(57)【特許請求の範囲】
【請求項１】
通信システムのための通信方法であって、
コアネットワークシステムが、通信端末から複数のネットワークスライスシステムのＩＤ（Identity）を含む第１のメッセージを受信し、
前記コアネットワークシステムが、前記複数のネットワークスライスシステムのＩＤのそれぞれに対して前記通信端末に認証を行い、
前記コアネットワークシステムが、前記通信端末に前記認証が成功したか否かを含む第２のメッセージを送信する、通信方法。
【請求項２】
請求項１に記載の通信方法であって、
前記コアネットワークシステムは、前記認証が失敗した場合、当該認証の失敗に関するcause値を前記通信端末に送信する。
【請求項３】
請求項１に記載の通信方法であって、
前記コアネットワークシステムは、サーバ装置を備え、
前記サーバ装置は、前記複数のネットワークスライスシステムに対する認証に関する加入者情報を有する。
【請求項４】
通信端末にサービスを提供する複数のネットワークスライスシステムを備えるコアネットワークシステムの通信方法であって、
前記通信端末から前記複数のネットワークスライスシステムのＩＤ（Identity）を含む第１のメッセージを受信し、
前記複数のネットワークスライスシステムのＩＤのそれぞれに対して前記通信端末に認証を行い、
前記通信端末に前記認証が成功したか否かを含む第２のメッセージを送信する、通信方法。
【請求項５】
請求項４に記載の通信方法であって、
前記認証が失敗した場合、当該失敗に関するcause値を前記通信端末に送信する。
【請求項６】
請求項４に記載の通信方法であって、
前記コアネットワークシステムは、サーバ装置を備え、
前記サーバ装置は、前記複数のネットワークスライスシステムに対する認証に関する加入者情報を有する。
【請求項７】
通信端末に用いられる通信方法であって、
複数のネットワークスライスシステムのＩＤ（Identity）を含む第１のメッセージを、コアネットワークシステムに送信し、
前記複数のネットワークスライスシステムのＩＤのそれぞれに対して認証を行った前記コアネットワークシステムから、前記認証が成功したか否かを含む第２のメッセージを受信する、通信方法。
【請求項８】
請求項７に記載の通信方法であって、
前記認証が失敗した場合、当該認証の失敗に関するcause値を前記コアネットワークシステムから受信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関し、例えばセキュリティ処理を実行する通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関する。
【背景技術】
【０００２】
近年、ＩｏＴ（Internet of Things）サービスに関する検討が進められている。ＩｏＴサービスには、ユーザの操作を必要とせず、自律的に通信を実行する端末（以下、ＩｏＴ端末とする）が数多く用いられる。そこで、サービス事業者が多くのＩｏＴ端末を用いてＩｏＴサービスを提供するために、通信事業者等が管理するネットワークにおいて、多くのＩｏＴ端末を効率的に収容することが望まれている。【０００３】
非特許文献１には、Annex Bにおいて、ネットワークスライシングを適用したコアネットワークの構成が記載されている。ネットワークスライシングは、多くのＩｏＴ端末を効率的に収容するために、提供するサービス毎にコアネットワークを分割する技術である。また、5.1節において、分割されたそれぞれのネットワーク（ネットワークスライスシステム）には、カスタマイズや最適化が必要になることが記載されている。【０００４】
一方、非特許文献２の6.2節には、ＥＰＳ（Evolved Packet System）のセキュリティ処理において用いられる鍵の構成が記載されている。具体的には、ＵＳＩＭ（Universal Subscriber Identity Module）及びＡｕＣ（Authentication Center）が、マスター鍵Ｋを有している。ＵＳＩＭ及びＡｕＣは、マスター鍵Ｋを用いて、ＣＫ（Confidentiality Key）及びＩＫ（Integrity Key）を生成する。【０００５】
次に、ＵＥ（User Equipment）及びＨＳＳ（Home Subscriber Server）は、ＣＫ、ＩＫ、及び、ＳＮＩＤ（Serving Network Identity）を用いて、鍵ＫＡＳＭＥを生成する。ＳＮＩＤは、通信事業者を識別するＩＤである。次に、ＵＥ及びＭＭＥ（Mobility Management Entity）は、鍵ＫＡＳＭＥを用いて、コアネットワーク及び無線アクセスネットワークのセキュリティ処理に用いられる鍵を生成する。【０００６】
ＥＰＳにおいては、このようにして生成された鍵を用いて、メッセージの暗号化及びメッセージの改ざん防止（メッセージの完全性保証）等のセキュリティ処理が実行される。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】3GPP TR23.799 V0.2.0 (2016-2) Annex B, 5.1 Key issue 1: Support of network slicing
【非特許文献２】3GPP TS 33.401 V13.2.0 (2016-03) 6.2 EPS key hierarchy
【発明の概要】
【発明が解決しようとする課題】
【０００８】
非特許文献１に開示されているネットワークスライシングが適用された場合、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させるために、ネットワークスライスシステム毎に異なる鍵を使用することが想定される。しかし、非特許文献２に開示されている鍵の構成は、ＵＥが、コアネットワーク内においては、１つの鍵ＫＡＳＭＥを使用することを示している。そのため、非特許文献２に開示されている鍵の構成を、ネットワークスライシングが適用されたコアネットワークに用いても、ネットワークスライスシステム毎に異なる鍵を生成することができない。そのため、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させることができないという問題がある。【０００９】
本開示の目的は、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することにある。
【課題を解決するための手段】
【００１０】
本開示の第１の態様にかかる通信システムは、通信端末の加入者情報を管理する加入者情報管理装置と、前記通信端末と、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理するセキュリティ装置と、を備え、前記加入者情報管理装置は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。【００１１】
