(57)【要約】  本発明は、通信デバイスが、アクセス制御ユニットを介してサービスプロバイダに結合された、サービスプロバイダによって供給されるプリペイドサービスにアクセスする特定のユーザをアカウント処理するための方法であって、プリペイドサービスに特定のユーザがアクセスすることを許可する許可を、認証サーバからアクセス制御ユニットに送信するステップと、許可を送信した後、プリペイドサービスへのアクセスを通信デバイスに許すステップとを含む方法に関する。本発明による方法は、アクセス制御ユニットからアカウント処理サーバに通知を送信して、特定のユーザがサービスプロバイダへのアクセスを得たことを通知するステップと、サービス使用量に応じて特定のユーザに割り当てられたクォータを減分するステップと、クォータが使い果たされた後、特定のユーザをサービスプロバイダから切断するよう、アカウント処理サーバからアクセス制御ユニットに要求を送信するステップと、切断するよう要求した後、サービスプロバイダへのアクセスをロックするステップとをさらに含む。また、本発明は、アクセス制御ユニットにも関する。
2008518291.tif 000002
【特許請求の範囲】
【請求項１】
認証サーバ（３３）からアクセス制御ユニット（２１）に許可（２０１）を送信して、特定のユーザ（１）が、サービスプロバイダにアクセスすることを許可されるステップと、
許可（２０１）を送信した後、前記アクセス制御ユニットにおいて、前記サービスプロバイダへのアクセス（１０６）を通信デバイス（１１）に許すステップとを含む、前記アクセス制御ユニット（２１）を介して前記サービスプロバイダ（３１）に結合された前記通信デバイス（１１）から、前記サービスプロバイダ（３１）によって供給されるプリペイドサービスにアクセスする前記特定のユーザ（１）をアカウント処理するための方法であって、
前記アクセス制御ユニットからアカウント処理サーバ（３２）に通知（２０４）を送信して、前記特定のユーザが前記サービスプロバイダへのアクセスを得たことを、前記アクセス制御ユニットが前記アカウント処理サーバに通知するステップと、
サービス使用量に応じて前記特定のユーザに割り当てられたクォータ（３０１、３１１）を減分するステップと、
前記クォータが使い果たされた後、前記アカウント処理サーバから前記アクセス制御ユニットに第１の要求（２０５）を送信して、前記特定のユーザを前記サービスプロバイダから切断するよう、前記アカウント処理サーバが、前記アクセス制御ユニットに要求するステップと、
切断するよう要求した後、前記サービスプロバイダへの前記アクセスをロックして、前記サービスプロバイダに前記通信デバイスがアクセスするのを防止するステップとをさらに含むことを特徴とする、方法。
【請求項２】
前記許可を受信すると、前記アクセス制御ユニットから前記アカウント処理サーバに第２の要求（２０２）を送信して、前記特定のユーザが前記サービスプロバイダにアクセスするのに十分なクォータを有するかどうかを、前記アクセス制御ユニットが前記アカウント処理サーバに尋ねるステップをさらに含むこと、および前記特定のユーザが前記サービスプロバイダにアクセスするのに十分なクォータを有するという条件付きで、前記アクセスを許可するステップが、実行されることを特徴とする、請求項１に記載の方法。
【請求項３】
前記クォータが時間ベースであることを特徴とする、請求項１に記載の方法。
【請求項４】
前記クォータが、量ベースであること、および
前記アクセス制御ユニットにおいて、通信の１方向、または両方向で、前記通信デバイスと前記サービスプロバイダの間において実質的に一定の時間間隔で交換されたトラフィックの量を測定するステップと、
前記アクセス制御ユニットから前記アカウント処理サーバに更新レポート（２０６ａ、２０６ｂ）を送信して、前記アクセス制御ユニットが、前記トラフィック量を前記アカウント処理サーバに報告するステップとをさらに含むことを特徴とする、請求項１に記載の方法。
【請求項５】
前記クォータが、所定の閾値を下回った場合に、前記アカウント処理サーバから前記アクセス制御ユニットに第３の要求（２０７）を送信して、前記時間間隔を短縮するよう、前記アカウント処理サーバが前記アクセス制御ユニットに要求するステップをさらに含むことを特徴とする、請求項４に記載の方法。
【請求項６】
