(57)【要約】【課題】移動端末がハンドオーバする場合の認証シーケンスを、高速且つ安全に実現し、更に無線リソースの使用を減らすことができる認証方法等を提供する。【解決手段】移動端末が、第１のアクセスネットワーク（移動網）から第２のアクセスネットワーク（高速無線網）へハンドオーバする際に、ゲートウェイ（ＲＧＷ）が、認証プロトコルに基づく認証開始メッセージを認証サーバ（ＡＡＡサーバ）へ送信する。次に、ゲートウェイが、認証サーバとの間で、認証シーケンスを実行する。次に、ゲートウェイ又は認証サーバが、第２のアクセスネットワークのアクセス基地局へ、接続許可を要求する。そして、移動端末が、認証シーケンスを実行することなく、第２のアクセスネットワークのアクセス基地局に接続する。【選択図】図３
2008104002.tif 000002
【特許請求の範囲】
【請求項１】
相互接続された複数のアクセスネットワークと、端末を認証する認証サーバと、いずれか１つのアクセスネットワークに接続されたゲートウェイと、第１のアクセスネットワークに接続された移動端末とを有するシステムについて、移動端末のハンドオーバにおける認証方法であって、
前記移動端末が第２のアクセスネットワークへハンドオーバする際に、前記ゲートウェイが、認証プロトコルに基づく認証開始メッセージを前記認証サーバへ送信する第１のステップと、
前記ゲートウェイが、前記認証サーバとの間で、認証シーケンスを実行する第２のステップと、
前記ゲートウェイ又は前記認証サーバが、第２のアクセスネットワークのアクセス基地局へ、接続許可を要求する第３のステップと、
前記移動端末が、認証シーケンスを実行することなく、第２のアクセスネットワークの前記アクセス基地局に接続する第４のステップと
を有することを特徴とする認証方法。
【請求項２】
前記システムは、前記移動端末の位置情報を蓄積管理する加入者管理サーバを更に有し、
第１のステップの前段階として、前記移動端末が、位置登録要求を、前記ゲートウェイへ定期的に送信するステップと、前記ゲートウェイが、前記位置登録要求に含まれる位置情報を移動端末識別子と共に記憶し、前記位置登録要求を前記加入者管理サーバへ転送するステップとを有し、
第１のステップは、複数のアクセスネットワークのサービスエリア情報と、前記移動端末の位置情報とに基づいて、前記移動端末による第１のアクセスネットワークから第２のアクセスネットワークへハンドオーバするトリガを、前記ゲートウェイが検出した際に実行されることを特徴とする請求項１に記載の認証方法。
【請求項３】
第１のステップは、前記移動端末が第２のアクセスネットワークへハンドオーバするトリガメッセージが、前記移動端末又は他の通信装置から受信された際に、実行されることを特徴とする請求項１に記載の認証方法。
【請求項４】
前記移動端末は、移動端末識別子及び／又は加入者情報を含むＳＩＭ(Subscriber Identity Module)を装着しており、
前記ゲートウェイは、ゲートウェイ識別子及び／又は加入者情報を含むＳＩＭを装着していることを特徴とする請求項１から３のいずれか１項に記載の認証方法。
【請求項５】
前記加入者管理サーバは、移動端末の移動端末識別子及び／又は加入者情報と、ゲートウェイのゲートウェイ識別子及び／又は加入者情報と、接続許可ネットワーク情報とを対応付けて記憶しており、
前記加入者管理サーバは、前記認証サーバからの要求に対いて、前記ゲートウェイの前記ゲートウェイ識別子及び／又は加入者情報に対応する、前記移動端末の移動端末識別子及び／又は加入者情報について、ネットワーク接続の可否を応答することを特徴とする請求項４に記載の認証方法。
【請求項６】
前記アクセスネットワークは、高速無線網、移動網又は固定網であり、
前記複数のアクセスネットワークは、統合網によって相互接続されており、
前記ゲートウェイは、前記固定網に有線で接続され且つ加入者宅内に配置されたＲＧＷ(Residential GateWay)であり、
前記移動端末に無線リンクで接続する前記アクセス基地局は、前記高速無線網のアクセスポイント、又は、前記移動網の基地局であることを特徴とする請求項１から５のいずれか１項に記載の認証方法。
【請求項７】
相互接続された複数のアクセスネットワークと、端末を認証する認証サーバと、第１のアクセスネットワークに接続された移動端末とを有するシステムについて、いずれか１つのアクセスネットワークに接続されたゲートウェイであって、
前記移動端末が第２のアクセスネットワークへハンドオーバする際に、認証プロトコルに基づく認証開始メッセージを前記認証サーバへ送信する認証開始メッセージ送信手段と、
前記認証サーバとの間で、認証シーケンスを実行する認証シーケンス実行手段と
を有することを特徴とするゲートウェイ。
【請求項８】
前記システムは、前記移動端末の位置情報を蓄積管理する加入者管理サーバを更に有し、
前記移動端末から、位置登録要求を定期的に受信する位置登録要求受信手段と、
前記位置登録要求に含まれる位置情報を移動端末識別子と共に記憶する位置登録記憶手段と、
前記位置登録要求を前記加入者管理サーバへ転送する位置登録要求送信手段と、
複数のアクセスネットワークのサービスエリア情報と、前記位置登録記憶手段に記憶された前記移動端末の位置情報とに基づいて、前記移動端末が、第１のアクセスネットワークから第２のアクセスネットワークへハンドオーバするトリガを検出するハンドオーバ検出手段と
を有することを特徴とする請求項７に記載のゲートウェイ。
【請求項９】
