(57)【要約】    【課題】      ユーザのＵＥが追加される毎に新たな秘密の認証情報の設定、保持及び定期的な変更等の維持管理を行うことを不要にするとともに、その都度ユーザ名とパスワードを入力する手間を省くこと。    【解決手段】  ＩＭＳ処理部１１１は、ＨＬＲ１０２の加入者ポリシー情報部１２０から、加入者ポリシー情報を取り出して、取り出した加入者ポリシー情報、ＰＳ処理部１１０から入力した認証要求信号に含まれるＵＥ１０５とＵＥ１０６の識別情報、及び認証処理部１１２から入力した検証結果に基づいて、ＰＳ処理部１１０に対して、データの転送先を制御する。認証処理部１１２は、ＵＥ１０５及びＵＥ１０６の認証情報とＨＬＲ１０２の加入者情報部１２１から取り出した情報とに基づいて認証情報の検証を行い、検証結果をＩＭＳ処理部１１１に通知する。  【選択図】      図１
2006197108.tif 000002
【特許請求の範囲】
【請求項１】
第一通信端末装置と第二通信端末装置との接続の許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定する判定手段と、
通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行う認証手段と、
前記認証手段にて認証が成功した場合でかつ前記判定手段の判定結果が許可である場合に前記第一通信端末装置と前記第二通信端末装置とを接続してデータの転送を開始するデータ転送手段と、
を具備することを特徴とする通信装置。
【請求項２】
第一通信端末装置から第二通信端末装置への切り替えの許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定する判定手段と、
通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行う認証手段と、
前記認証手段にて認証が成功した場合でかつ前記判定手段の判定結果が許可である場合に前記第一通信端末装置の通信相手と前記第二通信端末装置とを接続してデータの転送を開始するデータ転送手段と、
を具備することを特徴とする通信装置。
【請求項３】
前記データ転送手段は、前記第一通信端末装置から受け取った前記第一通信端末装置の前記認証情報を前記第二通信端末装置に転送し、
前記判定手段は、前記第一通信端末装置の前記認証情報を受け取った前記第二通信端末装置が、前記第一通信端末装置を認証することができない場合に許可及び不許可を判定することを特徴とする請求項１または請求項２記載の通信装置。
【請求項４】
前記認証手段は、前記第一通信端末装置の前記認証情報を受け取った前記第二通信端末装置が、前記第一通信端末装置を認証することができない場合に、前記第一通信端末装置の認証を行うことを特徴とする請求項３記載の通信装置。
【請求項５】
前記判定手段は、前記第一通信端末装置から受け取った前記識別情報を用いて、前記第一通信端末装置の前記識別情報と、前記第一通信端末装置と接続が許可されている前記第二通信端末装置の前記識別情報とが関係付けられている加入者ポリシー情報を参照することにより、前記許可または前記不許可を判定することを特徴とする請求項１から請求項４のいずれかに記載の通信装置。
【請求項６】
前記認証手段は、通信端末装置毎に異なる秘密鍵にて前記識別情報を復号することにより認証を行うとともに、前記秘密鍵にて前記識別情報を正しく復号できた場合に認証が成功したものとすることを特徴とする請求項１から請求項５のいずれかに記載の通信装置。
【請求項７】
前記認証手段は、電子証明書にて認証を行うことを特徴とする請求項１から請求項６のいずれかに記載の通信装置。
【請求項８】
前記認証手段は、ＳＩＰにて認証を行うことを特徴とする請求項１から請求項７のいずれかに記載の通信装置。
【請求項９】
前記認証手段は、ＩＰｓｅｃにて認証を行うことを特徴とする請求項１から請求項８のいずれかに記載の通信装置。
【請求項１０】
前記認証手段は、ＴＬＳにて認証を行うことを特徴とする請求項１から請求項９のいずれかに記載の通信装置。
【請求項１１】
第一通信端末装置と第二通信端末装置との接続の許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定するステップと、
通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行うステップと、
認証が成功した場合でかつ判定結果が許可である場合に前記第一通信端末装置と前記第二通信端末装置とを接続してデータの転送を開始するステップと、
を具備することを特徴とする通信方法。
【請求項１２】
第一通信端末装置から第二通信端末装置への切り替えの許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定するステップと、
通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行うステップと、
認証が成功した場合でかつ判定結果が許可である場合に前記第一通信端末装置の通信相手と前記第二通信端末装置との間にてデータの転送を開始するステップと、
を具備することを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置及び通信方法に関し、例えばセッションのハンドオーバを行う通信装置及び通信方法に関する。
【背景技術】
【０００２】
図１１は、ＶｏＩＰ（Voice Over IP）等のＩＰベースのマルチメディアサービスを提供するパケット通信システムの構成を示す図である（例えば、非特許文献１及び非特許文献２）。図１１に示すように、パケット通信システムは、コアネットワーク（以下「ＣＮ」と記載する）１１と無線アクセスネットワーク（以下「ＲＡＮ」と記載する）１２、通信端末装置（以下「ＵＥ」と記載する）１３−１、１３−２、外部端末（以下「ＴＥ」と記載する）１４とを具備している。
【０００３】
ＲＡＮ１２は、基地局装置（以下「ＮｏｄｅＢ」と記載する）１５と、Ｎｏｄｅ  Ｂ１５の制御を行う無線ネットワーク制御装置（以下「ＲＮＣ」と記載する）１６とを具備している。
【０００４】
ＣＮ１１は、サービングＧＰＲＳサポートノード（以下「ＳＧＳＮ」と記載する）１７、ゲートウェイＧＲＰＳサポートノード（以下「ＧＧＳＮ」と記載する）１８、及びホームロケーションレジスタ（以下「ＨＬＲ」と記載する）１９、ＩＰマルチメディアサブシステム（以下「ＩＭＳ」と記載する）２０とを具備している。ＳＧＳＮ１７は、ＵＥ１３−１、１３−２の移動管理、認証制御及びパケット転送コネクション制御等を行う。ＧＧＳＮ１８は、外部ネットワークとの間でのパケット送受信のためのゲートウェイ機能及び課金制御等を行う。ＨＬＲ１９は、ＵＥ１３−１、１３−２の加入者情報（電話番号、認証情報、加入サービス情報等）を保持している。ＩＭＳ２０は、ＩＰマルチメディアサービスを提供するためのシステムであり、ＳＩＰ（Session Initiation Protocol）を用いたＩＰベースのセッション制御を行う。ＴＥ１４は、ＵＥ１３−１、１３−２との間でＩＰベースのマルチメディア通信を行う。ＳＩＰは、ＩＰ網の環境において、ＩＰパケットという形式のデータを用いて、音声通話またはテレビ電話等のビデオ通信やチャット等のマルチメディア通信を開始または終了するために使用される通信プロトコルである（例えば、非特許文献３）。
【０００５】
