(57)【要約】  モバイルネットワークシステムは、セキュリティデバイスとネットワークデバイスとを備える。前記セキュリティデバイスは、スライスＩＤ（識別）ごとに異なるスライスセキュリティ要件を記憶する。前記スライスＩＤは、コアネットワークにおけるネットワークスライスを示す。前記ネットワークデバイスは、前記セキュリティデバイスに前記スライスＩＤを含むスライスセキュリティ要求を送信する。前記ネットワークデバイスは、前記セキュリティデバイスから前記スライスＩＤに関連する前記スライスセキュリティ要件を含むスライスセキュリティ応答を受信する。前記ネットワークデバイスは、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する。
2019516309.tif 000002
【特許請求の範囲】
【請求項１】
モバイルネットワークで使用されるセキュリティデバイスであって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶する記憶装置と、
前記ネットワークスライスのためのセキュリティアルゴリズムを選択する要求に応じて、前記モバイルネットワークで使用されるネットワークデバイスに前記スライスセキュリティ要件を送信する送信部と
を備えるセキュリティデバイス。
【請求項２】
モバイルネットワークで使用されるネットワークデバイスであって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤを含むスライスセキュリティ要求を、前記モバイルネットワークで使用されるセキュリティデバイスに送信する送信部と、
前記スライスＩＤに関連するスライスセキュリティ要件を含むスライスセキュリティ応答を、前記セキュリティデバイスから受信する受信部と、
前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する制御部と
を備えるネットワークデバイス。
【請求項３】
請求項２に記載のネットワークデバイスであって、
前記スライスセキュリティ要件に基づいて認証ベクタを作成するプロセッサ
をさらに備えるネットワークデバイス。
【請求項４】
モバイルネットワークシステムであって、
セキュリティデバイスと、
ネットワークデバイスと
を備え、
前記セキュリティデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶するよう構成され、
前記ネットワークデバイスは、前記セキュリティデバイスに前記スライスＩＤを含むスライスセキュリティ要求を送信し、前記セキュリティデバイスから前記スライスＩＤに関連する前記スライスセキュリティ要件を含むスライスセキュリティ応答を受信し、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択するよう構成された
モバイルネットワークシステム。
【請求項５】
請求項４に記載のモバイルネットワークシステムであって、
前記ネットワークデバイスは、前記スライスセキュリティ要件に基づいて認証ベクタを作成する
モバイルネットワークシステム。
【請求項６】
モバイルネットワークで使用されるセキュリティデバイスのためのセキュリティ分離方法であって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、
前記ネットワークスライスのためのセキュリティアルゴリズムを選択する要求に応じて、前記モバイルネットワークで使用されるネットワークデバイスに前記スライスセキュリティ要件を送信する
セキュリティ分離方法。
【請求項７】
モバイルネットワークで使用されるネットワークデバイスのためのセキュリティ分離方法であって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤを含むスライスセキュリティ要求を、前記モバイルネットワークで使用されるセキュリティデバイスに送信し、
前記スライスＩＤに関連するスライスセキュリティ要件を含むスライスセキュリティ応答を、前記セキュリティデバイスから受信し、
前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する
セキュリティ分離方法。
【請求項８】
セキュリティデバイスとネットワークデバイスとを備えるモバイルネットワークシステムのためのセキュリティ分離方法であって、
前記セキュリティデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、
前記ネットワークデバイスは、前記セキュリティデバイスに前記スライスＩＤを含むスライスセキュリティ要求を送信し、
前記ネットワークデバイスは、前記セキュリティデバイスから前記スライスＩＤに関連する前記スライスセキュリティ要件を含むスライスセキュリティ応答を受信し、
前記ネットワークデバイスは、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する
セキュリティ分離方法。
【請求項９】
ネットワークデバイスの一部としてセキュリティデバイスを備えるモバイルネットワークシステムのための認証方法であって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、
前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する
認証方法。
【請求項１０】
請求項９に記載の認証方法であって、さらに、
前記スライスセキュリティ要件に基づいて認証ベクタを作成する
認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、移動通信ネットワーク内の単一の装置に対してスライス単位で異なるセキュリティを設定することを可能にする方法に関する。
【背景技術】
【０００２】
