(57)【要約】      （修正有）【課題】パケット・データ通信の間のパケット・データ・フローをモニタすること及び制御することに関し、機密保護されたモニタリング体系を提供する。【解決手段】暗号化されたデータ・パケットを有するデータ・フローは、データ・トラフィック制御のためにモニタリング中間手段を通過する。暗号化されたデータ・パケットは、ＳＰＩ（機密保護されたパラメータ・インデックス）を含み、ＳＰＩは、データ逆暗号化のためにＳＡ（機密保護アソシエーション）を識別するために使用される。通信セッションのための初期のシグナリング・プロセスの間に、通信セッションを得ようとしている複数のノードは、シグナリング・メッセージ内にＳＰＩを含み、そしてモニタリング中間手段を経由してシグナリング・メッセージを送り、モニタリング中間手段は、順番にシグナリング・メッセージのＳＰＩとデータ・パケットから抽出された対応するＳＰＩとを符合させる。【選択図】図４
2011091833.tif 000002
【特許請求の範囲】
【請求項１】
モニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための方法、該方法は下記を具備する：
暗号化プロセスを識別するインデックスを与えること；
シグナリング・メッセージ中に前記インデックスを含ませること；及び
前記モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送ることによって前記通信セッションのための信号を送ること。
【請求項２】
請求項１の方法、ここにおいて、前記通信セッションのために前記信号を送ることは、前記通信セッションへの勧誘に前記モニタリング中間手段を経由して応答することを含む。
【請求項３】
請求項１の方法、該方法は、前記通信セッションの前記データ・パケット中に前記インデックスを与えることをさらに含む。
【請求項４】
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいてモニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための方法、該方法は下記を具備する：
ＳＡ（機密保護アソシエーション）を識別するＳＰＩ（機密保護パラメータ・インデックス）を与えること；
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージ中に前記ＳＰＩを含ませること；及び
前記モニタリング中間手段がパケット・データ・モニタリングのために前記ＳＰＩを使用することを可能にするために前記モニタリング中間手段を経由して前記ＳＰＩを有する前記シグナリング・メッセージを送ることによって前記通信セッションのための信号を送ること。
【請求項５】
暗号化されたデータ・パケットを用いた通信セッションをモニタするための方法、該方法は下記を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取ること；
前記通信セッションの前記データ・パケットから第２のインデックスを受け取ること；及び
前記第１のインデックスと第２のインデックスとを比較することを含ませることによって前記通信セッションの措置（policy）のセットを実施すること。
【請求項６】
請求項５の方法、該方法は、前記第１のインデックスと第２のインデックスとを前記比較することが比較の符合という結果を生じる時に前記通信セッションの前記データ・パケットが通過すること認めること、及び前記第１のインデックスと第２のインデックスとを前記比較することが比較が符合しないという結果を生じる時に前記通信セッションの前記データ・パケットが通過することを拒絶することをさらに含む。
【請求項７】
請求項５の方法、ここにおいて、前記シグナリング・メッセージは、第１のシグナリング・メッセージであり、前記方法は、第２のシグナリング・メッセージから前記第１のインデックスを受け取ることをさらに含む。
【請求項８】
請求項７の方法、ここにおいて、前記第１のシグナリング・メッセージは、前記通信セッションのための勧誘メッセージであり、そして前記第２のシグナリング・メッセージは、前記勧誘メッセージに対する応答メッセージである。
【請求項９】
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいて暗号化されたデータ・パケットを用いた通信セッションをモニタするための方法、該方法は下記を具備する：
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージから第１のＳＰＩ（機密保護パラメータ・インデックス）を受け取ること；
前記通信セッションの前記データ・パケットから第２のＳＰＩを受け取ること；及び
前記第１のＳＰＩと第２のＳＰＩとを比較することを含ませることによって前記通信セッションの措置のセットを実施すること。
【請求項１０】
モニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
暗号化プロセスを識別するインデックスを与えるための手段；
シグナリング・メッセージ中に前記インデックスを含ませるための手段；及び
前記モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送るための手段。
【請求項１１】
請求項１０の装置、ここにおいて、前記シグナリング・メッセージは、勧誘メッセージであり、該装置は、前記勧誘メッセージに応じて応答メッセージ中に前記インデックスを含ませるため手段をさらに含む。
【請求項１２】
請求項１０の装置、該装置は、前記通信セッションの前記暗号化されたデータ・パケット中に前記インデックスを含ませるための手段をさらに含む。
【請求項１３】
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいてモニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
ＳＡ（機密保護アソシエーション）を識別するＳＰＩ（機密保護パラメータ・インデックス）を与えるための手段；
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージ中に前記ＳＰＩを含ませるための手段；及び
前記モニタリング中間手段がパケット・データ・モニタリングのために前記ＳＰＩを使用することを認めさせるために前記モニタリング中間手段を経由して前記ＳＰＩを有する前記シグナリング・メッセージを送るための手段。
【請求項１４】
暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取るための手段；
前記通信セッションの前記データ・パケットから第２のインデックスを受け取るための手段；及び
前記第１のインデックスと第２のインデックスとを比較することを含ませることによって前記通信セッションの措置のセットを実施するための手段。
【請求項１５】
請求項１４の装置、該装置は、前記第１のインデックスと第２のインデックスとを前記比較することが比較の符合という結果を生じる時に前記通信セッションの前記データ・パケットが通過すること認めるための手段、及び前記第１のインデックスと第２のインデックスとを前記比較することが比較が符合しないという結果を生じる時に前記通信セッションの前記データ・パケットが通過することを拒絶するための手段をさらに含む。
【請求項１６】
請求項１４の装置、ここにおいて、前記シグナリング・メッセージは、第１のシグナリング・メッセージであり、前記装置は、第２のシグナリング・メッセージから前記第１のインデックスを受け取るための手段をさらに含む。
【請求項１７】
請求項１６の装置、ここにおいて、前記第１のシグナリング・メッセージは、前記パケット・データ通信セッションのための勧誘メッセージであり、そして前記第２のシグナリング・メッセージは、前記勧誘メッセージに対する応答メッセージである。
【請求項１８】
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいて暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージから第１のＳＰＩ（機密保護パラメータ・インデックス）を受け取るための手段；
前記通信セッションの前記データ・パケットから第２のＳＰＩを受け取るための手段；及び
前記第１のＳＰＩと第２のＳＰＩとを比較することを含ませることによって前記通信セッションの措置のセットを実施するための手段。
【請求項１９】
モニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
暗号化プロセスを識別するインデックスを与えるため、シグナリング・メッセージ中に前記インデックスを含ませるため、及び前記モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送るためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；及び
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
【請求項２０】
請求項１９の装置、ここにおいて、前記シグナリング・メッセージは、勧誘メッセージであり、該装置は、前記勧誘メッセージに応じて応答メッセージ中に前記インデックスを含ませるためのコンピュータ読み取り可能な命令をさらに含む。
【請求項２１】
請求項１９の装置、該装置は、前記通信セッションの前記データ・パケット中に前記インデックスを含ませるためのコンピュータ読み取り可能な命令をさらに含む。
【請求項２２】
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいてモニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
