続
516  第1のS1接続
518  SME
520  MTC-IWF
522  IoTサーバ
524  P-GW
526  CP鍵
528  UP鍵
530  コンテキスト鍵
531  コンテキスト鍵
532  接続要求
534  要求
535  認証情報
536  信号
538  メッセージ
600  信号フロー図
602  クライアントデバイス
604  ネットワークアクセスノード
605  ネットワークノード
606  IoTF-C
607  ネットワークノード
608  IoTF-U
609  サービスネットワーク
610  HSS
612  RRC接続要求
614  RRC接続セットアップメッセージ
616  RRC接続セットアップ完了メッセージ
618  初期クライアントデバイスメッセージ
620  AKA手順
622  鍵移送
623  初期コンテキストセットアップ要求メッセージ
626  RRC接続再構成メッセージ
628  RRC接続再構成完了メッセージ
630  ULデータパケット
632  ULデータパケット
634  DLデータパケット
700  IoTネットワークアーキテクチャ
702  クライアントデバイス
704  ネットワークアクセスノード
705  ネットワークデバイス
706  制御プレーンIoT機能、IoTF-C
707  ネットワークノード
708  ユーザプレーンIoT機能、IoTF-U
709  ネットワークノード
710  サービスネットワーク
712  HSS/AAAサーバ
714  第2のS1接続
718  SME
720  MTC-IWF
722  IoTサーバ
724  P-GW
726  CP鍵
728  UP鍵
730  コンテキスト鍵
731  コンテキスト鍵
732  接続要求
734  第2のメッセージ
800  信号フロー図
802  クライアントデバイス
804  ネットワークアクセスノード
805  ネットワークノード
806  IoTF-U
808  サービスネットワーク
810  データ移送要求メッセージ
814  第1のメッセージ
818  第2のメッセージ
820  第3のメッセージ
822  第4のメッセージ
824  第5のメッセージ
900  信号フロー図
902  クライアントデバイス
904  ネットワークアクセスノード
905  ネットワークノード
906  IoTF-C
907  ネットワークノード
908  IoTF-U
910  P-GW
912  IoTサーバ
914  DLメッセージ
916  転送メッセージ
918  DLデータ通知メッセージ
920  ページングメッセージ
922  ページングメッセージ
924  RRC接続要求メッセージ
928  転送メッセージ
932  クライアントデバイス応答通知メッセージ
934  メッセージ
936  転送メッセージ
1000  信号フロー図
1002  クライアントデバイス
1004  IoTF-C
1006  ネットワークノード
1008  IoTF-U
1010  ネットワークノード
1012  P-GW
1016  リソース確立要求メッセージ
1018  リソース確立動作
1020  ULデータ
1022  リソース解放要求メッセージ1
1024  アイドルモード
1026  タイマー
1028  リソース解放要求メッセージ2
1100  信号フロー図
1102  クライアントデバイス
1104  ネットワークアクセスノード
1106  ネットワークノード
1108  サービスネットワーク
1110  HSS
1112  ユーザプレーン機能
1114  制御プレーン機能
1116  要求
1118  RRC接続セットアップメッセージ
1120  RRC接続セットアップ完了メッセージ
1122  初期クライアントデバイスメッセージ
1124  AKA手順
1128  初期コンテキストセットアップ要求メッセージ
1130  RRC接続再構成メッセージ
1132  RRC接続再構成完了メッセージ
1134  ULデータパケット
1136  ULデータパケット
1200  信号フロー図
1202  クライアントデバイス
1204  ネットワークアクセスノード
1206  ネットワークノード
1208  P-GW
1210  ユーザプレーン機能
1212  制御プレーン機能
1216  リソース確立要求
1218  リソース確立動作
1220  ULデータ
1222  リソース解放要求メッセージ1
1224  アイドルモード
1226  タイマー
1228  リソース解放要求メッセージ2
1230  リソース解放要求メッセージ3
1300  制御プレーンプロトコルスタック
1302  クライアントデバイス
1304  ネットワークアクセスノード
1305  ネットワークノード
1306  IoTFプロトコルスタック
