(57)【要約】【課題】高品質サービスが提供可能な無線ネットワークを提供する。【解決手段】第１アクセスネットワークと第２アクセスネットワーク間においてモバイル装置のハンドオフを制御する方法である。モバイル装置のユーザとハイパーオペレータ間において契約を締結し、モバイル装置が現在動作中の第１アクセスネットワークから第２アクセスネットワークへのハンドオフを実行する。具体的には、ハイパーオペレータはユーザが契約により第２アクセスネットワークへのアクセス権を有しているか否かの認証を行う。認証が成功すると、第２アクセスネットワークへのハンドオフを実行する。【選択図】　　　図４
2004007576.tif 000002
【特許請求の範囲】
【請求項１】
モバイル装置を、第１アクセスネットワークから第２アクセスネットワークへハンドオフさせる方法であって、
モバイル装置のユーザとハイパーオペレータとの間における契約を締結するステップと、
前記ハイパーオペレータが、前記契約に基づいて、前記モバイル装置のユーザが前記第２アクセスネットワークへのアクセス権のあるユーザであるか否かを認証するステップと、
該認証が成功した場合、第２アクセスネットワークへのハンドオフを実行するステップとを備えることを特徴とするハンドオフ制御方法。
【請求項２】
前記モバイル装置は、携帯電話であることを特徴とする請求項１に記載のハンドオフ制御方法。
【請求項３】
前記モバイル装置は、ラップトップコンピュータであることを特徴とする請求項１に記載のハンドオフ制御方法。
【請求項４】
前記認証が成功すると、前記ユーザが利用する金額に基づき、前記ハンドオフを実行するステップを更に有することを特徴とする請求項１に記載のハンドオフ制御方法。
【請求項５】
前記ユーザと、前記第１アクセスネットワークまたは前記第２アクセスネットワークとの間に契約が締結されていない場合であっても、前記ハンドオフが実行されることを特徴とする請求項１に記載のハンドオフ制御方法。
【請求項６】
前記ハンドオフを実行する前に、前記第１アクセスネットワークと前記第２アクセスネットワークへとの間に仮想プライベートネットワークを設定するステップを更に有することを特徴とする請求項１に記載のハンドオフ制御方法。
【請求項７】
前記ハンドオフを実行する際に、前記第２アクセスネットワークと前記ノードとの間に、第２仮想プライベートネットワークを設定するステップをさらに有することを特徴とする請求項６に記載のハンドオフ制御方法。
【請求項８】
前記ハンドオフを実行する際に、前記ノードとホームネットワーク間において第３仮想プライベートネットワークを設定するステップを更に有することを特徴とする請求項７に記載のハンドオフ制御方法。
【請求項９】
前記ホームネットワークは、イントラネットであることを特徴とする請求項８に記載の方法。
【請求項１０】
前記第２アクセスネットワークへのハンドオフが実行された後、前記第１アクセスネットワークと前記ノードとの間において設定された仮想プライベートネットワークを保存することを特徴とする請求項７に記載のハンドオフ制御方法。
【請求項１１】
前記ハンドオフを実行する前において、第２仮想プライベートネットワークを設定する際に、前記第２アクセスネットワークと前記ノードとの間に、事前に仮想プライベートネットワークを設定することを特徴とする請求項７に記載の方法。
【請求項１２】
前記ハイパーオペレータは、前記第１アクセスネットワークおよび前記第２アクセスネットワークと通信中であることを特徴とする請求項１に記載のハンドオフ制御方法。
【請求項１３】
前記ハイパーオペレータは、前記第１アクセスネットワークおよび前記第２アクセスネットワーク内の共通のノードと通信中であることを特徴とする請求項１１に記載のハンドオフ制御方法。
【請求項１４】
前記ハイパーオペレータは、前記第１アクセスネットワーク内にある第１ノードと通信し、かつ前記第１ノードとは接続していない前記第２アクセスネットワーク内にある第２ノードと通信することを特徴とする請求項１１に記載のハンドオフ制御方法。
【請求項１５】
前記認証は、前記第１ノードから前記第２ノードへ認証情報を送信することにより行われることを特徴とする請求項１４に記載のハンドオフ制御方法。
【請求項１６】
前記認証を行うに際し、前記ホームネットワークと前記第１アクセスネットワークとで共有される鍵を生成し、前記鍵は前記ユーザおよび前記仮想ネットワーク専用であることを特徴とする請求項８に記載のハンドオフ制御方法。
【請求項１７】
第１アクセスネットワークと第２アクセスネットワークとの間にけるモバイル装置のハンドオフを制御するハンドオフシステムであって、
モバイル装置と通信中である第１アクセスネットワークと、
第２アクセスネットワークと、
第１アクセスネットワークと通信中であるハイパーオペレータとを備え、
前記ハイパーオペレータは、前記モバイル装置が前記第２アクセスネットワークと通信を行うことを可能ならしめるため、前記モバイル装置と前記第１アクセスネットワークとの間の通信のハンドオフ実行し、さらに前記ハイパーオペレータは、前記モバイル装置のユーザと前記ハイパーオペレータとの間の契約に基づき、該ユーザが前記第２アクセスネットワークへのアクセス権を有しているか否かを認証することを特徴とするハンドオフシステム。
【請求項１８】
前記モバイル装置はは、携帯電話であることを特徴とする請求項１７に記載のハンドオフシステム。
【請求項１９】
前記モバイル装置は、ラップトップコンピュータであることを特徴とする請求項１７に記載のハンドオフシステム。
【請求項２０】
さらに、前記第１アクセスネットワークと前記ハイパーオペレータとの間において、仮想プライベートネットワークを有することを特徴とする請求項１７に記載のハンドオフシステム。
【請求項２１】
前記ハイパーオペレータは、前記ハイパーオペレータによる前記ユーザの認証が成功すると、前記第２アクセスネットワークと前記ハイパーオペレータとの間において第２仮想ネットワークが設定されることを特徴とする請求項２０に記載のハンドオフシステム。
【請求項２２】