パケット通信システムにおいて、ＵＥ１３−１がＴＥ１４との間でＩＰベースのマルチメディア通信を行う場合、ＵＥ１３−１は、ＳＧＳＮ１７との間で認証処理を行う。そして、認証が成功した場合、ＵＥ１３−１とＳＧＳＮ１７との間にパケット転送コネクションが設定される。また、同時に、ＳＧＳＮ１７とＧＧＳＮ１８との間にもパケット転送コネクションが設定される。次に、ＵＥ１３−１は、ＩＰベースのマルチメディア通信を開始するために、設定されたパケット転送コネクションを利用して、ＩＭＳ２０との間でセッション制御を行う。
【０００６】
また、ＵＥ１３−１とＵＥ１３−２との間にてパケットの転送を行う場合、ＵＥ１３−１は、接続先端末であるＵＥ１３−２との接続要求（INVITE）をＩＭＳ２０に送信する。ＩＭＳ２０は、接続要求をＵＥ１３−２に転送する。ＵＥ１３−２は、接続可能であれば、ＩＭＳ２０に、通話路用のパケット転送のためのＩＰアドレス、トランスポートプロトコル、ポート番号、符号化方式等の情報を含む接続応答（ＡＣＫ）を送信する。ＩＭＳ２０は、接続応答をＵＥ１３−１に転送する。これにより、ＵＥ１３−１は、ＵＥ１３−２との間で、音声等のパケットを転送することが可能になる。上記のように、ＵＥ１３−１及びＵＥ１３−２とＴＥ１４との間でパケットを転送するために、ＵＥ１３−１、ＵＥ１３−２、ＩＭＳ２０及びＴＥ１４との間で行う一連の制御は、セッション制御と呼ばれる。
【０００７】
また、ユーザがＵＥ１３−１とＵＥ１３−２を所有し、ＵＥ１３−１で相手方のＴＥ１４と通信を行い、通信の途中で、ユーザの所有するＵＥ１３−２に切り替えて相手方のＴＥ１４と通信を行うセッションハンドオーバを行う場合がある。例えば、ＵＥ１３−１で視聴していたコンテンツを、ユーザの都合により、自宅のサーバに転送して保存するようなケースが考えられる。
【０００８】
このように、セッション制御及びユーザの所有する複数のＵＥ間でセッションハンドオーバを行う場合、ＵＥ１３−１は、ＵＥ１３−２のセッションを受け入れて良いか否かの信頼関係の確認を行う必要がある。このために、ＵＥ１３−１とＵＥ１３−２は、第３者には秘密の独自の認証情報を保持して相互で確認して認証を行ったり、セッションを移動させる都度、ユーザ名とパスワードによる認証を行ったりする必要がある。
【非特許文献１】3GPP TS23.060 General Packet Radio Service (GPRS); Service description; Stage 2
【非特許文献２】3GPP TS25.401 UTRAN overall description
【非特許文献３】RFC2543 SIP: Session Initiation Protocol
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、従来の装置においては、秘密の独自の認証情報を用いる場合は、ユーザのＵＥが追加される毎に新たな秘密の認証情報の設定、保持及び定期的な変更等の維持管理を行う必要があるという問題がある。また、ユーザ名とパスワードによる認証を用いる場合は、ユーザは、その都度ユーザ名とパスワードを入力する必要があると共に、定期的な変更等の維持管理を行う必要があるという問題がある。
【００１０】
本発明はかかる点に鑑みてなされたものであり、ユーザのＵＥが追加される毎に新たな秘密の認証情報の設定、保持及び定期的な変更等の維持管理を行うことを不要にすることができるとともに、その都度ユーザ名とパスワードを入力する手間を省くことができる通信装置及び通信方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明の通信装置は、第一通信端末装置と第二通信端末装置との接続の許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定する判定手段と、通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行う認証手段と、前記認証手段にて認証が成功した場合でかつ前記判定手段の判定結果が許可である場合に前記第一通信端末装置と前記第二通信端末装置とを接続してデータの転送を開始するデータ転送手段と、を具備する構成を採る。
【００１２】
また、本発明の通信装置は、第一通信端末装置から第二通信端末装置への切り替えの許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定する判定手段と、通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行う認証手段と、前記認証手段にて認証が成功した場合でかつ前記判定手段の判定結果が許可である場合に前記第一通信端末装置の通信相手と前記第二通信端末装置とを接続してデータの転送を開始するデータ転送手段と、を具備する構成を採る。
【００１３】
本発明の通信方法は、第一通信端末装置と第二通信端末装置との接続の許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定するステップと、通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行うステップと、認証が成功した場合でかつ判定結果が許可である場合に前記第一通信端末装置と前記第二通信端末装置とを接続してデータの転送を開始するステップと、を具備するようにした。
【００１４】
また、本発明の通信方法は、第一通信端末装置から第二通信端末装置への切り替えの許可及び不許可を通信端末装置を識別するための情報である識別情報に基づいて判定するステップと、通信端末装置を認証するための情報である認証情報に基づいて前記第一通信端末装置の認証を行うステップと、認証が成功した場合でかつ判定結果が許可である場合に前記第一通信端末装置の通信相手と前記第二通信端末装置との間にてデータの転送を開始するステップと、を具備するようにした。
【発明の効果】
【００１５】
本発明によれば、ユーザのＵＥが追加される毎に新たな秘密の認証情報の設定、保持及び定期的な変更等の維持管理を行うことを不要にすることができるとともに、その都度ユーザ名とパスワードを入力する手間を省くことができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００１７】
（実施の形態１）
本実施の形態１は、セッションハンドオーバを行う場合において、切り替え先のＵＥが、ＣＮに対して、切り替え元のＵＥと切り替え先のＵＥの認証を要求する。また、ＣＮは、切り替え元のＵＥと切り替え先のＵＥの認証が成功し、かつ、切り替え元のＵＥと切り替え先のＵＥとの接続が有効に指定されている場合のみ、切り替え先のＵＥに認証が成功したことを通知する。そして、切り替え先のＵＥは、ＣＮから認証が成功した通知を受けた場合のみ、セッションの移動制御を行うものである。
【００１８】
図１は、本発明の実施の形態１に係るパケット通信システム１００の構成を示すブロック図である。パケット通信システム１００は、ＳＧＳＮ、ＧＧＳＮ及びＩＭＳの処理を行う通信装置１０１、ＨＬＲ１０２、インターネット１０３を介して通信装置１０１と接続されるＴＥ１０４、切り替え元の通信端末装置であるＵＥ１０５（第一通信端末装置）及び切り替え先の通信端末装置であるＵＥ１０６（第二通信端末装置）から構成されている。なお、ＨＬＲ１０２及び通信装置１０１はＣＮを構成する。また、通信装置１０１とＵＥ１０５との間、及び通信装置１０１とＵＥ１０６との間には、図１１に示すＲＡＮと同一構成のＲＡＮが介在しているが、図１においては、説明の都合上ＲＡＮの記載は省略する。
【００１９】
最初に、通信装置１０１の構成について説明する。