前記移動端末が第２のアクセスネットワークへハンドオーバするトリガメッセージを、前記移動端末又は他の通信装置から受信するハンドオーバ検出手段を更に有することを特徴とする請求項７に記載のゲートウェイ。
【請求項１０】
ゲートウェイ識別子及び加入者情報を含むＳＩＭを装着していることを特徴とする請求項７から９のいずれか１項に記載のゲートウェイ。
【請求項１１】
前記アクセスネットワークは、高速無線網、移動網又は固定網であり、
前記複数のアクセスネットワークは、統合網によって相互接続されており、
当該ゲートウェイは、前記固定網に有線で接続され且つ加入者宅内に配置されたＲＧＷであることを特徴とする請求項７から１０のいずれか１項に記載のゲートウェイ。
【請求項１２】
相互接続された複数のアクセスネットワークと、端末を認証する認証サーバと、第１のアクセスネットワークに接続された移動端末とを有するシステムについて、いずれか１つのアクセスネットワークに接続されたゲートウェイに搭載されたコンピュータを機能させるプログラムであって、
前記移動端末が第２のアクセスネットワークへハンドオーバする際に、認証プロトコルに基づく認証開始メッセージを前記認証サーバへ送信する認証開始メッセージ送信手段と、
前記認証サーバとの間で、認証シーケンスを実行する認証シーケンス実行手段と
してコンピュータを機能させることを特徴とするゲートウェイ用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、移動端末のハンドオーバにおける認証方法、ゲートウェイ及びプログラムに関する。
【背景技術】
【０００２】
エンド・ツー・エンドのオールＩＰ(Internet Protocol)化のために、ＮＧＮ(Next Generation Network、次世代ネットワーク)が検討されている。これは、固定系有線ブロードバンドと移動系無線ブロードバンドとを統合したＦＭＣ(Fixed Mobile Convergence)によって実現される。ＮＧＮは、既存電話網をＩＰベースの次世代網に再構築するために、ＩＭＳ(IP Multimedia Subsystem)に基づくＳＩＰ(Session Initiation Protocol)サーバ群によって実現される。これにより、多様なマルチメディアサービスが、各サービスに応じたＱｏＳ及びセキュリティによって提供される。
【０００３】
このようなネットワークに接続される移動端末は、その移動に伴ってアクセスネットワークを切り替えるハンドオーバ技術を必要とする。ハンドオーバ技術は、操作性の観点からハンドオーバ時間の短縮化と、無線リソースの有効利用の観点から制御メッセージのデータ量の最小化とが必要とされる。通常、ハンドオーバに要する時間及びデータ量の大部分は、ハンドオーバ後に接続するアクセスネットワークに対する認証シーケンスである。
【０００４】
図１は、従来技術におけるシステム構成図である。
【０００５】
図１によれば、統合網１に、複数のアクセスネットワーク２〜４が相互接続されている。高速無線網(HSWA(High Speed Wireless Access)網)２は、例えば無線ＬＡＮ(Local Area Network)や無線ＭＡＮ(Metropolitan Area Network)である。高速無線網２には、移動端末５と無線リンクを介して通信するアクセスポイント２１が接続されている。移動網３は、例えばセルラ通信網である。移動網３には、移動端末５と無線リンクを介して通信する基地局(Cellular BS)３１が接続されている。固定網４は、例えばＦＴＴＨ(Fiber To The Home)やＡＤＳＬ(Asymmetric Digital Subscriber Line、非対称デジタル加入者線)によって構成されている。
【０００６】
また、統合網１には、ＡＡＡサーバ(Authentication, Authorization and Accounting server、認証、許可及び記憶サーバ)１１と、ＨＳＳ／ＨＬＲ(Home Subscriber Server/ Home Location Register)１２とが接続されている。
【０００７】
ＡＡＡサーバ１１は、加入者認証(Authentication)機能と、サービス許可(Authorization)機能と、イベント記憶(Accounting)機能とを有する。加入者認証機能は、統合網１へのアクセスに対するセキュリティを高めるために、移動端末にログイン／パスワードを要求する方法、証明書を用いる方法、鍵を共有する方法等によって、その正当性を確認する。サービス許可機能は、認証完了後、移動端末に対して許可するサービスを制御する。イベント記憶機能は、発生した各種事象、例えば課金情報を記憶する。
【０００８】
ＨＳＳ／ＨＬＲ１２は、例えば加入者の所持する移動端末の識別子及び加入者情報（ＩＭＳＩ(International Mobile Subscriber Identifier)を蓄積管理する機能（ＨＳＳ）と、その移動端末の現在位置情報を蓄積管理する機能（ＨＬＲ）とを有する。
【０００９】
尚、図１によれば、高速無線網２に、プロキシＡＡＡサーバ２２も接続されている。プロキシＡＡＡサーバ２２は、高速無線網２内で、ＡＡＡサーバの代理サーバとして存在する。
【００１０】
移動端末５は、ＳＩＭ(Subscriber Identity Module)を装着している。ＳＩＭは、通信事業者が発行する、識別子及び加入者情報（ＩＭＳＩ）を記憶したＩＣカードである。これにより、移動端末５における移動端末識別子及び加入者情報を特定する。図１によれば、移動端末５は、移動網３から高速無線網２へハンドオーバしようとしている。
【００１１】
