(57)【要約】【課題】  無線ＬＡＮ（ＷＬＡＮ）アクセスサービスにおいて、公衆アクセスを実現する。また、ユーザが、アクセスポイント間を移動することを可能にする。【解決手段】  複数のサブネットワークを含む無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、ネットワークスイッチ３０１と、エアアクセスポイント３００を有する。エアアクセスポイント３００は、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチ３０１に接続されたルータ３０２を有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続されたゲートウェイルータ３２５を有する。【選択図】        図３
2005137026.tif 000002
【特許請求の範囲】
【請求項１】
無線ネットワークにアクセスする移動加入者を認証する方法において、
移動加入者がエアインタフェースおよびコンピュータを有するエアアクセスポイントを通じて無線ネットワークにアクセスし、エアアクセスポイントコンピュータが移動加入者に関連する公開鍵を格納するデータベースサーバに接続されており、
前記方法が、
移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送するステップと、
データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信するステップと、
第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信するステップと、
ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信するステップと、
移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信するステップと、
データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信するステップと、
第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージをエアアクセスコンピュータから移動端末へ送信するステップと、
を有することを特徴とする、無線ネットワークにアクセスする移動加入者を認証する方法。
【請求項２】
エアアクセスコンピュータは、秘密鍵を用いてユーザ識別番号の認証暗号化を実行することによって第１符号語を計算することを特徴とする請求項１記載の方法。
【請求項３】
前記秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２記載の方法。
【請求項４】
データベースコンピュータは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第２符号語を計算することを特徴とする請求項１記載の方法。
【請求項５】
第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項４記載の方法。
【請求項６】
第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項５記載の方法。
【請求項７】
第１暗号化メッセージが、第２暗号化メッセージを生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項６記載の方法。
【請求項８】
ユーザ識別番号、第１ランダム文字列および第２暗号化メッセージが、第２符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項７記載の方法。
【請求項９】
第１ランダム文字列が、第３符号語を生成するために秘密鍵で暗号化されることを特徴とする請求項１記載の方法。
【請求項１０】
前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項９記載の方法。
【請求項１１】
第４符号語は、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、第１秘密鍵および第２秘密鍵を用いて計算されることを特徴とする請求項１記載の方法。
【請求項１２】
第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項１１記載の方法。
【請求項１３】
第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項１２記載の方法。
【請求項１４】
ユーザ識別番号、第１暗号化メッセージおよび第２ランダム文字列が、第４符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項１３記載の方法。
【請求項１５】
第５符号語は、ユーザ識別番号、第１ランダム文字列、第１秘密鍵、第２秘密鍵、および、移動加入者に関連する公開鍵を用いて計算されることを特徴とする請求項１記載の方法。
【請求項１６】
第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項１５記載の方法。
【請求項１７】
第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項１６記載の方法。
【請求項１８】
第１暗号化メッセージが、第２暗号化メッセージを生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項１７記載の方法。
【請求項１９】
ユーザ識別番号、第１ランダム文字列、第２暗号化メッセージおよび移動加入者の公開鍵が、第５符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項１８記載の方法。
【請求項２０】
第６符号語は、第２ランダム文字列、秘密鍵、ならびに、移動加入者の公開鍵を用いて計算されることを特徴とする請求項１記載の方法。
【請求項２１】
前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２０記載の方法。
【請求項２２】
第２ランダム文字列が、第１暗号化メッセージを生成するために前記秘密鍵を用いて暗号化されることを特徴とする請求項２１記載の方法。
【請求項２３】
第１暗号化メッセージが、第６符号語を生成するために移動加入者の公開鍵を用いて暗号化されることを特徴とする請求項２２記載の方法。
【請求項２４】
第１ランダム文字列は、移動端末によって生成されることを特徴とする請求項１記載の方法。
【請求項２５】
第２ランダム文字列は、データベースコンピュータによって生成されることを特徴とする請求項１記載の方法。
【請求項２６】
無線ネットワークにアクセスする移動加入者を認証するために、エアアクセスコンピュータおよびデータベースコンピュータが所定のオペレーションを実行することを可能にするコンピュータプログラムにおいて、
移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスし、
エアアクセスポイントは、エアインタフェースおよびエアアクセスコンピュータを有し、
エアアクセスコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続され、
前記所定のオペレーションは、
移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語を前記データベースコンピュータへ転送し、
データベースコンピュータからエアアクセスコンピュータへ第２符号語を送信し、
第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信し、
ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信し、
移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信し、
データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信し、
第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージをエアアクセスコンピュータから移動端末へ送信する、
ステップを含むことを特徴とする、無線ネットワークにアクセスする移動加入者を認証するためのコンピュータプログラム。
【請求項２７】
前記所定のオペレーションにより、エアアクセスコンピュータは、秘密鍵を用いてユーザ識別番号の認証暗号化を実行することによって第１符号語を計算することを特徴とする請求項２６記載のコンピュータプログラム。
【請求項２８】
前記秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２７記載のコンピュータプログラム。
【請求項２９】
前記所定のオペレーションにより、データベースコンピュータは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第２符号語を計算することを特徴とする請求項２６記載のコンピュータプログラム。
【請求項３０】
第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２９記載のコンピュータプログラム。
【請求項３１】
前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項３０記載のコンピュータプログラム。
【請求項３２】
前記所定のオペレーションは、第２暗号化メッセージを生成するために第１秘密鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項３１記載のコンピュータプログラム。
【請求項３３】
前記所定のオペレーションは、第２符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１ランダム文字列および第２暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項３２記載のコンピュータプログラム。
【請求項３４】
前記所定のオペレーションは、第３符号語を生成するために秘密鍵で第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項２６記載のコンピュータプログラム。
【請求項３５】
前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項３４記載のコンピュータプログラム。
【請求項３６】
前記所定のオペレーションは、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第４符号語を計算することをさらに含むことを特徴とする請求項２６記載のコンピュータプログラム。
【請求項３７】
第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項３６記載のコンピュータプログラム。
【請求項３８】
前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項３７記載のコンピュータプログラム。
【請求項３９】
前記所定のオペレーションは、第４符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１暗号化メッセージおよび第２ランダム文字列を暗号化することをさらに含むことを特徴とする請求項３８記載のコンピュータプログラム。
【請求項４０】
前記所定のオペレーションは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵、第２秘密鍵、および、移動加入者に関連する公開鍵を用いて第５符号語を計算することをさらに含むことを特徴とする請求項２６記載のコンピュータプログラム。
【請求項４１】
第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項４０記載のコンピュータプログラム。
【請求項４２】
前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項４１記載のコンピュータプログラム。
【請求項４３】
前記所定のオペレーションは、第２暗号化メッセージを生成するために第１秘密鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項４２記載のコンピュータプログラム。
【請求項４４】
前記所定のオペレーションは、第５符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１ランダム文字列、第２暗号化メッセージおよび移動加入者の公開鍵を暗号化することをさらに含むことを特徴とする請求項４３記載のコンピュータプログラム。
【請求項４５】
前記所定のオペレーションは、第２ランダム文字列、秘密鍵、ならびに、移動加入者の公開鍵を用いて第６符号語を計算することをさらに含むことを特徴とする請求項２６記載のコンピュータプログラム。
【請求項４６】
前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項４５記載のコンピュータプログラム。
【請求項４７】
前記所定のオペレーションは、第１暗号化メッセージを生成するために前記秘密鍵を用いて第２ランダム文字列を暗号化することをさらに含むことを特徴とする請求項４６記載のコンピュータプログラム。
【請求項４８】
前記所定のオペレーションは、第６符号語を生成するために移動加入者の公開鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項４７記載のコンピュータプログラム。
【請求項４９】
請求項２６に記載のコンピュータプログラムを格納したことを特徴とするコンピュータプログラム記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線（ワイヤレス）ローカルエリアネットワークのアクセスポイント間でのシームレスな移動性（モビリティ）を提供する、公衆（パブリック）アクセス無線ローカルエリアネットワークのアーキテクチャに関する。
【０００２】
