(57)【特許請求の範囲】
【請求項１】
非３ＧＰＰネットワークへのモバイルノードのハンドオーバ時でのＩＰセッションの継続性を確保するために、前記モバイルノードが、ハンドオーバ元ネットワークに接続されており、前記モバイルノードが、前記ハンドオーバ元ネットワークのパケットデータネットワークゲートウェイを介してＩＰセッションを実行中であり、
前記モバイルノードが、
受信部と送信部が、前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、前記モバイルノードと、前記ハンドオーバ元ネットワークに対して前記非３ＧＰＰネットワークへのセキュアな通信中継点を提供するセキュリティゲートウェイとの間の暫定的なセキュリティアソシエーションを確立するために前記セキュリティゲートウェイとメッセージを交換するよう適応され、
さらに、前記モバイルノードが前記非３ＧＰＰネットワークへのハンドオーバの後に、前記モバイルノードの前記受信部と前記送信部は、前記モバイルノードと前記セキュリティゲートウェイとの間にセキュアなトンネルを確立するために、前記非３ＧＰＰネットワークにおける前記モバイルノードのローカルアドレスを用いて、前記モバイルノードと前記セキュリティゲートウェイとの間の前記暫定的なセキュリティアソシエーションをアクティブ状態に更新するように前記セキュリティゲートウェイとメッセージを交換するよう適応される、
ことを含むモバイルノード。
【請求項２】
前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、前記暫定的なセキュリティアソシエーションの確立に応じて、前記セキュリティゲートウェイが、前記セキュリティゲートウェイと前記パケットデータネットワークゲートウェイとの間の暫定的なトンネルを確立するよう適応され、
前記モバイルノードが前記非３ＧＰＰネットワークへのハンドオーバの後に、前記送信部が更に、前記セキュリティゲートウェイへの前記暫定的なトンネルをアクティブ状態とするため、前記パケットデータネットワークゲートウェイにメッセージを送信するよう適応される、
請求項１に記載のモバイルノード。
【請求項３】
前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、前記暫定的なセキュリティアソシエーションの確立に応じて、前記セキュリティゲートウェイが、前記セキュリティゲートウェイと前記パケットデータネットワークゲートウェイとの間の暫定的なトンネルを確立するよう適応され、
前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、前記送信部が更に、前記セキュリティゲートウェイへの前記暫定的なトンネルをアクティブ状態とするため、前記パケットデータネットワークゲートウェイにメッセージを送信するよう適応される、
請求項１に記載のモバイルノード。
【請求項４】
モバイルノードが、まずハンドオーバ元ネットワークに位置し、前記ハンドオーバ元ネットワークのパケットデータネットワークゲートウェイを介して実行中のＩＰセッションを有しており、前記ハンドオーバ元ネットワークから非３ＧＰＰネットワークへの前記モバイルノードのハンドオーバの際のＩＰセッションの継続性を確保する方法において、
前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、
前記モバイルノードと、前記ハンドオーバ元ネットワークに対して前記非３ＧＰＰネットワークへのセキュアな通信中継点を提供するセキュリティゲートウェイとの間に、暫定的なセキュリティアソシエーションを確立するステップと、
を含み、
前記非３ＧＰＰネットワークへの前記モバイルノードの前記ハンドオーバを実行した後、
前記モバイルノードと前記セキュリティゲートウェイとの間にセキュアなトンネルを確立するために、前記非３ＧＰＰネットワークにおける前記モバイルノードのローカルアドレスを用いて、前記モバイルノードと前記セキュリティゲートウェイとの間の前記暫定的なセキュリティアソシエーションをアクティブ状態に更新するステップと、
を含む方法。
【請求項５】
前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、前記セキュリティゲートウェイと前記パケットデータネットワークゲートウェイとの間の暫定的なトンネルを確立するステップと、
前記非３ＧＰＰネットワークへの前記モバイルノードの前記ハンドオーバを実行した後に、前記パケットデータネットワークゲートウェイと前記セキュリティゲートウェイとの間の前記暫定的なトンネルをアクティブ状態にするステップと、
を更に含む請求項４に記載の方法。
【請求項６】
前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、前記セキュリティゲートウェイと前記パケットデータネットワークゲートウェイとの間の暫定的なトンネルを確立するステップと、
前記モバイルノードが前記ハンドオーバ元ネットワークに接続されている状態で、前記パケットデータネットワークゲートウェイと前記セキュリティゲートウェイとの間の前記暫定的なトンネルをアクティブ状態にするステップと、
を更に含む請求項４に記載の方法。
【請求項７】
前記セキュリティゲートウェイに前記モバイルノードの前記ローカルアドレスを明示的に又は暗黙的に通知する、請求項４に記載の方法。
【請求項８】
前記ハンドオーバ元ネットワークで割り当てられた前記モバイルノードのアドレスを使用して前記セキュリティゲートウェイと前記モバイルノードとの間に前記暫定的なセキュリティアソシエーションが確立され、
前記暫定的なセキュリティアソシエーションのアクティブ状態への更新は、前記ハンドオーバ元ネットワークで割り当てられた前記モバイルノードの前記アドレスを前記非３ＧＰＰネットワークでの前記モバイルノードの前記ローカルアドレスと交換することを含む請求項４から７のいずれか１つに記載の方法。
【請求項９】
前記暫定的なセキュリティアソシエーションを確立するステップが
前記セキュリティゲートウェイが、前記暫定的なセキュリティアソシエーションが暫定的であることを、
前記モバイルノードにより前記セキュリティゲートウェイに対して発行された指示、又は、
前記ハンドオーバ元ネットワークで割り当てられた前記モバイルノードのアドレス、又は、
前記暫定的なセキュリティアソシエーションの前記確立時に前記セキュリティゲートウェイがコンタクトする認証サーバへの照会、
に基づき検知するステップ、
を含む請求項４から８のいずれか１つに記載の方法。
【請求項１０】
前記パケットデータネットワークゲートウェイと前記セキュリティゲートウェイとの間の前記暫定的なトンネルを確立するステップが、
前記暫定的なセキュリティアソシエーションの確立時に、前記セキュリティゲートウェイが、前記パケットデータネットワークゲートウェイにおいて前記セキュリティゲートウェイのアドレスを使用して、暫定的なバインディングキャッシュエントリを構成するステップ
を含む請求項５から９のいずれか１つに記載の方法。
【請求項１１】
前記暫定的なセキュリティアソシエーション又は前記暫定的なトンネルを確立するステップにおいて、汎用セキュリティゲートウェイＩＤが前記モバイルノードに提供され、
前記暫定的なトンネルをアクティブ状態とするステップが、前記汎用セキュリティゲートウェイＩＤを含むメッセージを前記モバイルノードから前記パケットデータネットワークゲートウェイに送信するステップを含む請求項５から９のいずれか１つに記載の方法。
【請求項１２】
前記パケットデータネットワークゲートウェイと前記セキュリティゲートウェイとの間の前記暫定的なトンネルは、前記セキュリティゲートウェイにより確立され、及び、前記モバイルノードによってアクティブ状態とされ、
前記モバイルノードが前記セキュリティゲートウェイによって確立された前記暫定的なトンネルをアクティブ状態とすることに対する許可を後で得るため、認証トークンを前記モバイルノードが受信するステップ、
を更に含む請求項５から１１のいずれか１つに記載の方法。
【請求項１３】
前記モバイルノードの前記ハンドオーバで、複数の非３ＧＰＰネットワークは利用可能であり、
前記複数の非３ＧＰＰネットワークが少なくとも１つのセキュリティゲートウェイ候補を決定し、
前記モバイルノードと決定された各セキュリティゲートウェイ候補との間で、暫定的なセキュリティアソシエーションが確立され、
前記パケットデータネットワークゲートウェイと決定された各セキュリティゲートウェイ候補との間で暫定的なトンネルが確立され、
ハンドオーバ先非３ＧＰＰネットワークへの前記モバイルノードの前記ハンドオーバを実行するときに、前記暫定的なセキュリティアソシエーションが更新され、前記ハンドオーバ先非３ＧＰＰネットワークのハンドオーバ先セキュリティゲートウェイに対して確立された前記暫定的なトンネルがアクティブ状態にされる、
請求項５から１２のいずれか１つに記載の方法。
【請求項１４】
決定された各セキュリティゲートウェイ候補に対して暫定的なセキュリティアソシエーションを確立するステップが
決定された各セキュリティゲートウェイ候補から前記モバイルノードへ、決定された各セキュリティゲートウェイ候補にとって好ましいアクセスネットワークに関する情報を送信するステップを含み、
アクセスネットワークに関する前記情報は、前記セキュリティゲートウェイ候補から前記ハンドオーバ先セキュリティゲートウェイを決定するために前記モバイルノードで使用される、
請求項１３に記載の方法。
【請求項１５】
前記モバイルノードが第２のパケットデータネットワークゲートウェイを介して第２のＩＰセッションを確立し、前記第２のＩＰセッションを確立するステップが、
前記第２のパケットデータネットワークゲートウェイと前記第２のＩＰセッションの前記セキュリティゲートウェイとの間に第２の暫定的なトンネルを確立するステップ、
を更に含む請求項４から１４のいずれか１つに記載の方法。
【請求項１６】
前記第２のＩＰセッションを確立するステップが、
前記モバイルノードから前記第２のパケットデータネットワークゲートウェイに汎用セキュリティゲートウェイＩＤを送信するステップを更に含み、
前記第２の暫定的なトンネルは、前記第２のパケットデータネットワークゲートウェイにより前記汎用セキュリティゲートウェイＩＤを使用して確立される、
請求項１５に記載の方法。
【請求項１７】
前記ハンドオーバ元ネットワークは非３ＧＰＰネットワークであり、前記モバイルノードの前記実行中のＩＰセッションは前記ハンドオーバ元非３ＧＰＰネットワークのセキュリティゲートウェイを介して行われ、前記ハンドオーバ先非３ＧＰＰネットワークへの前記モバイルノードの前記ハンドオーバ後に実行されるステップを含む方法において、
前記ハンドオーバ元非３ＧＰＰネットワークの前記セキュリティゲートウェイと前記モバイルノードとの間のセキュリティアソシエーションの暫定的な状態を確立するために、前記ハンドオーバ元非３ＧＰＰネットワークの前記セキュリティゲートウェイと前記モバイルノードとの間の前記セキュリティアソシエーションを、前記モバイルノードのホームアドレスを使用して更新するステップと、
前記パケットデータネットワークゲートウェイと前記ハンドオーバ元非３ＧＰＰネットワークの前記セキュリティゲートウェイとの間の、ＩＰセッションに使用されていたトンネルを暫定的な状態に移行するステップと、
を更に含む請求項４から１６のいずれか１つに記載の方法。
【請求項１８】
前記セキュリティゲートウェイと前記ハンドオーバ元ネットワークのエンティティとの間に直接インタフェイスが確立され、前記ハンドオーバ元ネットワークの前記エンティティと前記セキュリティゲートウェイとの間の前記直接インタフェイスを介して通信することにより、前記モバイルノードと前記セキュリティゲートウェイとの間で前記暫定的なセキュリティアソシエーションが確立される請求項４から１７のいずれか１つに記載の方法。
【請求項１９】
前記ハンドオーバ元ネットワークは非３ＧＰＰネットワークであり、前記モバイルノードで実行中の前記ＩＰセッションは、前記ハンドオーバ元非３ＧＰＰネットワークの更なるセキュリティゲートウェイを介して行われる請求項１８に記載の方法。
【請求項２０】
前記ハンドオーバ元ネットワークの前記エンティティはモビリティマネジメントエンティティである、請求項１９記載の方法。
【請求項２１】
前記モビリティマネジメントエンティティが前記セキュリティゲートウェイの前記ＩＰアドレスを、
前記モビリティマネジメントエンティティの事前構成により、又は
前記モバイルノードが前記セキュリティゲートウェイの前記ＩＰアドレスを前記モビリティマネジメントエンティティに送信することにより、又は、
前記モビリティマネジメントエンティティの特定のセキュリティゲートウェイを事前に構成し、前記暫定的なセキュリティアソシエーションの事前確立に関連する前記モバイルノードから受信したメッセージを前記モビリティマネジメントエンティティから前記事前構成されたセキュリティゲートウェイへ送信し、及び、前記事前構成されたセキュリティゲートウェイが前記暫定的なセキュリティアソシエーションが確立されるべき前記セキュリティゲートウェイでない場合は、前記事前構成されたセキュリティゲートウェイが、当該目的とするセキュリティゲートウェイの前記ＩＰアドレスを前記モビリティマネジメントエンティティに送信することにより、又は、
任意のセキュリティゲートウェイを選択し、前記暫定的なセキュリティアソシエーションの事前確立に関連する前記モバイルノードから受信したメッセージを、前記モビリティマネジメントエンティティから前記任意のセキュリティゲートウェイへ送信し、及び、前記任意のセキュリティゲートウェイが前記暫定的なセキュリティアソシエーションが確立されるべき前記セキュリティゲートウェイでない場合は、前記任意のセキュリティゲートウェイが当該目的とするセキュリティゲートウェイの前記ＩＰアドレスを前記モビリティマネジメントエンティティに送信することにより、
認識する請求項２０に記載の方法。
【請求項２２】
前記受信部と送信部が、前記ハンドオーバ元ネットワークで割り当てられた前記モバイルノードのアドレスを使用して前記セキュリティゲートウェイと前記モバイルノードとの間に前記暫定的なセキュリティアソシエーションが確立されるよう適応され、
前記暫定的なセキュリティアソシエーションのアクティブ状態への更新は、前記ハンドオーバ元ネットワークで割り当てられた前記モバイルノードの前記アドレスを前記非３ＧＰＰネットワークでの前記モバイルノードの前記ローカルアドレスと交換することを含む請求項１から３のいずれか１つに記載のモバイルノード。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュアでない非３ＧＰＰネットワークとセキュアな３ＧＰＰコアネットワークとの間の通信を可能とするセキュリティゲートウェイを使用するときに、非３ＧＰＰネットワークへのモバイルノードのハンドオーバ時におけるセッションの継続性を確保する方法に関する。モバイルノードのハンドオーバは、実際のハンドオーバの最前線において様々なエンティティ間の連携により迅速化される。さらに、本発明は、本発明に関与するモバイルノード、セキュリティゲートウェイ、及びパケットデータネットワークゲートウェイに関する。
【背景技術】
【０００２】
ＵＭＴＳ（Universal Mobile Telecommunications System）は、３ＧＰＰ（3rd Generation Partnership Project）により標準化された３Ｇ（第３世代）移動通信システムである。３ＧＰＰは、「Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）」として知られる「Ｅｖｏｌｖｅｄ  ＵＴＲＡ  ａｎｄ  ＵＴＲＡＮ」の研究を着手している。この研究においては、サービス供給の改善、及び、利用者と事業者のコストの軽減のためにパフォーマンスの大幅な向上を達成する手段について検討を行っている。加えて、他の無線アクセス技術との相互作用を可能とする必要があるため、新しい発展型（evolved）パケットコアネットワークの必要性が高まった。
【０００３】
Ｅ−ＵＴＲＡＮアーキテクチャの例を図１に示す。Ｅ−ＵＴＲＡＮは発展型（evolved）ノードＢ（ｅＮＢ又はｅＮｏｄｅＢ）からなり、モバイルノードに対してＥ−ＵＴＲＡユーザプレーン（ＰＤＣＰ／ＲＬＣ／ＭＡＣ／ＰＨＹ）及びコントロールプレーン（ＲＲＣ）でのプロトコル終端を提供する。
【０００４】
ｅＮＢは、ユーザプレーンのヘッダ圧縮及び暗号化の機能を含む、物理（ＰＨＹ）、メディアアクセス制御（ＭＡＣ）、無線リンク制御（ＲＬＣ）、及び、パケットデータ制御プロトコル（ＰＤＣＰ）の各レイヤを含んでいる（host）。ｅＮＢはまた、コントロールプレーンに対応する無線リソース制御（ＲＲＣ）機能を提供する。さらに、ｅＮＢは、無線リソースマネジメント、アドミッション制御、スケジューリング、ネゴシエートされたＵＬ−ＱｏＳ（Quality of Service：サービス品質）の実施、セル情報の報知、ユーザ及びコントロールプレーンデータの暗号化及び復号化、ＤＬ／ＵＬユーザプレーンパケットヘッダの圧縮と解凍を含む多くの機能を実行する。ｅＮＢはまた、Ｓ１インタフェイスによりＥＰＣ（Evolved Packet Core：発展型パケットコア）に接続され、より具体的には、Ｓ１−ＭＭＥによりＭＭＥ（Mobility Management Entity：モビリティマネジメントエンティティ）に、及びＳ１−Ｕによりサービングゲートウェイ（Ｓ−ＧＷ）にそれぞれ接続される。