本開示の第２の態様にかかる加入者情報管理装置は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と通信する通信部と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理する管理部と、を備え、前記通信部は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。【００１２】
本開示の第３の態様にかかる情報取得方法は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。【００１３】
本開示の第４の態様にかかるプログラムは、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することをコンピュータに実行させるものである。
【発明の効果】
【００１４】
本開示により、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】実施の形態１にかかる通信システムの構成図である。
【図２】実施の形態２にかかる通信システムの構成図である。
【図３】実施の形態２にかかるＡｕＣの構成図である。
【図４】実施の形態２にかかるＡｕＣが管理する情報を示す図である。
【図５】実施の形態２にかかるＨＳＳの構成図である。
【図６】実施の形態２にかかるＨＳＳが管理する情報を示す図である。
【図７】実施の形態２にかかるＵＥの構成図である。
【図８】実施の形態２にかかるＡｔｔａｃｈ処理の流れを示す図である。
【図９】実施の形態２にかかるＡＫＡ処理の流れを示す図である。
【図１０】実施の形態２にかかるＡｕＣにおけるサービス鍵の導出を説明する図である。
【図１１】実施の形態２にかかるＵＥにおけるサービス鍵の導出を説明する図である。
【図１２】実施の形態２にかかるＡｕＣが管理する情報を示す図である。
【図１３】実施の形態３にかかる通信システムの構成図である。
【図１４】それぞれの実施の形態にかかるＵＥの構成図である。
【図１５】それぞれの実施の形態にかかるＡｕＣ及びＨＳＳの構成図である。
【発明を実施するための形態】
【００１６】
（実施の形態１）
以下、図面を参照して本開示の実施の形態について説明する。図１の通信システムは、加入者情報管理装置１０及びセキュリティ装置２０を有している。加入者情報管理装置１０及びセキュリティ装置２０は、プロセッサがメモリに格納されたプログラムを実行することによって動作するコンピュータ装置であってもよい。
【００１７】
加入者情報管理装置１０は、少なくとも１つの通信端末の加入者情報を管理する。通信端末は、例えば、携帯電話端末、スマートフォン端末、通信機能を有するコンピュータ装置等であってもよい。通信端末は、ＩｏＴ端末、Ｍ２Ｍ（Machine to Machine）端末、もしくは、ＭＴＣ（Machine Type Communication）端末等であってもよい。
【００１８】
加入者情報は、例えば、通信端末を利用するユーザに関する契約情報、通信端末の位置情報、もしくは、通信端末を識別する情報等であってもよい。
【００１９】
セキュリティ装置２０は、通信端末を識別する情報（通信端末の識別情報）と、通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理する。セキュリティ情報は、ネットワークスライスシステムごとに固有の情報である。セキュリティ情報は、通信端末を認証する際に用いられる鍵情報であってもよい。セキュリティ情報は、データの暗号化もしくは完全性保証処理を実行する際に用いられる鍵情報等であってもよい。セキュリティ情報は、認証もしくは暗号化等に用いられる鍵情報を生成するために用いるマスター鍵であってもよい。セキュリティ情報は、セキュリティ処理を実行する際に用いられるセキュリティアルゴリズム等であってもよい。
【００２０】
加入者情報管理装置１０は、通信端末の識別情報及び通信端末が利用するネットワークスライスシステムの識別情報を用いて、セキュリティ装置２０から、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する。
【００２１】
以上説明したように、図１の通信システムを用いることによって、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することができる。そのため、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステム毎に異なるセキュリティ情報を用いることができる。その結果、ネットワークスライスシステムの独立性を高め、コアネットワーク全体のセキュリティを向上させることができる。
【００２２】
（実施の形態２）
図２を用いて本開示の実施の形態２にかかる通信システムの構成例について説明する。図２の通信システムは、コアネットワーク１００、５Ｇ ＲＡＮ（Radio Access Network）８０、及び、ＵＥ（User Equipment）９０を有している。コアネットワーク１００は、例えば、３ＧＰＰ（3rd Generation Partnership Project）において規定されているネットワークであってもよい。
【００２３】
ＵＥは、３ＧＰＰにおいて通信端末の総称として用いられる。ＵＥ９０は図２において１つのみ示されているが、図２の通信システムは複数のＵＥ９０を備えていてもよい。
【００２４】
５Ｇ ＲＡＮ８０は、ＵＥ９０へ無線回線を提供するネットワークである。５Ｇ ＲＡＮ８０は、例えば、基地局を有してもよく、さらに、基地局を制御する基地局制御装置等を有してもよい。５Ｇ ＲＡＮ８０は、例えば、低遅延及び広帯域な無線周波数等を実現する次世代のＲＡＮである。次世代に用いられるＲＡＮとして、５Ｇ ＲＡＮと称しているが、次世代に用いられるＲＡＮの名称は、５Ｇ ＲＡＮに限定されない。
【００２５】
コアネットワーク１００の構成例について説明する。コアネットワーク１００は、ＨＳＳ（Home Subscriber Server）３０、ＡｕＣ（Authentication Center）４０、ＡｕＣ５０、ＡｕＣ６０、ＣＰＦ（Control Plane Function）エンティティ７０（以下、ＣＰＦ７０とする）、ＮＳ（Nework Slice）システム１１０、ＮＳシステム１２０、及び、ＮＳシステム１３０を有している。各ＡｕＣは、ＨＳＳ３０と同じ装置内にあっても良く、ＡｕＣの一部の機能が、ＨＳＳ３０に実装されてもよい。また、各ＡｕＣは、各ＮＳシステム内に合っても良い。
【００２６】
ＨＳＳ３０は、図１の加入者情報管理装置１０に相当する。ＨＳＳ３０は、ＵＥ９０に関する加入者情報を管理する。また、ＨＳＳ３０は、ＨＬＲ（Home Location Register）に置き換えられてもよい。ＨＳＳ３０は、鍵管理機能を有する。また、ＨＳＳ３０は、それぞれのＮＳシステムに、鍵情報を送信する。鍵管理機能とは、ＵＥに関する鍵情報をどのノード装置もしくはどのＮＳシステムへ送信したかを管理する機能である。さらに、鍵管理機能は、ノード装置もしくはＮＳシステムへ送信した鍵情報の種類等についても管理する機能である。また、ＨＳＳ３０は、鍵管理機能の一部の機能を有し、その他の機能をＨＳＳ３０と異なる装置が有してもよい。もしくは、鍵管理機能に関する全ての機能を、ＨＳＳ３０と異なる装置が有してもよい。