認証サーバ（３３）から許可（２０１）を受信して、特定のユーザ（１）が、サービスプロバイダ（３１）にアクセスすることを許可され、許可（２０１）が受信されると、前記サービスプロバイダ（３１）に通信デバイスがアクセス（１０６）することを許すように構成されたアクセス制御手段（１０５）を含む、プリペイドサービスを供給する前記サービスプロバイダ（３１）への、前記特定のユーザ（１）によって操作される通信デバイス（１１）のアクセスを制御するように構成されたアクセス制御ユニット（２１）であって、
前記アクセス制御手段に結合されており、アカウント処理サーバ（３３）に通知（２０４）を送信して、前記特定のユーザが前記サービスプロバイダへのアクセスを得たことを、前記アクセス制御ユニットが前記アカウント処理サーバに通知し、
前記アカウント処理サーバから第１の要求（２０５）を受信して、前記特定のユーザを前記サービスプロバイダから切断するよう、前記アカウント処理サーバが前記アクセス制御ユニットに要求するように構成されたローカルアカウント処理手段（１０４）をさらに含むこと、および
前記アクセス制御手段が、前記第１の要求を受信すると、前記サービスプロバイダへの前記アクセスをロックして、前記サービスプロバイダに前記通信デバイスがアクセスするのを防止するようにさらに構成されることを特徴とする、ユニット（２１）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御ユニットを介してサービスプロバイダに結合された通信デバイスから、サービスプロバイダによって供給されるプリペイドサービスにアクセスする特定のユーザをアカウント処理するための方法であって、
認証サーバから前記アクセス制御ユニットに許可を送信して、前記特定のユーザが、前記サービスプロバイダにアクセスすることを許可されるステップと、
許可を送信した後、前記アクセス制御ユニットにおいて、前記サービスプロバイダへのアクセスを前記通信デバイスに許すステップとを含む方法に関する。
【背景技術】
【０００２】
サービスプロバイダは、ユーザトラフィックを伝送するための特定のネットワークリソースにユーザがアクセスすることを許す、または特定のコンテンツ、または特定のアプリケーションをユーザに供給する。サービスプロバイダは、ビジネス組織ではなく、そのようなサービスを供給するための技術的手段のセットであることが意図されている。
【０００３】
サービスプロバイダの例が、インターネットへのアクセスをユーザに提供し、電子メール、Ｗｅｂホスティングなどのサービスを供給するＩＳＰ（インターネットサービスプロバイダ）、ビデオ映画、ビデオチャネルなどのコンテンツを配信するため、および／またはオンラインゲーム、テレビ会議などのアプリケーションを供給するためのコンテンツプロバイダである。
【０００４】
アクセス制御ユニットが、特定のユーザに、サービスプロバイダへのアクセスを提供する。アクセス制御ユニットは、認証サーバと協働して、特定のユーザがサービスプロバイダにアクセスすることを許されているかどうかを調べる。
【０００５】
認証サーバは、通常、パスワード、ユーザ証明書などの、ユーザが供給する資格証明の認証を行い、認証およびポリシー制御に合格すると、許可をアクセス制御ユニットに戻して、ユーザが、指定されたサービスプロバイダにアクセスすることを許可される。
【０００６】
その時点以降、その特定のユーザと、指定されたサービスプロバイダの間でトラフィックを伝送するためのデータ交換手段が、アクセス制御ユニット内で有効にされて、その特定のユーザに特定のサービスのデリバリが行われることが許される。
【０００７】
そのようなアクセス制御方法の例が、８０２．１Ｘポートベースのアクセス制御、ＰＰＰベースのアクセス制御、ＤＨＣＰベースのアクセス制御などである。
【０００８】
そのようなアクセス制御ユニットの例が、ＤＳＬＡＭ（デジタル加入者線アクセスマルチプレクサ）、ＢＲＡＳ（ブロードバンドリモートアクセスサーバ）、ブリッジ、ルータなどである。
【０００９】
そのような認証サーバの例が、ＩＥＴＦ（インターネットエンジニアリングタスクフォース）によって公表されたＲＦＣ（コメント要求）２８６５において定義される、Ｒａｄｉｕｓサーバ、ＲＦＣ３５８８において定義されるＤｉａｍｅｔｅｒサーバなどである。
【００１０】
そのような認証の例が、Ｒａｄｉｕｓ  ａｃｃｅｓｓ＿ａｃｃｅｐｔメッセージである。
【００１１】