ＳＡ（機密保護アソシエーション）を識別するＳＰＩ（機密保護パラメータ・インデックス）を与えるため、ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージ中に前記ＳＰＩを含ませるため、及び前記モニタリング中間手段がパケット・データ・モニタリングのために前記インデックスを使用することを認めさせるために前記モニタリング中間手段を経由して前記ＳＰＩを有する前記シグナリング・メッセージを送るためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；及び
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
【請求項２３】
暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取るため、前記通信セッションの前記データ・パケットから第２のインデックスを受け取るため、及び前記第１のインデックスと第２のインデックスとを比較することを含むことによって前記通信セッションの措置のセットを実施するためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
【請求項２４】
請求項２３の装置、該装置は、前記第１のインデックスと第２のインデックスとを前記比較することが比較の符合という結果を生じる時に前記通信セッションの前記データ・パケットが通過することを認めるため、及び前記第１のインデックスと第２のインデックスとを前記比較することが比較が符合しないという結果を生じる時に前記通信セッションの前記データ・パケットが通過することを拒絶するためのコンピュータ読み取り可能な命令をさらに含む。
【請求項２５】
請求項２３の装置、ここにおいて、前記シグナリング・メッセージは、第１のシグナリング・メッセージであり、前記装置は、第２のシグナリング・メッセージから前記第１のインデックスを受け取るためのコンピュータ読み取り可能な命令をさらに含む。
【請求項２６】
請求項２５の装置、ここにおいて、前記第１のシグナリング・メッセージは、前記通信セッションのための勧誘メッセージであり、そして前記第２のシグナリング・メッセージは、前記勧誘メッセージに対する応答メッセージである。
【請求項２７】
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいて暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージから第１のＳＰＩ（機密保護パラメータ・インデックス）を受け取るため、前記通信セッションの前記データ・パケットから第２のＳＰＩを受け取るため、及び前記第１のＳＰＩと第２のＳＰＩとを比較することを含むことによって前記通信セッションの措置のセットを実施するためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；及び
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
【請求項２８】
通信システムにおいて信号キャリアを介して伝送される電気信号、前記電気信号は、下記を実行するためのコンピュータ読み取り可能な命令を具備する：
暗号化プロセスを識別するインデックスを与えること；
シグナリング・メッセージ中に前記インデックスを含ませること；及び
モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送ることによって通信セッションのための信号を送ること。
【請求項２９】
通信システムにおいて信号キャリアを介して伝送される電気信号、前記電気信号は、下記を実行するためのコンピュータ読み取り可能な命令を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取ること；
通信セッションのデータ・パケットから第２のインデックスを受け取ること；及び
前記第１のインデックスと第２のインデックスとを比較することを含ませることによって前記通信セッションの措置のセットを実施すること。
【発明の詳細な説明】
【技術分野】
【０００１】
特許に関する本出願は、米国特許仮出願番号第６０／５８８，６６４号、名称“移動体ＩＰの同じ場所に配置された気付アドレスに対するベアラ制御に基づくサービス（Service Based Bearer Control for Mobile IP Co-located Care of Address）”、２００４年７月１５日出願、に優先権を主張し、そして本出願の譲受人に譲渡されそしてその全体が引用によってここに取り込まれている。
【０００２】
本発明は、一般にパケット・データ通信に係り、そして特に、パケット・データ通信の間のパケット・データ・フローをモニタすること及び制御することに関する。
【背景技術】
【０００３】
ネットワークを相互接続することは、情報が地理的な距離に無関係に迅速にアクセスされることをグローバルに可能にする。図１は、ネットワークのグローバルな接続の単純化した概要図を示し、一般にインターネットと呼ばれ参照番号２０によって表示されている。インターネット２０は、一緒にリンクされた異なるレベルの階層を有する本質的に複数のネットワークである。インターネット２０は、ＩＥＴＦ（Internet Engineering Task Force：インターネット技術タスク・フォース）によって公表されたＩＰ（Internet Protocol；インターネット・プロトコル）の下で運用される。ＩＰの詳細は、ＩＥＴＦによって発行されたＲＦＣ（Request for Comments：コメントの要請）７９１の中に見つけられることができる。
【０００４】
インターネット２０に接続されたものは、様々な独立したネットワークであり、ネットワークのサイズに応じて時にはＬＡＮ（Local Area Network：ローカル・エリア・ネットワーク）又はＷＡＮ（Wide Area Network：広域ネットワーク）と呼ばれる。図１に示されたものは、複数のそのようなネットワーク２２，２４及び２６である。
【０００５】
各々のネットワーク２２，２４及び２６の内部には、互いに接続されそして通信している装置の種々の部品がある。例は、少しだけ名前を上げると、コンピュータ、プリンタ、及びサーバである。装置の各部品は、固有のハードウェア・アドレスを有し、ＭＡＣ（Media Access Control：媒体アクセス制御）アドレスと一般に呼ばれる。ＭＡＣアドレスを有する装置の部品は、時にはノードと呼ばれる。ノードがインターネット２０を介して自分自身のネットワークを越えて通信する場合に、ＩＰアドレスがノードに指定される必要がある。
【０００６】
ＩＰアドレスの指定は、手動で又は自動であり得る。ＩＰアドレスの手動指定は、例えば、ネットワーク管理者によって実行されることができる。より頻繁に、ＩＰアドレスは、自動的に指定される。例えば、ＬＡＮにおいて、ＩＰアドレスは、ノードのＬＡＮの内部に存在しているＤＨＣＰ（Dynamic Host Control Protocol：ダイナミック・ホスト制御プロトコル）サーバ（図示されず）と呼ばれるサーバによって指定されることができる。その上、無線技術をサポートするＷＡＮにおいて、ＩＰアドレスは、自動的にそして遠隔で指定されることができる。
【０００７】
ここで図１に戻って、一例として、ネットワーク２２内のノード３０がネットワーク２４内の別の１つのノード３４にデータ・パケットを送ろうと試みると仮定する。ＩＰの下では、各データ・パケットは、ソース・アドレス及び宛て先アドレスを有することが必要である。このケースでは、ソース・アドレスは、ネットワーク２２内のノード３０のアドレスである。宛て先アドレスは、ネットワーク２４内のノード３４のアドレスである。その様な方法で運用されると、ノード３０及び３４は、単純ＩＰ搬送（Simple IP transport）モードの下で通信していると言われ、そこでは両方のノード３０及び３４は、ＩＰを符合させるためにデータ・パケットの交換の際にそれら自身のＩＰアドレスを単純に使用する。
【０００８】
無線技術の到来は、ノードが最初に登録したネットワークから別の１つのネットワークにノードが動いて離れることを可能にする。例えば、図１に戻って参照すると、ネットワーク２２に恒久的に配線される代わりに、ノード３０は、ＰＤＡ（Personal Device Assistant：個人デバイス補助装置）、セルラ電話機、又は携帯型コンピュータのような、無線デバイスであり得る。無線ノード３０は、自身のホーム・ネットワーク２２の境界を越えて移動できる。したがって、ノード３０は、ホーム・ネットワーク２２から外部のネットワーク２６に移動して離れることができる。そのようなシナリオの下で、ノード３０に指定された最初のアドレスは、それ以上ノード３０に適用できないはずである。そのようにして、ノード３０のそのアドレスに宛てられたデータ・パケットは、ノード３０に到達できないことがある。
【０００９】
ＩＥＴＦによって発表された移動体ＩＰ（Mobile Internet Protocol）は、ノード可動性問題を取り扱うように意図されている。ＩＥＴＦによって発行されたＲＦＣ２００２にしたがって、ホーム・ネットワーク２２から離れてそして別の１つのネットワークに移動する時はいつでも、ノード３０は、“気付アドレス”を指定され、ＣｏＡ（Care-of Address）と省略される。
【００１０】
ＲＦＣ２００２の下で、２つのタイプのＣｏＡ、すなわち、ＦＡ  ＣｏＡ（Foreign Agent Care-of Address：外部エージェント気付けアドレス）及びＣＣｏＡ（Co-located Care of Address：同じ場所に配置された気付けアドレス）、がある。
【００１１】
ＦＡ  ＣｏＡは、本質的にＦＡ（Foreign Agent：外部エージェント）のアドレスであり、ＦＡは、ノード３０がそこに位置している外部のネットワーク内の指定されたサーバである。ＦＡ  ＣｏＡの使用は、ＩＰｖ４において適用可能である。
【００１２】