前記ハイパーオペレータは、前記ハイパーオペレータとホームネットワークとの間において第３プライベートネットワークが設定されることを特徴とする請求項２１に記載のハンドオフシステム。
【請求項２３】
前記ホームネットワークは、イントラネットであることを特徴とする請求項２２に記載のハンドオフシステム。
【請求項２４】
前記ハイパーオペレータは、前記第１アクセスネットワークおよび前記第２アクセスネットワークと通信中であるハイパーオペレータ分散センターを有し、前記ハイパーオペレータ分散センターは、前記ユーザと前記第１アクセスネットワークと、あるいは前記第２アクセスネットワークとの間のサービス契約なしで、前記ユーザが前記第１アクセスネットワークあるいは前記第２アクセスネットワークへアクセス可能にすることを特徴とする請求項１７に記載のハンドオフシステム。
【請求項２５】
更に、前記第１アクセスネットワークと前記ハイパーオペレータ分散センターの間に、仮想プライベートネットワークを有することを特徴とする請求項２４に記載のハンドオフシステム。
【請求項２６】
前記ハイパーオペレータ分散センターは、前記ハイパーオペレータによる前記ユーザの認証が成功すると、前記第２アクセスネットワークと前記ハイパーオペレータ分散センターとの間に第２仮想プライベートネットワークを設定することを特徴とする請求項２５に記載のハンドオフシステム。
【請求項２７】
前記ハイパーオペレータ分散センターは、前記ハイパーオペレータとホームネットワーク間において第３仮想プライベートネットワークを設定することを特徴とする請求項２６に記載のハンドオフシステム。
【請求項２８】
前記ホームネットワークは、イントラネットであることを特徴とする請求項２７に記載のハンドオフシステム。
【請求項２９】
前記ハイパーオペレータは、前記第２アクセスネットワークと通信中であることを特徴とする請求項１７に記載のハンドオフシステム。
【請求項３０】
前記ハイパーオペレータは、前記第１アクセスネットワークおよび前記第２アクセスネットワーク内の共通のノードと通信していることを特徴とする請求項２９に記載のハンドオフシステム。
【請求項３１】
前記ハイパーオペレータは、前記第１アクセスネットワーク内にある第１ノードと通信し、かつ前記第１ノードとは接続していない前記第２アクセスネットワーク内にある第２ノードと通信することを特徴とする請求項２９に記載のハンドオフシステム。
【請求項３２】
前記ハイパーオペレータは、第１ハイパーオペレータ分散センター内に前記第１ノード、第２ハイパーオペレータ分散センター内に前記第２ノードにを有し、前記第２ハイパーオペレータ分散センターは認証情報を受信するために、前記第１ハイパーオペレータ分散センターと通信中であることを特徴とする請求項３１に記載のハンドオフシステム。
【請求項３３】
前記ハイパーオペレータと前記第１アクセスネットワーク間における通信は、単一の接続経路を有することを特徴とする請求項３１に記載のハンドオフシステム。
【請求項３４】
前記ハイパーオペレータと前記第１アクセスネットワーク間における通信は、複数の接続経路で行われることを特徴とする請求項３１に記載のハンドオフシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は無線ネットワークに関する。
【０００２】
【従来の技術】
今日において、遅延が少なく、ブロードバンドで、そして良いＱｏＳパフォーマンスを維持できるようなサービスを提供可能な無線ネットワーク技術は開発されていない。多様なサービスを提供するオーバレイ型アクセスネットワークが、上記の課題を解決する手段として用いられる（非特許文献１〜３参照）。
【０００３】
【非特許文献１】
Ｇ．　Ｗｕ，　Ｐ．Ｊ．Ｍ．　Ｈａｖｉｎｇａ，　ａｎｄ　Ｍ．　Ｍｉｚｕｎｏ　”Ｗｉｒｅｌｅｓｓ　Ｉｎｔｅｒｎｅｔ　ｏｖｅｒ　ｈｅｔｅｒｏｇｅｎｅｏｕｓ　ｗｉｒｅｌｅｓｓ　ｎｅｔｗｏｒｋｓ”　ＩＥＥＥ　ＧＬＯＢＥＣＯＭ’０１，　ＩＰＳ０３−４　Ａｕｓｔｉｎ，　Ｎｏｖ．２００１　ａｎｄ　”ＭＩＲＡＩ　ａｒｃｈｉｔｅｃｔｕｒｅ　ｆｏｒ　ｈｅｔｅｒｏｇｅｎｅｏｕｓ　ｎｅｔｗｏｒｋ　”ＩＥＥＥ　Ｃｏｍｍｕｎ．　Ｍａｇ．　ｖｏｌ．４０，　ｎｏ．２，ｐｐ１２６−１３４，　Ｆｅｂ．２００２．
【非特許文献２】
Ｍ．　Ｓｔｅｍｍ　ａｎｄ　Ｒ．Ｈ．Ｋａｔｚ，　”Ｖｅｒｔｉｃａｌ　ｈａｎｄｓｏｆｆ　ｉｎ　ｗｉｒｅｌｅｓｓ　ｏｖｅｒｌａｙｎｅｔｗｏｒｋｓ，”　Ｍｏｂｉｌｅ　Ｎｅｔｗｏｒｋｓ　ａｎｄ　Ａｐｐｌｉｃａｔｉｏｎｓ，　ｖｏｌ．３，　ｎｏ．３，　ｐｐ．３３５−３５０，　１９９８
【非特許文献３】
Ｐ．　Ｐａｎｇａｌｏｓ　ｅｔ　ａｌ．，　”Ｅｎｄ−ｔｏ−ｅｎｄ　ＳＩＰ　ｂａｓｅｄ　ｒｅａｌ　ｔｉｍｅ　ａｐｐｌｉｃａｔｉｏｎ　ａｄａｐｔａｔｉｏｎ　ｄｕｒｉｎｇ　ｕｎｐｌａｎｎｅｄ　ｖｅｒｔｉｃａｌ　ｈａｎｄｏｖｅｒｓ，”　ＩＥＥＥ　ＧＬＯＢＥＣＯＭ’０１，　ＷＣＳ１３−５，Ａｕｓｔｉｎ，Ｎｏｖ．２００１．
【０００４】
【発明が解決しようとする課題】
上記文献で開示されている無線オーバレイアクセスネットワークについて、小さな領域から大きな領域へのいわゆる階層型のカバー領域構造が異種アクセスネットワークとしてみなされている。異種アクセスネットワークは、異なる無線アクセスネットワーク（以下ＲＡＮ）を有している。ネットワークＸとネットワークＹとして示されている２つのＲＡＮを含む異種アクセスネットワークを構成しているモデルのうち、代表的なものを図１から図３に示す。第１のモデルは図１に示されているものであり、これはトンネルネットワークとしても有名である。同図に示すように、このモデルにおいては、２つの独立しているＲＡＮ−ＸとＲＡＮ−Ｙとがインターネット１００に接続され、かつ携帯電話、ラップトップコンピュータ、個人情報端末（ＰＤＡ）などのモバイルホスト３１０に接続されている。各ＲＡＮは下位レイヤ１０２，１０２’（Ｌ２／Ｌ１）、ネットワークレイヤ１０４，１０４’、そしてトランスポートレイヤ１０６，１０６’を有している。このモデルにおいて、ユーザは例えばＲＡＮ−ＸやＲＡＮ−Ｙのような幾つかのＲＡＮの運営者と個々にサービス契約を結んでいる。ここで、モバイルホストが自動的に最適のネットワークＸあるいはネットワークＹを選択するということはなく、ユーザが選択したアクセスネットワークにより最適のネットワークＸあるいはネットワークＹを選択する。モバイルホストが、現在のアクセスネットワークから別のアクセスネットワークへハンドオフした場合、ネットワークＸとネットワークＹとの間における移動は、比較的高い階層であるネットワーク層にて実行される。ハンドオフしない場合は、モバイルホストとネットワークＸとネットワークＹとの接続は終了するか、あるいは再確立されることになる。
