(57)【要約】【課題】  ＭＮが直近のＭＡＰアドレスを取得することができ、安全にＭＡＰに事前共有鍵を設定することができ、契約事業会社以外へＭＮが移動した場合でも本来の契約事業会社が持つＨＡへのアクセスが可能となる。【解決手段】  ＭＮ対応にＩＫＥ用事前共有鍵情報を管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理するＳＬＰ・ＤＡを備え、ＭＮが一つのＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、ＳＬＰ・ＤＡは、ＭＮの位置情報に基づき、キー・インデックスに対応するＩＫＥ事前共有鍵を直近のＭＡＰに登録すると共に、ＭＮのＵＡに直近のＭＡＰのアドレス情報とキー・インデックス情報とを配布する。ＳＬＰ・ＤＡが直近のＭＡＰにＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する。【選択図】  図１
2006203764.tif 000002
【特許請求の範囲】
【請求項１】
移動端末（以下、ＭＮと記す）と、このＭＮが接続しているＩＰｖ６ネットワークと、このＩＰｖ６ネットワークと接続され、前記ＭＮと通信データを交換するホーム・エージェント（以下、ＨＡと記す）と、このＨＡ配下で前記ＭＮと直接接続されるモービル・アンカー・ポイント（以下、ＭＡＰと記す）とを備えた移動通信システムにおいて、
前記ＭＮには、前記ＭＡＰが前記ＭＮを認証するためのＩＫＥ(Internet Key
Exchange)用事前共有鍵が複数個割当てられ、
この複数のＩＫＥ用事前共有鍵には、それぞれキー・インデックス値が付与され、
前記ＭＮに割当てられたＩＫＥ用事前共有鍵情報を前記ＭＮに対応して管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理する手段を備え、
前記ＭＮのＵＡ(User Agent)は、当該ＭＮが一つの前記ＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、前記管理する手段に対し、自己に直近の新たなＭＡＰのアドレスとこのＭＡＰが自己を認証するために必要となる前記ＩＫＥ用事前共有鍵の前記キー・インデックス情報とを要求する手段を備え、
前記管理する手段は、この要求に応じて前記ＭＮの位置情報に基づき、前記ＭＮに直近のＭＡＰのアドレスとこのＭＡＰが前記ＭＮを認証するために必要となる前記ＩＫＥ用事前共有鍵を示す前記キー・インデックスとを決定し、決定された前記キー・インデックスに対応するＩＫＥ用事前共有鍵を前記直近のＭＡＰに登録すると共に、前記ＭＮのＵＡに前記直近のＭＡＰのアドレス情報と前記キー・インデックス情報とを配布する手段を備えた
ことを特徴とする移動通信システム。
【請求項２】
前記管理する手段が前記直近のＭＡＰに前記ＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する手段を備えた請求項１記載の移動通信システム。
【請求項３】
ＭＮと、このＭＮが接続しているＩＰｖ６ネットワークと、このＩＰｖ６ネットワークと接続され、前記ＭＮと通信データを交換するＨＡと、このＨＡ配下で前記ＭＮと直接接続されるＭＡＰとを備え、前記ＭＮには、前記ＭＡＰが前記ＭＮを認証するためのＩＫＥ用事前共有鍵が複数個割当てられ、この複数のＩＫＥ用事前共有鍵には、それぞれキー・インデックス値が付与される移動通信システムに適用され、
前記ＭＮに割当てられたＩＫＥ用事前共有鍵情報を前記ＭＮに対応して管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理する手段を備え、
前記ＭＮのＵＡは、当該ＭＮが一つの前記ＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、前記管理する手段に対し、自己に直近の新たなＭＡＰのアドレスとこのＭＡＰが自己を認証するために必要となる前記ＩＫＥ用事前共有鍵の前記キー・インデックス情報とを要求し、