現在の移動通信ネットワークでは、「スライシング」という概念、すなわち特定のサービスのためにネットワーク全体にわたって別々のリソースを提供するという概念が考慮されていない。最新の技術報告ＴＲ２３．７９９（３ＧＰＰ ＴＲ２３．７９９ Ｖ０．２．０（２０１６年２月）  次世代システムのアーキテクチャに関する研究（リリース１４））は、ネットワークスライシングのサポートに関する重要な問題について検討している。
【０００３】
図１は、ＴＳ２２．８９１の図５．２−１に相当し、さまざまな使用事例に応じたネットワークスライスを示す。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
異なるネットワークスライス上の各サービスは、異なるセキュリティ要件を含む異なる要件を有するが、１つの個別の端末が同時に１つ以上のサービスにアクセスする可能性がある。この新しい概念を導入することにより、レガシーシステムにおいて、また将来の次世代システムに関しても、いくつかの解決しなければならない問題が生じる。現在のモバイルネットワークではこの概念が許容されないので、下記のような問題が生じる。
１）現在の３ＧＰＰ標準では、あるサービスを提供するネットワークスライスに合わせて、セキュリティ要件に対応する異なるセキュリティアルゴリズム、手順、および／または設定を適用することは不可能であり、
２）現在は、あるサービスを提供するネットワークスライスに合わせて、セキュリティ要件に対応する１セット以上の異なるセキュリティアルゴリズム、手順、および／または設定を、１つの個別の端末に同時に適用することは不可能である。
【０００５】
また、現在のモバイルネットワークでは、単一のユーザ機器（ＵＥ）が、同じｅＮＢ上で、データベアラごとに異なるセキュリティアルゴリズムを同時に有することはできない。
【課題を解決するための手段】
【０００６】
したがって、本発明の好適な実施形態は、上記の問題に対処する、または少なくとも部分的に対処する方法および装置を提供することを目的とする。
【０００７】
本発明の１つの態様として、モバイルネットワークで使用されるセキュリティデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶する記憶装置と、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する要求に応じて、前記モバイルネットワークで使用されるネットワークデバイスに前記スライスセキュリティ要件を送信する送信部とを備える。
【０００８】
本発明の他の態様として、モバイルネットワークで使用されるネットワークデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤを含むスライスセキュリティ要求を、前記モバイルネットワークで使用されるセキュリティデバイスに送信する送信部と、前記スライスＩＤに関連するスライスセキュリティ要件を含むスライスセキュリティ応答を、前記セキュリティデバイスから受信する受信部と、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する制御部とを備える。
【０００９】
本発明の他の態様として、モバイルネットワークシステムは、セキュリティデバイスと、ネットワークデバイスとを備え、前記セキュリティデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶するよう構成され、前記ネットワークデバイスは、前記セキュリティデバイスに前記スライスＩＤを含むスライスセキュリティ要求を送信し、前記セキュリティデバイスから前記スライスＩＤに関連する前記スライスセキュリティ要件を含むスライスセキュリティ応答を受信し、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択するよう構成される。
【００１０】
本発明の他の態様として、モバイルネットワークで使用されるセキュリティデバイスのためのセキュリティ分離方法は、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する要求に応じて、前記モバイルネットワークで使用されるネットワークデバイスに前記スライスセキュリティ要件を送信する。
【００１１】
本発明の他の態様として、モバイルネットワークで使用されるネットワークデバイスのためのセキュリティ分離方法は、コアネットワークにおけるネットワークスライスを示すスライスＩＤを含むスライスセキュリティ要求を、前記モバイルネットワークで使用されるセキュリティデバイスに送信し、前記スライスＩＤに関連するスライスセキュリティ要件を含むスライスセキュリティ応答を、前記セキュリティデバイスから受信し、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する。
【００１２】
本発明の他の態様として、セキュリティデバイスとネットワークデバイスとを備えるモバイルネットワークシステムのためのセキュリティ分離方法は、前記セキュリティデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、前記ネットワークデバイスは、前記セキュリティデバイスに前記スライスＩＤを含むスライスセキュリティ要求を送信し、前記ネットワークデバイスは、前記セキュリティデバイスから前記スライスＩＤに関連する前記スライスセキュリティ要件を含むスライスセキュリティ応答を受信し、前記ネットワークデバイスは、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する。
【００１３】
本発明の他の態様として、ネットワークデバイスの一部としてセキュリティデバイスを備えるモバイルネットワークシステムのための認証方法は、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する。