図２は、図１のシステムにおけるシーケンス図である。
【００１２】
（Ｓ２０１）移動端末５は、移動網３の基地局３１との間で無線リンクを接続している際に、高速無線網２へのハンドオーバを検出したとする。このとき、移動端末５は、高速無線網２のアクセスポイント２１との間で無線リンクを接続する。
【００１３】
（Ｓ２０２）移動端末５は、移動先となる高速無線網２を介して認証シーケンスを行う。ここでは、認証プロトコルが、ＥＡＰ−ＡＫＡ(Extensible Authentication Protocol-Authentication and Key Agreement、拡張可能認証プロトコル−認証／暗号鍵配送方式)であるとして説明する。図２によれば、最初に、移動端末５は、高速無線網２のアクセスポイント２１から、EAP-Requestを受信する。
（Ｓ２０３）移動端末５は、ＳＩＭに格納されているＩＭＳＩを含むEAP-Responseを、アクセスポイント２１へ返信する。アクセスポイント２１は、そのEAP-Responseを、高速無線網２内のプロキシＡＡＡサーバ２２へ転送する。プロキシＡＡＡサーバ２２は、そのEAP-Responseを、ＡＡＡサーバ１１へ転送する。
【００１４】
（Ｓ２０４）ＡＡＡサーバ１１は、移動端末５が高速無線網２に接続することを許可されているか否かを確認するために、ＨＳＳ／ＨＬＲ１２へ、加入者プロファイルRequestを送信する。加入者プロファイルRequestには、移動端末識別子及びＩＭＳＩが含まれる。これに対し、ＨＳＳ／ＨＬＲ１２は、その移動端末識別子について高速無線網２への接続が許可されているか否かを検索する。ＨＳＳ／ＨＬＲ１２は、その結果を含む加入者プロファイルResponseを、ＡＡＡサーバ１１へ返信する。
【００１５】
（Ｓ２０５）移動端末５が高速無線網２に接続することが許可された場合、次に、ＡＡＡサーバ１１は、移動端末識別子及びＩＭＳＩを含む認証データRequestを、ＨＳＳ／ＨＬＲ１２へ送信する。ＨＳＳ／ＨＬＲ１２は、認証データRequestに含まれる移動端末識別子に基づいて、複数のＡＶ(Authentication Vector)を生成する。ＨＳＳ／ＨＬＲ１２は、これらＡＶを含む認証データResponseを、ＡＡＡサーバ１１へ返信する。
【００１６】
（Ｓ２０６）ＡＡＡサーバ１１は、認証データResponseに含まれるＡＶを記憶する。そして、ＡＡＡサーバ１１は、いずれか１つのＡＶを選択し、そのＡＶを含むEAP-Request/AKA-Challengeを、プロキシＡＡＡサーバ２２へ送信する。プロキシＡＡＡサーバ２２は、受信したEAP-Request/AKA-Challengeを、高速無線網２のアクセスポイント２１へ転送する。アクセスポイント２１は、受信したEAP-Request/AKA-Challengeを、移動端末５へ送信する。これにより、移動端末５は、高速無線網２のネットワーク正当性を確認する。
【００１７】
（Ｓ２０７）これに対し、移動端末５は、当該端末内で計算した値を載せたEAP-Response/AKA-Challengeを、高速無線網２のアクセスポイント２１へ送信する。アクセスポイント２１は、受信したEAP-Response/AKA-Challengeを、プロキシＡＡＡサーバ２２へ送信する。プロキシＡＡＡサーバ２２は、受信したEAP-Response/AKA-Challengeを、ＡＡＡサーバ１１へ送信する。これにより、ＡＡＡサーバ１１は、EAP-Response/AKA-Challengeに含まれる値によって加入者の正当性を確認する。
【００１８】
（Ｓ２０８）次に、ＡＡＡサーバ１１は、鍵を含むEAP-Success Keyingを、プロキシＡＡＡサーバ２２へ送信する。プロキシＡＡＡサーバ２２は、受信したEAP-Success Keyingを、アクセスポイント２１へ送信する。アクセスポイント２１は、受信したEAP-Success Keyingを、移動端末５へ送信する。
【００１９】
前述したように、移動端末が、異なるアクセスネットワークへハンドオーバをするには、認証シーケンスを行う必要がある。前述したシーケンスは、移動先のアクセスネットワークを介して認証シーケンスを行うものである。これに対し、ハンドオーバ前のアクセスネットワークを介して認証シーケンスを行う技術もある（例えば非特許文献１参照）。
【００２０】
また、無線ＬＡＮの間で高速なハンドオーバを実現するために、移動端末から認証要求メッセージを受信したＡＡＡサーバが、ハンドオーバ前のアクセスネットワークのアクセスポイントと、予測されるハンドオーバ後のアクセスネットワークのアクセスポイントとの両方に、認証応答メッセージを送信する技術がある（例えば非特許文献２参照）。この技術によれば、ハンドオーバ後のアクセスネットワークのアクセスポイントは、既に認証応答メッセージを受信している。従って、移動端末は、ＡＡＡサーバとの間でシグナリングなしに、高速にハンドオーバを行うことができる。
【００２１】
更に、移動端末が行うべき認証シーケンスを、ネットワーク内に備えた認証装置によって行う技術がある（例えば特許文献１参照）。移動端末−ＡＡＡサーバ間の認証シーケンスを、ネットワーク内で行うことができるので、認証時間の短縮化、即ちハンドオーバ時間の短縮化を実現することができる。
【００２２】
【非特許文献１】Hyun-HoChoi及びSong. O and Dong-Ho Cho、「A seamless handoff scheme for UMTS-WLANinterworking」、Globecom'04、Nov. 2004.