【００２７】
ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０（以下、ＡｕＣ４０等とする）各々は、図１のセキュリティ装置２０に相当する。ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に用いる鍵情報を管理する。さらに、ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に関するパラメータを管理する。セキュリティ処理に関するパラメータは、例えば、ＮＡＳ（Non Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＮＡＳは、ＵＥ９０等とコアネットワーク１００との間の通信に用いられるレイヤである。セキュリティ処理に関するパラメータは、ＡＳ（Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＡＳは、５Ｇ  ＲＡＮ８０と、ＵＥ９０との間の通信に用いられるレイヤである。
【００２８】
セキュリティ処理に関するパラメータは、鍵の長さを規定するパラメータであってもよい。鍵の長さは、例えば、ビット数によって示される。セキュリティ処理に関するパラメータは、暗号化アルゴリズム、鍵生成アルゴリズム、もしくは、認証アルゴリズム等を示すパラメータであってもよい。
【００２９】
ＣＰＦ７０は、コアネットワーク１００内において、ＵＥ９０に関するＣ−Ｐｌａｎｅデータを処理する装置である。Ｃ−Ｐｌａｎｅデータは、制御データと称されてもよい。ＣＰＦ７０は、制御データを処理する装置であるため制御装置と称されてもよい。さらに、ＣＰＦ７０は、３ＧＰＰにおいて規定されているＭＭＥ（Mobility Management Entity）に相当する機能を有してもよい。
【００３０】
ＮＳシステム１１０は、ＮＳシステム１２０及びＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。また、ＮＳシステム１２０は、ＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。それぞれのＮＳシステムが提供するサービスは、例えば、自動運転サービス、スマートメータに関するサービス、もしくは、自動販売機の管理サービス等であってもよい。ＮＳシステムが提供するサービスは、これらのサービスに限定されず、様々なサービスが存在する。
【００３１】
図２においては、ＣＰＦ７０は、コアネットワーク１００内に配置され、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれにも属していないことを示している。しかし、ＣＰＦ７０は、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれかに属してもよく、もしくは、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のそれぞれが、ＣＰＦ７０を有してもよい。
【００３２】
続いて、図３を用いて本開示の実施の形態２にかかるＡｕＣ４０の構成例について説明する。ＡｕＣ５０及びＡｕＣ６０は、ＡｕＣ４０と同様の構成を有している。ＡｕＣ４０は、通信部４１、セキュリティ情報管理部４２、及び、ＮＳ鍵生成部４３を有している。通信部４１は、送信部（transmitter）及び受信部(receiver)であってもよい。
【００３３】
通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、回路もしくはチップ等のハードウェアであってもよい。
【００３４】
通信部４１は、主に、ＨＳＳ３０との間においてデータを伝送する。
【００３５】
セキュリティ情報管理部４２は、ＵＥ９０毎に関連付けられたセキュリティ情報を管理する。ここで、図４を用いて、セキュリティ情報管理部４２が管理する情報について説明する。セキュリティ情報管理部４２は、ＩＭＳＩ（International Mobile Subscriber Identity）と、ＮＳＩＤ（Network Slice Identity）及びマスター鍵Ｋとを関連付けて管理している。ＩＭＳＩは、ＵＥ９０を識別するために用いられる識別情報である。ＮＳＩＤは、ＮＳシステムを識別するために用いられる識別情報である。
【００３６】
図４は、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０及びＮＳシステム１２０を利用することができることを示している。さらに、図４は、ＩＭＳＩが００１であるＵＥに対して、ＮＳシステム１１０におけるセキュリティ処理に用いられるマスター鍵Ｋａ＿００１が割り当てられ、ＮＳシステム１２０におけるセキュリティ処理に用いられるマスター鍵Ｋｂ＿００１が割り当てられていることを示している。ＩＭＳＩが００２であるＵＥに関しても、利用可能なＮＳシステムと、そのＮＳシステムにおけるセキュリティ処理に用いられるマスター鍵Ｋとが関連付けられている。
【００３７】
図４は、セキュリティ情報管理部４２が複数のＮＳシステムに関するマスター鍵を管理することを示しているが、セキュリティ情報管理部４２は、一つのＮＳシステムに関するマスター鍵のみを管理してもよい。例えば、ＡｕＣ４０は、ＮＳシステム１１０に関するマスター鍵Ｋを管理する装置として用いられてもよい。この場合、セキュリティ情報管理部４２は、ＮＳＩＤに関する情報を管理せず、ＩＭＳＩとマスター鍵Ｋとを関連付けて管理してもよい。
【００３８】
図３に戻り、ＮＳ鍵生成部４３は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部４３は、マスター鍵Ｋａ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａを生成する。さらに、ＮＳ鍵生成部４３は、マスター鍵Ｋｂ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１２０において用いられるサービス鍵Ｋｓｖ−Ｂを生成する。ＩＭＳＩが００２であるＵＥに対しても同様に、サービス鍵Ｋｓｖを生成する。
【００３９】
図５を用いて本開示の実施の形態２にかかるＨＳＳ３０の構成例について説明する。ＨＳＳ３０は、通信部３１及び情報管理部３２を有している。通信部３１及び情報管理部３２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部３１及び情報管理部３２は、回路もしくはチップ等のハードウェアであってもよい。通信部３１は、送信部（transmitter）及び受信部(receiver)であってもよい。
【００４０】
通信部３１は、ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０との間においてデータを伝送する。さらに、通信部３１は、ＮＳシステム１１０を構成するノード装置、ＮＳシステム１２０を構成するノード装置、及び、ＮＳシステム１３０を構成するノード装置との間においてデータを伝送する。