前記管理する手段は、この要求に応じて前記ＭＮの位置情報に基づき、前記ＭＮに直近のＭＡＰのアドレスとこのＭＡＰが前記ＭＮを認証するために必要となる前記ＩＫＥ用事前共有鍵を示す前記キー・インデックスとを決定し、決定された前記キー・インデックスに対応するＩＫＥ用事前共有鍵を前記直近のＭＡＰに登録すると共に、前記ＭＮのＵＡに前記直近のＭＡＰのアドレス情報と前記キー・インデックス情報とを配布する手段を備えた
ことを特徴とするＳＬＰ・ＤＡ(Service Location Protocol・Directory
Agent)。
【請求項４】
前記管理する手段が前記直近のＭＡＰに前記ＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する手段を備えた請求項３記載のＳＬＰ・ＤＡ。
【請求項５】
情報処理装置にインストールすることにより、その情報処理装置に、
ＭＮと、このＭＮが接続しているＩＰｖ６ネットワークと、このＩＰｖ６ネットワークと接続され、前記ＭＮと通信データを交換するＨＡと、このＨＡ配下で前記ＭＮと直接接続されるＭＡＰとを備え、前記ＭＮには、前記ＭＡＰが前記ＭＮを認証するためのＩＫＥ用事前共有鍵が複数個割当てられ、この複数のＩＫＥ用事前共有鍵には、それぞれキー・インデックス値が付与される移動通信システムに適用され、
前記ＭＮに割当てられたＩＫＥ用事前共有鍵情報を前記ＭＮに対応して管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理する機能を備え、
前記ＭＮのＵＡは、当該ＭＮが一つの前記ＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、前記管理する機能に対し、自己に直近の新たなＭＡＰのアドレスとこのＭＡＰが自己を認証するために必要となる前記ＩＫＥ用事前共有鍵の前記キー・インデックス情報とを要求し、
前記管理する機能は、この要求に応じて前記ＭＮの位置情報に基づき、前記ＭＮに直近のＭＡＰのアドレスとこのＭＡＰが前記ＭＮを認証するために必要となる前記ＩＫＥ用事前共有鍵を示す前記キー・インデックスとを決定し、決定された前記キー・インデックスに対応するＩＫＥ用事前共有鍵を前記直近のＭＡＰに登録すると共に、前記ＭＮのＵＡに前記直近のＭＡＰのアドレス情報と前記キー・インデックス情報とを配布する機能を備えた
ＳＬＰ・ＤＡに相応する機能を実現させることを特徴とするプログラム。
【請求項６】
前記管理する機能が前記直近のＭＡＰに前記ＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する機能を実現させる請求項５記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＨＡ(Home Agent)と階層化されたＭＡＰ(Mobile Anchor
Point)を複数持つＩＰｖ６ネットワークに利用する。本発明は、ＭＮと、ＭＮが接続しているＩＰｖ６ネットワークと、ＩＰｖ６ネットワークと接続し、ＭＮと通信データを交換する通信相手とで構成される通信システムに関し、より詳細には、通信を行う二者の間で暗号化や認証のための秘密鍵の生成および交換を自動で行うことが可能なプロトコル（ＩＫＥ：Internet
Key Exchange)を利用するセキュリティ情報管理システムに関する。
【背景技術】
【０００２】
ＨＡと階層化されたＭＡＰを複数持つＩＰｖ６ネットワークにおいて、ＨＡ配下にＭＡＰを構築した場合に、ＭＮ(Mobile Node)がＭＡＰアドレスを取得する方法として、ＩＥＴＦ(The Internet Engineering Task
Force)のｄｒａｆｔでは、ＡＲ(Access Router)からのＲＡ(Router Advertisement)にＭＡＰアドレスのポイントを付けることになっている。
【０００３】