【図面の簡単な説明】
【００１４】
【図１】図１は、ＴＳ２２．８９１の図５．２−１に相当し、様々な使用事例に応じたネットワークスライスを示す。
【図２】図２は、本発明の実施形態を適用することができる例示的なネットワークアーキテクチャを示す。
【図３】図３は、３ＰＳＰごとに、対応するセキュリティ要件を含む十分に詳細なスライス記述をネットワークに提供する方法を示す。
【図４】図４は、ＵＥ設定のための例示的なシグナリング図を示す。
【図５】図５は、すべてのスライスに対する１つのＲＲＣ接続でのアタッチ手順の例示的なシグナリング図を示す。
【図６】図６は、図２に示すユーザ機器（ＵＥ）３の主な構成要素を示すブロック図である。
【図７】図７は、図２に示すスライスマネージャ８の主な構成要素を示すブロック図である。
【図８】図８は、図２に示すスライスセキュリティサーバ９の主な構成要素を示すブロック図である。
【発明を実施するための形態】
【００１５】
各解決策は一般的に説明され、より具体的な実施形態では、本発明を３ＧＰＰネットワークにどのように適用するかを例として説明する。説明される解決策が、ＧＳＭ、ＧＰＲＳ、ＵＭＴＳ、ＨＳＰＡ、ＬＴＥ、ＬＴＥ−Ａアクセスを使用する３ＧＰＰモバイルネットワークで使用されると予測されるとしても、そのようなネットワークに限定されず、任意の他のセルラまたはモバイルネットワーク、例えばＣＤＭ２０００、ブルートゥース、ＩＥＥＥ８０２．１１の変形、ＺｉｇＢｅｅ等、すなわち任意のアクセス技術およびコアネットワーク技術にも同様に使用可能である。説明されたプロトコルオプションは、ＤＩＡＭＥＴＥＲ、ＧＴＰ、ＭＡＰ、ＳＩＰであると考えられるが、ＨＴＴＰ、ＸＣＡＰ、ＲＡＤＩＵＳなどといった他のものであっても構わない。新しいスライスセキュリティサーバは別のエンティティであってよいが、例えばＭＭＥ、ＨＳＳ、ＳＧＷ、ＳＧＳＮ、ＧＧＳＮ、ＳＣＥＦ、ＭＴＣ−ＩＷＦ、ＰＧＷ、ネットワーク管理システム、またはスライスマネージャなど、任意の他のエンティティと併置されることも可能である。
【００１６】
図２は、本発明の実施形態を適用することができる例示的なネットワークアーキテクチャを示す。
【００１７】
３ＧＰＰシステムの場合、使用される基本用語は次のように示すことができる。
無線アクセスエンティティ（ＲＡＥ）＝ ｅＮＢ／ＮｏｄｅＢ
制御プレーンエンティティ（ＣＰＥ）＝ ＭＭＥ／ＳＧＳＮ
ユーザプレーンエンティティ（ＵＰＥ）＝ ＳＧＷ／ＰＧＷ／ＳＧＳＮ／ＧＧＳＮ
スライスセキュリティサーバ（ＳＳＳ）＝ ＨＳＳ／ＡｕＣ
サードパーティサービスプロバイダ（３ＰＳＰ）＝ ＳＣＳ／ＡＳ
【００１８】
前提条件として、３ＰＳＰは、対応するセキュリティ要件を含む十分に詳細なスライス記述をネットワークに提供する必要がある。設定には２つのオプションがある。
１）サブスクリプション単位
２）３ＰＳＰ単位
【００１９】
オプション１）では、ネットワークが、３ＰＳＰからの要求によって影響を受けるサブスクリプションを解決できなければならない。これは、例えば、３ＰＳＰまたはサービスＩＤを有するサブスクリプション情報内のネットワークにおける以前のバインディングで行うことができる。ネットワークは、３ＰＳＰが変更または更新を提供するたびに、このサービスＩＤ／３ＰＳＰのサブスクリプション情報を更新する必要がある。
【００２０】
オプション２）では、ネットワークが、３ＰＳＰまたはサービスＩＤに関連する情報のみを保持して、端末が影響を受けるか否かを後段で実行しなければならない。コールフローの例を図３に示す。この場合、この変更の根拠である進行中のセッションを端末に通知するために、更新メカニズムが必要である。情報の検索は必要なときにだけＵＥごとに実行されるので、データ管理はより容易である。
【００２１】
３ＰＳＰによって送信されるセキュリティ要件は、例えばセキュリティが低い、中位である、高いなど非常に高いレベルにあってもよく、より詳細に、特別な手順および／またはアルゴリズム、すなわち、ＭＩＬＥＮＡＧＥ、ＫＡＳＵＭＩ；ＵＥＡ２、ＵＩＡ２、ＥＥＡ３、ＥＩＡ３、ＴＵＡＫ、ＧＥＡ３、ＧＥＡ４、ＧＩＡ４、ＧＥＡ４、ＧＩＡ５などを示す。セキュリティ要件はまた、３ＰＳＰとネットワークとで事前に確認された定義済みのセキュリティプロファイルを示すポインタを表し、３ＰＳＰは異なるプロファイルの中で選択することが可能である。
【００２２】
このような設定の交換は、図３に示すようにＳＣＥＦを介して行われ、上記の両方のオプションをカバーしようとするものである。図３に示す例示的なスライスセキュリティ設定手順は、以下のステップを含む。
【００２３】
ステップ１：３ＰＳＰは、対応するセキュリティ要件を含むスライス記述をＳＣＥＦに提供する。スライス記述には、関係するサブスクライバに関する情報、サービスの種類（サービスＩＤ）、スライスＩＤ、ＱｏＳ要件、セキュリティ要件、移動性、活動時間間隔、有効時間、プロトコルオプション、サービスプロバイダ設定などを含めことができる。
【００２４】
ステップ２：ＳＣＥＦは、スライス記述を処理し、それをネットワークが理解可能なフォーマットに変換する。利用可能な情報に基づいて、ＳＣＥＦはこのスライスの影響を受けるサブスクライバを解決することができる。これは、３ＰＳＰスライス記述メッセージがサブスクリプションごとに処理されるか、または３ＰＳＰ／サービスＩＤに応じて処理されるかによって異なる。
【００２５】
ステップ３：ＳＣＥＦは、ＳＳＳにスライスセキュリティ要件を提供する。 ＳＣＥＦは、ＳＣＥＦで利用可能な情報に基づいて、あるいはオペレータポリシーに基づいて、サブスクライバごとに、あるいは３ＰＳＰ／サービスＩＤレベル（例えば、ＹｏｕＴｕｂｅに対応するサービスＩＤ＃２２を表す３ＰＳＰ Ｇｏｏｇｌｅからのスライス＃４１）で、この情報を提供することができる。
【００２６】