【０００５】
異種アクセスネットワークモデルの第２例が図２に示されている。同図に示すように、１つのハイブリッドコア１０８がＲＡＮ−ＸとＲＡＮ−Ｙとの間におけるハンドオフ処理を容易にするため、ダイレクトにＲＡＮ−ＸおよびＲＡＮ−Ｙとインターネットとの間におけるインターフェイスとなっている。ＲＡＮ−ＸおよびＲＡＮ−Ｙは、ネットワークレイヤ１０４，１０４’と下位レイヤ１０２，１０２’（Ｌ２／Ｌ１）を実行する（非特許文献４参照）。
【０００６】
【非特許文献４】
Ｒ．　Ｗａｌｓｈ，　Ｌ．　Ｘｕ，　ａｎｄ　Ｔ．　Ｐａｌｉａ　，”Ｈｙｂｒｉｄ　ｎｅｔｗｏｒｋｓ−ａ　ｓｔｅｐ　ｂｅｙｏｎｄ　３Ｇ，”Ｔｈｉｒｄ　ｉｎｔｅｒｎａｔｉｏｎａｌ　ｓｙｍｐｏｓｉｕｍ　ｏｎ　ｗｉｒｅｌｅｓｓ　ｐｅｒｓｏｎａｌ　ｍｕｌｔｉｍｅｄｉａ　ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　（ＷＰＭＣ’００），ｐｐ　１０９−１１４，　Ｂａｎｇｋｏｋ，　Ｎｏｖ．２０００．
【０００７】
ハイブリッドネットワークにおける１つの利点は、ＲＡＮ−ＸとＲＡＮ−Ｙの間における機能の重複を少なくできることである。また別の利点は、サービスを最適化するために、１つのネットワークを設定する必要がないということである。その代わりに、それぞれが特定のサービス用に最適化されている複数の通信ネットワークを複数組み合わせたものを使うことができる。伝達ネットワークの最適な選択は、利用可能なバンド幅、サービスの分類（例：ストリーミングビデオ、またはインターネットブラウジング）、そしてネットワークの運営者の契約などに基づいて最適化される。各サービスは、該サービスを利用するのに最も適したネットワークを介して提供される。例えば、移動電話が音声コミュニケーション用に使われ、そして無線ＬＡＮがデータコミュニケーション用に使われるという具合である。しかしながら、このハイブリッドネットワークの欠点は、複数の伝達ネットワークを組み合わせるための機能が必要になることである。
【０００８】
異種アクセスネットワークモデルの第３例が図３に示されている。このモデルについて、１つの共通コア１１０が、ダイレクトにＲＡＮ−ＸとＲＡＮ−Ｙの下位のレイヤ１０２、１０２’とインターネット間におけるインターフェイスとなっている。共通コア１１０は、全てのコアネットワーク機能を導入するハンドオフメカニズム（移動管理）と無線リソース管理を含んでおり、かつ１つのネットワークとして動作する。ＲＡＮ−ＸとＲＡＮ−Ｙの下位のレイヤ１０２、１０２’では、特定の無線アクセス技術しか扱われないが、通常、無線アクセス技術はＰＨＹとＤＬＣ（レイヤ２）を用いることになっている（例えば非特許文献１参照）。
【０００９】
また別のネットワークアーキテクチャとして知られているのが仮想プライベートネットワーク（ＶＰＮ）である。ＶＰＮはとても安価なソリューションをインターネットを介して安全に企業イントラネットへ提供できるので、企業内のインターネット環境にて、ここ数年来大変な人気を得ている（非特許文献５参照）。
【００１０】
【非特許文献５】
Ｓ．　Ｋｅｎｔ　ａｎｄ　Ｒ　Ａｔｋｉｎｓｏｎ，”　Ｓｅｃｕｒｉｔｙ　ａｒｃｈｉｔｅｃｔｕｒｅ　ｆｏｒ　ｔｈｅ　Ｉｎｔｅｒｎｅｔ　ｐｒｏｔｏｃｏｌ，”　ＩＥＴＦ　ＲＦＣ　　ＨＹＰＥＲＬＩＮＫ　”ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４０１．ｔｘｔ”　ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４０１．ｔｘｔ．）
【００１１】
将来、異種なモバイル環境を有する企業に対してＶＰＮ機能を提供することがとても重要になる。故に、異種な環境において単にＶＰＮ機能をサポートするだけでなく、アプリケーションのシームレスなモバイリティー、及びＶＰＮを使うサービスをサポートすることがポイントとなる。異種アクセスネットワークにおいてＶＰＮを用いる場合において、該ＶＰＮの設定方法を示したものが図４である。同図において、ＶＰＮ２０８が、企業イントラネット２１０と現在のアクセスネットワーク２０４の間に設けられている。また別のＶＰＮが企業イントラネット２１０とターゲットアクセスネットワーク２１２の間に設けられている。同図に示すように、ＶＰＮネットワークは、現在のアクセスネットワーク２０４と通信中である携帯電話やラップトップコンピュータ等の移動端末を有する。現在のアクセスネットワーク２０４は、ゲートウェイサーバ２０６経由で、企業イントラネット２１０と通信しているＶＰＮ２０８と通信を行っている。企業イントラネット２１０はコンテンツサービスプロバイダを有しており、かつＶＰＮを設定するエンティティを制限しない。同様にターゲットアクセスネットワーク２１２も、ゲートウェイサーバ２０９経由で、企業イントラネット２１０と通信しているＶＰＮ２１４と通信を行っている。
【００１２】
移動端末は、企業イントラネット２１０とターゲットアクセスネットワーク２１２の間にＶＰＮ２１４を再設定することにより、現在のアクセスネットワーク２０４からターゲットアクセスネットワーク２１２へ通信の変更をする。ＶＰＮ２１４の再設定の様子が、図２に示されている。移動端末がターゲットアクセスネットワーク２１２へ移動するとき、ＶＰＮ２１４が再設定される。またＶＰＮを使用するため、ユーザは異なる複数のアクセスネットワークに対し、異なるＶＰＮのサービス契約を結ぶ必要がある。
【００１３】