ＣＣｏＡは、固有のものであるが、外部のネットワークによってノード３０に指定される臨時のアドレスである。ＣＣｏＡの使用は、ＩＰｖ４及びＩＰｖ６の両方に適用可能である。
【００１３】
いずれのケースでも、ノード３０が外部の領域にいるときはいつでも、ノード３０は、自分のホーム・ネットワーク２２とともに、ＦＡ  ＣｏＡ又はＣＣｏＡであるＣｏＡを登録する必要があり、その結果、ホーム・ネットワーク２２は、ノード３０の所在を常に知る。登録の後で、ＣｏＡは、ホーム・ネットワーク２２のＨＡ（Home Agent：ホーム・エージェント）２５と呼ばれる指定されたサーバによって維持管理されるルーチン・テーブルの中に記憶される。
【００１４】
説明のために２，３の例をあげる。
【００１５】
ＦＡ  ＣｏＡのケースに関して、ノード３０が外部のネットワーク２６の中へと移動すると仮定する。外部のネットワーク２６の領域の境界に到達すると、ノード３０は、ノード３０が外部の領域にいることを知らせる外部のネットワーク２６からの忠告メッセージを受け取る。忠告メッセージから、ノード３０は、外部のネットワーク２６のＦＡ３６のアドレスを知る。ノード３０は、それからホーム・ネットワーク２２内のＨＡ２５とともにＦＡ  ＣｏＡを登録する。
【００１６】
例えば、ネットワーク２４内のノード３４のアドレスを知っているネットワーク２４内のノード３４に、外部のネットワーク２６内のノード３０がデータ・パケットを送る場合に、データ・パケットは、簡単に送られることができる。すなわち、ＩＰにしたがって、データ・パケットにおいて、ソース・アドレスは、ノード３０のＨｏＡに設定されることができ、そして宛て先アドレスは、ネットワーク２４内のノード３４のアドレスに設定されることができる。データ・パケットの方向は、図１に示されたデータ・パス３８として示される。
【００１７】
逆方向データ・トラフィックに関して、簡単ではない。逆方向データ・ルートにおいて、ネットワーク２４内のノード３４が、上に述べたように現在は外部のネットワーク２６内にいるノード３０にデータ・パケットを送ろうと試みる場合に、ＩＰにしたがって、ソース・アドレス及び宛て先アドレスの両方が、データ・パケット内に具体的に示される必要がある。このケースでは、ソース・アドレスは、ネットワーク２４内のノード３４のＩＰアドレスである。宛て先アドレスに関して、ノード３０からの更新通知がなければ、ノード３４は、ノード３０のＨｏＡを知るだけであり、ノード３０のＦＡ  ＣｏＡを知らない。したがって、宛て先アドレスは、ノード３０のＨｏＡに設定される。それでも、ノード３０のＦＡ  ＣｏＡがホーム・ネットワーク２２内のＨＡ２５のルーティング・テーブル内に記憶されているので、データ・パケットがホーム・ネットワーク２２に到達した時に、ネットワーク２２のＨＡ２５は、記憶されているＦＡ  ＣｏＡを用いて受け取ったデータ・パケットをカプセル化し、そしてそれを外部のネットワーク２６内のノード３０に送る。すなわち、カプセル化されたデータ・パケットは、ＦＡ  ＣｏＡを宛て先アドレスとして利用する。一旦、外部のネットワーク２６がカプセル化されたデータ・パケットを受け取ると、ＦＡ３６は、カプセル化されたＦＡ  ＣｏＡを単に剥ぎ取り、そして移動ノード３０に本来のパケットを配信する。データ・パケットのルートは、図１にデータ・パス４０として示される。
【００１８】
しかも、パス３８及び４０のような、データ・パスが実際に複数回インターネット２０を通過することに注目すべきである。図１を不明確にしないために明確化の目的で、パスは、単にＨＡ２５及びＦＡ３６のような関係するサーバを通過するように示される。すなわち、データ・パス３８及び４０は、図１に示されたように論理パスとして示される。
【００１９】
上に記載されたような方法で運用されると、移動ノード３０は、ＦＡ  ＣｏＡを使用して移動体ＩＰトンネル・モードの下で対応ノード３４と通信していると言われる。
【００２０】
上記の例では、移動ノード３０が対応するノード９０から直接的にデータ・パケットを受け取るように見られるのではあるが、データ・トンネルは、ＨＡ２５を経由してノード３０と３４との間に存在すると言われる。トンネリング・モードを使用することの利点は、移動ノード３０がさらに別の１つの外部のネットワークに移動するときに、ホーム・ネットワーク２２に更新通知をする以外は、移動ノード３０が対応するノード３４に同様の通知を送る必要がないことである。したがって、対応するノード３４によって送られそして受け取られるデータは、連続しているように見える。
【００２１】
ＣＣｏＡのケースに関して、ノード３０がホーム・ネットワーク２２から移動して離れる場合に、ＦＡ  ＣｏＡを要請することの代わりに、ノード３０は、外部のネットワークからＣＣｏＡを代わりに要請できる。もし、ネットワーク２６が無線技術、例えば、ＴＩＡ／ＥＩＡ（Telecommunications Industry Associations/Electronic Industry Associations：電気通信工業協会／電子工業協会）及び３ＧＰＰ２（3rd Generation Partnership Project 2：第３世代パートナーシップ・プロジェクト２）によって公表されたｃｄｍａ２０００規格、をサポートするＷＡＮであれば、ＣＣｏＡは、例えば、ＰＤＳＮ（Packet Data Serving Node：パケット・データ・サービング・ノード）４１と移動ノード３０との間のＰＰＰ（Point-to-Point Protocol：２点間プロトコル）を介して外部のネットワーク２６によって遠隔で要請されることができそして指定されることができる。ＰＤＳＮ４１は、基本的に、ネットワーク２６の無線部分におけるデータ・トラフィックを取り扱いそして処理するネットワーク３６内のサーバである。しかしながら、外部のネットワーク２６によるＣＣｏＡの指定以外は、ノード３０は、前に述べたようにＦＡ３６のような外部のエージェントの全ての機能を実行する。再び、移動ノード３０は、ホーム・ネットワーク２２にＣＣｏＡを登録する必要がある。
【００２２】
例えば、ネットワーク２４内のノード３４と通信するために、ノード３０は、アドレスの２つのレイヤを有するデータ・パケットを送る。外側のレイヤでは、ソース・アドレスはＣＣｏＡに設定され、そして宛て先アドレスは、ＨＡ２５に設定される。内側のレイヤでは、ソース・アドレスは、ノード３０のＨｏＡであり、そして宛て先アドレスは、外部のネットワーク２４内のノード３４のアドレスである。動き回っているノード３０からデータ・パケットを受け取ると、ＨＡ２５は、外側のアドレス・レイヤを剥ぎ取り、そして内側アドレス・レイヤを用いてノード３４にデータ・パケットを送る。データ・パケットの論理パスは、図１にデータ・パス４２として示される。
【００２３】
逆方向データ・パスにおいて、すなわち、ノード３４がノード３０にデータ・パケットを送る場合に、データ・パケットは、ノード３４に設定されたソース・アドレス及びノード３０のＨｏＡに設定された宛て先アドレスを有するただ１つのアドレス・レイヤを有する。データ・パケットを受け取ると、ＨＡ２５は、宛て先アドレスとしてＣＣｏＡそしてソース・アドレスとしてＨＡ２５のアドレスを用いてデータ・パケットをカプセル化し、そしてノード３０にカプセル化されたデータ・パケットを送る。ノード３０は、ＦＡ３６を通ることなく自分自身で逆カプセル化することを実行する。データ・パケットの方向は、図１にデータ・パス４４として示される。
【００２４】
上に記載されたような方法で運用されることは、動き回っているノード３０がＣＣｏＡを使用する移動体ＩＰトンネリング・モードの下で対応ノード３４と通信していると言われる。
【００２５】
非常に多くの場合、複数のノード間のデータ通信は、種々の理由のためにモニタされそして制御される必要がある。例えば、移動ノード３０及び対応するノード３４がＶｏＩＰ（Voice over IP：ＩＰを介した音声）セッションにある場合に、関与しているパーティ、このケースでは移動ノード３０及び対応するノード３４が認可されていることが確定される必要がある。他のものの中で、各データ・パケットについて、ソース・アドレス、宛て先アドレス、及び宛て先ポートが確かめられる必要がある。もし、セッションが料金ベースであるならば、トラッキングするための手段は、アカウンティングの目的のために与えられる必要がある。機密保護及びプライバシーの理由のために、複数のノード間で交換されるデータ・パケットが暗号化されることは、一般的である。トランスポート・モードとトンネリング・モードとの下でのデータ・パケットに対する暗号化体系は、異なる。暗号化されたデータ・パケットをモニタすることは、したがって、特別の課題を持つ。しかも、共有ネットワークを介した機密保護されそしてプライベートな通信に対する要望が増加している。
【００２６】
したがって、暗号化されたデータ・フローを用いたパケット・データ通信のための機密保護されたモニタリング体系を提供する必要性がある。
【非特許文献１】ＲＦＣ（コメントの要請）７９１、ＩＥＴＦ発行
【非特許文献２】“第３世代パートナーシップ・プロジェクト；技術仕様書グループ・サービス及びシステム態様、ＩＰマルチメディア下位システム（ＩＭＳ），ステージ２（”３ＧＰＰ  ＴＳ  ２３．２２８
【非特許文献３】“第３世代パートナーシップ・プロジェクト；技術仕様書グループ・コア・ネットワーク、端から端までのサービスの品質（ＱｏＳ）シグナリング・フロー”３ＧＰＰ  ＴＳ  ２９．２０８
【非特許文献４】“ＩＰマルチメディア・システム、ステージ２”、３ＧＰＰ２  Ｘ．Ｓ００１３−００２及び３ＧＰＰ２  Ｘ．Ｐ００１３−０１２
【非特許文献５】“３ＧＰＰ２  ＭＭＤサービスに基づいたベアラ制御文書、進行中の作業”３ＧＰＰ２  Ｘ．Ｐ００１３−０１２
【非特許文献６】“ＳＩＰ及びＳＤＰに基づいたＩＰマルチメディア通話制御プロトコル、ステージ３” ３ＧＰＰ２  Ｘ．Ｐ００１３−０００４
【発明の概要】
【００２７】