【非特許文献２】SangheonPack及びYanghee Choi、「Pre-Authenticated Fast Handoff in a Public Wireless LANBased on IEEE 802.1x Model」、[online]、IFIP TC6 Personal Wireless Communications2002、[平成１８年１０月１２日検索]、インターネット＜URL:http://citeseer.ist.psu.edu/542647.html＞
【特許文献１】特開２００４−２６６３３１号公報
【発明の開示】
【発明が解決しようとする課題】
【００２３】
しかしながら、移動端末が、ＡＡＡサーバとの間で、無線リンクを介して認証シーケンスを行うことにより、ハンドオーバ時間が長く、且つ、無線リソースを消費することとなる。前述したように、移動端末は、ハンドオーバの際に、認証シーケンスの中で多くのやりとりをする必要があるからである。
【００２４】
非特許文献１に記載された技術によれば、事前認証によってハンドオーバ時に必要となる認証シーケンスを行う必要がないが、結局、ハンドオーバ前のアクセスネットワークの無線リソースを利用することとなる。ハンドオーバ開始の判断条件として、例えば、受信レベルが閾値以下となった時を検出することができる。しかしながら、このような電波状態が悪化した際に事前認証を行うと、メッセージの交換ができず、認証シーケンスが完了しない場合が多くなる。この場合、結局、移動後のアクセスネットワークを介して、認証を行うこととなる。
【００２５】
また、ハンドオーバ開始の判断条件を電波受信状態とした場合、周辺建物によってその電波受信状態は大きく変動する。受信レベルが閾値以下となったとして、この変動に反応してハンドオーバを決定し且つ事前認証をすると、無線リソースを無駄に利用することなる。
【００２６】
更に、特許文献１に記載された技術によれば、移動端末の識別子及び加入者情報を、ネットワーク内に配置された認証装置に記憶させる必要がある。これら情報は、本来、秘匿化される情報であって、ＨＳＳではセキュアに管理されている。このような情報を、アクセスネットワーク内に配置された認証装置に記憶させることは、セキュリティの観点から問題となる。
【００２７】
従って、本発明は、移動端末がハンドオーバする場合の認証シーケンスを、高速且つ安全に実現し、更に無線リソースの使用を減らすことができる認証方法等を提供することを目的とする。
【課題を解決するための手段】
【００２８】
本発明によれば、相互接続された複数のアクセスネットワークと、端末を認証する認証サーバと、いずれか１つのアクセスネットワークに接続されたゲートウェイと、第１のアクセスネットワークに接続された移動端末とを有するシステムについて、移動端末のハンドオーバにおける認証方法であって、
移動端末が第２のアクセスネットワークへハンドオーバする際に、ゲートウェイが、認証プロトコルに基づく認証開始メッセージを認証サーバへ送信する第１のステップと、
ゲートウェイが、認証サーバとの間で、認証シーケンスを実行する第２のステップと、
ゲートウェイ又は認証サーバが、第２のアクセスネットワークのアクセス基地局へ、接続許可を要求する第３のステップと、
移動端末が、認証シーケンスを実行することなく、第２のアクセスネットワークのアクセス基地局に接続する第４のステップと
を有することを特徴とする。
【００２９】
本発明の認証方法における他の実施形態によれば、
システムは、移動端末の位置情報を蓄積管理する加入者管理サーバを更に有し、
第１のステップの前段階として、移動端末が、位置登録要求を、ゲートウェイへ定期的に送信するステップと、ゲートウェイが、位置登録要求に含まれる位置情報を移動端末識別子と共に記憶し、位置登録要求を加入者管理サーバへ転送するステップとを有し、
第１のステップは、複数のアクセスネットワークのサービスエリア情報と、移動端末の位置情報とに基づいて、移動端末が、第１のアクセスネットワークから第２のアクセスネットワークへハンドオーバするトリガを検出した際に実行される
ことも好ましい。
【００３０】
本発明の認証方法における他の実施形態によれば、
第１のステップは、移動端末が第２のアクセスネットワークへハンドオーバするトリガメッセージが、移動端末又は他の通信装置から受信された際に、実行されることも好ましい。
【００３１】
本発明の認証方法における他の実施形態によれば、
移動端末は、移動端末識別子及び／又は加入者情報を含むＳＩＭ(Subscriber Identity Module)を装着しており、
ゲートウェイは、ゲートウェイ識別子及び／又は加入者情報を含むＳＩＭを装着していることも好ましい。