【０００５】
Ｓ−ＧＷは、ユーザデータパケットを経路設定並びに転送する一方で、ｅＮＢ間ハンドオーバ中のユーザプレーンのモビリティアンカとして、あるいは、ＬＴＥと他の３ＧＰＰ技術との間のモビリティのためのアンカとして（Ｓ４インタフェイスを終了させ、２Ｇ／３Ｇシステムとパケットデータネットワークゲートウェイとの間のトラフィックを中継する）の機能も果たす。アイドル状態のＵＥに対しては、Ｓ−ＧＷはＤＬデータ経路を終了させ、ＵＥのためのＤＬデータが到達するとページングをトリガする。それは、ＩＰベアラサービスのパラメータや、ネットワーク内部ルーティング情報等のＵＥコンテキストを管理及び保存する。それはまた、合法的な傍受の場合にはユーザトラフィックの複製を実行する。
【０００６】
ＭＭＥはＬＴＥアクセスネットワークの主要な制御ノードである。ＭＭＥは、再送信を含むアイドルモードのＵＥのトラッキング及びページング手順を実行する。それは、ベアラのアクティブ化及び非アクティブ化処理に関与しており、また初期接続時、及びコアネットワーク（ＣＮ）ノードの再配置を含むＬＴＥ内でのハンドオーバ時にＳ−ＧＷを選択する。それは（ホーム加入者サーバ（ＨＳＳ）と交信することによって）ユーザの認証を実行する。それは、ＵＥがサービスプロバイダの公衆地上移動体通信ネットワーク（ＰＬＭＮ）でキャンプオンするための認証を確認し、ＵＥローミング制限を実施する。ＭＭＥは、ＮＡＳ信号の暗号化／整合性保護のためのネットワークの終端ポイントであり、セキュリティキーの管理を行う。ＭＭＥはまた、ＬＴＥと２Ｇ／３Ｇネットワークとの間のモビリティのためのコントロールプレーン機能に、ＳＧＳＮ（サービングＧＰＲＳサポートノード）からのＭＭＥで終端するＳ３インタフェイスを提供する。ＭＭＥはまた、ＵＥのローミングのためのホームＨＳＳ向けのＳ６ａインタフェイスも終端する。
【０００７】
パケットデータネットワークゲートウェイ（ＰＤＮ−ＧＷ）は、ＵＥのためのトラフィックの出入口となることによって、ＵＥが外部パケットデータネットワークと接続することを可能とする。１個のＵＥは、複数のＰＤＮにアクセスするために、２つ以上のＰＤＮ−ＧＷと同時に接続することができる。ＰＤＮ−ＧＷはポリシーの執行、各ユーザに対するパケットフィルタリング、課金サポート、合法的傍受及びパケットスクリーニングを実行する。ＰＤＮ−ＧＷのもう１つの主要な役割は、３ＧＰＰ技術と非３ＧＰＰ技術との間のモビリティのためのアンカとして機能することである。
【０００８】
上記を要約すると、新しいＥ−ＵＴＲＡＮアクセスを可能とするため、新しい３ＧＰＰコアネットワークは主に３つの論理エンティティに分割される。第１に、ユーザプレーンにおいて、ＰＤＮ−ＧＷは、外部ネットワークへのゲートウェイであり、かつ、３ＧＰＰアクセス技術と非３ＧＰＰアクセス技術（ＣＤＭＡ２０００、ＷｉＭＡＸ又はＷＩＦＩなど）との間のモビリティのためのグローバルモビリティアンカである。２番目に、別のユーザプレーンエンティティであるサービングゲートウェイは、３ＧＰＰアクセス（Ｅ−ＵＴＲＡＮ、ＵＴＲＡＮ、ＧＥＲＡＮ）との間のモビリティのためのモビリティアンカである。３番目に、モビリティマネジメントエンティティは、異なるＥＵＴＲＡＮ基地局（ｅＮｏｄｅＢｓ）間で移動する移動端末（以下、ＵＥ又はＭＮ（モバイルノード）とも呼ぶ）のモビリティマネジメントを実行し、またセッションマネジメントも実行するコントロールプレーンエンティティである。
【０００９】
上述したように、ＭＭＥはモビリティマネジメントとセッションマネジメントを実行する。ＭＭＥに接続されている移動端末の各々について、特定のモビリティマネジメント及び発展型（evolved）パケットシステムコンテキスト情報がＭＭＥに格納される。これらのコンテキストは、例えば、モビリティ状態、仮アイデンティティ、現在のトラッキングエリアリスト、最新の既知のセル、認証ベクトル、アクセス制限、登録ＱｏＳプロファイル、登録課金形態、アクティブなＰＤＮ接続ごとの使用中のＡＰＮ（アクセスポイント名）、ＩＰｖ４／ＩＰｖ６アドレス、コントロールプレーンのＰＤＮ−ＧＷアドレス、及び、ＥＰＳベアラＱｏＳプロファイル、ＥＰＳベアラの課金形態という例のような、ＰＤＮ接続内の各ＥＰＳ（発展型（evolved）パケットシステム）ベアラに対する情報を含む。
【００１０】
３ＧＰＰシステム内のモビリティマネジメントはネットワークにより制御され、２種類のプロトコルがＰＤＮ−ＧＷとＳ−ＧＷとの間のインタフェイスのために標準化されている。一方は従来のＧＰＲＳ（汎用パケット無線サービス）システムで使用されているプロトコルであるＧＴＰ（ＧＰＲＳトンネリングプロトコル）に基づき、もう一方はＩＥＴＦ（インターネット技術タスクフォース）において開発されたプロキシモバイルＩＰｖ６（ＰＭＩＰｖ６）である。非３ＧＰＰアクセスとの相互作用の際には、移動端末は、この非３ＧＰＰアクセスがＰＭＩＰｖ６に対応していれば、コアネットワーク、すなわちＰＤＮ−ＧＷにＰＭＩＰｖ６を介して接続することもできる。あるいは、移動端末がアクセス間のＰＭＩＰｖ６を用いたハンドオーバに対応していない場合又は非３ＧＰＰアクセスがＰＭＩＰｖ６に対応していない場合は、移動端末は、クライアントモバイルＩＰバージョン、すなわちモバイルＩＰｖ４外部エージェントモード（ＭＩＰ４ＦＡ）又はデュアルスタックモバイルＩＰｖ６（ＤＳＭＩＰｖ６）を介してコアネットワークに接続できる。
【００１１】
移動端末が非３ＧＰＰアクセスネットワークにアクセスできるようにする前に、アクセス認証を行う必要がある。非３ＧＰＰアクセスに、アクセス認証に基づく３ＧＰＰを適用する場合、すなわち３ＧＰＰ  ＡＡＡサーバ／ＨＳＳが移動端末を認証する場合は、ＥＡＰ−ＡＫＡ（Extensible Authentication Protocol-Authentication and Key Agreement）が使用される。
【００１２】
移動端末が非３ＧＰＰアクセスネットワークで稼働しているときに、この非３ＧＰＰアクセスにおいて移動端末に対するパケットの経路設定のために使用されているローカルＩＰアドレスが存在する。このＩＰアドレスは、モバイルＩＰの用語では気付アドレスと呼ばれている。ＤＳＭＩＰｖ６の場合、このアドレスは移動端末に割り当てられ、移動端末は自身の気付アドレスを使用して、ホームエージェント（ＨＡ）の機能を持つＰＤＮ−ＧＷにバインディングアップデートを送信する。ＰＭＩＰｖ６の場合、気付アドレスは非３ＧＰＰアクセスネットワークに配置されているモバイルアクセスゲートウェイ（ＭＡＧ）のアドレスであり、ＭＡＧは自身の（プロキシ）気付アドレスを使用して、ローカルモビリティアンカ（ＬＭＡ）の機能を持つ３ＧＰＰネットワークのＰＤＮ−ＧＷにプロキシバインディングアップデートを送信する。
【００１３】
上述したように、２種類の異なる非３ＧＰＰアクセス、すなわち信頼できない非３ＧＰＰアクセスと信頼できる非３ＧＰＰアクセスを定義しており、非３ＧＰＰアクセスが信頼できるか否かは、３ＧＰＰの事業者に任されている。さらに、非３ＧＰＰアクセスは、事業者ＡのあるＵＥにとっては信頼できるアクセスとなり、事業者Ａの別のＵＥにとっては信頼できないアクセスとなる場合もある。
【００１４】
ＵＥが、信頼できない非３ＧＰＰアクセスに移行する又は最初に接続するときに（図２）、ＵＥは最初にｅＰＤＧを検出し、ｅＰＤＧとのＩＰｓｅｃ鍵交換ＩＫＥｖ２／ＩＰｓｅｃトンネルを確立する必要があり、発展型（evolved）パケットコアＥＰＣ（ＰＤＮ−ＧＷ）に対してＰＤＮ−ＧＷとｅＰＤＧとの間のｅＰＤＧ  ＩＰｓｅｃトンネルを介して接続できるようになる。一方で、ＵＥが信頼できる非３ＧＰＰアクセスに移行する又は最初に接続するときに（図３を参照）、それはＭＩＰトンネルを介して直接的にＥＰＣ（ＰＤＮ−ＧＷ）に接続できる。
【００１５】
ＵＥが非３ＧＰＰアクセスネットワークへのハンドオーバを実行するときに、ＵＥがユーザデータを送受信できるようになる前に、ＵＥは最初にｅＰＤＧを検出し、次いで前記ｅＰＤＧへのセキュアなトンネルを確立する必要がある。
【００１６】
ｅＰＤＧの検出とセキュアなトンネルの確立には時間を要し、それゆえに、信頼できない非３ＧＰＰネットワークアクセスへのハンドオーバは更に遅延する。これにより、データの損失、通信品質の低下及び通話の中断などの各種の不利益が発生する可能性がある。
【発明の概要】
【００１７】
そのため、従来技術における問題点を鑑みて、本発明は、信頼できない非３ＧＰＰネットワークへのモバイルノードのハンドオーバ時のＩＰセッションの継続性を確保するための改善された方法を提供することを目的とする。
【００１８】
上述した課題のうち少なくとも１つは独立請求項の特定事項により解決される。本発明の有利な実施形態は従属請求項の特定事項である。
【００１９】
本発明の一側面によれば、信頼できない３ＧＰＰネットワークへの実施され得るハンドオーバは、可能な限り事前に準備される。より詳細には、現在３ＧＰＰネットワークアクセス又は非３ＧＰＰネットワークアクセスに位置するモバイルノードは、最終的には別のネットワークアクセスに移行する必要がある。これに応じて、ハンドオーバが発生する可能性が高くなったときには、多数の異なるアクセスネットワークがハンドオフとなり、モバイルノードは実際のハンドオーバ時にアクセスネットワークの１つを選択する。上述したように、非３ＧＰＰネットワークでは、最初にセキュリティゲートウェイとして適切なｅＰＤＧを検出し、新しいデータ経路を形成するためのｅＰＤＧへの対応するトンネル、すなわちモバイルノードとｅＰＤＧとの間のＩＰｓｅｃを使用するセキュリティトンネルと、ＰＤＮゲートウェイとｅＰＤＧとの間のＩＰトンネルとを確立する必要がある。
【００２０】
実施され得る非３ＧＰＰネットワークアクセスへのハンドオーバを準備するため、この２つのトンネルが確立されるが、それらの使用が実際に必要になるまでは非アクティブ状態で維持される。言い換えれば、モバイルノードのための暫定的なトンネルが事前に作成され、ハンドオーバが実際に確実となった場合のみアクティブ状態にされる。行き先の非３ＧＰＰネットワークにおけるＵＥと他のモバイルノードとの間でデータを提供するために必要なトンネルが事前に準備されるので、実際に非３ＧＰＰネットワークに切り替えるときに、ＩＰセッションは、既に確立されているトンネルをアクティブ状態にするだけで重大な中断を発生することなく継続できる。
【００２１】
様々なｅＰＤＧを持つ複数の非３ＧＰＰネットワークが存在する場合があり、そのため、可能性のあるｅＰＤＧのすべてに対してセキュリティトンネルとＩＰトンネルを作成する必要がある。その後、モバイルノードがハンドオーバのために、その中から１つを選択すると、残りである他の選択されていないｅＰＤＧに対して形成された暫定的なトンネルは破棄されるか、将来の使用のために維持される。
【００２２】
本発明は、ハンドオーバ元ネットワーク（source network）から非３ＧＰＰネットワークへモバイルノードをハンドオーバする際に、ＩＰセッションの継続性を確保する方法を提供する。まず、モバイルノードは、ハンドオーバ元ネットワークに位置し、ハンドオーバ元ネットワークのパケットデータネットワークゲートウェイを介して実行中のＩＰセッションを有している。次いで、モバイルノードがハンドオーバ元ネットワークに接続している状態で、モバイルノードとセキュリティゲートウェイとの間で暫定的なセキュリティアソシエーションが確立され、セキュリティゲートウェイはハンドオーバ元ネットワークに非３ＧＰＰネットワークへのセキュアな通信中継点を提供する。非３ＧＰＰネットワークへのモバイルノードのハンドオーバを実行するときに、モバイルノードとセキュリティゲートウェイとの間にセキュアなトンネルを確立するために、モバイルノードとセキュリティゲートウェイとの間の暫定的なセキュリティアソシエーションが非３ＧＰＰネットワークにおけるモバイルノードのローカルアドレスを用いて更新される。
【００２３】
本発明の有利な実施形態によれば、モバイルノードがハンドオーバ元ネットワークに接続している状態で、セキュリティゲートウェイとパケットデータネットワークゲートウェイとの間に暫定的なトンネルが確立される。非３ＧＰＰネットワークへのモバイルノードのハンドオーバを実行するときに、パケットデータネットワークゲートウェイとセキュリティゲートウェイとの間の暫定的なトンネルがアクティブ状態にされる。
【００２４】
本発明の更なる実施形態においては、セキュリティゲートウェイはモバイルノードのＩＰアドレスについて通知され、それはセキュリティアソシエーションの確立に使用される。この通知は、暗黙的又は明示的に行われる。
【００２５】
本発明の別の実施形態に関して、セキュリティゲートウェイとモバイルノードとの間の暫定的なセキュリティアソシエーションは、ハンドオーバ元ネットワークにおいて割り当てられたモバイルノードのアドレスを使用して確立される。暫定的なセキュリティアソシエーションは、ハンドオーバ元ネットワークで割り当てられたモバイルノードのアドレスと、非３ＧＰＰネットワークでのモバイルノードのローカルアドレスを交換することにより確立される。
【００２６】
本発明の別の実施形態に関して、暫定的なセキュリティアソシエーションを確立するステップは、モバイルノードのセキュリティゲートウェイへの指示、又はハンドオーバ元ネットワークで割り当てられたモバイルノードのアドレス、又は暫定的なセキュリティアソシエーションの確立時にセキュリティゲートウェイがコンタクトする認証サーバに対する照会に基づき、セキュリティゲートウェイが暫定的なセキュリティアソシエーションが暫定的であることを検出することを含む。
【００２７】
本発明の更なる実施形態によれば、パケットデータネットワークゲートウェイとセキュリティゲートウェイとの間に暫定的なトンネルを確立するステップは、暫定的なセキュリティアソシエーションの確立時に、セキュリティゲートウェイが、パケットデータネットワークゲートウェイにおいて、セキュリティゲートウェイのアドレスを使用して暫定的なバインディングキャッシュエントリを構成することを含む。
【００２８】
本発明の別の実施形態によれば、暫定的なセキュリティアソシエーション又は暫定的なトンネルを確立するステップにおいて、モバイルノードに汎用セキュリティゲートウェイＩＤが提供される。暫定的なトンネルは、モバイルノードからパケットデータネットワークゲートウェイに、汎用セキュリティゲートウェイＩＤを含むメッセージを送信することによりアクティブ状態にされる。
【００２９】
本発明の別の実施形態では、パケットデータネットワークゲートウェイとセキュリティゲートウェイとの間の暫定的なトンネルは、セキュリティゲートウェイによって確立され、モバイルノードによってアクティブ状態とされる。モバイルノードは、モバイルノードが後にセキュリティゲートウェイによって確立された暫定的なトンネルをアクティブ状態とすることに対する許可を得るための認証トークンを受信する。
【００３０】
本発明の別の実施形態に関して、複数の非３ＧＰＰネットワークがモバイルノードのハンドオーバに利用可能であり、複数の非３ＧＰＰネットワークが少なくとも１つのセキュリティゲートウェイ候補を決定する。モバイルノードと決定された各セキュリティゲートウェイ候補との間で、暫定的なセキュリティアソシエーションが確立される。パケットデータネットワークゲートウェイと決定された各セキュリティゲートウェイ候補との間で、暫定的なトンネルが確立される。ハンドオーバ先非３ＧＰＰネットワーク（target non-3GPP network）へのモバイルノードのハンドオーバを実行するときに、暫定的なセキュリティアソシエーションが更新され、ハンドオーバ先非３ＧＰＰネットワークのハンドオーバ先セキュリティゲートウェイ（target security gateway）に対して確立された暫定的なトンネルがアクティブ状態にされる。
【００３１】
本発明のさらなる実施形態に関して、決定された各セキュリティゲートウェイ候補からモバイルノードへ、決定された各セキュリティゲートウェイ候補にとって好ましいアクセスネットワークに関する情報を送信することにより、決定された各セキュリティゲートウェイ候補との暫定的なセキュリティアソシエーションが確立される。アクセスネットワークに関する前記情報は、セキュリティゲートウェイ候補からハンドオーバ先セキュリティゲートウェイを決定するためにモバイルノードで使用される。
【００３２】
本発明の有利な実施形態として、モバイルノードは第２のパケットデータネットワークゲートウェイを介して第２のＩＰセッションを確立する。第２のＩＰセッションは、第２のパケットデータネットワークゲートウェイと、第２のＩＰセッションのためのセキュリティゲートウェイとの間で第２の暫定的なトンネルを確立することにより確立される。
【００３３】
本発明の更なる実施形態では、第２のＩＰセッションは、モバイルノードから第２のパケットデータネットワークゲートウェイに汎用セキュリティゲートウェイＩＤが送信されることにより確立される。第２の暫定的なトンネルは、第２のパケットデータネットワークゲートウェイにより汎用セキュリティゲートウェイＩＤを使用して確立される。
【００３４】
