(57)【要約】【課題】  様々な関連のないネットワークのための集中型の認証を促進することにより、向上した無線カバレッジを無線移動局に提供するための方法、装置、およびシステムについて説明する。その結果、移動局は改善されたカバレッジおよび帯域幅を得るために様々なネットワークを介してインターネット資源および電話資源にアクセスすることができる。【解決手段】  一部の実施形態は、複数の仮想アクセスポイントであって、１つは企業に関連し、もう１つは複数のネットワークを介した移動体通信を促進するオーバーレイネットワークに関連する、複数の仮想アクセスポイントに区分化することができる無線アクセスポイントを使用してネットワークカバレッジの拡張をサポートする。１つの物理アクセスポイントが、１つの仮想アクセスポイントを使用して企業ネットワークをサポートし、別の仮想アクセスポイントを使用してオーバーレイネットワークをサポートすることができる。企業とつながりのないユーザは、企業ネットワークにアクセスすることなしに、その企業の物理アクセスポイントを介してオーバーレイネットワークにアクセスすることができる。【選択図】  図１
2013507039.tif 000002
【特許請求の範囲】
【請求項１】
網間接続制御装置と、
網間接続認証サーバと
を含み、
前記網間接続制御装置および前記網間接続認証サーバの少なくとも一方が（ｉ）セルラネットワーク認証サーバを有するセルラネットワーク、および（ｉｉ）ローカルエリアネットワーク（ＬＡＮ）認証サーバを有するＬＡＮに結合され、
前記網間接続認証サーバが、（ｉ）前記セルラネットワークを介した移動局とインターネット情報資源との間のセルラ接続、および（ｉｉ）前記ＬＡＮを介した前記移動局と前記インターネット情報資源との間の無線接続のうちの少なくとも一方を選択的に認証する、ネットワーク。
【請求項２】
前記網間接続認証サーバが、前記セルラネットワークおよび前記ＬＡＮを介して前記移動局を認証する、請求項１に記載のネットワーク。
【請求項３】
前記セルラ認証サーバが前記セルラネットワークを介して前記移動局を認証し、前記網間接続およびセルラ認証サーバが、前記移動局を認証するために異なる認証情報を前記移動局に要求する、請求項２に記載のネットワーク。
【請求項４】
前記セルラネットワークが無線広域ネットワークであり、前記ＬＡＮが無線ＬＡＮである、請求項１に記載のネットワーク。
【請求項５】
前記網間接続制御装置が前記セルラネットワークおよび前記ＬＡＮから認証情報を受け取り、前記認証情報に基づいて前記少なくとも１つの接続を確立する、請求項１に記載のネットワーク。
【請求項６】
前記網間接続制御装置が前記セルラネットワークおよび前記ＬＡＮから認証情報を受け取り、前記認証情報に基づいて少なくとも１つの接続経路を登録する、請求項１に記載のネットワーク。
【請求項７】
前記ネットワークが第１のサービスプロバイダによって制御され、前記セルラネットワークが第２のサービスプロバイダによって制御される、請求項１に記載のネットワーク。
【請求項８】
前記ＬＡＮが第３のサービスプロバイダによって制御される、請求項７に記載のネットワーク。
【請求項９】
前記網間接続制御装置が、前記移動局と通信するための第１のネットワークインターフェイスと、前記インターネット情報資源と通信するための第２のネットワークインターフェイスと、前記セルラ接続および前記無線接続から選択するための経路スイッチとを含む、請求項１に記載のネットワーク。
【請求項１０】
前記セルラネットワークが第１の１バイト当たりのコストを提供し、前記ＬＡＮが第２の１バイト当たりのコストを提供し、前記網間接続制御装置が、前記第１の１バイト当たりのコストおよび前記第２の１バイト当たりのコストに少なくとも部分的に基づき、前記セルラ接続および前記無線接続から選択するための経路選択ロジックをさらに含む、請求項９に記載のネットワーク。
【請求項１１】
前記セルラネットワーク認証サーバが前記移動局を認証し、第２の移動局を認証しない、請求項１に記載のネットワーク。
【請求項１２】
前記網間接続制御装置および前記網間接続認証サーバの少なくとも一方が、前記第２の移動局を認証する第２のセルラネットワーク認証サーバを有する第２のセルラネットワークに結合され、前記網間接続認証サーバが前記第２の移動局と前記インターネット情報資源との間の第２のセルラ接続を選択的に認証する、請求項１１に記載のネットワーク。
【請求項１３】
前記網間接続認証サーバが、前記ＬＡＮを介した前記第２の移動局と前記インターネット情報資源との間の第２の無線接続を選択的に認証する、請求項１２に記載のネットワーク。
【請求項１４】
セルラネットワークまたはローカルエリアネットワーク（ＬＡＮ）の少なくとも一方を介してインターネット情報資源と通信するための無線移動局を認証する方法であって、
前記移動局から第１の認証情報を前記セルラネットワークを介して受け取り、前記移動局を認証し、前記セルラネットワークを介した前記移動局から前記インターネット情報資源までの第１のデータ経路を設定するステップと、
前記第１のデータ経路が設定されている間に、前記移動局から第２の認証情報を前記ＬＡＮを介して受け取り、前記移動局を認証し、前記ＬＡＮを介した前記移動局から前記インターネット情報資源までの第２のデータ経路を設定するステップと
を含む、方法。
【請求項１５】
前記第１の認証情報と前記第２の認証情報とが同じである、請求項１４に記載の方法。
【請求項１６】
前記セルラネットワークが、前記第１の認証情報および前記第２の認証情報とは異なる第３の認証情報を使用して前記移動局を認証する、請求項１４に記載の方法。
【請求項１７】
前記第２のデータ経路を設定した後に前記第１のデータ経路を切断するステップをさらに含む、請求項１４に記載の方法。
【請求項１８】
前記セルラネットワークが、前記第１の認証情報を送る前に前記移動局を認証する、請求項１４に記載の方法。
【請求項１９】
前記ＬＡＮが、前記第２の認証情報を送る前に前記移動局を認証する、請求項１４に記載の方法。
【請求項２０】
前記セルラネットワークが第１の１バイト当たりのコストを提供し、前記ＬＡＮが第２の１バイト当たりのコストを提供し、前記第１の１バイト当たりのコストおよび前記第２の１バイト当たりのコストに基づいて前記第２のデータ経路を選択するステップをさらに含む、請求項１４に記載の方法。
【請求項２１】
移動局を認証するためのオーバーレイネットワークであって、
それぞれが無線アクセスポイントおよび構成要素ネットワークへのアクセスを認証するための構成要素認証サーバを含む、複数の構成要素ネットワークであって、前記構成要素ネットワークのうちの少なくとも１つの前記構成要素認証サーバが前記移動局へのアクセスを拒否する、複数の構成要素ネットワークと、
前記無線アクセスポイントのそれぞれに結合され、前記移動局へのアクセスを拒否する前記構成要素ネットワークの前記無線アクセスポイントを使用した前記オーバーレイネットワークへのアクセスについて前記モバイル機器を認証するための、オーバーレイ認証サーバを有するオーバーレイネットワークセンタと
を含む、オーバーレイネットワーク。
【請求項２２】
前記構成要素ネットワークが別個の企業によって所有され、前記オーバーレイネットワークを介したインターネット情報資源へのアクセスを前記移動局に提供する、請求項２１に記載のオーバーレイネットワーク。
【請求項２３】
前記モバイル機器のユーザに関連する第１の資格情報に基づいて前記セルラネットワークへの前記移動局のアクセスを認証するための、セルラ認証サーバを有するセルラネットワークへの接続をさらに含み、前記オーバーレイ認証サーバは、前記モバイル機器の前記ユーザに関連する第２の資格情報に基づいて前記オーバーレイネットワークへのアクセスについて前記移動局を認証する、請求項２１に記載のオーバーレイネットワーク。
【請求項２４】
前記オーバーレイ認証サーバが、前記構成要素ネットワークのそれぞれを介した前記移動局からインターネット情報資源までの複数の経路を確立する、請求項２１に記載のオーバーレイネットワーク。
【請求項２５】
前記オーバーレイ認証サーバが、前記経路を切り替える経路スイッチを含む、請求項２４に記載のオーバーレイネットワーク。
【請求項２６】
経路を確立することが、前記経路を登録することおよび前記移動局を認証することを含む、請求項２４に記載のオーバーレイネットワーク。
【請求項２７】
（ｉ）前記セルラネットワークを介した移動局とインターネット情報資源との間のセルラ接続、および（ｉｉ）ローカルエリアネットワーク（ＬＡＮ）を介した前記移動局と前記インターネット情報資源との間の無線接続のうちの少なくとも一方を選択的に認証するための網間接続認証サーバと、
セルラネットワーク認証サーバを有する前記セルラネットワーク、およびＬＡＮ認証サーバを有する前記ＬＡＮと
を含む、ネットワーク。
【請求項２８】
前記網間接続認証サーバが、前記セルラネットワークおよび前記ＬＡＮを介して前記移動局を認証する、請求項２７に記載のネットワーク。
【請求項２９】
前記網間接続認証サーバが、前記セルラネットワークおよび前記ＬＡＮを介した前記インターネット情報資源との同時通信について前記移動局を認証する、請求項２８に記載のネットワーク。
【請求項３０】
前記セルラ認証サーバが前記セルラネットワークを介して前記移動局を認証し、前記網間接続およびセルラ認証サーバが、前記移動局を認証するために異なる認証情報を前記移動局に要求する、請求項２８に記載のネットワーク。
【請求項３１】
前記ネットワークが第１のサービスプロバイダによって制御され、前記セルラネットワークが第２のサービスプロバイダによって制御される、請求項２７に記載のネットワーク。
【請求項３２】
前記ＬＡＮが第３のサービスプロバイダによって制御される、請求項３１に記載のネットワーク。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書に開示する主題は、一般に移動局とインターネットを介して利用可能な情報資源との間の接続性を提供するネットワークに関する。
【背景技術】
【０００２】
カバレッジエリアおよび帯域幅の両方の観点から満足のいく無線サービスを提供することは、非常に難しいことである。数十年に及ぶ技術の向上および創出の後、無線キャリアは、カバレッジおよびキャパシティを改善するために多量の資源を費やし続けている。そうした努力にもかかわらず、スマートフォンおよびポータブルコンピュータ（移動局）が人気を得ていることで、無線カバレッジおよび帯域幅の増加を求める顧客の需要を、無線キャリアが満たせなくなっている。
【０００３】
最近の多くのスマートフォンは、セルラ基地局、および無線ローカルエリアネットワーク（ＬＡＮ）などのローカルネットワークに関連する無線アクセスポイント（ＷＡＰ）の両方と通信するための無線サポートを含む。セルラ基地局に比べ、ＷＡＰは、一般に大幅に向上した帯域幅を提供するが、より狭くより的を絞ったカバレッジを提供する。したがって、ユーザはＷＡＰが利用可能なときはＷＡＰ（例えばＷｉＦｉネットワークや「ホットスポット」）を使用し、他の場所ではセルラインフラを利用することができる。例えば、喫茶店は、安価な高帯域インターネットアクセスに魅力を感じる客を引き寄せるためにしばしばＷＡＰを導入する。客は、それらの利用可能なＷＡＰを使って自らのホームネットワークおよび社内ネットワークにアクセスし、またはインターネット情報資源にアクセスすることができる。
【０００４】
多くの家、企業、および政府機関がＷＡＰを備える。これらのＷＡＰは、一般にユーザがネットワークにアクセスする前に自らの移動局を認証することを要求する。認証は、典型的にはサインオンプロセスを伴い、サインオンプロセスは、ＷＡＰ内のまたはＷＡＰがアクセス可能な認証サーバによって処理される。異なるＷＡＰは、異なる認証手続きを要求する。そのため、ＷＡＰ間の移動はユーザにかなりの不便さを与える。認証要求を放棄するオープンネットワークでさえ、概してそれらのネットワークはユーザがデータセッションを開始する前に諸条件を承諾することを要求するので問題をはらむことがある。別々に所有され、管理されるＷＡＰごとに承認を求め、受ける必要があることは不便であり、ネットワーク間のシームレスな移動を妨げる。より重要なことに、ユーザがある無線ネットワークから別の無線ネットワークに移動するとき、セッションが中断される。ネットワーク間を移動するときにセッションの継続性がないことは、使用中セッションの切断、呼の欠落、および他のサービス中断を招く可能性があるので望ましくない。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