ＩＥＴＦおよび３ＧＰＰ２（第３世代パートナーシッププロジェクト２）標準化機構は、認証サーバを使用して、プリペイドサービスを提供するソリューションを得ている。このソリューションは、ｄｒａｆｔ−ｌｉｏｒ−ｒａｄｉｕｓ−ｐｒｅｐａｉｄ−ｅｘｔｅｎｓｉｏｎｓ−０２．ｔｘｔドキュメント（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｆｔｓ／ｄｒａｆｔ−ｌｉｏｒ−ｒａｄｉｕｓ−ｐｒｅｐａｉｄ−ｅｘｔｅｎｓｉｏｎｓ−０５．ｔｘｔにおいてダウンロード可能である）、および３ＧＰＰ２  Ｘ．Ｓ００１１−００６−Ｃドキュメント（ｗｗｗ．３ｇｐｐ２．ｏｒｇ／Ｐｕｂｌｉｃ＿ｈｔｍｌ／ｓｐｅｃｓ／Ｘ．Ｓ００１１−００６−Ｃ−ｖ１．０．ｐｄｆにおいてダウンロード可能である）において説明されている。
【００１２】
簡単に述べると、ユーザが、プリペイドサービスへのアクセスを要求すると、認証サーバは、認証メッセージの中で、ユーザが消費することができる、あるクォータ（ｑｕｏｔａ）（またはクレジット）をアクセス制御ユニットに戻す。クォータは、ユーザが、サービスプロバイダに接続されたままであることが可能な時間、またはユーザが、サービスプロバイダと交換することができるトラフィックの量である。
【００１３】
アクセス制御ユニットは、消費されたリソースを測定し、それらのリソースを、許可されたクォータと比較する。クォータが達成されて無くなると、アクセス制御ユニットは、認証サーバに、さらなるクォータを求める。認証サーバは、それらの要求を処理するか、またはプリペイドサーバに委託する。
【００１４】
認証サーバをアカウント処理能力およびプリペイド能力で拡張すること、および／または複数のサーバにわたってアカウント処理リソースを重複させることは、問題がある。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
本発明の目的は、レガシー機器およびレガシープロトコルに対する良好な下位互換性を提供しながら、ネットワークアーキテクチャ、ならびにアクセス制御ユニットおよび認証サーバの実施を単純化することである。
【課題を解決するための手段】
【００１６】
本発明によれば、この目的は、前記方法が、
前記アクセス制御ユニットからアカウント処理サーバに通知を送信して、前記特定のユーザが前記サービスプロバイダへのアクセスを得たことを、前記アクセス制御ユニットが前記アカウント処理サーバに通知するステップと、
サービス使用量に応じて前記特定のユーザに割り当てられたクォータを減分するステップと、
前記クォータが使い果たされた後、前記アカウント処理サーバから前記アクセス制御ユニットに要求を送信して、前記特定のユーザを前記サービスプロバイダから切断するよう、前記アカウント処理サーバが、前記アクセス制御ユニットに要求するステップと、
切断するよう要求した後、前記サービスプロバイダへの前記アクセスをロックして、前記サービスプロバイダに前記通信デバイスがアクセスするのを防止するステップとをさらに含むことにより、達せられる。
【００１７】
アクセス制御ユニットは、特定のプリペイドサービスを提供するサービスプロバイダへのアクセスが、特定のユーザに許されるといつでも、アカウント処理サーバに通知する。
【００１８】
通知されると、アカウント処理サーバは、サービス使用量に基づき、その特定のユーザに割り当てられたクォータを減分することを始める。
【００１９】
クォータが消費されると、アカウント処理サーバは、サービスプロバイダからユーザを切断するよう、アクセス制御ユニットに要求する。その結果、ユーザとサービスプロバイダの間でトラフィックを伝送するためにセッション開始時に有効にされたデータ交換手段が、現時点で、無効にされる。
【００２０】
本発明による方法は、アクセス制御ユニットが、繰り返し、さらなるクォータを求める必要がもはやないという点で、有利である。代わりに、アクセス制御ユニットは、特定のユーザが、サービスプロバイダから切断されるといつでもアカウント処理サーバに通知が行われることに完全に依拠して、処理負荷およびネットワーク負荷が低減され、アクセス制御ユニットおよび認証サーバの実施が単純化される。
【００２１】
本発明のさらなる利点は、アカウント処理が、この場合、単一の場所で行われて、データの完全性および機密性が向上することである。
【００２２】