1308  サービスネットワーク
1310  PHY層
1312  MAC層
1314  RLC層
1316  PDCP層
1318  コンテキストプロトコル層
1320  Ctrl層
1322  PHY層
1324  MAC層
1326  RLC層
1328  PDCP層
1330  イーサネット層
1332  MAC層
1334  IP層
1336  UDP層
1338  GTP-C層
1340  イーサネット層
1342  MAC層
1344  IP層
1346  UDP層
1348  GTP-C層
1350  コンテキストプロトコル層
1352  Ctrl層
1354  IP層
1356  UDP層
1358  GTP-C層
1360  Ctrl層
1362  領域
1364  IPプロトコル
1366  領域
1400  プロトコルスタック
1402  クライアントデバイス
1404  ネットワークアクセスノード
1405  ネットワークノード
1406  IoTFプロトコルスタック
1408  サービスネットワーク
1410  PHY層
1412  MAC層
1414  RLC層
1416  PDCP層
1418  コンテキストプロトコル層
1420  UP層
1422  PHY層
1424  MAC層
1426  RLC層
1428  PDCP層
1430  イーサネット層
1432  MAC層
1434  IP層
1436  UDP層
1438  GTP-U層
1440  イーサネット層
1442  MAC層
1444  IP層
1446  UDP層
1448  GTP-U層
1450  コンテキストプロトコル層
1452  UP層
1454  IP層
1456  UDP層
1458  GTP-U層
1460  UP層
1462  領域
1464  IPプロトコル
1466  領域
1500  パケットフォーマット
1502  TIDフィールド
1504  IIDフィールド
1506  セキュリティヘッダフィールド
1508  クライアントデバイスコンテキストフィールド
1510  ペイロードフィールド
1512  MACフィールド
1600  信号フロー図
1602  クライアントデバイス
1604  ネットワークアクセスノード
1605  ターゲットネットワークデバイス
1606  ターゲットIoTF-C
1607  ソースネットワークデバイス
1608  ソースIoTF-C
1610  P-GW
1612  IoTサーバ
1614  データ移送要求メッセージ
1618  メッセージ
1620  メッセージ
1622  メッセージ
1626  メッセージ
1628  メッセージ
1630  メッセージ
1700  装置
1702  通信インターフェース
1704  記憶媒体
1706  ユーザインターフェース
1708  メモリデバイス
1710  処理回路
1712  アンテナ
1714  送信機
1716  受信機
1718  ネットワーク関連情報
1720  送信回路/モジュール
1722  受信回路/モジュール
1724  暗号化されたクライアントデバイスコンテキスト記憶回路/モジュール
1726  暗号化されたクライアントデバイスコンテキスト決定回路/モジュール
1728  アイドルモード進入回路/モジュール
1730  セキュリティコンテキスト確立回路/モジュール
1732  メッセージ取得回路/モジュール
1733  使用情報取得回路/モジュール
1734  送信命令
1736  受信命令
1738  暗号化されたクライアントデバイスコンテキスト記憶命令
1740  暗号化されたクライアントデバイスコンテキスト決定命令
1742  アイドルモード進入命令
1744  セキュリティコンテキスト確立命令
1746  メッセージ取得命令
1747  使用情報取得命令
1800  フローチャート
1900  フローチャート
2000  フローチャート
2100  装置
2102  ネットワーク通信インターフェース
2104  記憶媒体
2106  ユーザインターフェース
2108  メモリデバイス
2110  処理回路
2118  ネットワーク関連情報
2120  送信回路/モジュール
2122  受信回路/モジュール
2124  認証および検証回路/モジュール
2126  暗号化されたクライアントデバイスコンテキスト生成回路/モジュール
2128  コンテキスト再構築/除去回路/モジュール
2130  パケット処理回路/モジュール
2132  記憶回路/モジュール
2134  ネットワークアクセスノード決定回路/モジュール
2136  一時識別子追加回路/モジュール
2137  ネットワークアドレス取得/解放回路/モジュール
2138  パケット暗号化および保護回路/モジュール
2139  セキュリティコンテキスト確立回路/モジュール
2140  送信命令