本発明の別の実施形態に関して、ハンドオーバ元ネットワークは非３ＧＰＰネットワークであり、モバイルノードの実行中のＩＰセッションはハンドオーバ元非３ＧＰＰネットワーク（source non-3GPP network）のセキュリティゲートウェイを介して行われる。ハンドオーバ先非３ＧＰＰネットワーク（target non-3GPP access network）へのモバイルノードのハンドオーバ後、ハンドオーバ元非３ＧＰＰネットワークのセキュリティゲートウェイとモバイルノードとの間のセキュリティアソシエーションは、ハンドオーバ元非３ＧＰＰネットワークのセキュリティゲートウェイとモバイルノードとの間の前記セキュリティアソシエーションの暫定的な状態を確立するように、モバイルノードのホームアドレスを使用して更新される。パケットデータネットワークゲートウェイとハンドオーバ元非３ＧＰＰネットワークのセキュリティゲートウェイとの間のＩＰセッションに使用されていたトンネルが暫定的な状態に移行される。
【００３５】
本発明の有利な実施形態では、セキュリティゲートウェイとハンドオーバ元ネットワークのエンティティとの間で、直接インタフェイスが確立される。ハンドオーバ元ネットワークのエンティティとセキュリティゲートウェイとの間の直接インタフェイスを介して通信することにより、モバイルノードとセキュリティゲートウェイとの間で、暫定的なセキュリティアソシエーションが確立される。
【００３６】
本発明の更なる実施形態によれば、ハンドオーバ元ネットワークは非３ＧＰＰネットワークであり、モバイルノードの実行中のＩＰセッションはハンドオーバ元非３ＧＰＰネットワークの更なるセキュリティゲートウェイを介して行われる。
【００３７】
本発明の一実施形態に関して、ハンドオーバ元ネットワークのエンティティはモビリティマネジメントエンティティである。さらに、モビリティマネジメントエンティティがセキュリティゲートウェイのＩＰアドレスを、
モビリティマネジメントエンティティの事前構成により、又は
モバイルノードがセキュリティゲートウェイのＩＰアドレスをモビリティマネジメントエンティティに送信することにより、又は、
モビリティマネジメントエンティティの特定のセキュリティゲートウェイを事前に構成し、暫定的なセキュリティアソシエーションの事前確立に関連するモバイルノードから受信したメッセージをモビリティマネジメントエンティティから前記事前構成されたセキュリティゲートウェイへ送信し、及び、この事前構成されたセキュリティゲートウェイが暫定的なセキュリティアソシエーションが確立されるべきセキュリティゲートウェイでない場合は、事前構成されたセキュリティゲートウェイが、当該セキュリティゲートウェイのＩＰアドレスをモビリティマネジメントエンティティに送信することにより、又は、
任意のセキュリティゲートウェイを選択し、暫定的なセキュリティアソシエーションの事前確立に関連するモバイルノードから受信したメッセージをモビリティマネジメントエンティティから前記任意のセキュリティゲートウェイへ送信し、及び、この任意のセキュリティゲートウェイが暫定的なセキュリティアソシエーションが確立されるべきセキュリティゲートウェイでない場合は、任意のセキュリティゲートウェイが当該セキュリティゲートウェイのＩＰアドレスをモビリティマネジメントエンティティに送信することにより、
認識する。
【００３８】
さらに、本発明は、非３ＧＰＰネットワークへのモバイルノードのハンドオーバ際にＩＰセッションの継続性を確保するように、ハンドオーバ元ネットワークに接続されたモバイルノードを提供する。モバイルノードは、ハンドオーバ元ネットワークのパケットデータネットワークゲートウェイを介して、ＩＰセッションを実行中である。モバイルノードがハンドオーバ元ネットワークに接続されている状態で、モバイルノードの受信部と送信部は、モバイルノードとセキュリティゲートウェイとの間の暫定的なセキュリティアソシエーションを確立するために、セキュリティゲートウェイとメッセージを交換する。セキュリティゲートウェイは、ハンドオーバ元ネットワークに対し、非３ＧＰＰネットワークへのセキュアな通信中継点を提供する。モバイルノードの受信部と送信部はさらに、モバイルノードとセキュリティゲートウェイとの間にセキュアなトンネルを確立するために、非３ＧＰＰネットワークにおけるモバイルノードのローカルアドレスを用いて、モバイルノードとセキュリティゲートウェイとの間の暫定的なセキュリティアソシエーションを更新するように、セキュリティゲートウェイとメッセージを交換する。
【００３９】
本発明はまた、非３ＧＰＰネットワークへのセキュアな通信中継点を提供し、ハンドオーバ元ネットワークから非３ＧＰＰネットワークの１つへのハンドオーバを行う際に、モバイルノードのＩＰセッションの継続性を確保するセキュリティゲートウェイを提供する。モバイルノードは、まずハンドオーバ元ネットワークに位置し、ハンドオーバ元ネットワークのパケットデータネットワークゲートウェイを介するＩＰセッションを実行中である。モバイルノードがハンドオーバ元ネットワークに接続されている状態で、セキュリティゲートウェイの受信部と送信部は、モバイルノードとセキュリティゲートウェイとの間の暫定的なセキュリティアソシエーションを確立するためにモバイルノードとメッセージを交換する。プロセッサはさらに、モバイルノードとセキュリティゲートウェイとの間にセキュアなトンネルを確立するために非３ＧＰＰネットワークにおけるモバイルノードのローカルアドレスを用いて、モバイルノードとセキュリティゲートウェイとの間の暫定的なセキュリティアソシエーションをアクティブ状態とする。
【００４０】
さらに、本発明は、モバイルノードが接続されているハンドオーバ元ネットワークにおいて、非３ＧＰＰネットワークへのモバイルノードのハンドオーバを行う際のＩＰセッションの継続性を確保するパケットデータネットワークゲートウェイを提供する。モバイルノードは、パケットデータネットワークゲートウェイを介してＩＰセッションを実行中である。モバイルノードがハンドオーバ元ネットワークに接続されている状態で、モバイルノードとセキュリティゲートウェイとの間の暫定的なセキュリティアソシエーションを確立したことに応じて、パケットデータネットワークゲートウェイのプロセッサは、パケットデータネットワークゲートウェイとセキュリティゲートウェイとの間の暫定的なトンネルを確立し、それはハンドオーバ元ネットワークに対して非３ＧＰＰネットワークへのセキュアな通信中継点を提供する。
【００４１】
パケットデータネットワークゲートウェイの受信部は、モバイルノードが非３ＧＰＰネットワークへのハンドオーバを実行するときに、パケットデータネットワークゲートウェイとセキュリティゲートウェイとの間の暫定的なトンネルをアクティブ状態とするメッセージをモバイルノードから受信する。プロセッサは、受信したメッセージに応じて、パケットデータネットワークゲートウェイとセキュリティゲートウェイとの間の暫定的なトンネルをアクティブ状態とする。
【図面の簡単な説明】
【００４２】
次に、添付図及び図面を参照して本発明をより詳細に説明する。図中の同様の詳細又は対応する詳細は同じ参照番号で示されている。
【図１】ＬＴＥシステムの高レベルアーキテクチャを示す
【図２】モバイルノードが信頼できない非３ＧＰＰネットワークへのハンドオーバを実行し、セキュリティゲートウェイを介して３ＧＰＰコアネットワークと通信しているネットワーク配置を示す
【図３】モバイルノードが信頼できる３ＧＰＰネットワークへのハンドオーバを完了し、モバイルノードが３ＧＰＰコアネットワークと直接通信できるネットワーク配置を示す
【図４ａ】ＵＥが、ハンドオーバ元ネットワークに位置し、ハンドオーバ先非３ＧＰＰアクセスネットワークへのハンドオーバを準備している、本発明の一実施形態によるネットワーク配置とメッセージ交換を示す
【図４ｂ】ＵＥがハンドオーバ先非３ＧＰＰアクセスネットワークへのハンドオーバを実行している、本発明の一実施形態によるネットワーク配置とメッセージ交換を示す
【図４ｃ】ＵＥがハンドオーバ先非３ＧＰＰアクセスネットワークに接続されている、本発明の一実施形態によるネットワーク配置とメッセージ交換を示す
【図５ａ】ＵＥが２つのＰＤＮ−ＧＷを介して２つの実行中のＩＰセッションを持ち、第１のＩＰセッションに対して暫定的なセキュリティトンネルと暫定的なトンネルが事前確立されているネットワーク配置とメッセージ交換を示す
【図５ｂ】ＵＥが非３ＧＰＰアクセスネットワークへのハンドオーバを完了し、このハンドオーバによる本発明の最適化が第１のＩＰセッションに対してのみ適用可能な、図５ａのネットワーク配置を示す
【図６】新しいＩＰセッションが設定されるときに、この新しいＩＰセッションを含むようにすべての実行中のＩＰセッションに対する暫定的なトンネルの事前確立が再度開始される、本発明の別の実施形態によるネットワーク配置とメッセージ交換を示す
【図７】新しいＩＰセッションが設定されるときに、新しいＩＰセッションに対してのみ暫定的なトンネルの事前確立が開始される、本発明の別の実施形態によるネットワーク配置とメッセージ交換を示す
【図８ａ】新しいＩＰセッションの確立時に、新しいＰＤＮ−ＧＷ２とｅＰＤＧとの間で暫定的なトンネルが確立され、以前のＩＰセッションに対する暫定的なＩＰｓｅｃトンネルを新しいＩＰセッションで再使用できる、本発明の更に別の実施形態によるネットワーク配置とメッセージ交換を示す
【図８ｂ】新しいＩＰセッションの確立時に、新しいＰＤＮ−ＧＷ２とｅＰＤＧとの間で暫定的なトンネルが確立され、以前のＩＰセッションに対する暫定的なＩＰｓｅｃトンネルを新しいＩＰセッションで再使用できる、本発明の更に別の実施形態によるネットワーク配置とメッセージ交換を示す
【図９】新しいＰＤＮ−ＧＷ２とｅＰＤＧとの間で暫定的なＰＭＩＰトンネルを確立するために、古いＰＤＮ−ＧＷ１がｅＰＤＧとのコンタクトに使用される、本発明の別の実施形態によるネットワーク配置とメッセージ交換を示す
【図１０ａ】以前に、ハンドオーバ元非３ＧＰＰネットワークで確立されたセキュリティトンネルとＰＭＩＰトンネルが、ハンドオーバ先非３ＧＰＰネットワークへのハンドオーバ時に失われたため、問題が発生しているネットワーク配置状況を示す
【図１０ｂ】以前に、ハンドオーバ元非３ＧＰＰネットワークで確立されたセキュリティトンネルとＰＭＩＰトンネルが、ハンドオーバ先非３ＧＰＰネットワークへのハンドオーバ時に失われたため、問題が発生しているネットワーク配置状況を示す
【図１１】図１０ａ及びｂで示されている問題を解決するための、本発明の別の実施形態によるネットワーク配置とメッセージ交換を示す
【図１２ａ】図１０ａ及びｂで示されている問題を解決するための、本発明の更に別の実施形態によるネットワーク配置とメッセージ交換を示す
【図１２ｂ】図１０ａ及びｂで示されている問題を解決するための、本発明の更に別の実施形態によるネットワーク配置とメッセージ交換を示す
【図１３】使用不能になる問題を伴うＵＥのピンポン状態を解決するためのネットワーク配置とメッセージ交換を示す
【図１４】使用不能になる問題を伴うＵＥのピンポン状態を解決するためのネットワーク配置とメッセージ交換を示す
【図１５ａ】ＵＥのピンポン状態に対処するための、本発明の別の実施形態によるネットワーク配置とメッセージ交換を示す
【図１５ｂ】ＵＥのピンポン状態に対処するための、本発明の別の実施形態によるネットワーク配置とメッセージ交換を示す
【図１６ａ】ＵＥの別のピンポン状態に対処するための、本発明の更に別の実施形態による異なるネットワーク配置とメッセージ交換を示す
【図１６ｂ】ＵＥの別のピンポン状態に対処するための、本発明の更に別の実施形態による異なるネットワーク配置とメッセージ交換を示す
【図１７】ＵＥがＰＤＮ−ＧＷ１及びＰＤＮ−ＧＷ２を介して、ｅＰＤＧに到達することができないネットワーク状況を示す
【図１８ａ】暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡ／トンネルが事前確立されている、本発明の一実施形態のネットワーク状況及び信号交換を示す
【図１８ｂ】暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡ／トンネルが事前確立されている、本発明の一実施形態のネットワーク状況及び信号交換を示す
【図１９】本発明の更なる実施形態によるネットワーク状況を示し、より具体的には、ＭＭＥとｅＰＤＧとの間のＳ１０１ｅＰＤＧインタフェイスを示す
【図２０】ｅＰＤＧとＵＥとの間で暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡ／トンネルを事前確立するためのメッセージ交換を行うために、Ｓ１０１ｅＰＤＧインタフェイスを使用する、本発明の実施形態のための信号交換を示す
【発明を実施するための形態】
【００４３】
（定義）
次に、本願において頻繁に使用するいくつかの用語の定義を示す。
【００４４】
モバイルノードは、通信ネットワーク内の物理エンティティである。１つのノードが複数の機能エンティティを持つ場合がある。機能エンティティとは、所定の１組の機能をノードの他の機能エンティティ又はネットワークに実装及び／又は提供するソフトウェア又はハードウェアモジュールを指す。ノードは、ノードが通信できることにおいて、通信設備又は媒体にノードを接続するインタフェイスを１つ又は複数有してもよい。同様に、ネットワークエンティティは、他の機能エンティティ又は相手先ノードと通信できるようにしてもよいことにおいて、通信設備又は媒体に機能エンティティを接続する論理インタフェイスを有してもよい。
【００４５】
３ＧＰＰシステムは、３ＧＰＰコアネットワークと３ＧＰＰ無線アクセスネットワークからなる、３ＧＰＰによって標準化された通信システムである。
【００４６】
３ＧＰＰコアネットワークは、端末の（無線、有線などの）接続技術に依存しない物理エンティティからなる、３ＧＰＰシステムの部分に関する。 
【００４７】
３ＧＰＰアクセスネットワークは、（基地局などの）３ＧＰＰ無線アクセス技術に依存するエンティティからなる、３ＧＰＰシステムの部分に関する。
【００４８】
非３ＧＰＰアクセスネットワークは、３ＧＰＰシステムに依存しないネットワークへのノード接続を可能とするエンティティからなる通信システムである。セキュリティアソシエーション（ＳＡ）は、セキュアな通信を行うために、２つのノード又は機能エンティティが共有するセキュリティ情報群として定義できる。例えば、セキュリティアソシエーションには、データ暗号化アルゴリズム、１又は複数のデータ暗号化鍵（例えば、秘密鍵又は公開／私有鍵の対、１又は複数の初期化ベクトル、複数のデジタル証明書など）を含んでもよい。通常、外部ネットワークにおけるモバイルノードと、ホームネットワークにおける自己のホームエージェントとの間に提供されるセキュリティアソシエーションがある。そのため、モバイルノードが外部ネットワークに接続された場合でも、ホームエージェントとモバイルノードとの間において、暗号化された、かつ／又は認証／承認された通信を（例えば、セキュアなトンネルを介して）確保することができる。セキュリティアソシエーションは、一般的に、両エンドポイントのアドレスの双方、すなわちホームエージェントのアドレスと、複数のモバイルノードのアドレスの中の１つ（通常はホームアドレス）と結合される。
【００４９】
暫定的とは、本発明において主にトンネルの状態を表すために用いる形容詞である。暫定的なトンネルとは、確立されているがまだ「アクティブ状態」となっていないものである。すなわち、暫定的なトンネルのエンドポイントエンティティは、暫定的なトンネルのためのすべての必要なパラメータ（例えばバインディングキャッシュエントリなど）を設定しているが、いかなるデータ転送にもこのトンネルは使用されていない。また、暫定的でないトンネルが確立された場合に生じうるいかなる反応も、暫定的なトンネルでは発生しない。このようにして、必要なステップが前もって既に実行されているため、暫定的なトンネルをアクティブ状態とするだけで実際のトンネルが迅速に確立できる。
【００５０】
さらに、「暫定的」という形容詞は、ＩＰｓｅｃセキュリティアソシエーション／トンネルを説明する場合にも使用される。この場合、ＩＰｓｅｃセキュリティアソシエーションは、暫定的のまま、アクティブ状態とすることもできる。より詳細には、どのみち当該通信リンクを介してデータが送信されることはないため、暫定的なＩＰｓｅｃ  ＳＡ／トンネルを非アクティブ状態とする必要はないのである。以降に示す本発明の状況においては、暫定的なＩＰｓｅｃトンネルはｅＰＤＧ２とＵＥとの間で確立される。ＵＥ向けのデータはｅＰＤＧ２では受信されないため、前記ＩＰｓｅｃトンネルを介して転送されるデータはない。
【００５１】
本発明では、ＩＫＥセキュリティアソシエーションとＩＰｓｅｃ  ＳＡ／トンネルは区別される。ＩＫＥ  ＳＡは、通信相手間で共有鍵を折衝する場合にのみ使用する。次いで、これらの共有鍵はＩＰｓｅｃ  ＳＡのための折衝で使用される。さらに、ＩＰｓｅｃ  ＳＡは、通信相手や、どのパケットをどのＩＰアドレスに送信するか、及び前記パケットの送信に使用する暗号化などを定義する。そのため、ＩＰｓｅｃ  ＳＡはＩＰｓｅｃトンネルと呼ぶこともできるが、一方でＩＫＥ  ＳＡは鍵の交換のみに必要である。
【００５２】