一部の無線キャリアは、自らのセルラネットワークを補う補助ＷＡＰを分散させることによりユーザエクスペリエンスを改善した。そのようなシステムは、統合認証手続きを可能にし、その結果としてアクセスポイント間の切替えを円滑化することができる。不都合なことにＷＡＰの数は非常に限られており、セッションの継続性が保証されず、またはそのような解決策が単一のキャリアネットワークに限定される可能性がある。したがって、移動局のための改善された無線カバレッジ、帯域幅、およびセッション継続性を支援する方法およびシステムが求められている。
【０００６】
開示する主題を限定目的ではなく例として添付図面の諸図面に示し、それらの図面では同様の参照番号は同様の要素を指す。
【図面の簡単な説明】
【０００７】
【図１】携帯電話や携帯情報端末（ＰＤＡ）などの移動局１０５が、ハイパーテキストドキュメントを供給するデータベースや電子メールサーバなどのインターネット情報源１１０にアクセスするネットワークシステム１００を示す図である。
【図２】一実施形態による、図１のオーバーレイネットワーク１３７の一部を示す図である。
【図３】移動局１０５と情報源１１０との間のセルラ経路を確立するために、ＯＣＵ１４６がユーザの移動局を認証する方法を示す流れ図３００である。
【図４】図１のＩＣＵ１４７の一実施形態のブロック図である。
【図５】セルラ接続を置換しまたは補完するために、ＩＣＵ１４７が移動局１０５と情報源１１０との間にＷＬＡＮ経路を確立する方法を示す流れ図５００である。
【図６】一実施形態による移動局１０５のブロック図である。
【図７】一実施形態による移動局７００の諸側面を示す図である。
【図８】特定した類似要素が同じまたは同様である、図７の移動局７００と似ている移動局８００を示す図である。
【図９】特定した類似要素が同じまたは同様である、図７の移動局７００と似ている移動局９００を示す図である。
【図１０】一実施形態による、アプリケーションデータのストリームに適用するためのトンネリング構成を示すブロック図１０００である。
【図１１】トンネリングのためにレイヤ３（ＩＰレイヤ）を使用する、一実施形態によるトンネリング構成を示すブロック図１１００である。
【図１２】移動局および関係するＩＣＵネットワークが、ＷｉＦｉインターフェイスおよびセルラインターフェイスなどの２つのインターフェイスをサポートする実施形態に関する、トラフィック切替アルゴリズムの動作を略述する流れ図１２００である。
【図１３】移動局１３０５がＩＣＵ１３１０からのデータストリームをアプリケーションレイヤにおいて傍受し、トンネリングするシステム１３００を示す図である。
【図１４】移動局１４０５がカーネルレイヤにおいてデータストリームを傍受し、そのデータストリームをアプリケーションデータレイヤにおいてＩＣＵ１３１０にトンネリングするシステム１４００を示す図である。
【図１５】移動局１５０５がカーネルレイヤにおいてデータストリームを傍受し、そのデータストリームをネットワークデータレイヤにおいてトンネリングするシステム１５００を示す図である。
【図１６】移動局１６０５がインターフェイスレイヤにおいてデータストリームを傍受し、そのデータストリームをネットワークデータレイヤにおいてトンネリングするシステム１６００を示す図である。
【図１７】別の実施形態によるネットワークシステム１７００を示す図である。
【図１８】それぞれが２つの仮想ネットワークに分割された１対の分割されたネットワーク１８０５および１８１０に接続される、図１および図１７のオーバーレイネットワークセンタ１４０を含むネットワーク１８００のブロック図である。
【図１９】一実施形態による、複数の仮想アクセスポイントへと分割されたＷＡＰ１９００を示す図である。
【図２０】別の実施形態による、複数の仮想アクセスポイントへと分割されたＷＡＰ２０００を示す図である。
【図２１】図１７のＷＡＰ１７０５の一実施形態である、ＷＡＰ２１００のブロック図である。
【図２２】その内部が仮想化されたプラットフォーム上の２つのインスタンス化された仮想ＡＰインスタンスＶＡＰ１およびＶＡＰ２である、ＡＰ２２００の一実施形態を示す図である。
【発明を実施するための形態】
【０００８】
図１は、移動局１０５が、ハイパーテキストドキュメントを供給するデータベースや電子メールサーバなどのインターネット情報源１１０にアクセスするネットワークシステム１００を示す。この例において移動局１０５は、セルラネットワーク１１５を維持するセルラサービスプロバイダ、または慣例的にセルラタワー（cellular tower）１２０およびＡＡＡサーバ１２５を含む無線広域ネットワーク（ＷＷＡＮ）に対するアカウントを有するユーザに属する、携帯電話、携帯情報端末（ＰＤＡ）、ラップトップまたはタブレットコンピュータなどのモバイル通信装置である。
【０００９】
ＡＡＡサーバ１２５は、認証、承認、およびアカウンティングを行うのでそのように名付けられている。セルラタワー１２０が、移動局１０５とセルラネットワーク１１５との間の無線通信を可能にするのに対し、ＡＡＡサーバ１２５は、どの移動局１０５がネットワーク１１５にアクセスできるのか、それらの移動局１０５がどのレベルのサービスを受けるのか等を管理する。さらにシステム１００は、第２のセルラネットワーク１２９ならびにいくつかの無線ローカルエリアネットワーク（ＷＬＡＮ）１３０、１３１、および１３２を含む。各ＷＬＡＮは、セルラネットワーク１１５および１２９が一般に提供するエリアに比べて限られたエリアにわたり無線通信を提供する。この例では、各ＷＬＡＮは、例えば自宅所有者や企業によって独立に管理される。企業ＷＬＡＮは、概して会社の様々なサイト（生産現場、本社、リモートオフィス、事業所等）を相互接続し、ネットワークを介して従業員がコンピュータ資源を共有できるようにするために使用される。図１に雲の形で描かれたネットワークは、専有接続またはインターネットなどの公的資源を使用して互いにおよび他のネットワークと相互接続することができる。
【００１０】
ＷＬＡＮ１３０は、無線アクセスポイント（ＷＡＰ）１３５およびＡＡＡサーバ１３９を含む、喫茶店内のアクセスネットワークや学内のアクセスネットワークなどのネットワークである。ＷＬＡＮ１３０は、セルラネットワーク１１５によって使用されるのとは異なるエアインターフェイスを使用し、移動局１０５と通信することができる。セルラネットワークに比べ、ＷＬＡＮは、はるかに狭いカバレッジエリアの範囲内ではあるが、典型的にはかなり高いデータ帯域幅および１バイトの情報当たり低いコストを実現する。
【００１１】
移動局１０５は、対応するネットワークのＡＡＡサーバを満たすために必須のアクセス特権を移動局１０５が有する、任意のネットワークを介して情報源１１０にアクセスすることができる。ＡＡＡサーバはよく知られているので詳しい解説は省く。手短に言えば、最初の「Ａ」は認証を表し、特定のデジタル識別情報を保持するという装置の主張を検証するプロセスを指し、典型的にはパスワード、トークン、デジタル証明書、または電話番号の形で資格情報を提供することを含む。第２の「Ａ」は承認の「Ａ」であり、より適切には「アクセス制御」と称される。この機能は、アクセス特権を付与しまたは拒否する。例えば、ＷＬＡＮは、所与の移動局にインターネットへのアクセスを付与するが、専有データベースへのアクセスは拒否することができる。最後に、最後の「Ａ」は「アカウンティング」の「Ａ」であり、典型的には課金目的でネットワーク資源の消費量を追跡することを指す。本明細書では、一部の実施形態が他の機能をなしで済ますことができるので、ＡＡＡサーバを代わりに「認証」サーバと呼ぶ。
【００１２】
本明細書では、移動局に無線ネットワークアクセスを提供する商業エンティティまたは非商業エンティティを「サービスプロバイダ」と呼ぶ。図１の例では、セルラ通信企業は、それぞれのセルラネットワーク１１５によって無線ネットワークアクセスを提供する商業サービスプロバイダである。サービスプロバイダが２つ以上のネットワークを有する（例えばあるサービスプロバイダがセルラネットワーク１１５およびＷＬＡＮ１３０の両方を管理する）場合、それらのネットワーク間を移動することは比較的単純であり得る。例えば、移動局１０５のユーザがセルラネットワーク１１５へのアクセスを承認されており、ＷＬＡＮ１３０が同じサービスプロバイダによって管理されている場合、ＷＬＡＮ１３０内のＡＡＡサーバ１３９は、専用の内部接続またはインターネットを介してなど、ネットワーク接続を介してＡＡＡサーバ１２５と情報を共有することにより移動局１０５を認証することができる。
【００１３】
ネットワークの大多数は単一のサービスプロバイダによって管理されていない。例えば、移動局１０５のユーザは、ネットワーク１１５を管理するが、第２のセルラネットワーク１２９内の資源へのアクセスは提供しないセルラサービスに加入することがある。したがって、そのようなモバイル機器は、ネットワーク１１５とネットワーク１２９との間を移動することができない。同様に、セルラネットワーク１１５の加入者は、ＷＬＡＮ１３０にアクセスするために別個の認証を要する場合がある。一部の企業は、ＷＬＡＮアクセスに課金し、または少なくともパスワードを要求する。たとえアクセスが無料でパスワードが省略されている場所でも、企業は、多くの場合ＷＬＡＮを悪用しない何らかの形の同意をユーザが受諾することを求める。これらの承認手続きは、別々に認証されるネットワーク間をシームレスに移動することを困難にする。
【００１４】
一実施形態によれば、システム１００はオーバーレイネットワーク１３７を含み、そのオーバーレイネットワーク１３７は、オーバーレイネットワークセンタ１４０、（例えば喫茶店に関連する）ＷＬＡＮ１３０、ならびにＷＬＡＮ１３１ａおよびＷＬＡＮ１３１ｂを含む。この実施形態においてＷＬＡＮ１３０、１３１ａ、および１３１ｂは、オーバーレイネットワークセンタ１４０によって運営され、オーバーレイネットワーク１３７に加入する装置にとってアクセス可能であるという意味ではオーバーレイネットワーク１３７の構成要素である。オーバーレイネットワークセンタ１４０は、オーバーレイネットワーク１３７の構成要素ネットワークのうちのいずれかを介した、移動局１０５の情報源１１０へのアクセスを可能にするための共通認証スキームをサポートする。別のＷＬＡＮ１３２は、オーバーレイネットワークセンタ１４０が認証を行うネットワーク（１３０および１３１）とは対照的に、オーバーレイネットワーク１３７の外側にある非構成要素ネットワークを表す。
【００１５】
セルラネットワーク１１５および１２９のそれぞれは、オーバーレイネットワーク１３７とは別個の認証を必要とし、ネットワークのコンポーネントに割り当てられたアドレスの範囲内でトラフィックおよびルーティングを制御するゲートウェイサーバ（不図示）を含む。トラフィックおよびルーティングのこの別個の制御が、ネットワーク１１５および１２９をオーバーレイネットワーク１３７の外側に置く。それでもなお、セルラネットワークおよびオーバーレイネットワークを管理する企業間の同意は、セルラネットワークの加入者が、そのそれぞれのセルラネットワークを介して、またはオーバーレイネットワーク１３７の構成要素ネットワークを介してオーバーレイネットワーク１３７にアクセスできるようにすることができる。他の実施形態ではセルラネットワークがオーバーレイネットワーク１３７の中にあることができ、その場合ＡＡＡサーバ１５０は、オーバーレイネットワーク１３７内のセルラネットワークおよびローカルエリアネットワークの両方へのアクセスについて認証を行うことができる。
【００１６】
一実施形態では、オーバーレイネットワークセンタ１４０が、オーバーレイ制御装置（ＯＣＵ）１４６、網間接続制御装置（ＩＣＵ）１４７、およびＡＡＡサーバ１５０を含む。ＯＣＵ１４６は、オーバーレイネットワーク１３７内の各構成要素ネットワークについての、および必須の認証情報を提供する外部ネットワークについてのユーザ認証を管理するためにＡＡＡサーバ１５０を使用する。図１の実施形態では、セルラネットワーク１１５がオーバーレイネットワーク１３７とは別個に運営され、アクセスを得るために別個の認証を必要とする。セルラネットワーク１１５の運営者とオーバーレイネットワーク１３７の運営者との間の取決めにより、セルラネットワーク１１５へのアクセスについて認証されたユーザが、オーバーレイネットワーク１３７へのアクセスについて認証されることを可能にすることができる。例えば、セルラネットワーク１１５はネットワーク１１５へのアクセスについて移動局１０５を認証することができ、この認証をオーバーレイネットワーク１３７にまで及ばせて、局１０５がネットワーク１１５または構成要素ネットワークのうちの１つ（例えばＷＬＡＮ１３０）を介してオーバーレイネットワーク１３７にアクセスすることを可能にすることができる。こうしてＯＣＵ１４６は、広いカバレッジエリアにわたるネットワークアクセス、および構成要素ネットワーク間の移動の容易さを助ける。
【００１７】