2142  受信命令
2144  認証および検証命令
2146  暗号化されたクライアントデバイスコンテキスト生成命令
2148  コンテキスト再構築/除去命令
2150  パケット処理命令
2152  記憶命令
2154  ネットワークアクセスノード決定め
2156  一時識別子追加命令
2157  ネットワークアドレス取得/解放命令
2158  パケット暗号化/保護命令
2159  セキュリティコンテキスト確立命令
2200  フローチャート
2300  フローチャート
2400  フローチャート
2500  フローチャート
2600  フローチャート
2700  装置
2702  通信インターフェース
2703  ネットワーク通信インターフェース
2704  記憶媒体
2706  ユーザインターフェース
2708  メモリデバイス
2710  処理回路
2712  アンテナ
2714  送信機
2716  受信機
2718  ネットワーク関連情報
2722  受信回路/モジュール
2724  一時識別子追加回路/モジュール
2726  記憶回路/モジュール
2728  一時識別子除去回路/モジュール
2730  データパケット転送回路/モジュール
2732  パケット処理回路/モジュール
2734  パケット暗号化および保護回路/モジュール
2738  コンテキスト再構築除去回路/モジュール
2740  ネットワークアドレス取得/解放回路/モジュール
2742  受信命令
2744  一時識別子追加命令
2746  記憶命令
2748  一時識別子除去命令
2750  データパケット転送命令
2752  パケット処理命令
2754  パケット暗号化および保護命令
2758  コンテキスト再構築/除去命令
2760  ネットワークアドレス取得/解放命令
2800  フローチャート
2900  フローチャート
【図１】
2020129805.tif 000003
【図２】
2020129805.tif 000004
【図３】
2020129805.tif 000005
【図４】
2020129805.tif 000006
【図５】
2020129805.tif 000007
【図６】
2020129805.tif 000008
【図７】
2020129805.tif 000009
【図８】
2020129805.tif 000010
【図９】
2020129805.tif 000011
【図１０】
2020129805.tif 000012
【図１１】
2020129805.tif 000013
【図１２】
2020129805.tif 000014
【図１３】
2020129805.tif 000015
【図１４】
2020129805.tif 000016
【図１５】
2020129805.tif 000017
【図１６】
2020129805.tif 000018
【図１７】
2020129805.tif 000019
【図１８Ａ】
2020129805.tif 000020
【図１８Ｂ】
2020129805.tif 000021
【図１９】
2020129805.tif 000022
【図２０】
2020129805.tif 000023
【図２１】
2020129805.tif 000024
【図２２Ａ】
2020129805.tif 000025
【図２２Ｂ】
2020129805.tif 000026
【図２３Ａ】
2020129805.tif 000027
【図２３Ｂ】
2020129805.tif 000028
【図２４】
2020129805.tif 000029
【図２５Ａ】
2020129805.tif 000030
【図２５Ｂ】
2020129805.tif 000031
【図２６Ａ】
2020129805.tif 000032
【図２６Ｂ】
2020129805.tif 000033
【図２７】
2020129805.tif 000034
【図２８】
2020129805.tif 000035
【図２９Ａ】
2020129805.tif 000036
【図２９Ｂ】
2020129805.tif 000037
【手続補正書】
【提出日】令和2年5月14日(2020.5.14)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワークデバイスのための方法であって、
クライアントデバイスから、ネットワークと通信するための要求を受信するステップと、
前記クライアントデバイスとの少なくとも1つのコンテキストを確立するステップであって、前記少なくとも1つのコンテキストが、前記クライアントデバイスと前記ネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、前記ネットワーク状態情報が少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含む、ステップと