【００２０】
データ転送手段であるＰＳ処理部１１０は、後述するＵＥ１０５及びＵＥ１０６のＰＳ処理部との間で、ＵＥ１０５及びＵＥ１０６の移動管理、認証制御、及びパケット転送コネクション制御等を行う。即ち、ＰＳ処理部１１０は、ＴＥ１０４から送信されたデータをインターネット１０３を介して受信して、ＩＭＳ処理部１１１の制御に基づいて受信したデータをＵＥ１０５またはＵＥ１０６へ転送する。また、ＰＳ処理部１１０は、ＵＥ１０５またはＵＥ１０６から送信されたデータをＩＭＳ処理部１１１の制御に基づいて受信して、インターネット１０３を介してＴＥ１０４へ送信する。また、ＰＳ処理部１１０は、ＵＥ１０５から送信されて受信した切り替え要求信号及びＵＥ１０５の認証情報をＵＥ１０６へ転送するとともに、ＵＥ１０６から送信されて受信したＵＥ１０５の認証情報、ＵＥ１０６の認証情報及びＵＥ１０６の認証要求信号をＩＭＳ処理部１１１へ出力する。
【００２１】
判定手段であるＩＭＳ処理部１１１は、ＵＥ１０５及びＵＥ１０６のＩＭＳ処理部との間で、ＳＩＰを用いたＩＰベースのセッション制御を行う。ＩＰベースのセッション処理のパケットは、ＵＥ１０５及びＵＥ１０６と、通信装置１０１のＰＳ処理部１１０との間に設定したパケット転送コネクションを利用して転送される。また、ＩＭＳ処理部１１１は、ＰＳ処理部１１０から入力したＵＥ１０６の認証要求信号、ＵＥ１０５の認証情報及びＵＥ１０６の認証情報を認証処理部１１２へ出力する。また、ＩＭＳ処理部１１１は、後述するＨＬＲ１０２の加入者ポリシー情報部から、例えば、サービス毎のＵＥ間の切り替えの許可または切り替えの不許可の情報である加入者ポリシー情報を取り出す。そして、ＩＭＳ処理部１１１は、取り出した加入者ポリシー情報、ＰＳ処理部１１０から入力した認証要求信号に含まれるＵＥ１０５とＵＥ１０６を識別するための情報である識別情報、及び認証処理部１１２から入力した検証結果に基づいて、ＰＳ処理部１１０に対して、データの転送先を制御する。なお、データの転送先を制御する具体的な方法については後述する。
【００２２】
認証手段である認証処理部１１２は、ＣＮがＵＥ１０５及びＵＥ１０６を認証するための認証処理を行う。具体的には、認証処理部１１２は、ＩＭＳ処理部１１１からＵＥ１０５及びＵＥ１０６の認証情報を受け取るとともに、ＨＬＲ１０２の加入者情報部から必要な情報を取り出す。そして、認証処理部１１２は、ＵＥ１０５及びＵＥ１０６の認証情報とＨＬＲ１０２の加入者情報部から取り出した情報とに基づいて認証情報の検証を行い、検証結果をＩＭＳ処理部１１１に通知する。例えば、認証処理部１１２は、ＵＥ１０５とＵＥ１０６とで異なる秘密鍵にて識別情報を復号することにより認証を行うとともに、各秘密鍵にてＵＥ１０５及びＵＥ１０６の識別情報を正しく復号できた場合に認証が成功したものとする。
【００２３】
次に、ＨＬＲ１０２の構成について説明する。
【００２４】
加入者ポリシー情報部１２０は、加入者ポリシー情報を保持している。そして、加入者ポリシー情報部１２０は、ＩＭＳ処理部１１１の要求に応じて、保持している加入者ポリシー情報をＩＭＳ処理部１１１へ出力する。なお、加入者ポリシー情報の内容は、加入者の契約、加入者の解約、サービスの契約、サービスの解約及びユーザからの要望に応じて変更することができる。
【００２５】
加入者情報部１２１は、電話番号、認証情報及び加入サービス情報等のＵＥの加入者情報を保持している。そして、加入者情報部１２１は、認証処理部１１２の要求に応じて、保持している加入者情報を認証処理部１１２へ出力する。加入者情報は、ＵＥ１０５、１０６の加入者情報部のＵＳＩＭまたはＳＩＭに保持されている情報と同等のものである。ここで、秘密鍵は、ＵＥ毎に異なる。なお、加入者情報の内容は、加入者の契約、加入者の解約、サービスの契約、サービスの解約及びユーザからの要望に応じて変更することができる。
【００２６】
次に、ＴＥ１０４の構成について説明する。なお、ＴＥ１０４は、外部のインターネット１０３を介して，移動通信システムに接続された端末である。
【００２７】
ＩＭＳ処理部１３０は、通信装置１０１との間で、ＳＩＰを用いたＩＰベースのセッション制御を行う。ＩＰベースのセッション処理のパケットは、通信装置１０１の間に設定したパケット転送コネクションを利用して転送される。図１において、ＴＥ１０４は、インターネット１０３を介して接続されている外部の端末であるため、移動通信システムとの間では認証を行えないため、ＵＥ１０５、１０６が持つような加入者情報部及び認証処理部を持たない。具体的には、ＩＭＳ処理部１３０は、データをインターネット１０３を介して通信装置１０１のＰＳ処理部１１０へ送信するとともに、通信装置１０１のＰＳ処理部１１０から送信されたデータを、インターネット１０３を介して受信する。
【００２８】
次に、ＵＥ１０５の構成について説明する。
【００２９】
ＰＳ処理部１４０は、通信装置１０１のＰＳ処理部１１０との間で、ＵＥの移動管理、認証制御、パケット転送コネクション制御等を行う。具体的には、ＰＳ処理部１４０は、ＩＭＳ処理部１４１から入力したＵＥ１０５の認証情報及び切り替え要求信号を通信装置１０１のＰＳ処理部１１０へ送信する。
【００３０】
ＩＭＳ処理部１４１は、通信装置１０１のＩＭＳ処理部１１１との間で、ＳＩＰを用いたＩＰベースのセッション制御を行う。ＩＰベースのセッション処理のパケットは、ＵＥ１０５と通信装置１０１のＰＳ処理部１１０の間に設定したパケット転送コネクションを利用して転送される。具体的には、ＩＭＳ処理部１４１は、セッションをＵＥ１０６に移動することを決定した場合には、認証処理部１４２に対してＵＥ１０５の認証情報の生成を要求するとともに、認証処理部１４２から入力したＵＥ１０５の認証情報を、切り替え要求信号とともにＰＳ処理部１４０へ出力する。
【００３１】
認証処理部１４２は、ＩＭＳ処理部１４１から認証情報の生成を要求された場合には、加入者情報部１４３から必要な情報を取り出し、認証情報を作成してＩＭＳ処理部１４１へ出力する。
【００３２】
加入者情報部１４３は、電話番号、認証情報、加入サービス情報等のＵＥ１０５の加入者情報を保持し、ＵＭＴＳ（Universal Mobile Telecommunication System：ヨーロッパの第３世代移動体通信システム）ではＵＳＩＭと呼ばれ、ＧＳＭ（Global System for Mobile：デジタル携帯電話機で使われる無線通信方式の一つ）ではＳＩＭ（Subscriber Identification Module）と呼ばれる。そして、加入者情報部１４３は、認証処理部１４２の要求に応じて、保持している加入者情報を認証処理部１４２へ出力する。加入者情報は、ＨＬＲ１０２の加入者情報部１２１のＵＳＩＭまたはＳＩＭに保持されている情報と同等のものである。ここで、ＵＳＩＭ及びＳＩＭは、ＵＥの認証のための秘密鍵、及び秘密鍵から認証情報を生成するアプリケーションソフトにより構成されている。秘密鍵は、ＵＥ毎に異なり、ＨＬＲ１０２の加入者情報部１２１にも同じ秘密鍵が保持されている。なお、加入者情報の内容は、加入者の契約、加入者の解約、サービスの契約、サービスの解約及びユーザからの要望に応じて変更することができる。
【００３３】
次に、ＵＥ１０６の構成について説明する。
【００３４】
ＰＳ処理部１５０は、通信装置１０１のＰＳ処理部１１０との間で、ＵＥの移動管理、認証制御、パケット転送コネクション制御等を行う。具体的には、ＰＳ処理部１５０は、通信装置１０１から送信された切り替え要求信号及びＵＥ１０５の認証情報を受信してＩＭＳ処理部１５１へ出力する。また、ＰＳ処理部１５０は、ＩＭＳ処理部１５１から入力したＵＥ１０５の認証情報、ＵＥ１０６の認証情報及び認証要求信号を通信装置１０１のＰＳ処理部１１０へ送信する。