ＭＮとＭＡＰとの間のＩＫＥ Ｐｈａｓｅ１における認証方式として事前共有鍵方式を採った場合に、ＭＮの事前共有鍵をＭＡＰに設定し、この事前共有鍵を用いてＭＡＰはＭＮを認証する。
【０００４】
ＭＡＰが多様な事業会社に配置される場合には、契約者毎のローミング契約に基づき、契約事業会社以外へＭＮが移動した場合には、ローミング契約した事業会社のＭＡＰを経由し、当該事業会社のＨＡへアクセスする。
【特許文献１】特開２００３−５１８４１号公報
【特許文献２】特開２００３−１７９５９２号公報
【特許文献３】特開２００３−３１８９５６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＨＡ配下にＭＡＰを構築した場合に、ＭＮがＭＡＰアドレスを取得する方法として、ＩＥＴＦのｄｒａｆｔでは、ＡＲからのＲＡにＭＡＰアドレスのポイントを付けることになっているが、現在のルータでは、このようなＭＡＰアドレスの取得手順は実装されておらず、ＭＡＰアドレスを取得することができない。
【０００６】
ＭＮとＭＡＰとの間のＩＫＥ Ｐｈａｓｅ１における認証方式として事前共有鍵方式を採った場合に、ＭＮの事前共有鍵を安全にＭＡＰに設定する方法が無い。契約時にネットワーク上のＭＡＰ鍵全てをＭＮに配布することは理論上では可能であるが、ＭＡＰに移動してくる可能性のあるＭＮの鍵全てをＭＡＰに持たせることはＭＡＰのメモリ制限およびネットワークへの過剰設備を設置する運用が強いられるために難しく、実現困難である。
【０００７】
ＭＡＰが多様な事業会社に配置される場合には、契約者毎のローミング契約に基づいた利用の制限を行うための方法が確立していないため、契約事業会社以外へＭＮが移動した場合には、ローミング契約した事業会社のＭＡＰを経由し、本来の契約事業会社が持つＨＡへのアクセスができない。
【０００８】
本発明は、このような背景に行われたものであって、ＭＮが直近のＭＡＰアドレスを取得することができ、安全にＭＡＰに事前共有鍵を設定することができ、契約事業会社以外へＭＮが移動した場合でも本来の契約事業会社が持つＨＡへのアクセスが可能となる移動通信システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、単一事業会社もしくはローミングを含む複数の事業会社が設置したＭＡＰ情報をＭＡＰテーブルとしてＳＬＰ・ＤＡ(Service Location Protocol・Directory Agent)配下のＤＢ(Data Base)として一元管理することにより、ＭＮ  のＵＡ(User
Agent)からＭＡＰアドレス取得要求をＳＬＰ・ＤＡに対して送信し、ＳＬＰ・ＤＡはローミング契約情報のチェックを行いローミング契約された事業会社への移動かを判断し、ローミング契約された事業会社への移動であればＳＬＰ・ＤＡにおいてＭＮの在圏Ｐｒｅｆｉｘ情報を元に直近のＭＡＰアドレスの割当てを行う。在圏Ｐｒｅｆｉｘの直近にＭＡＰが複数配置されている場合は、ラウンドロビンで割当てるＭＡＰを変更する。
【００１０】
また、ＭＮ配布時にＭＮとＭＡＰとの間で用いるＭＮのＩＫＥ用事前共有鍵を複数アサインし、それぞれの鍵にＩＤを付与した上でｋｅｙ−ｉｎｄｅｘ情報としてＭＮとＳＬＰ・ＤＡとで保持し、ＭＮとＳＬＰ・ＤＡとの間では、そのｋｅｙ−ｉｎｄｅｘ情報をやり取りすることで、第三者に見られても実際の共有鍵が解らないようにし、ＳＬＰ・ＤＡとＭＡＰとの間にはＫＤＣ(Key Distribute Control)によるＩＰｓｅｃに基づく署名機能を用いて第三者にＭＮの事前共有鍵が見られないようにしてＭＡＰへＭＮの事前共有鍵を登録する。
【００１１】
これにより、ＭＡＰアドレスの取得とＭＡＰへの事前共有鍵の安全な配布、そしてローミング契約した事業会社のネットワークへの移動時の移動先ＭＡＰを経由して本来の契約事業会社が持つＨＡへのアクセスを可能とすることができる。
【００１２】
すなわち、本発明の第一の観点は、ＭＮと、このＭＮが接続しているＩＰｖ６ネットワークと、このＩＰｖ６ネットワークと接続され、前記ＭＮと通信データを交換するＨＡと、このＨＡ配下で前記ＭＮと直接接続されるＭＡＰとを備えた移動通信システムである。