本発明による方法の実施形態は、前記許可を受信すると、前記アクセス制御ユニットから前記アカウント処理サーバに第２の要求を送信して、前記特定のユーザが前記サービスプロバイダにアクセスするのに十分なクォータを有するかどうかを、前記アクセス制御ユニットが前記アカウント処理サーバに尋ねるステップをさらに含むこと、および前記特定のユーザが前記サービスプロバイダにアクセスするのに十分なクォータを有するという条件付きで、前記アクセスを許可するステップが、実行されることを特徴とする。
【００２３】
アカウント処理サーバは、アクセス制御ユニットからのトリガ時に、そのユーザがサービスプロバイダにアクセスするいくらかのクォータが、依然として残っているかどうかを調べ、あるいは、代替として、ユーザのクォータが、所定の閾値より高いかどうかを調べる。クォータが、残っている、または閾値より高い場合、アカウント処理サーバは、肯定応答をアクセス制御ユニットに戻す。アクセス制御ユニットは、その肯定応答を待ってから、アクセスを許可して、サービスプロバイダに、クレジットが使い果たされたユーザがアクセスすることを防止する。
【００２４】
本発明の方法の別の実施形態は、前記クォータが、時間ベースであることを特徴とする。
【００２５】
時間ベースである場合、アカウント処理サーバは、アクセス制御ユニットとのさらなる対話なしに、消費された時間を単独で算出することができる。許可された時間が経過すると、アカウント処理サーバは、ユーザセッションが終了すべきであるとアクセス制御ユニットに通知する。
【００２６】
本発明による方法の別の実施形態は、前記クォータが、量ベースであること、および前記方法が、
前記アクセス制御ユニットにおいて、通信の１方向、または両方向で、前記通信デバイスと前記サービスプロバイダの間において実質的に一定の時間間隔で交換されたトラフィックの量を測定するステップと、
前記アクセス制御ユニットから前記アカウント処理サーバに更新レポートを送信して、前記アクセス制御ユニットが、前記トラフィック量を前記アカウント処理サーバに報告するステップとをさらに含むことを特徴とする。
【００２７】
前記アクセス制御ユニットは、実質的に一定の時間間隔で、通信プロトコルスイートにおける所定のサービスアクセスポイントにおいて、通信デバイスとサービスプロバイダの間で交換されるトラフィック（またはペイロード）の量を測定する。
【００２８】
測定されたペイロードが、次に、アカウント処理サーバに報告され、割り当てられたクォータから引かれて、アカウント処理サーバが、消費されたリソースを常に把握していることが可能になる。
【００２９】
本発明による方法のさらなる実施形態は、前記クォータが、所定の閾値を下回った場合に、前記方法が、前記アカウント処理サーバから前記アクセス制御ユニットに第３の要求を送信して、前記時間間隔を短縮するよう、前記アカウント処理サーバが前記アクセス制御ユニットに要求するステップをさらに含むことを特徴とする。
【００３０】
クォータが、所定の閾値を下回ると、アカウント処理サーバは、より速いペースでレポートを更新するよう、アクセス制御ユニットに求めて、アカウント処理細分性を向上させ、サービス使用量が、許されたクォータを超える確率を低減する。
【００３１】
また、本発明は、プリペイドサービスを供給するサービスプロバイダへの、特定のユーザによって操作される通信デバイスのアクセスを制御するように構成されたアクセス制御ユニットであって、
認証サーバから許可を受信して、前記特定のユーザが、前記サービスプロバイダにアクセスすることを許可され、
許可が受信されると、前記サービスプロバイダに前記通信デバイスがアクセスすることを許すように構成されたアクセス制御手段を含むユニットにも関する。
【００３２】
本発明によるアクセス制御ユニットは、前記アクセス制御手段に結合され、
アカウント処理サーバに通知を送信して、前記特定のユーザが前記サービスプロバイダへのアクセスを得たことを、前記アクセス制御ユニットが前記アカウント処理サーバに通知し、
前記アカウント処理サーバから第１の要求を受信して、前記特定のユーザを前記サービスプロバイダから切断するよう、前記アカウント処理サーバが前記アクセス制御ユニットに要求するように構成されたローカルアカウント処理手段をさらに含むこと、および
前記アクセス制御手段が、前記第１の要求を受信すると、前記サービスプロバイダへの前記アクセスをロックして、前記サービスプロバイダに前記通信デバイスがアクセスするのを防止するようにさらに構成されることを特徴とする。