機密保護及び機密性の理由のために、非常に多くの場合、データ・フローは、伝達するデータ・パケットを暗号化することで機密保護されて伝送される。時々、データ・フローは、データ・トラフィック制御のためのモニタリング中間手段を通してモニタされることが必要である。暗号化されたデータ・パケットは、ＳＰＩ（Secured Parameter Index：機密保護されたパラメータ・インデックス）を含み、ＳＰＩは、データ逆暗号化のためのＳＡ（Security Association：機密保護アソシエーション）を識別するために使用される。本発明の具体例の実施形態にしたがって、いずれかの正式のデータ・トラフィックを確立する前に互いに通信を得ようとしている複数のノードは、モニタの中間手段を経由してシグナリング・メッセージ中にＳＰＩを最初に送る。その後で、モニタリング中間手段は、データ・パケットから抽出されたＳＰＩとシグナリング・メッセージからのＳＰＩを符合させる。データ・トラフィック制御の間に、もしＳＰＩの符号が見出されれば、モニタリング中間手段は、データ・フローが通過することを認める。それ以外は、データ・フローは、拒絶される。
【００２８】
取り決められたように運用されると、モニタリング中間手段（monitoring intermediary）は、それによってデータ・トラフィック制御を比較的速やかに実施できる。
【００２９】
これらのそして他の特徴及び利点は、添付した図面とともに以下の詳細な説明から当業者に明確になるであろう。図面では、同じ参照符号は類似の部分を参照する。
【図面の簡単な説明】
【００３０】
【図１】図１は、ネットワークのグローバル接続の概略図である。
【図２】図２は、本発明の１実施形態を示している概略図である。
【図３】図３は、暗号化されていないデータ・パケット及び暗号化されたデータ・パケットの種々のフォーマットの概略図である。
【図４】図４は、本発明の実施形態にしたがって開始シグナリングのため及びコンテント・トラフィックを確立するためのステップを示すフローチャートである。
【図５】図５は、本発明にしたがって構成された移動体ノードの回路の概略図である。
【図６】図６は、本発明にしたがったモニタリング中間手段の回路の概略図である。
【詳細な説明】
【００３１】
以下の記載は、いずれかの当業者が本発明を作成しそして使用することを可能にするために提示される。詳細は、説明の目的のために以下の記載に述べられる。当業者は、本発明がこれらの具体的な詳細を使用することなく実行できることを理解するはずである。別の事例では、周知の構造及びプロセスが、不必要な詳細を用いて本発明の記載を不明瞭にしないために詳しくは述べられない。それゆえ、本発明は、示された実施形態によって制限されることを意図したのではなく、本明細書中に開示した原理及び特徴と整合する最も広い範囲に一致すべきである。
【００３２】
以下に記載される実施形態は、第３世代パートナーシップ・プロジェクト（３ＧＰＰ）及び第３世代パートナーシップ・プロジェクト２（３ＧＰＰ２）によって公表されたＩＭＳ／ＭＭＤ（IP Multimedia Subsystem/Multimedia Domain：ＩＰマルチメディア・サブシステム／マルチメディア・ドメイン）規格にしたがって動作可能である。ＩＭＳ／ＭＭＤの一般的な考察は、出版された文書、題名“第３世代パートナーシップ・プロジェクト；技術仕様グループ・サービス及びシステム態様、ＩＰマルチメディア・サブシステム（ＩＭＳ），ステージ２（3rd Generation Partnership Project: Technical Specification Group Services and System Aspects, IP Multimedia Subsystem (IMS), Stage 2）”３ＧＰＰ  ＴＳ  ２３．２２８、“第３世代パートナーシップ・プロジェクト；技術仕様グループ・コア・ネットワーク、端から端までのサービスの品質（ＱｏＳ）シグナリング・フロー（3rd Generation Partnership Project: Technical Specification Group Core Network, End-to-End Quality of Service (QoS) Signaling Flows）”３ＧＰＰ  ＴＳ  ２９．２０８、及び“ＩＰマルチメディア・システム、ステージ２（IP Multimedia System, Stage 2）”、３ＧＰＰ２  Ｘ．Ｓ００１３−００２及び３ＧＰＰ２  Ｘ．Ｐ００１３−０１２に見出されることができる。
【００３３】
ＩＭＳは、多様な規格、例えば、ｃｄｍａ２０００、ＷＣＤＭＡ（Wideband Code Division Multiple Access：広帯域コード分割多元接続）、ＧＰＲＳ（General Packet Radio Service：汎用パケット無線サービス）、及び各種の他のＷＡＮ、に適用可能である。
【００３４】
参照は、ここで図２に向けられ、それは本発明の具体例の実施形態を概略的に示す。全体のシステムは、参照符号５０によって示され、それはイントラネット又はインターネットのような、バックボーン・ネットワーク５２を含む。
【００３５】
例として、図２に示されたように、バックボーン・ネットワーク５２に接続されているものは、他のネットワークの中で、ＨＮ（Home Network：ホーム・ネットワーク）５４、ＦＮ（Foreign Network；外部のネットワーク）５６、及びＲＮ（Remote Network：遠隔ネットワーク）５８である。
【００３６】
ＨＮ５４内に、ＨＡ（Home Agent：ホーム・エージェント）６２があり、それはＨＮ５４内部のデータ・トラフィックを管理すること、そして同様に入ってくる経路及び出てゆく経路に関するＨＮ５４のデータ・トラフィックを制御するために管理する義務を負う。もし、ＨＮ５４が無線技術をサポートするのであれば、通常、ＰＤＳＮ（Packet Data Serving Node：パケット・データ・サービング・ノード）６４に接続されそしてインストールされたＲＡＮ（Radio Access Network：無線接続ネットワーク）５５がある。例えば、ＲＡＮ５５がｃｄｍａ２０００規格の下で動作するのであれば、ＲＡＮ５５は、一般に少なくとも１つのＢＳＣ（Base Station Controller：基地局コントローラ）及び複数のＢＳ（Base Station：基地局）を含む。本質的にＰＤＳＮ６４は、バックボーン・ネットワーク５２とＲＡＮ５５との間のアクセス・ゲートウェイである。
【００３７】
各種のＩＭＳ／ＭＭＤ機能及び特徴を実行するために、サービス・プロバイダは、ＨＮ５４内の異なるサーバにインストールされる。そのようなサーバの例は、Ｐ−ＣＳＣＦ（Proxy Call State Session Function：プロクシ呼び出し状態セッション機能）７０、及びＳ−ＣＳＣＦ（Serving Call State Session Function：サービング呼び出し状態セッション機能）７２を含む。これらのサーバの機能的な説明は、システム５０の動作上の説明とともに後で図示される。
【００３８】
上に説明されたノードに加えて、ＨＮ５４の内部に別のノードがあるが、明確化の目的のために示されない。そのようなノードは、種々のタイプのコンピュータ、プリンタ、移動可能である又は移動可能でないことがある任意の他のデバイスであり得る。
【００３９】
図２に示されたものは、バックボーン・ネットワーク５２に接続されたＦＮ５６及びＲＮ５８である。さらに、説明の単純化のためにそして容易にするために、ＦＮ５６及びＲＮ５８は、ＨＮ５４に多少なりとも類似するように図示されている。使用に応じて、ＦＮ５６及びＲＮ５８は、全く異なるように構成されることができる。したがって、このケースでは、ＦＮ５６は、他のものの中で、ＦＡ（Foreign Agent：外部のエージェント）６６、ＲＡＮ７６、ＰＤＳＮ６８、Ｐ−ＣＳＣＦ７１、及びＰＣＲＦ（Policy and Charging Rule Function：ポリシー及びチャージング・ルール機能）７５を同様に含む。同じく、ＲＮ５８は、他のものの中で、ＰＤＳＮ７８、Ｐ−ＣＳＣＦ８０、Ｓ−ＣＳＣＦ８２及びＰＣＲＦ８４を同様に含む。
【００４０】
図２において、ＦＮ５６内のＦＡ６６及びＰＤＳＮ６８は、別々のエンティティとして示されている。非常に多くの場合、ＦＡ６６とＰＤＳＮ６８は、１つのユニットとして統合される。
【００４１】
システム５０内には、ＭＮ（Mobile Node：移動体ノード）６０があり、それは、ＨｏＡ（Home Address：ホーム・アドレス）を有するＨＮ５４内のＨＡ６２を用いて最初に登録される。ＭＮ６０は、ＦＮ５６のような他の外部のネットワークに移動することができ、そしてＦＮ５６を介してバックボーン・ネットワーク５２へのアクセス又は移動体ＩＰ（Mobile Internet Protocol：移動体インターネット・プロトコル）の下で別のネットワークへのアクセスを得ることができる。実際にはＭＮ６０は、例えば、ＰＤＡ（Personal Digital Assistant：個人ディジタル補助装置）、ラップトップ・コンピュータ、又は移動電話機、の形式であり得る。
【００４２】
ＭＮ６０がＦＮ５６に移動して入ると仮定する。この具体的な例では、ＭＮ６０のユーザがＲＮ５８内のＣＮ（Corresponding Node：対応ノード）９０を運用している別の１つのユーザとテレビ会議セッションを持つことを望むと仮定する。ノード９０は、移動可能である又は移動しないことがある。
【００４３】
ＦＮの境界に到達すると、ＭＮ６０は、ＦＮ５６による通知を介してＦＡ６６のアドレスを取得する。ＭＮ６０は、その後、ＨＮ５４内のＨＡ６２を用いてＦＡ  ＣｏＡを登録する、その結果、ＨＡ６２は、ＭＮ６０の所在地を追跡観測し続けることができる。代案として、ＭＮ６０は、ＦＡ６６からＣＣｏＡを要請できる。ＭＮ６０は、その後、同じ理由のためにＨＡ６２を用いてＣＣｏＡを同様に登録する、すなわち、ＨＡ６２がＭＮ６０との連絡を維持することを可能にする。
【００４４】