ステップ４：ＳＳＳは、受信した情報およびオペレータポリシーに応じて、サブスクライバごとに、あるいは３ＰＳＰ／サービスＩＤレベルでこの情報を保存する。
【００２７】
確認応答はこのコールフローでは示されていないが、スライス作成とスライスＩＤ割り当てがこのフローの前に実行される。
【００２８】
３ＰＳＰからＳＳＳにスライスセキュリティ要件を提供する代わりに、例えばＯＡＭ手順で、またはＳＳＳにおいて手動で、事前に要件を設定することも可能であるが、これは３ＰＳＰの観点からはあまり動的ではない。
【００２９】
他の前提条件として、ＵＥは、使用されるスライスＩＤで事前設定されていなければならず、それらはネットワーク内で設定されたものと一致しなければならない。この設定は、ＸＣＡＰ、ＯＭＡ ＤＭなどを使用するオペレータネットワーク内の特別な設定サーバで、あるいは通り越して直接３ＰＳＰを経由して行うことができる。オペレータネットワーク内の設定サーバの場合、３ＰＳＰは設定と影響を受けるＴＥとを、モバイルオペレータに、好ましくはＳＣＥＦ経由で提供する必要がある。設定サーバはスライスマネージャであってよく、影響を受けるＵＥを解決して、対応するサブスクリプションプロファイルと同様に設定を更新する。
【００３０】
図４は、ＵＥ設定のための例示的なシグナリング図を示す。図示のとおり、スライスマネージャは、スライスの他のすべての側面（ＱｏＳ、サブスクライバ処理、有効時間、リソース計画など）を処理している。スライスマネージャは、ＳＳＳと併置してもよい。
【００３１】
上述の問題の解決は、ＲＲＣプロトコルの実装しだいで２つの異なる方法で達成され得る。
解決策１：すべてのスライスに対して１つのＲＲＣ接続
解決策２：スライスあたりに１つのＲＲＣ接続
以下では、解決策１のみを詳細に示す。解決策２は、スライスごとにすべてのメッセージを繰り返すことを要するだけである。
【００３２】
解決策１：すべてのスライスに対して１つのＲＲＣ接続
図５は、すべてのスライスに対して１つのＲＲＣ接続によるアタッチ手順のための例示的なシグナリング図を示す。前提条件として、ＵＥは使用されるスライスＩＤで事前に設定されなければならず、それらはネットワーク内で設定されたものと一致しなければならない。スライスセキュリティサーバ（ＳＳＳ）は、様々なスライスセキュリティ要件のリポジトリであり、スライスごとに適切なセキュリティアルゴリズムを選択する要求に応じて、要件をＨＳＳに提供する。ＳＳＳは、ＨＳＳと併置してもよい。この手順には、下記のステップが含まれる。
【００３３】
ステップ１：ＵＥは、すべての所望のスライスＩＤのリストを含むアタッチ要求をＲＡＥに送信する。ＵＥは、スライスＩＤのリストの代わりに、全ての所望のサービスＩＤのリストを含めることができる。サービス選択がネットワークによって行われる場合、ＵＥはいかなるサービスＩＤもスライスＩＤも含めないが、異なるセキュリティアソシエーションを有するスライスを処理するためにＵＥの機能が強化されていることを示すスライス機能フラグを送信する必要がある。
【００３４】
ステップ２：ＲＡＥは、ＣＰＥを選択して、スライスＩＤ／サービスＩＤのリストまたはスライス機能フラグを含むアタッチ要求を転送する。
【００３５】
ステップ３：ＣＰＥは、ＵＥ識別情報を要求することができる。
【００３６】
ステップ４：スライスＩＤ／サービスＩＤのリストやスライス機能フラグの存在は、異なるセキュリティ要件を有する複数のスライスを処理するためのＵＥ機能をＣＰＥに示している。ＣＰＥは、ＨＳＳからの認証データを要求し、利用可能であれば、要求されたスライスＩＤ／サービスＩＤのリストを含める。サービスの選択がネットワークによって行われる場合、ＣＰＥは、ステップ８において決定を行うための関連情報を検索することになる。ＣＰＥは、利用可能であれば、ＵＥがスライスＩＤ／サービスＩＤのリストに関連付けられたネットワークスライスにアクセスする権利を有するかどうかを、サブスクリプションプロファイルに基づいてさらに確認することができる。
【００３７】
ステップ５：利用可能であれば、ＨＳＳは、ＣＰＥから受信したスライスＩＤ／サービスＩＤリストを含むスライスセキュリティ要求をＳＳＳに送信する。スライスＩＤ／サービスＩＤがＣＰＥからのメッセージに示されていない場合、ＨＳＳは、端末が特別な処理を要する特定のサービスに申し込みをしているかどうか、サブスクリプションプロファイルを確認して、それらを（すなわち、申し込んだスライスＩＤ／サービスＩＤ）をＳＳＳへの要求に含める。ＳＳＳはＨＳＳと併置されてもよく、その場合、このステップ５およびステップ６は内部で実行される。
【００３８】
ステップ６：ＳＳＳは、スライスＩＤ／サービスＩＤごとのセキュリティ要件を提供する。特定のスライスＩＤ／サービスＩＤに対するセキュリティ要件を有していない場合、ＳＳＳは、３ＰＳＰアドレスを抽出または検索して、直接またはＳＣＥＦ経由でセキュリティ要件を照会する。セキュリティ要件は既に、使用されるアルゴリズムを示すか、セキュリティが高度、中度、低度であるといったレベルを示していた。あるいは、セキュリティ要件は、３ＰＳＰに好適に知られている、一連の定義済みプロファイルの中から予め定義されたセキュリティプロファイルを示すことができた。これらの予め定義されたセキュリティプロファイルは、すべてのネットワークノードで利用可能である、すなわち、すべてのＣＰＥおよびＲＡＥ、ＨＳＳなどに知られているので、セキュリティ要件においてプロファイルＩＤを示すポインタのみが必要とされる。
【００３９】
ステップ７：受信したセキュリティ要件に従って、ＨＳＳは、スライスごとにセキュリティ手順を実行し、スライスごとに対応するセキュリティアルゴリズムを選択する。ＨＳＳは、オペレータポリシーと同様にＵＥの機能を考慮に入れることができる。セキュリティ手順の下で、ＨＳＳは、スライスごとに個別の認証ベクタを作成し、対応するスライスＩＤ／サービスＩＤでバインディングを作成する。すべてのスライスを管理するために１つのＮＡＳ接続だけを使用する場合、ＨＳＳは、スライスセキュリティ認証ベクタとは独立したＮＡＳセキュリティの認証ベクタも含める。