【００１３】
ここで、本発明の特徴とするところは、前記ＭＮには、前記ＭＡＰが前記ＭＮを認証するためのＩＫＥ用事前共有鍵が複数個割当てられ、この複数のＩＫＥ用事前共有鍵には、それぞれキー・インデックス値が付与され、前記ＭＮに割当てられたＩＫＥ用事前共有鍵情報を前記ＭＮに対応して管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理する手段を備え、前記ＭＮのＵＡは、当該ＭＮが一つの前記ＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、前記管理する手段に対し、自己に直近の新たなＭＡＰのアドレスとこのＭＡＰが自己を認証するために必要となる前記ＩＫＥ事前共有鍵の前記キー・インデックス情報とを要求する手段を備え、前記管理する手段は、この要求に応じて前記ＭＮの位置情報に基づき、前記ＭＮに直近のＭＡＰのアドレスとこのＭＡＰが前記ＭＮを認証するために必要となる前記ＩＫＥ用事前共有鍵を示す前記キー・インデックスとを決定し、決定された前記キー・インデックスに対応するＩＫＥ事前共有鍵を前記直近のＭＡＰに登録すると共に、前記ＭＮのＵＡに前記直近のＭＡＰのアドレス情報と前記キー・インデックス情報とを配布する手段を備えたところにある。
【００１４】
前記管理する手段が前記直近のＭＡＰに前記ＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する手段を備えることが望ましい。
【００１５】
本発明の第二の観点は、ＳＬＰ・ＤＡであって、本発明の特徴とするところは、ＭＮと、このＭＮが接続しているＩＰｖ６ネットワークと、このＩＰｖ６ネットワークと接続され、前記ＭＮと通信データを交換するＨＡと、このＨＡ配下で前記ＭＮと直接接続されるＭＡＰとを備え、前記ＭＮには、前記ＭＡＰが前記ＭＮを認証するためのＩＫＥ用事前共有鍵が複数個割当てられ、この複数のＩＫＥ用事前共有鍵には、それぞれキー・インデックス値が付与される移動通信システムに適用され、前記ＭＮに割当てられたＩＫＥ用事前共有鍵情報を前記ＭＮに対応して管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理する手段を備え、前記ＭＮのＵＡは、当該ＭＮが一つの前記ＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、前記管理する手段に対し、自己に直近の新たなＭＡＰのアドレスとこのＭＡＰが自己を認証するために必要となる前記ＩＫＥ用事前共有鍵の前記キー・インデックス情報とを要求し、前記管理する手段は、この要求に応じて前記ＭＮの位置情報に基づき、前記ＭＮに直近のＭＡＰのアドレスとこのＭＡＰが前記ＭＮを認証するために必要となる前記ＩＫＥ用事前共有鍵を示す前記キー・インデックスとを決定し、決定された前記キー・インデックスに対応するＩＫＥ用事前共有鍵を前記直近のＭＡＰに登録すると共に、前記ＭＮのＵＡに前記直近のＭＡＰのアドレス情報と前記キー・インデックス情報とを配布する手段を備えたところにある。
【００１６】
前記管理する手段が前記直近のＭＡＰに前記ＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する手段を備えることが望ましい。
【００１７】