【００３３】
本発明によるアクセス制御ユニットの諸実施形態は、本発明による方法の諸実施形態に対応する。
【００３４】
特許請求の範囲においても使用される、「含む」という用語は、その用語の後に列挙される手段に限定されるものと解釈されてはならないことに留意されたい。このため、「手段Ａと、手段Ｂとを含むデバイス」という表現の範囲は、構成要素Ａおよび構成要素Ｂだけから成るデバイスに限定されてはならない。この表現は、本発明に関して、デバイスの、関連する構成要素は、ＡおよびＢであることを意味する。
【００３５】
同様に、特許請求の範囲においても使用される「結合された」という用語は、直接の接続だけに限定されるものと解釈されてはならないことに留意されたい。このため、「デバイスＢに結合されたデバイスＡ」という表現の範囲は、デバイスＡの出力が、デバイスＢの入力に直接に接続された、および／またはその逆のデバイスまたはシステムに限定されてはならない。この表現は、Ａの出力とＢの入力の間、および／またはその逆においてパスが存在し、そのパスは、他のデバイスまたは手段を含むパスである可能性があることを意味する。
【００３６】
添付の図面と併せて解釈される実施形態の以下の説明を参照することにより、本発明の以上、およびその他の目的および特徴は、より明白となり、本発明自体、よく理解されよう。
【発明を実施するための最良の形態】
【００３７】
図１で、ユーザ１によって操作される、パーソナルコンピュータ、デジタルオーディオ／ビデオ端末、ゲームコンソールなどの通信デバイス１１と、
アクセス制御ユニット２１と、
サービスプロバイダ３１と、
アカウント処理サーバ３２と、
認証サーバ３３とを含む通信システムが、見られる。
【００３８】
通信デバイス１１は、場合により、モデム、ブリッジなどの中間ネットワーク機器（図示せず）を介して、アクセス制御ユニット２１に結合される。アクセス制御ユニット２１は、場合により、ブリッジ、ルータ、スイッチなどの中間ネットワーク機器（図示せず）を介して、サービスプロバイダ３１、アカウント処理サーバ３２、および認証サーバ３２に結合される。
【００３９】
サービスプロバイダ３１は、この場合は、ユーザ１である、特定のユーザからの要求時に、ビデオチャネルなどの、特定のプリペイドコンテンツを提供するように構成される。
【００４０】
アカウント処理サーバ３２は、特定のユーザが、プリペイドサービスにアクセスする合計時間をカウントするように構成される。アカウント処理サーバ３２は、ユーザごとに時間クォータを保持し、複数のサービスプロバイダが、同一のアカウント処理サーバによってサポートされる場合、場合により、サービスプロバイダごとに時間クォータを保持する。この場合は、アカウント処理サーバ３２は、ユーザ１が、サービスプロバイダ３１によって供給されるサービスを利用することができる残りの時間を表す、時間クォータ３０１を保持する。
【００４１】
アカウント処理サーバ３２は、アクセス制御ユニット２１からの要求時に、特定のユーザが、特定のサービスプロバイダにアクセスするのに利用可能な、いくらかの時間クォータを依然として有するかどうかを調べるようにさらに構成される。
【００４２】
認証サーバ３３は、ユーザの認証を行い、認証およびポリシー制御に合格すると、アクセス制御ユニット２１に許可を戻すように構成される。認証サーバ３３は、プリペイドアカウント処理が適用されるかどうかをアクセス制御ユニット２１に告げるようにさらに構成される。
【００４３】
認証サーバ３３は、Ｒａｄｉｕｓインタフェースを介してアクセス制御ユニット２１に結合されるものと想定される。
【００４４】
アクセス制御ユニット２１は、以下の機能ブロックを含む。すなわち、
デバイス１１が結合された第１の通信ポート１０１、
サービスプロバイダ３１、アカウント処理サーバ３２、および認証サーバ３３が結合された少なくとも１つの第２の通信ポート１０２、
転送手段１０３、
ローカルアカウント処理手段１０４、
アクセス制御手段１０５、
アクセスゲートウェイ１０６である。
【００４５】
本発明の好ましい実施形態では、アクセス制御ユニット２１は、ＤＳＬＡＭなどのアクセスマルチプレクサである。
【００４６】