ＯＣＵ１４６は、オーバーレイネットワーク１３７のコンポーネントに割り当てられたアドレスの範囲内でトラフィックおよびルーティングを制御するゲートウェイサーバ（不図示）を含む。ＯＣＵ１４６は、移動局が構成要素ネットワークと、セルラネットワーク１１５などの承認された非構成要素ネットワークとの間を移動する間、セッションの継続性を維持できるようにする。ＩＣＵ１４７は、重複するカバレッジエリアをもたらす構成要素ネットワークおよび承認された非構成要素ネットワークの使用を最適化する方法で、例えば移動局１０５と情報源１１０との間のデータトラフィックを管理する。例えば、モバイル機器が所与の位置をカバーする２つ以上のネットワークにアクセスする権限を与えられている場合、ＩＣＵ１４７は、最も優れた安全性、価格、速度性能等を提供する１つまたは複数のネットワークを選択することができる。この選択は、ユーザ選択、ネットワーク容量、モバイル機器の容量、ネットワークトラフィックの性質、またはこれらのおよび他のパラメータについての組合せに基づくことができる。
【００１８】
他の実施形態では、セルラネットワーク１１５を構成要素ネットワークとすることができるが、別個の認証を必要とする可能性が高い。この例では、セルラネットワーク１１５は、認証された移動局がネットワーク１１５を介してオーバーレイネットワーク１３７と別個に認証することを可能にする。したがって、セルラネットワーク１１５の顧客は、セルラネットワーク１１５またはオーバーレイネットワーク１３７の任意の構成要素ネットワークを介して情報源１１０にアクセスすることができる。
【００１９】
セルラネットワーク１１５の加入者が、構成要素ネットワーク１３０を維持する喫茶店内にいる例を検討されたい。この加入者がオーバーレイネットワーク１３７にさらに加入しない場合、ユーザの移動局１０５は、それでもなおオーバーレイネットワーク１３７の外側にあるそれぞれの経路１３８および１４１を介し、セルラネットワーク１１５またはＷＬＡＮ１３０を使用して情報源１１０にアクセスすることができる。ユーザはこれらのオプションから選択し、ユーザの移動局１０５は、それぞれについてある程度の認証を必要とする。利用できる場合、別個の認証は、ユーザがインターネット接続を有する任意のネットワークを介して同様に情報源１１０にアクセスすることを可能にする。しかし、別個の認証が必要であることは、ユーザがネットワーク間を移行することを困難にする。
【００２０】
次に、ユーザのセルラサービスプロバイダがオーバーレイネットワークセンタ１４０を運営するサービスプロバイダと取引関係を有し、その関係はユーザがオーバーレイネットワーク１３７にアクセスできるようにすると仮定されたい。ユーザが喫茶店から情報源１１０にアクセスしようとする場合、そのアクセスはＷＬＡＮ１３０、セルラネットワーク１１５、またはその両方によって提供することができる。２つ以上のネットワークが利用可能な場合、ＩＣＵ１４７が移動局１０５と被要求資源１１０との間の経路を一般的なまたはユーザ固有の優先権に基づいて決定することができる。喫茶店の例では、ユーザはより低いコストまたは改善された速度性能を得るためにＷＬＡＮ１３０を使用し、安全な通信を得るためにセルラネットワーク１１５を使用することを選ぶ可能性がある。他の実施形態では、移動局１０５と被要求資源との間のどの経路（複数可）を利用するのかに関する決定を移動局（例えば１０５や１５５）が行い、ＩＣＵ１４７に伝達することができる。
【００２１】
情報源１１０はインターネット情報資源と呼ぶが、インターネットと混同すべきではない。インターネットとは、標準化されたインターネットプロトコル群（ＴＣＰ／ＩＰ）を使用する相互接続ネットワークの地球規模のシステムである。セルラネットワーク１１５はインターネットの一部である可能性は低いが、ＷＬＡＮ１３０のうちの１つまたは複数はインターネットの一部である可能性がある。さらに、セルラネットワークおよびＷＬＡＮを、インターネット接続を介して互いにおよび他の資源に接続することができ、インターネット接続には、銅線接続、光ファイバケーブル接続、または無線接続が含まれ得る。インターネット情報資源はこのネットワークインフラではなく、本明細書の文脈では、インターネットによって運ばれる情報の種類である。そのような情報には、ワールドワイドウェブ（ＷＷＷ）の相互連結されたハイパーテキストドキュメント、電子メール、ＶＯＩＰデータ、およびストリーミングマルチメディアデータが含まれる。
【００２２】
オーバーレイネットワークセンタ１４０は、ネットワーク１１５および１３０を管理するサービスプロバイダとは別のサービスプロバイダによって管理され得る。移動局１０５のユーザは、自身のセルラサービスプロバイダを介してインターネットアクセスに加入することができる。セルラサービスプロバイダは、例えば経路１３８を介してインターネットへのアクセスを直接提供することができ、またはセルラネットワーク１１５からオーバーレイネットワーク１３７を経由してアクセスを提供することができる。後者の場合、移動局１０５はセルラネットワーク１１５へのアクセスを得るためにＡＡＡサーバ１２５によって認証され、オーバーレイネットワーク１３７へのアクセスを得るためにＡＡＡサーバ１５０によって認証される。セルラサービスプロバイダに対して設定されると、これらの認証はユーザにとってトランスペアレントとすることができ、よってユーザエクスペリエンスを妨げることはない。
【００２３】
様々な種類のネットワークを、それらのネットワークそれぞれの利点を得るために一緒に使用することができる。例えば、保護必要情報は比較的安全なセルラネットワークを介して伝達する一方で、保護の必要性がより低い情報は、安全性はより低いが帯域幅はより高いＬＡＮを介してモバイル機器に同時に伝えることができる。
【００２４】
任意の構成要素ネットワークを介してオーバーレイネットワーク１３７にアクセスしようと試みるオーバーレイネットワーク１３７の加入者は、自らの移動局１０５が、アクセスされる構成要素ネットワークのＡＡＡサーバではなく、ＡＡＡサーバ１５０によって認証される。ＷＬＡＮ１３０は、例えばＡＡＡサーバ１３９を含み、ＷＬＡＮ１３０を介してオーバーレイネットワーク１３７にアクセスすることはＡＡＡサーバ１３９またはＡＡＡサーバ１５０による認証を必要とし得る。したがって、オーバーレイネットワークセンタ１４０は複数の無線ネットワーク間の認証を集中化して、移動局１０５が無線ネットワーク間を自由に移動できるようにする。オーバーレイネットワークセンタ１４０はさらに、移動局１０５が無線ネットワーク間を移動するときに通信を維持するために、移動局１０５と構成要素ネットワークの外側にある情報資源との間のデータセッションを固定する。
【００２５】
一部の実施形態では、ＷＬＡＮのうちの１つまたは複数が、移動局１０５を別々に認証しないが、代わりに認証を行うためにオーバーレイネットワークセンタ１４０に完全に依拠する。他の実施形態では、ＡＡＡサーバ１３９はＷＬＡＮ１３０にとってローカルな情報源へのアクセスについて装置を認証するために使用されるが、インターネットへの接続など、ＷＬＡＮ外部の接続についてはバイパスされる。
【００２６】
この例では、ラップトップコンピュータ１５５が右上のＷＬＡＮ１３１に接続されて図示されており、そのＷＬＡＮの構成要素であり、ひいてはオーバーレイネットワーク１３７の構成要素であると考えられる。「構成要素」であるということは、ラップトップコンピュータ１５５がそのネットワーク内の資源にアクセスする権限を与えられていることを単に意味する。オーバーレイネットワーク１３７の構成要素として、コンピュータ１５５のユーザは、ＡＡＡサーバ１５０によって決定される構成要素ネットワーク１３０および１３１のいずれかから情報源１１０にアクセスすることができる。図１７に関連して以下に詳述するように、同じまたは別個のアクセス資格情報は、移動局が、オーバーレイネットワークセンタ１４０と連携するように構成される他の任意のネットワークから、構成要素ネットワークのいずれかにある秘密情報個人情報にアクセスすることを可能にすることもできる。例えば、オーバーレイネットワークセンタ１４０は、コンピュータ１５５が、喫茶店の企業ネットワーク１３０からＷＬＡＮ１３１を介してユーザのパーソナルホームネットワーク上の情報にアクセスすることを承認することができる。そのようなアクセス許可は、ＡＡＡサーバ１５０単独で、またはユーザのパーソナルＷＬＡＮ１３１におけるＡＡＡサーバ（不図示）に関連して機能するＡＡＡサーバ１５０によって処理され得る。図１の例において、左下にある破線版のコンピュータ１５５は、右上にあるコンピュータのホームネットワークから離れた企業ネットワークを訪問しているコンピュータ１５５を表す。オーバーレイネットワークセンタ１４０は、訪問コンピュータ１５５が右上にあるホームネットワークＷＬＡＮ１３１、情報源１１０、またはその両方にアクセスすることを認証することができる。
【００２７】
システム１００は、セルラネットワーク１１５およびＷＬＡＮ１３０の異なる所有者が各々のネットワーク上でセキュリティを維持することを認めるが、一部のアクセス制御をオーバーレイネットワークセンタ１４０のＡＡＡサーバ１５０に委任することも要求する。多くの無線オペレータ、とりわけＷＬＡＮアクセスプロバイダはサードパーティーに対して一部のアクセス制御を共有し、譲ろうという気になり、その理由は、サードパーティーの方が、自らの専有ネットワークのセキュリティを危険にさらすことなしに、自らの加入者を優れてサポートできるからである。
【００２８】
単一のエンティティとして図示するが、ＡＡＡサーバ１５０は、ＯＣＵ１４６およびＩＣＵ１４７のための別個のＡＡＡサーバを表すことができる。ＡＡＡサーバ１５０は、直接またはＯＣＵ１４６およびＩＣＵ１４７の一方もしくは両方を介してセルラネットワーク１１５に接続することができる。例えばＩＣＵ１４７のための網間接続認証サーバとしての機能（capacity）では、ＡＡＡサーバ１５０は直接またはＩＣＵ１４７を介してセルラネットワーク１１５のＡＡＡサーバ１２５と通信することができる。
【００２９】
図１の装置およびネットワークのそれぞれは、説明図を簡略化するために図１から省いた多くのコンポーネントを含むことができる。例えば、移動局１０５は、ウェブアクセスをサポートするためのアプリケーション／メディアプロセッサおよび関連するメモリ、位置情報サービス、マルチメディアアプリケーション等を含む所謂「スマートフォン」とすることができる。移動局１０５は、無線通信または有線通信をサポートする多数のインターフェイスも含むことができ、それらのインターフェイスには、一般にセルラインターフェイス、赤外線ポート、Bluetooth無線ポート、およびＷｉＦｉ無線ネットワーク接続が含まれる。移動局１０５は、全地球測位システム（「ＧＰＳ」）受信機も含むことができる。セルラネットワーク１１５も同様に、図示するよりもはるかに複雑であり、例えば、一般に基地局およびコントローラを含む無線アクセスネットワーク（ＲＡＮ）、ならびに一般に複数のスイッチングエンティティおよびゲートウェイを含むコアネットワーク（ＣＮ）を典型的には含む。移動局１０５およびセルラネットワーク１１５のこれらのおよび他の特徴は当業者によく知られている。よって簡潔にするために詳細な扱いは省略する。
【００３０】
図２は、一実施形態による、図１のオーバーレイネットワーク１３７の一部を示す。上述のＯＣＵ１４６およびＩＣＵ１４７に加え、ＯＮＭ１４５はデータベース２００およびロガー２０５を含む。先に述べたように、ＯＣＵ１４６はＡＡＡサーバ１５０を使用してオーバーレイネットワークのユーザを認証する。手短に言えば、移動局が構成要素ネットワークのうちの１つを介してオーバーレイネットワークへのアクセスを要求すると、ＡＡＡサーバ１５０は、通常はパスワードや暗号化鍵などの特定の秘密情報をその移動局が保持するかどうかを検証することにより、その移動局を認証しまたは拒否する。例えば承認要求がＷＬＡＮ１３０を経由してＡＡＡサーバ１５０に来る場合、ＡＡＡサーバ１５０は、サービスを付与すべきかどうか、また場合によりどのレベルのサービスを付与すべきかをその構成要素ネットワークに指示する。ＷＬＡＮ１３０および他の構成要素ネットワークは、利用統計を例えば課金目的でＡＡＡサーバ１５０に報告するように構成することができる。
【００３１】
ＯＣＵ１４６は、オーバーレイネットワーク１３７のオペレータがオーバーレイネットワーク１３７（図１）を監視し管理するために使用することができ、接続、ユーザプロファイル、支払請求等を監視し管理することを可能にする、ある程度の制御権を構成要素ネットワークのオペレータに与えることもできる。アクセスネットワークには普通にあることだが、ＯＣＵ１４６は、法的要件を満たし、違法なネットワーク活動および攻撃を防ぎ突き止めるために、データおよびログイベントを追跡することができる。ＯＮＭ１４５は、オーバーレイネットワークが構成要素ネットワークおよびオーバーレイネットワークの加入者に関するアクセスを管理するために必要な、いかなるデータも記憶させるためのデータベース２０６を含む。