いずれかの通信トラフィックを確立する前に、ＭＮ６０は、シグナリング・プロセスを通過する必要がある。この目的を達成するために、ＭＮ６０は、後で説明されるように中間手段を介してＣＮ９０に勧誘メッセージを送る。同様に、ＣＮ９０は、応答シグナリング・プロセスで勧誘メッセージを受領通知する必要がある。
【００４５】
この例では、ＭＮ６０は、ＨＮ５４内のＨＡ６２によって最初に指定されたＨｏＡを使用して、ＨＮ５４内のＳ−ＣＳＣＦ７２を含んでいるＳＩＰ（Session Initiation Protocol：セッション開始プロトコル）のアクセスのためにＨＮ５４内のＳ−ＣＳＣＦ７２を登録する。
【００４６】
ＭＮ６０は、それからＨＮ５４内のＰ−ＣＳＣＦ７０にＳＩＰ  ＩＮＶＩＴＥメッセージを送る。実際の動作では、全ての他のデータ・トラフィックを用いるように、ＳＩＰ  ＩＮＶＩＴＥメッセージは、Ｐ−ＣＳＣＦ７０に到達する前に、ＲＡＮ７６、ＰＤＳＮ６８、ＦＡ６６、バックボーン・ネットワーク５２、及びＨＡ６２を最初に通ることに、注意すべきである。その上、同様にこの技術において周知であるように、データ・トラフィックは、システム５０を通って移動する信号キャリアを介した電気信号の形式である。上に図示されたものと同様の方法で明らかにする目的のために、データ・トラフィックは、論理パスとして単純に図示される。すなわち、以下の記載では、具体的に強調しない限り、データ・トラフィックの論理パスだけが記載される。
【００４７】
ＭＮ６０がＦＮ５６内のＰ−ＣＳＣＦ７１にＳＩＰ  ＩＮＶＩＴＥメッセージを送ることができ、代案として会議セッションを開始できることは、さらに注目されるべきである。すなわち、シグナリングのためにＨＮ５４内のＳＩＰネットワークを使用する代わりに、ＭＮ６０は、代替物としてＦＮ５６内のＳＩＰネットワークを使用できる。説明の整合性及び明確化のために、以下の記載では、ＨＮ５４内のＳＩＰネットワークがシグナリング・プロセスのために使用される。
【００４８】
テレビ会議セッションが専用のセッションであるように意図されると仮定する。それとして、ＭＮ６０とＣＮ９０との間で交換されるデータ・パケットは、一般に行われるように暗号化される。
【００４９】
このつなぎ目で、一般的なＩＰ機密保護を説明することそして特に暗号化されていないデータ・パケットと暗号化されたデータ・パケットとの間の相違をさらに説明する余談を行うことは有効である。
【００５０】
ＩＰの下で、データ・パケットは、ＩＰＳｅｃ（Internet Protocol Security：インターネット・プロトコル機密保護）にしたがって暗号化され、ＩＰＳｅｃは、データ機密性、完全性及び複数の関与しているパーティ間の認証に関する種々の規格を有する機密保護プロトコルである。ＩＰＳｅｃの詳細は、ＲＦＣ２４０１，２４１２、及び２４５１の中に見出されることができる。
【００５１】
ＩＰＳｅｃにしたがって、機密保護された通信を得ようとしている通信ノードは、まず事前に、ＳＡ（Security Association：機密保護アソシエーション）と呼ばれる、機密保護パラメータのセットに合意することが必要である。ＳＡは、他のものの中で、暗号化アルゴリズム、認証アルゴリズム、暗号化キー、及び認証キーを含むことができる。したがって、合意の後で、ＳＡは、機密保護された通信セッションを要請する各々のノードに記憶される。一般的なＳＡは、各データ・パケットとともに送信されるＳＰＩ（Security Parameter Index：機密保護パラメータ・インデックス）によって識別可能である。任意の機密保護された通信セッションの間に、受け取りノードは、任意のデータ・パケットからＳＰＩを常に抽出でき、そして逆暗号化のために記憶されたＳＡを呼び出すことができる。一般的な暗号化アルゴリズム及び暗号化キーを有するＳＡは、受け取りノードが暗号化されたデータ・パケットを逆暗号化することを可能にする。
【００５２】
図３に示されたものは、暗号化されたデータ・パケット及び暗号化されていないデータ・パケットの異なる形式である。
【００５３】
参照符号１００は、一般的な暗号化される前のデータ・パケットを表す。データ・パケット１００は、ＩＰヘッダ１０２を含み、それは、ＩＰの下で必要とされるように、パケット１００のソース・アドレス及び宛て先アドレスのような情報を記憶する。ＩＰヘッダ１０２に隣接しているものは、レイヤ−４ヘッダ１０４である。レイヤ４は、トランスポート・レイヤであり、それはデータ・パケット１００がＴＣＰ（Transport Control Protocol：トランスポート制御プロトコル）にしたがっているかＵＤＰ（User Datagram Protocol：ユーザ・データグラム・プロトコル）にしたがっているかどうかに関する情報を含む。ＴＣＰ及びＵＤＰの詳細は、それぞれＲＦＣ７９３及びＲＦＣ７６８に見出されることができる。レイヤ−４ヘッダ１０４は、そのようにして最低でもパケット１００がＴＣＰパケットであるかＵＤＰパケットであるかどうかを識別し、そしてさらにソース・ポート及び宛て先ポートの位置を含む。宛て先ポートに関する情報は、モニタリング中間手段にとって必須であり、データ・モニタリングの自身の責務を遂行する。レイヤ−４ヘッダ１０４に隣接するものは、データ・パケット１００によって搬送されるペイロード・データ１０６である。
【００５４】
参照符号１０８は、トランスポート・モード下での暗号化されたデータ・パケットを表示する。ハッチングした部分は、暗号化を受けるデータ領域を示す。データ・パケット１０８は、暗号化されていないパケット１００のそれと同じＩＰヘッダ１０２を同様に含む。しかしながら、暗号化されたパケット１００のレイヤ−４ヘッダ１０４Ａ及びペイロード・データ１０６Ａは、暗号化されていないデータ・パケット１００の対応するレイヤ−４ヘッダ１０４及びペイロード・データ１０６の暗号化された対応部分である。データ・パケット１０８の中で、ＩＰヘッダ１０２とレイヤ−４ヘッダ１０４Ａとの間に配置されたものは、ＥＳＰ（Encapsulating Security Payload：カプセル化機密保護ペイロード）ヘッダ１１０である。ＥＳＰヘッダ１１０は、ＳＰＩを含み、それは前に述べたようにデータ・パケット１０８を逆暗号化するために事前に取り決められたアルゴリズムを用いてＳＡを識別するために使用されることができる。データ・パケット１０８の終わりにあるものは、ＥＳＰトレーラ１１２及び認証データ１１４である。ＥＳＰトレーラ１１２は、他のものの中で、次のＥＳＰヘッダを識別するための情報を含む。もし、いずれかの認証プロトコルが実行されるのであれば、認証データ・セグメント１１４は、そのような目的のための情報を有する。
【００５５】
参照符号１１８は、ＩＰＳｅｃにしたがってトンネリング・モード下での暗号化されたデータ・パケットを表示する。データ・パケット１１８では、基本的に、暗号化されそしてパケット１１８にカプセル化される暗号化される前のパケット１００である。それゆえ、パケット・セグメントＩＰヘッダ１０２Ｂ、レイヤ−４ヘッダ１０４Ｂ，及びペイロード・データ１０６Ｂは、最初のパケット１１０の対応するセグメントの情報を含む。パケット１１８のフロントＩＰヘッダ１０２は、しかしながら、ＩＰヘッダ１０２Ｂの内容とは異なる内容を有する。例えば、ＩＰヘッダ１２０は、トンネルの外側レイヤ・アドレスを含み、そしてＩＰヘッダ１０２Ｂは、トンネルの内側レイヤ・アドレスを有する。ＩＰヘッダ１２０に隣接するものは、ＥＳＰヘッダ１１０であり、それはデータ・パケット１０８内のＥＳＰヘッダ１１０のそれと本質的に同じである。すなわち、ＥＳＰヘッダ１１０は、データ・パケット１１８を逆暗号化するために事前に取り決められたアルゴリズムを有するＳＡを識別するためのＳＰＩを含む。ＥＳＰトレーラ１１２及び認証データ１１４は、パケット１０８のそれと実質的に同じである。
【００５６】
ＩＰｖ６の下で、各々のパケット１０８、１００及び１１８内のＩＰヘッダ１０２の後に、データ・パケット１０８、１００又は１１８がオーディオ・パケットであるか又はビデオ・パケットであるかどうかを識別する情報を含んでいる“フロー・ラベル”と呼ばれるオプションのヘッダがある。フロー・ラベル・ヘッダは、簡潔さ及び簡明さの理由のために図３には示されない。
【００５７】
図３に見られるように、データ・パケット１０８の中で、レイヤ−４ヘッダ１０４Ａは、暗号化される。その意味で、モニタの中間手段は、パケット１０８が、例えば、ＴＣＰパケットであるか又はＵＤＰパケットであるかどうかを識別できない。特に、レイヤ−４ヘッダ１０４Ａは、宛て先ポートに関する情報を含み、しかも容易には利用できない。いずれかのモニタの中間手段は、宛て先ポートについてのいずれかの情報なしに、どのデータもモニタすることを実行できない。
【００５８】
そのうえ、データ・パケット１１８内で、レイヤ−４ヘッダ１０４Ｂの暗号化に加えて、ＩＰヘッダ１０２Ｂも同様に暗号化される。レイヤ−４ヘッダ１０４Ｂからの情報なしに、モニタリング中間手段は、さらに、例えば、データ・パケット１１８の内側レイヤ・アドレスを知ることができない。その結果、データ・パケット１１８は、モニタされることが不可能である。
【００５９】
前に述べたように、データ・パケット１０８及び１１８に埋め込まれたものは、ＳＰＩであり、それはデータ暗号化のための関係するＳＡを識別するために使用されることができる。しかしながら、本実施形態では、ＳＰＩは、暗号化されたデータ・パケット１０８又は１１８に関係する固有の宛て先ポートを暗黙のうちに識別するためそして対応させるために同様に使用される。より詳しくは、暗号化されたデータ・パケット１０８又は１１８において、それぞれのＥＳＰヘッダ１１０内の各ＳＰＩは、固有のデータ・フローそしてさらに宛て先ポートの身元に対応する。データ・フローは、順番にフローが、例えば、オーディオ・フローであるか又はビデオ・フローであるかどうかによって特徴付けられる。具体例の実施形態にしたがって、ＳＰＩは、最初のシグナリング・プロセスの間に通過して直接送られそしてモニタリング中間手段に最終的に到着する。データ・モニタリングの間に、モニタリング中間手段は、シグナリング・プロセスの間に得られたＳＰＩを暗号化されたデータ・パケットから抽出された対応するＳＰＩに単に符合させる必要がある。もし、符合が見出されれば、特定のフロー、すなわち、そのフローが暗号化されたデータ・パケットの宛て先ポートに加えてオーディオであるか又はビデオであるかどうかが、そのようにして暗黙のうちに識別されることができる。