【００３５】
ＩＭＳ処理部１５１は、通信装置１０１のＩＭＳ処理部１１１との間で、ＳＩＰを用いたＩＰベースのセッション制御を行う。ＩＰベースのセッション処理のパケットは、ＵＥ１０６と通信装置１０１のＰＳ処理部１１０の間に設定したパケット転送コネクションを利用して転送される。具体的には、ＩＭＳ処理部１５１は、ＰＳ処理部１５０から切り替え要求信号及びＵＥ１０５の認証情報が入力した場合には、セッションを自分に移動するものと判断して、ＵＥ１０５の認証情報を認証処理部１５２へ出力する。また、ＩＭＳ処理部１５１は、認証処理部１５２から、ＵＥ１０５の認証情報に基づいたＵＥ１０５の認証が失敗した旨の情報が入力した場合には、認証処理部１５２に対して、ＵＥ１０６の認証情報を生成するように指示する。そして、ＩＭＳ処理部１５１は、認証処理部１５２から入力したＵＥ１０６の認証情報、ＵＥ１０５の認証情報及び認証要求信号をＰＳ処理部１５０へ出力する。
【００３６】
認証処理部１５２は、ＩＭＳ処理部１５１からＵＥ１０５の認証情報が入力した場合には、ＵＥ１０５の認証情報に基づいてＵＥ１０５の認証を行う。そして、認証処理部１５２は、認証に成功したかまたは失敗したかのＵＥ１０５の認証結果をＩＭＳ処理部１５１に出力する。また、認証処理部１５２は、ＩＭＳ処理部１５１から認証情報の生成を要求された場合には、加入者情報部１５３から必要な情報を取り出し、ＵＥ１０６の認証情報を作成してＵＥ１０５の認証情報とともにＩＭＳ処理部１５１へ出力する。
【００３７】
加入者情報部１５３は、電話番号、認証情報、加入サービス情報等のＵＥ１０６の加入者情報を保持し、ＵＭＴＳではＵＳＩＭと呼ばれ、ＧＳＭではＳＩＭと呼ばれる。そして、加入者情報部１５３は、認証処理部１５２の要求に応じて、保持している加入者情報を認証処理部１５２へ出力する。加入者情報は、ＨＬＲ１０２の加入者情報部１２１のＵＳＩＭまたはＳＩＭに保持されている情報と同等のものである。ここで、ＵＳＩＭ及びＳＩＭは、ＵＥの認証のための秘密鍵、及び秘密鍵から認証情報を生成するアプリケーションソフトにより構成されている。秘密鍵は、ＵＥ毎に異なり、ＨＬＲ１０２の加入者情報部１２１にも同じ秘密鍵が保持されている。なお、加入者情報の内容は、加入者の契約、加入者の解約、サービスの契約、サービスの解約及びユーザからの要望に応じて変更することができる。
【００３８】
次に、パケット通信システム１００の動作について、図２を用いて説明する。図２は、パケット通信システム１００の動作を示すシーケンス図である。
【００３９】
最初に、ＵＥ１０５とＴＥ１０４との間で通信が行われている（ステップＳＴ２０１）。
【００４０】
次に、ＵＥ１０５は、セッションをＵＥ１０６に移動することを決定する。そして、ＵＥ１０５は、セッションをＵＥ１０６に移動するために、ＩＭＳ処理部１４１から、ＰＳ処理部１４０を介して、ＩＮＶＩＴＥメッセージを送信し、通信装置１０１のＩＭＳ処理部１１１は、ＰＳ処理部１１０を介してＩＮＶＩＴＥメッセージを受信する（ステップＳＴ２０２）。このＩＮＶＩＴＥメッセージには、ＵＥ１０６のアドレスと共に、ＵＥ１０５の認証処理部１４２が加入者情報部１４３の保持するデータに基づき生成したＵＥ１０５の認証情報（Auth Info）が含まれている。また、ステップＳＴ２０２において、ＵＥ１０５は、空のＳＤＰ（Session Description Protocol）をＰＳ処理部１１０に送信する。ここで、ＳＤＰとは、セッション通信情報であり、ＩＰアドレス、トランスポートプロトコル、ポート番号及び符号化方式等が設定される。
【００４１】
次に、通信装置１０１のＩＭＳ処理部１１１は、ＰＳ処理部１１０を介して、ステップＳＴ２０２で受信したＩＮＶＩＴＥメッセージをＵＥ１０６に転送する（ステップＳＴ２０３）。
【００４２】
次に、ＵＥ１０６のＩＭＳ処理部１５１は、ＰＳ処理部１５０を介してＩＮＶＩＴＥメッセージを受信する。そして、認証処理部１５２は、ＩＮＶＩＴＥメッセージに設定されているＵＥ１０５の認証情報に基づいて認証を行う。次に、ＩＭＳ処理部１５１は、認証処理部１５２における認証が失敗した場合、即ち、ＩＮＶＩＴＥメッセージに設定されているＵＥ１０５の認証情報が確認できない場合、認証処理部１５２にて生成されたＵＥ１０６の認証情報及びＵＥ１０５の認証情報、及び認証要求（Auth Req）を通信装置１０１に送信して、ＵＥ１０５の認証を要求する（ステップＳＴ２０４）。
【００４３】
次に、ＰＳ処理部１１０及びＩＭＳ処理部１１１を介して認証要求を受信した通信装置１０１の認証処理部１１２は、ＵＥ１０５の認証を行うために、ＨＬＲ１０２の加入者情報部１２１にＵＥ１０５の認証情報を要求する。また、認証要求を受信した通信装置１０１のＩＭＳ処理部１１１は、セッションの切り替え先のＵＥ１０６がＵＥ１０５からのセッションの受け入れを許可しているか否かを確認するために、ＨＬＲ１０２の加入者ポリシー情報部１２０に加入者ポリシー情報を要求する（ステップＳＴ２０５）。図３は、加入者ポリシー情報の一例を示すものである。加入者ポリシー情報は、ＵＥ１０５の識別情報と、サービス毎のＵＥ１０５との接続が許可されているＵＥの識別情報とが関係付けられている。図３においては、切り替え元のＵＥの識別情報である加入者識別番号とサービスと切り替え先のＵＥの識別情報である許可先加入者識別番号とが関係付けられている。
【００４４】
次に、ＨＬＲ１０２の加入者情報部１２１は加入者の認証情報を通信装置１０１の認証処理部１１２へ通知するとともに、ＨＬＲ１０２の加入者ポリシー情報部１２０は加入者ポリシー情報をＩＭＳ処理部１１１に通知する（ステップＳＴ２０６）。
【００４５】
次に、通信装置１０１の認証処理部１１２は、ステップＳＴ２０４においてＵＥ１０６から受信したＵＥ１０５とＵＥ１０６の認証情報と、ＨＬＲ１０２の加入者情報部１２１から受信した認証情報に基づいて演算を行い、ＵＥ１０５及びＵＥ１０６の認証を行う。さらに、通信装置１０１のＩＭＳ処理部１１１は、ステップＳＴ２０４において受信した認証要求（Auth Req）メッセージに含まれるＵＥ１０６の識別情報と、ＨＬＲ１０２の加入者ポリシー情報部１２０から受信した加入者ポリシー情報を比較して、セッションの切り替え先のＵＥ１０６がＵＥ１０５からのセッションの受け入れを許可しているか否かを確認する。なお、ＩＭＳ処理部１１１及び認証処理部１１２の詳細な動作については後述する。
【００４６】
次に、通信装置１０１のＩＭＳ処理部１１１は、ＵＥ１０５とＵＥ１０６の認証が成功し、かつ、セッションの切り替え先のＵＥ１０６がＵＥ１０５からのセッションの受け入れを許可している場合、即ち加入者ポリシー情報が切り替え元の端末と切り替え先の端末との切り替えが有効に指定されている場合に認証成功（Auth ACK）メッセージをＵＥ１０６に送信する（ステップＳＴ２０７）。
【００４７】
次に、ＰＳ処理部１５０を介して認証成功（Auth ACK）メッセージを受信したＩＭＳ処理部１５１は、ステップＳＴ２０３でＵＥ１０５から受信したＩＮＶＩＴＥメッセージを受け入れてよいと判断し、ＰＳ処理部１５０を介してＯＫメッセージを通信装置１０１のＩＭＳ処理部１１１に送信する（ステップＳＴ２０８）。
【００４８】
次に、通信装置１０１のＩＭＳ処理部１１１は、ＰＳ処理部１１０を介してＵＥ１０６から受信したＯＫメッセージを、ＰＳ処理部１０６を介してＵＥ１０５に送信する（ステップＳＴ２０９）。ステップＳＴ２０９で送信するＯＫメッセージには、ＵＥ１０６のアドレス等が含まれている。