【００３２】
ネットワーク構成および諸要件に応じて、様々なレベルの監視およびロギングが可能である。ＡＡＡサーバ１５０は、加入者のログインおよびトラフィックを追跡することができ、あるいはまたはそれに加えて、構成要素ネットワークは、ログインおよびトラフィックを追跡してその情報をＡＡＡサーバ１５０に報告することができる。そのような追跡は、ＴＣＰセッションまたはＩＰパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスに基づく、レイヤ３およびレイヤ２トラフィックにおけるロギングによって行うことができる。用語「レイヤ」は、ＯＳＩモデル（開放型システム間相互接続参照モデル）における層を指す。
【００３３】
ＯＳＩモデルは当業者によく知られているので、本開示では詳細な扱いは省略する。手短に言えば、ＯＳＩモデルとは、ネットワーク内でコンピュータを共に接続するためのモデルである。このモデルは、７個の異なり別個のプロトコル層、すなわち物理層（１）、データリンク層（２）、ネットワーク層（３）、トランスポート層（４）、セッション層（５）、プレゼンテーション層（６）、およびアプリケーション層（７）からなる。本発明者が関心のあるレイヤはレイヤ１からレイヤ４である。レイヤ１の物理層は、ネットワークノード間でデータを物理的に伝送する。レイヤ２のデータリンク層は、隣接するネットワークノード間でデータを転送するリンクプロトコルを扱う。レイヤ２上で伝送されるデータは、通常はリンク層データフレーム（例えばイーサネットデータフレーム）である。レイヤ３のネットワーク層は、ホストアドレス指定、パケット操作、ルーティングなどのタスクを含む終端間データ配送を扱う。レイヤ３上で伝送されるデータは、通常はＩＰ（インターネットプロトコル）パケットである。レイヤ４のトランスポート層は、アプリケーションデータブロックを転送に適したデータ単位（データグラム、ＴＣＰセグメント）にカプセル化し、またはネットワークデータグラムを抽出し、それらのペイロードをアプリケーションに送ることによりリバーストランザクションを管理する、方法およびプロトコル群である。レイヤ５、６および７は、しばしば「アプリケーション層」と呼ばれる。
【００３４】
ＯＮＭ１４５は、構成要素ネットワーク、この例ではＷＬＡＮ１３０を介してネットワークモニタ２２０に通信的に結合される。モニタ２２０は、要求されるとき、移動局に動的ＩＰアドレスを割り当てることができる。そのような場合、ＩＰパケット追跡は特定の動的ＩＰアドレスへの活動を追跡し、動的ＩＰアドレスを個々のユーザにマップするために追加情報が使用される。動的ＩＰアドレスは、動的ＩＰアドレスの割当イベントを記録することができるＤＨＣＰ（動的ホスト構成プロトコル）サーバ（不図示）により、ＤＨＣＰを使用して割り当てられる。そうしたＤＨＣＰサーバは、ＤＨＣＰ要求をリスンし、要求者にアドレスを割り当て、オーバーレイネットワーク内の対応するイベントロガーにイベントを記録することができる。
【００３５】
モニタ２２０は、アドレス割当をロガー２０５に記録することもでき、加入者の移動局の存在についてオーバーレイネットワークを監視することができる。そのような場合、移動局の脱離（detachment）は通常は信号で伝えられない。例えば、移動局は無線カバレッジエリアの外側に移動することがあり、またはユーザが使用不可にすることもある（例えばユーザはラップトップを閉じ、または電源を切ることがある）。したがってモニタ２２０は、脱離を検出するために、割当ＩＰアドレスを有する接続された移動局の状態を監視することができる。例えば、移動局の存在を周期的にチェックするようにレイヤ２を設定することができる。これは、無線信号検知などの他の様々な方法で行うことができる。モニタ２２０が構成要素ネットワークの一部である場合、その構成要素ネットワークの運営者は構成および管理に対する制御権を有し得る。構成要素ネットワークへの有線接続または無線接続を有するユーザ装置としてモニタ２２０を実装することは、展開を単純化することができる。その場合、モニタ２２０は静的ＩＰアドレスを有することができる。モニタは１つまたは複数の構成要素ネットワークを介してＯＮＭ１４５と通信することができ、それらの接続により遠隔的に管理され得る。
【００３６】
ＡＡＡサーバ１５０を使用するＯＣＵ１４６は、様々なネットワークレイヤを使用してユーザの移動局を認証することができる。例えば認証は、レイヤ２（データリンク層）またはレイヤ３（ＩＰ層）で行うことができる。単一のＡＡＡサーバ１５０として図示するが、オーセンティケータ（authenticator）および認証サーバは別々のネットワークノードにあることができる。例えば、構成要素ネットワークのうちの１つに関連する無線アクセスポイントが、ＡＡＡサーバ１５０内の認証情報を使用してオーバーレイネットワークへのアクセスを制御することができる。
【００３７】
図２の実施形態の一例による認証プロセスは、次のように進む。ユーザが移動局によりＷＬＡＮ１３０の無線アクセスポイント１３５（オーセンティケータ）に接続し、オーバーレイネットワーク１３７へのアクセスを要求する。ＷＬＡＮ１３０がＡＡＡサーバ１５０（認証サーバ）への接続を構築し、移動局とＡＡＡサーバ１５０との間のメッセージを中継する。ユーザの資格情報を検証した後、ＡＡＡサーバ１５０が認証結果をＷＬＡＮ１３０に再び中継する。それらの結果に基づいて、ＷＬＡＮ１３０はオーバーレイネットワーク１３７への移動局のアクセスを拒否し、またはオーバーレイネットワーク１３７へのある程度のアクセスを認めることができる。
【００３８】
図３は、移動局１０５と情報源１１０との間のセルラ経路を確立するために、ＯＣＵ１４６がユーザの移動局を認証する方法を示す流れ図３００である。この例では、移動局１０５がＡＡＡサーバ１２５によって認証されており、セルラネットワーク１１５と通信し、移動局１０５が移動局１０５のために情報源１１０へのアクセスを要求したと考えられる。例えば、移動局１０５は自動でまたはユーザが促すとき、電子メール、株式相場、ニュース、またはインターネットを介して入手可能な無数の他の種類の情報のいずれかを要求することができる。
【００３９】
ステップ３０５で、ＡＡＡサーバ１５０が、インターネットアクセスを求めるユーザの要求をオーバーレイネットワークセンタ１４０に知らせるクエリをＡＡＡサーバ１２５から受け取る。次いでオーバーレイネットワークセンタ１４０は移動局１０５と通信して、ＩＣＵ１４７と移動局１０５との間の経路を構築し（ステップ３１０）、新たな経路を登録する（ステップ３１５）。こうして経路を確立した状態で、ＡＡＡサーバ１５０が移動局１０５と通信して移動局１０５を認証し、インターネット接続を承認する（ステップ３２０）。判定３２５につき、認証が失敗に終わる場合、ＯＮＭ１４５が新たに作成された経路を切断する（ステップ３３０）。ただし成功した場合、ＯＮＭ１４５が、セルラネットワーク１１５を介して移動局１０５と被要求情報資源との間の経路を確立し、維持する（ステップ３３５）。ＯＮＭ１４５は、移動局１０５またはネットワーク１１５が接続を解放するまで、移動局１０５と情報源１１０との間のデータ経路のネットワークアンカポイントであり続ける。
【００４０】
オーセンティケータを認証サーバから切り離すことは有利であり得る。この分離は、オーバーレイネットワークが、異なるエンティティ間のおよび複数のアクセスプロバイダ（例えば構成要素ネットワーク１３０および１３１）を介したアクセスを集約することを可能にする。さらに、このシステムはユーザの移動局と認証サーバ（ＡＡＡサーバ）との間の資格情報検証プロセスが暗号化され、保護されるように設計することができる。そのような場合、アクセスポイントはユーザの資格情報または他の形式の機密情報にアクセスする必要がなく、このことは、別個のエンティティがオーセンティケータおよびＡＡＡサーバを制御し易くする。
【００４１】
オーセンティケータは移動局とＡＡＡサーバ１５０との間のメッセージにアクセスできるので、任意のプレーバック攻撃または中間者攻撃を防ぐために注意を払うべきである。例えば優良な乱数発生器を使用する標準的なセキュリティ慣習に従うべきである。認証をレイヤ２で行う場合、拡張可能認証プロトコル（ＥＡＰ）フレームワークを使用することができる。ＥＡＰフレームワークについては、例えばB. Aboba, L. Blunk, J. Vollbrecht, J. Carlson, and H. Levkowetz, Ed.,「Extensible Authentication Protocol (EAP)」, Internet Engineering Task Force RFC 3748 (Standard Track), June 2004の中で詳述されている。
【００４２】
ローカル無線ネットワークを介し、ＥＡＰのやり取り（EAP exchange）は、「ＥＡＰオーバＬＡＮ」（ＥＡＰＯＬ）ＩＥＥＥ８０２．１ｘによりＩＥＥＥ８０２によって運ぶことができ、これについては「IEEE Standard for Local and metropolitan area networks, Port-Based Network Access Control」, IEEE Std 802.1X - 2004, December 2004の中で詳述されている。外部ネットワークを介し、ＥＡＰのやり取りは、慣行のガイドラインに従うＥＡＰのためのＲＡＤＩＵＳ（遠隔認証ダイヤルインユーザサービス）サポートによりＲＡＤＩＵＳによって運ぶことができる。ＲＡＤＩＵＳについては、C. Rigney, S. Willens, A.Rubens, and W. Simpson,「Remote Authentication Dial In User Services (RADIUS)」, Internet Engineering Task Force RFC 2865 (Standard Track), June 2000の中で詳述されている。ＥＡＰのためのＲＡＤＩＵＳサポートについては、B. Aboba, and P. Calhoun,「RADIUS (Remote Authentication Dial In User Service) Support for Extensible Authentication Protocol (EAP)」, Internet Engineering Task Force RFC 3579 (Standard Track), September 2003の中で詳述されている。ＥＡＰのためのＲＡＤＩＵＳサポートに関する慣行ガイドラインについては、P. Congdon, B. Aboba, A. Smith, G. Zorn, and J. Roese,「IEEE 802.1X Remote Authentication Dial In User Service (RADIUS) Usage Guidelines」, Internet Engineering Task Force RFC 3580 (Standard Track), September 2003の中で説明されている。
【００４３】
図４は、図１のＩＣＵ１４７の一実施形態のブロック図である。ＩＣＵ１４７は、１つまたは複数の規定の通信経路を介して移動局１０５と通信するためのネットワークインターフェイス４０５を含む。トンネルエンドポイント４１０は、ＩＣＵ１４７と移動局１０５との間で交わされるデータの完全性を保証する。パケット交換ネットワークでは、エンドポイント４１０はパケットをバッファおよびリオーダし、エラーをチェックし、必要に応じて再伝送を要求する。これらの動作は慣例的であり、動作の羅列は網羅的ではない。ＩＣＵ１４７は、安全な接続を提供するために暗号化／復号機能４１５をさらにサポートすることができる。
【００４４】
経路スイッチ４２０は、ＩＣＵ１４７と移動局１０５との間で規定される１つまたは複数の経路のデータフローを管理する。経路スイッチ４２０は、経路登録ブロック４２５および経路選択ロジック４３０によって制御される。経路登録ブロック４２５は、１つまたは複数の経路を規定するために使用される情報を記憶する。経路選択ロジック４３０は、ＩＣＵ１４７が経路選択に関する決定を基づかせる情報を含む。経路選択ロジック４３０は、例えば指定した１バイト当たりのコストを超えることなしに、所望の最小帯域幅を実現するように、または最大インターネット帯域幅を実現するようにプログラムすることができる。いかなる経路が指定されても、第２のネットワークインターフェイス４３５がインターネット情報資源との通信を管理する。
【００４５】
