(57)【特許請求の範囲】
【請求項１】
移動端末と、該移動端末の移動情報を管理する管理装置と、アクセス網を具備し該アクセス網に存在する移動端末と前記管理装置との間のパケットの転送を行うルーティング装置とを有してなる移動通信システムにおける移動通信制御方法であって、
前記移動端末が存在するアクセス網を具備する第１のルーティング装置と前記管理装置との間にて当該移動端末についてのセキュリティアソシエーションを構築する第１のステップと、
前記移動端末が移動した場合、前記第１のルーティング装置にて前記移動端末の移動先のアクセス網を具備する第２のルーティング装置を代替のルーティング装置として前記管理装置に対して指定する第２のステップと、
前記第２のルーティング装置にて前記第１のルーティング装置を原始のルーティング装置として前記管理装置に対して指定するとともに、当該第２のルーティング装置を代替のルーティング装置として前記管理装置に対して指定する第３のステップと、
前記第１のルーティング装置と前記管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置と前記管理装置との間における当該移動端末についてのセキュリティアソシエーションに移行する第４のステップとを有する移動通信制御方法。
【請求項２】
請求項１に記載の移動通信制御方法において、
前記第１のステップは、前記第１のルーティング装置における前記移動端末の移動先固有情報を該第１のルーティング装置から前記管理装置に通知するとともに、前記管理装置の固有情報を該管理装置から前記第１のルーティング装置に通知することにより、前記第１のルーティング装置と前記管理装置との間にて当該移動端末についてのセキュリティアソシエーションを構築し、
前記第２のステップは、前記移動端末が移動した場合、前記第１のルーティング装置にて前記第２のルーティング装置における前記移動端末の移動先固有情報を取得して該移動先固有情報を代替情報として前記管理装置に通知することにより、前記第１のルーティング装置にて前記移動端末の移動先のアクセス網を具備する第２のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、
前記第１のルーティング装置における前記移動端末の移動先固有情報を該第１のルーティング装置から前記第２のルーティング装置に通知する第５のステップを有し、
前記第３のステップは、前記第２のルーティング装置にて、該第２のルーティング装置における前記移動端末の移動先固有情報を代替情報として前記管理装置に通知するとともに、前記第１のルーティング装置から通知された該第１のルーティング装置における前記移動端末の移動先固有情報を原始情報として前記管理装置に通知することにより、前記第１のルーティング装置を原始のルーティング装置として前記管理装置に対して指定するとともに、当該第２のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、
前記管理装置の固有情報を該管理装置から前記第２のルーティング装置に通知する第６のステップを有し、
前記第２のルーティング装置から前記原始情報として通知された移動先固有情報が前記セキュリティアソシエーションを構築するために前記管理装置にて保持され、かつ、前記第２のルーティング装置から前記代替情報として前記管理装置に通知された移動先固有情報が前記第１のルーティング装置から前記代替情報として前記管理装置に通知された移動先固有情報である場合、前記第４のステップを実行することを特徴とする移動通信制御方法。
【請求項３】
請求項２に記載の移動通信制御方法において、
前記第１のルーティング装置にて該第１のルーティング装置と前記管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを削除する旨が指定された場合、該第１のルーティング装置と前記管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置と前記管理装置との間における当該移動端末についてのセキュリティアソシエーションに移行することを特徴とする移動通信制御方法。
【請求項４】
請求項２に記載の移動通信制御方法において、
前記第１のルーティング装置から前記代替情報として前記管理装置に通知された移動先固有情報を前記原始情報として変更することにより、前記第１のルーティング装置と前記管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置と前記管理装置との間における当該移動端末についてのセキュリティアソシエーションに移行することを特徴とする移動通信制御方法。
【請求項５】
請求項３に記載の移動通信制御方法において、
前記第１のルーティング装置から前記代替情報として前記管理装置に通知された移動先固有情報を前記原始情報として変更することにより、前記第１のルーティング装置と前記管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置と前記管理装置との間における当該移動端末についてのセキュリティアソシエーションに移行することを特徴とする移動通信制御方法。
【請求項６】
移動端末と、
該移動端末の移動情報を管理する管理装置と、
アクセス網を具備し該アクセス網に存在する移動端末と前記管理装置との間のパケットの転送を行い、前記管理装置との間にて前記移動端末についてのセキュリティアソシエーションが構築されるルーティング装置とを有し、
前記ルーティング装置は、前記移動端末が当該ルーティング装置のアクセス網から他のルーティング装置のアクセス網に移動した場合、前記他のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、また、前記移動端末が前記他のルーティング装置のアクセス網から当該ルーティング装置のアクセス網に移動してきた場合、前記他のルーティング装置を原始のルーティング装置として前記管理装置に対して指定するとともに、当該ルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、
前記管理装置は、前記移動端末の移動元のアクセス網を具備するルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のアクセス網を具備するルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する移動通信システム。
【請求項７】
請求項６に記載の移動通信システムにおいて、
前記ルーティング装置は、当該ルーティング装置が具備するアクセス網に存在する移動端末について当該ルーティング装置における移動先固有情報を前記管理装置に通知し、前記移動端末が当該ルーティング装置のアクセス網から他のルーティング装置のアクセス網に移動した場合、移動先のアクセス網を具備するルーティング装置における前記移動端末の移動先固有情報を取得して該移動先固有情報を代替情報として前記管理装置に通知することにより、前記他のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、当該ルーティング装置における前記移動端末の移動先固有情報を前記他のルーティング装置に通知し、また、前記移動端末が他のルーティング装置のアクセス網から当該ルーティング装置のアクセス網に移動してきた場合、当該ルーティング装置における前記移動端末の移動先固有情報を代替情報として前記管理装置に通知するとともに、前記他のルーティング装置から通知された該他のルーティング装置における前記移動端末の移動先固有情報を原始情報として前記管理装置に通知することにより、前記他のルーティング装置を原始のルーティング装置として前記管理装置に対して指定し、
前記管理装置は、前記ルーティング装置から通知された前記移動先固有情報によって該ルーティング装置との間にて前記移動端末についてのセキュリティアソシエーションを構築し、前記ルーティング装置から前記原始情報として通知された移動先固有情報が前記セキュリティアソシエーションを構築するために当該管理装置にて保持され、かつ、前記移動端末の移動先のアクセス網を具備するルーティング装置から前記代替情報として通知された移動先固有情報が前記移動端末の移動元のアクセス網を具備するルーティング装置から前記代替情報として通知された移動先固有情報である場合、前記移動端末の移動元のアクセス網を具備するルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のアクセス網を具備するルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する移動通信システム。
【請求項８】
請求項７に記載の移動通信システムにおいて、