アクセス制御手段１０５は、アクセスゲートウェイ１０６、ローカルアカウント処理手段１０４、通信ポート１０２、およびさらに認証サーバ３３に結合される。アクセスゲートウェイ１０６は、転送手段１０３、通信ポート１０１、およびさらにデバイス１１にさらに結合される。転送手段１０３は、通信ポート１０２、およびさらにサービスプロバイダ３１にさらに結合される。ローカルアカウント処理手段１０４は、通信ポート１０２、およびさらにアカウント処理サーバ３２にさらに結合される。
【００４７】
本発明の好ましい実施形態では、アクセス制御手段１０５は、ＩＥＥＥ８０２．１Ｘポートベースのアクセス制御を実施し、より具体的には、８０２．１Ｘのオーセンティケータの役割を実施する。
【００４８】
特定のユーザに関連するトラフィックは、そのトラフィックが受信された着信ポートのＩＤによって識別される。また、特定のユーザに関連するトラフィックは、例えば、送信元ＭＡＣアドレスによって識別されることも可能である。
【００４９】
ゲート１０６（図２参照）は、最初、開いている、すなわち、ポート１０１を介して受信されたトラフィックは、さらに進むことを許されない。そのポートに接続された特定のユーザが、特定のサービスプロバイダにアクセスすることを、認証サーバ３３が許可し、さらに、そのユーザが、そのサービスプロバイダにアクセスするのに十分なクレジットを有する場合、ゲート１０６は、閉じられ、そのユーザに関連するトラフィックが、転送手段１０３に入り、さらに、ポート１０２経由で、そのサービスプロバイダに向かって流れることを許される。
【００５０】
８０２．１Ｘトラフィックは、アクセス制御を受けず、さらなる処理のためにアクセス制御手段１０５に向けて転送される。
【００５１】
転送手段１０３は、特定のユーザと、特定のサービスプロバイダの間でトラフィックを転送するように構成される。転送判定は、通常、宛先ネットワークまたはハードウェアアドレスに基づく。それでも、転送判定は、トラフィックがマップされる、特定のＶＬＡＮ（仮想ローカルエリアネットワーク）、または特定のＡＴＭ（非同期転送モード）ＶＣ（仮想接続）などの、セッションセットアップ時に初期設定される何らかのユーザコンテキストデータに基づくことも可能である。
【００５２】
ローカルアカウント処理手段１０４は、特定のユーザが特定のサービスプロバイダにアクセスするのに十分なクレジットを有するかどうかをアカウント処理サーバ３２に尋ねるように構成される。
【００５３】
ローカルアカウント処理手段１０４は、特定のユーザのアクセスステータスが変化するといつでも、アカウント処理サーバ３２に通知するようにさらに構成される。
【００５４】
ローカルアカウント処理手段１０４は、クォータが使い果たされた特定のユーザを切断するよう、アカウント処理サーバ３２から要求を受信するようにさらに構成される。
【００５５】
本発明の好ましい実施形態では、ローカルアカウント処理手段１０４は、既存のＲａｄｉｕｓメッセージを利用してアカウント処理サーバ３２と通信して、アクセス制御ユニット２１と認証サーバ３３の間で、そのインタフェースが既にサポートされているので、実施費用を低減させる。
【００５６】
好ましい実施形態の動作は、以下のとおりである。
【００５７】
デバイス１１が、８０２．１Ｘのサプリカントの役割を実施するものと想定される。サプリカントの役割は、中間ネットワーク機器によって実施されてもよい。
【００５８】
デバイス１１は、アクセス制御ユニット２１に、この場合は、サービスプロバイダ３１である、特定のサービスプロバイダを識別するドメイン名を、ユーザ資格証明とともに提供する。アクセス制御ユニット２１は、そのドメイン名を使用して、この場合は、認証サーバ３３である、特定の認証サーバを識別する。ユーザ資格証明は、認証の目的で、そのように識別された認証サーバに向けて転送される。ユーザ１が、認証に合格した場合、認証サーバ３３は、その特定のユーザに関するＲａｄｉｕｓ  ａｃｃｅｓｓ＿ａｃｃｅｐｔメッセージ２０１を、プリペイドアカウント処理が適用されるという指示と一緒に戻す。
【００５９】
その後、ユーザ１がサービスプロバイダ３１にアクセスするのに十分なクレジットを有するかどうかを調べるよう、アクセス制御手段１０５が、ローカルアカウント処理手段１０４に要求する（図１のｃｒｅｄｉｔ＿ｃｈｅｃｋを参照）。ローカルアカウント処理手段１０４は、ユーザ１がサービスプロバイダ３１にアクセスするのに十分なクレジットを有するかどうかを調べるよう、アカウント処理サーバ３２にＲａｄｉｕｓ  ａｃｃｏｕｎｔｉｎｇ＿ｒｅｑメッセージ２０２（定義されるべき新たな属性を有する）を送信する。