本発明は、さまざまなレベルの移動加入者サービスと、パケットレベルの認証および暗号化を提供する。本発明のアーキテクチャは、既存のローカルエリアネットワーク上でサポート可能であり、仮想事業者（バーチャルオペレータ）が、無線ローカルエリアネットワークのオペレーションを監視することを可能にする。本発明はまた、公衆アクセス無線ローカルエリアネットワークと、その制御およびデータプロトコルを運用する方法も提供する。
【背景技術】
【０００３】
以下、本発明を理解するための適当な基礎を提供するために、いくつかの主題について述べる。
【０００４】
インターネットサービスおよび無線技術の急速な発展は、セルラ移動通信システムと、無線インターネットのための無線ＬＡＮ（ＷＬＡＮ：Wireless LAN）アクセスシステムの両方の発展をもたらし、それにより、便利なインターネットアクセスと位置情報依存型(location-sensitive)アプリケーションをユーザに提供している。従来のほとんどのＷＬＡＮアクセスシステムは、会社あるいは大学のネットワークの場合のように私設（プライベート）のものであるか、または、ＷＬＡＮ事業者のサービスへの加入によるものであるかのいずれかである。
【０００５】
公衆サービス事業者は、その顧客（カスタマ）によって期待される容量およびパフォーマンスを提供するために、有線および無線の両方で、この種のプライベートネットワーキング（企業ＬＡＮ）に関心を持っている。インターネット音声・映像マルチキャスティングや双方向マルチメディアアプリケーションのような、さまざまな発展しつつあるインターネットアプリケーションのためには、高速および低遅延であることが重要である。公衆セルラ移動通信ネットワークは、屋外３８４ｋｂｐｓ、屋内２Ｍｂｐｓまでのダウンストリームバーストレートを提供するという改良が提案されている第３世代（３Ｇ）移動通信システムの場合でも、この要求を十分に満たすことはできない。これらのレートは、第２世代システムに比べて相当の改善であり、ＭＩＭＯ（多重アンテナ）技術は、スペクトル効率を大幅に増大させる可能性がある。しかし、帯域幅は依然として制限され、スペクトル競売における事業者による巨額の支払いによりコストが高くなる。これは、本質的な問題点である。その理由は、３Ｇ移動通信システムは、２Ｇシステムと同様、予約されたスペクトルにおいて連続的なカバレジを提供することを目標としているからである。システムの容量が投資コストに対してスケーラブルとなる可能性は低い。
【０００６】
ＷＬＡＮ技術は、低コスト、かつ、大容量でインターネットアクセスを提供することが可能であり、実際に提供している。この技術は、（後述のように、予約スペクトルにおけるセルラ移動通信マイクロセルを実現することも可能であるが）「フリーな」スペクトルを利用し、スケーラブルであり、有線ネットワークに容易に統合される。規制されていないスペクトルにおけるＷＬＡＮ間の干渉が問題となる可能性がある。スペクトル適合性を施行することは、資産所有者（例えば、ＷＬＡＮを通じての公衆アクセスが重要な事業となる空港やホテル）の義務となる。ＩＥＥＥ８０２．１１システムとＢｌｕｅｔｏｏｔｈ（登録商標、以下同じ）システムとの間の干渉問題は、これらが両方とも１つの資産所有者によってサポートされる場合、ＩＥＥＥ８０２．１５で対処されている。
【０００７】
従来のＷＬＡＮホットスポットソリューションは、そのいくつかの制限にもかかわらず、Nokia社のPublic Access Zone、Cisco社のAironet、およびLucent社のORINOCO Public Access Solutionsのような商用無線ＬＡＮ技術を用いた、多くのアプリケーションにとって受容可能なものである。無線事業者には、MobileStar Corporation、WayportおよびNomadixのような会社が含まれる。
【０００８】
図１を参照して、従来のＧＳＭセルラ移動通信システムについて説明する。ＧＳＭシステムは、回線交換ネットワークを通じて基地局１０３に接続された移動通信交換センタ（ＭＳＣ）１０２を含む、階層アーキテクチャを有する。移動通信交換センタ１０２は、他の移動通信交換センタや他の基地局（図示せず）に接続されることも可能である。基地局１０３は、基地局コントローラ（ＢＳＣ）１０４と、複数の基地局トランシーバ（ＢＴＳ）１０５−１、１０５−２、１０５−ｎを有する。ただし、ｎは、基地局コントローラ１０４に接続された基地局トランシーバの個数である。移動通信交換センタ１０２は、公衆交換電話ネットワーク（ＰＳＴＮ）インタフェース１０１に接続される。移動通信交換センタ１０２は、ホームロケーションレジスタ（ＨＬＲ）１０６、バーチャルロケーションレジスタ（ＶＬＲ）１０７および端末識別レジスタ（ＥＩＲ：equipment identity register）１０８に接続される。ホームロケーションレジスタ１０６は、認証センタ１０９にも接続される。
【０００９】
図１に示されているように、ＧＳＭのデータサービスバージョンであるＧＰＲＳ(Generalized Packet Radio Service)もまた、階層アーキテクチャを使用する。ゲートウェイＧＰＲＳ／３Ｇサポートノード（ＧＧＳＮ）１１０は、ホームロケーションレジスタ１０６およびインターネットインタフェース１１３に接続される。サービングＧＰＲＳ／３Ｇサポートノード（ＳＧＳＮ）１１１は、ゲートウェイＧＰＲＳ／３Ｇサポートノード１１０、ホームロケーションレジスタ１０６および端末識別レジスタ１０８に接続される。ゲートウェイＧＰＲＳ／３Ｇサポートノード１１０およびサービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ドメインにあり、ＩＰマルチメディアサブシステムを有する。サービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ネットワークを通じて基地局１０３に接続される。サービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ネットワークを通じて無線ネットワーク基地局１１２にも接続される。無線ネットワーク基地局１１２は、無線ネットワークコントローラ（ＲＮＣ）１１４と、複数の基地局トランシーバ（ＮＯＤＥ−Ｂ）１１５−１、１１５−ｎを有する。ただし、ｎは基地局トランシーバの個数である。図１に示されるアーキテクチャは、回線交換音声、パケット交換データおよびＩＰマルチメディアトラフィックの集中化されたトラフィックフローを伝送するコアネットワークを提供する。
【００１０】
しかし、いくつかの標準化団体やフォーラムは、集中化トラフィックのボトルネックのない、分散ＩＰベースの移動通信システムの概念を受け容れている。ここで注意すべき点であるが、分散されると想定されているのは、移動加入者のルーティングのみである。モビリティ管理、権限付与、認証、アカウンティングおよびディレクトリサービスのような制御機能は、分散されることもされないことも可能である。そのような組織には、３ＧＰＰ−２(Third Generation Partnership Project 2)、ＩＥＴＦ(Internet Engineering Task Force)、ＭＷＩＦ(Mobile Wireless Internet Forum)、および国際電気通信連合（ＩＴＵ）のＩＭＴ−２０００組織がある。