前記管理装置は、前記移動端末の移動元のルーティング装置にて該ルーティング装置と当該管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを削除する旨が指定された場合、該ルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する移動通信システム。
【請求項９】
請求項７に記載の移動通信システムにおいて、
前記管理装置は、前記移動端末の移動元のアクセス網を具備するルーティング装置から前記代替情報として通知された移動先固有情報を前記原始情報として変更することにより、前記移動端末の移動元のアクセス網を具備するルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のアクセス網を具備するルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する移動通信システム。
【請求項１０】
請求項８に記載の移動通信システムにおいて、
前記管理装置は、前記移動端末の移動元のアクセス網を具備するルーティング装置から前記代替情報として通知された移動先固有情報を前記原始情報として変更することにより、前記移動端末の移動元のアクセス網を具備するルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のアクセス網を具備するルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する移動通信システム。
【請求項１１】
アクセス網を具備し該アクセス網に存在する移動端末と該移動端末の移動情報を管理する管理装置との間のパケットの転送を行うとともに、前記アクセス網に存在する移動端末について前記管理装置との間にてセキュリティアソシエーションが構築されるルーティング装置であって、
前記移動端末が当該ルーティング装置のアクセス網から他のルーティング装置のアクセス網に移動した場合、前記他のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、また、前記移動端末が前記他のルーティング装置のアクセス網から当該ルーティング装置のアクセス網に移動してきた場合、前記他のルーティング装置を原始のルーティング装置として前記管理装置に対して指定するとともに、当該ルーティング装置を代替のルーティング装置として前記管理装置に対して指定するセキュリティアソシエーション管理手段を有するルーティング装置。
【請求項１２】
請求項１１に記載のルーティング装置において、
前記セキュリティアソシエーション管理手段は、当該ルーティング装置が具備するアクセス網に存在する移動端末について当該ルーティング装置における移動先固有情報を前記管理装置に通知し、前記移動端末が当該ルーティング装置のアクセス網から他のルーティング装置のアクセス網に移動した場合、移動先のアクセス網を具備するルーティング装置における前記移動端末の移動先固有情報を取得して該移動先固有情報を代替情報として前記管理装置に通知することにより、前記他のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、当該ルーティング装置における前記移動端末の移動先固有情報を前記他のルーティング装置に通知し、前記移動端末が他のルーティング装置のアクセス網から当該ルーティング装置のアクセス網に移動してきた場合、当該ルーティング装置における前記移動端末の移動先固有情報を代替情報として前記管理装置に通知するとともに、前記他のルーティング装置から通知された該他のルーティング装置における前記移動端末の移動先固有情報を原始情報として前記管理装置に通知することにより、前記他のルーティング装置を原始のルーティング装置として前記管理装置に対して指定するルーティング装置。
【請求項１３】
移動端末の移動情報を管理し、アクセス網を具備するルーティング装置との間にて該アクセス網に存在する移動端末についてのセキュリティアソシエーションを構築する管理装置であって、
前記移動端末が、セキュリティアソシエーションが構築された第１のルーティング装置が具備するアクセス網から第２のルーティング装置が具備するアクセス網に移動し、前記第１のルーティング装置にて前記第２のルーティング装置が代替のルーティング装置として指定され、前記第２のルーティング装置にて前記第１のルーティング装置が原始のルーティング装置として指定されるとともに当該第２のルーティング装置が代替のルーティング装置として指定された場合、前記第１のルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行するセキュリティアソシエーション管理手段を有する管理装置。
【請求項１４】
請求項１３に記載の管理装置において、
前記セキュリティアソシエーション管理手段は、前記第１のルーティング装置における前記移動端末の移動先固有情報を保持しておき、その後、前記第２のルーティング装置から原始情報として通知された移動先固有情報が既に保持され、かつ、前記第２のルーティング装置から代替情報として通知された移動先固有情報が、前記第１のルーティング装置から前記代替情報として既に通知された移動先固有情報である場合、前記第１のルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行するセキュリティアソシエーションデータベース制御手段を有する管理装置。
【請求項１５】
請求項１４に記載の管理装置において、
前記セキュリティアソシエーションデータベース制御手段は、前記第１のルーティング装置にて該ルーティング装置と当該管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを削除する旨が指定された場合、該第１のルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する管理装置。
【請求項１６】
請求項１４に記載の管理装置において、
前記セキュリティアソシエーションデータベース制御手段は、前記第１のルーティング装置から前記代替情報として通知された移動先固有情報を前記原始情報として変更することにより、前記第１のルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する管理装置。
【請求項１７】
請求項１５に記載の管理装置において、
前記セキュリティアソシエーションデータベース制御手段は、前記第１のルーティング装置から前記代替情報として通知された移動先固有情報を前記原始情報として変更することにより、前記第１のルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する管理装置。
【請求項１８】
アクセス網を具備し該アクセス網に存在する移動端末と該移動端末の移動情報を管理する管理装置との間のパケットの転送を行うとともに、前記アクセス網に存在する移動端末について前記管理装置との間にてセキュリティアソシエーションが構築されるルーティング装置を制御するためのプログラムであって、
コンピュータに、
前記移動端末が当該ルーティング装置のアクセス網から他のルーティング装置のアクセス網に移動した場合、前記他のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、また、前記移動端末が前記他のルーティング装置のアクセス網から当該ルーティング装置のアクセス網に移動してきた場合、前記他のルーティング装置を原始のルーティング装置として前記管理装置に対して指定するとともに、当該ルーティング装置を代替のルーティング装置として前記管理装置に対して指定する手順を実行させるためのプログラム。
【請求項１９】
移動端末の移動情報を管理し、アクセス網を具備するルーティング装置との間にて該アクセス網に存在する移動端末についてのセキュリティアソシエーションを構築する管理装置を制御するためのプログラムであって、
コンピュータに、
前記移動端末が、セキュリティアソシエーションが構築された第１のルーティング装置が具備するアクセス網から第２のルーティング装置が具備するアクセス網に移動し、前記第１のルーティング装置にて前記第２のルーティング装置が代替のルーティング装置として指定され、前記第２のルーティング装置にて前記第１のルーティング装置が原始のルーティング装置として指定されるとともに当該第２のルーティング装置が代替のルーティング装置として指定された場合、前記第１のルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記第２のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する手順を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、移動通信制御方法、移動通信システム、ルーティング装置、管理装置及びプログラムに関し、特に、ＩＰ（Internet  Protocol）技術を用いた移動通信制御方法、移動通信システム、ルーティング装置、管理装置及びプログラムに関する。