ＶＰＮネットワークアーキテクチャ２００の欠点を克服する様子を図５に示す。図５に示すシステムにおいて、利用可能なサービスに対し、ベストなアクセスネットワークを提供するために異なるアクセスネットワークが混合しているハイパーオペレータ・オーバレイ・ネットワークアーキテクチャ（ＨＯＯ）３００が使われている。図３に示す通り、ＨＯＯは異なるアクセスネットワーク３０２Ａ−３０２Ｄ、サービスプロバイダ３０４Ａ−３０４Ｂ、そしてハイパーオペレータ４０６を有している。シームレス通信を行うため、ハイパーオペレータ４０６は、異なるアクセスネットワークとプライベートイントラネット（例：企業イントラネット２１０）を含むサービスプロバイダ３０４Ａ−３０４Ｂ（例：ｙａｈｏｏ．ｃｏｍ）を管理する。
【００１４】
携帯電話やＰＤＡ、そしてラップトップコンピュータ３１０等のモバイル装置は、ＷＬＡＮ、移動電話、ブルートゥース（Ｂｌｕｅｔｏｏｔｈ）、ＡＤＳＬなどの様々なアクセスネットワーク技術をサポートしている。今日においてソフトウェア無線は、１枚のネットワークインターフェイスカード（ＮＩＣ）で異なる複数の無線アクセス技術をサポートするために、移動装置３１０に対しソフトウェアを適合させる、移動装置３１０内にあるソフトウェアコンポーネントである。異なるアクセスネットワーク３０２とサービスプロバイダ３０４に対し複数のサービス契約を結ぶ代わりに、モバイル装置のユーザは、ハイパーオペレータ４０６とのサービス契約を一回結ベば足りる。これにより新たなサービス契約を結ぶこと無しに、ユーザはモバイル装置により異なるアクセスネットワーク３０２へのアクセスが可能となる。
【００１５】
ＨＯＯネットワーク３００は、既存のアクセスネットワークの変更を必要とはしない。ＨＯＯは、異なるアクセスネットワークとサービスプロバイダの間を結ぶ役割を担っており、更に、異なるアクセスネットワークとサービスプロバイダにより提供されるサービスを管理することも可能である。しかしながら、アクセスネットワーク３０２とサービスプロバイダ３０４は、同じ機能（例えば認証）を実行することもある。従って全てのデータ処理は、複数回行われてしまうので、その結果、ネットワークに負担がかかったり、サービスの遅延時間が長くなったりすることになる。この問題に対する１つの解決策は、全ての移動端末アクセスに対して共通のコントロールチャンネルあるいは信号チャンネルを提供する、ベーシックアクセスネットワーク（ＢＡＮ）である（例えば非特許文献１参照）。残念ながらＢＡＮは、アクセスシステムとハンドオフ信号しかサポートしないので、ネットワークへの接続に関してはサポートの範囲外となる。さらにＢＡＮにおいては、現在のアクセスネットワークを変更する必要があるので、現状のところアクセス管理者はインフラストラクチャに対する投資なしでは、このアーキテクチャを利用できない。
【００１６】
またＨＯＯネットワーク３００の別の不利益な点は、垂直ハンドオフ（異なるアクセスネットワーク間におけるハンドオフ）による接続を実行するときである。つまり、インターネット３２０で設定されたＶＰＮ３１４（仮想プライベートネットワーク）は、ターゲットアクセスネットワークのゲートウェイサーバ３１６に再接続され、その後、認証リクエストが企業イントラネット２１０へ再送信されることになる。この処理の重複は、移動端末が異なるアクセスネットワーク３０２Ａ−３０２Ｄのうちの１つへ移動したときに起こる。前回のＶＰＮ設定時において、ユーザは既に認証済みであるが、ＶＰＮを設定するため新規のＶＰＮが、新たな認証を要求するためである。ここで留意すべきことは、１つあるいは１つ以上のアクセスネットワーク３０２Ａないし３０２Ｄが、移動端末３１０（例えばラップトップコンピュータ）と通信を行い、またＬ２ＴＰやＬ２Ｆ（共にＶＰＮを設定するための第２層（データリンク層）プロトコル）やＩＰｓｅｃ（ＶＰＮを設定するための第３層（ネットワーク層）プロトコル）が、上記で挙げられたＶＰＮ３１４を設定するためのサポートをすることである。
【００１７】
本発明は上記で挙げられた問題点を解決するため、ハイパーオペレータが契約に基づいて、モバイル装置のユーザが別のアクセスネットワークへのアクセス権のあるユーザであるかを認証し、認証が成功した場合には、該アクセスネットワークへのハンドオフを実行するハンドオフ制御方法、及びハンドオフ制御システムを提供することを目的とする。
【００１８】
【問題を解決するための手段】
本発明は、モバイル装置を第１アクセスネットワークから第２アクセスネットワークへハンドオフをさせる方法であって、モバイル装置のユーザとハイパーオペレータとの間における契約を締結するステップと、ハイパーオペレータが、前記契約に基づいて、前記モバイル装置のユーザが前記第２アクセスネットワークへのアクセス権のあるユーザであるか否かを認証するステップと、該認証が成功した場合、第２アクセスネットワークへのハンドオフを実行するステップとを備えることを特徴とする。
【００１９】
また本発明は、第１アクセスネットワークと第２アクセスネットワークとの間におけるモバイル装置のハンドオフを制御するハンドオフシステムであって、モバイル装置と通信中である第１アクセスネットワークと、第２アクセスネットワークと、第１アクセスネットワークと通信中であるハイパーオペレータを備え、ここで前記ハイパーオペレータは、前記モバイル装置が前記第２アクセスネットワークと通信を行うことを可能ならしめるため、前記モバイル装置と前記第１アクセスネットワークとの間の通信のハンドオフ実行し、さらに前記ハイパーオペレータは、前記モバイル装置のユーザと前記ハイパーオペレータとの間の契約に基づき、該ユーザが前記第２アクセスネットワークへのアクセス権を有しているか否かを認証することを特徴とする。
【００２０】
本発明において、ユーザが異なる複数のネットワーク間を移動するとき、認証時間およびＶＰＮトンネルの設定時間を短縮できる利点がある。
【００２１】
本発明において、移動端末が異なる複数のアクセスネットワークへ移動するとき、ＶＰＮの再設定時間を短縮できる利点がある。
【００２２】
以下、添付されている図面を参照しながら、本発明に関する詳細な説明を以下に記載する。
【００２３】
【発明の実施の形態】