【００４０】
ステップ８：ＨＳＳは、認証データ応答においてＣＰＥに一連の認証ベクタおよびスライスＩＤ／サービスＩＤを送信する。セキュリティプロファイルが使用される場合、ＨＳＳは、スライスごとの完全な認証ベクタの代わりに、セキュリティプロファイルＩＤ／スライスＩＤセットのみを送信すればよい。
【００４１】
ステップ９：ＣＰＥは、スライスごとに制御プレーン層セキュリティを設定し、認証と鍵共有（ＡＫＡ）を実行する。交換されるメッセージは、ＭＭＥからＵＥへの「ＮＡＳセキュリティモードコマンドメッセージ」に対応付けられてもよく、どのスライスにも属さなくてもよく、また、ＵＥのセキュリティ機能と、スライスＩＤ／サービスＩＤごとの暗号化と完全性のために選択されたアルゴリズム、またはセキュリティプロファイルＩＤを含む。ＵＥは、ＣＰＥからのメッセージの完全性を検証し、このセキュリティコンテキストで完全性保護および暗号化／復号化を開始し、暗号化され完全性を保護された確認応答メッセージをＣＰＥに送信する。この確認応答は、ＵＥからＭＭＥへの「ＮＡＳセキュリティモード完了」メッセージに対応付けることができる。
【００４２】
ステップ１０：ＲＡＥは、ユーザプレーンと制御プレーンのための無線アクセス層セキュリティを設定し、スライスごとに完全性と暗号化のために選択されたアルゴリズムを送信する。ここで交換されるメッセージは、ｅＮＢからＵＥへの「ＡＳセキュリティモードコマンドメッセージ」と、ＵＥからｅＮＢへの「ＡＳセキュリティモード完了メッセージ」とに対応付けることができる。
【００４３】
ステップ１１：ＵＥは、アプリケーションからのアップリンクトラフィックを対応するスライス上の正しいデータ無線ベアラ（ＤＲＢ）に対応付けるために、アップリンクフィルタを設定する。
【００４４】
ステップ１２：ＵＥは、個別のセキュリティでＵＰＥに対してスライスごとのベアラ設定をファイナライズする。
【００４５】
ＵＥがステップ１のアタッチ要求に含まれていないスライスにアタッチしたい場合、ＵＥはアタッチしたいスライスＩＤを有する別のアタッチ要求を送信する必要がある。ＣＰＥは、ＵＥが既にネットワークにアタッチされていることを検出し、ＵＥとのチャレンジレスポンスを実行しないが、スライスのセキュリティ要件についてＳＳＳに照会する。ＵＥがスライスＩＤを含まないので、サービスの選択がネットワークによって行われる場合、これは不可能である。
【００４６】
別の実施形態では、ＨＳＳは、３ＰＳＰに直接、またはＳＳＳを介して、またはＳＣＥＦを介して、または両方を介して、ＵＥごとにセキュリティ要件を求めてもよい。すなわち、３ＰＳＰは、セキュリティ要件をＳＳＳに事前に供給する必要はないが、シグナリングトラフィックは増大する可能性がある。
【００４７】
解決策２：スライスあたりに１つのＲＲＣ接続
スライスあたりに１つのＲＲＣ接続が使用される場合、ＵＥは、各スライスに対して別々の無線シグナリングベアラを独立してセットアップする。その結果、ＵＥは、各スライスについて別々のアタッチ要求を送信することになる。結果として、認証および制御プレーンならびに無線アクセスセキュリティが、スライスごとのＮＡＳシグナリングと同様に、別々にセットアップされる。各スライスは、ＵＥ内の仮想マシンと見なされ、他のスライスとは完全に独立して動作する。
【００４８】
概要
有益なことに、上記の実施形態は、下記の機能のうちの１つ以上を含むが、これに限定されるものではない。
【００４９】
１）新しいＳＳＳ機能：
ａ．ＳＳＳは、特定のサービス／スライスについて３ＰＳＰからのセキュリティ要件を格納する。
ｂ．ＳＳＳは、セキュリティ要件とサービス／スライスＩＤとのバインディングを作成する。
ｃ．ＳＳＳは、ＨＳＳから照会を受けて、要求されたスライス／サービスＩＤについてセキュリティ要件を検索する。
ｄ．未知のスライス／サービスＩＤについて、ＳＳＳは、３ＰＳＰアドレスを抽出または検索し、例えばＳＣＥＦ経由で対応するセキュリティ要件を照会することができる。
２）新しいＵＥ機能
ａ．ＵＥは、スライス機能（ネットワークによって行われるサービス選択）、またはスライス／サービスＩＤ（ＵＥによって行われるサービス選択）のいずれかをアタッチ要求も含める。
ｂ．ＵＥは、すべてのスライスについて単一のＲＲＣ／ＮＡＳ接続を使用するか、あるいはスライスごとに１つのＲＲＣ／ＮＡＳ接続を使用する。
３）新しいＣＰＥ／ＨＳＳ機能
ａ．ＨＳＳは、複数のスライスで共有されている場合、スライスごとに、ＮＡＳ／ＲＲＣ接続について、セキュリティアルゴリズムと認証ベクタを選択する。
ｂ．ＨＳＳは、サブスクリプション情報に基づいてスライス／サービス要求を検証する。
ｃ．ＨＳＳ、ＣＰＥ、およびＲＡＥは、完全な認証ベクタの代わりに、事前に設定されたセキュリティプロファイルを使用してもよい。
【００５０】
上記の実施形態は、スライスセキュリティを分離するための方法を説明していることがわかるだろう。上記方法は、
１）３ＰＳＰからのスライスセキュリティ要件をＵＥがＳＳＳに提供する。
２）提供する間に、ＳＥＣＦはスライス記述をサブスクリプションごとのスライスセキュリティ要件または３ＰＳＰ基準／サービスＩＤに変換する。
３）アタッチ時に、ＵＥが要求されたスライスＩＤ／サービスＩＤを示す（またはＨＳＳが申し込まれたスライスＩＤ／サービスＩＤを示す）。
４）ＳＳＳがスライスごとのスライスセキュリティ要件を要求する。
５）スライスごとの所定のスライスセキュリティ要件に基づいて、ＨＳＳはスライスごとの認証ベクタまたはセキュリティプロファイルを提供する。
６）スライスセキュリティ要件に基づいて、完全性と暗号化のためのアルゴリズムと手順を選択する。