【００１１】
図２を参照して、ＩＥＴＦのモバイルＩＰモデルに基づく３ＧＰＰ−２ネットワークアーキテクチャについて説明する。このアーキテクチャには、図１に示したような移動通信システムのためのコアネットワークがない。その代わりに、ホームロケーションレジスタ（ＨＲＬ）２０２およびバーチャルロケーションレジスタ（ＶＬＲ）２０３を有する２Ｇシステム２０１は無線ネットワーク（ＲＮ：radio network）２０４に接続される。無線ネットワーク２０４は、無線リソースコントローラ（ＲＲＣ：radio resource controller）２０６およびパケット制御機能（ＰＣＦ：packet control function）デバイス２０５を有する。２Ｇシステム２０１は、無線リソースコントローラ２０６に接続される。インターネット機器２０７もまた、無線リソースコントローラ２０６に接続されることが可能である。３ＧＰＰ−２アーキテクチャにおける無線ネットワーク２０４は、ＩＰネットワーク２０９（例えば、ＬＡＮ、ＭＡＮまたはＷＡＮ）に接続されたゲートウェイ（ＰＤＳＮ）２０８に直接接続される。ユーザホームネットワーク２１０には、ＩＰネットワーク２０９を通じて到達することができる。さらに、無線ＬＡＮ（ＷＬＡＮ）２１２もまた、第２のゲートウェイ（ＰＤＳＮ）２１１を通じてＩＰネットワーク２０９に接続されることが可能である。非ＩＰ音声トラフィックは、無線リソースコントローラ２０６から公衆交換電話ネットワーク（ＰＳＴＮ）２１３への直接パスを有し、２Ｇ音声ネットワークが３Ｇネットワーク内のエンティティとして管理されるようにしている。
【００１２】
さらに、ＩＰに基づくモビリティシステムは、インターネットを通じて、外部のあるいは一時的なセルラ移動通信基地局に、および、ＷＬＡＮに、拡張可能である。ＩＥＥＥ８０２．１１、ＨｉｐｅｒＬＡＮ−２、およびＢｌｕｅｔｏｏｔｈエアインタフェースとともに３ＧエアインタフェースをサポートするＷＬＡＮは、将来、公衆ホットスポットにおいて、および、会社や住居の環境において、ブロードバンドアクセスのために利用される可能性がある。
【発明の開示】
【発明が解決しようとする課題】
【００１３】
現在のＷＬＡＮアクセスサービスの１つの問題点は、ＷＬＡＮへのアクセスが、特定のＷＬＡＮ事業者の加入者に制限されているという点で、公衆アクセスがないことである。もう１つの問題点は、加入者が、単一のアクセスポイントに結びつけられることがあることである。これは、商店街を歩き回りながらインターネットラジオを聴くというようなアプリケーションの妨げとなる可能性がある。もう１つの欠点は、単一のＷＬＡＮエアインタフェースに制限される可能性があり、それにより、セルラ移動通信エアインタフェースを有する機器を含めて、そのＷＬＡＮエアインタフェースがサポートしようとする機器の範囲が縮小されることである。
【００１４】
本発明は、上記の状況に鑑み、従来技術の上記の問題点および制限を克服するものである。
【課題を解決するための手段】
【００１５】
本発明の第１の側面は、複数のサブネットワークを含む無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、１つまたは複数のネットワークスイッチを有する。各サブネットワークはさらに、１つまたは複数のエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続された、１つまたは複数のルータを有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続された１つまたは複数のゲートウェイルータを有する。
【００１６】
本発明の第２の側面は、複数の仮想事業者によって運用される無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、１つまたは複数のネットワークスイッチを有する。各サブネットワークはさらに、１つまたは複数のエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続された、１つまたは複数のルータを有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続された１つまたは複数のゲートウェイルータを有する。本発明の第２の側面は、マルチプロトコルラベルスイッチングを用いてゲートウェイルータと複数のサブネットワークとの間で移動加入者データをルーティングすることによって、各仮想事業者からのサービスへのアクセスを提供する。
【００１７】
本発明の第３の側面は、無線ネットワークにアクセスする移動加入者を認証する方法を提供する。移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスする。エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続される。この方法は、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送するステップを有する。次に、この方法は、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信する。次に、この方法は、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信する。次に、この方法は、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信する。第４符号語を計算した後、この方法は、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信する。最後に、この方法は、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを、エアアクセスコンピュータから移動端末へ送信する。
【００１８】
本発明の第４の側面は、無線ネットワークにアクセスする移動加入者を認証するコンピュータソフトウェア製品（プログラム）である。移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスする。エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続される。このコンピュータソフトウェア製品は、エアアクセスコンピュータおよびデータベースコンピュータが所定のオペレーションを実行することを可能にするソフトウェア命令と、そのソフトウェア命令を保持するコンピュータ可読媒体とを含む。所定のオペレーションは、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへフォワーディングすることを含む。所定のオペレーションはさらに、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信することを含む。所定のオペレーションはさらに、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信し、その後、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信することを含む。所定のオペレーションはさらに、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信し、その後、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを、エアアクセスコンピュータから移動端末へ送信することを含む。