【００４９】
次に、ＵＥ１０５は、通信装置１０１にＡＣＫメッセージを送信する（ステップＳＴ２１０）。そして、ＡＣＫメッセージを受信した通信装置１０１は、受信したＡＣＫメッセージをＵＥ１０６に送信する（ステップＳＴ２１１）。なお、ステップＳＴ２０９、ステップＳＴ２１０及びステップＳＴ２１１のＯＫ及びＡＣＫメッセージについても、ステップＳＴ２０２及びステップＳＴ２０３のＩＮＶＩＴＥメッセージと同様に認証情報を含み、通信装置１０１のＩＭＳ処理部１１１及び認証処理部１１２、ＵＥ１０５の認証処理部１４２及びＵＥ１０６の認証処理部１５２で認証を行っても良い。
【００５０】
次に、ＵＥ１０５は、ステップＳＴ２０９で受信したＵＥ１０６のＩＰアドレス等を含むＩＮＶＩＴＥメッセージを通信装置１０１へ送信し、通信装置１０１は受信した、ＵＥ１０６のＩＰアドレス等を含むＩＮＶＩＴＥメッセージをＴＥ１０４に送信する（ステップＳＴ２１２）。これにより、ＴＥ１０４は、セッションの切り替え先となるＵＥ１０６のＩＰアドレス等の情報を知ることができる。
【００５１】
次に、ＴＥ１０４は、ＩＭＳ処理部１３０より、ＯＫメッセージを通信装置１０１を介してＵＥ１０５に送信する（ステップＳＴ２１３）。
【００５２】
次に、ＵＥ１０５は、通信装置１０１にＡＣＫメッセージ送信し、通信装置１０１は受信したＡＣＫメッセージを、ＩＭＳ処理部１１１及びＰＳ処理部１１０を介して、ＴＥ１０４に送信する（ステップＳＴ２１４）。
【００５３】
次に、ＴＥ１０４は、セッションの切り替え先のＵＥ１０６宛てにパケットの送信を行う（ステップＳＴ２１５）。
【００５４】
次に、図２のステップＳＴ２０７において、ＵＥ１０５の認証、ＵＥ１０６の認証、またはＵＥ１０５とＵＥ１０６との切り替えが有効に指定されていなかった場合の動作について、図４を用いて説明する。図４は、パケット通信システム１００の動作を示すシーケンス図である。なお、図４において、図２と同一の動作である部分については図２と同一の符号を付して、その説明は省略する。
【００５５】
ステップＳＴ２０１〜ステップＳＴ２０６は図２と同一の動作である。そして、ＵＥ１０５の認証、ＵＥ１０６の認証、またはＵＥ１０５とＵＥ１０６との間の接続認証が成功しなかった場合、通信装置１０１のＩＭＳ処理部１１１は、ＰＳ処理部１１０を介して、ＵＥ１０６に対して、認証失敗（Auth NG）メッセージを送信する（ステップＳＴ４０１）。
【００５６】
次に、通信装置１０１のＩＭＳ処理部１１１は、ＵＥ１０５の認証を要求するために、ＰＳ処理部１１０を介してSIP Authorization RequiredメッセージをＵＥ１０５に送信する（ステップＳＴ４０２）。ここで、SIP Authorizationには、Basic認証（RFC2543）及びDigest認証（RFC2617）等を用いることが可能である。本実施の形態１では、Basic認証を用いた場合について説明する。
【００５７】
次に、ＵＥ１０５は、Basic認証のためのユーザ名（Username）とパスワード（Password）を含むＩＮＶＩＴＥメッセージを、通信装置１０１のＩＭＳ処理部１１１に送信する（ステップＳＴ４０３）。
【００５８】
次に、通信装置１０１のＩＭＳ処理部１１１は、ＰＳ処理部１１０を介して受信したＵＥ１０５からのユーザ名とパスワードを含むＩＮＶＩＴＥメッセージを、ＰＳ処理部１１０を介してＵＥ１０６に送信する（ステップＳＴ４０４）。
【００５９】
次に、ＩＮＶＩＴＥメッセージを受信したＵＥ１０６は、ＩＮＶＩＴＥメッセージに含まれるユーザ名とパスワードの確認を行い、自身の保持するデータと一致する場合、ＯＫメッセージを通信装置１０１のＩＭＳ処理部１１１に送信する（ステップＳＴ４０５）。そして、ステップＳＴ４０５より後のステップＳＴ２０９〜ステップＳＴ２１５までは図２と同一の動作である。
【００６０】
次に、通信装置１０１のＩＭＳ処理部１１１及び認証処理部１１２の詳細な動作について、図５を用いて説明する。図５は、ＩＭＳ処理部１１１及び認証処理部１１２の動作を示すフロー図である。
【００６１】
最初に、認証処理部１１２は、ＵＥ１０５の認証情報とＨＬＲ１０２の加入者情報部１２１から受け取った認証情報とから、ＵＥ１０５の検証を行う（ステップＳＴ５０１）。
【００６２】
次に、認証処理部１１２は、ＵＥ１０５の検証の成功及び失敗、即ち検証ＯＫであるか否かを判定する（ステップＳＴ５０２）。
【００６３】
ステップＳＴ５０２において、検証ＯＫである場合には、認証処理部１１２は、検証ＯＫである旨をＩＭＳ処理部１１１に通知するとともに、ＵＥ１０６から受け取った認証情報とＨＬＲ１０２の加入者情報部１２１から受け取った認証情報とから、ＵＥ１０６の検証を行う（ステップＳＴ５０３）。
【００６４】
次に、認証処理部１１２は、ＵＥ１０６の検証の成功及び失敗、即ち検証ＯＫであるか否かを判定する（ステップＳＴ５０４）。
【００６５】
ステップＳＴ５０４において、検証ＯＫである場合には、認証処理部１１２は、検証ＯＫである旨をＩＭＳ処理部１１１に通知するとともに、ＩＭＳ処理部１１１は、ＵＥ１０５とＵＥ１０６との接続許可を加入者ポリシー情報に基づいて検証する（ステップＳＴ５０５）。
【００６６】
次に、ＩＭＳ処理部１１１は、ＵＥ１０５とＵＥ１０６との接続認可の許可及び不許可、即ち検証ＯＫであるか否かを判定する（ステップＳＴ５０６）。
【００６７】
そして、ステップＳＴ５０６において、検証ＯＫである場合には、ＩＭＳ処理部１１１は、ＵＥ１０５の検証及びＵＥ１０６の検証に成功し、ＵＥ１０５とＵＥ１０６との接続の検証に成功したので接続許可と判断し、セッションをＵＥ１０５からＵＥ１０６に移動させる。
【００６８】
一方、ステップＳＴ５０２において、検証ＯＫではない場合には、認証処理部１１２は、ＩＭＳ処理部１１１に対して、ＵＥ１０５については認証できない旨を通知する。そして、ＩＭＳ処理部１１１は、ＵＥ１０５の検証に失敗したので、セッションをＵＥ１０５からＵＥ１０６に移動させる処理は行わない。
【００６９】
また、ステップＳＴ５０４において、検証ＯＫでない場合には、認証処理部１１２は、ＩＭＳ処理部１１１に対して、ＵＥ１０６については認証できない旨を通知する。そして、ＩＭＳ処理部１１１は、ＵＥ１０６の検証に失敗したので、セッションをＵＥ１０５からＵＥ１０６に移動させる処理は行わない。
【００７０】
また、ステップＳＴ５０６において、検証ＯＫでない場合には、ＩＭＳ処理部１１１は、ＵＥ１０５の検証及びＵＥ１０６の検証に成功したが、ＵＥ１０５とＵＥ１０６との接続の検証には失敗したので接続不許可と判断し、セッションをＵＥ１０５からＵＥ１０６に移動させる処理は行わない。
【００７１】
このように、本実施の形態１によれば、ＣＮを構成する通信装置１０１において、切り替え元のＵＥと切り替え先のＵＥとの接続許可及び接続不許可を判定するので、ユーザのＵＥが追加される毎に新たな秘密の認証情報の設定、保持及び定期的な変更等の維持管理を行うことを不要にすることができるとともに、その都度ユーザ名とパスワードを入力する手間を省くことができる。また、本実施の形態１によれば、従来から用いられているＵＳＩＭまたはＳＩＭを用いた認証を行うことによりセッション制御を行うので、セッション制御のために新たな認証情報を保持する必要がなく、ユーザが認証のための新たな処理を行う必要をなくすることができる。
【００７２】
（実施の形態２）