７）制御プレーンおよび無線アクセス層についてスライスごとのセキュリティパラメータセットを提供する。
【００５１】
利点
上記の実施形態は、単一の端末に関連付けられたスライスごとに異なるセキュリティモードを提供する可能性を含むが、これに限定されない多くの利点を提供することが分かる。
【００５２】
システムの概要
図２は、モバイル（セルラまたはワイヤレス）電気通信ネットワーク１を概略的に示す。このモバイル電気通信ネットワーク１では、ユーザ機器（ＵＥ）３のようなモバイルデバイスのユーザが、Ｅ−ＵＴＲＡなどの適切な無線アクセス技術（ＲＡＴ）を用いて、基地局／アクセスノード５と関連する（無線アクセス／コア）ネットワーク４とを介して、互いにそして他のユーザと通信することができる。当業者であれば分かるように、例示のために１つのＵＥ３と１つのアクセスノード５が図２に示されているが、実装される場合には、システムは他のアクセスノード／基地局とモバイルデバイスとを通常含む。
【００５３】
このネットワーク４では、上述のようにネットワークスライシングが提供される。さらに、ネットワーク４は、スライスセキュリティの分離を有益に可能にして、様々なサービスに関連付けられた様々なセキュリティ要件のサポートを提供する。
【００５４】
図から分かるように、上記ネットワークは、アクセスノード５と、ユーザプレーンノード６と、制御プレーンノード７と、スライスマネージャ８と、スライスセキュリティサーバ（ＳＳＳ）９と、サービス性能提供機能（ＳＣＥＦ）１０などを含む。１つまたは複数のアプリケーションサーバ１５を使用して、様々なサービスが提供される。
【００５５】
ユーザ機器
図６は、図２に示すユーザ機器（ＵＥ）３の主な構成要素を示すブロック図である。図示のとおり、ＵＥ３は、１つまたは複数のアンテナ３３を介して基地局（例えば、図２の「アクセスノード５」）との間で信号を送受信するよう動作可能なトランシーバ回路３１を有する。ＵＥ３は、自身の動作を制御する制御部３７を有する。制御部３７は、記憶装置３９に接続され、また、トランシーバ回路３１に接続される。図６には必ずしも示されていないが、ＵＥ３は、従来のモバイルデバイス（ユーザインタフェース３５など）のすべての通常の機能を有することは言うまでもなく、これは、ハードウェア、ソフトウェア、ファームウェアのうちの任意の１つまたは任意の組み合わせによって適宜提供されてもよい。ソフトウェアは、記憶装置３９に予めインストールされていてもよく、電気通信ネットワークを介して、または取り外し可能なデータ記憶装置（ＲＭＤ）などからダウンロードされてもよい。
【００５６】
制御部３７は、この例においては、記憶装置３９内に記憶されたプログラム命令またはソフトウェア命令によってＵＥ３の全体的な動作を制御する。図示のように、これらのソフトウェア命令は、オペレーティングシステム４１と、通信制御モジュール４３と、セキュリティモジュール４５と、ＮＡＳモジュール４７と、ＲＲＣモジュール４９などを含む。
【００５７】
通信制御モジュール４３は、ＵＥ３と基地局／アクセスノード５との間の通信を制御する。通信制御モジュール４３はまた、基地局／アクセスノード５や、（基地局／アクセスノードを介して）制御プレーンノード７や３ＰＳＰ１５のような他のノードに送信されることになる制御データ（制御プレーン）およびユーザデータ（ユーザプレーン、アップリンクおよびダウンリンクの両方）の個別のフローを制御する。
【００５８】
セキュリティモジュール４５は、（例えばサービスごとに）様々なネットワークスライスに関連するセキュリティ要件に対応する１つまたは複数セットの適切なセキュリティアルゴリズム、手順および／または設定を適用する役割を果たす。
【００５９】
ＮＡＳモジュール４７は、ＮＡＳプロトコルに従ってフォーマットされたシグナリングメッセージを生成し、送信し、受信するよう動作可能である。ＮＡＳメッセージは、例えば、（適切であればスライスごとの）ＵＥ３をネットワークにアタッチするための、および／またはＵＥ３のためのセキュリティを設定するための制御データなど、ＵＥ３の移動性に関する制御データを含むＮＡＳメッセージを含んでもよい。
【００６０】
ＲＲＣモジュール４９は、ＲＲＣ標準に従ってフォーマットされたシグナリングメッセージを生成し、送信し、受信するよう動作可能である。ＲＲＣメッセージは、例えば、ランダムアクセス手順および／またはＲＲＣ接続の確立／再構成、ＵＥ設定に関連するメッセージを含んでもよく、ＲＲＣメッセージは、サービング基地局アクセスノード５によって他のネットワークノードに送られる制御データを含むメッセージ（例えばＮＡＳメッセージ）を含んでもよい。
【００６１】
スライスマネージャ
図７は、図２に示すスライスマネージャ８の主な構成要素を示すブロック図である。図示のとおり、スライスマネージャ８は、トランシーバ回路５１と、他のネットワークノード（ＵＥ３を含む）と信号を送受信するためのネットワークインタフェース５５とを有する。スライスマネージャ８は、自身の動作を制御する制御部５７を有する。制御部５７は、記憶装置５９に接続されている。
【００６２】
ソフトウェアは、記憶装置５９に予めインストールされていてもよく、通信ネットワーク１を介して、または取り外し可能なデータ記憶装置（ＲＭＤ）などからダウンロードされてもよい。制御部５７は、この例においては、記憶装置５９に記憶されたプログラム命令またはソフトウェア命令によって、スライスマネージャ８の全体的な動作を制御するよう構成される。図示のように、これらのソフトウェア命令は、オペレーティングシステム６１と、通信制御モジュール６３と、セキュリティモジュール６５とを含む。
【００６３】
通信制御モジュール６３は、スライスマネージャ８と、スライスマネージャ８に接続された他のネットワークエンティティ（例えば、基地局／アクセスノード５、制御プレーンノード６、ＨＳＳ、ＳＳＳ９、および基地局／アクセスノード５に接続されているときのＵＥ３）との間の通信を制御する。