【００１９】
本発明の第５の側面は、移動通信サービスが複数の仮想事業者によって提供される無線ネットワークを運用する方法を提供する。無線ネットワークは複数のサブネットワークを含み、各サブネットワークは少なくとも１つのネットワークスイッチと、少なくとも１つのエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、複数のサブネットワークに接続された少なくとも１つのゲートウェイルータとを有する。この方法は、各サブネットワーク内のエアアクセスポイントと、前記少なくとも１つのゲートウェイルータとの間に複数のマルチプロトコルラベルスイッチングパスを作成するステップを含む。この方法はさらに、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることができるように、各マルチプロトコルラベルスイッチングパスを複数の仮想事業者のうちの１つに割り当てるステップと、無線ネットワークを通るデータのパケットヘッダに埋め込まれる識別タグを、複数の仮想事業者のそれぞれに割り当てるステップとを含む。この方法はさらに、無線ネットワークを通るデータパケットのヘッダにマルチプロトコルラベルスイッチング情報を割り当てることにより、サブネットワークのネットワークスイッチが、データパケットのヘッダに基づいてマルチプロトコルラベルスイッチングパスを通じてデータパケットをルーティングすることを可能にする。
【００２０】
添付図面は、本明細書と一体をなして本発明のさまざまな側面を例示し、発明の詳細な説明とともに、本発明のさまざまな側面、利点および原理を説明する。
【発明の効果】
【００２１】
以上詳細に説明したように、本発明によれば、無線ネットワーク内の各サブネットワークはネットワークスイッチとエアアクセスポイントを有し、エアアクセスポイントはエアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークは、さらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続されたルータを有する。無線ネットワークは、また、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続されたゲートウェイルータを有する。このように構成することで、無線ＬＡＮアクセスサービスにおいて、公衆アクセスを実現することができ、また、ユーザがアクセスポイント間を移動することを可能にする。
【発明を実施するための最良の形態】
【００２２】
本発明のさまざまな側面について説明する前に、本発明の理解を容易にし、いくつかの用語の意味を示すために、従来技術に関するいくつかの項目について説明する。
【００２３】
本明細書において、「コンピュータシステム」という用語は、可能な限り最広義の意味を包含し、スタンドアローンプロセッサ、ネットワーク接続されたプロセッサ、メインフレームプロセッサ、および、クライアント／サーバ関係にあるプロセッサを含むが、これらには限定されない。「コンピュータシステム」という用語は、少なくともメモリおよびプロセッサを含むように理解されるべきである。一般に、メモリは、いろいろなときに、実行可能プログラムコードの少なくとも一部を格納し、プロセッサは、その実行可能プログラムコードに含まれる命令のうちの１つまたは複数を実行する。
【００２４】
理解されるように、「所定のオペレーション」という用語、「コンピュータシステムソフトウェア」という用語、および「実行可能コード」という用語は、本明細書の目的にとって、実質的に同じものを意味する。本発明の実施には、メモリとプロセッサが物理的に同じ場所に位置することは必要でない。すなわち、プロセッサとメモリは、異なる物理的装置に、あるいは、地理的に異なる位置にさえ、ある可能性があることを見越している。
【００２５】
本明細書において、当業者には理解されるように、「媒体」あるいは「コンピュータ可読媒体」には、ディスケットあるいはフロッピィディスク、テープ、コンパクトディスク、集積回路、カートリッジ、通信回線を通じてのリモート伝送、あるいは、コンピュータにより利用可能な他の任意の媒体が含まれる。例えば、コンピュータシステムソフトウェアを配布するためには、供給元は、ディスケットを提供することもあり、あるいは、衛星伝送により、直接電話回線により、またはインターネットにより、何らかの形式で、所定のオペレーションを実行するための命令を送信することもある。
【００２６】
コンピュータシステムソフトウェアは、ディスケットに「書き込まれる」ことも、集積回路に「格納される」ことも、通信回線を通じて「伝送される」ことも可能であるが、理解されるように、本明細書の目的のためには、コンピュータ利用可能媒体は、所定のオペレーションを実行するための命令を「保持する」と呼ばれる。すなわち、この「保持する」という用語は、所定のオペレーションを実行するための命令がコンピュータ利用可能媒体に関連づけられる上記のすべての等価な方法を包含することを意図している。
【００２７】
したがって、簡単のため、「プログラム製品」という用語は、以下では、所定のオペレーションを実行するための命令を何らかの形式で保持する、上で定義したようなコンピュータ利用可能媒体を指すために用いられる。
【００２８】
以下、添付図面を参照して、本発明のさまざまな側面の詳細について説明する。
【００２９】
従来の仮想（バーチャル）ＬＡＮ（ＶＬＡＮ）は、スイッチＬＡＮ環境における論理的グルーピングおよびブロードキャスト閉じ込めメカニズムである。ＬＡＮ内のスイッチは、グループに属するデバイスをサポートするポートに、ブロードキャスト／マルチキャストイーサーネットフレームをフォワーディングすることによって、論理グループメンバシップを施行する。ＩＥＥＥのＶＬＡＮ標準８０２．１Ｑは、ＩＥＥＥイーサーネットヘッダの４バイトのセクション内に、１２ビットのＶＬＡＮ  ＩＤを規定している。８０２．１Ｑを実装するスイッチは、グループメンバシップを判定するために、各イーサーネットフレーム内のＶＬＡＮ  ＩＤを調べるだけでよい。
【００３０】
本発明のＶＯＬＡＮ（Virtual Operator ＬＡＮ）は、いくつかのＬＡＮセグメントにわたって拡張可能な、リソース共有およびトラフィックエンジニアリングのためのインフラストラクチャである。ＶＯＬＡＮによれば、複数の仮想事業者が、それぞれのユーザグループに、それらのサービスレベル契約にしたがって、独立のＱｏＳサービスを提供することが可能となる。これらの独立のサービスは、本発明が構築される既存のＬＡＮ環境内の既存のローカル移動加入者に提供されるサービスを妨害してはならない。上記のように、ＶＯＬＡＮは、商用ＬＡＮスイッチのＶＬＡＮ機能と、マルチセグメントＬＡＮ環境にわたるマルチプロトコルラベルスイッチング（ＭＰＬＳ）パスの利用との組合せである。
【００３１】