図５のアーキテクチャ３００の問題点を解消するために、図６に示すように、図５のハイパーオペレータ４０６にはない、ハイパーオペレータ分散センター４００（Ｈ．Ｏ．ＤｉＣ）を有している。Ｈ．Ｏ．ＤｉＣ４００により、ハイパーオペレータ４０６は、ユーザがサービス契約を結んでいないアクセスネットワーク４０８Ａ−４０８Ｄ、４１０Ａ−４１０Ｂ、４１２Ａ−４１２Ｆへのアクセスを、ユーザに可能にさせる。これはユーザが、ハイパーオペレータ４０６とのサービス契約しか要求しないためである。あるいはユーザは、アクセスネットワーク４０８Ａ−４０８Ｄ、４１０Ａ−４１０Ｂ、４１２Ａ−４１２Ｆと個々にサービス契約を結ぶことも可能である。ハイパーオペレータ４０６のスケーラビリティに関して、ハイパーオペレータ４０６は異なるネットワークからの様々な要求に対し、対応できないが、Ｈ．Ｏ．ＤｉＣ４００がネットワーク全体に分散されることにより、その対応が可能になる。Ｈ．Ｏ．ＤｉＣ４００は、専用チャンネル、または永久的に設定されるＶＰＮを通してハイパーオペレータ４０６を接続させる。図６に示されている実施形態において、アクセスネットワーク４０８Ａ−４０８Ｄは、１つのＨ．Ｏ．ＤｉＣ４００と接続している現在のアクセスネットワークのレベルを示している。同図に示すように、ターゲットアクセスネットワーク４１０Ａ−４１０Ｂは上位ネットワーク、そして４１２Ａ−４１２Ｆは下位ネットワークであり、ターゲットアクセスネットワーク４１０Ａ−４１０Ｂは複数のＨ．Ｏ．ＤｉＣ４００と接続しているのに対し、４１２Ａ−４１２Ｆは、一つのＨ．Ｏ．ＤｉＣ４００としか接続していない。
【００２４】
ユーザが４０８Ａ−４０８Ｄ、４１０Ａ−４１０Ｂ、４１２Ａ−４１２Ｆへアクセスする時はいつでも、ユーザ認証あるいはデバイス認証が必要である。パスワード認証プロトコル（ＰＡＰ）とチャレンジハンドシェイク認証プロトコル（ＣＨＡＰ）がユーザ認証及び装置認証のために使われる（非特許文献６参照）。
【００２５】
【非特許文献６】
Ｃ．　Ｒｉｇｎｅｙ，　Ａ．　Ｒｕｂｅｎｓ，　Ｗ．　Ｓｉｍｐｓｏｎ，　Ｓ．　Ｗｉｌｌｅｎｓ，　”Ｒｅｍｏｔｅ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｄｉａｌ　ｉｎ　ｕｓｅｒ　ｓｅｒｖｉｃｅ　（ＲＡＤＩＵＳ），”　ＩＥＴＦ　ＲＦＣ　２１３８，　　ＨＹＰＥＲＬＩＮＫ　”ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２１３８．ｔｘｔ”　ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２１３８．ｔｘｔ．
【００２６】
ユーザ認証データあるいは装置認証データは、アクセスネットワークから離れた場所に位置しているハイパーオペレータ４０６に格納されているので、これらの認証情報を得るのに時間がかかる。例えば、携帯電話、ＰＤＡ、ラップトップコンピュータ３１０のような携帯端末が、現在のアクセスネットワーク４０８Ｂからターゲットアクセスネットワーク４１０Ａ−４１０Ｂや４１２Ａ−４１２Ｆへ移動するとき、ターゲットアクセスネットワーク４１０Ａ−４１０Ｂや４１２Ａ−４１２Ｆは、認証情報を取得するのにハイパーオペレータ４０６に再アクセスする必要がある。
【００２７】
認証に要する時間を短縮するため、Ｈ．Ｏ．ＤｉＣ４００はハイパーオペレータ４０６から取得可能なユーザ情報を、認証目的で一時的に保存する。サービス契約から成り立っている、Ｈ．Ｏ．ＤｉＣ４００とハイパーオペレータ４０６との間にはトラスト関係があるので、Ｈ．Ｏ．ＤｉＣ４００がユーザの認証情報をハイパーオペレータ４０６から取得することは問題がない。しかしながら、ハイパーオペレータ４０６から取得するユーザ認証情報には有効期限が設定されている。図６に示すように、Ｈ．Ｏ．ＤｉＣ４００は、複数のアクセスネットワークへ接続している。サービスエリアの広さを考慮すると、よりワイドなサービスエリアを有するアクセスシステムは、異なるＨ．Ｏ．ＤｉＣ４００と複数の接続４１４を持つことになるので、結果として認証に要する時間が短縮される。より広いサービスエリアを有するアクセスネットワーク４１０Ａ−４１０Ｂは高い階層のアクセスネットワークであるので、少なくとも高い階層のアクセスネットワークはシームレス通信を行うユーザを対象としていることが理解できる。故に高い階層のアクセスネットワーク４１０Ａ−４１０Ｂは、異なる各々のＨ．Ｏ．ＤｉＣ４００と複数の接続を有していることになる。一方、基本的に狭いサービスエリアを有している低い階層のアクセスネットワーク４１２Ａ−４１２Ｆは、１つのＨ．Ｏ．ＤｉＣ４００のみに接続される。これは最初の認証が、複数の接続を有している上位レベルネットワーク４１０Ａ−４１０Ｂにより認証されるからである。故に、下位レベルアクセスネットワーク４１２Ａ−４１２Ｆは、Ｈ．Ｏ．ＤｉＣ４００に対して単一の接続を有している。Ｈ．Ｏ．ＤｉＣ４００は、複数の下位レベルアクセスネットワーク４１２Ａ−４１２Ｆの各々に対し接続を有しており、ユーザ認証処理はＨ．Ｏ．ＤｉＣ４００において行われる。
【００２８】
複数の接続、あるいは単一の接続を有している理由は、シームレス通信を確保するためである。上方向への垂直ハンドオフは認証時間の速度を重視するので、認証時間の短縮が可能になり（非特許文献２参照）、また広いサービスエリアを有するアクセスネットワーク４１０Ａ−４１０Ｂが同じＨ．Ｏ．ＤｉＣ４００内に位置している場合、事前認証も可能となる。ここで「上方向への垂直ハンドオフ」とは、移動端末が低い階層のアクセスネットワーク４１２Ａ−Ｆ（狭いサービスエリア）から、高い階層のアクセスネットワークＡ−Ｂへ）（広いサービスエリア）へと移動することである。
【００２９】