【００６０】
参照は、ここで図２に戻る。テレビ会議セッションを開始するために、ＭＮ６０は、以前に説明されたように、ＳＩＰネットワークを経由してＳＩＰ  ＩＮＶＩＴＥメッセージを送る。ＳＩＰ  ＩＮＶＩＴＥメッセージは、ＳＤＰ（Session Description Protocol：セッション説明プロトコル）と呼ばれる説明部分を含み、ＳＤＰは、本質において要請されたテレビ会議セッションの適正な実行のための基本的な要求を説明する。例えば、ＳＤＰ内に含まれたものは、ＭＮ６０のポート番号及びＩＰアドレス、そしてセッションのためのコーデック仕様である。さらに重要なことに、本実施形態では、ＳＤＰは、ＭＮ６０によって使用されるべきＳＰＩを含む。通信セッションがテレビ会議セッションであるこの例では、２つのＳＰＩが必要である、すなわち、１つはビデオ・フローに対してでありそして他はオーディオ・フローに対してである。前に述べたように、各ＳＰＩは、特定のデータ・フローに対応し、それは順番に特定の宛て先ポートに一義的に関係付けられる。繰り返すと、データ・モニタリングの間に、もし、ＳＩＰ  ＩＮＶＩＴＥメッセージに含まれるＳＰＩがベアラ・トラフィックのデータ・パケットから抽出されたＳＰＩと符合するのであれば、宛て先ポートは、暗黙のうちに識別されることができる。ベアラ・トラフィックは、会議セッションのオーディオ信号及びビデオ信号の内容のフローである。ソース・アドレス及び宛て先アドレスとともに、宛て先ポート・アドレスの認識で、データ・モニタリング中間手段は、データ・モニタリングの自身の責務を果たすことができる。
【００６１】
ここで図２に戻って、ＨＮ５４内のＰ−ＣＳＣＦ７０は、コール・セッション管理の責務を引き受けるノードである。ＳＩＰ  ＩＮＶＩＴＥメッセージを受け取ると、Ｐ−ＣＳＣＦ７０は、ＳＩＰ  ＩＮＶＩＴＥメッセージをＨＮ５４内のＳ−ＣＳＣＦ７２に転送する。Ｃ−ＣＳＣＦ７２は、受理を要請するためにＳＩＰ  ＩＮＶＩＴＥメッセージをＲＮ５８に順番に送る。
【００６２】
ＨＮ５４内のＳ−ＣＳＣＦ７２によるセッションの承認そしてＲＮ５８内のＣＮ９０による会議セッションの受理で、Ｐ−ＣＳＣＦ７０は、次に課金ルール、認可されたＱｏＳ（Quality of Service：サービスの品質）及びＨＮ５４内のＰＣＲＦ７４へのフロー識別子のような、措置（policy）に関係する情報を送る。
【００６３】
同時に、すなわち、ＣＮ９０による受理の後で、ＭＮ６０は、ベアラ・トラフィックを設定するためにＦＮ５６内のＰＤＳＮ６８への要請されたＱｏＳとともに、ＴＦＴ（Traffic Flow Template：トラフィック・フロー・テンプレート）を送る。
【００６４】
ＰＤＳＮ６８は、その後、前に述べたように同じ措置に関係する情報を要請する、すなわち、認可されたＱｏＳ、課金ルール、及びＦＮ５６内のＰＣＲＦ７５からの会議セッションのためのフロー識別子である。ＰＣＲＦ７５は、その後、ＨＮ５４内のＰＣＲＦ７４に要請を中継し、そしてフローのための前述のパラメータを取得する。ＰＣＲＦ７５によって許可されたどのパラメータも、ある種の指示された措置に適合する必要がある。そのような措置は、ＩＭＳ／ＭＭＤの下で規定された規則、複数のネットワーク間の特定の取り決め、例えば、ベアラ・トラフィックの取り扱いに関係するＨＮ５４とＦＮ５６との間の取り決め、ネットワークに固有の措置、例えば、ＦＮ５６にだけ固有の措置、を含むことができる。もし、要請された会議セッションが料金ベースであれば、措置は、料金請求の目的のためにある種のトラッキング手順を含むことができる。特に、認可されていないトラフィックは、遮られる。措置の実施は、ＩＭＳ／ＭＭＤ規格の下でＳＢＢＣ（Service Based Bearer Control：サービスに基づいたベアラ制御）と呼ばれる。
【００６５】
ＳＢＢＣの動作上の詳細は、題名“３ＧＰＰ２  ＭＭＤサービスに基づいたベアラ制御文書、進行中の作業（3GPP2 MMD Service Based Bearer Control Document, Work in Progress）”３ＧＰＰ２  Ｘ．Ｐ００１３−０１２、の文書中に見つけることができる。ＳＤＰの記載は、題名“ＳＩＰ及びＳＤＰに基づいたＩＰマルチメディア通話制御プロトコル、ステージ３（IP Multimedia Call Control Protocol Based on SIP and SDP, Stage3）” ３ＧＰＰ２  Ｘ．Ｐ００１３−０００４、の文書中に見つけることができる。
【００６６】
ＦＮ５６内のＰＣＲＦ７５は、全ての課せられた措置の判断のためにインストールされる。判断プロセスにおいて、ＰＣＲＦ７５は、ＨＮ５４内のＰＣＲＦ７４とＦＮ５６中のＰＤＳＮ６８との間に挿入される。その上、ＰＤＳＮ６８とＰＣＲＦ７５との間に挿入されたＴｙインターフェース９２がある。同様に、図２に示されたように、ＨＮ５４内のＰＣＲＦ７４とＰ−ＣＳＣＦ７０との間に配置されたＴｘインターフェース９４がある。前述のＴｙインターフェース及びＴｘインターフェースは、会議セッションとベアラ・トラフィックとの間の措置制御のために使用される。Ｔｙインターフェース及びＴｘインターフェースの詳細は、文書、３ＧＰＰによって発行された３ＧＰＰ  ＴＳ  ２３．１０７、及び３ＧＰＰ２によって発行された３ＧＰＰ２  Ｘ．Ｐ００１３−０１２、の中に見つけることができる。
【００６７】
ここで図２に戻って、ＳＩＰ  ＩＮＶＩＴＥメッセージ中に述べられる要請されたセッション・パラメータは、もし認可されていれば、ＨＮ５４のＰＣＲＦ７４及びＦＮ５６のＰＣＲＦ７５を介してＰ−ＣＳＣＦ７０からＰＤＳＮ６８に渡される。
【００６８】
この実施形態では、ＣＮ９０は、ＲＮ５８によって指定されるＣＣｏＡを有すると想定される。それゆえ、ＳＩＰ  ＩＮＶＩＴＥメッセージを受け取ると、ＣＮ９０は、ＳＩＰ２００ＯＫメッセージで応答を返す。ＳＩＰ２００ＯＫメッセージは、当初のＳＩＰ  ＩＮＶＩＴＥメッセージのパラメータを基本的に再確認する。その上、本実施形態では、ＣＮ９０は、同様に、ベアラ・トラフィックのためにＣＮ９０によって使用されるべきＳＰＩをＳＩＰ２００ＯＫメッセージのＳＤＰ中に含む。ＳＩＰ２００ＯＫは、ＳＩＰ  ＩＮＶＩＴＥメッセージと同じデータ・パスにしたがうが、逆の順番である。
【００６９】
ＭＮ６０は、それから当初のＳＩＰ  ＩＮＶＩＴＥメッセージと同じデータ・パスに沿って受領通知メッセージ（ＡＣＫ）を送り返すことによってＳＩＰ２００ＯＫメッセージの受け取りを確認する。
【００７０】
ベアラ・トラフィックは、その後で、ＳＩＰ  ＩＮＶＩＴＥメッセージ中に述べられたように認可されたパラメータにしたがってＦＮ５６内のＰＤＳＮ６８によって設定されるように準備ができる。
【００７１】
上に述べたように、ＩＭＳ／ＭＭＤ規格の下で、ベアラ・トラフィックは、ネットワークによってＳＢＢＣを介してモニタされそして制御される必要がある。この例では、ＦＮ５６内のＰＣＲＦ７５によって管理されるＰＤＳＮ６８は、ＳＢＢＣが上記のように措置に適合するように実施する責務を仮定する。
【００７２】
ＳＢＢＣ実施の間に、各データ・パケットは、通過することを許可される前に選別される必要がある。ベアラ・トラフィックのデータ・パケットが前に述べたように暗号化されるので、宛て先ポートの身元のような複数の必須の情報が、容易にそして都合よく利用できないことである。本実施形態では、上に述べたように、ＰＤＳＮ６８は、初期のシグナリング・プロセスの間にＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージから効果的に事前にデータ・フローのＳＰＩの情報を有する。動作の際に、ＰＤＳＮ６８は、各データ・パケットからＳＢＢＣのために必要な本質的な情報、例えば、ソース・アドレス及び宛て先アドレス並びにデータ・フローを暗黙のうちに識別するＳＰＩを抽出する、そしてもし、その情報がシグナリング・プロセスから得られた対応する情報と符合するのであれば、そのデータ・パケットは、ＳＢＢＣ実施の一部として通過することを許可される。一方で、もし符合しないのであれば、そのデータ・パケットは、ＳＢＢＣに失敗したと言われそして落とされる。
【００７３】
上に説明されたような方法で、すなわち、シグナリング・メッセージのＳＤＰ中に含まれるＳＰＩを用いて動作すると、ＰＤＳＮ６８は、要請されたテレビ会議セッションの暗号化されたデータ・トラフィックのためのＳＢＢＣを迅速に実施できる。ＳＢＢＣの実施は、ＭＮ６０とＣＮ９０との間のセッションが終了するまで続けられる。
【００７４】
上に述べられたプロセスは、図４のフローチャートに示される。
【００７５】
図５は、本発明にしたがって参照符号１２１によって表示された移動体ノード装置のハードウェア・インプリメンテーションの一部を模式的に示す。装置１２１は、例えば、ラップトップ・コンピュータ、ＰＤＡ、又はセルラ電話機のような、種々のデバイスに組み入れられそして取り込まれることができる。
【００７６】
装置１２１は、複数の回路を一緒にリンクさせる中央データ・バス１２２を備える。回路は、ＣＰＵ（Central Processing Unit：中央処理装置）すなわちコントローラ１２４、受信回路１２６、送信回路１２８、及びメモリ・ユニット１３０を含む。
【００７７】
受信回路及び送信回路１２６及び１２８は、図には示されていないがＲＦ（Radio Frequency：無線周波数）回路に接続されることができる。受信回路１２６は、受け取った信号をデータ・バス１２２に送り出す前に処理しそしてバッファする。一方で、送信回路１２８は、デバイス１２１から送られる前にデータ・バス１２２からのデータを処理しそしてバッファする。ＣＰＵ／コントローラ１２４は、データ・バス１２２のデータ管理の機能を実行し、そしてメモリ・ユニット１３０内の命令的なコンテントを実行することを含む一般的なデータ処理の機能をさらに実行する。