本発明は、ネットワーク設備に投資することを必要とせずに、移動加入者にデータアクセスサービスを提供する１つまたは複数の仮想事業者を含む無線ローカルエリアネットワークアーキテクチャである。仮想事業者は、インターネットサービスプロバイダ（ＩＳＰ）や公衆通信キャリアのような第三者サービスプロバイダとともに活動する。本発明のアクセス速度は、ディジタルセルラ（２Ｇ）移動電話ネットワークの比較的低速のインターネットアクセスサービスにまさる。さらに、本発明は、標準的なインターネットおよびウェブアプリケーションを、小画面機器に適した低速バージョン（例えば、ＮＴＴドコモのｉモードサービス）とともに、サポートする。低消費電力インターネット機器は、セルラ移動通信ネットワークにおいてよりも、本発明の環境において、より実現可能性がある。本発明は、複数のＬＡＮセグメントを含むことが可能であり、オフィスビルディング、空港、ホテル、大学、商店街およびその他の大規模地区に設置可能である。本発明は、単に無線アクセスポイントを追加することによって、既存のＬＡＮインフラストラクチャを利用して構築可能であり、それにより、高価な新たなネットワーク配備が避けられる。
【００３２】
本発明の物理アーキテクチャは、セルラ移動通信アーキテクチャに特に関連する個々の無線ＬＡＮに関係するのみならず、インターネットに接続し無線アクセスをサポートするように構築された任意のローカル通信インフラストラクチャにも関係する。図３を参照すると、本発明の実施例は、複数のＬＡＮセグメントを含む。あるいは、別の実施例では、本発明は、ケーブルデータシステムのような大都市アクセスネットワーク(metropolitan access network)に接続されることも可能である。本発明の実現において、仮想事業者は、セルラ移動通信事業者を含む（これには限定されない）第三者サービスプロバイダであることが可能である。
【００３３】
本発明において、各仮想事業者は、専用ＬＡＮを制御する。専用ＬＡＮは、複数のネットワークセグメントにわたり拡張可能であり、仮想事業者ＬＡＮ（ＶＯＬＡＮ：Virtual Operator LAN）と呼ばれる。ＶＯＬＡＮは、一仮想事業者に属する独立の論理ＬＡＮであり、仮想事業者と公衆アクセスモビリティＬＡＮ（ＰＡＭＬＡＮ：Public Access Mobility LAN）事業者との間で履行されるサービスレベル契約（ＳＬＡ）に基づいて管理される。ＶＯＬＡＮは、安全なトラフィック分離を提供し、サービス品質（ＱｏＳ）サポート付きでトラフィックエンジニアリングがなされることが可能である。例えば、仮想事業者は、異なるレベルの加入ステータスを有する加入者にさまざまなレベルのサービスを提供することが可能である。ＶＯＬＡＮは、基礎となる仮想ＬＡＮ能力と、ＬＡＮ間セグメント機能とから構築される。表１に、ＰＡＭＬＡＮ／ＶＯＬＡＮ／ＶＬＡＮ階層を示す。
【００３４】
【表１】
2005137026.tif 000003
表１：  ＰＡＭＬＡＮ／ＶＯＬＡＮ／ＶＬＡＮ階層
関連づけ、認証およびアカウンティング（ＡＡＡ：Associate, Authenticate and Accounting）は、本発明の特徴である。本発明は、サービスプロバイダのネットワークの仮想的拡張となる複数の半信頼アクセスポイントを含む。ここで、「半信頼」(semi-trusted)という用語は次のように定義される。
【００３５】
１．移動加入者のトラフィックをインターネットへ正しくルーティングすることについては信頼される。
【００３６】
２．移動加入者トラフィック内容（例えば、仮想事業者とのビジネス関係を有する特権(franchised)オペレーション）の読み出し、変更、またはなりすましをしないことについては部分的に信頼される。このレベルの信頼は、ローカルインターネットサービスプロバイダ（ＩＳＰ）と同様であり、ほとんどのインターネットブラウジングには十分である。しかし、機密性の高いデータ（例えば、クレジットカード情報、社会保障番号(Social Security Number)、運転者の免許番号）の転送のためには、本発明は、安全なエンドツーエンド転送プロトコル（例えば、ＳＳＬ）使用する。
【００３７】
３．正しいアカウンティング情報を仮想事業者に報告することについては部分的に信頼される。本発明の実施例では、アクセスポイントおよび移動通信機器の両方によるサービス測定が実行される。サービス測定結果は仮想事業者に報告され、サービス測定値は整合性がクロスチェックされる。さらに、本発明の実施例によれば、移動加入者／仮想事業者の認証プロセスのため、移動通信カスタマのなりすましが防止される。この認証プロセスは、アクセスポイントを透過的（トランスペアレント）にする。サービス測定および認証プロセスは、詐欺および紛争の可能性を大幅に低減する。
【００３８】
本発明は、在圏移動加入者の認証および権限付与とともに、真正な特権基地局としてのアクセスポイントの認証を使用する。本発明は、仮想事業者をサポートするために、アクセスポイントでのＩＰレベルのＡＡＡサーバ／クライアント機能の実装を容易にする。
【００３９】
図３を参照して、本発明による無線ＬＡＮネットワークの実施例について説明する。実施例のネットワークは、複数のアクセスポイント３００−１〜３００−ｎを有する。ただし、ｎは、無線ＬＡＮネットワーク内のアクセスポイントの総数である。アクセスポイントの構成については図４を参照して説明する。各アクセスポイント３００は、イーサーネットスイッチ３０１−１〜３０１−ｍに接続される。ただし、ｍは、無線ネットワーク内のイーサーネットスイッチの総数である。図３に示されるように、イーサーネットスイッチ３０１は２つのアクセスポイント３００に接続される。各イーサーネットスイッチ３０１は、前述の仮想ネットワークおよびＱｏＳサービスを実現する。
【００４０】
図３に示されるように、イーサーネットスイッチ３０１とアクセスポイント３００は、２つのＬＡＮセグメントにグループ化される。ＬＡＮセグメント１は、２個のイーサーネットスイッチ３０１を含む。ＬＡＮセグメント２は、１個のイーサーネットスイッチ３０１を含み、これは２個のアクセスポイント３００に接続される。ＬＡＮセグメント１とＬＡＮセグメント２は、セグメント間ゲートウェイルータ３０２を通じて互いに接続される。２つのＬＡＮセグメントの結合は、複数のアクセスポイント間のマイクロモビリティ(micromobility)を提供する。
【００４１】
図４を参照して、アクセスポイントについてさらに詳細に説明する。本発明によれば、アクセスポイントは、複数のエアインタフェース３２０、３２１、３２２を有する。実施例は、ＷＬＡＮ基地局（すなわち、ＩＥＥＥ８０２．１１、ＨｉｐｅｒＬＡＮ２、Ｂｌｕｅｔｏｏｔｈ）およびセルラ移動通信基地局（すなわち、ＧＳＭ、ＩＳ−９５、ＩＳ−１３６、３Ｇ）を含むことが可能である。セルラ移動通信音声サービスについて、本発明は、アクセスポイントにおいてＧＰＲＳデータサービス（図示せず）をサポートする。
【００４２】
従来のＷＬＡＮシステムでは、基地局はブリッジとして作用する。図４を参照すると、本発明では、アクセスポイントはさらに、移動端末のためにプロキシ機能を実行するＩＰアクセスルータ３１３を有する。このようなプロキシ機能の１つは、アクセスポイント内に存在する任意のエアインタフェースに対する基地局コントローラであることが可能である。このプロキシ機能は、基地局コントローラとして作用して、ＩＰレベルでＩＰゲートウェイ３２５と通信する。ＩＰアクセスルータ３１３は、後述するＡＡＡ機能も実行する。