図４及び図５に示されているようなアクセスネットワークと企業イントラネット間におけるＶＰＮを拡張する代わりに、Ｈ．Ｏ．ＤｉＣ４００をプロキシとして動作させることができる。これを図５に示す。例えば携帯電話、ＰＤＡ、ラップトップコンピュータ３１０のような携帯端末が、現在のアクセスネットワーク５０２へアクセスしている時に、ＶＰＮ５０６が、ゲートウェイサーバ５０４を介して現在のアクセスネットワーク５０２とＨ．Ｏ．ＤｉＣ４００間において設定される。さらに別のＶＰＮ５０８が、企業イントラネット２１０とＨ．Ｏ．ＤｉＣ４００の間において設定される。ユーザからは、ＶＰＮは企業イントラネット２１０と現在のアクセスネットワーク５０２との間に設定されていると認識されるが、実際のところＶＰＮは、Ｈ．Ｏ．ＤｉＣ４００によりセグメント化されている。結果として、図４および図５に示されているラップトップコンピュータ３１０が、ゲートウェイサーバ５１２を介して現在のアクセスネットワーク５０２からターゲットアクセスネットワーク５１０へとハンドオフすると、ＶＰＮ５１４のみが、ゲートウェイサーバ５１２を介してターゲットアクセスネットワーク５１０とＨ．Ｏ．ＤｉＣ４００間において再設定される。またラップトップコンピュータ３１０がゲートウェイサーバ５１８を介して別のターゲットアクセスネットワーク５１６へとハンドオフするとき、ＶＰＮ５２０のみが、ターゲットアクセスネットワーク５１６とＨ．Ｏ．ＤｉＣ４００間において再設定される。結果として、どのＶＰＮ（５０６、５１４、５２０）が設定されるかに関係なく、Ｈ．Ｏ．ＤｉＣ４００と企業イントラネット２１０間において設定されているＶＰＮ５０８は常時存在しているので、これによりＶＰＮの設定時間が短縮される。
【００３０】
図７に示されている方式には、更にＶＰＮのサービス契約に関する利点もある。過去においてＶＰＮを使うには、ユーザは異なるアクセスネットワークと別々のＶＰＮサービス契約を結ぶ必要がある。しかしながら、ユーザはハイパーオペレータ４０６としかサービス契約を結ぶ必要はない。換言すれば、図５の方式に関するユーザは、ハイパーオペレータ４０６と契約している間は、異なるアクセスネットワークと別々のＶＰＮサービス契約を結ぶ必要がない。
【００３１】
図７の方式とは別の方式が図８に示されている。同図においてＨ．Ｏ．ＤｉＣ４００は、現在のアクセスネットワーク５０２と企業イントラネット２１０間におけるＶＰＮ設定の手助けをする。このＶＰＮ設定を実現するため、ユーザが、例えば図８に示されているラップトップコンピュータ３１０経由で、Ｈ．Ｏ．ＤｉＣ４００あるいはハイパーオペレータ４０６により認証された後、Ｈ．Ｏ．ＤｉＣ４００は現在のアクセスネットワーク５０２と企業イントラネット２１０の両方に対して、共通鍵等の認証情報を提供する。現在のアクセスネットワーク５０２と企業イントラネット２１０間においてＶＰＮを設定するにあたり、この共通鍵は一度しか使えない。例えば、ユーザがラップトップコンピュータ３１０経由で、現在のアクセスネットワーク５０２と企業イントラネット２１０間にＶＰＮ接続を持ちたいとする。さらに、ユーザと現在のアクセスネットワーク５０２との間には、ＶＰＮのサービス契約はないとする。この場合、現在のアクセスネットワーク５０２は、請求及び認証用の共通鍵を取得するため、Ｈ．Ｏ．ＤｉＣ４００へアクセスする。Ｈ．Ｏ．ＤｉＣ４００は、現在のアクセスネットワーク５０２がＨ．Ｏ．ＤｉＣ４００から受け取った共通鍵と同じ鍵を、ＶＰＮ設定のために企業イントラネット２１０に与える。故に、現在のアクセスネットワーク５０２と企業イントラネット２１０は、この共通鍵を通して互いに認証が可能となる。しかしながらこの共通鍵は、今回のＶＰＮの設定にしか有効ではなく、もし別のユーザがＶＰＮの設定を所望した場合、Ｈ．Ｏ．ＤｉＣ４００は、現在のアクセスネットワーク５０２と企業イントラネット２１０の両方に対して、共通鍵を上記と同様に与えることになる。
【００３２】
図９は、Ｈ．Ｏ．ＤｉＣ４００を介して事前認証と事前にＶＰＮを設定する様子を示している図である。同図において、ラップトップコンピュータ３１０は、現在のアクセスネットワーク５０２のカバー領域をちょうど出るところであるが、シームレス通信を継続するために、ハンドオフを実行する必要がある。ここで、事前における認証と事前のＶＰＮ設定が、素早いハンドオフを手助けする。故にＨ．Ｏ．ＤｉＣは、ハンドオフに関係のあるターゲットアクセスネットワーク５１０および５１６とＨ．Ｏ．ＤｉＣ４００間において、事前にＶＰＮを設定する。例えば、ＶＰＮ５１４がターゲットアクセスネットワーク５１０とＨ．Ｏ．ＤｉＣ４００Ａとの間において設定される。Ｈ．Ｏ．ＤｉＣ４００Ａはユーザ情報を持っているので、事前に設定することが可能であり、またユーザ情報をターゲットアクセスネットワーク５１０へ開示する必要がない。現在のアクセスネットワーク５０２はラップトップコンピュータ３１０が現在位置しているアクセスネットワークなので、現在のアクセスネットワーク５０２を事前認証する必要はない。ここで、上記あるいは本明細書中において使われる事前のＶＰＮ、即ち事前に設定されるＶＰＮは、ＶＰＮと同じ構造を有している。両者における唯一の差異は、異なるネットワークの間において、これから起こりうるトラフィックに対して設定されているので、実際のトラフィックはまだない点である。（即ち、構造は同じだが、使用目的が異なっている）事前のＶＰＮにおいて実際にトラフィックが検出されたら、現在使用されているＶＰＮと見なされる。
【００３３】
既に図６において説明したが、アクセスネットワーク５０２、５１０、及び５１６は、常時１つのＨ．Ｏ．ＤｉＣに接続されているわけではない。例えば図９に示されているように、ターゲットアクセスネットワーク５１６は、ゲートウェイ５１８を介して、ＶＰＮ７０４をＨ．Ｏ．ＤｉＣ４００Ｂへ接続させている。これは、ターゲットアクセスネットワーク５１６へ接続するために必要な認証は、Ｈ．Ｏ．ＤｉＣ４００Ｂで実施されていることを意味している。もしラップトップコンピュータ３１０が、ゲートウェイサーバ５０４とＶＰＮ７０６経由で現在のアクセスネットワーク５０２から、ゲートウェイサーバ５１８経由でターゲットアクセスネットワーク５１６へハンドオフを実行しようとすると、Ｈ．Ｏ．ＤｉＣ４００Ａは、まず、ゲートウェイサーバ５１８とＨ．Ｏ．ＤｉＣ４００Ｂとの間において事前のＶＰＮ７０４を設定するため、Ｈ．Ｏ．ＤｉＣ４００Ｂへアクセスする。さらにＨ．Ｏ．ＤｉＣ４００Ｂは、さらにＨ．Ｏ．ＤｉＣ４００Ｂと企業イントラネット２１０間において、事前のＶＰＮ７００を設定する。その結果、最短のＶＰＮによる進路が、ゲートウェイサーバ５１８から企業イントラネット２１０の間に設定される。また、Ｈ．Ｏ．ＤｉＣ４００ＡとＨ．Ｏ．ＤｉＣ４００Ｂの間において、トラフィック状況により、パーマネントな、あるいはダイナミックなＶＰＮ７０２の設定が簡単にできる。これはＨ．Ｏ．ＤｉＣ４００ＡとＨ．Ｏ．ＤｉＣ４００Ｂが、パーマネントな、あるいはダイナミックなＶＰＮ７０２に関する情報を持っているためである。