本実施の形態２は、セッションハンドオーバする場合において、ＣＮにて、切り替え元のＵＥの認証が成功し、かつ、切り替え元のＵＥと切り替え先のＵＥとの接続が有効に指定されている場合のみ、切り替え先のＵＥの認証を行う。そして、ＣＮは、切り替え先のＵＥの認証が成功した場合のみ、セッションの移動要求を切り替え先のＵＥに転送するものである。
【００７３】
図６は、本発明の実施の形態２に係るパケット通信システム６００の構成を示すブロック図である。
【００７４】
本実施の形態２に係るパケット通信システム６００は、図１に示す実施の形態１に係るパケット通信システム１００において、図６に示すように、通信装置１０１の代わりに通信装置６０１を有し、ＵＥ１０６の代わりにＵＥ６０２を有する。なお、図６においては、図１と同一構成である部分には同一の符号を付してその説明は省略する。
【００７５】
最初に通信装置６０１の構成について説明する。
【００７６】
データ転送手段であるＰＳ処理部６１０は、ＵＥ１０５及びＵＥ６０２のＰＳ処理部との間で、ＵＥ１０５及びＵＥ６０２の移動管理、認証制御、及びパケット転送コネクション制御等を行う。即ち、ＰＳ処理部６１０は、ＴＥ１０４から送信されたデータをインターネット１０３を介して受信して、ＩＭＳ処理部６１１の制御に基づいて受信したデータをＵＥ１０５またはＵＥ６０２へ転送する。また、ＰＳ処理部６１０は、ＵＥ１０５またはＵＥ６０２から送信されたデータをＩＭＳ処理部６１１の制御に基づいて受信して、インターネット１０３を介してＴＥ１０４へ送信する。また、ＰＳ処理部６１０は、ＵＥ１０５から送信されて受信した切り替え要求信号及びＵＥ１０５の認証情報をＩＭＳ処理部６１１へ出力するとともに、ＩＭＳ処理部６１１から入力したＵＥ６０２の認証情報をＵＥ６０２へ送信する。
【００７７】
判定手段であるＩＭＳ処理部６１１は、ＵＥ１０５及びＵＥ６０２のＩＭＳ処理部との間で、ＳＩＰを用いたＩＰベースのセッション制御を行う。ＩＰベースのセッション処理のパケットは、ＵＥ１０５及びＵＥ６０２と、通信装置６０１のＰＳ処理部６１０との間に設定したパケット転送コネクションを利用して転送される。また、ＩＭＳ処理部６１１は、ＰＳ処理部６１０から入力したＵＥ１０５の認証情報を認証処理部６１２へ出力する。また、ＩＭＳ処理部６１１は、ＨＬＲ１０２の加入者ポリシー情報部１２０から加入者ポリシー情報を取り出す。そして、ＩＭＳ処理部６１１は、ＵＥ１０５の識別情報、切り替え要求信号に含まれるＵＥ６０２の識別情報、加入者ポリシー情報及び認証処理部６１２から入力した検証結果に基づいて、ＰＳ処理部６１０に対して、データの転送先を制御する。なお、データの転送先を制御する具体的な方法については後述する。
【００７８】
認証手段である認証処理部６１２は、ＵＥ１０６がＣＮを認証するために必要な認証情報の生成処理と、ＣＮがＵＥ１０５を認証するための認証処理を行う。具体的には、認証処理部６１２は、ＵＥ６０２がＣＮを認証するために必要な認証情報の生成処理では、ＵＥ１０５の認証が成功した場合に、加入者情報部１２１から必要な情報を取り出し、ＵＥ６０２の認証情報を生成してＩＭＳ処理部６１１へ出力する。また、認証処理部６１２は、ＣＮがＵＥ１０５を認証するための認証処理では、ＩＭＳ処理部６１１からＵＥ１０５の認証情報を受け取るとともに、ＨＬＲ１０２の加入者情報部１２１から必要な情報を取り出す。そして、認証処理部６１２は、ＵＥ１０５の認証情報と加入者情報部１２１から取り出した情報とに基づいて認証情報の検証を行い、検証結果をＩＭＳ処理部６１１に通知する。例えば、認証処理部６１２は、ＵＥ１０５とＵＥ６０２とで異なる秘密鍵にて識別情報を復号することにより認証を行うとともに、各秘密鍵にてＵＥ１０５及びＵＥ６０２の識別情報を正しく復号できた場合に認証が成功したものとする。
【００７９】
次に、ＵＥ６０２（第二通信端末装置）の構成について説明する。
【００８０】
ＰＳ処理部６２０は、通信装置６０１のＰＳ処理部６１０との間で、ＵＥの移動管理、認証制御、パケット転送コネクション制御等を行う。具体的には、ＰＳ処理部６２０は、通信装置６０１から送信されたＵＥ６０２の認証情報を受信してＩＭＳ処理部６２１へ出力する。
【００８１】
ＩＭＳ処理部６２１は、通信装置６０１のＩＭＳ処理部６１１との間で、ＳＩＰを用いたＩＰベースのセッション制御を行う。ＩＰベースのセッション処理のパケットは、ＵＥ６０２と通信装置６０１のＰＳ処理部６１０の間に設定したパケット転送コネクションを利用して転送される。具体的には、ＩＭＳ処理部６２１は、ＰＳ処理部６２０からＵＥ６０２の認証情報が入力した場合には、セッションを自分に移動するものと判断して、ＵＥ６０２の認証情報を認証処理部６２２へ出力する。
【００８２】
認証処理部６２２は、ＩＭＳ処理部６２１からＵＥ６０２の認証情報が入力した場合には、加入者情報部６２３から必要な情報を取り出して、取り出した情報とＵＥ６０２の認証情報とに基づいてＵＥ６０２の認証を行う。
【００８３】
加入者情報部６２３は、電話番号、認証情報、加入サービス情報等のＵＥ６０２の加入者情報を保持し、ＵＭＴＳではＵＳＩＭと呼ばれ、ＧＳＭではＳＩＭと呼ばれる。そして、加入者情報部６２３は、認証処理部６２２の要求に応じて、保持している加入者情報を認証処理部６２２へ出力する。加入者情報部６２３は、ＨＬＲ１０２の加入者情報部１２１のＵＳＩＭまたはＳＩＭに保持されている情報と同等のものである。ここで、ＵＳＩＭ及びＳＩＭは、ＵＥの認証のための秘密鍵、及び秘密鍵から認証情報を生成するアプリケーションソフトにより構成されている。秘密鍵は、ＵＥ毎に異なり、ＨＬＲ１０２の加入者情報部１２１にも同じ秘密鍵が保持されている。なお、加入者情報の内容は、加入者の契約、加入者の解約、サービスの契約、サービスの解約及びユーザからの要望に応じて変更される。
【００８４】
図７は、本発明の実施の形態２に係るパケット通信システム６００の動作を示すシーケンス図である。
【００８５】
最初に、ＵＥ１０５とＴＥ１０４との間で通信が行われている（ステップＳＴ７０１）。
【００８６】
次に、ＵＥ１０５は、セッションをＵＥ６０２に移動することを決定する。そして、ＵＥ１０５は、セッションをＵＥ６０２に移動するために、ＩＭＳ処理部１４１から、ＰＳ処理部１４０を介して、ＩＮＶＩＴＥメッセージを送信し、通信装置６０１のＩＭＳ処理部６１１は、ＰＳ処理部６１０を介してＩＮＶＩＴＥメッセージを受信する（ステップＳＴ７０２）。ＩＮＶＩＴＥメッセージには、ＵＥ６０２の識別情報と共に、ＵＥ１０５の認証処理部１４２が加入者情報部１４３の保持するデータに基づき生成した認証情報（Authorization Info）が含まれている。
【００８７】
次に、通信装置６０１の認証処理部６１２は、ＰＳ処理部６１０及びＩＭＳ処理部６１１を介して受信したＩＮＶＩＴＥメッセージが、ＵＥ１０５から受信したものであることを確認するために、ＨＬＲ１０２の加入者情報部１２１に認証情報を要求する。また、ＩＭＳ処理部６１１は、セッションの切り替え先のＵＥ６０２がＵＥ１０５からのセッションの受け入れを許可しているか否かを確認するために、ＨＬＲ１０２の加入者ポリシー情報部１２０に加入者ポリシー情報を要求する（ステップＳＴ７０３）。
【００８８】