【００４３】
図３を参照すると、本発明では、ＩＰゲートウェイ３２５は、インターネットまたは公衆ネットワークへ向かうトラフィックを伝送し、モバイルＩＰトンネルを終端し、必要に応じてシグナリング変換を実行する。ＩＰゲートウェイ３２５は、実装の必要に応じて、単一のゲートウェイからなることも、複数のゲートウェイを含むことも可能である。シグナリング変換の別法として、カプセル化されたＳＳ７またはＩＳＤＮ制御信号が、Ｈ．３２３、ＳＩＰ、または他のＩＰネットワーク系信号とともに、ＩＰゲートウェイ３２５を通って透過的に伝送されることも可能である。
【００４４】
ＩＰゲートウェイ３２５は、さまざまな外部ネットワークと接続されることが可能である。例えば、ＩＰゲートウェイ３２５は、別の移動通信ネットワークまたは公衆交換電話ネットワークに接続されることが可能である。ＩＰゲートウェイ３２５はＩＳＰネットワーク３４０を通じて仮想事業者のサーバ３４１にも接続される。仮想事業者のサーバ３４１上には、後述する認証および暗号化に用いられるエンドユーザ公開鍵のディレクトリ３４２がある。
【００４５】
本発明では、複数の仮想事業者に対する複数の地理的ＬＡＮセグメントにわたる論理サービスネットワークを構成するために、仮想事業者ＬＡＮ（ＶＯＬＡＮ）技術が用いられる。各仮想事業者のＶＯＬＡＮ内では、異なるレベルの加入者サービスに対するＱｏＳをサポートすることが可能である。
【００４６】
本発明は、各ＰＡＭＬＡＮセグメントのコアであるイーサーネットスイッチに現れる、標準に基づく仮想ＬＡＮおよびＱｏＳ機能を利用する。イーサーネットＭＡＣプロトコルは依然としてＣＳＭＡ／ＣＤであるが、全二重イーサースイッチはコンテンションなしで動作し、８０２．１ｐパケット優先制御および仮想ＬＡＮ（ＩＥＥＥ８０２．１Ｑ）を提供するための新たな標準が導入されている。
【００４７】
最後に、セルラＩＰやＨＡＷＡＩＩのような、無線ＬＡＮ環境のための新たなＩＰローカルモビリティプロトコルが、モバイルＩＰのパフォーマンスを改善する。具体的には、これらの新しいプロトコルは、より高速なハンドオフ、より直接的なトラフィックルーティング、および、より分散され、スケーラブルなコネクション制御を提供する。
【００４８】
これらの新しいＩＰローカルモビリティプロトコルは、本発明に容易に組み込まれる。図３を参照すると、ＩＰゲートウェイ３２５は、在圏移動加入者に対して相対的に固定アドレスとなる。したがって、ＰＡＭＬＡＮ内部のセグメント間ゲートウェイルータ３０２のみが、あるローカルアクセスポイントから別のローカルアクセスポイントへの移動加入者の移動によるパス変更について通知を受ければよい。この要件さえも、ＭＰＬＳの利用により低減される。このため、本発明によれば、移動通信機器は、ＰＡＭＬＡＮに入るときに動的にＩＰアドレスを取得する。その後、移動通信機器は、地理的ＬＡＮセグメント間を移動する際に新たなＩＰアドレス割当てを必要とせずに、地理的ＬＡＮセグメント（すなわち、ＬＡＮセグメント１およびＬＡＮセグメント２）間で自由にローミングすることができる。
【００４９】
公衆インターネットアクセスを提供するためには、必要なプロトコルコンポーネントが、本発明のコアアクセスネットワーク、アクセスポイント、および在圏インターネット機器内の適所におかれなければならない。前述のように、本発明のコアネットワークは、マイクロモビリティ、仮想ＬＡＮおよび動的ホスト構成プロトコル（ＤＨＣＰ）サービスを提供する。
【００５０】
図６Ａおよび図６Ｂを参照して、無線機器のプロトコルスタック５０１およびエアアクセスポイントのプロトコルスタック５０２について説明する。アクセスポイントは、ＤＨＣＰプロキシ、分散ＡＡＡのエージェント、パケットのフィルタリングおよびクラシフィケーション、ＱｏＳ制御、ならびにモビリティ管理のような、いくつかのプロトコルコンポーネントをホストする。アクセスポイントはルータに基づくため、これらのＰＡＭＬＡＮ機能は、レイヤ３以上で実装することが可能であり、無線ＭＡＣプロトコルの変更を必要としない。本発明のルータアプローチはまた、移動通信機機内のプロトコルスタックへの変更も不要である。代わりに、本発明は、既存のプロトコルコンポーネント（例えば、ＤＨＣＰクライアント、ＩＰＳｅｃ）に基づき、あるいは、アプリケーションレイヤ（例えば、認証セッション）内に実装される。本発明は、アクセスポイントにおいてＭＰＬＳと仮想ＬＡＮ（ＶＬＡＮ）を組み合わせることにより、ＰＡＭＬＡＮ  ＱｏＳおよびモビリティ機能をサポートする仮想事業者ＬＡＮを形成する。
【００５１】
本発明が単一のスイッチＬＡＮとして実装されるとき、ＶＯＬＡＮは単に、割り当てられたＶＬＡＮ  ＩＤをＶＯＬＡＮのすべてのトラフィックにタグ付け（タギング）することによって、ＶＬＡＮとして実装される。移動加入者に対するＱｏＳプロビジョニングは、８個のフレーム優先順位を区別するために、ＩＥＥＥ８０２．１ｐヘッダ、すなわち、ＩＥＥＥ８０２．１Ｑヘッダに埋め込まれた３ビットセクションを用いて実装することができる。
【００５２】
しかし、複数のルータが複数のサブネットワークを相互接続する大規模な実装では、ＶＬＡＮのみではもはやＶＯＬＡＮプロビジョニングには十分でない。このような環境では、ＶＯＬＡＮは、ゲートウェイルータによって接続されたＶＬＡＮのチェインとして実装することができる。これらのルータは、パケットをサブネットワークにフォワーディングするときに、仮想事業者パケットをＶＬＡＮタグにマップすることにより、ＶＯＬＡＮコヒーレンス（整合性）を維持する。ゲートウェイルータはレイヤ３で作用するため、パケットがサブネットワーク間をわたるときに、レイヤ２ヘッダからのすべてのＶＬＡＮ情報は失われる。したがって、ルータが、隣り合うサブネットワーク間のＶＬＡＮマッピングテーブルを維持することは不可能である。代わりに、ルータは、送信元および宛先のＩＰアドレスのようなレイヤ３情報を利用して、パケットのＶＯＬＡＮメンバシップを判定しなければならない。
【００５３】
しかし、このアプローチにはいくつかの問題点がある。特に、ＶＬＡＮマッピング判定を行うためには、ＰＡＭＬＡＮ内のすべての中間ルータが、アクティブな移動加入者のすべてのＩＰアドレス（少なくともアドレスプレフィクス）を保持しなければならない。さらに、ＩＰルーティングがホップ単位で行われるという性質のため、相異なるＶＯＬＡＮに対するサービスプロビジョニングを効果的に管理し提供することは困難である。これらの理由により、本発明は、ＶＯＬＡＮプロビジョニングのために、ＶＬＡＮとともにＭＰＬＳを利用する。
【００５４】
ＭＰＬＳは、すべての中間ルータをＶＯＬＡＮの詳細から隠蔽しながら、アクセスポイントおよびインターネットゲートウェイがＶＯＬＡＮプロビジョニングを処理する、簡単で効率的なソリューションを提供する。本発明では、ＭＰＬＳとＶＬＡＮを組み合わせることにより、エレガントなＶＯＬＡＮソリューションを提供する。本発明によれば、各ＬＡＮセグメント内では、仮想事業者ごとのトラフィックをグループ化するためにＶＬＡＮが使用される。ＰＡＭＬＡＮ全体では、ルーティングパスを設定し各ＶＯＬＡＮのプロビジョニングを行うためにＭＰＬＳが使用される。