システムレベル上で、（例えばシステムの負荷を最適化するために）より複雑な選択トレードオフを実施することができる。例えば、ＩＣＵ１４７はシステム容量を均衡させようとするアルゴリズムを実装することができる。施与ユーザの装置について２つ以上のネットワークインターフェイスが利用可能であり、必須のシステム負荷情報を入手できる場合、ＩＣＵ１４７は、全体の巨視的なシステム負荷を最適化する方法でその移動局に接続することに決めることができる。例えばオーバーレイネットワークがセルラネットワークとＷｉＦｉネットワークとをサポートする場合、ＩＣＵは、ＷｉＦｉネットワークが過度に加入されている場合、要求側移動局のために利用可能なセルラ接続を使用することを選ぶことができ、その逆もまた同様である。
【００４６】
図５は、セルラ接続を置換しまたは補完するために、ＩＣＵ１４７が移動局１０５と情報源１１０との間にＷＬＡＮ経路を確立する方法を示す流れ図５００である。この例では、図２に関連して上述した先行セルラ接続があると仮定する。
【００４７】
ＩＣＵ１４７は、代替チャネルがないか監視する（ステップ５０５）。本発明の文脈では、チャネルは有線、無線、またはその２つの組合せとすることができる物理インターフェイスである。例えば、移動局１０５は追加の無線ネットワークを求めてローカル環境を監視し、より優れた接続が利用可能になった場合はＩＣＵ１４７に知らせることができる。セルラ接続がある状態で、ＩＣＵ１４７は、ユーザの移動局がＷＬＡＮのサービスエリアに入るまで単純にその経路を維持することができる。判定５１０につき、より優れた経路が例えばＷＬＡＮ１３０のうちの１つを介して利用可能になる場合、ＩＣＵ１４７は移動局１０５と連携してそれぞれのＷＬＡＮ１３０を通る新たな経路を構築し（ステップ５１５）、その新たな経路を登録する（ステップ５２０）。その経路が確立された状態で、ＡＡＡサーバ１５０は移動局１０５と通信して移動局１０５を認証し、インターネット接続を承認する（ステップ５２５）。認証に成功する場合、判定５３５につき、ＡＡＡサーバ１５０がＯＮＭ１４５を承認して、それぞれのＷＬＡＮ１３０により移動局１０５と情報源１１０との間の接続を確立する。ステップ５３０に示すように一部の実施形態では、ＷＬＡＮ１３０がＡＡＡサーバ１３９を有さずまたは利用せず、代わりに認証および関係するサービスのために専らＡＡＡサーバ１５０を利用する。新たな経路が整うと、ＩＣＵ１４７はオプションで前の経路、この例ではセルラ経路を切断し（ステップ５４０）、より優れた経路を求めて監視を続ける。所望の帯域幅、カバレッジエリア、または費用構造を実現するために、他のＷＬＡＮおよびセルラネットワークを別個にまたは既存の経路と組み合わせて同様に使用することができる。
【００４８】
前述の例では、ＩＣＵ１４７が経路を監視し、移動局１０５と通信して特定した経路が別の経路よりも好ましいかどうかを判定する。この監視および切替えの判断は、ＩＣＵ１４７と移動局１０５との間の協働によって実現することもできる。ユーザのモバイルアクセスがセルラプロバイダとの同意に準拠する場合、この判断は例えばセルラネットワーク１１５も伴うことができる。経路選択のアルゴリズムおよび基準は、例えば信号強度、トラフィックパターン、電力制限、１バイト当たりのコスト、および電池状態に基づくことができる。
【００４９】
経路の選択は、アプリケーションごとにまたはトラフィッククラスごとにさらに個別化することができる。たとえ１台の移動局からの場合でも、データトラフィックは多くの異なる特性を有することができる。一部のアプリケーション（例えば銀行業務やデータベースアプリケーション）ではセキュリティが最重要である一方、他のアプリケーション（例えば映像ダウンロードアプリケーション）では帯域幅の方が重要である。さらに他のアプリケーションは、安定性および短い伝送遅延を要求する（例えばＩＰ電話アプリケーション）。本明細書に開示する移動局およびＩＣＵの諸実施形態は、これらのおよび他の通信特性に敏感なアルゴリズムを使用してこれらの特性を制御することができる。例えば移動局が２つ以上の利用可能な接続を有する場合、アルゴリズムはデータトラフィックを様々なアプリケーションから様々な経路内にアプリケーションの特性に基づいて導くことができる。これらの特性には、セキュリティ、帯域幅、遅延、ジッタ、安定性等が含まれ得る。一部の実施形態では、好ましいチャネルの選択を支援するために、アプリケーションの種類ではなくデータトラフィックを分類する。データトラフィックのクラスには、セキュアトラフィック、リアルタイムトラフィック、高帯域トラフィック等が含まれ得る。各アプリケーションは、１つまたは複数のトラフィッククラスに属するトラフィックを生成することができる。あるいは、アルゴリズムはアプリケーションの特性に基づくことができる。所与の移動局にとって２つ以上のチャネルが利用可能な場合、アルゴリズムはデータトラフィックを様々なトラフィッククラスから様々な経路内にトラフィックの特性に基づいて導くことができる。
【００５０】
先に述べたように、経路の選択は単一経路を除外しなくてもよい。同じまたは異なるアプリケーションを供給するために、または同じもしくは異なるトラフィッククラスを供給するために、同時に存在する複数の経路を同じ移動局上で使用される複合パイプ（combined pipe）へと集約することができる。一例ではチャネル選択アルゴリズムが、移動局の全体的な帯域幅要件、装置上で実行されるアプリケーション、各アプリケーション、および通信装置に関する１つまたは複数のトラフィッククラスのうちの少なくとも１つに基づく。典型的な例では、移動局はセルラ無線インターフェイスおよびＷｉＦｉインターフェイスから選択することができる。これらのうちでセルラインターフェイスは、より広いカバレッジ、強化されたセキュリティ、および高いデータ帯域幅を提供するが、コストはより高い。データトラフィックの大半は、移動局上で実行されるウェブブラウザアプリケーションが生成することができ、その場合、移動局上のブラウザはＳＳＬ（セキュアソケットレイヤ）により保護された要求を、および他の保護されていない通常要求を生成することができる。
【００５１】
図６は、一実施形態による移動局１０５のブロック図である。移動局１０５は、セルラネットワークインターフェイス６００およびＷＬＡＰインターフェイス６０５を含む。セルラネットワークインターフェイス６００は、符号分割多元接続（ＣＤＭＡ）や高速ダウンリンクパケットアクセス（ＨＳＰＤＡ）などの従来型セルラプロトコルのどれもサポートすることができ、または他の従来型無線プロトコルもしくはホワイトスペース無線などの後で採用された無線プロトコルに拡張することができる。ネットワークインターフェイス６０５も同様に、ＷｉＦｉやＷｉＭａｘなどの従来型プロトコルをサポートすることができ、または他のプロトコルに拡張することができる。
【００５２】
移動局１０５は経路スイッチ６１０および経路選択ロジック６１５をさらに含み、これらは一緒に通信用の一方または両方のインターフェイス６００および６０５を選択する。トンネルエンドポイント６２０は、図６のトンネルエンドポイント６２０の方法でデータの完全性を保証し、同様に暗号化／復号機能６２５を含むことができる。最後にアプリケーションインターフェイス６３０は、トンネルエンドポイントとクライアントアプリケーション６３５との間のデータインターフェイスを提供する。本発明の文脈では用語「クライアントアプリケーション」は、移動局１０５上で実行され、その移動局から離れたサーバ上の情報にアクセスする１つまたは複数のアプリケーションを指す。そのようなクライアントアプリケーションの一般的な例には、ウェブブラウザ、メディアプレイヤ、および電子メールアプリケーションが含まれる。一部のクライアントは、利用可能なインターフェイス６００および６０５ならびに対応するネットワークをどのように最大限に利用するのかに関する決定を下すアルゴリズムをサポートすることができる。クライアントは、接続の可用性、信号強度、接続のコスト、セキュリティ、またはこれらのおよび他の基準の組合せに基づいて接続を選択することができる。
【００５３】
図７は、一実施形態による移動局７００の諸側面を示す図である。移動局７００は、データフローを制御するハードウェアコンポーネントおよびソフトウェアコンポーネントをサポートする。これらのコンポーネントには、クライアントアプリケーション７０５、オプションのクライアントロジック７１０、カーネル７１５、ならびに２つのネットワークインターフェイス７２０および７２５が含まれる。一実施形態では、クライアントロジック７１０は図６のブロック６１０、６１５、６２０、６２５および６３０の組合せに相当する。この例では、恐らくユーザと移動局７００との間の対話により、クライアントアプリケーション７０５においてデータが生成される。クライアントアプリケーション７０５のデータは、ネットワーク資源へのアクセスを求める要求に関連するデータなど、通常は特定用途向けである。クライアントアプリケーション７０５が、通常はシステムＡＰＩ（アプリケーションプログラミングインターフェイス）と呼ばれるインターフェイス（不図示）を介してカーネル７１５にデータを送る。あるいはアプリケーション７０５は、通信タスクを行うためにクライアントロジック７１０に対する関数呼び出しを使用することができる。その場合、クライアントロジック７１０がアプリケーション７０５からのデータストリームを傍受し処理し、セッションの継続性を維持しながら構成要素ネットワーク間のデータトラフィックオフローディングに関する全ての問題を管理する。
【００５４】
カーネル７１５は、論理データ接続を管理し、データキューを構成し、移動局に接続されるハードウェア装置を介してデータを伝達し、データの送受信が意図した通りに行われることを確実にすることによりデータを処理することができる。カーネル７１５は、ネットワークインターフェイス７２０および７２５を介して他のネットワークエンティティと通信する。他のネットワークエンティティには、いくつか例を挙げると基地局、アクセスポイント、および認証サーバが含まれ得る。
【００５５】
データストリームをアプリケーション層で傍受する場合、システムＡＰＩの代わりにクライアントＡＰＩを使用するために、クライアントアプリケーション７０５を再構築しなければならないことがある。このアプリケーション再構築プロセスは、トラフィックオフローディングの利益を受けるように、移動局７００上で実行される全てのアプリケーションに適用することができる。
【００５６】
図８は、特定した類似要素が同じまたは同様である、図７の移動局７００と似ている移動局８００を示す。データストリームをカーネル内で傍受する一例を示すために、局８００ではクライアントロジック８０５がカーネル８１０のコンポーネントである。このシナリオでは、アプリケーション７０５はシステムＡＰＩを使用してカーネル８１０が提供する関数にアクセスし、クライアントロジック８０５がデータ処理の経路上のカーネル８１０内に含まれる。したがって、クライアントロジック８０５はデータストリームを傍受し、セッションの継続性を維持しながら、補助ネットワークによりデータトラフィックオフローディングに関する問題を管理することができる。カーネル８１０内にクライアントロジック８０５を置くことで、システムＡＰＩを使用するアプリケーションが、カーネルによって提供されるトラフィックオフローディング機能の利益を受けられるようになる。
【００５７】
図９は、特定した類似要素が同じまたは同様である、図７の移動局７００と似ている移動局９００を示す。移動局９００は、クライアントロジック９０５をサポートする仮想デバイスドライバ（不図示）を有する仮想ネットワークインターフェイス９１０を含む。クライアントアプリケーション７０５は、直接構成（direct configuration）により、またはカーネル７１５のデフォルトとして仮想インターフェイス９１０を使用するように構成することができる。インターフェイス９１０は移動局９００上でデータストリームを傍受し、セッションの継続性を維持しながら、補助ネットワークによりデータトラフィックオフローディングに関する問題を管理する。最終的にデータは、物理ネットワークインターフェイス（例えばＷＬＡＮインターフェイス７２０またはセルラインターフェイス７２５）を介して伝えられる。
【００５８】
局９００においてデータストリームを傍受することは、クライアントロジック９０５のための仮想デバイスドライバをロードすることを必要とし得る。クライアントアプリケーション７０５またはカーネル７１５を再構築する必要はない。移動局９００および任意の１つまたは複数のアプリケーション７０５は、仮想インターフェイス９１０が提供するトラフィックオフローディング機能の利益を受けることができる。他の実施形態と同様に、移動局９００はこうして傍受したデータストリームをクライアントロジック９０５からＯＮＭ１４５（図１）にトンネリングすることができ、その逆もまた同様である。このトンネリングは、例えばデータを傍受する場所やネットワークを構成する方法にもよるが、複数の方法で実現することができる。
【００５９】