以降の段落では、本発明の様々な例と実施形態を説明する。これらの例と実施形態は本発明を限定するものではなく、当業者が本発明の原理を理解できるようにするためのものである。言及されていない原理の変化は前記原理に含まれるものではなく、本説明を研究する当業者には明白である。
【００５３】
図４ａは、本発明の実施形態例の初期状態を示しており、そこでは、モバイルノードは、３ＧＰＰアクセスネットワークに位置し、かつ、例えば他のモバイルノードと実行中のＩＰセッションを有する。ＩＰセッションの通信は、３ＧＰＰアクセスネットワーク、３ＧＰＰアクセスのサービングゲートウェイ、発展型（evolved）パケットコアネットワークのＰＤＮ−ＧＷ、及びパケットデータネットワークを介してして実現される（１）。プロキシモバイルＩＰが使用され、ＰＤＮ−ＧＷはモバイルノードのホームエージェントとなり、ＵＥのホームアドレスがＰＤＮ−ＧＷにおいて割り当てられ、ＰＤＮ−ＧＷは気付アドレスを使用してデータパケットをＰＤＮからＵＥへトンネリングする。図４ａから明らかなように、ＰＭＩＰトンネルがＰＤＮ−ＧＷとＳ−ＧＷとの間に確立され、プロキシＭＩＰにおいて、例えばｅＮｏｄｅ−Ｂを変更する場合に、Ｓ−ＧＷが３ＧＰＰアクセスネットワーク内のモビリティに対するモビリティアンカとなるためである。ここで、気付アドレスはＳ−ＧＷのＩＰアドレスである。
【００５４】
モバイルノードのハンドオーバに、信頼できない非３ＧＰＰネットワークアクセスは１つしか使用できないものと仮定する。当然、これは本発明の様々な原理を簡単に説明するための例に過ぎず、３ＧＰＰ／非３ＧＰＰ、あるいは信頼できる／できないに係わらず、複数のネットワークアクセスを使用することも可能である。
【００５５】
次に、本発明の具体的な一実施形態について論ずることにする。本発明の実施形態では、ハンドオーバ後に必要となる可能性があるすべてのデータ経路を最初に準備するものとする。具体的には、非３ＧＰＰアクセスネットワークへのハンドオーバ後、ＵＥがｅＰＤＧを介してＰＤＮ−ＧＷと通信する必要があるため、データ経路は変更される。このデータ経路を事前に確立し、暫定的な状態で維持することにより、前記非３ＧＰＰアクセスネットワークへのハンドオーバを迅速に行うことができる。
【００５６】
第１に、ハンドオーバを実行する前に、ＵＥは、可能性のあるｅＰＤＧ、すなわちｅＰＤＧのＩＰアドレスを検出する必要がある。この場合では、前記１つの信頼できない非３ＧＰＰネットワークアクセスは複数のｅＰＤＧにより提供できるが、最終的に前記非３ＧＰＰネットワークアクセスへのハンドオーバを実行するときにはモバイルノードにより１つだけが選択される。
【００５７】
様々なｅＰＤＧの検出は一般的な方法で行うことができる。例えば、モバイルノードは事前設定された情報又はＤＮＳ（ドメイン名システム）を使用できる。事前設定された情報については、モバイルノードは、特定の非３ＧＰＰアクセスに応じて使用すべきｅＰＤＧ  ＩＰアドレスの一覧をスマートカード（ＵＳＩＭ）に格納することができる。例えば、非３ＧＰＰアクセスがＷＬＡＮアクセスネットワークである場合、モバイルノードは、当該ネットワークにより報知されたＳＳＩＤ（サービスセット識別子）を使用し、使用するｅＰＤＧを決定するためテーブル内で検索を実行する。一方、ＤＮＳを使用する場合、モバイルノードは、例えば非３ＧＰＰアクセスからの情報及び／又はＰＬＭＮ（公衆地上移動通信ネットワーク）の事業者識別情報を使用してＦＱＤＮ（完全修飾ドメイン名）を構築し、これを解決するためにＤＮＳ照会を実行する。ＤＮＳ応答には、モバイルノードが接続できる１つ又は複数の同等のｅＰＤＧのＩＰアドレスが含まれる。
【００５８】
次いで、ＵＥがｅＰＤＧのＩＰアドレスを認識した後、それは、ｅＰＤＧへの暫定的でセキュアなトンネル（ＩＰｓｅｃ）を確立する（２）ために、ＰＤＮ−ＧＷとＩＫＥｖ２により割り当てられた自身のＩＰアドレス（モバイルノードのホームアドレス）を使用する。モバイルノードは依然として３ＧＰＰアクセスネットワークにあり、ＩＫＥｖ２で使用されるアドレスはＰＤＮ−ＧＷで割り当てられているホームアドレスであるため、前記ＩＰｓｅｃトンネルはＳ−ＧＷ及びＰＤＮ−ＧＷを介してｅＰＤＧに到る。しかし、図４ａ及び４ｂに示されるように、暫定的なＩＰｓｅｃトンネルはＰＤＮも経由している。その理由は、ＰＤＮ−ＧＷはモバイルノードから送信されるすべてのトラフィックをＩＰネットワークに送信するよう設定されており、ここではＰＤＮであるためである。ＰＤＮは、例えば公衆インターネット、企業内ネットワーク、又は（ＩＭＳ（ＩＰマルチメディアサブシステム）サービスの提供のための）事業者内ネットワークである。さらに、モバイルノードが使用するｅＰＤＧのＩＰアドレスはｅＰＤＧの外部インタフェイスのアドレスである。
【００５９】
その結果、コアネットワーク内での通信のために提供されているｅＰＤＧの内部インタフェイスを使用する代わりに、暫定的なＩＰｓｅｃトンネルはｅＰＤＧへの外部インタフェイスを使用し、そのために、異なるｅＰＤＧのＩＰアドレスを使用することになる（これについては後段で詳述する）。本発明の様々な図において、暫定的なＩＰｓｅｃトンネルはコアネットワークを横断しているように図示されている。しかし、これは単にわかりやすく説明するためであり、暫定的なＩＰｓｅｃトンネルがＰＤＮからｅＰＤＧインタフェイスと接触する技術的な実施と必ずしも一致するものではない。
【００６０】
一般的に、ＩＰｓｅｃは、ＩＰ層で他のプロトコルやアプリケーションに対し安全な通信のためのセキュリティサービスを提供する。すなわち、ＩＰｓｅｃは、セキュアでない中間システムにおいて、２つの通信ノードの間にセキュアな経路を確立する。そのため、ＩＰｓｅｃはセキュリティサービスを提供する複数の構成要素で構成されており、主要な２つのものは認証ヘッダ（ＡＨ）プロトコルとカプセル化セキュリティペイロード（ＥＳＰ）プロトコルである。これらは、特定のヘッダをＩＰデータパケットに付与することにより、ＩＰデータの信頼性と秘密性を実現する。インターネット鍵交換（ＩＫＥ）は、ＩＰｓｅｃプロトコル群でセキュリティアソシエーション（ＳＡ）を確立するために使用されるプロトコルである。ＩＫＥはディフィー・ヘルマン鍵交換を使用して、暗号鍵の生成元となる秘密の共有セッションを確立する。公開鍵技術、又は、事前共有鍵は、通信当事者の相互認証するために使われる。ＩＰｓｅｃセキュリティアソシエーションは、２つの通信相手の間、すなわち本発明においては主にＵＥとｅＰＤＧとの間の論理接続であり、ＩＰｓｅｃ  ＳＡを通過するすべてのトラフィックに対して、同じセキュリティ処理、例えば整合性の保護や暗号化、が実施される。
【００６１】
これまでの実施形態及び更なる実施形態においては、暫定的なＩＰｓｅｃトンネルは事前確立されると説明されているが、必ずしもリソースをＩＰｓｅｃトンネルに割り当てることを含むものと解釈すべきではない。それよりも、暫定的なＩＰｓｅｃトンネルの事前確立は、ＩＫＥセキュリティアソシエーションの折衝のみを含むものと解釈でき、それはＩＰｓｅｃトンネルの確立で最も大きな部分を占める。そのため、本発明によれば、ＵＥとｅＰＤＧとの間のセキュリティアソシエーションの事前確立のみを行うことが可能であり、又は、実際のＩＰｓｅｃトンネルは、リソースの保留と割当てを含むように、暫定的に確立してもよい。
【００６２】
しかし、ＵＥとｅＰＤＧとの間のＩＰｓｅｃトンネルの確立は暫定的なものであり、すなわちＵＥとｅＰＤＧとの間のＩＰｓｅｃトンネルは確立された直後は使用されず、最終的に必要になるまでアイドル状態で保持されることは重要である。
【００６３】
例えば、非３ＧＰＰネットワークへのアクセスのためのシステムアーキテクチャによれば、ＰＤＮ−ＧＷとｅＰＤＧとの間でプロキシＭＩＰを使用する場合、ＵＥとｅＰＤＧとの間でＩＰｓｅｃトンネルを確立すると、ｅＰＤＧはプロキシバインディングアップデートメッセージをＰＤＮ−ＧＷに送信し、これにより、トラフィックが３ＧＰＰネットワークを介してＵＥに送信される代わりに、トラフィックの送信先がｅＰＤＧに切り替えられる。ＵＥは実際には依然として３ＧＰＰネットワークにあるため、この切替えは、データの損失やＩＰセッションの中断を発生し、不利益となる。
【００６４】
ＩＰｓｅｃトンネルを暫定的な状態で確立するため、ＵＥは、トンネルの確立中に、このトンネルがハンドオーバ後に後で使用するために事前確立をされたものであることをｅＰＤＧに通知することができる。例えば、セキュリティアソシエーションを確立するためのＩＫＥ交換の任意のメッセージは、フラグ又は同様のものを送信するために適応されてもよく、それにより、ｅＰＤＧは、ＩＰｓｅｃトンネルが暫定的なものでしかないことを認識する。
【００６５】
また、ＩＫＥｖ２交換でＵＥにより使用されるＩＰアドレスはＵＥのホームアドレスであるため、ｅＰＤＧはＩＰｓｅｃトンネルが事前確立されているだけのトンネルであることを暗黙的に検出することができる。具体的には、ＵＥがこのハンドオーバを実際に実行したのであれば、ＩＫＥｖ２メッセージ交換はＭＮ（モバイルノード）のホームアドレスではなく非３ＧＰＰアクセスネットワークのローカルアドレスで実行されているはずである。
【００６６】
ｅＰＤＧが暫定的なＩＰｓｅｃトンネルの事前確立を検出するできる別の方法として、ＡＡＡ（認証、認可、アカウンティング）交換による方法が考えられる。ＵＥがｅＰＤＧへのトンネルを確立すると、ＥＡＰ−ＡＫＡ（Extensible Authentication Protocol-Authentication and Key Agreement）に基づいて、ＵＥとネットワークとの間で相互認証が実行される。この場合において、ｅＰＤＧは、ＵＥの認証のためＡＡＡサーバにコンタクトするＡＡＡクライアントである。認証処理の間に、ＡＡＡサーバは、ＵＥが依然としてｅＰＤＧを必要としないアクセスを実行中であることを検出する場合がある。このため、まだデータトラフィックのためにｅＰＤＧへのセキュアなトンネルを使用する必要はなく、ＡＡＡサーバはこのことをｅＰＤＧに通知する。
【００６７】
このように、ＩＰｓｅｃトンネルがただ暫定的なものであること、すなわちＵＥがハンドオーバをまだ実行していないことを、ｅＰＤＧが認識できるようにするための方法が多種存在することは明らかである。当業者は、この目的を達成するための可能な方法を更に思いつくことができるだろう。
【００６８】
さらに、ＰＤＮ−ＧＷからｅＰＤＧへのＰＭＩＰトンネルを事前に確立することができる。これにより、ＩＰｓｅｃトンネルの確立に応じて、ｅＰＤＧは、ＰＤＮ−ＧＷでの経路切替えが行われないようにＰＤＮ−ＧＷにｅＰＤＧへの暫定的なＰＭＩＰトンネルを確立させるために、プロキシバインディングアップデート（ＰＢＵ）メッセージをＰＤＮ−ＧＷに送信する。ＰＤＮ−ＧＷとｅＰＤＧとの間のＰＭＩＰトンネルも暫定的、すなわちまだ使用されないものとする。例えば、ＰＭＩＰシグナリングの拡張（３）により、ＰＭＩＰトンネルの暫定的な状態（４）をＰＤＮ−ＧＷで作ることができる。例えば、ＰＭＩＰは、ＰＢＵにトンネルの事前確立を示す新しいフラグを追加することにより拡張できる。暫定的なＰＭＩＰトンネルの事前確立には、例えば、暫定的なバインディングキャッシュエントリとしてのｅＰＤＧのＩＰアドレスや、セキュリティ、トンネル、ＱｏＳの各パラメータなどを含むことが可能である。
【００６９】
その結果、ＵＥがハンドオーバ元ネットワークにある状態で、２つの暫定的なトンネル、すなわちＵＥとｅＰＤＧとの間のセキュアなトンネルとその後のＰＤＮ−ＧＷとｅＰＤＧとの間のＰＭＩＰトンネルを確立するために、上述の手順が実行される。ＵＥは依然としてハンドオーバ元ネットワークにあるため、両者とも暫定的な状態であり、これらの暫定的なトンネルは、ＵＥが前記非３ＧＰＰアクセスネットワークへのハンドオーバを実際に実行する場合のみ使用される。
【００７０】
ハンドオーバの前にｅＰＤＧとＰＤＮ−ＧＷとの間の暫定的なＰＭＩＰトンネルを事前確立する代わりに、ｅＰＤＧはＩＫＥ／ＩＰｓｅｃトンネルの事前確立時にＵＥとｅＰＤＧとの間のＩＰｓｅｃトンネルの状態のみを作ることができる。これにより、その時点ではｅＰＤＧからＰＤＮ−ＧＷへのシグナリングは実行されない。代わりに、信頼できない非３ＧＰＰアクセスへのＵＥのハンドオーバをする際に、ｅＰＤＧとＰＤＮ−ＧＷとの間でＰＭＩＰトンネルが確立される。言い換えれば、本発明のこの別の実施形態によれば、ＵＥとｅＰＤＧとの間の暫定的なＩＰｓｅｃトンネルのみが事前に作成される。
【００７１】
図４ｂは、ＭＮ（モバイルノード）が信頼できない３ＧＰＰネットワークへのハンドオーバを実行する際のネットワーク配置とメッセージ交換を示す。その後、ＵＥが実際にハンドオーバを開始し、一方で依然としてハンドオーバ元ネットワークにある場合、ＵＥは、ＰＤＮ−ＧＷにハンドオーバ後に使用するｅＰＤＧのＩＤを通知し（５）、データトラフィックの経路をｅＰＤＧに切り替えさせる（６）、すなわちＰＭＩＰトンネルの暫定的な状態をアクティブ状態とする（暫定的なＰＭＩＰトンネルが確立されていない場合は、ＰＭＩＰトンネルが作成される）。この経路切替えの発動は、ＵＥによって任意の接続を介して、例えば、遅延が最小になるよう、直接的に３ＧＰＰアクセス特有の手順を介して（すなわち、ＭＭＥへの非アクセス層（ＮＡＳ）シグナリングを介して）行うことが可能であり、事前確立済みのｅＰＤＧ接続を介して行う必要はない。
【００７２】
Ｌ２ハンドオーバが完了した後、ＰＤＮ−ＧＷからＵＥまでの新しいデータ経路を使用できるようにするため、ＵＥとｅＰＤＧとの間の暫定的なＩＰｓｅｃトンネルをアクティブ状態とする必要がある。さらに、ＩＰｓｅｃトンネルをＵＥのローカルアドレスに更新する必要があり（７）、それは、新しい信頼できない非３ＧＰＰネットワーク領域へのハンドオーバ時に、ＵＥが接続したアクセスポイントによってＵＥに割り当てられている。
【００７３】
前記の目的のため、確立されたセキュリティアソシエーションが結合される個々のアドレスを更新できるように、プロトコルの拡張が使用される。可能な解決方法の１つとして、セキュリティアソシエーションが結合される新しいアドレスを含むメッセージを、それぞれもう一方のピア（すなわちｅＰＤＧ）に送信することが考えられる。このシグナリングメッセージは、例えばセキュリティアソシエーションにより保護することができる。セキュリティアソシエーションに結合されるアドレスを更新するためのメッセージ（単数又は複数）は、Ｅｒｏｎｅｎの『ＩＫＥｖ２  Ｍｏｂｉｌｉｔｙ  ａｎｄ  Ｍｕｌｔｉｈｏｍｉｎｇ  Ｐｒｏｔｏｃｏｌ  （ＭＯＢＩＫＥ）』（ＩＥＴＦ  ＲＦＣ  ４５５５、２００６年６月）（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇで入手可能であり、参照により本書に組み込まれる）又は、新しいセキュリティアソシエーションを確立するためのメッセージ（Ｈａｌｅｙ他の『Ｍｏｂｉｌｉｔｙ  Ｈｅａｄｅｒ  Ｈｏｍｅ  Ａｇｅｎｔ  Ｓｗｉｔｃｈ  Ｍｅｓｓａｇｅ』（ＩＥＴＦインターネットドラフト、ｄｒａｆｔ‐ｉｅｔｆ‐ｍｉｐ６‐ｈａ‐ｓｗｉｔｃｈ‐００．ｔｘｔ、２００６年６月などを参照））で定義された用例のメッセージと同様に、設計にすることができる。
【００７４】
これは、ＵＥが新しい非３ＧＰＰアクセスネットワークに既に接続されている状態でのネットワーク配置を示す図４ｃで示されている。
【００７５】
ＵＥとｅＰＤＧとの間の暫定的なＩＰｓｅｃトンネルのアクティブ化及び更新が実行されると、非３ＧＰＰネットワークへのＵＥのハンドオーバは完了し、ＩＰセッションデータは新しいデータ経路を介して転送される。ハンドオーバは事前に準備されており、すなわち必要なトンネルはアクティブ状態ではないが既に確立されているため、この最適化されたハンドオーバ手順により遅延は短縮される。そのため、ハンドオーバは暫定的なトンネルをアクティブ状態することにより実行可能であり、この作業はトンネルの確立処理を最初から行うより迅速に行うことができる。
【００７６】
次に、上述した本発明の実施形態の様々な側面についてより詳細に論ずる。
【００７７】
上述した本発明の実施形態では、ネットワークでプロキシＭＩＰが使用されているものと仮定していた。しかし、本発明の原理は、わずかな差異はあるが、クライアントモバイルＩＰが使用されている状況でも適用される。具体的には、クライアントＭＩＰを使用するときに、ＵＥはホームエージェントであるＰＤＮ−ＧＷにＣＭＩＰトンネルを介して接続され、プロキシＭＩＰを使用する場合、ＵＥはホームエージェントであるローカルモビリティエージェント（ＬＭＡ）には直接接続されず、ｅＰＤＧ、すなわちＭＡＧにのみ接続される。そのため、ＰＤＮ−ＧＷからのＰＭＩＰトンネルはｅＰＤＧにしか到達しない。その結果、ＵＥがクライアントＭＩＰを使用する場合、ＭＩＰトンネルはプロキシＭＩＰの展開時のようにＰＤＮ−ＧＷからｅＰＤＧ（ＵＥのＭＡＧ）にかけて確立されるのではなく、ＰＤＮ−ＧＷ（ＵＥのＨＡ）からＵＥにかけて確立される。ｅＰＤＧとＵＥとの間では、クライアントＭＩＰトンネルはＩＰｓｅｃトンネルの内側にあり、言い換えれば、データパケットはクライアントＭＩＰに従ってＰＤＮ−ＧＷでカプセル化され、次いで、このデータパケットはＩＰｓｅｃに従って全体がカプセル化される。上述した本発明の実施形態と後述の実施形態はプロキシＭＩＰに限られるが、当業者は本書で示されている教示事項をクライアントＭＩＰに容易に適用できる。
【００７８】