【００３４】
図９における方式の代わりに、図１０に示すように、ＶＰＮ７００をいくつかにセグメント化することも可能である。この実施形態において、第３のＨ．Ｏ．ＤｉＣ４００Ｃが、ＶＰＮ８００を企業イントラネット２１０間において設定する。図１０におけるラップトップコンピュータ３１０がハンドオフする場合、事前のＶＰＮ７００がＨ．Ｏ．ＤｉＣ４００ＢとＨ．Ｏ．ＤｉＣ４００Ｃの間において設定される。事前のＶＰＮ７００とＶＰＮ８００が設定されると、ラップトップコンピュータ３１０と企業イントラネット２１０との間において、ＶＰＮが効率的に設定されることになる。
【００３５】
図９及び図１０に示されている、事前のＶＰＮ及び事前認証システムを構成する複数の構成要素が図１１に示されている。図１１に示すように、ハイパーオペレータ４０６は、ユーザと移動端末の認証を処理するユーザ認証データベース９００と認証プロトコル９０２を有している。ユーザ認証データベース９００は、ＶＰＮ用の共通鍵生成部９０４、ユーザＩＤデータ９０６（ユーザの名前、パスワード、ＭＡＣＩＤ、ＮＡＩ（Ｎｅｔｗｏｒｋ　ａｃｃｅｓｓ　ｉｄｅｎｔｉｆｉｅｒ：非特許文献７参照）を含む：）、ハイパーオペレータ４０６が移動端末のＲＯＭに保存するハイパーオペレータＩＤデータ９０８、ＶＰＮ契約データベース９１０、そしてハイパーオペレータの利用者の決算データ９１２用に対して各々関連付けられている。
【００３６】
【非特許文献７】
Ｂ．　Ａｏｂａ　ａｎｄ　Ｍ．　Ｂｅａｄｌｅｓ，　”Ｔｈｅ　Ｎｅｔｗｏｒｋ　Ａｃｃｅｓｓ　Ｉｄｅｎｔｉｆｉｅｒ，”　ＩＥＴＦ　ＲＦＣ　２４８６，　　ＨＹＰＥＲＬＩＮＫ　”ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４８６．ｔｘｔ”　ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４８６．ｔｘｔ，　ＩＴＵ−Ｔ　Ｘ．５０９，　ａｎｄ　ｇｅｎｅｒｉｃ　ｔｙｐｅ．
【００３７】
Ｈ．Ｏ．ＤｉＣ４００は、仮ユーザ認証データ９１４、認証プロトコル９１６、ＶＰＮコントローラ９１８を含んでいる。ラップトップコンピュータ３１０がアクセスネットワークへアクセスしたとき、アクセスネットワークゲートウェイ９１９は、ユーザ認証データベース９００を参照してラップトップコンピュータ３１０を認証するために、Ｈ．Ｏ．ＤｉＣ４００へアクセスする。Ｈ．Ｏ．ＤｉＣ４００は単なる（ハイパーオペレータでない）分散センターなので、ラップトップコンピュータ３１０のユーザデータを有してはいない。故に、Ｈ．Ｏ．ＤｉＣ４００は、ハイパーオペレータ４０６からユーザの認証情報を受信して、それを訂正する。ハイパーオペレータ４０６はホームロケーションレジスタとして動作し、Ｈ．Ｏ．ＤｉＣ４００は、移動通信システムにおけるビジターロケーションレジスタ、あるいはローミングオペレータとして動作する。Ｈ．Ｏ．ＤｉＣ４００は、例えばＣＨＡＰやＰＡＰのような異なるタイプの認証プロトコルを含む、認証プロトコル９１６を有している。さらに、Ｈ．Ｏ．ＤｉＣ４００の認証プロトコル９１６は、ハイパーオペレータＩＤ９０８に基づいてＣＨＡＰ認証プロトコルによりラップトップコンピュータ３１０を認証する。このようにＨ．Ｏ．ＤｉＣ４００は、ユーザとラップトップコンピュータ３１０を認証する。ここでラップトップコンピュータ３１０は、利用許可を与えるためユーザにピンコードの入力を求めてもよい。認証結果はアクセスネットワークゲートウェイ９１９へと送信される。
【００３８】
ＶＰＮを設定するために、Ｈ．Ｏ．ＤｉＣ４００は、ルート選択９２０、認証コントローラ９２２、そしてＶＰＮ装置９２４を有するＶＰＮコントローラ９１８を持っている。Ｈ．Ｏ．ＤｉＣ４００は、ＭＰＬＳ（ｍｕｌｔｉｐｒｏｔｏｃｏｌ　ｌａｂｅｌ　ｓｗｉｔｃｈｉｎｇ：非特許文献８参照）、ＯＢＮ（Ｏｐｅｎ　Ｂｕｓｉｎｅｓｓ　Ｎｅｔｗｏｒｋ）、Ｌ２ＴＰ（Ｌａｙｅｒ　２　Ｔｕｎｎｅｌｉｎｇ　Ｐｒｏｔｏｃｏｌ：非特許文献９参照）、ＩＰｓｅｃ（ＩＰ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌ）、そしてＧＭＮ−ＣＬ（Ｇｌｏｂａｌ　Ｍｅｇａｍｅｄｉａ　Ｎｅｔｗｏｒｋ−Ｃｏｎｎｅｃｔｉｏｎ　ｌｅｓｓ）等、異なるタイプのＶＰＮ装置９２４を有している。
【００３９】
【非特許文献８】
Ｅ．　Ｒｏｓｅｎ，　Ａ．　Ｖｉｓｗａｎａｔｈａｎ，　ａｎｄ　Ｒ　Ｃａｌｌｏｎ，　”Ｍｕｌｔｉｐｒｏｔｏｃｏｌ　ｌａｂｅｌｓｗｉｔｃｈｉｎｇ　ａｒｃｈｉｔｅｃｔｕｒｅ，”　ＩＥＴＦ　ＲＦＣ　３０３１，　Ｊａｎ．２００１．
【００４０】
【非特許文献９】
Ｊ．　Ｌａｕ　ｅｔ　ａｌ．，　”Ｌａｙｅｒ　ｔｗｏ　ｔｕｎｎｅｌｉｎｇ　ｐｒｏｔｏｃｏｌ　Ｌ２ＴＰ，”　ｄｒａｆｔ−ｉｅｔｆ−１２ｔｐｅｘｔ−１２ｔｐ−ｂａｓｅ−０１．ｔｘｔ．
【００４１】
ＶＰＮ装置９２４が異なっているため、異なるタイプのＶＰＮが、異なるセグメント間において設定可能となる。図１１に示されているように、企業イントラネットゲートウェイ９２３とアクセスネットワークゲートウェイ９１９及び９２１は、１種類のＶＰＮ方式しかサポートしていない。一方、Ｈ．Ｏ．ＤｉＣ４００は異なるタイプのＶＰＮ装置９２４Ａ−９２４Ｃをサポートしているので、ＶＰＮを区別することが可能となる。認証コントローラ９２２は、両方のＶＰＮの構成要素（つまり、企業イントラネットゲートウェイ＆アクセスネットワークゲートウェイ）に与えられる事前認証鍵と共通鍵を有している。ルート選択９２０は、サービス品質と価格に関するユーザの要求に基づいて、ＶＰＮ装置９２４のタイプを選択する。さらにターゲットアクセスネットワークと企業イントラネット２１０との間における最適ルートがルート選択９２０により決定した後、認証コントローラ９２２は、アクセス可能なネットワークに対する事前認証と事前のＶＰＮを設定する。認証コントローラ９２２は、まず、どのタイプの認証プロトコルと認証ＩＤが使われているかを調べるため、アクセスネットワークゲートウェイへ通信する。アクセスネットワークゲートウェイの要求に基づいて、Ｈ．Ｏ．ＤｉＣ４００はユーザ情報を開示する代わりに、アクセスネットワークゲートウェイ９１９へ提供する事前認証情報の準備をする。事前のＶＰＮ設定に関しては、認証の許可に基づきＶＰＮが、Ｈ．Ｏ．ＤｉＣ４００とアクセスネットワークゲートウェイとの間に設定されることになる。