本発明の第三の観点はプログラムであって、本発明の特徴とするところは、情報処理装置にインストールすることにより、その情報処理装置に、ＭＮと、このＭＮが接続しているＩＰｖ６ネットワークと、このＩＰｖ６ネットワークと接続され、前記ＭＮと通信データを交換するＨＡと、このＨＡ配下で前記ＭＮと直接接続されるＭＡＰとを備え、前記ＭＮには、前記ＭＡＰが前記ＭＮを認証するためのＩＫＥ用事前共有鍵が複数個割当てられ、この複数のＩＫＥ用事前共有鍵には、それぞれキー・インデックス値が付与される移動通信システムに適用され、前記ＭＮに割当てられたＩＫＥ用事前共有鍵情報を前記ＭＮに対応して管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理する機能を備え、前記ＭＮのＵＡは、当該ＭＮが一つの前記ＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、前記管理する機能に対し、自己に直近の新たなＭＡＰのアドレスとこのＭＡＰが自己を認証するために必要となる前記ＩＫＥ用事前共有鍵の前記キー・インデックス情報とを要求し、前記管理する機能は、この要求に応じて前記ＭＮの位置情報に基づき、前記ＭＮに直近のＭＡＰのアドレスとこのＭＡＰが前記ＭＮを認証するために必要となる前記ＩＫＥ用事前共有鍵を示す前記キー・インデックスとを決定し、決定された前記キー・インデックスに対応するＩＫＥ用事前共有鍵を前記直近のＭＡＰに登録すると共に、前記ＭＮのＵＡに前記直近のＭＡＰのアドレス情報と前記キー・インデックス情報とを配布する機能を備えたＳＬＰ・ＤＡに相応する機能を実現させるところにある。
【００１８】
前記管理する機能が前記直近のＭＡＰに前記ＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する機能を実現させることが望ましい。
【００１９】
本発明のプログラムは記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００２０】
これにより、汎用の情報処理装置を用いて、ＭＮが直近のＭＡＰアドレスを取得することができ、安全にＭＡＰに事前共有鍵を設定することができ、契約事業会社以外へＭＮが移動した場合でも本来の契約事業会社が持つＨＡへのアクセスが可能となる移動通信システムに適用されるＳＬＰ・ＤＡを実現することができる。
【発明の効果】
【００２１】
本発明によれば、
１．ＨＡ配下にＭＡＰを構築した場合に、ＭＮはＳＬＰ・ＤＡに問い合わせることで、直近のＭＡＰアドレスを取得することが可能となる。
２．ＭＮとＭＡＰとの間のＩＫＥ Ｐｈａｓｅ１における認証方式として事前共有鍵方式を採った場合に、ＳＬＰ・ＤＡがＭＮの事前共有鍵をＫｅｙ  Ｄｉｓｔｒｉｂｕｔｅを通して相互間でＩＰｓｅｃを適用することで安全にＭＡＰに設定することができる。
３．ＭＡＰが多様な事業会社に配置される場合でも、契約者毎のローミング契約に基づいた利用の制限をＳＬＰ・ＤＡでＡＣＬ(Access  Control)情報で制御することができ、契約事業会社以外へＭＮが移動した場合でも、ローミング契約した事業会社のＭＡＰを経由し、本来の契約事業会社が持つＨＡへのアクセスが可能となる。
【発明を実施するための最良の形態】
【００２２】
本発明実施例を図１〜図１０を参照して説明する。図１は本実施例のＳＬＰ・ＤＡのブロック構成図である。図２はＭＮのＵＡ（図ではＭＮ／ＵＡと図示）のブロック構成図である。図３はＩＫＥ用事前共有鍵とこれに対応するキー・インデックスとを示す図である。
【００２３】
本実施例は、図６または図７に示すように、ＭＮと、このＭＮが接続しているＩＰｖ６ネットワークと、このＩＰｖ６ネットワークと接続され、前記ＭＮと通信データを交換するＨＡと、このＨＡ配下で前記ＭＮと直接接続されるＭＡＰとを備えた移動通信システムである。
【００２４】
ここで、本実施例の特徴とするところは、前記ＭＮには、図３に示すように、前記ＭＡＰが前記ＭＮを認証するためのＩＫＥ用事前共有鍵が複数個割当てられ、この複数のＩＫＥ用事前共有鍵には、それぞれキー・インデックス値が付与され、前記ＭＮに割当てられたＩＫＥ用事前共有鍵情報を前記ＭＮに対応して管理すると共に、１つまたは複数のＨＡ配下のＭＡＰのアドレス情報を一元的に管理するＳＬＰ・ＤＡを備え、前記ＭＮのＵＡは、図２に示すように、当該ＭＮが一つの前記ＨＡの管轄するネットワークから他のＨＡが管轄するネットワークに移動したときには、前記ＳＬＰ・ＤＡに対し、自己に直近の新たなＭＡＰのアドレスとこのＭＡＰが