【００３２】
本発明の認証方法における他の実施形態によれば、
加入者管理サーバは、移動端末の移動端末識別子及び／又は加入者情報と、ゲートウェイのゲートウェイ識別子及び／又は加入者情報と、接続許可ネットワーク情報とを対応付けて記憶しており、
加入者管理サーバは、認証サーバからの要求に対いて、ゲートウェイのゲートウェイ識別子及び／又は加入者情報に対応する、移動端末の移動端末識別子及び／又は加入者情報について、ネットワーク接続の可否を応答することも好ましい。
【００３３】
本発明の認証方法における他の実施形態によれば、
アクセスネットワークは、高速無線網、移動網又は固定網であり、
複数のアクセスネットワークは、統合網によって相互接続されており、
ゲートウェイは、固定網に有線で接続され且つ加入者宅内に配置されたＲＧＷ(Residential GateWay)であり、
移動端末に無線リンクで接続するアクセス基地局は、高速無線網のアクセスポイント、又は、移動網の基地局であることも好ましい。
【００３４】
本発明によれば、相互接続された複数のアクセスネットワークと、端末を認証する認証サーバと、第１のアクセスネットワークに接続された移動端末とを有するシステムについて、いずれか１つのアクセスネットワークに接続されたゲートウェイであって、
移動端末が第２のアクセスネットワークへハンドオーバする際に、認証プロトコルに基づく認証開始メッセージを認証サーバへ送信する認証開始メッセージ送信手段と、
認証サーバとの間で、認証シーケンスを実行する認証シーケンス実行手段と
を有することを特徴とする。
【００３５】
本発明のゲートウェイにおける他の実施形態によれば、
システムは、移動端末の位置情報を蓄積管理する加入者管理サーバを更に有し、
移動端末から、位置登録要求を定期的に受信する位置登録要求受信手段と、
位置登録要求に含まれる位置情報を移動端末識別子と共に記憶する位置登録記憶手段と、
位置登録要求を加入者管理サーバへ転送する位置登録要求送信手段と、
複数のアクセスネットワークのサービスエリア情報と、位置登録記憶手段に記憶された移動端末の位置情報とに基づいて、移動端末が、第１のアクセスネットワークから第２のアクセスネットワークへハンドオーバするトリガを検出するハンドオーバ検出手段と
を有することも好ましい。
【００３６】
本発明のゲートウェイにおける他の実施形態によれば、
移動端末が第２のアクセスネットワークへハンドオーバするトリガメッセージを、移動端末又は他の通信装置から受信するハンドオーバ検出手段を更に有することも好ましい。
【００３７】
本発明のゲートウェイにおける他の実施形態によれば、ゲートウェイ識別子及びＩＭＳＩを含むＩＳＩＭを装着していることも好ましい。
【００３８】
本発明のゲートウェイにおける他の実施形態によれば、
アクセスネットワークは、高速無線網、移動網又は固定網であり、
複数のアクセスネットワークは、統合網によって相互接続されており、
当該ゲートウェイは、固定網に有線で接続され且つ加入者宅内に配置されたＲＧＷであることも好ましい。
【００３９】
本発明によれば、相互接続された複数のアクセスネットワークと、端末を認証する認証サーバと、第１のアクセスネットワークに接続された移動端末とを有するシステムについて、いずれか１つのアクセスネットワークに接続されたゲートウェイに搭載されたコンピュータを機能させるプログラムであって、
移動端末が第２のアクセスネットワークへハンドオーバする際に、認証プロトコルに基づく認証開始メッセージを認証サーバへ送信する認証開始メッセージ送信手段と、
認証サーバとの間で、認証シーケンスを実行する認証シーケンス実行手段と
してコンピュータを機能させることを特徴とする。
【発明の効果】
【００４０】
本発明における認証方法、ゲートウェイ及びプログラムによれば、移動端末とＡＡＡサーバとの間で行われる認証シーケンスを、移動端末の加入者が設置するゲートウェイとＡＡＡサーバとの間で行うことができる。ゲートウェイは、通常、有線で接続されており、認証シーケンスを高速に実現することができる。また、移動端末もゲートウェイも同じ加入者が管理するものであるので、加入者情報をネットワーク上のノードに記憶させる必要もなく、安全性が高まる。更に、移動端末とアクセス基地局との間の無線リンクを介して認証シーケンスを行わないために、無線リソースの使用を減らすこともできる。
【発明を実施するための最良の形態】
【００４１】
以下では、図面を用いて、本発明を実施するための最良の形態について詳細に説明する。
【００４２】
図３は、本発明におけるシステム構成図である。
【００４３】