次に、ＨＬＲ１０２の加入者情報部１２１は加入者の認証情報を認証処理部６１２に通知するとともに、ＨＬＲ１０２の加入者ポリシー情報部１２０は加入者ポリシー情報をＩＭＳ処理部６１１に通知する（ステップＳＴ７０４）。通信装置６０１の認証処理部６１２は、まず、ステップＳＴ７０２においてＵＥ１０５から受信したＩＮＶＩＴＥメッセージに含まれる認証情報と、ＨＬＲ１０２から受信した認証情報に基づいて演算を行い、ＩＮＶＩＴＥメッセージがＵＥ１０５から送られてきていることを確認する。さらに、通信装置６０１のＩＭＳ処理部６１１は、ステップＳＴ７０２においてＵＥ１０５から受信したＩＮＶＩＴＥメッセージに含まれるＵＥ６０２の識別情報と、ＨＬＲ１０２から受信した加入者ポリシー情報を比較し、セッションの切り替え先のＵＥ６０２がＵＥ１０５からのセッションの受け入れを許可しているか否かを確認する。
【００８９】
次に、ＩＭＳ処理部６１１は、ＵＥ１０５の認証が成功し、かつ、加入者ポリシー情報においてＵＥ１０５とＵＥ６０２との切り替えが有効に指定されている場合には、セッションをＵＥ６０２に移動するために、ＩＮＶＩＴＥメッセージをＵＥ６０２に送信する（ステップＳＴ７０５）。このＩＮＶＩＴＥメッセージには、通信装置６０１の認証処理部６１２が加入者情報部１２１の保持するデータに基づき生成したＵＥ６０２の認証情報（Authorization Info）が含まれている。
【００９０】
次に、ＰＳ処理部６２０を介してＩＮＶＩＴＥメッセージを受信したＵＥ６０２の認証処理部６２２は、まず、受信したＩＮＶＩＴＥメッセージに含まれるＵＥ６０２の認証情報と、ＵＥ６０２の加入者情報部６２３の認証情報に基づいて演算を行い、ＩＮＶＩＴＥメッセージが通信装置６０１から送られてきていることを確認する。ＩＮＶＩＴＥメッセージが通信装置６０１から送られてきていることが確認できた場合、ＵＥ６０２は、ＯＫメッセージを通信装置６０１に送信する（ステップＳＴ７０６）。このＯＫメッセージには、ＵＥ６０２のアドレス等と共に、ＵＥ６０２の認証処理部６２２が加入者情報部６２３の保持するデータに基づいて生成した認証情報（Authorization Info）が含まれている。
【００９１】
次に、通信装置６０１の認証処理部６１２は、ＵＥ６０２から受信したＯＫメッセージに含まれる認証情報と、ＨＬＲ１０２から受信した認証情報に基づいて演算を行い、ＯＫメッセージがＵＥ６０２から送られてきていることを確認する。ＯＫメッセージがＵＥ６０２から送られてきていることが確認できた場合、通信装置６０１は、ＯＫメッセージをＵＥ１０５に送信する（ステップＳＴ７０７）。このＯＫメッセージには、ＵＥ６０２のアドレス等が含まれている。
【００９２】
次に、ＵＥ１０５は、ＡＣＫメッセージを通信装置６０１に送信する（ステップＳＴ７０８）。
【００９３】
次に、通信装置６０１は、受信したＡＣＫメッセージをＵＥ６０２に送信する（ステップＳＴ７０９）。ステップＳＴ７０８及びステップＳＴ７０９のＡＣＫメッセージについても、ステップＳＴ７０２及びステップＳＴ７０５のＩＮＶＩＴＥメッセージと同様に認証情報を含み、通信装置６０１及びＵＥ６０２で認証を行っても良い。
【００９４】
次に、ＵＥ１０５は、ステップＳＴ７０７で受信したＵＥ６０２のＩＰアドレス等をＩＮＶＩＴＥメッセージに含めて、通信装置６０１に送信するとともに、通信装置６０１は、受信したＵＥ６０２のＩＰアドレス等を含むＩＮＶＩＴＥメッセージをＴＥ１０４に送信する（ステップＳＴ７１０）。これにより、ＴＥ１０４は、セッションの切り替え先となるＵＥ６０２のＩＰアドレス等の情報を知ることができる。
【００９５】
次に、ＴＥ１０４は、ＯＫメッセージを、通信装置６０１に送信するとともに、通信装置６０１は受信したＯＫメッセージをＵＥ１０５に送信する（ステップＳＴ７１１）。
【００９６】
次に、ＵＥ１０５は、ＡＣＫメッセージを、通信装置６０１へ送信するとともに、通信装置６０１は、受信したＡＣＫメッセージをＴＥ１０４に送信する（ステップＳＴ７１２）。
【００９７】
次に、ＴＥ１０４は、セッションの切り替え先のＵＥ６０２宛てにパケットの送信を行う（ステップＳＴ７１３）。
【００９８】
次に、図７のステップＳＴ７０４において、切り替え元のＵＥ１０５の認証が成功しなかった場合、または、ＵＥ１０５の認証には成功したが、加入者ポリシー情報が切り替え元のＵＥ１０５と切り替え先のＵＥ６０２との切り替えが有効に指定されていない場合の動作について、図８を用いて説明する。図８は、パケット通信システム６００の動作を示すシーケンス図である。なお、図８において、図７と同一の動作である部分については図７と同一の符号を付して、その説明は省略する。
【００９９】
ステップＳＴ７０１〜ステップＳＴ７０４までの動作は、図７と同一である。
【０１００】
通信装置６０１は、ＵＥ１０５の認証を要求するために、SIP Authorization RequiredメッセージをＵＥ１０５に送信する（ステップＳＴ８０１）。ここで、SIP Authorizationには，Basic認証（RFC2543），Digest認証（RFC2617）などを用いることが可能である。本実施の形態２においては、Basic認証を用いた場合について説明する。
【０１０１】
次に、ＵＥ１０５は、Basic認証のためのユーザ名（Username）とパスワード（Password）を含むＩＮＶＩＴＥメッセージを通信装置６０１に送信する（ステップＳＴ８０２）。
【０１０２】
次に、通信装置６０１は、ＵＥ１０５から受信したユーザ名とパスワードを含むＩＮＶＩＴＥメッセージを、ＵＥ６０２に送信する（ステップＳＴ８０３）。
【０１０３】
次に、ＩＮＶＩＴＥメッセージを受信したＵＥ６０２は、ＩＮＶＩＴＥメッセージに含まれるユーザ名とパスワードの確認を行い、自身の保持するデータと一致する場合、ＯＫメッセージを通信装置６０１に送信する（ステップＳＴ８０４）。ステップＳＴ８０４よりも後の動作は図７と同一である。
【０１０４】
次に、通信装置６０１のＩＭＳ処理部６１１及び認証処理部６１２のさらに詳細な動作について、図９を用いて説明する。図９は、ＩＭＳ処理部６１１及び認証処理部６１２の動作を示すフロー図である。
【０１０５】
最初に、認証処理部６１２は、ＵＥ１０５から受け取った認証情報とＨＬＲ１０２の加入者情報部１２１から受け取った認証情報とから、ＵＥ１０５の検証を行う（ステップＳＴ９０１）。
【０１０６】
次に、認証処理部６１２は、ＵＥ１０５の検証の成功及び失敗、即ち検証ＯＫであるか否かを判定する（ステップＳＴ９０２）。
【０１０７】
ステップＳＴ９０２において、検証ＯＫである場合には、認証処理部６１２は、検証ＯＫである旨をＩＭＳ処理部６１１に通知するとともに、ＩＭＳ処理部６１１は、ＵＥ１０５とＵＥ６０２との接続許可を加入者ポリシー情報に基づいて検証する（ステップＳＴ９０３）。
【０１０８】
次に、ＩＭＳ処理部６１１は、ＵＥ１０５とＵＥ６０２との接続認可の許可及び不許可、即ち検証ＯＫであるか否かを判定する（ステップＳＴ９０４）。
【０１０９】
そして、ステップＳＴ９０４において、検証ＯＫである場合には、ＩＭＳ処理部６１１は、ＵＥ１０５の検証に成功し、ＵＥ１０５とＵＥ６０２との接続の検証に成功したので接続許可と判断し、セッションをＵＥ１０５からＵＥ６０２に移動させる。
【０１１０】
一方、ステップＳＴ９０２において、検証ＯＫではない場合には、認証処理部６１２は、ＩＭＳ処理部６１１に対して、ＵＥ１０５については認証できない旨を通知する。そして、ＩＭＳ処理部６１１は、ＵＥ１０５の検証に失敗したので、セッションをＵＥ１０５からＵＥ６０２に移動させる処理は行わない。
【０１１１】
また、ステップＳＴ９０４において、検証ＯＫでない場合には、ＩＭＳ処理部６１１は、ＵＥ１０５の検証に成功したが、ＵＥ１０５とＵＥ６０２の接続の検証には失敗したので接続不許可と判断し、セッションをＵＥ１０５からＵＥ６０２に移動させる処理は行わない。
【０１１２】