自己を認証するために必要となる前記ＩＫＥ用事前共有鍵の前記キー・インデックス情報とを要求する直近ＭＡＰアドレス取得部５を備え、前記ＳＬＰ・ＤＡは、図１に示すように、この要求に応じて前記ＭＮの位置情報に基づき、前記ＭＮに直近のＭＡＰのアドレスとこのＭＡＰが前記ＭＮを認証するために必要となる前記ＩＫＥ用事前共有鍵を示す前記キー・インデックスとをそれぞれＭＡＰアドレス決定部１およびキー・インデックス決定部２によりそれぞれ決定し、決定された前記キー・インデックスに対応するＩＫＥ用事前共有鍵をＩＫＥ用事前共有鍵情報登録部３により前記直近のＭＡＰに登録すると共に、前記ＭＮのＵＡに、ＭＡＰアドレスおよびキー・インデックス情報配布部４により前記直近のＭＡＰのアドレス情報と前記キー・インデックス情報とを配布するところにある。
【００２５】
なお、前記ＳＬＰ・ＤＡのＩＫＥ用事前共有鍵情報登録部３は、前記直近のＭＡＰに前記ＩＫＥ用事前共有鍵の登録を行うときには、ＩＰｓｅｃを適用する。
【００２６】
図８はＳＬＰ・ＤＡがアクセスするテーブル類を示す図である。図８に示すように、ＳＬＰ・ＤＡは、ＭＮテーブル、キャリアテーブル、ＭＡＰテーブルにアクセスする。ＭＮテーブルは、契約ＩＤ、ＨｏＡ(Home Address)、ローミングコントロールのためのＡＣＬ、最後に登録されたＭＡＰアドレス、キーリストからなる。ＨｏＡおよびローミングコントロールのためのＡＣＬは契約情報を示し、最後に登録されたＭＡＰアドレスは状態を示す。キャリアテーブルは、キャリアＩＤ、リモートＤＢのＩＤからなる。ＭＡＰテーブルは、プリフィックス、プリフィックス長、ＭＡＰアドレスからなる。
【００２７】
図９はＭＮのＵＡが保有するテーブル類を示す図である。図２に示すように、ＭＮのＵＡは、契約情報テーブル６、アドレステーブル７を保有する。図９に示すように、契約情報テーブル６は、契約ＩＤ、ＨｏＡ、キャリアＩＤ、最後に登録したＭＡＰアドレス、キーリストからなる。ＨｏＡおよびキャリアＩＤは契約情報を示し、最後に登録したＭＡＰアドレスは状態を示す。アドレステーブル７は、プリフィックス、プリフィックス長、ＬＣｏＡ(Local Care of Address)、入手したＭＡＰアドレスからなる。
【００２８】
図１０はＤＢ操作のＡＰＩ(Application Programming
Interface)を示す図である。図１０に示すように、ＳＬＰ・ＤＡは、キャリアテーブルに契約ＩＤをＫＥＹに問い合わせ、キャリアＩＤとリモートＤＢ名を取得し、次にＭＮテーブルに契約ＩＤをＫＥＹに問い合わせ、ＡＣＬ情報と鍵情報（ＰＳＫ、Ｋｅｙ−Ｉｎｄｅｘ）を取得する。
【００２９】
また、ＭＡＰテーブルにＬＣｏＡをＫＥＹに問い合わせ、ＭＡＰアドレスを取得する。キャリアテーブル、ＭＡＰテーブルは、共通ネットワーク側に存在し、ＭＮテーブルはキャリア側ネットワークに存在する。
【００３０】
なお、単一キャリアにおける運用の際には１つのネットワークにキャリアテーブル、ＭＡＰテーブル、ＭＮテーブルが存在する。
【００３１】
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明のＳＬＰ・ＤＡに相応する機能を実現させるプログラムとして実現することができる。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、ＭＡＰアドレス決定部１、キー・インデックス決定部２、ＩＫＥ用事前共有鍵情報登録部３、ＭＡＰアドレスおよびキー・インデックス情報配布部４にそれぞれ相応する機能を実現させることができる。
【００３２】
以下では、本実施例をさらに詳細に説明する。
【００３３】
図６は単一事業会社によるネットワーク運用におけるＭＡＰ提供時の処理の概略図である。図６に示すように、単一事業会社においてＭＡＰを提供する場合は事業会社が提供するネットワーク内にＭＮテーブルとＭＡＰテーブルとをＤＢとしてアクセス可能なＳＬＰ・ＤＡを設け、ＳＬＰ・ＤＡで利用するデータ（ＭＡＰアクセス、事前共有鍵(Pre-share key)、ｋｅｙ−ｉｎｄｅｘ等）はＤａｔａ  Ｂａｓｅ技術で管理する。この際、ＳＬＰ・ＤＡのノードとＤＢを持つノードは異ならせＳＬＰ・ＤＡの冗長化を行う。