さらに、ＵＥがＰＤＮ−ＧＷでｅＰＤＧへの暫定的なＰＭＰＩトンネルをアクティブ状態とする（又はＰＭＩＰトンネルの新しい状態を作成する）ときに（図４ｂのステップ（６））、問題の１つとして、ＵＥがＰＤＮ−ＧＷへのｅＰＤＧをどのように識別できるかが挙げられるが、これは、図４ｂでＰＤＮからのＩＰｓｅｃトンネルがｅＰＤＧの外部インタフェイスに到達していることからわかるように、ＵＥがＩＰｓｅｃトンネルのためにｅＰＤＧとの接続を確立するときに、ｅＰＤＧの外部ＩＰアドレスを使用するためである。しかし、ＰＤＮ−ＧＷとｅＰＤＧとの間のトンネルは、外部ＩＰアドレスではなく、内部ＩＰアドレスに基づいている（例えば、図４ｂも参照）。そのため、ＵＥがＰＤＮ−ＧＷにｅＰＤＧを示すときに、ＰＤＮ−ＧＷは外部ＩＰアドレスではなく、ｅＰＤＧの内部ＩＰアドレスを通知する必要がある。
【００７９】
この問題を解決する方法の１つとして、ＰＤＮ−ＧＷ又はｅＰＤＧがｅＰＤＧの共通ＩＤ、すなわちｅＰＤＧ−ＩＤを、ＩＰｓｅｃトンネルの事前確立時（２）にＵＥに提供してもよい。次いで、ＵＥは、どの暫定的なトンネルをアクティブ状態とするか（又は、どのｅＰＤＧに対してＰＭＩＰトンネルを作成するか）をＰＤＮ−ＧＷが認識できるように、使用するｅＰＤＧをＰＤＮ−ＧＷに通知するために、ｅＰＤＧ−ＩＤを使用する。したがって、１つの共通ｅＰＤＧ識別子が使用され、ここからＵＥとＰＤＮ−ＧＷの両方のエンティティが、ｅＰＤＧへのコンタクトに使用されるインタフェイスに係わらず、ｅＰＤＧの所定のＩＰアドレスを生成できるようになる。
【００８０】
図４に示した、上述した本発明の実施形態で発生するもう１つの問題は、ｅＰＤＧとＰＤＮ−ＧＷとの間で暫定的なＰＩＭＰトンネルが作成された場合に、ＰＭＩＰトンネルの暫定的な状態はｅＰＤＧによって確立されるが（ステップ（３））、この状態が後でＵＥによりアクティブ状態とされる（ステップ（５））、又は、ｅＰＤＧとＰＤＮ−ＧＷとの間で暫定的なトンネルが作成されていない場合に、ＰＤＮ−ＧＷでのＰＭＩＰトンネルの確立はＵＥにより引き起こされるが、実際にはこのトンネルはＰＤＮ−ＧＷとｅＰＤＧとの間に存在することである。そのため、ＰＤＮ−ＧＷは、アクティブ化を実行するエンティティがその処理を行うことを認可されていることを確実にする必要がある。前記の目的のため、ＵＥとｅＰＤＧとの間でのＰＭＩＰトンネル又はＩＰｓｅｃトンネルの事前確立時に、認証トークンを生成し、これをＵＥに提供してもよい。前記認証トークンは、ＰＭＩＰトンネルのアクティブ化と同時に送信され、ＰＤＮ−ＧＷはこのアクティブ化を受け入れ、必要な手順を実行する。ｅＰＤＧ−ＩＤは、事前確立時に生成された、ＰＤＮ−ＧＷ、ｅＰＤＧ及びＵＥでのみ認識可能な前記認証トークンを含んでいる。
【００８１】
ＵＥが依然としてハンドオーバ元ネットワークにある状態で非３ＧＰＰネットワークへのハンドオーバを準備するための実施形態での上述の手順は、ハンドオーバの前の任意の時点で実行できる。実行中のＩＰセッションは１つのネットワークにある状態で大きく変動する場合があるため、この手順が、ハンドオーバが予期される場合のみ実行されることが有効である。ハンドオーバの可能性が高まっているかどうかを判断する方法は複数考えられる。例えば、非３ＧＰＰアクセスが現在位置の周辺のどの位置でも使用可能かどうかは、非３ＧＰＰ／３ＧＰＰアクセスネットワークの配置を示す近傍グラフを使用して判断できる。又は、非３ＧＰＰが移動端末の移動方向のどの位置でも使用可能かどうかについても同様である。
【００８２】
現在のアクセスは、非３ＧＰＰ／３ＧＰＰに係わらず、現在のアクセスによりモバイルノードに近傍の非３ＧＰＰアクセスセル一覧を通知し、近傍セルの数が減少すると、移動端末は実行中のＩＰセッションのための暫定的なトンネルの事前確立を開始してもよい。
【００８３】
また上記の他に、現在のアクセス基地局の信号強度が低下し、現在のアクセスネットワークの他の基地局の信号強度が上昇しない場合、モバイルノードは暫定的なトンネルの事前確立を開始してもよい。
【００８４】
非３ＧＰＰネットワークへのハンドオーバの可能性を判断する別の方法として、移動端末が自分の移動パターンを格納し、これにより非３ＧＰＰアクセスの有効範囲にあるかどうかを認識することが考えられる。具体的には、移動端末は現在の移動が格納済みのパターンと一致するかどうかを検知し、格納済みの移動パターンに基づいて、移動端末は過去にどの時点で非３ＧＰＰアクセスへのハンドオーバが発生しているかを認識し、これにより実行中のＩＰセッションのための暫定的なトンネルの事前確立をいつ開始するかを決定できる。
【００８５】
さらに、上述した本発明の実施形態では、１つの信頼できない非３ＧＰＰネットワークのみをＵＥのハンドオーバに使用できると仮定しており、また１つのｅＰＤＧのみがＵＥで選択可能であると仮定している。しかし、信頼できない非３ＧＰＰネットワークが１つでも、前記非３ＧＰＰネットワークで使用できるｅＰＤＧが複数存在する場合もある。同様に、ハンドオーバに使用できる非３ＧＰＰネットワーク（及び場合によっては３ＧＰＰネットワークも）複数存在する場合があり、前記非３ＧＰＰネットワークの各々について、使用できるｅＰＤＧが１つ又は複数存在する場合がある。いずれの場合でも、将来のハンドオーバのためのｅＰＤＧ候補は複数存在する場合がある。本発明の更なる実施形態によれば、ＵＥと各ｅＰＤＧとの間のＩＰｓｅｃトンネル（ＩＫＥセキュリティアソシエーション）を事前確立し、またＰＤＮ−ＧＷと各ｅＰＤＧとの間のＰＭＩＰトンネルを事前確立してもよい。次いで、ハンドオーバの少し前に、ＵＥは、複数の非３ＧＰＰネットワークから１つを選択し、さらに、前記選択された非３ＧＰＰネットワークで使用するｅＰＤＧ候補の１つを選択する。したがって、前記選択されたｅＰＤＧのための暫定的なＰＭＩＰトンネル及びＩＰｓｅｃトンネルのみが、新しいデータ経路の形成のため、適切にアクティブ化及び更新される。これにより、切替えによる重大な中断は発生せず、ハンドオーバが完了するとＵＥは迅速にＩＰセッションを再開できる。先に説明したように、ハンドオーバの可能性がある場合に使用できるｅＰＤＧ候補が複数存在する場合、ｅＰＤＧの各候補に対して、暫定的なＰＭＩＰトンネルは事前確立されてもよく、また暫定的なＩＰｓｅｃトンネルは事前確立される。しかし、ｅＰＤＧ候補の１つを選択した後は、残りの暫定的なトンネルは不要となる。そのため、残りのｅＰＤＧに対する暫定的なトンネルは、破棄するか、又は、将来の使用のため維持することができる。したがって、ＵＥは、選択されたｅＰＤＧをＰＤＮ−ＧＷに対して示すことに加え、ＰＭＩＰトンネルの暫定的な候補のうちどれを削除するか、又はどれを将来の使用のために維持するかをＰＤＮ−ＧＷに対して示すこともできる。同様に、他のｅＰＤＧ候補は、ＵＥとの間に確立されたセキュリティアソシエーションを削除するようにコンタクトされるか、又は前記セキュリティアソシエーションを所定の期間維持することができる。
【００８６】
本発明の更なる一実施形態では、ＩＰｓｅｃトンネルの事前確立時に、ｅＰＤＧはＵＥにこのｅＰＤＧの好ましいアクセスネットワーク及び関連情報について通知することができる。この情報により、非３ＧＰＰアクセスネットワークからの最善のｅＰＤＧの選択を最適化できる。
【００８７】
上述した実施形態では、ＵＥは１つのＰＤＮ−ＧＷを介して１つのパケットデータネットワーク（ＰＤＮ）のみに接続しているものと仮定していた。しかし、ＵＥは、複数のＰＤＮへの接続、例えば図５ａに見られるように、ウェブ閲覧のためのインターネットＰＤＮへの接続と、企業内電子メールにアクセスするための企業ネットワークＰＤＮへの接続を同時に行うために、複数のＰＤＮ−ＧＷを使用してもよい。必然的に、ハンドオーバ後に実行中の多数のＩＰセッションを維持せねばならず、そのため、新たに適切なデータ経路を確立すべきである。
【００８８】
前記の目的のため、上述した本発明の実施形態を、２つのＰＤＮ−ＧＷにより割り当てられた２つのホームアドレスを使用して、ＵＥとｅＰＤＧとの間で２つの暫定的なＩＰｓｅｃトンネル、ＰＤＮ−ＧＷ１とＰＤＮ−ＧＷ２に対してそれぞれ１つを事前確立するようにしてもよい。次いで、ｅＰＤＧは２つのＰＤＮ−ＧＷにｅＰＤＧへの暫定的なＰＭＩＰトンネルを確立させる。したがって、ハンドオーバを実行するときに、ＵＥは、ｅＰＤＧへのそれぞれの暫定的なＰＭＩＰトンネルをアクティブ化するために、各ＰＤＮ−ＧＷにコンタクトする必要がある。さらに、２つのＩＰｓｅｃトンネルを、非３ＧＰＰアクセスネットワークのＵＥに割り当てられた新しいローカルアドレスを更新するために、ＭＯＢＩＫＥプロトコルをハンドオーバ後に使用することができる。その結果、２つの独立したデータ経路（実行中の各ＩＰセッションに対して１つずつ）が事前確立され、ハンドオーバ後に使用できるようアクティブ化される。
【００８９】
しかし、上述した状況では、２つの暫定的なＩＰｓｅｃトンネルが確立され、ハンドオーバ時にアクティブ化される。後述の本発明の実施形態によれば、両方のＩＰセッションに対して１つの（暫定的な）ＩＰトンネルのみが必要である。ＩＰｓｅｃトンネルを１つだけ使用するものとする場合、ＵＥはトンネルの確立時に両方のＰＤＮ−ＧＷのＡＰＮを含めてもよく、具体的にはＩＫＥ＿ＡＵＴＨメッセージのＩＤｒペイロード内に、ＡＰＮが特定の区切り記号で分割される。このＡＰＮに基づき、ｅＰＤＧは２つのＰＤＮ−ＧＷへの接続が必要であることを認識する。さらに、双方の対応するホームアドレスを取得するために、ＵＥはＩＫＥ＿ＡＵＴＨに、２つの内部アドレスを要求する２つの構成属性を持つ構成ペイロード（ＣＦＧ＿ＲＥＱＵＥＳＴ）を含めるべきである。したがって、ＩＰｓｅｃトンネルが再使用され、ネットワーク／電波リソースが節減される。
【００９０】
しかし、ＰＤＮ接続の一方がＵＥでの切替え直後で初期設定により確立され、もう一方がしばらく後の時点でユーザの相互作用により確立される場合もある。この場合、この複数のＰＤＮ接続により、図５ａで見られるように次の状況が起こりうる。ＵＥは、３ＧＰＰアクセスネットワーク内で稼働中であり、ＰＤＮ−ＧＷ１によって割り当てられたホームアドレスＨｏＡ１を使用してＰＤＮ−ＧＷ１に接続している（１）。さらに、ＵＥは、ＰＤＮ−ＧＷ１とｅＰＤＧとの間の暫定的なＰＭＩＰトンネルを、ｅＰＤＧとＵＥとの間の暫定的なＩＰｓｅｃトンネルに加えて事前確立する（２）。次いで、ＵＥは、別のＰＤＮ−ＧＷ２とのＰＤＮ接続を、ＰＤＮ−ＧＷ２によって割り当てられた第２のホームアドレスＨｏＡ２を使用して、さらに確立する（３）。
【００９１】
図５ｂは、ＵＥが新しい非３ＧＰＰネットワークに接続した時点でのネットワーク配置を示す。これに対応して、信頼できない非３ＧＰＰアクセスにハンドオーバする時点で（４）、ＵＥは、ｅＰＤＧへの暫定的なＩＰｓｅｃトンネルをアクティブ化し、ＭＯＢＩＫＥなどを使用してこれをＵＥのローカルＩＰアドレスにより更新する（５）。ＰＤＮ−ＧＷ２を介する第２のＩＰセッションは第１のＩＰセッションのトンネルの事前確立が実行された後に確立されているため、ＰＤＮ−ＧＷ２に対しては暫定的なトンネルは確立されていない。この場合、後でＰＤＮ−ＧＷ２に対して確立されたセッションをｅＰＤＧが認識できないという問題があり、そのため、ＰＤＮ−ＧＷ２から選択されたｅＰＤＧへのＰＭＩＰトンネル及びＵＥとｅＰＤＧとの間のＩＰｓｅｃトンネルは通常通りハンドオーバ時に確立する必要があり、これによりハンドオーバが遅延される（６）。
【００９２】
図６では、図５ａ及び５ｂに関する問題、すなわち第１のＩＰセッションの事前確立が完了した後で更なるＩＰセッションが確立される場合の解決のための本発明の更なる実施形態を示す。本発明のこの実施形態によれば、第２のＩＰセッションが確立されると、ＵＥは、ｅＰＤＧに対する本発明における事前確立の手順を再実行し、ＰＤＮ−ＧＷ１とＰＤＮ−ＧＷ２の接続をシグナリングする（２）。これにより、本発明のこの実施形態は、上述した、２つのＩＰセッションが事前に確立されていて、事前確立が両方のＰＤＮ−ＧＷで同時に実行されている場合と比較できる。そのため、ＵＥとｅＰＤＧとの間の１つ又は２つの暫定的なＩＰｓｅｃトンネルを、それぞれ１つのみのホームアドレス又は２つのホームアドレスＨｏＡ１及びＨｏＡ２を使用して確立すると、これに応じてｅＰＤＧは、２つのＰＤＮ−ＧＷにそれぞれｅＰＤＧへの暫定的なＰＭＩＰトンネルを確立するよう指示する。次いで、第１のＩＰセッション及び第２のＩＰセッションに対する暫定的なトンネルが、新しい非３ＧＰＰアクセスネットワークへの新しいデータ経路を確立できるように、ハンドオーバの途中及び後でアクティブ化及び更新される。しかし、この手順では、第１のＩＰセッションの事前確立が２回実行されるため、電波を介したシグナリングが増加する。
【００９３】
本発明の別の実施形態による前記問題の別の解決方法が、図７に示されている。図６で示した最初の解決方法との相違点は、両方のＩＰセッションに対して暫定的なトンネルを事前確立するのではなく、事前確立が、第１のＩＰセッションに対して既に確立されている暫定的なトンネルは維持している間に、第２のＩＰセッションに対してのみ実行されるという点である。この第２の手段によれば、追加のＰＤＮ接続を確立した後（１）、ＵＥは、ｅＰＤＧとの別の暫定的なＩＰｓｅｃトンネルを事前確立し、このときにＰＤＮ−ＧＷ２を介してＭＮ（モバイルノード）のＨｏＡ２を使用する（２）。これに応じて、ｅＰＤＧはＰＤＮ−ＧＷ２にｅＰＤＧへの暫定的なＰＭＩＰトンネルを確立させる。ハンドオーバの途中及び後で、２つのＩＰセッションのために確立された４つの暫定的なトンネルのすべてを、新しい３ＧＰＰアクセスネットワークで使用するデータ経路の確立のために、アクティブ化及び更新できる。しかし、第２のＩＰセッションのために追加のＩＰｓｅｃトンネルを確立することによるＵＥ及びｅＰＤＧでの大幅なリソース消費という不利益は依然として残る。
【００９４】
これまでのＩＰセッションのための暫定的なトンネルを事前確立した後に確立される更なるＩＰセッションに対応するための本発明のより有利な別の実施形態について、図８ａ及び８ｂを参照して説明する。
【００９５】
本発明のこれまでの実施形態で既に説明したように、ＰＤＮ−ＧＷ１を介するｅＰＤＧとＵＥとの間の暫定的なＩＫＥセキュリティアソシエーションの事前確立時に、ＵＥは、ｅＰＤＧから共通ｅＰＤＧ−ＩＤ内で、又はこれに加えて、認証トークンを受信する（１）。次いで、ハンドオーバを実行する前に追加でＰＤＮ接続を確立する場合、ＵＥは前記のＰＤＮ−ＧＷ２への新しいＰＤＮ接続を確立するためのＰＤＮ接続要求（２）に認証トークンとｅＰＤＧ−ＩＤを含める。このｅＰＤＧ−ＩＤに基づき、ＰＤＮ−ＧＷ２は、ＵＥがＩＰｓｅｃトンネルを事前確立したｅＰＤＧを認識し、それにより暫定的なＢＣＥ（３）とｅＰＤＧへの暫定的なＰＭＩＰトンネル（４）を作成できる。ＰＤＮ−ＧＷ２とｅＰＤＧとの間のＰＭＩＰトンネルの作成により、ｅＰＤＧによるＵＥの識別とＳＰＤ（セキュリティポリシーデータベース）の変更のために、ＰＤＮ−ＧＷ２からｅＰＤＧに認証トークンが提供され、ＰＤＮ−ＧＷ２からのパケット、並びに、当初は第１のＩＰセッションのみのためにＰＤＮ−ＧＷ１を介して確立されたＵＥとｅＰＤＧ（５）との間の暫定的なＩＰｓｅｃトンネル上のパケットをトンネリングする。
【００９６】
この機構の他の有利な点は、事前確立されている暫定的なＩＫＥ／ＩＰｓｅｃトンネルに複数のｅＰＤＧがある場合、暫定的なＰＭＩＰトンネルの確立は新しいＰＤＮ−ＧＷとのＩＰセッションの確立に引き起こされるため、ＵＥからの追加のシグナリングが不要となることである。さらに、以前のＩＰセッションで確立された暫定的なＩＰｓｅｃトンネルを再使用することができる。一方で、これ以前の別の解決方法では、ＵＥは変更をｅＰＤＧにシグナリングするが、ｅＰＤＧ候補が複数存在する場合は各ｅＰＤＧにシグナリングする。
【００９７】
さらに、ＰＤＮ−ＧＷ１とＰＤＮ−ＧＷ２を合わせて配置しているときに、上述した第２の方法におけるＩＫＥ／ＩＰｓｅｃトンネルの確立の再実行は依然として必要である。図８で示したこの最後の解決方法によれば、再実行は一切行われない。
【００９８】
上述した実施形態では、第１のＰＤＮ−ＧＷ１に対する暫定的なトンネルの事前確立時に、ｅＰＤＧ−ＩＤがＵＥに提供されている（１）。次いで、新しいＰＤＮ接続の確立時に、ｅＰＤＧ−ＩＤがＵＥから新しいＰＤＮ−ＧＷ２に提供され（２）、ＰＤＮ−ＧＷ２がｅＰＤＧを認識する。しかし、ここまで詳細に論じられていない問題として、新しいＰＤＮ−ＧＷ２がｅＰＤＧ−ＩＤに基づいてどのようにｅＰＤＧを検知するかが挙げられる。
【００９９】
最初の方法では、ｅＰＤＧ−ＩＤは内部ｅＰＤＧインタフェイスのＩＰアドレスである可能性がある。しかし、ネットワーク事業者がこのＩＰアドレスをＵＥに提供することを希望しない場合がある。そのため、ｅＰＤＧ−ＩＤとして暗号化されたｅＰＤＧのＩＰアドレスを使用することができ、新しいＰＤＮ−ＧＷ２はＰＤＮ−ＧＷ間の共有秘密を使用してｅＰＤＧ−ＩＤを復号化することができ、又は新しいＰＤＮ−ＧＷ２はＡＡＡサーバにｅＰＤＧ−ＩＤを復号化するよう要求することができる。
【０１００】
２番目の方法では、ｅＰＤＧ−ＩＤはｅＰＤＧのＦＱＤＮ（完全修飾ドメイン名）である可能性があるが、これはＵＥがｅＰＤＧの検知に使用するＦＱＤＮとは異なる。
【０１０１】