【００４１】
情報管理部３２は、ＡｕＣ４０等とＮＳシステムとを関連付けた情報を管理している。ここで、図６を用いて、情報管理部３２が管理する情報について説明する。図６は、ＡｕＣ４０と、ＮＳシステム１１０〜ＮＳシステム１３０とが関連付けられており、さらに、ＡｕＣ５０とＮＳシステム１４０〜ＮＳシステム１６０とが関連付けられていることを示している。ＡｕＣ４０とＮＳシステム１１０〜ＮＳシステム１３０とが関連付けられているとは、ＡｕＣ４０が、ＵＥ毎に、ＮＳシステム１１０〜ＮＳシステム１３０においてセキュリティ処理に用いられるマスター鍵Ｋを管理していることである。
【００４２】
図７を用いて本開示の実施の形態２にかかるＵＥ９０の構成例について説明する。ＵＥ９０は、通信部９１及びＮＳ鍵生成部９２を有している。通信部９１及びＮＳ鍵生成部９２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部９１及びＮＳ鍵生成部９２は、回路もしくはチップ等のハードウェアであってもよい。通信部９１は、送信部（transmitter）及び受信部(receiver)であってもよい。
【００４３】
通信部９１は、主に、５Ｇ ＲＡＮ８０を構成する基地局等との間においてデータ伝送を行う。
【００４４】
ＮＳ鍵生成部９２は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部９２は、ＮＳシステム１１０及びＮＳシステム１２０を利用することができるとする。この場合、ＮＳ鍵生成部９２は、マスター鍵Ｋａ＿００１を用いて、ＮＳシステム１１０において用いるサービス鍵Ｋｓｖ−Ａを生成し、マスター鍵Ｋｂ＿００１を用いて、ＮＳシステム１２０において用いるサービス鍵Ｋｓｖ−Ｂを生成する。
【００４５】
例えば、通信部９１は、複数のＳＩＭを有し、ＳＩＭ毎に異なるマスター鍵Ｋを管理してもよい。また、それぞれのＳＩＭは、いずれかのＮＳシステムと対応付けられていてもよい。
【００４６】
図８を用いて本開示の実施の形態２にかかるＵＥ９０に関するＡｔｔａｃｈ処理の流れについて説明する。
【００４７】
はじめに、ＵＥ９０は、５Ｇ ＲＡＮ８０との間において接続処理を開始する（Ｓ１１）。例えば、ＵＥ９０は、５Ｇ  ＲＡＮ８０に配置されている基地局と通信を行うために、無線通信回線を介して基地局と接続する。
【００４８】
次に、ＵＥ９０は、５Ｇ  ＲＡＮ８０を介してＣＰＦ７０へAttach requestメッセージを送信する（Ｓ１２）。ＵＥ９０は、例えば、ＮＳシステム１１０において提供されているサービスを利用する。この場合、ＵＥ９０は、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤ、を設定したAttach requestメッセージをＣＰＦ７０に送信する。ＵＥ９０は、複数のＮＳＩＤを設定しても構わない。
【００４９】
次に、ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間においてＡＫＡ（Authentication and Key Agreement）処理を実行する（Ｓ１３）。ステップＳ１３におけるＡＫＡ処理を実行することによって、ＵＥ９０において生成されたサービス鍵Ｋｓｖ−Ａと、ＡｕＣ４０において生成されたサービス鍵Ｋｓｖ−Ａとが一致することを、ＵＥ９０及びＨＳＳ３０において確認することができる。ＵＥ９０がAttach requestメッセージに複数のＮＳＩＤを設定した場合、ＮＳシステム毎に、サービス鍵Ｋｓｖが生成される。この場合、ステップＳ１３のＡＫＡ処理において、ＵＥ９０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖと、ＡｕＣ４０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖとが一致するかを確認する。ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間において、ＡＫＡ以外の処理が実行されることによって、サービス鍵Ｋｓｖの認証が行われててもよい。
【００５０】
ＵＥ９０は、ステップＳ１３におけるＡＫＡ処理が実行された後に、サービス鍵Ｋｓｖ−Ａを用いて、ＮＳシステム１１０において提供されているサービスを利用することができる。例えば、ＵＥ９０が、ＮＳシステム１１０が有する装置に対してアクセスする際に、ＵＥ９０は、ＵＥ９０を操作するユーザから入力されたパスワード情報等を、ＮＳシステム１１０が有する装置へ送信してもよい。ＮＳシステム１１０が有する装置は、送信されたパスワードの正当性を確認できた場合に、ＵＥ９０に対してサービスを提供してもよい。
【００５１】
もしくは、ＮＳシステム１１０が有する装置は、ＵＥ９０に関するサービス鍵Ｋｓｖ−Ａを予め保持していてもよい。例えば、ＮＳシステム１１０が有する装置は、ＨＳＳ３０もしくはＡｕＣ４０からサービス鍵Ｋｓｖ−Ａを取得してもよい。ＮＳシステム１１０が有する装置は、ＡＫＡ処理を実行し、自装置が保持するサービス鍵Ｋｓｖ−Ａと、ＵＥ９０が保持するサービス鍵Ｋｓｖ−Ａとが一致する場合に、ＵＥ９０に対してサービスを提供してもよい。
【００５２】
図８においては、ステップＳ１２において、ＵＥ９０が、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤを設定したAttach requestメッセージをＣＰＦ７０へ送信することを示している。一方、ＵＥ９０が利用することができるＮＳシステムが一つだけであり、ＨＳＳ３０において、ＵＥ９０が利用することができるＮＳシステムが加入者情報として管理されている場合、ＵＥ９０は、ＩＭＳＩのみを設定したAttach requestメッセージをＣＰＦ７０へ送信してもよい。ＵＥ９０が利用することができるＮＳシステムが複数ある場合、ＵＥ９０は、ＩＭＳＩ及び利用するＮＳシステムの識別情報を設定したAttach requestメッセージをＣＰＦ７０へ送信する。
【００５３】
図９を用いて、図８のステップＳ１３におけるＡＫＡ処理の詳細について説明する。はじめに、ＣＰＦ７０は、ＨＳＳ３０へAuthentication data requestメッセージを送信する（Ｓ２１）。Authentication data requestメッセージには、ＵＥ９０のＩＭＳＩ（International Mobile Subscriber Identity）、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。ＮＳＩＤは、例えば、ＮＳシステム１１０を示す識別情報である。
【００５４】