【００４２】
図１２は、階層的なモバイルのＩＰストラクチャ（非特許文献１０参照）を示している。
【００４３】
【非特許文献１０】
Ｈ．　Ｓｏｌｉｍａｎ　ｅｔ　ａｌ．，　”Ｈｉｅｒａｒｃｈｉｃａｌ　ＭＩＰｖ６　ｍｏｂｉｌｉｔｙ　ｍａｎａｇｅｍｅｎｔ　（ＨＭＩＰｖ６），”ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｉｐ−ＨＭＩＰｖ６−０５．ｔｘｔ．
【００４４】
同図においてハイパーオペレータ４０６は、ホームエージェント１（ＨＡ１）として動作する。Ｈ．Ｏ．ＤｉＣ４００は、ＨＡ１の外部エージェントとして動作する。この階層的なシステムにおいて、Ｈ．Ｏ．ＤｉＣ４００はホームエージェント（ＨＡ２、ＨＡ３）になり、それからアクセスネットワークゲートウェイは、対応するＨ．Ｏ．ＤｉＣ４００の外部エージェントになる。企業イントラネット２１０とラップトップコンピュータ３１０との間におけるエンド間ＶＰＮ（すなわちＩＰｓｅｃ）は、モバイルＩＰにより設定されるが、図１２に示されているように、実際のところパケットは、Ｈ．Ｏ．ＤｉＣ４００Ａ、あるいはＨ．Ｏ．ＤｉＣ４００Ｂのいずれかを通る。Ｈ．Ｏ．ＤｉＣ４００ＡとＨ．Ｏ．ＤｉＣ４００Ｂは、それぞれ対応するターゲットアクセスネットワーク５１０Ａ、５１０Ｂに接続され、結果的にＩＰｓｅｃ（エンド間ＶＰＮ）も、ＶＰＮと同じ通信経路として設定される。故にエンド間ＶＰＮも、ＶＰＮと同様に使用可能になる。
【００４５】
本発明の説明のために、特定の実施形態を使用したが、本発明の趣旨を逸脱しない範囲で、本発明に対し種々の変更または付加を施すことは、当業者にとって容易である。したがって、本出願における図面と説明は、単なる実例に過ぎず、本発明を限定するものではない。
【００４６】
【発明の効果】
第１アクセスネットワークと第２アクセスネットワーク間におけるモバイル装置のハンドオフを制御することにより、第２アクセスネットワークへのハンドオフが可能となる。またユーザが異なるネットワーク間を移動するとき、認証時間およびＶＰＮ設定時間を短縮できる。また移動端末が異なるアクセスネットワークへ移動するとき、ＶＰＮの再設定時間を短縮できる。
【図面の簡単な説明】
【図１】トンネルネットワークの代表的な実施例を示す図である。
【図２】典型的なハイブリッドネットワークの実施例を示す図である。
【図３】典型的な異種ネットワークの実施例を示す図である。
【図４】ＶＰＮアーキテクチャが採用されたネットワークアーキテクチャの実施例を示す図である。
【図５】典型的なネットワークアーキテクチャの第２実施形態を示す図である。
【図６】本発明におけるネットワークアーキテクチャの第１の実施形態を示す図である。
【図７】本発明におけるネットワークアーキテクチャの第２の実施形態を示す図である。
【図８】本発明におけるネットワークアーキテクチャの第３の実施形態を示す図である。
【図９】本発明におけるネットワークアーキテクチャの第４の実施形態を示す図である。
【図１０】本発明におけるネットワークアーキテクチャの第５の実施形態を示す図である。
【図１１】本発明における事前認証及び事前のＶＰＮ設定用のシステムアーキテクチャの実施例を示す図である。
【図１２】本発明における階層的なモバイルＩＰストラクチャの実施例を示す図である。
【符号の説明】
１００……インターネット、１０２，１０２’……下位レイヤ（Ｌ２／Ｌ１）、１０４，１０４’……ネットワークレイヤ、１０６，１０６’……トランスポートレイヤ、１０８……ハイブリッドコア、１１０……共通コア、２０４……現在のアクセスネットワーク、２０６……ゲートウェイサーバ、２０８，２１４……仮想プライベートネットワーク（ＶＰＮ）、２１０……企業イントラネット、２１２……ターゲットアクセスネットワーク、３００……ハイパーオペレータ・オーバレイ・ネットワークアーキテクチャ（ＨＯＯ）、３０２Ａ−３０２Ｄ……アクセスネットワーク、３０４Ａ−３０４Ｂ……サービスプロバイダ、３１０……モバイル装置（ラップトップコンピュータ）、３１４……仮想プライベートネットワーク（ＶＰＮ）、３１６……ゲートウェイサーバ、３２０……インターネット、４００，４００Ａ，４００Ｂ……ハイパーオペレータ分散センター、４０６……ハイパーオペレータ、４０８Ａ−４０８Ｄ，４１０Ａ−４１０Ｂ，４１２Ａ−４１２Ｆ……アクセスネットワーク、４１４……複数の接続、５０２……現在のアクセスネットワーク、５０４，５１２，５１８……ゲートウェイサーバ、５０６，５０８，５１４，５２０……仮想プライベートネットワーク（ＶＰＮ）、５１０……ターゲットアクセスネットワーク、５１６……別のターゲットアクセスネットワーク、７００、７０４……事前の仮想プライベートネットワーク（ｐｒｅ−ＶＰＮ）、７０２……パーマネント、あるいはダイナミックなＶＰＮ、７０６，８００……仮想プライベートネットワーク（ＶＰＮ）。
【図１】
2004007576.tif 000003
【図２】
2004007576.tif 000004
【図３】
2004007576.tif 000005
【図４】
2004007576.tif 000006
【図５】
2004007576.tif 000007
【図６】
2004007576.tif 000008
【図７】
2004007576.tif 000009
【図８】
2004007576.tif 000010
【図９】
2004007576.tif 000011
【図１０】
2004007576.tif 000012
【図１１】
2004007576.tif 000013
【図１２】
2004007576.tif 000014