【背景技術】
【０００２】
近年の移動通信技術の進展に伴い、ＩＥＴＦ（Internet  Engineering  Task  Force）において、モバイルＩＰｖ６の標準化が進められている。【０００３】
図１は、モバイルＩＰｖ６による従来の移動通信システムの一構成例を示す図である。【０００４】
図１に示すように、本従来例においては、ホームコア網１３１ａ，１３１ｂをそれぞれ有する２つのホームエージェント１３０ａ，１３０ｂが設置されており、ホームエージェント１３０ａにて移動情報が管理されている移動端末１１０ａと、ホームエージェント１３０ｂにて移動情報が管理されている移動端末１１０ｂとの間にてＩＰパケットの送受信による通信が行われている。移動端末１１０ａは、アクセルルータ１２０ａの配下のアクセス網１２１ａに存在し、移動端末１１０ｂは、アクセスルータ１２０ｂの配下のアクセス網１２１ｂに存在している。なお、移動端末１１０ａ，１１０ｂは、固有のＩＰアドレスとなるホームアドレス（ＨｏＡ：Home  Address）をそれぞれ有し、このホームアドレス（ＨｏＡ）はホームエージェント１３０ａ，１３０ｂにそれぞれ登録されている。【０００５】
以下に、図１に示した移動通信システムにおける２つの移動端末１１０ａ，１１０ｂ間の通信方法について説明する。【０００６】
まず、移動端末１１０ａ，１１０ｂの位置登録処理について説明する。【０００７】
移動端末１１０ａが、ホームエージェント１３０ａの配下のホームコア網１３１ａや他のアクセス網からアクセスルータ１２０ａの配下のアクセス網１２１ａに移動すると、まず、移動端末１１０ａにおいて、アクセスルータ１２０ａのＩＰアドレスのプレフィックスと移動端末１１０ａのＭＡＣアドレスとを用いて、移動先のＩＰアドレスとなる気付アドレス（ＣｏＡ：Care  of  Address）が生成され、移動端末１１０ａのホームアドレスとこの気付アドレスとの組み合わせがホームエージェント１３０ａに送信されることにより位置登録要求（ＢＵ：Binding  Update）が行われる。また、移動端末１１０ｂにおいても、同様にして、移動端末１１０ｂのホームアドレスと、アクセス網１２１ｂにて生成された気付アドレスとを用いてホームエージェント１３０ｂに対して位置登録要求（ＢＵ）が行われる。【０００８】
移動端末１１０ａからの位置登録要求（ＢＵ）を受けたホームエージェント１３０ａにおいては、その有効性が確認された後、移動端末１１０ａから送信されてきたホームアドレスと気付アドレスとが対応づけられてホームエージェント１３０ａ内のバインディングキャッシュ（ＢＣ：Binding  Cache）に登録されるとともに、位置登録が行われた旨を示す位置登録応答（ＢＡ：Binding  Acknowledgements）が移動端末１１０ａに送信される。また、ホームエージェント１３０ｂにおいても、同様にして、移動端末１１０ｂの位置登録が行われ、位置登録応答（ＢＡ）が移動端末１１０ｂに送信される。【０００９】
このようにして、ホームエージェント１３０ａ，１３０ｂにおいて、移動端末１１０ａ，１１０ｂが現在存在している位置がそれぞれ管理され、それにより、移動端末１１０ａ，１１０ｂの移動情報が管理されることになる。【００１０】
次に、上述した位置登録処理が行われた後に移動端末１１０ａ，１１０ｂ間にてＩＰパケットの送受信による通信が行われる際の処理について、移動端末１１０ａから移動端末１１０ｂへＩＰパケットが送信される場合を例に挙げて説明する。なお、以下の説明においては、移動端末１１０ａ，１１０ｂのホームアドレスをそれぞれ「ＨｏＡ１」，「ＨｏＡ２」とし、また、移動端末１１０ａ，１１０ｂの気付アドレスをそれぞれ「ＣｏＡ１」，「ＣｏＡ２」とする。【００１１】
移動端末１１０ａから移動端末１１０ｂへＩＰパケットが送信される場合は、まず、移動端末１１０ａにおいて、発信元アドレスが「ＨｏＡ１」で、宛先アドレスが「ＨｏＡ２」であるＩＰパケットが、発信元アドレスが「ＣｏＡ１」で、宛先アドレスがホームエージェント１３０ａのＩＰアドレス「ＨＡ１」でカプセル化され、このカプセル化されたＩＰパケットが移動端末１１０ａから送出される。【００１２】
移動端末１１０ａから送出されたＩＰパケットは、宛先アドレスがホームエージェント１３０ａのＩＰアドレス「ＨＡ１」であるため、アクセスルータ１２０ａを介してホームエージェント１３０ａに届けられる。ホームエージェント１３０ａにおいては、移動端末１１０ａから送出されたＩＰパケットが受信されると、受信されたＩＰパケットのカプセル化がはずされ、発信元アドレスが「ＨｏＡ１」で、宛先アドレスが「ＨｏＡ２」であるＩＰパケットが送出される。【００１３】
ホームエージェント１３０ａから送出されたＩＰパケットは、宛先アドレスが「ＨｏＡ２」であるため、ホームエージェント１３０ｂに届けられる。ホームエージェント１３０ｂにおいては、ホームエージェント１３０ａから送出されたＩＰパケットが受信されると、ホームエージェント１３０ｂ内のバインディングキャッシュ（ＢＣ）が参照されてそのＩＰパケットの宛先となる移動端末１１０ｂの気付アドレス「ＣｏＡ２」が認識され、受信したＩＰパケットが、発信元アドレスがホームエージェント１３０ｂのＩＰアドレス「ＨＡ２」で、宛先アドレスが「ＣｏＡ２」でカプセル化され、カプセル化されたＩＰパケットがホームエージェント１３０ｂから送出される。【００１４】
ホームエージェント１３０ｂから送出されたＩＰパケットは、宛先アドレスが「ＣｏＡ２」であるため、「ＣｏＡ２」の気付アドレスを持つ移動端末１１０ｂにアクセスルータ１２０ｂを介して届けられる。移動端末１１０ｂにおいては、ホームエージェント１３０ｂから送出されたＩＰパケットが受信されると、受信されたＩＰパケットのカプセル化がはずされ、発信元アドレスが「ＨｏＡ１」で、宛先アドレスが「ＨｏＡ２」であるＩＰパケットが受け取られることになる。【００１５】
このように、モバイルＩＰｖ６においては、ホームエージェント１３０ａ，１３０ｂにおいて、移動端末１１０ａ，１１０ｂが現在存在している位置がそれぞれ管理されており、移動端末１１０ａ，１１０ｂが移動した場合においても、移動端末１１０ａ，１１０ｂ宛てのＩＰパケットがホームエージェント１３０ａ，１３０ｂにて移動端末１１０ａ，１１０ｂに転送されることで、移動透過性が確保されている（例えば、特許公開２００５−２６９４１号公報参照。）。【００１６】
ここで、上述したモバイルＩＰｖ６においては、ＩＰパケットを送受信する移動端末１１０ａ，１１０ｂ間の通信経路を最適化する方式が含まれている。以下に、通信経路を最適化する際の処理について説明する。【００１７】
移動端末１１０ｂにて移動端末１１０ａから送信されてきたＩＰパケットが、上述したように、発信元アドレスがホームエージェント１３０ｂのＩＰアドレス「ＨＡ２」で、宛先アドレスが「ＣｏＡ２」でカプセル化されている場合、移動端末１１０ｂにおいて、移動端末１１０ａに対して、移動端末１１０ｂのホームアドレス「ＨｏＡ２」と気付アドレス「ＣｏＡ２」との組み合わせが送信され、位置登録要求（ＢＵ）が行われる。【００１８】
移動端末１１０ｂからの位置登録要求（ＢＵ）を受けた移動端末１１０ａにおいては、その有効性が確認された後、移動端末１１０ｂのホームアドレス「ＨｏＡ２」と気付アドレス「ＣｏＡ２」との組み合わせがルート最適化用のメモリに登録されるとともに、位置登録応答（ＢＡ）が移動端末１１０ｂに送信される。【００１９】
その後、移動端末１１０ａから移動端末１１０ｂ宛てのＩＰパケットが送信される場合、移動端末１１０ａにおいて、送信元アドレスを「ＣｏＡ１」とし、宛先アドレスを「ＣｏＡ２」とし、ホームアドレスオプションとして「ＨｏＡ１」が付与されたＩＰパケットが送信される。このＩＰパケットは、ホームエージェント１３０ａ，１３０ｂを介さずに移動端末１１０ｂに届けられる。【００２０】
このような通信経路の最適化処理により、移動端末１１０ａ，１１０ｂ間にてＩＰパケットを送受信する際に、通信経路が冗長になることによって遅延が生じてしまうことが回避されることになる（例えば、特許公開２００５−３３４６９号公報参照。）。【００２１】
ところが、このような移動端末１１０ａ，１１０ｂ間の通信経路を最適化する方式においては、移動端末１１０ａ，１１０ｂが現在存在している位置を示す気付アドレス「ＣｏＡ１」，「ＣｏＡ２」が通信相手に通知されるため、通信相手に現在自分がいる位置が知られてしまう。【００２２】
そこで、通信経路が最適化された通信において、移動端末１１０ａ，１１０ｂ間を送受信されるＩＰパケットをアクセスルータ１２０ａ，１２０ｂにてカプセル化あるいはデカプセル化するエッジモビリティ技術が考えられている。このエッジモビリティ技術においては、アクセスルータ１２０ａ，１２０ｂにおいて、上述したホームエージェント１３０ａ，１３０ｂに対する位置登録要求（ＢＵ）や、移動端末１１０ａ，１１０ｂの気付アドレス「ＣｏＡ」の生成、経路最適化処理が移動端末１１０ａ，１１０ｂに代行して行われる。【００２３】