次に、ＨＳＳ３０は、ＡｕＣ４０へAuth data create requestメッセージを送信する（Ｓ２２）。Auth data create requestメッセージには、ＵＥ９０のＩＭＳＩ、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。図９においては、ＮＳＩＤは、ＮＳシステム１１０を示す識別情報であるとする。ＨＳＳ３０は、図６に示す情報を用いて、ＵＥ９０が指定するＮＳＩＤと関連付けられているＡｕＣを特定することができる。ここでは、ＨＳＳ３０は、ＮＳシステム１１０を示すＮＳＩＤを受信している。そのため、ＨＳＳ３０は、Auth data create requestメッセージの送信先を、図６に示す情報を用いて、ＡｕＣ４０と特定することができる。ＵＥ９０が、ＮＳＩＤを指定しなかった場合、ＨＳＳ３０は、予め定められたデフォルトＮＳシステムと関連付けられているＡｕＣを特定する。デフォルトＮＳシステムは、ＵＥ毎に予め定められていてもよく、ＨＳＳ３０において管理されている優先度に従って定められてもよい。優先度は、ＵＥ毎に定められてもよい。
【００５５】
ＵＥ９０が利用可能なＮＳシステムが１つのみであり、ＨＳＳ３０が、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳシステムとを関連付ける情報を加入者情報として管理しているとする。この場合、ＨＳＳ３０は、ＣＰＦ７０から送信されるＩＭＳＩを用いて、ＵＥ９０が利用可能なＮＳシステムを特定することができる。ＨＳＳ３０は、ＵＥ９０が接続可能な複数のＮＳＩＤを加入者データとして管理している場合がある。この場合、ＨＳＳ３０は加入者データが示すすべてのＮＳＩＤに対応するＡｕＣ４０等へAuth data create requestメッセージを繰り返し送信してもかまわない。
【００５６】
次に、ＡｕＣ４０は、ＫＤＦ（Key Deriviation Function）を用いて、サービス鍵Ｋｓｖ−Ａを導出する（Ｓ２３）。ここで、図１０を用いて、ＡｕＣ４０のＮＳ鍵生成部４３における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。
【００５７】
図１０は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ（Random number）、及び、ＳＱＮ（Sequence Number）が入力された結果、ＸＲＥＳ（Expected Response）、ＡＵＴＮ（Authentication token）、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａとする。
【００５８】
図９に戻り、ＡｕＣ４０は、ＨＳＳ３０へAuth data create responseメッセージを送信する（Ｓ２４）。Auth data create responseメッセージには、ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。Authentication data responseメッセージに含まれるＲＡＮＤは、ステップＳ２３において、Ｋｓｖ−Ａ等を生成する際に入力パラメータとして用いられたＲＡＮＤと同様である。ＸＲＥＳ、Ｋｓｖ−Ａ、及び、ＡＵＴＮは、ステップＳ２３において生成されたＸＲＥＳ、Ｋｓｖ−Ａ、及び、ＡＵＴＮと同様である。Ｋｓｖ−Ａ＿ＩＤは、Ｋｓｖ−Ａを識別する識別情報である。ＨＳＳ３０が、複数のＡｕＣにAuth data create requestメッセージを繰り返し送信した場合は、すべてのＡｕＣから対応するAuth data create responseメッセージが返送される事を確認し、その後、各Auth data create responseメッセージに含まれるＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮを、対応するＮＳＩＤ毎にAuthentication data responseメッセージに設定する。
【００５９】
次に、ＨＳＳ３０は、ＣＰＦ７０へAuthentication data responseメッセージを送信する（Ｓ２５）。Authentication data responseメッセージには、ステップＳ２４において送信されたAuth data create responseメッセージに含まれていたＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮは、ＮＳＩＤ毎に設定される場合もある。
【００６０】
次に、ＣＰＦ７０は、５Ｇ  ＲＡＮ４２を介してＵＥ９０へAuthentication requestメッセージを送信する（Ｓ２６）。Authentication requestメッセージには、ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤが含まれる。ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤは、ステップＳ２５においてＨＳＳ３０から受信したＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤである。ＵＥ９０が、Attach requestメッセージ（Ｓ１２）で複数のＮＳＩＤを設定した場合は、ＮＳＩＤ毎のＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤが設定される。
【００６１】
次に、ＵＥ９０は、ＫＤＦを用いて、サービス鍵Ｋｓｖ−Ａを導出する（Ｓ２７）。ここで、図１１を用いて、ＵＥ９０のＮＳ鍵生成部９２における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。
【００６２】
図１１は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ、及び、ＡＵＴＮが入力された結果、ＲＥＳ（Response）、ＳＱＮ、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａが用いられるとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａとする。なお、ここでは、ＵＥ９０は、アクセスできるＮＳシステムが事前に決められており、そのＮＳシステムのＮＳＩＤをあらかじめ保持していることを前提としている。
【００６３】
図９に戻り、ＵＥ９０は、５Ｇ ＲＡＮ８０を介してＣＰＦ７０へAuthentication responseメッセージを送信する（Ｓ２８）。Authentication responseメッセージには、ＲＥＳが含まれる。Authentication responseメッセージに含まれるＲＥＳは、ステップＳ２７において生成されたＲＥＳと同様である。Authentication requestメッセージ（Ｓ２６）に複数のＮＳＩＤが設定された場合は、ＮＳＩＤ毎のＲＥＳが設定される。
【００６４】