【００７８】
メモリ・ユニット１３０は、参照符号１３１によって一般的に表示される命令のセットを含む。この実施形態では、命令は、他のものの中で、移動体ＩＰクライアント１３２及びＳＩＰクライアント１３４のような部分を含む。ＳＩＰクライアント１３４は、前に説明されたように本発明にしたがって命令的なセットを含む。移動体ＩＰクライアント１３２は、装置１２１がＩＰ及び移動体ＩＰの下で動作することを可能にするため、これも上に説明されたように、例えば、通信の各種のモードに対する種々のタイプのアドレスを取得するための命令のセットを含む。
【００７９】
この実施形態では、メモリ・ユニット１３０は、ＲＡＭ（Random Access Memory：ランダム・アクセス・メモリ）回路である。具体例の命令部分１３２及び１３４は、ソフトウェア・ルーチン又はソフトウェア・モジュールである。メモリ・ユニット１３０は、別の１つのメモリ・ユニット（図示せず）に結び付けられることができ、それは、揮発性タイプ又は不揮発性タイプのどちらかであり得る。代案として、メモリ・ユニット１３０は、別の回路タイプ、例えば、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory：電気的消去プログラム可能な読み出し専用メモリ）、ＥＰＲＯＭ（Electrically Programmable Read Only Memory：電気的プログラム可能な読み出し専用メモリ）、ＲＯＭ（Read Only Memory：読み出し専用メモリ）磁気ディスク、光ディスク、及びこの分野において周知の他のものからなることができる。
【００８０】
図６は、本発明にしたがったＰＤＳＮ装置のハードウェア・インプリメンテーションの一部を模式的に示し、そして、参照符号１４０によって示される。ＰＤＳＮ装置１４０は、ＣＰＵ（中央処理装置）すなわちコントローラ１４４、受信回路１４６、送信回路１４８、データベース記憶ユニット１４９及びメモリ・ユニット１５０を含む。
【００８１】
受信回路及び送信回路１４６及び１４８は、ＰＤＳＮ装置１４０がリンクされているネットワーク・データ・バス（図示せず）に接続されることができる。受信回路１４６は、内部データ・バス１４２に転送する前に、ネットワーク・データ・バス（図示せず）から受け取った信号を処理しそしてバッファする。送信回路１４８は、装置１４０から送り出す前にデータ・バス１４２からのデータを処理しそしてバッファする。ＣＰＵ／コントローラ１４４は、データ・バス１４２のデータ管理及びメモリ・ユニット１５０の命令コンテントを実行することを含む総合的なデータ処理の機能に関する責務を実行する。データベース記憶ユニット１４９は、それらの種々のパラメータとともにＳＡのようなデータ記録を記憶する。
【００８２】
メモリ・ユニット１５０は、参照符号１５４によって一般的に表示された命令のセットを含む。この実施形態では、命令は、他のものの中で、ＰＤＳＮ機能１５６及びＳＢＢＣ機能１５８の一部を含む。メモリ・ユニットは、上に述べたようなメモリ回路タイプからなることができ、そしてさらに繰り返さない。ＰＤＳＮ機能及びＳＢＢＣ機能は１５６及び１５８は、前に説明されたように本発明にしたがった命令セットを含む。
【００８３】
最後に、本実施形態に記載されたものは、ＣＣｏＡを使用する移動体ＩＰの下で動作しているＭＮ６０である。前に述べられたように、ＭＮ６０は、通信の別のモードの下で上手く動作することができ、そして別のタイプのアドレスを仮定することができる。例えば、複数の代案のうちの一例として、ＭＮ６０は、ＦＡ  ＣｏＡを使用することができ、そして移動体ＩＰトンネリング・モードの下でＣＮ９０と通信できる。それに加えて、本実施形態に記載されたものは、暗号化がＭＮ６０とＣＮ９０との間で双方向に適用されることである。データ暗号化が、双方向の代わりに一方向だけに適用されることも可能である。その上、記載されたように、ノード６０は、外部のネットワークに動き回る移動デバイスとして図示されている。ノード６０が固定され得ることが理解されるはずである。それに加えて、本実施形態に関連して記載されたいずれかの論理ブロック、回路、及びアルゴリズム・ステップは、ハードウェア、ソフトウェア、ファームウェア、又はその組み合わせで与えられることができる。形状及び詳細における論理の変更及びその他の変更が本発明の範囲及び精神から逸脱することなくその中で行われ得ることが、当業者によって理解される。
【図１】
2011091833.tif 000003
【図２】
2011091833.tif 000004
【図３】
2011091833.tif 000005
【図４】
2011091833.tif 000006
【図５】
2011091833.tif 000007
【図６】
2011091833.tif 000008
【手続補正書】
【提出日】平成22年12月27日(2010.12.27)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
モニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための方法であって、
暗号化プロセスを識別するインデックスを与えること；
シグナリング・メッセージ中に前記インデックスを含ませること；及び
前記モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送ることによって前記通信セッションのための信号を送ること、
を具備する方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００８３
【補正方法】変更
【補正の内容】
【００８３】
最後に、本実施形態に記載されたものは、ＣＣｏＡを使用する移動体ＩＰの下で動作しているＭＮ６０である。前に述べられたように、ＭＮ６０は、通信の別のモードの下で上手く動作することができ、そして別のタイプのアドレスを仮定することができる。例えば、複数の代案のうちの一例として、ＭＮ６０は、ＦＡ  ＣｏＡを使用することができ、そして移動体ＩＰトンネリング・モードの下でＣＮ９０と通信できる。それに加えて、本実施形態に記載されたものは、暗号化がＭＮ６０とＣＮ９０との間で双方向に適用されることである。データ暗号化が、双方向の代わりに一方向だけに適用されることも可能である。その上、記載されたように、ノード６０は、外部のネットワークに動き回る移動デバイスとして図示されている。ノード６０が固定され得ることが理解されるはずである。それに加えて、本実施形態に関連して記載されたいずれかの論理ブロック、回路、及びアルゴリズム・ステップは、ハードウェア、ソフトウェア、ファームウェア、又はその組み合わせで与えられることができる。形状及び詳細における論理の変更及びその他の変更が本発明の範囲及び精神から逸脱することなくその中で行われ得ることが、当業者によって理解される。
[付記１]
モニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための方法、該方法は下記を具備する：
暗号化プロセスを識別するインデックスを与えること；
シグナリング・メッセージ中に前記インデックスを含ませること；及び
前記モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送ることによって前記通信セッションのための信号を送ること。
[付記２]
付記１の方法、ここにおいて、前記通信セッションのために前記信号を送ることは、前記通信セッションへの勧誘に前記モニタリング中間手段を経由して応答することを含む。
[付記３]
付記１の方法、該方法は、前記通信セッションの前記データ・パケット中に前記インデックスを与えることをさらに含む。
[付記４]
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいてモニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための方法、該方法は下記を具備する：
ＳＡ（機密保護アソシエーション）を識別するＳＰＩ（機密保護パラメータ・インデックス）を与えること；
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージ中に前記ＳＰＩを含ませること；及び
前記モニタリング中間手段がパケット・データ・モニタリングのために前記ＳＰＩを使用することを可能にするために前記モニタリング中間手段を経由して前記ＳＰＩを有する前記シグナリング・メッセージを送ることによって前記通信セッションのための信号を送ること。
[付記５]
暗号化されたデータ・パケットを用いた通信セッションをモニタするための方法、該方法は下記を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取ること；
前記通信セッションの前記データ・パケットから第２のインデックスを受け取ること；及び
前記第１のインデックスと第２のインデックスとを比較することを含ませることによって前記通信セッションの措置（policy）のセットを実施すること。
[付記６]
付記５の方法、該方法は、前記第１のインデックスと第２のインデックスとを前記比較することが比較の符合という結果を生じる時に前記通信セッションの前記データ・パケットが通過すること認めること、及び前記第１のインデックスと第２のインデックスとを前記比較することが比較が符合しないという結果を生じる時に前記通信セッションの前記データ・パケットが通過することを拒絶することをさらに含む。
[付記７]
付記５の方法、ここにおいて、前記シグナリング・メッセージは、第１のシグナリング・メッセージであり、前記方法は、第２のシグナリング・メッセージから前記第１のインデックスを受け取ることをさらに含む。
[付記８]