そのため、移動端末１１０ａ，１１０ｂの気付アドレス「ＣｏＡ１」，「ＣｏＡ２」は、移動端末１１０ａ，１１０ｂにて管理されずにアクセスルータ１２０ａ，１２０ｂにて管理され、また、上述した最適化経路にて移動端末１１０ａと移動端末１１０ｂとがホームエージェント１３０ａ，１３０ｂを介さずにＩＰパケットの送受信を行う場合、移動端末１１０ａ，１１０ｂの気付アドレス「ＣｏＡ１」，「ＣｏＡ２」がアクセスルータ１２０ａ，１２０ｂ間のみで送受信されることで、気付アドレスが通信相手に通知されることがなくなり、それにより、通信相手に現在自分がいる位置が知られてしまうことを回避することができる。【００２４】
ここでさらに、上述したモバイルＩＰｖ６においては、エッジモビリティ技術が適用されたアクセスルータ１２０ａ，１２０ｂとホームエージェント１３０ａ，１３０ｂとの間において、アクセスルータ１２０ａ，１２０ｂにおける移動端末１１０ａ，１１０ｂについての固有情報とホームエージェント１３０ａ，１３０ｂの固有情報とを受け渡しすることにより、移動端末１１０ａ，１１０ｂに対するＩＰパケットの送受信についてセキュリティアソシエーション（ＳＡ：Security  Association）を構築する技術が利用されている。以下に、そのセキュリティアソシエーションの構築方法について、図１に示したアクセスルータ１２０ａとホームエージェント１３０ａとの間において移動端末１１０ａに対するＩＰパケットの送受信についてセキュリティアソシエーションを構築する場合を例に挙げて説明する。【００２５】
移動端末１１０ａが、ホームエージェント１３０ａの配下のホームコア網１３１ａや他のアクセス網からアクセスルータ１２０ａの配下のアクセス網１２１ａに移動すると、まず、移動端末１１０ａが移動してきたアクセス網１２１ａを配下とするアクセスルータ１２０ａにおいて、アクセスルータ１２０ａのＩＰアドレスのプレフィックスと移動端末１１０ａのＭＡＣアドレスとを用いて移動端末１１０ａ用の気付アドレスが生成され、この気付アドレスと移動端末１１０ａのホームアドレスとが対応づけて内部のメモリに登録される。これにより、アクセスルータ１２０ａにおいて、生成された気付アドレスを用いての移動端末１１０ａの代行機能が設定される。【００２６】
次に、アクセスルータ１２０ａとホームエージェント１３０ａとの間において、ＩＫＥ（Internet  Key  Exchange）によって移動端末１１０ａ用の気付アドレスとホームエージェント１３０ａのホームアドレスとの間にシグナリング用の暗号化伝送路が構築される。【００２７】
次に、ＩＳＡＫＭＰ（Internet  Security  Association  and  Key  Management  Protocol）上において、アクセスルータ１２０ａにおける移動端末１１０ａ用のＦＱＤＮ（Fully  Qualified  Domain  Name）がアクセスルータ１２０ａからホームエージェント１３０ａに通知される。【００２８】
すると、今度は、ホームエージェント１３０ａのＦＱＤＮがＩＳＡＫＭＰ上においてホームエージェント１３０ａからアクセスルータ１２０ａに通知される。【００２９】
次に、移動端末１１０ａのホームアドレスがＩＳＡＫＭＰ上においてアクセスルータ１２０ａからホームエージェント１３０ａに通知され、また、それに応じて、ホームエージェント１３０ａのＩＰアドレスがＩＳＡＫＭＰ上においてホームエージェント１３０ａからアクセスルータ１２０ａに通知される。【００３０】
その後、移動端末１１０ａのホームアドレスと移動端末１１０ａ用に生成された気付アドレスとの組み合わせがアクセスルータ１２０ａからホームエージェント１３０ａに送信されることにより位置登録要求（ＢＵ）が行われる。【００３１】
すると、ホームエージェント１３０ａにおいて、その有効性が確認された後、移動端末１１０ａから送信されてきたホームアドレスと気付アドレスとが対応づけられてホームエージェント１３０ａ内のバインディングキャッシュ（ＢＣ）に登録されるとともに、アクセスルータ１２０ａとホームエージェント１３０ａとの間において、ＩＫＥによって移動端末１１０ａ用の気付アドレスとホームエージェント１３０ａのホームアドレスとの間にユーザデータ用の暗号化伝送路が構築される。【００３２】
このようにしてセキュリティアソシエーションが構築された場合、ホームエージェント１３０ａ，１３０ｂにおいては、セキュリティアソシエーションが構築された移動端末からのＩＰパケットのみを受信することになる。【００３３】
上述したようにアクセスルータとホームエージェントとの間にて移動端末についてセキュリティアソシエーションを構築する場合は、セキュリティアソシエーションを構築する移動端末のホームアドレスをアクセスルータからホームエージェントに通知することになるが、移動端末が移動して移動端末の代理機能が設定されるアクセスルータが変更となり、そのアクセスルータにおいてホームエージェントに対して同様にセキュリティアソシエーションを構築するために手続きを行う場合、ホームエージェントにおいては、その移動端末のホームアドレスが、セキュリティアソシエーションが構築された移動端末のホームアドレスとして既に登録されているため、移動端末の移動先のアクセスルータにおいてその移動端末についてのセキュリティアソシエーションを構築することができないという問題点がある。
【発明の開示】
【００３４】
本発明は、セキュリティアソシエーションが構築された移動端末が移動して移動端末の代理機能が設定されるルーティング装置となるアクセスルータが変更となった場合においても、そのルーティング装置において移動端末のセキュリティアソシエーションを構築することができる移動通信制御方法、移動通信システム、ルーティング装置、管理装置及びプログラムを提供することを目的とする。
【００３５】
上記目的を達成するために本発明は、
移動端末と、
該移動端末の移動情報を管理する管理装置と、
アクセス網を具備し該アクセス網に存在する移動端末と前記管理装置との間のパケットの転送を行い、前記管理装置との間にて前記移動端末についてのセキュリティアソシエーションが構築されるルーティング装置とを有し、
前記ルーティング装置は、前記移動端末が当該ルーティング装置のアクセス網から他のルーティング装置のアクセス網に移動した場合、前記他のルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、また、前記移動端末が前記他のルーティング装置のアクセス網から当該ルーティング装置のアクセス網に移動してきた場合、前記他のルーティング装置を原始のルーティング装置として前記管理装置に対して指定するとともに、当該ルーティング装置を代替のルーティング装置として前記管理装置に対して指定し、
前記管理装置は、前記移動端末の移動元のアクセス網を具備するルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のアクセス網を具備するルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する。
【００３６】
また、前記ルーティング装置は、当該ルーティング装置が具備するアクセス網に存在する移動端末について当該ルーティング装置における移動先固有情報を前記管理装置に通知し、前記移動端末が当該ルーティング装置のアクセス網から他のルーティング装置のアクセス網に移動した場合、移動先のアクセス網を具備するルーティング装置における前記移動端末の移動先固有情報を取得して該移動先固有情報を代替情報として前記管理装置に通知するとともに、当該ルーティング装置における前記移動端末の移動先固有情報を前記他のルーティング装置に通知し、前記移動端末が他のルーティング装置のアクセス網から当該ルーティング装置のアクセス網に移動してきた場合、当該ルーティング装置における前記移動端末の移動先固有情報を代替情報として前記管理装置に通知するとともに、前記他のルーティング装置から通知された該他のルーティング装置における前記移動端末の移動先固有情報を原始情報として前記管理装置に通知し、
前記管理装置は、前記ルーティング装置から通知された前記移動先固有情報によって該ルーティング装置との間にて前記移動端末についてのセキュリティアソシエーションを構築し、前記ルーティング装置から前記原始情報として通知された移動先固有情報が前記セキュリティアソシエーションを構築するために当該管理装置にて保持され、かつ、前記移動端末の移動先のアクセス網を具備するルーティング装置から前記代替情報として通知された移動先固有情報が前記移動端末の移動元のアクセス網を具備するルーティング装置から前記代替情報として通知された移動先固有情報である場合、前記移動端末の移動元のアクセス網を具備するルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のアクセス網を具備するルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する。