1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成するステップであって、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとの通信のための、前記ネットワークにおける前記少なくとも1つのコンテキストの再構築を可能にする、ステップと、
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスに送信するステップと
を備えることを特徴とするネットワークデバイスのための方法。
【請求項２】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成することを決定するステップをさらに備え、前記決定が、前記要求において示される暗号化されたクライアントデバイスコンテキストの使用情報、前記クライアントデバイスのサブスクリプション、ポリシー、またはこれらの組合せのうちの少なくとも1つに基づくことを特徴とする請求項１に記載の方法。
【請求項３】
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、データ関連の通信のために使用されるべき第1のコンテキストと、制御関連の通信のために使用されるべき第2のコンテキストとを備えることを特徴とする請求項１に記載の方法。
【請求項４】
ホーム加入者サーバ(HSS)/認証、認可、課金(AAA)サーバからの認証情報を要求するステップと、
前記クライアントデバイスとの相互認証を実行するステップと
をさらに備えることを特徴とする請求項１に記載の方法。
【請求項５】
制御パケットおよび暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスから受信するステップと、
前記クライアントデバイスから受信された前記暗号化されたクライアントデバイスコンテキストを検証するステップと、
前記暗号化されたクライアントデバイスコンテキストから前記少なくとも1つのコンテキストを再構築するステップと、
前記少なくとも1つのコンテキストを使用して前記制御パケットを処理するステップであって、前記コンテキストを使用して前記制御パケットを検証するステップ、復号するステップ、またはこれらの組合せのうちの少なくとも1つを備える、ステップと、
前記クライアントデバイスのためのダウンリンクパケットの一時識別子を記憶するステップと、
前記制御パケットのペイロード部分をアプリケーションサーバまたはパケットデータネットワークゲートウェイに転送するステップと
をさらに備えることを特徴とする請求項１に記載の方法。
【請求項６】
前記暗号鍵が少なくとも、制御プレーン暗号鍵、ユーザプレーン暗号鍵、またはこれらの組合せを含み、前記完全性保護鍵が少なくとも、ユーザプレーン完全性保護鍵、制御プレーン完全性保護鍵、またはこれらの組合せを含むことを特徴とする請求項５に記載の方法。
【請求項７】
前記暗号化されたクライアントデバイスコンテキストを検証するステップが、
前記暗号化されたクライアントデバイスコンテキストが期限切れになったかどうかを判定するステップと、
以前の暗号化されたクライアントデバイスコンテキストが期限切れになっているとき、1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストを生成するステップと、
前記以前の暗号化されたクライアントデバイスコンテキストが期限切れになっているとき、前記1つまたは複数の新しい暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスに送信するステップと
を備えることを特徴とする請求項５に記載の方法。
【請求項８】
第2のクライアントデバイスから制御パケットを受信するステップと、
第2のネットワークデバイスから前記第2のクライアントデバイスのコンテキストを要求するステップであって、前記要求が制御プレーンの暗号化されたクライアントデバイスコンテキストを含む、ステップと、
前記第2のネットワークデバイスから前記第2のクライアントデバイスの前記コンテキストを受信するステップと、
新しい暗号化されたクライアントデバイスコンテキストを生成するステップと、
前記新しい暗号化されたクライアントデバイスコンテキストを前記第2のクライアントデバイスに送信するステップと
をさらに備えることを特徴とする請求項５に記載の方法。
【請求項９】
前記暗号化されたクライアントデバイスコンテキストを検証するステップが、前記暗号化されたクライアントデバイスコンテキストを検証するための鍵を決定するステップを備えることを特徴とする請求項５に記載の方法。
【請求項１０】
前記少なくとも1つのコンテキストを除去するステップと、