トンネリングの概念はよく知られているので詳しい解説は省く。概してトンネリング（カプセル化とも呼ばれる）は、あるネットワークプロトコルを使用して伝達されるデータを、別のネットワークプロトコルを使用して伝達されるパケット内にカプセル化する。配信トンネルの通信に使用されるネットワークプロトコルを配信プロトコルと呼ぶ。配信されるデータに使用され、「ペイロード」がトンネル内で運ばれるネットワークプロトコルをペイロードプロトコルと呼ぶ。通常、トンネルは互換性のない配信ネットワーク上でペイロードを運び、または安全でないネットワークを通る安全な経路を設けるために使用する。本開示の脈絡では、トンネリングは様々な無線ネットワーク間をスムーズかつトランスペアレントに切り替え、様々な無線ネットワーク同士を集約するために使用する。一部の実施形態によるトンネリング機構は、本明細書で論じるデータストリーム傍受方法と連携するようになされる。
【００６０】
図１０は、一実施形態による、アプリケーションデータのストリームに適用するためのトンネリング構成を示すブロック図１０００である。このトンネリング構成は、概してアプリケーションデータレイヤにおいて実行され、対照的にネットワークプロトコルデータは、典型的にはレイヤ３やレイヤ２などの他のレイヤにおいて実行される。
【００６１】
図１０では、左側が移動局１００５を表し、右側がＩＣＵ１０１０を表す。移動局１００５は、レイヤ４のＴＣＰ／ＵＤＰ１０２０、レイヤ３のＩＰ１０２５、レイヤ２のＭＡＣ１０３０、およびレイヤ１のＰＨＹ１０３５を含むプロトコルスタックをサポートする。これはアプリケーションデータレイヤトンネリングなので、クライアントアプリケーション１０１５がレイヤ４の上に位置する。ＩＣＵ１０１０では、プロトコルスタックはレイヤ４のＴＣＰ／ＵＤＰ１０４５、レイヤ３のＩＰ１０５０、レイヤ２のＭＡＣ１０５５、およびレイヤ１のＰＨＹ１０６０である。アプリケーションデータレイヤトンネリングのために、トンネルエンドポイント１０４０がレイヤ４の上に位置する。局１００５とＩＣＵ１０１０との間で伝達されるデータは、クライアントアプリケーション１０１５とエンドポイント１０４０との間でトンネリングされる。本明細書に記載するアプリケーションデータレイヤにおけるデータストリームのトンネリングは、先に記載したようにアプリケーションまたはカーネルにおけるデータストリームの傍受とともに使用することができ、または他の傍受方法とともに使用することができる。トンネリングは様々なネットワークレイヤにおいて実行することができ、トンネル内のデータも同様に様々なネットワークレイヤのものとすることができる。
【００６２】
図１１は、トンネリングのためにレイヤ３（ＩＰレイヤ）を使用する、一実施形態によるトンネリング構成を示すブロック図１１００である。図表１１００は、特定した類似要素が同じまたは同様である図１０の図表１０００と似ている。この例では、移動局１１０５は傍受したＩＰパケットをカプセル化し、それらをＩＰレイヤ１０２５を介して送信するクライアントアプリケーション１０１５を含み、カプセル化されたＩＰパケットはＩＰレイヤ１０２５から下位層スタック１０３０および１０３５に進む。ＩＣＵ１１１０では、ＩＰトンネリングのためにトンネルエンドポイント１０４０がＰＨＹレイヤ１０６０、ＭＡＣレイヤ１０５５、およびＩＰレイヤ１０５０の上にある。データはクライアントアプリケーション１０１５とエンドポイント１０４０との間でトンネリングされる。本明細書に記載するネットワークレイヤにおけるデータストリームのトンネリングは、カーネルまたは移動局におけるデータストリームの傍受とともに使用することができ、または他の傍受方法とともに使用することができる。
【００６３】
図１２は、移動局および関係するＩＣＵネットワークが、ＷｉＦｉインターフェイスおよびセルラインターフェイスなどの２つのインターフェイスをサポートする実施形態に関する、トラフィック切替アルゴリズムの動作を略述する流れ図１２００である。移動局でトラフィック切替アルゴリズムが始動されると（１２０５）、アルゴリズムはＷｉＦｉ接続が利用可能かどうかを判定する（１２１０）。利用できない場合、全てのデータトラフィックをセルラ無線チャネルを介して伝達する（１２２５）。ＷｉＦｉを利用できる場合、アルゴリズムはそのデータトラフィックが、例えば電話アプリケーションではなくブラウザに関連するかどうかを判定する（１２１５）。データトラフィックがブラウザに関連しない場合、全てのデータトラフィックをセルラチャネルを介して伝達する。
【００６４】
この例では、ブラウザトラフィックが、ある場合、データトラフィックの大半に相当し、ブラウザトラフィックが安全または非保護として指定され得ると仮定する。所与のブラウザ要求が安全な通信を指定する場合（１２２０）、データトラフィックはセルラ無線を介して伝達される１２２５。しかし要求が非保護トラフィックを指定する場合、データトラフィックはより安価なＷｉＦｉチャネルを介して伝達される（１２３０）。
【００６５】
図１３は、移動局１３０５がＩＣＵ１３１０からのデータストリームをアプリケーションレイヤにおいて傍受し、トンネリングするシステム１３００を示す。この実施形態では、アプリケーション１３１５が、通信タスクを行うために例えばカーネル１３２５からのシステムＡＰＩを使用する代わりに、クライアントロジック１３２０に対する関数呼び出しを使用する。クライアントロジック１３２０はアプリケーション１３１５からの全てのデータストリームを傍受し処理し、セッションの継続性を維持しながらデータトラフィックオフローディングのためにＩＣＵ１３１０へのトンネルを構築する。このトンネルはカーネル１３２５内に包含される全てのネットワークレイヤを介して、および２つの無線インターフェイス、そうしたＷｉＦｉインターフェイス１３３０およびセルラインターフェイス１３３５の一方または両方を介して構築される。
【００６６】
図１４は、移動局１４０５がカーネルレイヤにおいてデータストリームを傍受し、そのデータストリームをアプリケーションデータレイヤにおいてＩＣＵ１３１０にトンネリングするシステム１４００を示す。システム１４００は、類似の名前を付けた要素が同じまたは同様である図１３のシステム１３００と似ている。
【００６７】
システム１４００においてアプリケーション１３１５は、図１３の例にあるのと同じシステムＡＰＩを使用してカーネル１４１０が提供する関数にアクセスする。カーネル１４１０内に埋め込まれるクライアントロジック１４１５は、カーネル１４１０内のネットワークスタック１４２０より前のデータ処理経路内にある。クライアントロジック１４１５は、相変わらずネットワークスタック１４２０より前のアプリケーションレイヤにある、アプリケーション１３１５からの全てのデータストリームを傍受し処理する。クライアントロジック１４１５はさらに、セッションの継続性を維持しながらデータトラフィックオフローディングのためにＩＣＵ１３１０へのトンネルを構築する。このトンネルはネットワークスタック１４２０を介して、ならびにインターフェイス１３３０および１３３５の一方または両方を介して構築される。データストリームは、トンネルに入るとアプリケーションデータレイヤにおいてトンネリングされる。
【００６８】
図１５は、移動局１５０５がカーネルレイヤにおいてデータストリームを傍受し、そのデータストリームをネットワークデータレイヤにおいてトンネリングするシステム１５００を示す。システム１５００は、特定した類似要素が同じまたは同様である図１３のシステム１３００と似ている。
【００６９】
この実施形態においてアプリケーション１３１５は、図１３の実施形態と同じシステムＡＰＩを使用してカーネル１５１０が提供する関数にアクセスする。クライアントロジック１５２０がネットワークスタック１５１５内に埋め込まれ、そのネットワークスタック１５１５はカーネル１５１０の中にある。データ処理の経路上のクライアントロジック１５２０は、アプリケーション１３１５からの全てのデータストリームを傍受し処理し、セッションの継続性を維持しながらネットワーク接続間のデータトラフィックオフローディングのためにＩＣＵ１３１０へのトンネルを構築する。カーネル１５１０内にある間、データストリームは、ＩＰレイヤなどの特定のネットワークレイヤにある。トンネルはカーネル１５１０を介して、ならびにインターフェイス１３３０および１３３５の一方または両方を介して構築される。こうしてデータストリームは、ネットワークデータレイヤにおいてトンネリングされる。
【００７０】
図１６は、移動局１６０５がインターフェイスレイヤにおいてデータストリームを傍受し、そのデータストリームをネットワークデータレイヤにおいてトンネリングするシステム１６００を示す。システム１６００は、特定した類似要素が同じまたは同様である図１３のシステム１３００と似ている。
【００７１】
この実施形態では、仮想ネットワークインターフェイス１６２０が移動局１６０５内に含まれる。１つまたは複数のアプリケーションが、直接構成によりまたはカーネル１６１０のデフォルトにより、この仮想インターフェイス１６２０を使用するように構成される。仮想インターフェイス１６２０内のクライアントロジック１６２５がデータストリームを傍受し、セッションの継続性を維持しながらデータトラフィックオフローディングのためにＩＣＵ１３１０へのトンネルを構築する。トンネルはネットワークスタック１６１５を介して、ならびにインターフェイス１３３０および１３３５の一方または両方を介して構築される。こうしてデータストリームは、ネットワークデータレイヤにおいてトンネリングされる。
【００７２】
図１７は、別の実施形態によるネットワークシステム１７００を示す。ネットワークシステム１７００は、類似の名前を付けた要素が同じまたは同様である図１のネットワークシステム１００といくつかの点で似ている。システム１７００は、アクセスポイント１７０５によってサービス提供される企業ネットワークを２つのＷＬＡＮ１７１０および１７１５へと論理的に分ける無線アクセスポイント１７０５をさらに含み、それらのＷＬＡＮのうちの後者はオーバーレイネットワーク１７５０の一部である。
【００７３】
ＷＬＡＮ１７１０は、小規模／大規模の機関や住宅において随所にあるような私設ネットワークであり、何らかの私用記憶域１７２０およびＡＡＡサーバ１７２５を含む。ラップトップ１７３０によって表すローカル無線装置は、ＷＬＡＮ１７１０および記憶域１７２０にアクセスするために、およびインターネット情報源１１０にアクセスするためにＡＡＡサーバ１７２５によって認証される。ＷＬＡＮ１７１０の動作は従来型であり、当業者ならよく理解している。
【００７４】
構成要素ネットワーク１７１５は、ＷＡＰ１７０５で利用できる通信帯域幅の一部を使用してオーバーレイネットワーク１７５０へのアクセスを提供する。ＷＬＡＮ１７１０へのアクセスを承認されていない無線局は、オプションのＡＡＡサーバ１７３５を介して、またはオーバーレイネットワークセンタ１４０のリモートＡＡＡサーバ１５０と通信することで認証することによりこの帯域幅を活用することができる。事実上、ＷＡＰ１７０５は２つの仮想アクセスポイントである、オーバーレイネットワーク１７５０内のＬＡＮ１７１５用の仮想アクセスポイント、およびオーバーレイネットワーク外部のＷＬＡＮ１７１０用の仮想アクセスポイントへと分けられる。
【００７５】
１つのＷＡＰを２つ以上の仮想アクセスポイントに分けることには、いくつかの重要な利点がある。ことによると最も重要なことは、並々ならぬ市場浸透の可能性、ならびに比較的僅かな費用での結果として生じるカバレッジおよび帯域幅である。現在、付近の移動局が帯域幅の不足に遭いながら、何百万のＷＡＰが使われていない余剰帯域幅を有する。企業、政府機関、および私人は従来のＷＡＰの代わりにＷＡＰ１７０５のような分割されたＷＡＰを導入したくなる可能性がある。例えば企業は、内部情報を訪問者から保護しながら訪問者がインターネットにアクセスできるようにするために、従来のＷＡＰよりもそのような分割されたＷＡＰを選ぶ可能性がある。あるいは、分割されたＷＡＰの使用を促進するために、ＷＡＰに関連する料金または使用料を助成することができる。ＷＡＰ１７０５は、そのＷＡＰをサポートする企業を過度に妨げることがないように総帯域幅または利用可能帯域幅の一定の割合を外部ユーザに与えるように構成することができる。認証および他の管理機能は、ＡＡＡサーバ１５０のように遠隔的に行えるので、ＷＡＰ１７０５の企業、個人、または政府のオペレータはＷＬＡＮ１７１０外部のネットワークへのアクセスを準備する責任がないだろう。
【００７６】