【００３７】
また、前記管理装置は、前記移動端末の移動元のルーティング装置にて該ルーティング装置と当該管理装置との間にて前記移動端末について構築されたセキュリティアソシエーションを削除する旨が指定された場合、該ルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する。
【００３８】
また、前記管理装置は、前記移動端末の移動元のアクセス網を具備するルーティング装置から前記代替情報として通知された移動先固有情報を前記原始情報として変更することにより、前記移動端末の移動元のアクセス網を具備するルーティング装置との間にて前記移動端末について構築されたセキュリティアソシエーションを、前記移動端末の移動先のアクセス網を具備するルーティング装置との間における当該移動端末についてのセキュリティアソシエーションに移行する。
【００３９】
上記のように構成された本発明においては、移動端末が存在するアクセス網を具備する第１のルーティング装置と移動端末の移動情報を管理する管理装置との間にて当該移動端末についてのセキュリティアソシエーションが構築された後に移動端末が移動した場合、第１のルーティング装置にて移動端末の移動先のアクセス網を具備する第２のルーティング装置が代替のルーティング装置として管理装置に対して指定され、第２のルーティング装置にて第１のルーティング装置が原始のルーティング装置として管理装置に対して指定されるとともに、第２のルーティング装置が代替のルーティング装置として管理装置に対して指定されると、第１のルーティング装置と管理装置との間にて移動端末について構築されたセキュリティアソシエーションが、第２のルーティング装置と管理装置との間における当該移動端末についてのセキュリティアソシエーションに移行する。
【００４０】
具体的には、第１のルーティング装置における移動端末の移動先固有情報が該第１のルーティング装置から管理装置に通知されるとともに、管理装置の固有情報が該管理装置から第１のルーティング装置に通知されることにより、第１のルーティング装置と管理装置との間にて移動端末についてのセキュリティアソシエーションが構築された後に移動端末が移動した場合、第１のルーティング装置にて第２のルーティング装置における移動端末の移動先固有情報が取得されて該移動先固有情報が代替情報として管理装置に通知されるとともに、第１のルーティング装置における移動端末の移動先固有情報が第１のルーティング装置から第２のルーティング装置に通知され、第２のルーティング装置にて、該第２のルーティング装置における移動端末の移動先固有情報が代替情報として管理装置に通知されるとともに、第１のルーティング装置から通知された第１のルーティング装置における移動端末の移動先固有情報が原始情報として管理装置に通知され、管理装置の固有情報が管理装置から第２のルーティング装置に通知されると、管理装置において、第２のルーティング装置から原始情報として通知された移動先固有情報がセキュリティアソシエーションを構築するために管理装置にて保持され、かつ、第２のルーティング装置から代替情報として通知された移動先固有情報が第１のルーティング装置から代替情報として通知された移動先固有情報である場合、第１のルーティング装置と管理装置との間にて移動端末について構築されたセキュリティアソシエーションが、第２のルーティング装置と管理装置との間における移動端末についてのセキュリティアソシエーションに移行することになる。
【００４１】
このように、移動端末が移動して移動端末の代理機能が設定されるルーティング装置が変更となった場合においても、セキュリティアソシエーションが構築されているルーティング装置が原始のものとされ、移動端末の移動先のルーティング装置が代替のものとされ、その後、これらを用いて既に構築されたセキュリティアソシエーションが、移動端末の移動先のルーティング装置のセキュリティアソシエーションに移行される。
【００４２】
また、この移行を、第１のルーティング装置にて第１のルーティング装置と管理装置との間にて移動端末について構築されたセキュリティアソシエーションを削除する旨が指定された後に行えば、さらなるセキュリティ性が向上することになる。
【００４３】
上述したように本発明においては、移動端末が移動して移動端末の代理機能が設定されるルーティング装置が変更となった場合、セキュリティアソシエーションが構築されているルーティング装置が原始のものとされ、移動端末の移動先のルーティング装置が代替のものとされ、その後、これらを用いて既に構築されたセキュリティアソシエーションが、移動端末の移動先のルーティング装置のセキュリティアソシエーションに移行される構成としたため、セキュリティアソシエーションが構築された移動端末が移動して移動端末の代理機能が設定されるアクセスルータが変更となった場合においても、そのアクセスルータにおいて移動端末のセキュリティアソシエーションを構築することができる。
【図面の簡単な説明】
【００４４】
【図１】モバイルＩＰｖ６による従来の移動通信システムの一構成例を示す図である。
【図２】本発明の移動通信システムの実施の一形態を示す図である。
【図３】図２に示したホームエージェントの構成のうち、セキュリティアソシエーション管理を行うセキュリティアソシエーション管理手段の構成を示すブロック図である。
【図４】図２及び図３に示した移動通信システムにおいてホームエージェントとアクセスルータとの間にて移動端末についてセキュリティアソシエーションを構築する際の処理を説明するためのシーケンス図である。
【図５】図２に示したアクセスルータ内のメモリに設定されるテーブルの一例を示す図である。
【図６】図２に示したホームエージェント内のバインディングキャッシュに設定されるテーブルの一例を示す図である。
【図７】図２に示したアクセスルータにおけるカプセル化を説明するための図であり、（ａ）はカプセル化される前のパケットの状態を示す図、（ｂ）はカプセル化された後のパケットの状態を示す図である。
【図８】図２に示したホームエージェントにおけるカプセル化を説明するための図であり、（ａ）はカプセル化される前のパケットの状態を示す図、（ｂ）はカプセル化された後のパケットの状態を示す図である。
【発明を実施するための最良の形態】
【００４５】
図２は、本発明の移動通信システムの実施の一形態を示す図である。【００４６】
図２に示すように、本形態においては、ホームコア網３１ａ，３１ｂをそれぞれ有する管理装置となる２つのホームエージェント３０ａ，３０ｂが設置されており、ホームエージェント３０ａにて移動情報が管理されている移動端末１０ａと、ホームエージェント３０ｂにて移動情報が管理されている移動端末１０ｂとの間にてＩＰパケットの送受信による通信が行われようとしている。移動端末１０ａは、第１のルーティング装置となるアクセルルータ２０ａが具備してその配下となるアクセス網２１ａに存在し、移動端末１０ｂは、アクセスルータ２０ｂが具備してその配下となるアクセス網２１ｂに存在している。また、第２のルーティング装置となるアクセスルータ２０ｃを介してホームエージェント３０ａと接続可能なアクセス網２１ｃが存在している。なお、移動端末１０ａ，１０ｂは、固有のＩＰアドレスとなるホームアドレス「ＨｏＡ１」，「ＨｏＡ２」をそれぞれ有しており、このホームアドレス「ＨｏＡ１」，「ＨｏＡ２」はホームエージェント３０ａ，３０ｂにそれぞれ登録されている。また、アクセスルータ２０ａ，２０ｂは、配下のアクセス網２１ａ，２１ｂに存在する移動端末１０ａ，１０ｂの気付アドレス「ＣｏＡ１」，「ＣｏＡ２」を自身のＩＰアドレスとしてそれぞれ有している。そして、アクセスルータ２０ａ，２０ｂが、移動端末１０ａ，１０ｂの位置登録要求（ＢＵ）をホームエージェント３０ａ，３０ｂに対して行うことにより、ホームエージェント３０ａ，３０ｂにおいて、移動端末１０ａ，１０ｂのホームアドレス「ＨｏＡ１」，「ＨｏＡ２」と気付アドレス「ＣｏＡ１」，「ＣｏＡ２」とが対応づけて登録、管理されている。【００４７】
図３は、図２に示したホームエージェント３０ａの構成のうち、セキュリティアソシエーション管理を行うセキュリティアソシエーション管理手段の構成を示すブロック図である。【００４８】
図３に示すように、本形態におけるホームエージェント３０ａにおいては、セキュリティアソシエーション管理を行うセキュリティアソシエーション管理手段として、Security  Associationパケット生成部３２と、Security  Associationデータベース３３と、Security  Associationデータベース制御部３４と、セレクタ３５と、フィルタ３６とが設けられている。【００４９】
セレクタ３５は、ＩＰｓｅｃトンネル管理部３８にて受信された制御系パケットを、セキュリティアソシエーションを構築するためのＩＰパケット、すなわちＩＳＡＫＭＰ上にて受信されたＩＰパケットと、その他のＩＰパケットとに分けて出力する。【００５０】