リソース確立要求と、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストのうちの少なくとも1つと、を含むメッセージを前記クライアントデバイスから受信するステップと、
前記メッセージに応答して前記クライアントデバイスのネットワークアドレスを取得するステップと、
前記ネットワークアドレスを前記クライアントデバイスに送信するステップと
をさらに備えることを特徴とする請求項５に記載の方法。
【請求項１１】
前記クライアントデバイスからリソース解放要求メッセージを受信するステップと、
前記リソース解放要求メッセージを前記クライアントデバイスからゲートウェイに送信するステップと
をさらに備え、
前記リソース解放要求メッセージが、前記ゲートウェイが前記クライアントデバイスのための1つまたは複数のリソースを解放することを可能にすることを特徴とする請求項１０に記載の方法。
【請求項１２】
前記クライアントデバイスから前記ネットワークへの送信の前、または前記ネットワークから前記クライアントデバイスへの送信の前にタイマーが満了するときに、リソース解放要求メッセージをゲートウェイに送信するステップをさらに備え、
前記リソース解放要求メッセージが、前記ゲートウェイが前記クライアントデバイスのための1つまたは複数のリソースを解放することを可能にすることを特徴とする請求項１０に記載の方法。
【請求項１３】
ネットワークデバイスであって、
1つまたは複数のネットワークエンティティと通信するように構成されるネットワーク通信インターフェースと、
前記ネットワーク通信インターフェースに結合された処理回路と
を備え、前記処理回路が、
クライアントデバイスから、ネットワークと通信するための要求を受信し、
前記クライアントデバイスとの少なくとも1つのコンテキストを確立し、前記少なくとも1つのコンテキストが、前記クライアントデバイスと前記ネットワークとの間の接続と関連付けられるネットワーク状態情報を含み、前記ネットワーク状態情報が少なくとも、暗号化アルゴリズム、暗号鍵、完全性保護アルゴリズム、完全性保護鍵、またはこれらの組合せを含み、
1つまたは複数の暗号化されたクライアントデバイスコンテキストを生成し、前記1つまたは複数の暗号化されたクライアントデバイスコンテキストが、前記クライアントデバイスとの通信のための、前記ネットワークにおける前記少なくとも1つのコンテキストの再構築を可能にし、
前記1つまたは複数の暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスに送信する
ように構成されることを特徴とするネットワークデバイス。
【請求項１４】
ネットワークデバイスのための方法であって、
クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得するステップと、
第1のデータパケットおよび前記暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスから受信するステップと、
前記鍵を使用して、前記暗号化されたクライアントデバイスコンテキストから前記クライアントデバイスのセキュリティコンテキストを取得するステップと、
前記セキュリティコンテキストに基づいて、前記第1のデータパケットを復号し検証するステップと、
前記復号および検証が成功したとき、前記第1のデータパケットをサービスネットワークに転送するステップと
を備えることを特徴とするネットワークデバイスのための方法。
【請求項１５】
前記セキュリティコンテキストを取得するステップが、前記鍵に基づいて前記暗号化されたクライアントデバイスコンテキストを復号するステップを備え、前記セキュリティコンテキストが少なくとも、ユーザプレーン暗号鍵、ユーザプレーン完全性保護鍵、またはこれらの組合せを含むことを特徴とする請求項１４に記載の方法。
【請求項１６】
前記第1のデータパケットが少なくとも、前記ユーザプレーン完全性保護鍵を用いて検証され、または前記ユーザプレーン暗号鍵を用いて復号されることを特徴とする請求項１５に記載の方法。
【請求項１７】
前記セキュリティコンテキストがユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含み、
サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信するステップと、
前記第2のデータパケットが転送されるネットワークアクセスノードを決定するステップと、
前記ネットワークアクセスノードが前記クライアントデバイスを決定することを可能にする一時識別子を前記第2のデータパケットに追加するステップと、
前記ユーザプレーン暗号鍵または前記ユーザプレーン完全性保護鍵を使用して、前記第2のデータパケットを暗号化または完全性保護するステップと、