図３によれば、図１と同様に、統合網１に、高速無線網２、移動網３及び固定網４が相互接続されている。統合網１には、端末を一元管理して認証するＡＡＡサーバ１１と、移動端末の接続の可否を判断するＨＳＳ／ＨＬＲ１２とが接続されている。
【００４４】
本発明によれば、固定網４には、ＦＴＴＨ又はメタル回線を介して、ＲＧＷ(Residential GateWay)６が接続されている。ＲＧＷ６は、移動端末５の加入者の宅内に設置されており、ホームゲートウェイとして機能する。ＲＧＷ６は、それに接続される通信機器（電話機、パーソナルコンピュータ等）の入出力信号と、固定網４へのＩＰパケットとを、相互に変換する。
【００４５】
ＲＧＷ６は、ＩＳＩＭ(Individual Subscriber Identity Module)を装着する。ＩＳＩＭは、通信事業者が発行する、識別子及び加入者情報（ＩＭＳＩ(International Mobile Subscriber Identifier)）を記憶したＩＣカードである。これにより、ＲＧＷ６の加入者と、移動端末５の加入者とが一致することを、識別することができる。
【００４６】
ＲＧＷ６は、そのＲＧＷを所持する加入者が、更に所持する移動端末の移動端末識別子(UE-ID: User Equipment-IDentifier)と、移動端末の加入者情報ＩＭＳＩと、ユーザ固有鍵（Ｋ：Individual subscriber authentication Key）とを対応付けて保持する。
【表１】
2008104002.tif 000003
【００４７】
また、移動端末５は、ＳＩＭを装着し、以下の表２のようなテーブルを保持する。
【表２】
2008104002.tif 000004
【００４８】
更に、ＨＳＳ／ＨＬＲ１２は、移動端末５に装着されているＳＩＭ（Ｍ）に基づく識別子及びＩＭＳＩと、ＲＧＷ６に装着されているＩＳＩＭに基づく識別子及びＩＭＳＩと、接続可能なネットワーク識別情報とを対応付けて記憶している。ＨＳＳ／ＨＬＲ１２は、以下の表３のようなテーブルを保持する。
【表３】
2008104002.tif 000005
【００４９】
図３によれば、移動端末５は、ハンドオーバ前のアクセスネットワークである移動網３を介して、位置登録要求をＲＧＷ６へ定期的に送信する。この点について、移動端末が位置登録要求を直接的にＨＳＳ／ＨＬＲ１２へ送信する従来技術と異なる。ＲＧＷ６は、移動端末５の現在位置情報を蓄積すると共に、受信した位置登録要求をＨＳＳ／ＨＬＲ１２へ転送する。
【００５０】
ＲＧＷ６は、複数のアクセスネットワークのサービスエリア情報を保持している。尚、サービスエリア情報は、ＨＳＳ／ＨＬＲ１２のような他のノードからダウンロードするものであってもよい。
【００５１】
ＲＧＷ６は、サービスエリア情報と移動端末の位置情報とに基づいて、移動端末５が、移動網３から高速無線網２へハンドオーバするトリガを検出する。移動端末５がハンドオーバすべきと判断した際に、ＲＧＷ６は、ＡＡＡサーバ１１との間で、移動端末５の認証シーケンスを行う。尚、ＲＧＷ６は、移動先の高速無線網２に接続されたプロキシＡＡＡサーバ２２との間で、移動端末５の認証シーケンスを行うものであってもよい。
【００５２】
その後、ＲＧＷ６又はプロキシＡＡＡサーバ２２が、移動先の高速無線網２のアクセスポイント２１へ、接続許可を要求する。これにより、移動端末５は、移動先の高速無線網２を介して認証シーケンスを行うことなく、その高速無線網２に接続することができる。
【００５３】
図４は、図３におけるシーケンス図である。
【００５４】
（Ｓ４０１）移動端末５は、ＲＧＷ６に対して認証処理を予め終えている。従って、移動端末５とＲＧＷ６との間では、セキュアなセッションが確立され、データが秘匿化されている。
【００５５】
（Ｓ４０２）移動端末５は、位置登録要求を、ＲＧＷ６へ定期的に送信する。従って、本発明における移動端末５は、位置登録要求をＨＳＳ／ＨＬＲ１２へ直接的に送信しない。位置登録要求を受信したＲＧＷ６は、位置登録要求に含まれる位置情報を移動端末識別子と共に記憶する。その後、ＲＧＷ６は、位置登録要求を、ＨＳＳ／ＨＬＲ１２へ転送する。
【００５６】
（Ｓ４０３）ＲＧＷ６は、複数のアクセスネットワーク２〜４のサービスエリア情報と、移動端末５の位置情報とに基づいて、移動端末５が、第１のアクセスネットワークから第２のアクセスネットワークへハンドオーバするトリガを検出する。例えば、２つのアクセスネットワークの境界に、移動端末５が近づいていることを検出する。図３によれば、移動端末５は、移動網３から高速無線網２へのハンドオーバのトリガが検出される。
【００５７】
Ｓ４０４〜Ｓ４０９は、図３における認証シーケンスに対応する。