【００６４】
セキュリティモジュール６５は、（例えば、サービスごとに）様々なネットワークスライスに関連するセキュリティ要件に対応する１つまたは複数のセットの適切なセキュリティアルゴリズム、手順および／または設定のセットを適用する役割を果たす。
【００６５】
スライスセキュリティサーバ
図８は、図２に示すスライスセキュリティサーバ９の主な構成要素を示すブロック図である。スライスセキュリティサーバ９は、トランシーバ回路７１と、他のノード（ＵＥ３を含む）と信号を送受信するためのネットワークインタフェース７５とを有する。スライスセキュリティサーバ９は、自身の動作を制御する制御部７７を有する。制御部７７は、記憶装置７９に接続されている。
【００６６】
ソフトウェアは、記憶装置７９に事前にインストールされてもよく、通信ネットワーク１を介して、または取り外し可能なデータ記憶装置（ＲＭＤ）などからダウンロードされてもよい。制御部７７は、この例においては、記憶装置７９内に記憶されたプログラム命令またはソフトウェア命令によってスライスセキュリティサーバ９の全体的な動作を制御するよう構成される。図示のように、これらのソフトウェア命令は、オペレーティングシステム８１と、通信制御モジュール８３と、セキュリティモジュール８５などを含む。
【００６７】
通信制御モジュール８３は、スライスセキュリティサーバ９と、当該スライスセキュリティサーバ９に接続された他のネットワークエンティティ（例えば、基地局／アクセスノード５、制御プレーンノード６、ＨＳＳ、スライスマネージャ８、および基地局／アクセスノード５に接続されているときのＵＥ３）との間の通信を制御する。
【００６８】
セキュリティモジュール８５は、（例えば、サービスごとに）様々なネットワークスライスに関連付けられたセキュリティ要件に対応する１つまたは複数のセットの適切なセキュリティアルゴリズム、手順、および／または設定を適用する役割を担う。
【００６９】
変形例と代替案
以上、詳細な実施形態について説明した。当業者には理解されるように、上記実施形態には多くの変形および代替が可能であるが、その中で具現化される発明からの恩恵を受ける。説明のために、ここではいくつかの代替案および変形例のみを説明する。
【００７０】
上記の説明では、理解を容易にするために、ＵＥ、スライスマネージャ、およびスライスセキュリティサーバはいくつかのディスクリートモジュール（通信制御モジュールやセキュリティモジュールなど）を有するものとして説明した。ある用途において、例えば既存のシステムが本発明を実施するよう変形された場合には、これらのモジュールは上述のように提供されてもよいが、他の用途において、例えば当初から本発明の特徴を考慮して設計されたシステムにおいては、これらのモジュールは全体のオペレーティングシステムやコードに組み込まれており、ディスクリートエンティティとして認識されない可能性がある。これらのモジュールは、ソフトウェア、ハードウェア、ファームウェアで、またはこれらを組み合わせて実装されてもよい。
【００７１】
上記の実施形態ではいくつかのソフトウェアモジュールを説明した。当業者には理解されるように、ソフトウェアモジュールは、コンパイルされて、あるいはコンパイルされずに提供されてもよく、コンピュータネットワークでの信号として、または記録媒体上で、ＵＥ、スライスマネージャ、およびスライスセキュリティサーバに提供されてもよい。また、このソフトウェアの一部または全部によって実行される機能は、１つまたは複数の専用ハードウェア回路を使用して実行されてもよい。しかし、ソフトウェアモジュールの使用は、その機能を更新するために、ＵＥ、スライスマネージャ、およびスライスセキュリティサーバの更新を容易にするので好ましい。
【００７２】
様々な他の変形例が当業者には明らかであり、ここではさらに詳細な説明は行わない。
【００７３】
略語リスト
【表１】
2019516309.tif 000003
【００７４】
参考文献リスト
［１］３ＧＰＰ  ＴＳ  ２３．４０１「次世代ユニバーサル地上無線アクセスネットワーク（Ｅ−ＵＴＲＡＮ）アクセスのための汎用パケット無線サービス（ＧＰＲＳ）の強化」、ｖ１３．６．０、２０１６年３月１５日
［２］３ＧＰＰ  ＴＳ  ２４．３０１「次世代パケットシステム（ＥＰＳ）のための非アクセス層（ＮＡＳ）プロトコル、ステージ３」、ｖ１３．５．０、２０１６年３月１８日
［３］３ＧＰＰ  ＴＳ  ３３．４０１「３ＧＰＰシステムアーキテクチャの進化（ＳＡＥ）、セキュリティアーキテクチャ」ｖ１３．２．０、２０１６年３月１７日
［４］３ＧＰＰ  ＴＲ２３．７９９「次世代システムのアーキテクチャに関する研究」ｖ０．２．０、２０１６年２月１０日
［５］３ＧＰＰ  ＴＲ  ２２．８９１「新しいサービスと市場テクノロジーイネーブラに関する研究」ｖ１４．０．０、２０１６年３月１８日
【００７５】
様々な他の変形が当業者には明らかであり、ここではさらに詳細な説明は行わない。
【００７６】
（付記１）モバイルネットワークで使用されるセキュリティデバイスであって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶する記憶装置と、
前記ネットワークスライスのためのセキュリティアルゴリズムを選択する要求に応じて、前記モバイルネットワークで使用されるネットワークデバイスに前記スライスセキュリティ要件を送信する送信部と
を備えるセキュリティデバイス。
【００７７】
（付記２）モバイルネットワークで使用されるネットワークデバイスであって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤを含むスライスセキュリティ要求を、前記モバイルネットワークで使用されるセキュリティデバイスに送信する送信部と、
前記スライスＩＤに関連するスライスセキュリティ要件を含むスライスセキュリティ応答を、前記セキュリティデバイスから受信する受信部と、