【００６０】
アカウント処理サーバ３２は、時間クォータ３０１が所定の閾値より高い（例えば、０より高い）かどうかを調べて、肯定的な確認、または否定的な確認を伴うＲａｄｉｕｓ  ａｃｃｏｕｎｔｉｎｇ＿ｒｅｓｐメッセージ２０３をアクセス制御ユニット２１に送り返す。ローカルアカウント処理手段１０４は、その情報をアクセス制御手段１０５に向けて転送する（図１のｃｒｅｄｉｔ＿ａｃｋ／ｎａｃｋを参照）。
【００６１】
アカウント処理サーバ３２から肯定的な確認を受信すると、アクセス制御手段１０５は、ゲート１０６を閉じて（図１の閉を参照）、特定のコンテンツが、ユーザ１に配信されることを許す。例として、データパケット２１１ａ、２１１ｂが、デバイス１１から、ゲート１０６および転送手段１０３を経由して、サービスプロバイダ３１に向かって流れるのに対して、データパケット２１２ａ、２１２ｂが、サービスプロバイダ３１から、転送手段１０３およびゲート１０６を経由して、デバイス１１に向かって逆方向に流れる。
【００６２】
アクセス制御手段１０５は、ゲート１０６が閉じられたことをローカルアカウント処理手段１０４に通知する（図１のｇａｔｅ＿ｃｌｏｓｅｄを参照）。すると、ローカルアカウント処理手段１０４は、ａｃｃｏｕｎｔｉｎｇ＿ｓｔａｒｔ属性を有するＲａｄｉｕｓ  ａｃｃｏｕｎｔｉｎｇ＿ｒｅｑメッセージ２０４（ａｃｃｏｕｎｔｉｎｇ＿ｓｔａｒｔメッセージとさらに略される）をアカウント処理サーバ３２に送信して、ユーザ１がサービスプロバイダ３１へのアクセスを許可されたことを通知する。
【００６３】
その時点以降、アカウント処理サーバ３２は、サービスプロバイダ３１にアクセスすることに関してユーザ１に割り当てられた時間クォータ３０１を減分することを開始する。
【００６４】
ユーザ１が、時間クォータ３０１が経過する前に、サービスプロバイダ３１から切断した場合、アクセス制御手段１０５は、ゲート１０６を開き（図１の開を参照）、次いで、ローカルアカウント処理手段１０４に通知する（図１のｇａｔｅ＿ｏｐｅｎを参照）。ローカルアカウント処理手段１０４は、Ｒａｄｉｕｓ  ａｃｃｏｕｎｔｉｎｇ＿ｓｔｏｐメッセージ（図示せず）をアカウント処理サーバ３２に送信して、ユーザ１とサービスプロバイダ３１の間における現在のセッションが終了する（または中止される）ことを通知する。すると、アカウント処理サーバ３２は、時間クォータ３０１を減分することを止める。
【００６５】
時間クォータ３０１が経過して、ユーザ１が、サービスプロバイダ３１に依然として接続されている場合、アカウント処理サーバ３２は、ユーザ１をサービスプロバイダ３１から切断するよう、アクセス制御ユニット２１にＲａｄｉｕｓ  ｄｉｓｃｏｎｎｅｃｔ＿ｒｅｑｕｅｓｔメッセージを送信する。ローカルアカウント処理手段１０４は、ユーザ１をサービスプロバイダ３１から切断するよう、アクセス制御手段１０５に求めて（図１のｏｐｅｎ＿ｇａｔｅおよび開を参照）、サービスプロバイダ３１にユーザ１がアクセスするのを防止する。
【００６６】
アクセスゲートウェイ１０６は、より簡明にするために別個の機能ブロックとして描かれているが、転送手段１０３の一部を形成してもよいことに留意されたい。例えば、アクセスゲートウェイ１０６は、転送手段１０３が、トラフィックを転送する際に利用する、フィルタリングデータベースの中のフィルタリングエントリによって実施されることも可能である。
【００６７】
図２で、量ベースのアカウント処理のためのアクセス制御ユニット２１の代替の実施形態が見られる。
【００６８】
転送手段１０３は、ローカルアカウント処理手段１０４にさらに結合され、ユーザ１とサービスプロバイダ３１の間で交換されるトラフィックの量を測定して、ローカルアカウント処理手段１０４に定期的に報告するようにさらに構成される（図２のｔｒａｆｆｉｃ＿ｍｅａｎｓを参照）。
【００６９】
例えば、転送手段１０３は、ユーザ１に向けて送信されたバイト数を測定して、報告することができる（１方向測定）。
【００７０】
ローカルアカウント処理手段１０４は、Ｒａｄｉｕｓ  ｉｎｔｅｒｉｍ＿ａｃｃｏｕｎｔｉｎｇ＿ｒｅｃｏｒｄｓメッセージ２０６ａ、２０６ｂによってアカウント処理サーバ３２にそれらの数値を（場合により、合意されたアクセス制御ユニット／アカウント処理サーバインタフェースに適合するように、何らかの数値変換の後に）転送するようにさらに構成される。