付記７の方法、ここにおいて、前記第１のシグナリング・メッセージは、前記通信セッションのための勧誘メッセージであり、そして前記第２のシグナリング・メッセージは、前記勧誘メッセージに対する応答メッセージである。
[付記９]
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいて暗号化されたデータ・パケットを用いた通信セッションをモニタするための方法、該方法は下記を具備する：
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージから第１のＳＰＩ（機密保護パラメータ・インデックス）を受け取ること；
前記通信セッションの前記データ・パケットから第２のＳＰＩを受け取ること；及び
前記第１のＳＰＩと第２のＳＰＩとを比較することを含ませることによって前記通信セッションの措置のセットを実施すること。
[付記１０]
モニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
暗号化プロセスを識別するインデックスを与えるための手段；
シグナリング・メッセージ中に前記インデックスを含ませるための手段；及び
前記モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送るための手段。
[付記１１]
付記１０の装置、ここにおいて、前記シグナリング・メッセージは、勧誘メッセージであり、該装置は、前記勧誘メッセージに応じて応答メッセージ中に前記インデックスを含ませるため手段をさらに含む。
[付記１２]
付記１０の装置、該装置は、前記通信セッションの前記暗号化されたデータ・パケット中に前記インデックスを含ませるための手段をさらに含む。
[付記１３]
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいてモニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
ＳＡ（機密保護アソシエーション）を識別するＳＰＩ（機密保護パラメータ・インデックス）を与えるための手段；
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージ中に前記ＳＰＩを含ませるための手段；及び
前記モニタリング中間手段がパケット・データ・モニタリングのために前記ＳＰＩを使用することを認めさせるために前記モニタリング中間手段を経由して前記ＳＰＩを有する前記シグナリング・メッセージを送るための手段。
[付記１４]
暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取るための手段；
前記通信セッションの前記データ・パケットから第２のインデックスを受け取るための手段；及び
前記第１のインデックスと第２のインデックスとを比較することを含ませることによって前記通信セッションの措置のセットを実施するための手段。
[付記１５]
付記１４の装置、該装置は、前記第１のインデックスと第２のインデックスとを前記比較することが比較の符合という結果を生じる時に前記通信セッションの前記データ・パケットが通過すること認めるための手段、及び前記第１のインデックスと第２のインデックスとを前記比較することが比較が符合しないという結果を生じる時に前記通信セッションの前記データ・パケットが通過することを拒絶するための手段をさらに含む。
[付記１６]
付記１４の装置、ここにおいて、前記シグナリング・メッセージは、第１のシグナリング・メッセージであり、前記装置は、第２のシグナリング・メッセージから前記第１のインデックスを受け取るための手段をさらに含む。
[付記１７]
付記１６の装置、ここにおいて、前記第１のシグナリング・メッセージは、前記パケット・データ通信セッションのための勧誘メッセージであり、そして前記第２のシグナリング・メッセージは、前記勧誘メッセージに対する応答メッセージである。
[付記１８]
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいて暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージから第１のＳＰＩ（機密保護パラメータ・インデックス）を受け取るための手段；
前記通信セッションの前記データ・パケットから第２のＳＰＩを受け取るための手段；及び
前記第１のＳＰＩと第２のＳＰＩとを比較することを含ませることによって前記通信セッションの措置のセットを実施するための手段。
[付記１９]
モニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
暗号化プロセスを識別するインデックスを与えるため、シグナリング・メッセージ中に前記インデックスを含ませるため、及び前記モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送るためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；及び
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
[付記２０]
付記１９の装置、ここにおいて、前記シグナリング・メッセージは、勧誘メッセージであり、該装置は、前記勧誘メッセージに応じて応答メッセージ中に前記インデックスを含ませるためのコンピュータ読み取り可能な命令をさらに含む。
[付記２１]
付記１９の装置、該装置は、前記通信セッションの前記データ・パケット中に前記インデックスを含ませるためのコンピュータ読み取り可能な命令をさらに含む。
[付記２２]
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいてモニタリング中間手段を経由する暗号化されたデータ・パケットを用いた通信セッションのための装置、該装置は下記を具備する：
ＳＡ（機密保護アソシエーション）を識別するＳＰＩ（機密保護パラメータ・インデックス）を与えるため、ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージ中に前記ＳＰＩを含ませるため、及び前記モニタリング中間手段がパケット・データ・モニタリングのために前記インデックスを使用することを認めさせるために前記モニタリング中間手段を経由して前記ＳＰＩを有する前記シグナリング・メッセージを送るためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；及び
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
[付記２３]
暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取るため、前記通信セッションの前記データ・パケットから第２のインデックスを受け取るため、及び前記第１のインデックスと第２のインデックスとを比較することを含むことによって前記通信セッションの措置のセットを実施するためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
[付記２４]
付記２３の装置、該装置は、前記第１のインデックスと第２のインデックスとを前記比較することが比較の符合という結果を生じる時に前記通信セッションの前記データ・パケットが通過することを認めるため、及び前記第１のインデックスと第２のインデックスとを前記比較することが比較が符合しないという結果を生じる時に前記通信セッションの前記データ・パケットが通過することを拒絶するためのコンピュータ読み取り可能な命令をさらに含む。
[付記２５]
付記２３の装置、ここにおいて、前記シグナリング・メッセージは、第１のシグナリング・メッセージであり、前記装置は、第２のシグナリング・メッセージから前記第１のインデックスを受け取るためのコンピュータ読み取り可能な命令をさらに含む。
[付記２６]
付記２５の装置、ここにおいて、前記第１のシグナリング・メッセージは、前記通信セッションのための勧誘メッセージであり、そして前記第２のシグナリング・メッセージは、前記勧誘メッセージに対する応答メッセージである。
[付記２７]
ＩＰ（インターネット・プロトコル）によってサポートされる通信システムにおいて暗号化されたデータ・パケットを用いた通信セッションをモニタするための装置、該装置は下記を具備する：
ＳＩＰ  ＩＮＶＩＴＥメッセージ及びＳＩＰ２００ＯＫメッセージからなるグループから選択されたシグナリング・メッセージから第１のＳＰＩ（機密保護パラメータ・インデックス）を受け取るため、前記通信セッションの前記データ・パケットから第２のＳＰＩを受け取るため、及び前記第１のＳＰＩと第２のＳＰＩとを比較することを含むことによって前記通信セッションの措置のセットを実施するためのコンピュータ読み取り可能な命令を有するメモリ・ユニット；及び
前記コンピュータ読み取り可能な命令を処理するために前記メモリ・ユニットに接続されたプロセッサ回路。
[付記２８]
通信システムにおいて信号キャリアを介して伝送される電気信号、前記電気信号は、下記を実行するためのコンピュータ読み取り可能な命令を具備する：
暗号化プロセスを識別するインデックスを与えること；
シグナリング・メッセージ中に前記インデックスを含ませること；及び
モニタリング中間手段を経由して前記インデックスを有する前記シグナリング・メッセージを送ることによって通信セッションのための信号を送ること。
[付記２９]
通信システムにおいて信号キャリアを介して伝送される電気信号、前記電気信号は、下記を実行するためのコンピュータ読み取り可能な命令を具備する：
シグナリング・メッセージから逆暗号化プロセスを識別する第１のインデックスを受け取ること；
通信セッションのデータ・パケットから第２のインデックスを受け取ること；及び
前記第１のインデックスと第２のインデックスとを比較することを含ませることによって前記通信セッションの措置のセットを実施すること。
【外国語明細書】
2011091833000001.pdf