次に、ＣＰＦ７０は、ステップＳ２５において受信したAuthentication data responseメッセージに含まれるＸＲＥＳと、ステップＳ２８において受信したAuthentication responseメッセージに含まれるＲＥＳとを比較する（Ｓ２９）。ステップＳ２９において、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致する場合、ＡｕＣ４０において生成されたＫｓｖ−Ａと、ＵＥ９０において生成されたＫｓｖ−Ａとが一致すると判定することができる。複数のＮＳＩＤが扱われる場合は、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとの比較をＮＳＩＤ毎に実行される。ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致した場合、ＲＥＳとＸＲＥＳとが一致したこと、もしくは、Ｋｓｖ−Ａに関する認証が成功したことをＨＳＳ３０へ通知する。さらに、ＨＳＳ３０は、Ｋｓｖ−Ａ＿ＩＤとＫｓｖ−ＡとをＮＳシステム１１０へ送信する。
【００６５】
次に、ＵＥ９０に関するＡＫＡ処理がエラーとなる場合について説明する。例えば、ＡｕＣ４０は、Auth data create requestに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、Auth data create requestメッセージに対する応答メッセージとしてＡｕＣ４０は、cause値”No subscription to Network slice”を含むAuth data create errorメッセージをＨＳＳ３０に送信する。更に、ＨＳＳ３０は、cause値”No subscription to Network slice”を含むAuthentication data rejectメッセージをＣＰＦ７０に送信する。更に、ＣＰＦ７０は、cause値”Access to Network slice not allowed”を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
【００６６】
また、ステップＳ２９の認証に失敗した場合、ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
【００６７】
また、複数のＮＳＩＤに対して行われた認証について一部のＮＳＩＤのみに関する認証が成功した場合の動作について説明する。この場合、ＣＰＦ７０は、認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合と、認証されたＮＳＩＤのみに対して接続を許容する場合とがある。以下がそれぞれの場合の動作である。
【００６８】
認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合：
ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージををＵＥ９０に送信する。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication failureメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
【００６９】
認証されたＮＳＩＤのみに対して接続を許容する場合：
ＣＰＦ７０は、部分的に認証が成功したとしてcause値”Network Slice Authentication partially failed” を含むAuthentication responseメッセージををＵＥ９０に送信しても良い。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication responseメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみに対して認証が成功した事を認識する。この場合、ＵＥ９０は部分的に認証が成功したNetwork Sliceで提供されるサービスのみを享受してもかまわない。
【００７０】
次にＵＥ９０が、Attach requestメッセージ（Ｓ１２）に設定したＮＳＩＤに対する認証が成功した場合の動作について説明する。ＣＰＦ７０は、認証したサービス鍵Ｋｓｖを図２に示されるNetwork Sliceシステムに通知してもよい。更にNetwork Sliceシステムは、サービス鍵Ｋｓｖを利用して必要なサービス鍵を更に生成しても構わない。また、図２に示されるNetwork Sliceシステムは、ＨＳＳ３０と連動して更なる認証動作を行っても構わない。
【００７１】
また、ＨＳＳ３０は、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳＩＤとを関連付けて管理していてもよい。この場合、ステップＳ２１において、ＨＳＳ３０は、Authentication data requestメッセージを受信する。Authentication data requestメッセージに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、ＨＳＳ３０は、Authentication data requestメッセージに対する応答メッセージとしてエラーメッセージを送信する。ＨＳＳ３０は、各ＡｕＣに関連付けデータを要求することができる。また、各ＡｕＣは、関連付けデータを更新した場合に、ＨＳＳ３０に更新したデータを送信することができる。例えば、各ＡｕＣは、図１２に示すように、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けて管理してもよい。関連付けデータは、図１２に示すように、例えば、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けたデータである。図１２は、ＩＭＳＩが００３であるＵＥは、ＮＳシステム１１０にはアクセスすることができるが、ＮＳシステム１２０及びＮＳシステム１３０にはアクセスすることができないことを示している。さらに、ＩＭＳＩが００４であるＵＥは、ＮＳシステム１４０及びＮＳシステム１５０にはアクセスすることができるが、ＮＳシステム１６０にはアクセスすることができないことを示している。各ＡｕＣは、図１２に示すデータを更新した場合、更新したデータをＨＳＳ３０へ送信する。
【００７２】
（実施の形態３）
続いて、図１３を用いて本開示の実施の形態３にかかる通信システムの構成例について説明する。図１３は、ＵＥ９５が、ホーム網であるＨＰＬＭＮ（Home Public Land Mobile Network）１０１からＶＰＬＭＮ（Visited Public Land Mobile Network）１０２へ移動したことを示している。言い換えると、図１３は、ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングしたことを示している。
【００７３】