【００３４】
図７はルーティングを含む複数事業会社によるネットワーク運用におけるＭＡＰ提供時の概略図である。ルーティングを含む複数事業会社の場合には、ＭＮテーブル（契約者情報）は登録した各事業会社が保持更新し、ＤＢ技術により情報を結ぶＳＬＰ・ＤＡからは１つのＤＢにし、リモートＤＢの場所管理のためにキャリアテーブルを用意する。ＳＬＰ・ＤＡは代表幹事事業会社のネットワークもしくは共通のネットワーク上に共通センターとして設け、ＭＡＰテーブル、キャリアテーブルはこの共通センター内に配置する。この際、ＳＬＰ・ＤＡのノードとＤＢを持つノードとは異ならせＳＬＰ・ＤＡの冗長化を行う。
【００３５】
次に、事業会社Ａに属するＭＮのＵＡが事業会社Ｂのネットワーク配下へ移動した場合の処理の流れについて図４を用いて説明する。図４はＭＡＰの場所を問い合わせる手順を示すシーケンス図である。
【００３６】
事業会社Ａのネットワークから事業会社Ｂのネットワークへ移動したＭＮのＵＡはＲＡを受信し（図４の（１））、ＲＡより生成したＬＣｏＡと契約ＩＤとを付けてＳＬＰ・ＤＡへＭＡＰアドレスとＭＡＰアクセス時のＩＫＥ用事前共有鍵を示す共有鍵情報（ｉｎｄｅｘ値）要求を行う（図４の（２））。なお、同一ＭＡＰＤｏｍａｉｎ内における、ＭＮのＵＡからの再ＭＡＰアドレス要求時に異なるＭＡＰ割当てをＭＮのＵＡに行うことを防ぐため、ＭＮのＵＡはＳＬＰ・ＤＡへの問い合わせのとき、現在用いているＭＡＰアドレスを要求に含めている。
【００３７】
要求を受けたＳＬＰ・ＤＡはＤＢ技術を用いて契約ＩＤとＬＣｏＡでＤＢを検索し（図４の（３））、キャリアＩＤ、リモートＤＢ名、ＡＣＬ情報、ＭＡＰアドレス、共有鍵情報(Pre- Shared Key、Key-index)を入手する（図４の（４））。
【００３８】
図６のように単一事業会社で運用する場合は、要求を受けたＳＬＰ・ＤＡは（図６の（１））、ＤＢ技術を用いて契約ＩＤでＭＮテーブルを検索し（図６の（２））、共有鍵情報(Pre-Shared Key、Key-index)とＡＬＣ情報を取得する（図６の（３））。さらにＬＣｏＡでＭＡＰテーブルを検索し（図６の（２））、ＭＡＰアドレスを取得する（図６の（３））。
【００３９】
図７のように代表幹事事業会社／共通センターにＳＬＰ・ＤＡを置く場合は契約ＩＤとＬＣｏＡでキャリアテーブルを検索し（図７の（２））、キャリアＩＤとリモートＤＢ名を取得し（図７の（３））、同様に、ＬＣｏＡでＭＡＰテーブルを検索し（図７の（２））、ＭＡＰアドレスを取得する（図７の（３））。さらに、取得したリモートＤＢ名と契約ＩＤをＫｅｙとしてＭＮのＵＡが契約している事業会社が管理しているＭＮテーブルを検索し（図７の（４））、共有鍵情報(Pre-Shared Key、Key-index)とＡＣＬ情報を取得する（図７の（５））。
【００４０】
どちらの運用形態でも取得したＭＡＰアドレスとＡＣＬよりＭＮのＵＡはＭＮが移動先で通信してよいかを判断し（図４の（５））、通信不可と判断の場合は処理終了し、ＭＮのＵＡへは何も返さない。通信可能と判断の場合と取得したＭＡＰアドレスのＭＡＰに対し鍵情報とＨｏＡをパラメータとして共有鍵の登録を登録鍵メッセージで行い（図４の（６））、その結果を鍵応答メッセージとしてＭＡＰより受け取る（図４の（７））。
【００４１】
ＳＬＰ・ＤＡは規定時間内に鍵応答メッセージを受信できない場合は、規定回数だけ再送を行う。規定回数再送しても鍵応答メッセージを受信できなかった場合はＭＮのＵＡに何も通知しない。鍵応答メッセージを受信した場合には、鍵受信メッセージ内の処理結果が不正終了の場合にＭＮのＵＡに何も通知しない。
【００４２】
処理結果が正常終了の場合はＭＮのＵＡにＭＮのＵＡ・ＭＡＰ間で使用する鍵情報（Ｋｅｙ−ｉｎｄｅｘ値）とＭＡＰアドレスを通知する（図４の（８））。