前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する制御部と
を備えるネットワークデバイス。
【００７８】
（付記３）付記２に記載のネットワークデバイスであって、
前記スライスセキュリティ要件に基づいて認証ベクタを作成するプロセッサ
をさらに備えるネットワークデバイス。
【００７９】
（付記４）モバイルネットワークシステムであって、
セキュリティデバイスと、
ネットワークデバイスと
を備え、
前記セキュリティデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶するよう構成され、
前記ネットワークデバイスは、前記セキュリティデバイスに前記スライスＩＤを含むスライスセキュリティ要求を送信し、前記セキュリティデバイスから前記スライスＩＤに関連する前記スライスセキュリティ要件を含むスライスセキュリティ応答を受信し、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択するよう構成された
モバイルネットワークシステム。
【００８０】
（付記５）付記４に記載のモバイルネットワークシステムであって、
前記ネットワークデバイスは、前記スライスセキュリティ要件に基づいて認証ベクタを作成する
モバイルネットワークシステム。
【００８１】
（付記６）モバイルネットワークで使用されるセキュリティデバイスのためのセキュリティ分離方法であって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、
前記ネットワークスライスのためのセキュリティアルゴリズムを選択する要求に応じて、前記モバイルネットワークで使用されるネットワークデバイスに前記スライスセキュリティ要件を送信する
セキュリティ分離方法。
【００８２】
（付記７）モバイルネットワークで使用されるネットワークデバイスのためのセキュリティ分離方法であって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤを含むスライスセキュリティ要求を、前記モバイルネットワークで使用されるセキュリティデバイスに送信し、
前記スライスＩＤに関連するスライスセキュリティ要件を含むスライスセキュリティ応答を、前記セキュリティデバイスから受信し、
前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する
セキュリティ分離方法。
【００８３】
（付記８）セキュリティデバイスとネットワークデバイスとを備えるモバイルネットワークシステムのためのセキュリティ分離方法であって、
前記セキュリティデバイスは、コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、
前記ネットワークデバイスは、前記セキュリティデバイスに前記スライスＩＤを含むスライスセキュリティ要求を送信し、
前記ネットワークデバイスは、前記セキュリティデバイスから前記スライスＩＤに関連する前記スライスセキュリティ要件を含むスライスセキュリティ応答を受信し、
前記ネットワークデバイスは、前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する
セキュリティ分離方法。
【００８４】
（付記９）ネットワークデバイスの一部としてセキュリティデバイスを備えるモバイルネットワークシステムのための認証方法であって、
コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、
前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する
認証方法。
【００８５】
（付記１０）請求項９に記載の認証方法であって、さらに、
前記スライスセキュリティ要件に基づいて認証ベクタを作成する
認証方法。
【００８６】
（付記１１）コンピュータに、
コアネットワークにおけるネットワークスライスを示すスライスＩＤごとに異なるスライスセキュリティ要件を記憶し、
前記ネットワークスライスのためのセキュリティアルゴリズムを選択する要求に応じて、前記モバイルネットワークで使用されるネットワークデバイスに前記スライスセキュリティ要件を送信する、処理を実行させるためのプログラムを記録した、コンピュータが読み取り可能な記録媒体。
【００８７】
（付記１２）コンピュータに、
コアネットワークにおけるネットワークスライスを示すスライスＩＤを含むスライスセキュリティ要求を、前記モバイルネットワークで使用されるセキュリティデバイスに送信し、
前記スライスＩＤに関連するスライスセキュリティ要件を含むスライスセキュリティ応答を、前記セキュリティデバイスから受信し、
前記スライスセキュリティ要件に基づいて、前記ネットワークスライスのためのセキュリティアルゴリズムを選択する、処理を実行させるためのプログラムを記録した、コンピュータが読み取り可能な記録媒体。
【００８８】
本願は、２０１６年４月２９日に特許出願された欧州特許出願ＥＰ１６２７５０６９．９の特許出願に基づく優先権主張の利益を享受するものであり、当該特許出願に記載された内容は、全て本明細書に含まれるものとする。
【図１】
2019516309.tif 000004
【図２】
2019516309.tif 000005
【図３】
2019516309.tif 000006
【図４】
2019516309.tif 000007
【図５】
2019516309.tif 000008
【図６】
2019516309.tif 000009
【図７】
2019516309.tif 000010
【図８】
2019516309.tif 000011
【国際調査報告】
2019516309.tif 000012
2019516309.tif 000013