無線装置のユーザは、無線ネットワーク間を移動できるようにするゲストアカウントを通常は設定する。あらかじめ、無線キャリアは自らの顧客が無線ネットワーク間をローミングすることを可能にするローミング協定を締結することができる。これらの取決めは、典型的には協定に携わるエンティティが雇う情報技術者（ＩＴプロフェッショナル）によって設定され、関与するネットワーク間でＡＡＡサーバ間接続を設定することを必要とする。そのような設定は複雑であり、ユーザが利用可能資源を活用することを妨げる。さらに、企業ＩＴはコストおよび複雑さを減らすために、しばしばそのような協定を見合わせ、または単純で安全でない構成を選択する。資源の共用を見合わせることは生産性を下げる一方、より低レベルのセキュリティはエンティティにセキュリティ違反、濫用、および潜在的責任を被らせる。
【００７７】
オーバーレイネットワーク１７５０は、構成要素ネットワークのオペレータに対する負担がほとんどまたは全くない状態で、別々に所有されまたは制御されるネットワーク間の移動局１０５の認証を容易にする。各構成要素ＷＬＡＮは、ＷＬＡＮ上の装置が互いに通信するために使用する固有のＳＳＩＤまたはサービスセットＩＤにより従来法で識別される。無線局上のＳＳＩＤは、クライアントのネットワーク設定にＳＳＩＤを入力することにより手動で、またはＳＳＩＤを未指定またはブランクにしておくことにより自動で設定することができる。ネットワーク管理者はアクセスポイントのための公開ＳＳＩＤを設定し、その公開ＳＳＩＤを範囲内の全ての無線装置にブロードキャストすることができる。一部のＷＡＰは、セキュリティを改善するために自動ＳＳＩＤブロードキャスト機能を無効にする。
【００７８】
オーバーレイネットワーク１７５０の全ての認証サービスをＡＡＡサーバ１５０が処理できるので、移動局は、ＡＡＡサーバが一般に行う認証および他のサービスのためにＡＡＡサーバ１５０を参照することができる任意のネットワークから情報源１１０に接続することができる。負担を和らげ、セキュリティ上の問題を回避することは、分割されたＷＡＰネットワークを採用すること、したがって共用オーバーレイネットワークを拡張することを促すものと期待される。同じく重要なことに、オーバーレイネットワークセンタ１４０は様々な構成要素ネットワークへのアクセスを制御し、そのためそれらのネットワーク間のハンドオフを管理することができる。こうして様々なエンティティによって制御されるＷＬＡＮ間のローミングを、それらのＷＬＡＮ間の複雑な取決めなしに、およびセキュリティに対する脅威なしに実現することができる。さらに、構成要素ネットワークに関連する企業ＩＴは、自らのユーザが広大なローミング資源にアクセスできるようにするために、オーバーレイネットワーク全体のためのゲストアカウントを容易に設定することができる。オーバーレイネットワーク１７５０の外側にあるネットワーク（例えばセルラネットワーク１１５）も同様に、オーバーレイネットワーク１７５０を介して自らの加入者がさらなる無線資源を利用できるようにすることができる。
【００７９】
オーバーレイネットワーク内の端末（移動局、デスクトップコンピュータ等）を設定するいくつかの方法がある。例えば、ＡＡＡサーバ１５０により、各端末にオーバーレイネットワーク１７５０用の別個のアクセスアカウント（ユーザ名およびパスワード）を割り当てることができる。ビジネスの観点では、この方法は各企業がローミング用の１つまたは複数の「シート（seats）」を受け取ることに等しい。例えば、単一の会社がその会社の社員によって共用されるＸ数の割り当てられたシートを有することがある。それらのユーザはアカウントＩＤを共有し、会社が割り当てるパスワードを有することができる。オーバーレイネットワーク１７５０の構成要素ネットワークの企業ＩＴは、これらのシートの情報を使って旅行者の端末を設定することができ、そのように設定することは、その旅行者が他の構成要素のネットワーク内にいるときにローミングアクセスを使用できるようにする。あるいは各ローミング端末を、その端末自体のホームネットワークの資格情報を使って動的に認証することができる。訪問端末を認証するために、オーバーレイネットワーク１７５０のＡＡＡサーバ１５０は訪問端末のホームＷＬＡＮのＡＡＡサーバへの接続を構築し、その接続を介して認証することができる。構成要素ネットワークのユーザは、こうして構成要素ネットワーク間をローミングする際に「シングルサインオン」エクスペリエンスを経験することができる。設定は安全で企業ＩＴにとって便利であり、オーバーレイネットワーク１７５０との単一のビジネス関係が、さもなければ各構成要素ネットワークとの管理不能な数の関係となり得る関係に取って代わる。
【００８０】
図１８は、それぞれが２つの仮想ネットワークに分割された１対の分割されたネットワーク１８０５および１８１０に接続される、図１および図１７のオーバーレイネットワークセンタ１４０を含むネットワーク１８００のブロック図である。１つの分割されたネットワークの２つの仮想ネットワークは、例えば図１７の構成要素ネットワーク１７１５および企業ネットワーク１７１０を実装するために使用することができる。
【００８１】
分割されたネットワーク１８０５は、ＡＡＡサーバ１８１８、企業無線コントローラ１８１５、および軽量アクセスポイント（ＬＡＰ）１８２５を含む。コントローラ１８１５は、２つのサービスセットＩＤ（ＳＳＩＤ）、つまりオーバーレイネットワークセンタ１４０に対して使用するためのＳＳＩＤと、ネットワーク１８０５にとってローカルな情報にアクセスするためのＳＳＩＤとを提供するように構成される。よく知られているように、ＳＳＩＤは特定の８０２．１１無線ＬＡＮを識別する名前である。コントローラ１８１５からの２つのＳＳＩＤは、セキュリティおよびトラフィック管理のために概して別個の仮想ローカルエリアネットワーク（ＶＬＡＮ）上に構成すべきである。ＬＡＰ１８２５は、２つのＳＳＩＤを提示する軽量無線プロトコルにより無線コントローラ１８１５によって制御／構成される。
【００８２】
ＬＡＰはよく知られているので詳しい解説は省く。手短に言えば、ＬＡＰは、無線コントローラが１組の無線アクセスポイントを制御／構成する方法を規定する１組のプロトコルをサポートする。異なる標準グループまたは会社に由来する多くの異なるが類似のプロトコルがある。それらのプロトコルには、ＩＥＴＦ（インターネット技術タスクフォース）によって標準化されたＣＡＰＷＡＰ（無線アクセスポイントの制御および提供）プロトコルが含まれる。（Ciscoによって買収された）Airespaceによる軽量アクセスポイントプロトコル（ＬＷＡＰＰ）ならびにAruba NetworkおよびMeru Networksによる競合する（が類似の）プロトコルが含まれる、企業無線製品において一般に使用されている非標準プロトコルもある。ＣＡＰＷＡＰは、Airespace/CiscoのＬＷＡＰＰに概ね基づく。用語「軽量」は、そのようなプロトコルが無線アクセス制御機能の大半をアクセスポイントから無線コントローラ内に移動するように設計されることを指す。そのような移動は、無線アクセスポイント装置がより単純になり、恐らくはより安価になることを可能にする。この無線制御機能は、典型的には消費者グレードのアクセスポイントの無線制御機能よりも複雑である。
【００８３】
軽量無線プロトコルが通常ＡＰとコントローラとの間のトンネルを構築するＬＷＡＰＰの例に戻る。トンネルは通常レイヤ３を越える。アクセスポイントはほとんどレイヤ２エンティティなので、レイヤ２データのほとんどが、処理するためにトンネルを介して無線コントローラに送られる。コントローラは、ＬＡＰへのトンネルにより、レイヤ２においてクライアントアプリケーションからの全てのデータを処理するので、レイヤ２プロトコル（ＩＥＥＥ８０２．１ｘなど）ならびにレイヤ３またはそれより高いプロトコルを使用してアクセス制御を管理することが可能である。パケットルーティングやＩＰアドレス割当および他の構成情報の取得など、コントローラは他のレイヤ２機能ならびにレイヤ３またはそれより高いレイヤの機能を実行し、提供することもできる。構成情報は、一般に動的ホスト構成プロトコル（ＤＨＣＰ）を使用して取得される。
【００８４】
分割されたネットワーク１８０５内で、ＬＡＰ１８２５はＬＡＰのカバレッジエリアに入ってくる移動局を検出する。検出される移動局内のクライアントソフトウェアがそのネットワークと結び付き、コントローラ１８１５が認証および承認をＡＡＡサーバ１８１８に渡す。コントローラ１８１５は要求側移動局がネットワーク１８０５にアクセスすることを承認することができ、またはオーバーレイネットワークへのアクセスをその移動局に与えるために、オーバーレイネットワークセンタ１４０内のＡＡＡサーバにより、さらなるまたは別個のアクセス特権を求めることができる。あるいは、ネットワークセンタ１４０と分割されたネットワーク１８０５との間で、ＡＡＡサーバ１８１８がローカルアクセスおよびオーバーレイネットワークアクセスを承認するための取決めを行うことができる。
【００８５】
分割されたネットワーク１８１０は、ＡＡＡサーバ１８１８、無線コントローラ１８２０、およびＬＡＰ１８２５を含む。ＬＡＰは２つの仮想ＬＡＰ１８３０および１８３５に分割され、そのそれぞれはＬＡＰと全く同じに機能し、ネットワーク１８１０にとってローカルな資源へのアクセスを必要とする企業移動局に、およびオーバーレイネットワークへのアクセスを必要とするゲスト移動局に無線アクセス用のＳＳＩＤを提供する。
【００８６】
ＬＡＰ１８２５は、自らのカバレッジエリアに入ってくる移動局を検出する。これが起こると、移動局内のクライアントソフトウェアがネットワーク１８１０と結び付き、無線コントローラ１８２０がＡＡＡサーバ１８１８を使用して、分割されたネットワーク１８０５に関連して上述した方法で無線装置を認証する。
【００８７】
図１９は、一実施形態による、複数の仮想アクセスポイントへと分割されたＷＡＰ１９００を示す。ＷＡＰ１９００は２つの無線側インターフェイス１９０５および１９１０を含み、そのそれぞれは２つの無線キュー１９２０および１９２５のそれぞれを介して共通のデータ処理／アクセス制御ブロック１９１５に結合される。制御ブロック１９１５は、ネットワーク側データキュー１９３０を介してネットワーク側インターフェイス１９３５と通信する。ネットワーク側インターフェイスは有線または無線とすることができ、２つ以上あってもよい。
【００８８】
無線局（不図示）の観点からは、各インターフェイス１９０５および１９１０が別個のアクセスポイントに見える。このようにして、単一の物理ＡＰを使い複数の仮想ＡＰを実現する。単一のデータ処理／アクセス制御ブロック１９１５が全てのデータを処理し、これらの仮想ＡＰの両方へのアクセスを管理する。各キューは、１つのユニットとして図示するが、例えば入力データおよび出力データのための複数のキューを含んでもよく、異なるデータフローごとに、例えば異なるサービス品質（ＱｏＳ）クラスごとに別個のデータキューがあってもよい。
【００８９】
この実施形態では、たとえ仮想ＡＰのそれぞれのデータフローが異なるキューを通過しても、データ処理／アクセス制御ブロック１９１５は１つしかない。レイヤ２以上のＡＰ機能のほとんどが、このユニットによって処理され得る。例えばこれらのＡＰ機能は、Linux Packet FilterとともにLinuxカーネルのネットワーク部分を使用して実装することができる。そのような実施形態ではキュー処理およびパケット処理の多くが同じLinuxカーネルプロセスを経るので、異なる仮想ＡＰ間の（静的または動的）資源割当が困難であり得る。１つのプロセスで複数のデータフローを処理することに起因する複雑さもある。一部の仮想ＡＰの遠隔管理は、管理データフローおよび様々な仮想ＡＰの移動局からのデータフローの混合と同じように、この実施形態ではセキュリティ上の危険を招く。したがって機密情報を扱うアプリケーションでは、これらの問題に対処するために注意を払うべきである。
【００９０】
図２０は、別の実施形態による、複数の仮想アクセスポイントへと分割されたＷＡＰ２０００を示す。ＷＡＰ２０００は、特定した類似要素が同じまたは同様である図１９のＷＡＰ１９００と似ている。この実施形態は、仮想アクセスポイントを規定するソフトウェアを実行する従来の無線アクセスポイントと同じハードウェアを使用して実施することができる。
【００９１】
概して移動局は、ＡＰが使用するＢＳＳＩＤ（基本サービスセットＩＤ）および／またはＳＳＩＤ（サービスセットＩＤ）により、様々なＡＰを識別する。ＢＳＳＩＤは、無線インターフェイスのメディアアクセス制御（ＭＡＣ）アドレスであり、ＳＳＩＤは通常はＡＰのオペレータによって割り当てられる名前文字列（name string）である。ＳＳＩＤおよびＢＳＳＩＤは、ＡＰによってブロードキャストされるビーコン内に通常含まれる。（ＡＰによってブロードキャストされ、または証明後に伝送される）ビーコンを受信した移動局は、ＡＰを特定し、そのＡＰに対する接続を開始することができる。従来の形式では、各ＡＰが１つのＳＳＩＤおよび１つのＢＳＳＩＤを使用し、よって移動局にとっては１つのＡＰとして見られた。
【００９２】