３番目の方法では、ｅＰＤＧを古いＰＤＮ−ＧＷ１で割り当て、新しいＰＤＮ−ＧＷ２は古いＰＤＮ−ＧＷにｅＰＤＧ−ＩＤに対応するｅＰＤＧのＩＰアドレスを問い合わせることができる。この場合、新しいＰＤＮ−ＧＷ２は古いＰＤＮ−ＧＷ１を認識している必要がある。ここで可能な方法の１つとして、新しいＩＰセッションの確立時に、ＵＥが新しいＰＤＮ−ＧＷ２へのＰＤＮ接続要求に古いＰＤＮ−ＧＷ１に対して使用されたＡＰＮ（アクセスポイント名）を含めることが考えられる。これにより、新しいＰＤＮ−ＧＷ２は、このＡＰＮに基づき、古いＰＤＮ−ＧＷ１を検知できる。また、ＰＤＮ−ＧＷ２が古いＰＤＮ−ＧＷ１を認識できるようにするための可能な別の方法として、セッションの確立時にコンタクトするＭＭＥが、ＰＤＮ−ＧＷ２に送信されるＰＤＮ接続要求に古いＰＤＮ−ＧＷ１のＩＰアドレスを含めることが考えられる。
【０１０２】
４番目の方法では、ｅＰＤＧのＩＰアドレスは次の方法でＭＭＥからＰＤＮ−ＧＷ２に提供される。第１のＩＰセッションのための暫定的なＩＰｓｅｃトンネルの事前確立時にＵＥが認証を実行するときに、ＭＭＥにＡＡＡ／ＨＳＳ（ホーム加入者サーバ）からのｅＰＤＧ情報を提供できる。より詳細には、ｅＰＤＧのＩＰアドレスとｅＰＤＧ−ＩＤがｅＰＤＧによりＡＡＡ／ＨＳＳに提供される。ＡＡＡ／ＨＳＳのＵＥコンテキストには変動があるため、ＭＭＥはｅＰＤＧのＩＰアドレスやｅＰＤＧ−ＩＤを含む新しいコンテキストにより更新される。したがって、ＭＭＥは、新しいＰＤＮ−ＧＷ２を介して第２のＩＰセッションを確立するためのＰＤＮ接続要求に、ＡＡＡ／ＨＳＳから受信したｅＰＤＧのＩＰアドレスを追加できる（又はｅＰＤＧ−ＩＤをこのＩＰアドレスに置き換えることができる）。
【０１０３】
ｅＰＤＧ−ＩＤがｅＰＤＧの識別に使用される場合の別の問題は、新しいＰＤＮ−ＧＷ２から使用するｅＰＤＧ−ＩＤが、古いＰＤＮ−ＧＷ１から使用するｅＰＤＧ−ＩＤと異なる可能性があるという点である（例えば、ｅＰＤＧ−ＩＤがｅＰＤＧのＩＰアドレスに関連する場合など）。例えば、ローミングを行う場合、古いＰＤＮ−ＧＷ１はＨＰＬＭＮ（ホーム公衆地上移動体ネットワーク）にあり、新しいＰＤＮ−ＧＷはＶＰＬＭＮ（移動先の公衆地上移動体ネットワーク）にある。移動先の公衆地上移動体ネットワークは、携帯電話加入者がＨＬＰＭＮの圏外に出るときにローミングしたＰＬＭＮである。この場合、ｅＰＤＧには異なるＰＬＭＮから異なるＩＰアドレスを介して到達できる。例えば、ＨＰＬＭＮ内でＩＰｖ４アドレスが使用されていて、ｅＰＤＧはそこに位置する場合、ＰＤＮ−ＧＷ１はｅＰＤＧとのコンタクトのためにローカルＩＰｖ４アドレスを使用することで、ｅＰＤＧ−ＩＤはローカルＩＰｖ４アドレスとなる。しかし、ＶＰＬＭＮの新しいＰＤＮ−ＧＷからは、ＨＰＬＭＮのｅＰＤＧのローカルＩＰｖ４アドレスには到達できず、代わりにＮＡＴが使用される。ｅＰＤＧにコンタクトするために、新しいＰＤＮ−ＧＷはＮＡＴのＩＰアドレスを使用することで、ｅＰＤＧ−ＩＤはＮＡＴのＩＰｖ４アドレスとなる。
【０１０４】
この問題を解決するための可能な方法の１つを図９に示す。ＵＥから新しいＰＤＮ−ＧＷ２へのＰＤＮ接続要求に、古いＰＤＮ−ＧＷ１のＡＰＮが含まれている（１）。ＭＭＥは、ＡＰＮに基づき古いＰＤＮ−ＧＷ１を判別し、新しいＰＤＮ−ＧＷ２のＩＰアドレスといくつかのユーザ特有の情報（例えば、認証トークンやＭＮ（モバイルノード）のネットワークアクセス識別子など）を古いＰＤＮ−ＧＷ１に提供する（２）。次いで、古いＰＤＮ−ＧＷ１は新しいＰＤＮ−ＧＷ２のＩＰアドレスとユーザ特有の情報を合わせてｅＰＤＧに提供する（３）。これにより、ｅＰＤＧはＰＭＩＰトンネルと暫定的なＢＣＥを新しいＰＤＮ−ＧＷ２で確立する（４）。新しいＰＤＮ−ＧＷ２により割り当てられるｅＰＤＧ−ＩＤは、ＵＥにより要求されたＰＤＮ接続手順の完了中にＵＥに提供される。
【０１０５】
本発明の別の実施形態では、ＵＥは３ＧＰＰアクセスに接続され、同時に非３ＧＰＰアクセスに接続されていると仮定されている。例えば、ＵＥは、３ＧＰＰアクセスを介して確立されているＰＤＮ接続を持ち、３ＧＰＰネットワークを介してユーザデータを能動的に交換しているが、一方で非３ＧＰＰネットワークを介してユーザデータの交換は実行されていない場合がある。この場合、ＵＥはｅＰＤＧとの暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡの事前確立を実行する場合もあり、ｅＰＤＧとＰＤＮ−ＧＷとの間で暫定的なＰＭＩＰトンネルの事前確立を任意に実行してもよい。しかし、この実施形態では、ＵＥは、非３ＧＰＰアクセスを介してｅＰＤＧとのＩＫＥ／ＩＰｓｅｃ  ＳＡを確立し、ＰＤＮ−ＧＷでのＵＥのホームアドレスではなく非３ＧＰＰネットワークのローカルアドレスを使用する。暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを更新するために、ＭＯＢＩＫＥシグナリングは必要ないことは有効だが、ＰＤＮ−ＧＷに経路の切替えを実行させるためにＭＯＢＩＫＥが使用される場合がある。
【０１０６】
上述したように、ＩＫＥ／ＩＰｓｅｃトンネルを事前確立する場合、ハンドオーバ前にｅＰＤＧとＰＤＮ−ＧＷとの間で暫定的なＰＭＩＰトンネルを確立する必要はない。しかし、通常、ｅＰＤＧがＵＥのアドレスを認識するのは、ＰＤＮ−ＧＷとの前記ＰＭＩＰトンネルを確立するとき、すなわちＰＤＮ−ＧＷがモバイルノードの「ホーム」ＩＰアドレスを、ＰＢＡ内のｅＰＤＧにシグナリングする際であり、それは、ＰＢＵに応答してｅＰＤＧから送信される。このため、暫定的なＰＭＩＰトンネルに対するシグナリングは行われず、ｅＰＤＧはＰＤＮ−ＧＷによりＵＥに割り当てられたＩＰアドレス／プレフィクスを認識しない。さらに、ｅＰＤＧはＩＰｓｅｃトンネルの事前確立時にＵＥにＩＰアドレス／プレフィクスを割り当てることができず、さらに、ＵＥは、予期されていたＩＰアドレス／プレフィクスがＩＫＥ／ＩＰｓｅｃ  ＳＡに割り当てられているかどうかを判別することができない。
【０１０７】
この問題の解決方法の１つとして、ＩＰアドレス／プレフィクスがない状態でＩＫＥ／ＩＰｓｅｃ  ＳＡを確立し、その後、ＭＯＢＩＫＥシグナリング中にＰＭＩＰトンネルを確立し、所定のＩＰアドレス／プレフィクスが設定された（子）ＳＡを構成することが考えられる。これに関して、ＩＫＥｖ２プロトコルを修正することは有効である。より詳細には、現在のＩＫＥｖ２プロトコルでは、関連付けられたＩＰアドレスがないＩＰｓｅｃ  ＳＡを確立することはできない。現在、子ＳＡの確立時に、転送するトラフィックの転送元及び転送先のアドレス及びアドレス範囲を示すトラフィックセレクタペイロード（ＴＳｉ及びＴＳｒ）が交換されるが、通常、これらはＮＵＬＬであるべきではない。
【０１０８】
別の方法として、異なる又はローカルのＩＰアドレス／プレフィクスでＩＫＥ／ＩＰｓｅｃ  ＳＡを確立し、その後、ＭＯＢＩＫＥシグナリング中に、ＰＭＩＰトンネルを確立し、実際のＩＰアドレス／プレフィクスが設定された（子）ＳＡを構成することが考えられる。しかし、この方式ではＩＰアドレスが浪費され（これによりＩＰｖ４アドレスを使用する場合などに問題が発生する可能性がある）、更に同一のＰＤＮ接続に対して異なるＩＰアドレス／プレフィクスにより、ＵＥ側での複雑さが増す。
【０１０９】
別の可能な方法は、事前確立を行う場合に、ＩＫＥシグナリングのためにＵＥが使用するソースアドレスに対応するＩＰアドレス／プレフィクスをｅＰＤＧが割り当てることである、すなわちｅＰＤＧが割り当てるＩＰアドレス／プレフィクスを暗黙的に認識することを意味する。しかし、ＩＫＥシグナリングで使用されるＩＰアドレスは、割り当てるＩＰアドレス／プレフィクスと異なる場合があるため、この方法はすべての場合で有効であるとは限らない。１例として、ＵＥがＮＡＴの背後にある場合が挙げられる。この場合、ｅＰＤＧが認識するＵＥのソースＩＰアドレスは、割り当てるＩＰアドレスとは異なる。もう１つの例を次に示す。
【０１１０】
ＵＥが２つのＩＰセッション、すなわちＰＤＮ−ＧＷ１及びＰＤＮ−ＧＷ２を介してそれぞれ１つずつのＩＰセッションを持つ場合には更なる問題が発生する場合がある。ｅＰＤＧはＰＤＮ−ＧＷ２を介してのみ到達可能であると想定されているが、ＵＥはＰＤＮ−ＧＷ１を介して実行されているＩＰセッションに対するｅＰＤＧへの暫定的なＩＰｓｅｃトンネルを事前確立しようとする。この場合、ｅＰＤＧは、ＩＫＥ＿ＳＡ＿Ｉｎｉｔメッセージの受信元であるソースアドレス、すなわちＰＤＮ−ＧＷ２で割り当てられたＵＥのＩＰアドレスを、暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを確立する対象とするＵＥのＩＰアドレスとして暗黙的に受け入れることができる。しかし、ＩＫＥ＿ＳＡ＿ＩＮＩＴを実行するとき、ｅＰＤＧはＩＫＥ＿ＳＡ＿ＩＮＩＴの送信元であるソースアドレスを使用すべきではない、これは前記ソースアドレスがＰＤＮ−ＧＷ２で割り当てられたモバイルノードのＩＰアドレスであって、ＰＤＮ−ＧＷ１で割り当てられたものではないためである。代わりに、ＰＤＮ−ＧＷ１で割り当てられたＵＥのＩＰアドレスは、ｅＰＤＧが所定のＩＰアドレスで暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを確立できるように、明示的にｅＰＤＧにシグナリングする必要がある。上述した通り、ｅＰＤＧは通常、ＰＢＵ／ＰＢＡ交換時にＰＤＮ−ＧＷから明示的に正しいＩＰアドレスを取得する。本発明の実施形態によれば、ＵＥは、ＩＫＥ／ＩＰｓｅｃ  ＳＡの事前確立時に、ｅＰＤＧへのＰＤＮ−ＧＷ１接続のために事前に割り当てられているＩＰアドレス／プレフィクスを、例えばＩＫＥ＿ＡＵＴＨリクエストメッセージ内のＣＦＧ＿ＲＥＱＵＥＳＴ構成ペイロードのＩＮＴＥＲＮＡＬ＿ＩＰ４＿ＡＤＤＲＥＳＳ又はＩＮＴＥＲＮＡＬ＿ＩＰ６＿ＡＤＤＲＥＳＳ属性で指定する。
【０１１１】
そのため、ｅＰＤＧは、ＰＤＮ−ＧＷとＰＢＵ／ＰＢＡを交換せず、ＩＰアドレス／プレフィクスを検証せず、ＩＫＥ／ＩＰｓｅｃ  ＳＡの確立時に、指定されたＩＰアドレス／プレフィクスをＵＥに割り当てている。さらに、ｅＰＤＧはＩＰアドレス／プレフィクスを、どの経路テーブル又はＩＫＥ／ＩＰｓｅｃセキュリティポリシーデータベースから、独立した別個のエントリとして格納する。ＩＫＥ／ＩＰｓｅｃトンネルが事前確立である限り、ｅＰＤＧはＩＰｓｅｃトンネルを介してＵＥに一切のダウンロードパケットを転送しないものとされ（基本的に、ｅＰＤＧに到達するダウンリンクパケットは存在するべきではない）、ｅＰＤＧは暫定的なＩＰｓｅｃトンネルを介して受信したアップリンクパケットを転送しない。次いで、ＵＥが（暫定的なＩＫＥ／ＩＰｓｅｃトンネルをアクティブ化するために）ＩＫＥ／ＩＰｓｅｃトンネルをＭＯＢＩＫＥにより更新するときに、ｅＰＤＧはＰＢＵ／ＰＢＡを（指定されたＩＰアドレス／プレフィクスを含め）ＰＤＮ−ＧＷと交換する。指定されたＩＰアドレス／プレフィクスがＰＢＡによって立証されると、ｅＰＤＧはアップリンクとダウンリンクのパケットを転送（及びデータベースエントリを更新）する。
【０１１２】
同様に、ＰＤＮ−ＧＷ又はＰＤＮ内の別のノードがＵＥに対してＮＡＴ（ネットワークアドレス変換）を実装する場合、ＵＥのＩＰアドレスを明示的にシグナリングする必要がある。この場合、ＵＥがインターネットなどの外部ネットワークと通信すると、ＵＥのＩＰアドレスはＰＤＮ−ＧＷ又は他のノードでプライベートネットワークのアドレスに変換される。しかし、ｅＰＤＧが暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを確立するには、プライベートネットワーク内のＵＥのＩＰアドレスを使用するのが有効である。そのため、ＵＥはまた、暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡの確立に使用するＩＰアドレスについて、ｅＰＤＧに明示的に通知する必要がある。これはまた、ＩＫＥ＿ＡＵＴＨリクエストメッセージ内のＣＦＧ＿ＲＥＱＵＥＳＴ構成ペイロードのＩＮＴＥＲＮＡＬ＿ＩＰ４＿ＡＤＤＲＥＳＳ又はＩＮＴＥＲＮＡＬ＿ＩＰ６＿ＡＤＤＲＥＳＳ属性でも行われる場合がある。
【０１１３】
本発明の別の実施形態によれば、図１０ａ及びｂで仮定される状況では、古いｅＰＤＧに新しいアクセスから到達できないが、以前のＩＰｓｅｃ及びＰＭＩＰトンネルを将来の使用のため暫定的な状態で維持するものとする。具体的には、ＵＥは、信頼できない非３ＧＰＰアクセス１を介してｅＰＤＧ１に能動的に接続されており、ＰＤＮ−ＧＷを介して１つのＩＰセッション（１）にＨｏＡを使用している。近傍の非３ＧＰＰアクセス２からＵＥがｅＰＤＧ１を使用することはできない、すなわちＵＥはｅＰＤＧ２を使用する必要がある。本発明の様々な実施形態によれば、ＵＥは、ＨｏＡ及びＰＤＮ−ＧＷとｅＰＤＧ２との間の暫定的なＰＭＩＰトンネルを使用して、ｅＰＤＧ２との暫定的なＩＫＥ／ＩＰｓｅｃトンネルを事前確立する（２）。暫定的なＩＰｓｅｃトンネルの事前確立時に、ＵＥはｅＰＤＧ２−ＩＤを受信する。これに対応して、２つの暫定的なトンネルが、信頼できない非３ＧＰＰネットワーク１に接続したまま、信頼できない非３ＧＰＰネットワーク２で、使用時にアクティブ化するだけの事前確立がされる。
【０１１４】
信頼できない非３ＧＰＰアクセス２へのハンドオーバの直前に、ＵＥは、ＰＤＮ−ＧＷに対して、ｅＰＤＧ２へのＰＭＩＰトンネルの暫定的な状態をアクティブ状態とするためのｅＰＤＧ−ＩＤを指定する（３）。これに応じて、ＰＤＮ−ＧＷはｅＰＤＧ２へのＰＭＩＰトンネルを切り替え（４）、更に、ＵＥは、暫定的なＩＰｓｅｃトンネルをアクティブ化し、かつ、信頼できない非３ＧＰＰアクセス２でのＵＥのローカルＩＰアドレスを使用する（５）ことによりｅＰＤＧ２へのＩＰｓｅｃトンネルを更新するために、ＭＯＢＩＫＥを使用する。しかし、信頼できない非３ＧＰＰアクセス２からはｅＰＤＧ１に到達できず、そのため、非３ＧＰＰネットワーク１へのデータ経路のために提供されているＩＰｓｅｃトンネルとＰＭＩＰトンネルは停止する。より詳細には、ＩＫＥセキュリティアソシエーションには、ＩＫＥ−ＳＡの端点間での接続が所定の時間切断された場合に終了するライフタイムがある。これに対応して、ＰＭＩＰトンネルも稼働中の接続に結合されるが、ＰＭＩＰトンネルが所定の時間不要であった場合には、それは破棄される。
【０１１５】
しかし、ＵＥが非３ＧＰＰネットワーク１に戻ることになる場合、ＩＰｓｅｃ及びＰＭＩＰトンネルは、最初から確立しないといけない。非３ＧＰＰ又は３ＧＰＰ、又は信頼できる／信頼できないネットワークに係わらず、他のアクセスネットワークにＵＥが接続されている状態で、ハンドオーバ元ネットワークで既に確立されているトンネル（ＩＰｓｅｃ及びＰＭＩＰ）を暫定的な状態で維持することは有効である。
【０１１６】
この問題を解決する方法の１つが図１１に示されているが、これによれば、ｅＰＤＧ２へのハンドオーバ後のＵＥは、ｅＰＤＧ１とＵＥとの間の接続を維持することにより、ｅＰＤＧ１へのＩＰｓｅｃトンネルを通信可能状態で保持する（１）ために、自身のＨｏＡでＭＯＢＩＫＥを使用する。さらに、ＵＥはｅＰＤＧ１に対し、ｅＰＤＧ１とＰＤＮ−ＧＷとの間のＩＰｓｅｃトンネルを暫定的な状態で維持するよう通知する。これに応じて、ｅＰＤＧ１はＰＤＮ−ＧＷに対し経路の切替えを実行しないよう指示し、これによりｅＰＤＧとＰＤＮ−ＧＷとの間のＰＭＩＰトンネルが保持され、ｅＰＤＧ１に対するＰＭＩＰトンネルの暫定的な状態がＰＤＮ−ＧＷで確立される（２）。
【０１１７】
しかし、非３ＧＰＰネットワーク１のためのＩＰｓｅｃトンネルを通信可能状態で保持するようにｅＰＤＧ１へのＭＯＢＩＫＥシグナリングを実行するため、電波を介した更なるシグナリングが必要になる。さらに、ｅＰＤＧ２に対する経路切替えトリガが受信される前に、ＰＤＮ−ＧＷからＵＥに送信されている状態で、パケット配信前にＵＥが信頼できない非３ＧＰＰアクセス１リンクとの接続を切断すると、パケットが失われる場合がある。
【０１１８】
上述の欠点がない別の可能な方法を図１２ａ及びｂに示す。図１１に示した本発明の上述の実施形態との主な相違点は、関連する手順が、非３ＧＰＰネットワーク２へのハンドオーバ後ではなく、ＵＥが依然として非３ＧＰＰネットワーク１に接続している状態で既に実行されているという点である。本発明の前記の別の実施形態によれば、ｅＰＤＧ１とＵＥとの間のＩＫＥ  ＳＡはＵＥのＨｏＡを使用して更新されるため、ハンドオーバ後もＩＰｓｅｃトンネルの接続性を保証するため、非３ＧＰＰネットワーク２へのＵＥのハンドオーバする直前に、ＵＥは自身のＨｏＡを使用してｅＰＤＧ１に対してＭＯＢＩＫＥプロトコルを使用する。これに対応して、ＰＤＮ−ＧＷとｅＰＤＧ１との間のＩＰｓｅｃトンネルは暫定的な状態になる。ｅＰＤＧ１を使用したＵＥのＭＯＢＩＫＥシグナリングには、ＵＥをコアネットワークに接続するためにハンドオーバの後に使用するｅＰＤＧ２の識別情報（１）も含む。
【０１１９】
これに応じて、ｅＰＤＧ１はｅＰＤＧ−ＩＤを含むメッセージをＰＤＮ−ＧＷに送信し（２）、これにより、ＰＤＮ−ＧＷで、事前確立されているｅＰＤＧ２へのＰＭＩＰトンネルの暫定的な状態をアクティブ化し、前記のアクティブ状態のｅＰＤＧ２へのＰＭＩＰトンネルに切り替える（３）。この暫定的な状態のアクティブ化のトリガ、又は別の独立したメッセージで、ｅＰＤＧ１は、ＰＤＮ−ＧＷとｅＰＤＧとの間のＰＭＩＰトンネルの状態を暫定的な状態に変更する処理を引き起こす（４）。ＵＥは更に、非３ＧＰＰネットワーク２へのハンドオーバが完了した後に、ｅＰＤＧ２へのＩＫＥ／ＩＰｓｅｃトンネルを更新するために、ＭＯＢＩＫＥを使用する。