ＨＰＬＭＮ１０１は、ＨＳＳ３５、ＡｕＣ５１、ＡｕＣ５２、ＣＰＦ７１、ＤＥＡ（Diameter Edge Agent）７２、ＮＳシステム１１１、及び、ＮＳシステム１１２を有している。ＵＥ９５は、５Ｇ ＲＡＮ８１を介してＨＰＬＭＮ１０１と通信を行う。また、ＶＰＬＭＮ１０２は、ＨＳＳ３６、ＡｕＣ６１、ＡｕＣ６２、ＣＰＦ７３、ＤＥＡ７４、ＮＳシステム１２１、及び、ＮＳシステム１２２を有している。ＵＥ９５は、５Ｇ ＲＡＮ８２を介してＶＰＬＭＮ１０２と通信を行う。ＤＥＡ７２及びＤＥＡ７４は、Diameter信号を中継する装置である。ＤＥＡ７２及びＤＥＡ７４以外の構成については、図２に示す通信ネットワークと同様である。
【００７４】
ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へ移動した場合、ＶＰＬＭＮ１０２においてＡｔｔａｃｈ処理を実行する。この場合、ＵＥ９５は、図８のステップＳ１１及びＳ１２において説明したＡｔｔａｃｈ処理と同様に、５Ｇ ＲＡＮ８２を介してＣＰＦ７３へ接続する。
【００７５】
次に、ＣＰＦ７３は、図８のステップＳ１３において、ＨＳＳ３６へ問い合わせた結果、ＵＥ９５がＨＰＬＭＮ１０１をホーム網とするローミング端末であると決定する。そのため、ＣＰＦ７３は、ＤＥＡ７４及びＤＥＡ７２を介してＣＰＦ７１に接続する。ＵＥ９５は、ＣＰＦ７３、ＤＥＡ７４、及びＤＥＡ７２を介して、ＣＰＦ７１との間において、ＡＫＡ処理を実行する。ＵＥ９５は、例えば、ＨＰＬＭＮ１０１におけるＮＳシステム１１１が提供するサービスを利用することを要望しているとする。この場合、ＵＥ９５は、ＣＰＦ７１との間においてＡＫＡ処理を実行し、認証が完了すると、例えば、ＮＳシステム１２１を介してＮＳシステム１１１と通信を行ってもよい。
【００７６】
ＶＰＬＭＮ１０２は、ローミング端末が利用可能なＮＳシステムとして、予めＮＳシステム１２１を定めていてもよい。もしくは、ＨＰＬＭＮ１０１のＮＳシステム１１１に対応するＶＰＬＭＮ１０２のＮＳシステム、および、ＨＰＬＭＮ１０１のＮＳシステム１１２に対応するＶＰＬＭＮ１０２のＮＳシステムが予め定められていてもよい。例えば、ＨＰＬＭＮ１０１のＮＳシステム１１１とＶＰＬＭＮ１０２のＮＳシステム１２１とを対応付け、ＨＰＬＭＮ１０１のＮＳシステム１１２とＶＰＬＭＮ１０２のＮＳシステム１２２とを対応付けてもよい。
【００７７】
以上説明したように、ＵＥ９５は、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングした場合であっても、ＶＰＬＭＮ１０２を介してＨＰＬＭＮ１０１におけるＮＳシステムへアクセスすることができる。
【００７８】
続いて以下では、上述の複数の実施形態で説明されたUE９０、AuC４０〜６０、及び、ＨＳＳ３０の構成例について説明する。
【００７９】
図１４は、UE９０及びＵＥ９５の構成例を示すブロック図である。Radio Frequency（RF）トランシーバ１１０１は、５Ｇ ＲＡＮ８０、８１及び８２と通信するためにアナログRF信号処理を行う。RFトランシーバ１１０１により行われるアナログRF信号処理は、周波数アップコンバージョン、周波数ダウンコンバージョン、及び増幅を含む。RFトランシーバ１１０１は、アンテナ１１０２及びベースバンドプロセッサ１１０３と結合される。すなわち、RFトランシーバ１１０１は、変調シンボルデータ（又はOFDMシンボルデータ）をベースバンドプロセッサ１１０３から受信し、送信RF信号を生成し、送信RF信号をアンテナ１１０２に供給する。また、RFトランシーバ１１０１は、アンテナ１１０２によって受信された受信ＲＦ信号に基づいてベースバンド受信信号を生成し、これをベースバンドプロセッサ１１０３に供給する。
【００８０】
ベースバンドプロセッサ１１０３は、無線通信のためのデジタルベースバンド信号処理（データプレーン処理）とコントロールプレーン処理を行う。デジタルベースバンド信号処理は、(a) データ圧縮／復元、(b) データのセグメンテーション／コンカテネーション、(c) 伝送フォーマット（伝送フレーム）の生成／分解、(d) 伝送路符号化／復号化、(e) 変調（シンボルマッピング）／復調、及び(f) Inverse Fast Fourier Transform（IFFT）によるOFDMシンボルデータ（ベースバンドOFDM信号）の生成などを含む。一方、コントロールプレーン処理は、レイヤ１（e.g., 送信電力制御）、レイヤ２（e.g., 無線リソース管理、及びhybrid automatic repeat request（HARQ）処理）、及びレイヤ３（e.g., アタッチ、モビリティ、及び通話管理に関するシグナリング）の通信管理を含む。
【００８１】
例えば、LTEおよびLTE-Advancedの場合、ベースバンドプロセッサ１１０３によるデジタルベースバンド信号処理は、Packet Data Convergence Protocol（PDCP）レイヤ、Radio Link Control（RLC）レイヤ、MACレイヤ、およびPHYレイヤの信号処理を含んでもよい。また、ベースバンドプロセッサ１１０３によるコントロールプレーン処理は、Non-Access Stratum（NAS）プロトコル、RRCプロトコル、及びMAC CEの処理を含んでもよい。
【００８２】
ベースバンドプロセッサ１１０３は、デジタルベースバンド信号処理を行うモデム・プロセッサ（e.g., Digital Signal Processor（DSP））とコントロールプレーン処理を行うプロトコルスタック・プロセッサ（e.g., Central Processing Unit（CPU）、又はMicro Processing Unit（MPU））を含んでもよい。この場合、コントロールプレーン処理を行うプロトコルスタック・プロセッサは、後述するアプリケーションプロセッサ１１０４と共通化されてもよい。
【００８３】
アプリケーションプロセッサ１１０４は、CPU、MPU、マイクロプロセッサ、又はプロセッサコアとも呼ばれる。アプリケーションプロセッサ１１０４は、複数のプロセッサ（複数のプロセッサコア）を含んでもよい。アプリケーションプロセッサ１１０４は、メモリ１１０６又は図示されていないメモリから読み出されたシステムソフトウェアプログラム（Operating System（OS））及び様々なアプリケーションプログラム（例えば、通話アプリケーション、WEBブラウザ、メーラ、カメラ操作アプリケーション、音楽再生アプリケーション）を実行することによって、ＵＥ９０及びＵＥ９５の各種機能を実現する。
【００８４】
いくつかの実装において、図１４に破線（１１０５）で示されているように、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのチップ上に集積されてもよい。言い換えると、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのSystem on Chip（SoC）デバイス１１０５として実装されてもよい。SoCデバイスは、システムLarge Scale Integration（LSI）またはチップセットと呼ばれることもある。
【００８５】