８０２．１１標準の一部でないとはいえ、一部の無線インターフェイスは複数のＳＳＩＤおよび複数のＢＳＳＩＤさえもサポートできる場合がある。これは無線インターフェイスドライバ１１６０によって制御することができる。この設定がインターフェイスドライバによって構成される場合、ＡＰは（場合によっては異なるＢＳＳＩＤを有する）複数のビーコンおよび／または各ビーコン内で複数のＳＳＩＤをブロードキャストし、もしくは伝送する（よく知られているように、ビーコン使用可能ネットワークはビーコンを同期信号として周期的に伝送する）。無線局の観点からは、接続を供給する複数のＡＰがあるように見える。このようにして、単一の物理ＡＰを使い複数の仮想ＡＰを実現する。
【００９３】
無線インターフェイスのビーコンは、多様な方法で構成することができる。概して、各ビーコンは１つのＢＳＳＩＤを使用するが、１つまたは複数のＳＳＩＤを有してもよい。さらに、複数のビーコンを使用することが可能である。以下にいくつかのよくある可能性を列挙する。複数のビーコンであり、各ビーコンは単一のＳＳＩＤを有し、各ビーコンは異なるＳＳＩＤおよびＢＳＳＩＤを有する。複数のビーコンであり、各ビーコンは単一のＳＳＩＤを有し、全てのビーコンが同じＢＳＳＩＤを共用しながら異なるＳＳＩＤを有する。単一のビーコン（したがって単一のＢＳＳＩＤ）であり、そのビーコンは複数のＳＳＩＤを含む。上記のものの組合せを使用してより複雑なシナリオを作成してもよい。例えば、それぞれが複数のＳＳＩＤを有する複数のビーコンを使用することができる。
【００９４】
図２０では、無線インターフェイスドライバ２００５を無線インターフェイス２０１０から明確に離して描いた。インターフェイス２０１０は、データキュー１９２０および１９２５のために、様々なＳＳＩＤおよびＢＳＳＩＤを用いてビーコンを送り、通信チャネルを設定するようにドライバ２００５によって制御され得る。最終結果は、無線移動局が同一物理ＡＰによって提供される複数の仮想ＡＰを認識することである。図１９の例にあるように、アクセスポイント２０００はデータ処理／アクセス制御ブロック１９１５を１つしか含まない。その結果、図１９の実施形態に関して上述した制限がここでも等しく該当する。
【００９５】
図２１は、図１７のＷＡＰ１７０５の一実施形態である、ＷＡＰ２１００のブロック図である。ＷＡＰ２１００は、無線側インターフェイス２１１０およびネットワーク側インターフェイス２１１５、２つの仮想アクセスポイントＶＡＰ１およびＶＡＰ２、ならびに２つの仮想アクセスポイント間の調停をするスケジューラ２１２０を含む。他の実施形態では、追加の仮想アクセスポイントを含むことができる。無線側インターフェイス２１１０は、移動局１０５などの無線装置と通信し、ネットワークインターフェイス２１１５は、任意の適切な有線または無線ネットワーク接続を介してオーバーレイネットワークセンタ１４０と通信する。ＶＡＰ１およびＶＡＰ２のそれぞれは、従来のアクセスポイントとして機能する。それぞれが無線側キュー２１２５／２１３０、アクセス制御ユニット２１３５／２１４０、およびネットワーク側キュー２１４５／２１５０を含む。スケジューラ２１２０は、スケジューラ２１２０内に物理的に組み込まれ、またはプログラムされた規則セットを使用してＶＡＰ１およびＶＡＰ２の相対帯域幅を制御する。
【００９６】
仮想アクセスポイントＶＡＰ１／ＶＡＰ２の間には完全な分離があり、それらの仮想アクセスポイントは、共用物理メモリまたは別個の物理メモリ内に異なるアドレス空間を有することができる。別個のアドレス空間は、仮想アクセスポイントを介して通信するネットワーク間の安全なバリアを提供する。さらに、この２つの仮想アクセスポイントは別々に、および別個のエンティティにより構成することができる。例えばそれぞれのネットワークの管理者に、仮想アクセスポイントのそれぞれに関係するパラメータを設定するための別個の管理インターフェイス（例えばウェブベースの構成ページ）を提示することができる。パーティショニング、動的スケジューリングなど、仮想アクセスポイント間の構成（inter-virtual-access-point configuration）のための別個の構成インターフェイスもあり得る。
【００９７】
仮想アクセスポイント間で資源のパーティションを動的に調節できることは、一部の実施形態の重要な側面である。例えば、物理装置および１つまたは複数の仮想アクセスポイントの所有者、管理者、およびユーザは異なるエンティティとすることができ、それらのエンティティ間で様々なビジネス協定を整備することができる。例えば、各種のサービスプランはそれぞれに異なるサービスレベルおよび支払レートを提供することができる。パーティション境界、スケジュール、帯域幅上限などのサービスパラメータは、仮想アクセスポイント間で動的に調節することができる。そのような割当はスケジューラが処理することができる。任意選択的に、これらは仮想アクセスポイントの管理者によって遠隔的に制御されてもよい。以下の例は、説明のための例である。
【００９８】
ＷＡＰ２１００の所有者は、相互アクセスや料金など、何らかのサービスと引き換えに訪問装置にアクセスを許可することに同意することができる。そのようなアクセスは、例えばＷＡＰ２１００の総可用帯域幅の１０％以下に制限することができる。帯域幅のパーティションは、実際の使用量または予期される使用量とともに動的に変わり得る。例えば、共用帯域幅は、ピーク使用時間中は２５％以下に、オフピーク使用時間中は４０％以下に設定することができ、または所有者が使用していない資源のうち例えば８５％まで割り当てるように設定することができる。スケジューラはさらに、接続を開始するユーザのプロファイルに基づいてトラフィックをスケジュールするように指示され得る。プレミアムアカウントを有するユーザは、より高い割合の資源（例えば可用帯域幅の５０％）、または自らのリアルタイムデータトラフィック（例えばビデオトラフィック）のキューにおいてより高い優先順位を使用することができる一方、基本加入のユーザはより低いレベル（例えば可用帯域幅の１０％）に制限される。複数の仮想アクセスポイント間で帯域幅を共用するための他の多くの規定があり得る。
【００９９】
現代のコンピュータ技術は仮想化においてかなりの進化を経てきた。１台または複数台の仮想機械として、ハードウェア計算プラットフォームを示すことができる。それらの仮想機械上でオペレーティングシステム（ＯＳ）およびアプリケーションを実行することができ、その場合、そのＯＳは一般にゲストＯＳと呼ばれる。ゲストＯＳの観点から、ゲストＯＳは専用の物理プラットフォーム上で実行され、そのプラットフォームの全ての資源の制御権を有する。このようにして、複数のオペレーティングシステム（およびそれらのインスタンス）を同じ物理プラットフォーム上で実行することができる。その利点は、大抵はハードウェア利用率が改善されることである。仮想化の概念は、一部の実施形態によるＷＡＰに適用される。つまり、単一の物理ＷＡＰ上で複数のＶＡＰを仮想インスタンスとして実行することができる。
【０１００】
図２２は、その内部が仮想化されたプラットフォーム上の２つのインスタンス化された仮想ＡＰインスタンスＶＡＰ１およびＶＡＰ２である、ＡＰ２２００の一実施形態を示す。ＶＡＰ１およびＶＡＰ２は、仮想無線側インターフェイス２２８１／２２８２、無線キュー２２２１／２２２２、データ処理／アクセス制御ユニット２２３１／２２３２、ネットワーク側データキュー２２４１／２２４２、および仮想ネットワーク側インターフェイス２２５１／２２５２をそれぞれ含む。ＶＡＰ１およびＶＡＰ２は、物理インターフェイス２２１０および２２５０を介して外部ネットワークと通信する。仮想化された各アクセスポイントＶＡＰ１およびＶＡＰ２は、物理インターフェイスを介して伝達される信号のために、自らのＢＳＳＩＤおよびＳＳＩＤを設定するように構成される。したがってアクセスポイント２２００は、無線移動局の観点からは複数のアクセスポイントに見える。仮想アクセスポイントＶＡＰ１およびＶＡＰ２のそれぞれのコンポーネントは、完全に別個のアドレス空間内で、および異なる処理状況で実行され得る。この論理的分離は、非常にクリーンなデータ分離およびセキュリティを提供する。
【０１０１】
スケジューラ２２７０は、仮想アクセスポイント間で資源（例えば処理タイムスロット、帯域幅等）を割り当てる。この実施形態では、スケジューラ２２７０をいくつかの異なる方法で実装することができる。例えばスケジューラ２２７０は、別個の仮想環境内に実装することができ、図２２に示す定められた制御インターフェイスを介して各仮想アクセスポイントＶＡＰ１／ＶＡＰ２を制御することができる。スケジューラ２２７０は、仮想化レイヤによって資源を割り当てることもできる。例えばスケジューラ２２７０は、仮想機械のそれぞれがどれ位の処理時間または帯域幅をもらうのかを決定し、それにより各仮想アクセスポイントの実行を調整することができる。
【０１０２】
先に詳述した仮想アクセスポイントは、網羅的な羅列を表すものではなく、各実施形態の要素を他の実施形態からの要素と組み合わせて使用することができる。
【０１０３】
本明細書に記載した回路の１つまたは複数を含む集積回路または集積回路の一部を設計するプロセスの出力は、例えば磁気テープや光ディスクまたは磁気ディスクなどのコンピュータ可読媒体とすることができる。コンピュータ可読媒体は、集積回路または集積回路の一部として物理的にインスタンス化することができる回路を記述するデータ構造または他の情報を用いて符号化することができる。そのような符号化には様々な形式を使用することができるが、これらのデータ構造は、一般にカルテック中間形式（ＣＩＦ）、カルマＧＤＳＩＩストリーム形式（ＧＤＳＩＩ）または電子設計交換形式（ＥＤＩＦ）で書かれる。集積回路設計の熟練者は、上記に詳述した種類の概略図および対応する説明からそうしたデータ構造を開発し、そのデータ構造をコンピュータ可読媒体上に符号化することができる。集積回路製造の熟練者は、そのような符号化されたデータを用いて、本明細書に記載した回路の１つまたは複数を含む集積回路を製作することができる。
【０１０４】
本発明を特定の実施形態に関して説明してきたが、それらの実施形態の改変形態も考えられる。例えば補助ネットワークに使用する技術もＷｉＦｉに限定されず、ＷｉＭａｘやホワイトスペース無線などの多くの既存技術または先端技術のいずれか１つまたは組合せとすることもできる。さらに、補助ネットワークは（展開されたアクセスポイントを有する）実際のアクセスネットワークまたは仮想的な集約された仮想ネットワークとすることができる。データストリーム傍受またはトンネリングの別の方法を使用することができ、上記に記載した実施形態または他の実施形態とともに使用することができる制御アルゴリズムおよび経路選択アルゴリズムの多くの組合せがある。さらにほかの改変形態が当業者には明らかである。さらに、一部のコンポーネントを互いに直接接続して図示する一方、他のコンポーネントは中間コンポーネントを介して接続して図示した。各例において、相互接続または「結合」の方法は、いくらかの望ましい電気通信を確立する。当業者なら理解するように、そのような結合は、様々な種類の中間コンポーネントおよび回路を使用して多くの方法でしばしば実現することができる。したがって、特許請求の範囲の趣旨および範囲は前述の説明に限定されるべきではない。「〜のための手段」または「〜のためのステップ」を特に挙げる請求項だけを、米国特許法第１１２条第６段落の下で要求される方法で解釈すべきである。
【図１】
2013507039.tif 000003
【図２】
2013507039.tif 000004
【図３】
2013507039.tif 000005
【図４】
2013507039.tif 000006
【図５】
2013507039.tif 000007
【図６】
2013507039.tif 000008
【図７】
2013507039.tif 000009
【図８】
2013507039.tif 000010
【図９】
2013507039.tif 000011
【図１０】
2013507039.tif 000012
【図１１】
2013507039.tif 000013
【図１２】
2013507039.tif 000014
【図１３】
2013507039.tif 000015
【図１４】
2013507039.tif 000016
【図１５】
2013507039.tif 000017
【図１６】
2013507039.tif 000018
【図１７】
2013507039.tif 000019
【図１８】
2013507039.tif 000020
【図１９】
2013507039.tif 000021
【図２０】
2013507039.tif 000022
【図２１】
2013507039.tif 000023
【図２２】
2013507039.tif 000024
【国際調査報告】
2013507039.tif 000025
2013507039.tif 000026