（Ｓ４０４）ＲＧＷ６は、ハンドオーバを検出した際に、認証開始メッセージとなるEAP-responseをＡＡＡサーバへ送信し、認証を開始する。図４によれば、EAP-responseは、移動先の高速無線網２に接続されたプロキシＡＡＡサーバ２２へ送信される。EAP-responseは、移動端末の識別子及びＩＭＳＩと、ＲＧＷの識別子及びＩＭＳＩとを含む。プロキシＡＡＡサーバ２２は、EAP-responseを、ＡＡＡサーバ１１へ転送する。
【００５８】
（Ｓ４０５）ＡＡＡサーバ１１は、移動端末５が高速無線網２に接続することを許可されているか否かを確認するために、ＨＳＳ／ＨＬＲ１２へ、加入者プロファイルRequestを送信する。加入者プロファイルRequestは、移動端末の識別子及びＩＭＳＩを含む。これに対し、ＨＳＳ／ＨＬＲ１２は、加入者対応テーブルを用いて、その移動端末識別子について高速無線網２への接続が許可されているか否かを検索する。ＨＳＳ／ＨＬＲ１２は、その結果を含む加入者プロファイルResponseを、ＡＡＡサーバ１１へ返信する。
【００５９】
（Ｓ４０６）移動端末５が高速無線網２に接続することが許可された場合、次に、ＡＡＡサーバ１１は、移動端末識別子を含む認証データRequestを、ＨＳＳ／ＨＬＲ１２へ送信する。認証データRequestは、移動端末の識別子及びＩＭＳＩを含む。ＨＳＳ／ＨＬＲ１２は、認証データRequestに含まれる移動端末識別子に基づいて、複数のＡＶを生成する。ＨＳＳ／ＨＬＲ１２は、これらＡＶを含む認証データResponseを、ＡＡＡサーバ１１へ返信する。
【００６０】
（Ｓ４０７）ＡＡＡサーバ１１は、認証データResponseに含まれるＡＶを記憶する。そして、ＡＡＡサーバ１１は、いずれか１つのＡＶを選択し、そのＡＶを含むEAP-Request/AKA-Challengeを、プロキシＡＡＡサーバ２２へ送信する。プロキシＡＡＡサーバ２２は、受信したEAP-Request/AKA-Challengeを、ＲＧＷ６へ転送する。これにより、ＲＧＷ６は、高速無線網２のネットワーク正当性を確認する。
【００６１】
（Ｓ４０８）これに対し、ＲＧＷ６は、ＲＧＷ内で計算した値を載せたEAP-Response/AKA-Challengeを、プロキシＡＡＡサーバ２２へ送信する。プロキシＡＡＡサーバ２２は、受信したEAP-Response/AKA-Challengeを、ＡＡＡサーバ１１へ送信する。これにより、ＡＡＡサーバ１１は、EAP-Response/AKA-Challengeに含まれる値によって加入者の正当性を確認する。
【００６２】
（Ｓ４０９）次に、ＡＡＡサーバ１１は、鍵を含むEAP-Success Keyingを、プロキシＡＡＡサーバ２２へ送信する。プロキシＡＡＡサーバ２２は、受信したEAP-Success Keyingを、ＲＧＷ６へ送信する。
【００６３】
Ｓ４１０〜Ｓ４１３は、図３における認証シーケンスに対応する。
（Ｓ４１０）ＲＧＷ６は、移動先となる高速無線網２のアクセスポイント２１へ、接続許可を要求するEAP-Startを送信する。尚、他の実施形態として、プロキシＡＡＡサーバ２２が、アクセスポイント２１へ、EAP-Startを送信するものであってもよい。
（Ｓ４１１）EAP-Startを受信したアクセスポイント２１は、移動端末５がハンドオーバすることを知る。これに対し、アクセスポイント２１は、ＲＧＷ６へ、EAP-Requestを送信する。尚、前述した他の実施形態の場合、アクセスポイント２１は、プロキシＡＡＡサーバ２２へ、EAP-Requestを送信する。
（Ｓ４１２）次に、ＲＧＷ６は、アクセスポイント２１へ、EAP-Responseを送信する。尚、前述した他の実施形態の場合、プロキシＡＡＡサーバ２２が、アクセスポイント２１へ、EAP-Responseを送信する。
（Ｓ４１３）更に、ＲＧＷ６は、アクセスポイント２１へ、EAP-Successを送信する。尚、前述した他の実施形態の場合、プロキシＡＡＡサーバ２２が、アクセスポイント２１へ、EAP-Successを送信する。
【００６４】
（Ｓ４１４）最後に、ＲＧＷ６は、鍵を、移動端末５へ送信する。この移動端末が、ハンドオーバトリガを受信し、その通知をＲＧＷ６へ送信した際であってもよい。
（Ｓ４１５）移動端末５が、移動網３から高速無線網２へハンドオーバの処理を開始する。
（Ｓ４１６）これにより、移動端末５は、ＡＡＡサーバ１１との間で直接的に認証シーケンスを行うことなく、移動網３から高速無線網２へハンドオーバすることができる。認証シーケンスは、ＲＧＷ６とＡＡＡサーバ１１との間で既に実行済みだからである。
【００６５】
図５は、本発明におけるＲＧＷの機能構成図である。
【００６６】