このように、本実施の形態２によれば、上記実施の形態１の効果に加えて、処理に必要なメッセージの数を低減することができるので、接続遅延及びメッセージトラヒックを小さくすることができる。即ち、本実施の形態においては、図７に示すように、ステップＳＴ７０２〜ステップＳＴ７０７までの間に、６つのメッセージで処理を行うことができる。
【０１１３】
（実施の形態３）
図１０は、本発明の実施の形態３に係るパケット通信システム１００の動作を示すシーケンス図である。なお、本実施の形態３において、通信装置、ＨＬＲ、ＴＥ、切り替え元のＵＥ及び切り替え先のＵＥは全て図１と同一構成であるので、その説明は省略する。また、図１０において、図２と同一の動作である部分については図２と同一の符号を付して、その説明は省略する。
【０１１４】
図１０は、ＵＥ１０５とＵＥ１０６との間で通信を行う場合の例であり、ＵＥ１０５とＵＥ１０６との間で通信を行う場合に、ＨＬＲ１０２が保持する加入者間ポリシー情報を用いて、接続制御を行う場合の例を示している。図２との違いについて以下に説明する。
【０１１５】
最初に、ＵＥ１０５は、ＵＥ１０５のＩＰアドレス、トランスポートプロトコル、ポート番号、符号化方式等を設定したＳＤＰを付加したＩＮＶＩＴＥメッセージを通信装置１０１に送信する（ステップＳＴ１００１）。図９では、ＵＥ１０５とＵＥ１０６との間で通信を行うため、ＵＥ１０５は、自身のＳＤＰをＵＥ１０６に通知する必要がある。
【０１１６】
次に、通信装置１０１は、ステップＳＴ１００１で受信したＩＮＶＩＴＥメッセージをＵＥ１０６に転送する（ステップＳＴ１００２）。ステップＳＴ２０４〜ステップＳＴ２１１までは、図２と同一の動作である。
【０１１７】
そして、ステップＳＴ２１１の動作が終了した後に、ＵＥ１０５とＵＥ１０６との間で通信を開始する（ステップＳＴ１００３）。
【０１１８】
このように、本実施の形態３によれば、ＣＮを構成する通信装置１０１において、ＵＥ同士の接続許可及び接続不許可を判定するので、ユーザのＵＥが追加される毎に新たな秘密の認証情報の設定、保持及び定期的な変更等の維持管理を行うことを不要にすることができるとともに、その都度ユーザ名とパスワードを入力する手間を省くことができる。また、本実施の形態３によれば、従来から用いられているＵＳＩＭまたはＳＩＭを用いた認証を行うことによりセッションハンドオーバを行うので、セッションハンドオーバのために新たな認証情報を保持する必要がなく、ユーザが認証のための新たな処理を行う必要をなくすることができる。
【０１１９】
なお、本実施の形態３において、接続先のＵＥにて接続元のＵＥを認証することができなかった場合に、通信装置が、接続元のＵＥ及び接続先のＵＥの認証を行うとともに、接続元のＵＥと接続先のＵＥとの接続の許可及び不許可を判定することとしたが、これに限らず、接続元のＵＥから接続先のＵＥへの接続要求があった際に、通信装置が、接続元のＵＥの認証を行うとともに、接続元のＵＥと接続先のＵＥとの接続の許可及び不許可を判定して、接続元のＵＥの認証に成功してかつ接続元のＵＥと接続先のＵＥとの接続が許可されている場合に接続先の認証情報を生成して送信するようにしても良い。
【０１２０】
（その他の実施の形態）
上記実施の形態１〜実施の形態３では、認証にＳＩＰの提供する、ＩＮＶＩＴＥメッセージに認証情報を設定する認証手段を用いた場合を例として説明したが、これに限らず、ＵＳＩＭまたはＳＩＭの代わりに、電子証明書を用いても良いし、ＩＰｓｅｃまたはＴＬＳ（Transport Layer Security）の提供する認証手段を用いても良い。
【０１２１】
ＩＰｓｅｃは、ＩＰ層のセキュリティを確立するもので、認証ヘッダ（ＡＨ）、セキュリティペイロード（ＥＳＰ）及び鍵交換（ＩＫＥ）の３つの技術から構成されている。ＡＨは、ＩＰデータグラム全体を認証し、ＥＳＰは、ＩＰデータ部やＩＰデータグラム全体を暗号化する。認証には、一方向ハッシュ関数であるＭＤ５やＨＭＡＣ−ＭＤ５等が使用される。また、暗号化には、一方向ハッシュ関数であるＤＥＳやＣＢＣ等が使用される。鍵交換は、ＩＫＥとＰＫＩ（公開鍵インフラ）が使用される。ＵＥ間でＩＰｓｅｃを設定することにより、ＵＥ間の認証を行うことが可能となる。
【０１２２】
また、ＴＬＳは、ＴＬＳレコードプロトコル及びＴＬＳハンドシェークプロトコルの２つのプロトコルにより構成される。ＴＬＳハンドシェークプロトコルは、相手認証やアプリケーションがデータ伝送前に行う暗号化アルゴリズムと暗号鍵のネゴシエーションなどを行うものである。ＴＬＳレコードプロトコルは、コネクションの機密と信頼性に対処している。機密対策としては、ＤＥＳやＲＣ４によるデータ暗号化、方向別の秘密鍵の使用、セキュアハッシュ関数（ＳＨＡまたはＭＤ５等）によるメッセージ認証等がある。
【０１２３】
なお、上記実施の形態１〜実施の形態３及びその他の実施の形態において、加入者ポリシー情報はサービス毎の加入者間の接続許可の情報としたが、これに限らず、加入者ポリシー情報はサービス以外の任意の情報毎の加入者間の接続許可の情報でも良い。また、上記実施の形態１〜実施の形態３及びその他の実施の形態において、ＵＥの認証を行った後に、ＵＥ間の切り替えまたはＵＥ同士の接続の許可及び不許可を判定することとしたが、これに限らず、ＵＥ間の切り替えまたはＵＥ同士の接続の許可及び不許可を判定した後に、ＵＥの認証を行うようにしても良い。
【産業上の利用可能性】
【０１２４】
本発明にかかる通信装置及び通信方法は、セッションを制御するのに好適である。
【図面の簡単な説明】
【０１２５】
【図１】本発明の実施の形態１に係るパケット通信システムの構成を示す図
【図２】本発明の実施の形態１に係るパケット通信システムの動作を示すシーケンス図
【図３】本発明の実施の形態１に係る加入者ポリシー情報を示す図
【図４】本発明の実施の形態１に係るパケット通信システムの動作を示すシーケンス図
【図５】本発明の実施の形態１に係るＩＭＳ処理部及び認証処理部の動作を示すフロー図
【図６】本発明の実施の形態２に係るパケット通信システムの構成を示す図
【図７】本発明の実施の形態２に係るパケット通信システムの動作を示すシーケンス図
【図８】本発明の実施の形態２に係るパケット通信システムの動作を示すシーケンス図
【図９】本発明の実施の形態２に係るＩＭＳ処理部及び認証処理部の動作を示すフロー図
【図１０】本発明の実施の形態３に係るパケット通信システムの動作を示すシーケンス図
【図１１】従来のパケット通信システムの構成を示す図
【符号の説明】
【０１２６】
１００  パケット通信システム
１０１  通信装置
１０２  ＨＬＲ
１０３  インターネット
１０４  ＴＥ
１０５、１０６  ＵＥ
１１０、１４０、１５０  ＰＳ処理部
１１１、１３０、１４１、１５１  ＩＭＳ処理部
１１２、１４２、１５２  認証処理部
１２０  加入者ポリシー情報部
１２１、１４３、１５３  加入者情報部
【図１】
2006197108.tif 000003
【図２】
2006197108.tif 000004
【図３】
2006197108.tif 000005
【図４】
2006197108.tif 000006
【図５】
2006197108.tif 000007
【図６】
2006197108.tif 000008
【図７】
2006197108.tif 000009
【図８】
2006197108.tif 000010
【図９】
2006197108.tif 000011
【図１０】
2006197108.tif 000012
【図１１】
2006197108.tif 000013