【０１２０】
上述した状況では、ＵＥが１つのｅＰＤＧから別のｅＰＤＧにハンドオーバするものと仮定されていた。ＵＥがｅＰＤＧ１とｅＰＤＧ２の間を繰り返し往復する場合、ピンポン効果が発生してＰＤＮ−ＧＷ、ｅＰＤＧ及びＵＥでの処理が増加し、更にシグナリング（及びパケット損失の可能性）が増加する。より詳細には、ｅＰＤＧを切り替えるときに、ハンドオーバ先ネットワーク（target network）の暫定的なＰＭＩＰ／ＩＰｓｅｃトンネルをアクティブ化する必要があり、ハンドオーバ元ネットワークのＰＭＩＰ／ＩＰｓｅｃトンネルは非アクティブ化する、すなわち暫定的な状態にする必要がある。
【０１２１】
しかし、上述したピンポン状態では、トンネルの状態をアクティブ状態と暫定的な状態との間で切り替えると、大量のパケットが失われる又はＵＥに配信されない状態が発生する可能性があるという問題がある。例えば、ＵＥが非３ＧＰＰネットワーク２にあり、これに対応してｅＰＤＧ２へのＰＭＩＰトンネルとＩＰｓｅｃトンネルがアクティブである場合、ｅＰＤＧ１へのＰＭＩＰトンネルとＩＰｓｅｃトンネルは暫定的な状態にある。非３ＧＰＰネットワーク１にハンドオーバするとき、ｅＰＤＧ１のＰＭＩＰ／ＩＰｓｅｃトンネルがアクティブ状態とされ、これに対応してＵＥはｅＰＤＧ２から到達できなくなる。しかし、ＰＭＩＰトンネルがｅＰＤＧ２からｅＰＤＧ１に切り替えられ、モバイルノードが非３ＧＰＰネットワーク１にハンドオフする少し前に、データパケットがＰＤＮ−ＧＷからｅＰＤＧ２に送信されている可能性がある。この場合、ｅＰＤＧ２からＵＥへ接続不能なため、ｅＰＤＧ２に送信される途中のデータパケットはＵＥに到達できない。これにより、ｅＰＤＧ２は、一定時間の経過後に前記データパケットを破棄する。
【０１２２】
前記の状況に対応するための可能な２つの方法を図１３及び１４に示すが、それぞれその方法が機能しなくなる他の問題を引き起こしてしまう。図１３及び１４の状況では、ＵＥとｅＰＤＧとの間のＩＰｓｅｃトンネルは、非３ＧＰＰネットワーク２から非３ＧＰＰネットワーク１へのハンドオーバ時には非アクティブ化されず、ＰＤＮ−ＧＷによって割り当てられたＵＥのホームアドレスにより更新される（１）。さらに、図１３及び１４の状況は、ＵＥとｅＰＤＧとの間のＩＰｓｅｃトンネルが、一方（図１３）では非３ＧＰＰアクセス１へのハンドオーバの前に更新され、もう一方（図１４）では逆に非３ＧＰＰアクセス１へのハンドオーバの後に更新されているという点で異なる。
【０１２３】
具体的には、図１３では、ＵＥが信頼できない非３ＧＰＰネットワーク２から離れる前に、ＵＥは、ｅＰＤＧ２に対するアクティブ状態のＩＰｓｅｃトンネルを非アクティブ化せずに更新する。より具体的には、ＵＥは、自身のホームアドレスと共にＭＯＢＩＫＥを使用して、ＩＰｓｅｃトンネルを「ローカルＩＰアドレス−ｅＰＤＧ２」から「ＨｏＡ−ｅＰＤＧ２」に変える（１）場合があり、ＰＤＮ−ＧＷとｅＰＤＧ２との間のＰＭＩＰトンネルはアクティブ状態で維持する必要がある。逆に、ｅＰＤＧ２へのＰＭＩＰトンネルはアクティブ状態であるため、ＰＤＮ−ＧＷとｅＰＤＧ１との間のＰＭＩＰトンネルは暫定的な状態で維持される。この場合、ＰＤＮ−ＧＷはＨｏＡ宛てのパケットをｅＰＤＧ２にトンネリングし（２）、ｅＰＤＧ２はＨｏＡ宛てのパケットをＨｏＡにトンネリングされ、すなわちこれらはＰＤＮ−ＧＷで受信される（３）。明らかなように、これはループを発生させることになり、データパケットはＵＥに配信されない。
【０１２４】
図１４において、ＵＥは、最初に非３ＧＰＰネットワーク２に位置し、非３ＧＰＰネットワーク１へのハンドオーバを実行、すなわちｅＰＤＧ１への暫定的なＰＭＩＰ／ＩＰｓｅｃトンネルをアクティブ化する。図１３の状況で行われたように、ＵＥとｅＰＤＧ２との間のＩＰｓｅｃトンネルは非アクティブ化されず、ＰＤＮ−ＧＷによって割り当てられたＵＥのＨｏＡを使用してＭＯＢＩＫＥにより更新される。図１３の状況とは異なり、ハンドオーバ後にｅＰＤＧ２へのＰＭＩＰトンネルは非アクティブ化され、代わりにｅＰＤＧ１への暫定的なＰＭＩＰトンネルがＵＥでの使用のためアクティブ化される。しかし、ネットワークでのシグナリング負荷を軽減し、ｅＰＤＧ２とＵＥとの間の更新されたＩＰｓｅｃトンネルを使用できるようにするため、ＰＤＮ−ＧＷとｅＰＤＧ２との間のＰＭＩＰトンネルはアクティブ状態で維持し、一方でｅＰＤＧ１へのＰＭＩＰトンネルを暫定的な状態で維持する必要がある。しかし、ｅＰＤＧ１へのＰＭＩＰトンネルは、新しい非３ＧＰＰネットワーク領域でデータを正常に受信するために、アクティブ状態で維持する必要がある。そのため、この手法は現実的ではない。
【０１２５】
本発明の更なる実施形態による実用的な解決方法の１つを、図１５ａ及び１５ｂに示す。前記の実施形態では、ｅＰＤＧ間のトンネリングが使用されている。より詳細には、ＵＥは非３ＧＰＰネットワーク２に位置し、ハンドオーバが想定されているため、非３ＧＰＰネットワーク１で暫定的なＰＭＩＰ／ＩＰｓｅｃトンネルを事前確立する（１）。さらに、ＵＥがピンポン状態に陥る可能性があると判断した場合、ＵＥからｅＰＤＧ１へのＩＫＥ／ＩＰｓｅｃトンネルの事前確立時に、ＵＥはｅＰＤＧ１にｅＰＤＧ１とｅＰＤＧ２との間の暫定的な転送（ＰＭＩＰ）トンネルを確立させる（２）。ハンドオーバを実行する場合、ＵＥは、ＭＯＢＩＫＥを使用してｅＰＤＧ１へのＩＰｓｅｃトンネルを更新し（３）、ｅＰＤＧ２にｅＰＤＧ１へパケットを転送させる。ＰＤＮ−ＧＷからｅＰＤＧ１へのＰＭＩＰトンネルはアクティブ化されず、暫定的な状態で維持される。また、ｅＰＤＧ２へのＩＰｓｅｃトンネルはＵＥのＨｏＡを使用してＭＯＢＩＫＥにより更新できる。そのため、ピンポン状態が発生した場合、ＵＥ、及びｅＰＤＧ１及びｅＰＤＧ２との間のＩＰｓｅｃトンネルをそれぞれ更新すればよい。これにより、経路切替えがＵＥに近くなる、すなわちシグナリング負荷が小さくなり、ＰＤＮ−ＧＷは影響を受けない。
【０１２６】
別のピンポン状態でも、同様の問題が上述のように発生する可能性がある。例えば、ＵＥは、信頼できない非３ＧＰＰアクセス１を介してｅＰＤＧ１に能動的に接続されており、ＩＰセッションにＨｏＡを使用している。ＵＥは近傍の信頼できない非３ＧＰＰアクセス２からｅＰＤＧ１を使用できるが、ｅＰＤＧ２がより好ましい。ＵＥは、既存のＰＤＮ−ＧＷ接続を介してＨｏＡを使用してｅＰＤＧ２とのＩＫＥ／ＩＰｓｅｃトンネルを事前確立し、ｅＰＤＧ２−ＩＤを受信する。ハンドオーバの直前に、ＵＥは、ｅＰＤＧ１に対してＨｏＡを用いたＭＯＢＩＫＥを使用し、さらにｅＰＤＧ２−ＩＤを含める。このシグナリングにより、ＰＤＮ−ＧＷの状態を変化させ、同時にｅＰＤＧ１とのＩＫＥ／ＩＰｓｅｃ  ＳＡが更新される。ｅＰＤＧ１は、ＰＤＮ−ＧＷへのＰＭＩＰトンネルを更新し、ｅＰＤＧ２−ＩＤを含める。ＰＤＮ−ＧＷは、暫定的な状態をアクティブ化し、ｅＰＤＧ２へのトンネルに切替え、ｅＰＤＧ１へのトンネルを暫定的な状態にする。ＵＥは、ｅＰＤＧ２へのＩＫＥ／ＩＰｓｅｃトンネルを更新するために、ＭＯＢＩＫＥを使用する。
【０１２７】
この状況では、ＵＥがｅＰＤＧ１とｅＰＤＧ２との間で移動すると、ピンポン効果が発生してＰＧＷ、ｅＰＤＧ及びＵＥでの処理が増加し、シグナリングが増加する可能性がある。
【０１２８】
これを回避するため、ピンポン状態の発生が想定される場合、ＵＥは、ｅＰＤＧ２へのアクティブ状態のＩＰｓｅｃトンネルのみに対してＭＯＢＩＫＥを使用し、ｅＰＤＧ１への他のＩＰｓｅｃトンネルを暫定的な状態に維持する（２）。そのため、ＵＥは非３ＧＰＰネットワーク１にあるが、ｅＰＤＧ１へのＩＰｓｅｃトンネルは暫定的な状態であり、データはｅＰＤＧ２、及びＵＥとｅＰＤＧ２との間のＩＰｓｅｃトンネルを介して受信される。ＵＥがピンポン状態は発生しないと判断した場合、好ましい側ではない方のｅＰＤＧへのトンネルを、ＨｏＡを使用して（既に使用されていない場合）更新し（３）、好ましい側のｅＰＤＧへのトンネルを、ローカルアドレスを使用して更新する（４）。
【０１２９】
上述の実施形態では、ＵＥは、ｅＰＤＧへの暫定的なＩＫＥ／ＩＰｓｅｃトンネルを確立するために、ＰＤＮ−ＧＷによって割り当てられたＩＰアドレスを使用することが記載されている。しかし、ＵＥがｅＰＤＧとＩＫＥメッセージを交換できるようにするには、ｅＰＤＧが所定のＰＤＮから到達可能である必要がある。しかし、この要件は必ずしも満たされるとは限らない。代わりに、ｅＰＤＧがこの使用されているＰＤＮから到達できないという問題が発生する場合がある。例えば、ＵＥが単一のＰＤＮ  ＵＥ、すなわち一度に１つのＰＤＮ接続のみが可能である場合があり（例えば、ＵＥの実装がより単純／容易／安価であるが、複数のＰＤＮとの接続に対応していない、又はＵＥが同時に１つのＰＤＮしか使用できないよう登録されているなどの理由により）、又は、ＵＥ及びネットワーク側からすれば、１つのＰＤＮ接続のみを使用することが好ましい（複数のＰＤＮでは、ＵＥ及びネットワークのシグナリング負荷、状態、リソースが増加するため）。そのため、ＵＥが単一のＰＤＮ  ＵＥである場合、又は単一のＰＤＮ接続が好ましく、現在のＰＤＮ接続が例えばプライベートネットワークや企業ネットワークなどである場合、外部ネットワークとの間で送受信されるすべてのトラフィックがファイアウォールによって遮断されるため、ｅＰＤＧはこの使用されているＰＤＮから到達不能である場合がある。
【０１３０】
図１７では、特例の状況の例についてｅＰＤＧが到達不能である状況が示されており、ＵＥは、ｅＰＤＧに到達して暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを事前確立するためにインターネットへの接続の確立を試行している。上述の通り、ＵＥが、プライベート／企業ＰＤＮへのＰＤＮ−ＧＷ１接続とは別の更なるＰＤＮ接続を行うことは許可されていない（１）。そのため、ＵＥはＰＤＮ−ＧＷ２を介してインターネットに到達できない場合がある。さらに、ＰＤＮ−ＧＷ１はプライベート／企業ネットワークとのトラフィックしか許可しない。そのため、ＰＤＮ−ＧＷ１はインターネットに送信されるトラフィックを遮断する。
【０１３１】
このような状況では、ｅＰＤＧに到達できないＰＤＮにＵＥが接続されている場合に、ＩＫＥ／ＩＰｓｅｃ  ＳＡをどのようにｅＰＤＧと事前確立するかが問題となる。
【０１３２】
前記の問題を解決する可能な方法として最初に考えられるのは、ＵＥが、データの送受信が行われていない時点で、ＵＥが第１のＰＤＮ接続を切断して、第２のＰＤＮ接続に切り替え、ｅＰＤＧとのＩＫＥ／ＩＰｓｅｃトンネルを事前確立し、その後で元の、すなわち第１のＰＤＮに再度切り替えることである。しかし、この場合、ＵＥが最初のＰＤＮ−ＧＷ１との接続を切断してから後で再接続すると、その間、ＰＤＮ−ＧＷ１が割り当てられていたＩＰプレフィクスを、再接続までに別のＵＥに割り当てている可能性があるため、第１のＰＤＮ接続のＩＰアドレスが確実に保持されるとは限らない。さらに、この手順では、アップリンク／ダウンリンクデータがない期間が必要であるが、実際にはこのような期間がない場合があり、暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡの事前確立の実行を行う必要がある時点に限ればさらに少なくなる。
【０１３３】
前記の最初の解決方法の改案として、ＵＥがＰＤＮ−ＧＷ１又はＳ−ＧＷにダウンリンクパケットをバッファリングさせ、後での再接続のためＩＰアドレスを保持することが挙げられる。その後、ＵＥは、ＰＤＮ−ＧＷ１接続を切断し、ｅＰＤＧとの暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを事前確立するために、２番目のＰＤＮ−ＧＷ２に切り替える。ｅＰＤＧとのＩＫＥ／ＩＰｓｅｃトンネルが正常に事前確立され、暫定的な状態になると、ＵＥは最初のＰＤＮに戻る。より詳細には、ＵＥはＩＰアドレス保持指定と共に特殊なＰＤＮ接続切断メッセージをＭＭＥに送信してもよい。ＭＭＥは、この特殊なＰＤＮ接続切断指示を受信すると、ＵＥコンテキストとＰＤＮ−ＧＷとＳ−ＧＷ／ＭＭＥとの間のＳ５ベアラを保持する。さらに、ＭＭＥはＳ−ＧＷにダウンロードパケットをバッファリングするためのトリガを送信でき、又は、代わりに、Ｓ−ＧＷが、ＰＤＮ−ＧＷ１がＳ−ＧＷの代わりにダウンリンクバッファリングを実行するように、このトリガをＰＤＮ−ＧＷ１に転送することもできる。また、ＵＥは自己のＩＰアドレスを保持し、ＵＥのアプリケーションから受信するアップリンクパケットをバッファリングする。
【０１３４】
ＵＥが、ｅＰＤＧとの暫定的なＩＫＥ／ＩＰｓｅｃトンネルを確立するために第２のＰＤＮ接続を使用し、そのあとで第１のＰＤＮ接続に戻るときの問題として、通常ＩＫＥ  ＳＡに対して定期的に実行されるデッドピア検知（ＤＰＤ：dead peer detection）により、ＵＥが到達不能と検知され、その結果、暫定的なＩＫＥ  ＳＡが削除されることが挙げられる。この問題を解決するため、ＤＰＤ機構を非アクティブ化する、例えばＵＥによりトリガしてもよい。あるいは、ＵＥが、ｅＰＤＧの該当するタイマの有効期限が終了する前にＩＫＥ  ＳＡを通信可能状態で保持するために第２のＰＤＮ接続に切り替え、ＵＥは、ＵＥとｅＰＤＧとの間でキープアライブタイマを同期化することにより、ＩＫＥ  ＳＡを通信可能状態で保持する必要がある。
【０１３５】
現在のＰＤＮを介してＵＥがｅＰＤＧに到達できない場合の前記の最初の解決方法の更なる代案として、ＵＥの電源が投入されるときに、ＵＥは、意図されていた第１のＰＤＮに接続する代わりに、第２のＰＤＮ接続にまず接続する。次いで、ＵＥは、ｅＰＤＧとのＩＫＥ／ＩＰｓｅｃトンネルを確立し、目的の（第１の）ＰＤＮのＡＰＮをＩＫＥシグナリングでｅＰＤＧにシグナリングしてもよい。その後、ｅＰＤＧはＰＤＮ−ＧＷ１とのＰＤＮ接続を確立する。その後、ＵＥは、ＰＤＮ−ＧＷ２との接続を切断して、ＰＤＮ−ＧＷ１のためにハンドオーバＰＤＮ接続確立をＭＭＥにシグナリングし、これに応じて、ＭＭＥは、Ｓ−ＧＷがＰＤＮ−ＧＷ１への接続のためにＰＭＩＰトンネルをｅＰＤＧから３ＧＰＰアクセスに切り替えさせる。この解決方法を図１８に示す。
【０１３６】
図１８に示されている実施形態による、この解決方法により提供される更なる有利な点は、ＵＥが、古い（legacy）ｅＰＤＧに対しても、ｅＰＤＧとのＰＤＮ接続に使用する事前確立された暫定的なＩＫＥ／ＩＰｓｅｃトンネルを作成できるという点である。しかし、既存の３ＧＰＰリリース８手順に対する一部の変更は有利となる。３ＧＰＰリリース８では、ＰＤＮ−ＧＷにより開始されるリソース割当ての非アクティブ化（Resource Allocation Deactivation）は３ＧＰＰアクセスへのハンドオーバの際に実行され、これによりｅＰＤＧのＩＫＥ  ＳＡが削除される。これを回避するため、ＵＥはＭＭＥへのハンドオーバＰＤＮ接続確立（ステップ３）で、ソースアクセスのリソースを非アクティブ化すべきでないことを指示することができる。これは、Ｓ−ＧＷに通知することができ、またＳ−ＧＷからＰＤＮ−ＧＷへのＰＢＵに含めることができる。これにより、ＵＥとｅＰＤＧとの間のＩＫＥ  ＳＡは、ＵＥが３ＧＰＰアクセスにある場合でも、依然としてアクティブ状態である。
【０１３７】
さらに、３ＧＰＰアクセスから信頼できない非３ＧＰＰアクセスへのハンドオーバの後、経路を切り替えてｅＰＤＧへのデータパケットの転送を可能にするために、ＰＤＮ−ＧＷのＢＣＥ（バインディングキャッシュエントリ）を更新する必要があるが、ＭＯＢＩＫＥはｅＰＤＧによるＰＢＵの送信を誘発しないために、さらに変更を加えることが有効である。そのため、信頼できない非３ＧＰＰアクセスに移動する前に、ＵＥは、Ｓ５の非アクティブ化とＳ２ｂのアクティブ化を実行させるために、ＭＭＥにシグナリングしてもよい。これにより、ＰＤＮ−ＧＷのＢＣＥを更新できるようになる。
【０１３８】
ｅＰＤＧがＰＤＮから到達不能である場合の、より有利な２番目の解決方法は、ＭＭＥなどの他のネットワークエンティティに対する直接インタフェイスを使用できるようにｅＰＤＧを拡張することである。このインタフェイスは、Ｓ−ＧＷやＰＤＮ−ＧＷなどの、コアネットワークの別のエンティティとｅＰＤＧを接続することもできる。以下では、ｅＰＤＧとＭＭＥとの間で直接インタフェイスが構成されているものと仮定する。この場合、ｅＰＤＧはＰＤＮから到達不能であるが、ＵＥはＭＭＥを介するｅＰＤＧとの暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを、例えばＮＡＳ（非アクセス層）シグナリングを使用して、事前確立することができる。これは図１９で示す。
【０１３９】