メモリ１１０６は、揮発性メモリ若しくは不揮発性メモリ又はこれらの組合せである。メモリ１１０６は、物理的に独立した複数のメモリデバイスを含んでもよい。揮発性メモリは、例えば、Static Random Access Memory（SRAM）若しくはDynamic RAM（DRAM）又はこれらの組み合わせである。不揮発性メモリは、マスクRead Only Memory（MROM）、Electrically Erasable Programmable ROM（EEPROM）、フラッシュメモリ、若しくはハードディスクドライブ、又はこれらの任意の組合せである。例えば、メモリ１１０６は、ベースバンドプロセッサ１１０３、アプリケーションプロセッサ１１０４、及びSoC１１０５からアクセス可能な外部メモリデバイスを含んでもよい。メモリ１１０６は、ベースバンドプロセッサ１１０３内、アプリケーションプロセッサ１１０４内、又はSoC１１０５内に集積された内蔵メモリデバイスを含んでもよい。さらに、メモリ１１０６は、Universal Integrated Circuit Card（UICC）内のメモリを含んでもよい。
【００８６】
メモリ１１０６は、上述の複数の実施形態で説明されたＵＥ９０及びＵＥ９５による処理を行うための命令群およびデータを含むソフトウェアモジュール（コンピュータプログラム）を格納してもよい。いくつかの実装において、ベースバンドプロセッサ１１０３又はアプリケーションプロセッサ１１０４は、当該ソフトウェアモジュールをメモリ１１０６から読み出して実行することで、上述の実施形態で説明されたＵＥ９０及びＵＥ９５の処理を行うよう構成されてもよい。
【００８７】
図１５は、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、ＡｕＣ６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６（以下、ＡｕＣ４０等とする）の構成例を示すブロック図である。図１５を参照すると、ＡｕＣ４０等は、ネットワークインターフェース１２０１、プロセッサ１２０２、及びメモリ１２０３を含む。ネットワークインターフェース１２０１は、ネットワークノード（e.g., eNodeB１３０、MME、P-GW、）と通信するために使用される。ネットワークインターフェース１２０１は、例えば、IEEE 802.3 seriesに準拠したネットワークインタフェースカード（NIC）を含んでもよい。
【００８８】
プロセッサ１２０２は、メモリ１２０３からソフトウェア（コンピュータプログラム）を読み出して実行することで、上述の実施形態においてシーケンス図及びフローチャートを用いて説明されたＡｕＣ４０等の処理を行う。プロセッサ１２０２は、例えば、マイクロプロセッサ、MPU、又はCPUであってもよい。プロセッサ１２０２は、複数のプロセッサを含んでもよい。
【００８９】
メモリ１２０３は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２０３は、プロセッサ１２０２から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１２０２は、図示されていないI/Oインタフェースを介してメモリ１２０３にアクセスしてもよい。
【００９０】
図１５の例では、メモリ１２０３は、ソフトウェアモジュール群を格納するために使用される。プロセッサ１２０２は、これらのソフトウェアモジュール群をメモリ１２０３から読み出して実行することで、上述の実施形態において説明されたＡｕＣ４０等の処理を行うことができる。
【００９１】
図１４及び図１５を用いて説明したように、上述の実施形態にＵＥ９０及びＵＥ９５、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６が有するプロセッサの各々は、図面を用いて説明されたアルゴリズムをコンピュータに行わせるための命令群を含む１又は複数のプログラムを実行する。このプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、Compact Disc Read Only Memory（CD-ROM）、CD-R、CD-R/W、半導体メモリ（例えば、マスクROM、Programmable ROM（PROM）、Erasable PROM（EPROM）、フラッシュROM、Random Access Memory（RAM））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【００９２】
なお、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、本開示は、それぞれの実施の形態を適宜組み合わせて実施されてもよい。
【００９３】
以上、実施の形態を参照して本願開示を説明したが、本願開示は上記によって限定されるものではない。本願開示の構成や詳細には、開示のスコープ内で当業者が理解し得る様々な変更をすることができる。
【００９４】
この出願は、２０１６年７月１５日に出願された日本出願特願２０１６−１４０７６０を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【００９５】
１０  加入者情報管理装置
２０  セキュリティ装置
３０  ＨＳＳ
３１  通信部
３２  情報管理部
３５  ＨＳＳ
３６  ＨＳＳ
４０  ＡｕＣ
４１  通信部
４２  セキュリティ情報管理部
４３  ＮＳ鍵生成部
５０  ＡｕＣ
５１  ＡｕＣ
５２  ＡｕＣ
６０  ＡｕＣ
６１  ＡｕＣ
６２  ＡｕＣ
７０  ＣＰＦ
７１  ＣＰＦ
７２  ＤＥＡ
７３  ＣＰＦ
７４  ＤＥＡ
８０  ５Ｇ ＲＡＮ
８１  ５Ｇ ＲＡＮ
８２  ５Ｇ ＲＡＮ
９０  ＵＥ
９１  通信部
９２  ＮＳ鍵生成部
９５  ＵＥ
１００  コアネットワーク
１０１  ＨＰＬＭＮ
１０２  ＶＰＬＭＮ
１１０  ＮＳシステム
１１１  ＮＳシステム
１１２  ＮＳシステム
１２０  ＮＳシステム
１２１  ＮＳシステム
１２２  ＮＳシステム
１３０  ＮＳシステム
【図１】
0006773116.tif 000002
【図２】
0006773116.tif 000003
【図３】
0006773116.tif 000004
【図４】
0006773116.tif 000005
【図５】
0006773116.tif 000006
【図６】
0006773116.tif 000007
【図７】
0006773116.tif 000008
【図８】
0006773116.tif 000009
【図９】
0006773116.tif 000010
【図１０】
0006773116.tif 000011
【図１１】
0006773116.tif 000012
【図１２】
0006773116.tif 000013
【図１３】
0006773116.tif 000014
【図１４】
0006773116.tif 000015
【図１５】
0006773116.tif 000016