【００４３】
なお、ＭＮのＵＡとＳＬＰ・ＤＡとの間は共有鍵そのものの情報は流れず、鍵を特定するＫｅｙ−ｉｎｄｅｘ値のみが流れているだけなので、第三者に盗み見られても安全であるが、ＳＬＰ・ＤＡとＭＡＰとの間およびＳＬＰ・ＤＡとＤＢとの間は鍵情報そのものがネットワークを流れるので安全でない。それを回避するためにＫｅｙ  Ｄｉｓｔｒｉｂｕｔｏｒを通して相互間でＩＰｓｅｃを適用することで安全性を確保している。
【００４４】
ＭＮのＵＡは自身内の鍵管理テーブルを受信した鍵情報（Ｋｅｙ−ｉｎｄｅｘ値）で検索し、実際に使用する共有鍵を特定し、受信したＭＡＰアドレスのＭＡＰに対し、自身の位置登録を特定した共有鍵を用いて暗号化して行い（図４の（９））、ＭＡＰから位置登録完了の通知を受ける。
【００４５】
これにより、移動してきたＭＮのＵＡは、単一事業会社の場合には、これにより移動したＭＮのＵＡは直近のＭＡＰを経由してＨＡへ位置登録することができる。複数事業会社の場合は事業会社ＢのＭＡＰを経由して事業会社ＡのＨＡへ位置登録することが可能となり、しいては事業会社ＡのＨＡを経由してＣＮ(Corresponding Node)との通信が可能となる。
【００４６】
（他の実施例）
図５はＭＮの移動先でＭＡＰアドレスをＲＡのＭＡＰオプションで入手可能なネットワークへ本発明を適用した場合の手順を示すシーケンス図である。図４の移動先でＭＡＰアドレスを入手できないネットワークへの本発明の適用時との差分は、（図５の（１））でＲＡによりＭＡＰアドレスを入手し、（図５の（２））で契約ＩＤ、ＬＣｏＡと共に入手した新ＭＡＰアドレスもサーバ要求としてＳＬＰ・ＤＡへ送付し、それを受け取ったＳＬＰ・ＤＡは要求内に新ＭＡＰアドレスが入っていた場合はＤＢアクセスでＭＡＰテーブル検索を行わないで、受け取ったＭＡＰアドレスを用いて処理を行う。
【産業上の利用可能性】
【００４７】
本発明によれば、ＭＮが直近のＭＡＰアドレスを取得することができ、安全にＭＡＰに事前共有鍵を設定することができ、契約事業会社以外へＭＮが移動した場合でも本来の契約事業会社が持つＨＡへのアクセスが可能となるので、移動通信サービスの安全性と柔軟性を向上させることができる。これにより、移動通信サービスの利便性を向上させ、ユーザ獲得に寄与することができる。
【図面の簡単な説明】
【００４８】
【図１】本実施例のＳＬＰ・ＤＡのブロック構成図。
【図２】ＭＮのＵＡのブロック構成図。
【図３】ＩＫＥ用事前共有鍵とこれに対応するキー・インデックスとを示す図。
【図４】ＭＡＰの場所を問い合わせる手順を示すシーケンス図である。
【図５】ＭＮの移動先でＭＡＰアドレスをＲＡのＭＡＰオプションで入手可能なネットワークへ本発明を適用した場合の手順を示すシーケンス図。
【図６】単一事業会社によるネットワーク運用におけるＭＡＰ提供時の処理の概略図。
【図７】ルーティングを含む複数事業会社によるネットワーク運用におけるＭＡＰ提供時の概略図。
【図８】ＳＬＰ・ＤＡがアクセスするテーブル類を示す図。
【図９】ＭＮのＵＡが保有するテーブル類を示す図。
【図１０】ＤＢ操作のＡＰＩを示す図。
【符号の説明】
【００４９】
１  ＭＡＰアドレス決定部
２  キー・インデックス決定部
３  ＩＫＥ用事前共有鍵情報登録部
４  ＭＡＰアドレスおよびキー・インデックス情報配布部
５  直近ＭＡＰアドレス取得部
６  契約情報テーブル
７  アドレステーブル
【図１】
2006203764.tif 000003
【図２】
2006203764.tif 000004
【図３】
2006203764.tif 000005
【図４】
2006203764.tif 000006
【図５】
2006203764.tif 000007
【図６】
2006203764.tif 000008
【図７】
2006203764.tif 000009
【図８】
2006203764.tif 000010
【図９】
2006203764.tif 000011
【図１０】
2006203764.tif 000012