前記第2のデータパケットを前記クライアントデバイスに転送するステップと
をさらに備えることを特徴とする請求項１４に記載の方法。
【請求項１８】
ネットワークデバイスであって、
1つまたは複数のネットワークエンティティと通信するように構成されるネットワーク通信インターフェースと、
前記ネットワーク通信インターフェースに結合された処理回路と
を備え、前記処理回路が、
クライアントデバイスと関連付けられる暗号化されたクライアントデバイスコンテキストのための鍵を取得し、
第1のデータパケットおよび前記暗号化されたクライアントデバイスコンテキストを前記クライアントデバイスから受信し、
前記鍵を使用して、前記暗号化されたクライアントデバイスコンテキストから前記クライアントデバイスのセキュリティコンテキストを取得し、
前記セキュリティコンテキストに基づいて、前記第1のデータパケットを復号して検証し、
前記復号および検証が成功したとき、前記第1のデータパケットをサービスネットワークに転送する
ように構成されることを特徴とするネットワークデバイス。
【請求項１９】
前記セキュリティコンテキストを取得するように構成される前記処理回路がさらに、
前記鍵に基づいて前記暗号化されたクライアントデバイスコンテキストを復号するように構成され、前記セキュリティコンテキストが少なくとも、ユーザプレーン暗号鍵またはユーザプレーン完全性保護鍵を含むことを特徴とする請求項１８に記載のネットワークデバイス。
【請求項２０】
前記セキュリティコンテキストがユーザプレーン暗号鍵およびユーザプレーン完全性保護鍵を含み、前記処理回路がさらに、
サーバまたはパケットデータネットワークゲートウェイから第2のデータパケットを受信し、
前記第2のデータパケットが転送されるネットワークアクセスノードを決定し、
前記ネットワークアクセスノードが前記クライアントデバイスを決定することを可能にする一時識別子を前記第2のデータパケットに追加し、
前記ユーザプレーン暗号鍵および前記ユーザプレーン完全性保護鍵を使用して、前記第2のデータパケットを暗号化または完全性保護し、
前記第2のデータパケットを前記クライアントデバイスに転送する
ように構成されることを特徴とする請求項１８に記載のネットワークデバイス。
【請求項２１】
ネットワークアクセスノードのための方法であって、
クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信するステップと、
前記第1のデータパケットが宛てられるネットワークノードを決定するステップと、
前記ネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信するステップと、
前記第2のデータパケットが転送されるべき前記クライアントデバイスを決定するステップと
を備えることを特徴とするネットワークアクセスノードのための方法。
【請求項２２】
前記クライアントデバイスの一時識別子を記憶するステップをさらに備え、前記一時識別子がセル無線ネットワーク一時識別子(C-RNTI)であり、前記一時識別子が所定の期間記憶されることを特徴とする請求項２１に記載の方法。
【請求項２３】
前記一時識別子を前記第1のデータパケットに追加するステップをさらに備えることを特徴とする請求項２２に記載の方法。
【請求項２４】
前記要求が転送されるべき前記ネットワーク機能を決定するステップであって、前記決定が前記ネットワークアクセスノードにおいて事前に構成される、ステップと、
前記第1のデータパケットを前記ネットワーク機能に転送するステップと
をさらに備えることを特徴とする請求項２１に記載の方法。
【請求項２５】
前記第2のデータパケットの中の一時識別子を除去するステップと、
前記第2のデータパケットを前記クライアントデバイスに転送するステップと
をさらに備えることを特徴とする請求項２１に記載の方法。
【請求項２６】
前記第2のデータパケットが転送されるべき前記クライアントデバイスを前記決定するステップが、前記第2のデータパケットの中の一時識別子から前記クライアントデバイスを特定するステップを備えることを特徴とする請求項２１に記載の方法。
【請求項２７】
ネットワークアクセスノードであって、
1つまたは複数のネットワークエンティティと通信するように構成される通信回路と、
前記通信回路に結合された処理回路と
を備え、前記処理回路が、
クライアントデバイスから、ネットワークと通信するための要求とともに第1のデータパケットを受信し、
前記第1のデータパケットが宛てられるネットワークノードを決定し、
前記ネットワークノードにおいて実装されるネットワーク機能から第2のデータパケットを受信し、
前記第2のデータパケットが転送されるべき前記クライアントデバイスを決定する
ように構成されることを特徴とするネットワークアクセスノード。
【外国語明細書】
2020129805000001.pdf