Security  Associationデータベース制御部３４は、ＩＰｓｅｃトンネル管理部３８にて受信された制御系パケットのうち、セレクタ３５にて分けられた、セキュリティアソシエーションを構築するためのＩＰパケットを用いて、Security  Associationデータベース３３に対する原始情報となるPrimaryＩＤ及びＩＰアドレス、並びに代替情報となるAlternateＩＤ及びＩＰアドレスの登録あるいは削除を行うとともに、Security  Associationパケット生成部３２に対して、セキュリティアソシエーションを構築するためのパケット送信要求を行う。【００５１】
Security  Associationパケット生成部３２は、Security  Associationデータベース制御部３４からのパケット送信要求に応じて、Security  Associationデータベース３３を参照してセキュリティアソシエーションを構築するためのＩＰパケットを生成し、送信する。【００５２】
フィルタ３６は、Security  Associationデータベース３３を参照し、セレクタ３５にてセキュリティアソシエーションを構築するためのＩＰパケットから分けられたその他のＩＰパケットを、位置登録要求（ＢＵ）を行うためのパケット、すなわち、移動端末のホームアドレスと気付アドレスとを含むパケットと、セキュリティアソシエーションが構築された移動端末からの制御系パケットと、セキュリティアソシエーションが構築されていない移動端末からのパケットとを分けて出力する。【００５３】
そして、フィルタ３６にて分けられたパケットのそれぞれは、移動端末のホームアドレスと気付アドレスとを含むパケットが、移動端末のホームアドレスと気付アドレスとが対応づけられてバインディングキャッシュ（ＢＣ）に登録され、また、セキュリティアソシエーションが構築された移動端末からの制御系パケットがルータ機能（不図示）に転送され、また、セキュリティアソシエーションが構築されていない移動端末からのパケットが不正パケットとして廃棄される。【００５４】
以下に、上記のように構成された移動通信システムにおける移動通信制御方法について、ホームエージェント３０ａとアクセスルータ２０ａ，２０ｃとの間にて移動端末１０ａについてセキュリティアソシエーションを構築し、移動端末１０ａと移動端末１０ｂとの間にてＩＰパケットを送受信する場合を例に挙げて説明する。【００５５】
図４は、図２及び図３に示した移動通信システムにおいてホームエージェント３０ａとアクセスルータ２０ａ，２０ｃとの間にて移動端末１０ａについてセキュリティアソシエーションを構築する際の処理を説明するためのシーケンス図である。【００５６】
移動端末１０ａが、ホームエージェント３０ａの配下のホームコア網３１ａや他のアクセス網からアクセスルータ２０ａの配下のアクセス網２１ａに移動すると、まず、移動端末１０ａが移動してきたアクセス網２１ａを配下とするアクセスルータ２０ａにおいて、アクセスルータ２０ａのＩＰアドレスのプレフィックスと移動端末１０ａのＭＡＣアドレスとを用いて移動端末１０ａ用の気付アドレスが生成され、この気付アドレスと移動端末１０ａのホームアドレスとが対応づけて内部のメモリに登録される。これにより、アクセスルータ２０ａにおいて、生成された気付アドレスを用いての移動端末１０ａの代行機能が設定される。【００５７】
図５は、図２に示したアクセスルータ２０ａ内のメモリに設定されるテーブルの一例を示す図である。【００５８】
図５に示すように、アクセスルータ２０ａにおいては、配下のアクセス網２１ａに存在する移動端末のそれぞれについて、そのホームアドレス（ＨｏＡ）と気付アドレス（ＣｏＡ）とが対応づけてテーブル上に設定された状態でメモリに登録されることになる。【００５９】
次に、アクセスルータ２０ａとホームエージェント３０ａとの間において、ＩＫＥ（The  Internet  Key  Exchange）によって移動端末１０ａ用の気付アドレスとホームエージェント３０ａのホームアドレスとの間にてシグナリング用の暗号化伝送路が構築される（ステップＳ１）。ここで、シグナリング用の暗号化伝送路とは、アクセスルータ２０ａとホームエージェント３０ａとの間にて以下に説明するようにやりとりされる、セキュリティアソシエーションを構築するためのＩＰパケットを転送するための暗号化伝送路である。【００６０】
次に、ＩＳＡＫＭＰ上において、アクセスルータ２０ａにおける移動端末１０ａ用のＦＱＤＮがアクセスルータ２０ａにおけるアクセスルータ２０ａの移動先固有情報としてアクセスルータ２０ａからホームエージェント３０ａに通知される（ステップＳ２）。なお、このアクセスルータ２０ａにおける移動端末１０ａ用のＦＱＤＮのホームエージェント３０ａへの通知は、アクセスルータ２０ａ内のセキュリティアソシエーション管理手段（不図示）によって行われる。このアクセスルータ２０ａにおける移動端末１０ａ用のＦＱＤＮは、ホームエージェント３０ａのＩＰｓｅｃトンネル管理部３８にて受信されてセレクタ３５を介してSecurity  Associationデータベース制御部３４に渡され、Security  Associationデータベース制御部３４において、アクセスルータ２０ａにおける移動端末１０ａ用のＦＱＤＮがPrimaryＩＤとしてSecurity  Associationデータベース３３に登録される。【００６１】
すると、Security  Associationデータベース制御部３４においてホームエージェント３０ａのSecurity  Associationパケット生成部３２に対してパケット送信要求が出され、Security  Associationパケット生成部３２において、ホームエージェント３０ａの固有情報であるＦＱＤＮを含むパケットが生成され、このパケットがＩＳＡＫＭＰ上においてホームエージェント３０ａからアクセスルータ２０ａに通知される（ステップＳ３）。【００６２】
次に、移動端末１０ａのホームアドレスがＩＳＡＫＭＰ上においてアクセスルータ２０ａからホームエージェント３０ａに通知され（ステップＳ４）、また、それに応じて、ホームエージェント３０ａのSecurity  Associationパケット生成部３２において、ホームエージェント３０ａの固有情報であるＩＰアドレスを含むパケットが生成され、このパケットがＩＳＡＫＭＰ上においてホームエージェント３０ａからアクセスルータ２０ａに通知される（ステップＳ５）。なお、この移動端末１０ａのホームアドレスのホームエージェント３０ａへの通知においても、アクセスルータ２０ａ内のセキュリティアソシエーション管理手段によって行われる。【００６３】
その後、移動端末１０ａのホームアドレスとアクセスルータ２０ａにおける移動端末１０ａの移動先固有情報となるアクセスルータ２０ａにて移動端末１０ａ用に生成された気付アドレスとの組み合わせがアクセスルータ２０ａからホームエージェント３０ａに送信されることにより位置登録要求（ＢＵ）が行われる（ステップＳ６）。この気付アドレスは、ホームエージェント３０ａのＩＰｓｅｃトンネル管理部３８にて受信されてセレクタ３５を介してSecurity  Associationデータベース制御部３４に渡され、Security  Associationデータベース制御部３４において、アクセスルータ２０ａにおける移動端末１０ａ用の気付アドレスがPrimaryＩＰアドレスとしてSecurity  Associationデータベース３３に登録される。【００６４】
すると、アクセスルータ２０ａとホームエージェント３０ａとの間において、ＩＫＥによって移動端末１０ａ用の気付アドレスとホームエージェント３０ａのホームアドレスとの間にてユーザデータ用の暗号化伝送路が構築されるとともに（ステップＳ７）、ホームエージェント３０ａにおいてその有効性が確認された後、Binding  Cache管理部３７において、移動端末１０ａから送信されてきたホームアドレスと気付アドレスとが対応づけられてホームエージェント３０ａ内のバインディングキャッシュ（ＢＣ）に登録される（ステップＳ８）。ここで、ユーザデータ用の暗号化伝送路とは、アクセスルータ２０ａとホームエージェント３０ａとの間にてユーザデータを転送するための暗号化伝送路である。【００６５】
図６は、図２に示したホームエージェント３０ａ内のバインディングキャッシュ（ＢＣ）に設定されるテーブルの一例を示す図である。【００６６】
図６に示すように、ホームエージェント３０ａにおいては、位置を管理すべき移動端末のそれぞれについて、そのホームアドレス（ＨｏＡ）と気付アドレス（ＣｏＡ）とが対応づけてテーブル上に設定された状態でバインディングキャッシュ（ＢＣ）に登録されることになる。【００６７】
このようにしてセキュリティアソシエーションが構築され、その後、ホームエージェント３０ａ，３０ｂにおいては、セキュリティアソシエーションが構築された移動端末からのＩＰパケットのみを受信することになる。【００６８】