【００７１】
アカウント処理サーバ３２は、ユーザごとに、さらに、場合により、サービスプロバイダごとに、量クォータを保持するように構成される。この場合では、アカウント処理サーバ３２は、ユーザ１が、依然として、サービスプロバイダ３１と交換することができる、残りの量のトラフィックを表す量クォータ３１１を保持する。
【００７２】
量クォータが、絶対（例えば、１メガバイトのトラフィックが残っている）閾値または相対（例えば、最初のクォータの５％）閾値である所定の閾値を下回ると、アカウント処理サーバ３２は、測定／報告周期を短縮して、アカウント処理精度を高めるよう、アクセス制御ユニット２１にＲａｄｉｕｓ  ａｃｃｏｕｎｔｉｎｇ＿ｒｅｑメッセージ２０７（定義されるべき新たな属性を有する）を送信する。
【００７３】
本発明の代替の実施形態では、アクセス制御ユニット２１は、特定のユーザが特定のサービスプロバイダにアクセスするのに十分なクレジットを有するかどうかを、アカウント処理サーバ３２に尋ねない。アクセス制御手段１０５が、許可２０１を受信すると、ゲート１０６を閉じる。ユーザ１にクレジットが残っていない場合、アカウント処理サーバ３２からトリガされると、ユーザ１は、サービスプロバイダ３１から即時に切断される。
【００７４】
本発明の代替の実施形態では、認証サーバ３３が、アクセス制御ユニット２１の代わりに、許可を戻す前に、特定のユーザが特定のサービスプロバイダにアクセスするのに十分なクレジットを有するかどうかを、アカウント処理サーバ３２に尋ねる。十分なクレジットを有する場合、アクセス制御手段１０５は、許可２０１を受信すると、アカウント処理サーバ３２にさらに確認する必要なしに、ゲート１０６を閉じる。
【００７５】
本発明の代替の実施形態では、アクセス制御ユニット２１は、消費された正確な時間を測定して、アカウント処理サーバ３２に定期的に報告する。アカウント処理サーバ３２は、クォータが使い果たされるまで、許されたクォータから、消費された時間を引く。
【００７６】
アカウント処理サーバ３２は、時間クォータが、所定の閾値を下回ると、報告周期を短縮するよう、アクセス制御ユニット２１に同様に求めることができる。
【００７７】
本発明の代替の実施形態では、アクセス制御ユニット２１は、１つまたは複数のサービスプロバイダに向かう複数のユーザからのトラフィックを集約するＢＲＡＳである。ＢＲＡＳは、ＰＰＰ（ポイントツーポイントプロトコル）ベースのアクセス制御方法を実施する。
【００７８】
その場合、転送手段１０３が、ＰＰＰセッション識別子を、着信ポートＩＤの代わりに使用して、特定のユーザを発信元とするトラフィックを識別することができる。
【００７９】
本発明の代替の実施形態では、例えば、ＤＨＣＰ（動的ホスト構成プロトコル）またはＰＡＮＡ（ネットワークアクセスのための認証を伝送するプロトコル）に基づく、別のアクセス制御方法が、８０２．１Ｘの代わりに使用される。
【００８０】
本発明のさらに代替の実施形態では、別のプロトコル、例えば、Ｄｉａｍｅｔｅｒが、アクセス制御ユニット２１と認証サーバ３３の間、および／またはアクセス制御ユニット２１とアカウント処理サーバ３２の間で使用される。
【００８１】
最後に述べることは、本発明の諸実施形態が、機能ブロックの点で以上に説明されていることである。以上に与えられる、それらのブロックの機能上の説明から、それらのブロックの諸実施形態を、よく知られている電子構成要素を使用してどのように製造することができるか、電子デバイス設計の当業者には明白であろう。そのため、それらの機能ブロックの内容の詳細なアーキテクチャは、与えていない。
【００８２】
本発明の諸原理を、特定の装置に関連して以上に説明してきたが、以上の説明は、単に例として、添付の特許請求の範囲で定義される、本発明の範囲の限定としてではなく行われていることを明確に理解されたい。
【図面の簡単な説明】
【００８３】
【図１】本発明による時間ベースのアカウント処理を実施する通信システムを示す図である。
【図２】本発明による量ベースのアカウント処理を実施する通信システムを示す図である。
【図１】
2008518291.tif 000003
【図２】
2008518291.tif 000004
【国際調査報告】
2008518291.tif 000005
2008518291.tif 000006
2008518291.tif 000007