ＭＭＥとｅＰＤＧとの間の新しいインタフェイスは、ＭＭＥとＨＲＰＤネットワークとの間のＳ１０１インタフェイスと同様であってもよく、それは、最適化されたＨＲＰＤ（高速パケットデータ）のハンドオーバ時のＨＲＰＤの事前登録が可能となるよう標準化されている。このため、新しいインタフェイスは、Ｓ１０１ｅＰＤＧと呼ばれ、ｅＰＤＧとＭＭＥとの間の連携を可能にする。Ｓ１０１ｅＰＤＧインタフェイスはＵＥとｅＰＤＧとの間の暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡの事前確立に使用するよう構成されている。Ｓ１０１インタフェイスと同様に、Ｓ１０１ｅＰＤＧインタフェイスはＧＴＰ−Ｃプロトコルに基づいている。このため、Ｓ１０１ｅＰＤＧで使用するプロトコルスタック、ＵＤＰ及びＩＰヘッダは、ＧＴＰ−Ｃプロトコルに基づいている場合がある。さらに、ｅＰＤＧとＭＭＥは、同じセキュリティ環境で実装する、すなわち両方のエンティティが、相互に認識する必要があり、相互に認証できるようにするべきである。トランスペアレント・コンテナ（transparent container）などで、ＭＭＥとｅＰＤＧとの間でデータを転送する場合に、直接転送リクエストメッセージと直接転送レスポンスメッセージを使用できる。
【０１４０】
図２０は、ＩＫＥ／ＩＰｓｅｃ  ＳＡの事前確立のためのｅＰＤＧとＵＥとの間の直接インタフェイスＳ１０１ｅＰＤＧを介したＵＥとｅＰＤＧとの間の信号交換を示すシグナリング図である。
１． ＵＥがＥ−ＵＴＲＡＮ／ＭＭＥに登録される。これは、ＥＰＳ／Ｅ−ＵＴＲＡＮアクセスを介して確立された実行中のデータセッションを持つ場合がある。
２． ＵＥはｅＰＤＧへの事前登録の開始、すなわちｅＰＤＧとのＩＫＥ／ＩＰｓｅｃ  ＳＡの事前確立を決定する。
３． ＵＥがＩＫＥ＿ＳＡ＿ＩＮＩＴ交換を開始する。ＩＫＥメッセージはＥ−ＵＴＲＡＮ及びＥＰＣを介して透過的（transparently）にトンネリングされる。ＵＥはＵＬ情報転送メッセージ（ＵＬ  ＩＫＥメッセージ）を生成する。ＵＬ  ＩＫＥメッセージは、ＵＬ情報転送メッセージのパラメータとして、ＵＥからｅＮＢに転送される。ｅＮＢは、アップリンクＳ１トンネルリングメッセージ（ＵＬ  ＩＫＥメッセージを含む）をＭＭＥに送信する。ＭＭＥはｅＰＤＧを選択する。異なるＵＥに属するＳ１０１ｅＰＤＧシグナリングトランザクションを区別するため、Ｓ１０１ｅＰＤＧセッションＩＤは、Ｓ１０１ｅＰＤＧで当該ＵＥに関するシグナリングを識別するために、使用してもよい（最適化されたＨＲＰＤハンドオーバにおけるＳ１０１インタフェイスのセッションＩＤと同様である）。ＭＭＥは、直接転送リクエストメッセージ（Ｓ１０１ｅＰＤＧセッションＩＤ、ＵＬ  ＩＫＥメッセージ）をｅＰＤＧに送信する。ｅＰＤＧは、直接転送リクエストメッセージ（Ｓ１０１ｅＰＤＧセッションＩＤ、ＤＬ  ＩＫＥメッセージ）を使用して、ＤＬ方向のシグナリングをＭＭＥに送信する。Ｓ１０１ｅＰＤＧセッションＩＤは、シグナリングを特定のＵＥに関連付けるために使用する。ＭＭＥは、ダウンリンクＳ１トンネリングメッセージ（ＤＬ  ＩＫＥメッセージ）を使用して、ｅＮＢにその情報を送信する。ｅＮＢは、ＵＥにシグナリングを転送するために、ＤＬ情報転送メッセージ（ＤＬ  ＩＫＥメッセージ）を使用する。
４． ＵＥ、ｅＰＤＧ及び３ＧＰＰ  ＡＡＡサーバは、ｅＰＤＧでＵＥを認証するために、Ｅ−ＵＴＲＡＮ及びＥＰＣを介して、透過的（transparently）にＩＫＥでＥＡＰ  ＡＫＡシグナリングを交換する。ＵＥは、ユーザアイデンティティとＡＰＮ情報を送信する。
５． ｅＰＤＧは、ユーザアイデンティティとＡＰＮを含む認証と認可リクエストメッセージを３ＧＰＰ  ＡＡＡサーバに送信する。
６． ３ＧＰＰ  ＡＡＡサーバは、ユーザプロファイルと認証ベクトルをＨＳＳから取得する（これらのパラメータが３ＧＰＰ  ＡＡＡサーバで使用できない場合）。
７． ３ＧＰＰ  ＡＡＡサーバは認証チャレンジを開始する。
８． ｅＰＤＧは応答時にアイデンティティと証明書を返し、ＵＥに（ＩＫＥ＿ＳＡ＿ＩＮＩＴ交換で）事前に送信したメッセージを保護するためのＡＵＴＨパラメータを送信する。これにより、子セキュリティアソシエーションの折衝も完了する（ＩＰｓｅｃトンネルのＳＡを子ＳＡと呼ぶ場合がある）。ＩＫＥを介してＥＡＰ手順を開始するため、３ＧＰＰ  ＡＡＡサーバから受信したＥＡＰメッセージ（ＥＡＰリクエスト／ＡＫＡチャレンジ）が含まれる。
９． ＵＥは認証パラメータを確認し、認証チャレンジに応答する。
１０． ｅＰＤＧはＥＡＰレスポンス／ＡＫＡチャレンジメッセージを３ＧＰＰ  ＡＡＡサーバに転送し、ＡＡＡは認証応答が正しいかどうか確認する。
１１． すべて確認されると、３ＧＰＰ  ＡＡＡサーバは、関連するサービス認可情報、ＥＡＰアクセス及び鍵素材を含む最後の認証及び認可応答を（確認を示す結果コードと共に）ｅＰＤＧに送信する。
１２． ＥＡＰサクセスメッセージがＩＫＥを介してＵＥに転送される。
１３． ＵＥが、ＡＵＴＨパラメータを生成し、ｅＰＤＧに送信する。
１４． ｅＰＤＧは、ＵＥから受信したＡＵＴＨの正当性を確認する。この時点でＵＥが認証される。暫定的なＰＭＩＰトンネルが使用されている場合は、ＰＭＩＰバインディングアップデートがｅＰＤＧからＰＤＮ−ＧＷに送信される。
１５． ＰＤＮ−ＧＷは、ＰＭＩＰバインド承認（割り当てられたＩＰアドレス／プレフィクスを含む）で応答する。
１６． ｅＰＤＧは、第２のＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージを認証するＡＵＴＨパラメータを計算する。ｅＰＤＧは、割り当てられたＩＰアドレス／プレフィクスを構成ペイロード（ＣＦＧ＿ＲＥＰＬＹ）で送信する。ＡＵＴＨパラメータは、構成ペイロード、セキュリティアソシエーション、その他のＩＫＥパラメータと合わせてＵＥに送信され、ＩＫＥネゴシエーションが終了する。
【０１４１】
上述の手順を用いる場合に重要な点は、ＵＥからｅＰＤＧへの透過（transparent）トンネリングが使用されている状態で、ＭＭＥがどのようにｅＰＤＧのＩＰアドレスを決定しているかである。この目的を達成する方法は複数存在する。第１に、ＵＥは、ＩＫＥ／ＩＰｓｅｃトンネルが透過（transparent）トンネルを介して確立されている場合に使用される、事前設定されたｅＰＤＧ  ＩＰアドレスを持つことができる。同じｅＰＤＧのＩＰアドレスがＭＭＥでも事前設定され、ＭＭＥはＵＥからのすべてのＩＫＥメッセージをこのｅＰＤＧに転送する。第２に、ＵＥは、ＵＬ  情報転送メッセージの非透過（non-transparent）部分にｅＰＤＧ  ＩＰアドレスを含めることができる。この部分はｅＮＢによりアップリンクＳ１トンネリングメッセージにもコピーされ、これにより、ＭＭＥは、例えばＵＥに直接提供されたＩＰアドレスの使用、又は他の該当するアドレスへのＩＰアドレスのマッピングにより、適切なｅＰＤＧを決定できる。第３に、ＭＭＥにはデフォルトのｅＰＤＧを事前設定できるが、これはＵＥにより選択されるｅＰＤＧと異なってよい。ＭＭＥはメッセージをこのデフォルトのｅＰＤＧに送信するが、ｅＰＤＧが誤っている場合、すなわちＩＫＥメッセージで含まれているものでない場合、ｅＰＤＧはＩＫＥメッセージに含まれているｅＰＤＧのＩＰアドレスと合わせてＭＭＥに再配置トリガを送信する。次いで、ＭＭＥは透過（transparent）メッセージをこの新しいｅＰＤＧに転送する。第４に、ＵＥは、送信先アドレスとしてエニーキャストＩＰアドレスをＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージに含む。次いで、ＭＭＥは任意のｅＰＤＧを選択し、ｅＰＤＧは後に続くＩＫＥメッセージのＵＥで使用される実際のＩＰアドレスを返す。
【０１４２】
ここでもう１つ問題となるのは、ＭＭＥは、ＵＥが使用する外部ＩＰアドレスの代わりにｅＰＤＧの内部インタフェイスのＩＰアドレスを使用するので、直接インタフェイスを介したｅＰＤＧとの通信のためにＭＭＥが使用するＩＰアドレスは、ＵＥがＩＫＥシグナリングのために使用するＩＰアドレスとは異なる可能性があるという点である。そのため、この場合は、適切なＩＰアドレスを決定するために、ｅＰＤＧ又はＵＥでいくつかの追加機能が必要になる可能性がある。
【０１４３】
ＭＭＥにとって、必要な変更は最小限に留まり、それは既にＳ１０１インタフェイスに対応している。最適化されたＨＲＰＤハンドオーバによれば、ｅＮＢはアップリンクＳ１トンネリングメッセージに静的に設定されたセクタＩＤを含める。その後、セクタＩＤは、正しいＨＲＰＤアクセスノードを決定するために、ＭＭＥによって使用される。Ｓ１０１ｅＰＤＧインタフェイスと、ｅＰＤＧへの透過（transparent）トンネリングが使用されている場合、セクタＩＤは、再使用することができ、ｅＰＤＧ、例えばｅＰＤＧのＩＰアドレスに対応する場合がある。また、セクタＩＤはこの場合でもｅＮＢによって静的に設定されるか、又は、それはＵＥによってｅＮＢに提供される。ＵＥとｅＮＢとの間の他のメッセージ、すなわちＵＬ／ＤＬ情報転送は再使用でき、また、ｅＮＢとＭＭＥとの間のＵＬ／ＤＬ  Ｓ１トンネリングは再使用でき、ＭＭＥとｅＰＤＧとの間の直接転送リクエストはＭＭＥ−ＨＲＰＤと同様に使用できる。この解決方法により、ＵＥ−ｅＰＤＧ  ＩＫＥシグナリングはＥ−ＵＴＲＡＮ及びＥＰＣを介して透過的（transparently）に実行でき、ｅＰＤＧがＰＤＮから到達不能であっても暫定的なＩＫＥ  ＳＡを確立できる。
【０１４４】
図１５ａ及び１５ｂを参照して既に説明した通り、ＵＥが、２つの非３ＧＰＰネットワークの間、すなわち２つのｅＰＤＧの間でハンドオーバを実行する場合がある。本発明の更なる実施形態によれば、２つのｅＰＤＧの間で新しい直接インタフェイスが検討される。したがって、もう一方のハンドオーバ先ｅＰＤＧ（target ePDG）へのハンドオーバを実行する前に、ＵＥは、ハンドオーバ先ｅＰＤＧとの暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡを事前確立するために、ハンドオーバ元ｅＰＤＧ（source ePDG）を介してハンドオーバ先ｅＰＤＧに到達する場合があり、又はハンドオーバ先ｅＰＤＧとＰＤＮ−ＧＷとの間の暫定的なＩＰｓｅｃトンネルを任意に確立することができる。
【０１４５】
上述したように、ｅＰＤＧが特定のＰＤＮから到達不能である問題の１つとして、ＰＤＮ又はＰＤＮ−ＧＷが外部ネットワークとの間のすべてのトラフィックを遮断するファイアウォールを有する場合が考えられる。しかし、この問題を解決する１つの手段として、ｅＰＤＧへの暫定的なＩＫＥ／ＩＰｓｅｃ  ＳＡの事前確立のためのメッセージを通過させるようＰＤＮ−ＧＷ／ファイアウォールを設定する（又はＵＥにより指示する）ことが挙げられる。このためには、ＰＤＮ−ＧＷは、シグナリングが既存のＰＤＮ接続のｅＰＤＧトンネル事前確立に使用するものであることを認識する必要がある（ＰＤＮがプライベート／企業ネットワークで、グローバルＩＰｖ６アドレスが使用されている場合、プライベート／企業ネットワークの一部でないノードへのパケットは通常は遮断される）。そのため、ＰＤＮ−ＧＷにｅＰＤＧ  ＩＰアドレスを設定できるが、ＰＤＮ−ＧＷは可能性のあるすべてのｅＰＤＧを認識できるとは限らない（例えば、ローミングの場合には困難である）。別の可能性として、ＵＥがＰＣＯ（プロトコル構成オプション）を介してｅＰＤＧ  ＩＰについてＰＤＮ−ＧＷに通知することが挙げられる。しかし、ＰＣＯがすべてのアクセスで機能するとは限らず、例えばＵＥが信頼できない非３ＧＰＰアクセス（ＷｉＭＡＸなど）にある場合は、ＰＣＯに対応しない場合がある。
【０１４６】
このため、別の手段として、ＰＤＮ−ＧＷがＵＥに外部ノードへのＩＫＥメッセージのシグナリングさせることが挙げられる。これらのメッセージをプライベート／企業ネットワークではなく外部ネットワークに最初に送信する必要があることをＰＤＮ−ＧＷに認識させるため、ＵＥは、ＰＤＮ−ＧＷに外部ｅＰＤＧを持つＩＫＥについて通知するために、タイプ「外部ｅＰＤＧ事前確立」からの新しいＩＫＥ通知ペイロードをＩＫＥ＿ＳＡ＿ＩＮＩＴに含める。ＰＤＮ−ＧＷはＵＥからのＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージを確認し、もしペイロードが含まれている場合には、パケットはインターネットに送信され、含まれていない場合はプライベート／企業ネットワークに送信される。次いで、ＰＤＮ−ＧＷは、有効なｅＰＤＧとのＩＫＥ／ＩＰｓｅｃ  ＳＡが確立されていることを認識する必要がある。そのため、ＵＥは、ｅＰＤＧとのＩＫＥシグナリング時にＡＡＡサーバがＰＤＮ−ＧＷにｅＰＤＧが有効であることを通知する（両方の通知を結合することができる）ことを、「ＰＤＮ−ＧＷ通知フラグ」に含める。
【０１４７】
ファイアウォールを通過させるための上述の方法の手順を図２１に示す。
１． ｅＰＤＧとのＩＫＥ＿ＳＡ＿ＩＮＩＴが実行される（ＮＡＴ検知を含み、新しいＥＸＴＥＲＮＡＬ＿ＥＰＤＧ＿ＰＲＥＥＳＴＡＢＬＩＳＨＭＥＮＴ通知ペイロードを含む）。
２． ＰＤＮ−ＧＷは、ＩＫＥメッセージを検査し、通知ペイロードを検出し、（必要であれば）ＮＡＴを実行して、ＩＫＥ＿ＳＡ＿ＩＮＩＴを外部インターネットに送出する。 
３． ＰＤＮ−ＧＷが初期ＩＫＥ＿ＳＡ＿ＩＮＩＴ要求を通過させる（ユーザＩＤ、ＡＰＮ及び、ＩＫＥ＿ＳＡ＿ＩＮＩＴで含まれていない場合は新しい「ＰＤＮ−ＧＷ通知フラグ」を含む）。
４． ｅＰＤＧが認証要求／アイデンティティをＡＡＡサーバに送信する（ユーザＩＤ、ＡＰＮ及び新しい「ＰＤＮ−ＧＷ通知フラグ」を含む）。
５． ＡＡＡサーバは、ＨＳＳからユーザ登録プロファイル（ＰＤＮ−ＧＷアイデンティティを含む）を取得し、更にＡＰＮとＰＤＮ−ＧＷアイデンティティからＰＤＮ−ＧＷを特定する。
６． ＡＡＡサーバは、ＰＤＮ−ＧＷにユーザＩＤとｅＰＤＧを通知する。
７． ＰＤＮ−ＧＷは、以降のＩＫＥメッセージと、ＵＥと外部ｅＰＤＧとの間のパケットを通過させる。
【０１４８】
前述の「背景技術」の項における説明は、本願で説明されている特定の実施形態の例をよりよく理解できるようにすることを目的としており、ここで説明されている移動通信ネットワークの処理と機能の特定の実施内容に本発明を限定するものと解釈すべきではない。しかし、本願で提案されている改良は「背景技術」の項で説明しているアーキテクチャ／システムに容易に適用でき、本発明の一部の実施形態においてはこれらのアーキテクチャ／システムの標準的な手順及び改良された手順を利用できる。当業者は、本発明に対する特定の実施形態に示されているように、広く知られている本発明の精神及び範囲を逸脱することなく、各種の変更や修正が本発明に対して行われていることを理解するだろう。
【０１４９】
本発明の別の実施形態は、ハードウェアとソフトウェアを使用した、上述の様々な実施形態の実施に関する。本発明のこれらの様々な実施形態は演算装置（プロセッサ）を使用して実施又は実行できると知られている。演算装置又はプロセッサは、例えば、汎用プロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）又はその他のプログラム可能な論理デバイスなどであってよい。これらの本発明の様々な実施形態は、これらの装置を組み合わせて実行又は実施することもできる。
【０１５０】
さらに、これらの本発明の様々な実施形態は、プロセッサで又は直接的にハードウェアで実行される、ソフトウェアモジュールを使用して実施することもできる。また、ソフトウェアモジュールとハードウェアの実装を組み合わせることも可能である。このソフトウェアモジュールは、例えばＲＡＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ、レジスタ、ハードディスク、ＣＤ−ＲＯＭ、ＤＶＤなど、コンピュータで読み取り可能なあらゆる種類の記憶媒体に格納できる。 
【図１】
0005578579.tif 000002
【図２】
0005578579.tif 000003
【図３】
0005578579.tif 000004
【図４ａ】
0005578579.tif 000005
【図４ｂ】
0005578579.tif 000006
【図４ｃ】
0005578579.tif 000007
【図５ａ】
0005578579.tif 000008
【図５ｂ】
0005578579.tif 000009
【図６】
0005578579.tif 000010
【図７】
0005578579.tif 000011
【図８ａ】
0005578579.tif 000012
【図８ｂ】
0005578579.tif 000013
【図９】
0005578579.tif 000014
【図１０ａ】
0005578579.tif 000015
【図１０ｂ】
0005578579.tif 000016
【図１１】
0005578579.tif 000017
【図１２ａ】
0005578579.tif 000018
【図１２ｂ】
0005578579.tif 000019
【図１３】
0005578579.tif 000020
【図１４】
0005578579.tif 000021
【図１５ａ】
0005578579.tif 000022
【図１５ｂ】
0005578579.tif 000023
【図１６ａ】
0005578579.tif 000024
【図１６ｂ】
0005578579.tif 000025
【図１７】
0005578579.tif 000026
【図１８ａ】
0005578579.tif 000027
【図１８ｂ】
0005578579.tif 000028
【図１９】
0005578579.tif 000029
【図２０】
0005578579.tif 000030
【図２１】
0005578579.tif 000031