上記のようにホームエージェント３０ａ，３０ｂとアクセスルータ２０ａ，２０ｂとの間にてそれぞれセキュリティアソシエーションが構築された移動端末１０ａから移動端末１０ｂに対して、発信元アドレスが移動端末１０ａのホームアドレス「ＨｏＡ１」で、宛先アドレスが移動端末１０ｂのホームアドレス「ＨｏＡ２」であるＩＰパケットが送信されると、アクセスルータ２０ａにおいて、移動端末１０ａから送信されたＩＰパケットが、発信元アドレスが移動端末１０ａ用の気付アドレス「ＣｏＡ１」で、宛先アドレスがホームエージェント３０ａのＩＰアドレス「ＨＡ１」でカプセル化される。【００６９】
図７は、図２に示したアクセスルータ２０ａにおけるカプセル化を説明するための図であり、（ａ）はカプセル化される前のパケットの状態を示す図、（ｂ）はカプセル化された後のパケットの状態を示す図である。【００７０】
移動端末１０ａから、図７（ａ）に示したような、発信元アドレスが移動端末１０ａのホームアドレス「ＨｏＡ１」で、宛先アドレスが移動端末１０ｂのホームアドレス「ＨｏＡ２」であるＩＰパケットが送信されると、アクセスルータ２０ａにおいて、図７（ｂ）に示すように、そのＩＰパケットが、発信元アドレスが移動端末１０ａ用の気付アドレス「ＣｏＡ１」で、宛先アドレスがホームエージェント３０ａのＩＰアドレス「ＨＡ１」でカプセル化されて転送される。【００７１】
アクセスルータ２０ａにてカプセル化されたＩＰパケットは、宛先アドレスがホームエージェント３０ａのＩＰアドレス「ＨＡ１」であるため、ホームエージェント３０ａに届けられる。ホームエージェント３０ａにおいては、移動端末１０ａから送出されたＩＰパケットが受信されると、受信したＩＰパケットのカプセル化がはずされ、発信元アドレスが「ＨｏＡ１」で、宛先アドレスが「ＨｏＡ２」であるＩＰパケットが送出される。【００７２】
ホームエージェント３０ａから送出されたＩＰパケットは、宛先アドレスが「ＨｏＡ２」であるため、ホームエージェント３０ｂに届けられる。ホームエージェント３０ｂにおいては、ホームエージェント３０ａから送出されたＩＰパケットが受信されると、ホームエージェント３０ｂ内のバインディングキャッシュが参照されてそのＩＰパケットの宛先となる移動端末１０ｂの気付アドレス「ＣｏＡ２」が認識され、受信されたＩＰパケットが、発信元アドレスがホームエージェント３０ｂのＩＰアドレス「ＨＡ２」で、宛先アドレスが「ＣｏＡ２」でカプセル化されて送出される。【００７３】
図８は、図２に示したホームエージェント３０ｂにおけるカプセル化を説明するための図であり、（ａ）はカプセル化される前のパケットの状態を示す図、（ｂ）はカプセル化された後のパケットの状態を示す図である。【００７４】
ホームエージェント３０ａから、図８（ａ）に示したような、発信元アドレスが移動端末１０ａのホームアドレス「ＨｏＡ１」で、宛先アドレスが移動端末１０ｂのホームアドレス「ＨｏＡ２」であるＩＰパケットが送信されると、ホームエージェント３０ｂにおいて、図８（ｂ）に示すように、そのＩＰパケットが、発信元アドレスがホームエージェント３０ｂのＩＰアドレス「ＨＡ２」で、宛先アドレスが移動端末１０ｂ用の気付アドレス「ＣｏＡ２」でカプセル化されて転送される。【００７５】
ホームエージェント３０ｂから送出されたＩＰパケットは、宛先アドレスが「ＣｏＡ２」であるため、アクセスルータ２０ｂに届けられる。アクセスルータ２０ｂにおいては、ホームエージェント３０ｂから送出されたＩＰパケットが受信されると、受信されたＩＰパケットのカプセル化がはずされ、発信元アドレスが「ＨｏＡ１」で、宛先アドレスが「ＨｏＡ２」であるＩＰパケットが移動端末１０ｂに送信される。【００７６】
これにより、移動端末１０ｂにおいて、移動端末１０ａから送信されたＩＰパケットが受信されることになる。【００７７】
次に、移動端末１０ａが、アクセス網２１ａからアクセス網２１ｃに移動した場合の処理について図４のシーケンス図の続きを参照しながら説明する。【００７８】
ステップＳ７において、アクセスルータ２０ａとホームエージェント３０ａとの間において、ＩＫＥによって移動端末１０ａ用の気付アドレスとホームエージェント３０ａのホームアドレスとの間にてユーザデータ用の暗号化伝送路が構築され、ステップＳ８において、移動端末１０ａから送信されてきたホームアドレスと気付アドレスとが対応づけられてホームエージェント３０ａ内のバインディングキャッシュ（ＢＣ）に登録された後、移動端末１０ａがアクセス網２１ａからアクセス網２１ｃに移動すると、まず、アクセス網２１ｃを配下とするアクセスルータ２０ｃにおいて、アクセスルータ２０ｃのＩＰアドレスのプレフィックスと移動端末１０ａのＭＡＣアドレスとを用いて移動端末１０ａ用の気付アドレスが生成され、この気付アドレスと移動端末１０ａのホームアドレスとが対応づけて内部のメモリに登録される。これにより、アクセスルータ２０ｃにおいて、生成された気付アドレスを用いての移動端末１０ａの代行機能が設定される（ステップＳ９）。また、アクセスルータ２０ｃにおいて、送信元アドレスをアクセスルータ２０ｃのＩＰアドレスとし、宛先アドレスを移動端末１０ａのホームアドレスとしたＣＮ（Correspondent  Node）情報要求コマンドが送信され、これにより、移動端末１０ａの移動元となるアクセス網２１ａを配下とするアクセスルータ２０ａと移動端末１０ａの移動先となるアクセス網２１ｃを配下とするアクセスルータ２０ｃとの間の認証、並びにこれらの間におけるContext  Transferが開始される（ステップＳ１０，Ｓ１１）。ここで、アクセスルータ２０ｃから送信されるＣＮ情報要求コマンドには、ペイロードとして、ＣＮ情報要求コマンドである旨を示す情報とともに、移動端末１０ａのホームアドレス、アクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮ、並びにアクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスが含まれている。【００７９】
アクセスルータ２０ｃから送信されたＣＮ情報要求コマンドは、ホームエージェント３０ａを介してアクセスルータ２０ａにて受信される。これにより、アクセスルータ２０ａにおいて、アクセスルータ２０ｃにおける移動端末１０ｃの移動先固有情報となる、アクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮ、並びにアクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスが取得されることになる。【００８０】
すると、アクセスルータ２０ａ内のセキュリティアソシエーション管理手段によって、受信されたＣＮ情報要求コマンドに含まれる、アクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮと、アクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスとがそれぞれ、代替情報となるAlternateＩＤとAlternateＩＰアドレスとしてＩＳＡＫＭＰ上にてアクセスルータ２０ａからホームエージェント３０ａに通知される（ステップＳ１２）。これにより、アクセスルータ２０ａにおいて、アクセスルータ２０ｃが代替のルーティング装置としてホームエージェント３０ａに対して指定されることになる。【００８１】
次に、アクセスルータ２０ａにおける移動端末１０ａのＦＱＤＮと、アクセスルータ２０ａにて生成された移動端末１０ａの気付アドレスとのアクセスルータ２０ａにおける移動端末１０ａの移動先固有情報を含み、アクセスルータ２０ａにて移動端末１０ａが通信に用いていた情報がアクセスルータ２０ａからアクセスルータ２０ｃに転送される（ステップＳ１３）。なお、この情報の転送は、例えば、無線／有線通信路を介して行うことや、ネットワークを介して行うことが考えられるが、暗号化によりセキュアな通信路を介して、アクセスルータ２０ａにおける移動端末１０ａのＦＱＤＮと、アクセスルータ２０ａにて生成された移動端末１０ａの気付アドレスが転送されることが好ましい。【００８２】
また、ホームエージェント３０ａにおいては、アクセスルータ２０ａから通知されてきた、アクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮと、アクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスとが、ホームエージェント３０ａのＩＰｓｅｃトンネル管理部３８にて受信されてセレクタ３５を介してSecurity  Associationデータベース制御部３４に渡され、Security  Associationデータベース制御部３４において、アクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮと、アクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスとがそれぞれ、AlternateＩＤとAlternateＩＰアドレスとしてSecurity  Associationデータベース３３に登録される（ステップＳ１４）。なお、これらアクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮと、アクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスとは、ホームエージェント３０ａとの間にて既にセキュリティアソシエーションが構築されたアクセスルータ２０ａからのものであるため、ホームエージェント３０ａにおいては信頼性を有するものとなる。【００８３】