図５によれば、ＲＧＷは、位置登録要求受信部６０１と、位置登録記憶部６０２と、位置登録要求送信部６０３と、ハンドオーバ検出部６０４と、認証開始メッセージ送信部６０５と、認証シーケンス実行部６０６と、接続許可シーケンス実行部６０７と、ＩＰ変換部６０８とを有する。これら機能部は、ＲＧＷに搭載されたコンピュータを機能させるプログラムを実行することによっても実現できる。また、ＲＧＷには、ＩＳＩＭが装着されている。
【００６７】
位置登録要求受信部６０１は、移動端末から、位置登録要求を定期的に受信する。
【００６８】
位置登録記憶部６０２は、位置登録要求に含まれる位置情報を移動端末識別子と共に記憶する。位置登録記憶部６０２は、前述した表１のテーブルを記憶する。
【００６９】
位置登録要求送信部６０３は、位置登録要求を加入者管理サーバへ転送する。前述した図４のＳ４０２の動作を実現する。
【００７０】
ハンドオーバ検出部６０４は、複数のアクセスネットワークのサービスエリア情報と、位置登録記憶部６０２に記憶された移動端末の位置情報とに基づいて、移動端末が、第１のアクセスネットワークから第２のアクセスネットワークへハンドオーバするトリガを検出する。前述した図４のＳ４０３の動作を実現する。
【００７１】
また、ハンドオーバ検出部６０４は、移動端末が第２のアクセスネットワークへハンドオーバするトリガメッセージを、移動端末又は他の通信装置から受信するように構成されていることも好ましい。この実施形態の場合、ハンドオーバ検出部６０４は、移動端末からの位置登録要求を必要としない。
【００７２】
認証開始メッセージ送信部６０５は、移動端末が第２のアクセスネットワークへハンドオーバする際に、認証プロトコルに基づく認証開始メッセージを認証サーバへ送信する。前述した図４のＳ４０４の動作を実現する。
【００７３】
認証シーケンス実行部６０６は、認証サーバとの間で、認証シーケンスを実行する。前述した図４のＳ４０７〜Ｓ４０９の動作を実現する。
【００７４】
接続許可シーケンス実行部６０７は、移動端末の移動先となる第２のアクセスネットワークのアクセス基地局へ、接続許可要求を送信し、接続許可シーケンスを実行する。また、接続許可シーケンス実行部６０７は、移動端末へ鍵を送信する。図４におけるＳ４１０〜Ｓ４１５の動作を実現する。
【００７５】
ＩＰ変換部６０８は、ＲＧＷに接続される通信機器の入出力信号と、固定網４へのＩＰパケットとを、相互に変換する。
【００７６】
ＩＳＩＭ６０９は、ＩＣカードであって、ゲートウェイ識別子及びＩＭＳＩを含む。
【００７７】
以上、詳細に説明したように、本発明における認証方法、ゲートウェイ及びプログラムによれば、移動端末とＡＡＡサーバとの間で行われる認証シーケンスを、移動端末の加入者が設置するゲートウェイとＡＡＡサーバとの間で行うことができる。ゲートウェイは、通常、有線で接続されており、認証シーケンスを高速に実現することができる。また、移動端末もゲートウェイも同じ加入者が管理するものであるので、加入者情報をネットワーク上のノードに記憶させる必要もなく、安全性が高まる。更に、移動端末とアクセス基地局との間の無線リンクを介して認証シーケンスを行わないために、無線リソースの使用を減らすこともできる。
【００７８】
前述した本発明における種々の実施形態によれば、当業者は、本発明の技術思想及び見地の範囲における種々の変更、修正及び省略を容易に行うことができる。前述の説明はあくまで例であって、何ら制約しようとするものではない。本発明は、特許請求の範囲及びその均等物として限定するものにのみ制約される。
【図面の簡単な説明】
【００７９】
【図１】従来技術におけるシステム構成図である。
【図２】図１のシステムにおけるシーケンス図である。
【図３】本発明におけるシステム構成図である。
【図４】図３のシステムにおけるシーケンス図である。
【図５】本発明におけるＲＧＷの機能構成図である。
【符号の説明】
【００８０】
１  統合網
１１  ＡＡＡサーバ
１２  ＨＳＳ／ＨＬＲ
２  高速無線網
２１  アクセスポイント
２２  プロキシＡＡＡサーバ
３  移動網
３１  基地局
４  固定網
５  移動端末
６  ＲＧＷ、ゲートウェイ
６０１  位置登録要求受信部
６０２  位置登録記憶部
６０３  位置登録要求送信部
６０４  ハンドオーバ検出部
６０５  認証開始メッセージ送信部
６０６  認証シーケンス実行部
６０７  接続許可シーケンス実行部
６０８  ＩＰ変換部
６０９  ＩＳＩＭ
７  パーソナルコンピュータ
【図１】
2008104002.tif 000006
【図２】
2008104002.tif 000007
【図３】
2008104002.tif 000008
【図４】
2008104002.tif 000009
【図５】
2008104002.tif 000010