次に、アクセスルータ２０ｃとホームエージェント３０ａとの間において、ＩＫＥによって移動端末１０ａ用の気付アドレスとホームエージェント３０ａのホームアドレスとの間にてシグナリング用の暗号化伝送路が構築される（ステップＳ１５）。【００８４】
次に、アクセスルータ２０ｃ内のセキュリティアソシエーション管理手段（不図示）によって、ＩＳＡＫＭＰ上において、アクセスルータ２０ａにおける移動端末１０ａ用のＦＱＤＮが原始情報となるPrimaryＩＤとして、また、アクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮが代替情報となるAlternateＩＤとしてアクセスルータ２０ｃからホームエージェント３０ａに通知される（ステップＳ１６）。【００８５】
すると、ホームエージェント３０ａのSecurity  Associationパケット生成部３２において、ホームエージェント３０ａの固有情報であるＦＱＤＮを含むパケットが生成され、このパケットがＩＳＡＫＭＰ上においてホームエージェント３０ａからアクセスルータ２０ｃに通知される（ステップＳ１７）。【００８６】
次に、アクセスルータ２０ｃ内のセキュリティアソシエーション管理手段によって、ＩＳＡＫＭＰ上において、アクセスルータ２０ａにて生成された移動端末１０ａ用の気付アドレスが原始情報となるPrimaryＩＰアドレスとして、また、アクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスが代替情報となるAlternateＩＰアドレスとしてアクセスルータ２０ｃからホームエージェント３０ａに通知される（ステップＳ１８）。このステップＳ１６，Ｓ１８におけるアクセスルータ２０ｃからのPrimaryＩＤ及びPrimaryＩＰアドレスの通知によって、アクセスルータ２０ｃにおいて、アクセスルータ２０ａが原始のルーティング装置として指定されることになる。また、アクセスルータ２０ｃからのAlternateＩＤ及びAlternateＩＰアドレスの通知によって、アクセスルータ２０ｃにおいて、アクセスルータ２０ｃが代替のルーティング装置として指定されることになる。【００８７】
すると、ホームエージェント３０ａのSecurity  Associationパケット生成部３２において、ホームエージェント３０ａの固有情報であるＩＰアドレスを含むパケットが生成され、このパケットがＩＳＡＫＭＰ上においてホームエージェント３０ａからアクセスルータ２０ｃに通知される（ステップＳ１９）。【００８８】
その後、アクセスルータ２０ｃからアクセスルータ２０ａに対するContext  Transferが完了すると（ステップＳ２０）、アクセスルータ２０ａから、アクセスルータ２０ａとホームエージェント３０ａとの間における移動端末１０ａについてのセキュリティアソシエーションを削除する旨が要求される（ステップＳ２１）。なお、このアクセスルータ２０ａからホームエージェント３０ａへの要求においても、アクセスルータ２０ａ内のセキュリティアソシエーション管理手段によって行われる。【００８９】
ホームエージェント３０ａにおいては、ステップＳ１６にてアクセスルータ２０ｃからPrimaryＩＤとして通知されたアクセスルータ２０ａにおける移動端末１０ａ用のＦＱＤＮが、信頼性を有するアクセスルータ２０ａから既に通知されてPrimaryＩＤとしてSecurity  Associationデータベース３３に登録されており、また、ステップＳ１６にてアクセスルータ２０ｃからAlternateＩＤとして通知されたアクセスルータ２０ｃにおける移動端末１０ａ用のＦＱＤＮが、信頼性を有するアクセスルータ２０ａから既に通知されてAlternateＩＤとしてSecurity  Associationデータベース３３に登録されており、また、ステップＳ１８にてアクセスルータ２０ｃからPrimaryＩＰアドレスとして通知されたアクセスルータ２０ａにて生成された移動端末１０ａ用の気付アドレスが、信頼性を有するアクセスルータ２０ａから既に通知されてPrimaryＩＰアドレスとしてSecurity  Associationデータベース３３に登録されており、また、ステップＳ１８にてアクセスルータ２０ｃからAlternateＩＰアドレスとして通知されたアクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスが、信頼性を有するアクセスルータ２０ａから既に通知されてAlternateＩＰアドレスとしてSecurity  Associationデータベース３３に登録されているため、アクセスルータ２０ａからの要求に従って、アクセスルータ２０ａとホームエージェント３０ａとの間における、ＩＫＥによって移動端末１０ａ用の気付アドレスとホームエージェント３０ａのホームアドレスとの間のシグナリング用の暗号化伝送路が削除される（ステップＳ２２）。【００９０】
また、ホームエージェント３０ａのSecurity  Associationデータベース制御部３４において、Security  Associationデータベース３３にAlternateＩＤとして登録されたアクセスルータ２０ｃにおける移動端末１０ａのＦＱＤＮがPrimaryＩＤとして変更され（ステップＳ２３）、また、Security  Associationデータベース３３にAlternateＩＰアドレスとして登録されたアクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスがPrimaryＩＰアドレスとして変更される（ステップＳ２４）。【００９１】
その後、移動端末１０ａのホームアドレスとアクセスルータ２０ｃにて生成された移動端末１０ａ用の気付アドレスとの組み合わせがアクセスルータ２０ｃからホームエージェント３０ａに送信されることにより位置登録要求（ＢＵ）が行われ（ステップＳ２５）、ホームエージェント３０ａにおいてその有効性が確認された後、Binding  Cache管理部３７において、移動端末１０ｃから送信されてきたホームアドレスと気付アドレスとが対応づけられてホームエージェント３０ａ内のバインディングキャッシュ（ＢＣ）に登録される（ステップＳ２６）。【００９２】
また、アクセスルータ２０ｃとホームエージェント３０ａとの間において、ＩＫＥによって移動端末１０ａ用の気付アドレスとホームエージェント３０ａのホームアドレスとの間にてユーザデータ用の暗号化伝送路が構築される（ステップＳ２７）。【００９３】
このようにして、移動端末１０ａの移動元のアクセス網２１ａを配下とするアクセスルータ２０ａとホームエージェント３０ａとの間にて移動端末１０ａについて構築されたセキュリティアソシエーションが、移動端末１０ａの移動先のアクセス網２１ｃを配下とするアクセスルータ２０ｃとホームエージェント３０ａとの間における移動端末１０ａについてのセキュリティアソシエーションに移行されることになる。【００９４】
なお、本発明においては、アクセスルータ２０ａ，２０ｃ及びホームエージェント３０ａ内の処理は上述の専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムをアクセスルータ２０ａ，２０ｃ及びホームエージェント３０ａにて読取可能な記録媒体に記録し、この記録媒体に記録されたプログラムをアクセスルータ２０ａ，２０ｃ及びホームエージェント３０ａに読み込ませ、実行するものであっても良い。アクセスルータ２０ａ，２０ｃ及びホームエージェント３０ａにて読取可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＤＶＤ、ＣＤなどの移設可能な記録媒体の他、アクセスルータ２０ａ，２０ｃ及びホームエージェント３０ａに内蔵されたＨＤＤ等を指す。この記録媒体に記録されたプログラムは、例えば、制御ブロックにて読み込まれ、制御ブロックの制御によって、上述したものと同様の処理が行われる。
【図１】
0004748157.tif 000002
【図２】
0004748157.tif 000003
【図３】
0004748157.tif 000004
【図４】
0004748157.tif 000005
【図５】
0004748157.tif 000006
【図６】
0004748157.tif 000007
【図７】
0004748157.tif 000008
【図８】
0004748157.tif 000009