【００５５】
マルチプロトコルラベルスイッチング（ＭＰＬＳ）は、その名称が示すように、多くのリンクレイヤプロトコル上でさまざまなコネクションレス型ネットワークレイヤプロトコルに対するコンバージェンスレイヤを提供するために設計されたプロトコルである。そのもともとの目的は、ＩＰ  ｏｖｅｒ  ＡＴＭやフレームリレーの場合にパケットフォワーディングの効率および速度を増大させることであったが、実際にはトラフィックエンジニアリングを容易にすることが有望であるために盛んに利用される。ＭＰＬＳは、コネクションレス型レイヤ３トラフィックをトラフィックエンジニアリングがなされたトンネル（ＭＰＬＳの用語では、ＬＳＰ(Label Switched Path)）へと編成することによってこれを実現する。パケットがＭＰＬＳドメインに入る前に、ＬＳＰに対するローカル識別子として作用するように、ラベルスタックがそのネットワークレイヤヘッダの前に挿入される。ＭＰＬＳルータは、ラベルスイッチングルータ（ＬＳＲ：Label Switching Router）と呼ばれ、ＬＳＰの両端にある２つのルータはそれぞれ入口ＬＳＲおよび出口ＬＳＲと呼ばれる。パケットは、複数のＦＥＣ(Forwarding Equivalence Class)に振り分けられる。実際の必要に応じて、ＦＥＣは、異なるグラニュラリティで分類されることが可能である。例えば、１つのアドレスプレフィクスが１つのＦＥＣに対応することも可能であり、また、送信元アドレス／ポート番号と宛先アドレス／ポート番号の組合せが、２つのエンドポイント間のすべてのトラフィックを１つのＦＥＣとして指定するために使用されることも可能である。どのＬＳＲにおいても、同じＦＥＣに属する入トラフィックは均等に扱われる。すなわち、同じラベルを有する同じインタフェースへ送出される。入口ルータでは、パケットには、それが属するＦＥＣに従ってラベルが割り当てられる。ラベルづけされたパケットがＬＳＰに沿って中間ルータに到着すると、ラベルスワッピングと呼ばれるプロセスが実行される。すなわち、パケット内のラベルがまず抽出され、（入力ポート，入力ラベル）の対が、（出力ポート，出力ラベル）の対にマップされる。その後、入力ラベルは、ＭＰＬＳパケット内の出力ラベルで置き換えられ、パケットは出力インタフェースへ送出される。このプロセスは、パケットが出口ルータに到達するまで繰り返される。出口ルータで、ＭＰＬＳラベルはパケットから取り外され、パケットは通常のレイヤ３フォワーディングによりフォワーディングされる。ラベルマッピングの目的のために、ＮＨＬＦＥ(Next Hop Label Forwarding Entry)がＬＳＲで使用される。各ＮＨＬＦＥは、出力インタフェースと、ラベルスタックに対する作用と、オプションとして、パケットを伝送するためのレイヤ２カプセル化とを含む。入口ＬＳＲでは、ラベル作成のためにＦＴＮ(FEC-To-NHLFE)マップが使用される。それぞれの中間ＬＳＲでは、入力ラベルマップ（ＩＬＭ：Incoming Label Map）が入力ラベルを対応するＮＨＬＦＥに変換して、これによりＭＰＬＳパケットを変換する。
【００５６】
ＭＰＬＳドメインでは、パケットは、ドメイン内へのその入口ポイントでラベルがタグ付けされ、ドメイン内ではそのラベルを使用することによりフォワーディングされる。出口ポイントでは、ラベルは取り外され、パケットはそのもとの形に戻る。実際には、入口ポイントと出口ポイントの間でのパケットの伝送のために、これらの２つのポイントの間にＬＳＰが設定される。トンネリング効果のため、移動端末宛のＩＰパケットのためのフォワーディング判定を行うには、中間のルーティングテーブルを使用することはもはや不要である。
【００５７】
移動端末にとって、そのアクセスポイントは、ＰＡＭＬＡＮ内へのそのエントリポイントであり、ゲートウェイは、インターネット内へのそのエントリポイントである。そのトラフィックのほとんどは、これらの２つのポイント間と、移動端末間の通信のためのＰＡＭＬＡＮ内のアクセスポイント間を移動する。ＰＡＭＬＡＮ内でＭＰＬＳがサポートされる場合、ＰＡＭＬＡＮ全体を単一のＭＰＬＳドメインとみなすことができる。ゲートウェイおよびアクセスポイントは自然に、移動端末トラフィックに関して、（トラフィックの方向に応じて）入口および出口ポイントとなる。移動端末はそのアクセスポイントをＭＰＬＳドメイン内へのエッジＬＳＲとして使用するため、ドメイン内の中間ルータは、ラベルフォワーディングテーブルを設定するときに、どの移動端末をも知る必要がない。これにより、中間ルータは、アクセスポイントとゲートウェイに対するラベルバインディングを設定するだけでよいことになるため、移動端末が異なるアクセスポイントに移動したときに中間ルータ内のラベルテーブルを更新することが不要になる。
【００５８】
図１１は、移動通信サービスが複数の仮想事業者によって提供されるＰＡＭＬＡＮネットワークを運用する例示的な方法を示す例示的な流れ図である。前述のように、ＰＡＭＬＡＮネットワークは複数のサブネットワークを有し、各サブネットワークは１つまたは複数のネットワークスイッチを有する。サブネットワーク内のエアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。サブネットワーク間の通信は、各サブネットワークのネットワークスイッチに接続されたルータによって実現される。ネットワークの外部へのアクセスは、サブネットワークに接続されたゲートウェイルータを通じて実行される。Ｓ２００で、各サブネットワーク内のエアアクセスポイントとゲートウェイルータとの間の複数のＭＰＬＳパスが作成される。Ｓ２１０で、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることが可能となるように、ＭＰＬＳパスが複数の仮想事業者のうちの１つまたは複数に割り当てられる。したがって、複数の仮想事業者が１つのエアアクセスポイントを通じてアクセスされることも可能であり、あるいは、与えられたアクセスポイントを通じてアクセスされるのは１つの仮想事業者だけであることも可能である。Ｓ２２０で、各仮想事業者に識別タグが割り当てられ、その識別タグは、無線ネットワークを通るデータのパケットヘッダに埋め込まれる。Ｓ２３０で、ＭＰＬＳ情報が、無線ネットワークを通るデータパケットのヘッダに付加される。これにより、サブネットワークのネットワークスイッチは、データパケットのヘッダに基づいてＭＰＬＳパスを通じてデータパケットをルーティングすることが可能となる。
【００５９】
図５は、マイクロモビリティをサポートするためにＰＡＭＬＡＮにおいてＭＰＬＳがどのように使用されるかを示すための、ＰＡＭＬＡＮ４０１の概略図である。移動端末４０８は、ＰＡＭＬＡＮ４０１に入ると、アクセスポイント４０４（アクセスポイント1と表す）と関連づけられ、ＤＨＣＰを通じてＩＰアドレス（ＩＰmtと表す）が動的に割り当てられる。このようなアドレスは、ＰＡＭＬＡＮ４０１内の移動端末のために予約されたアドレスのプールから割り当てられる。このアドレス割当ての直後に、アクセスポイント４０４は、ＰＡＭＬＡＮ内の他のすべての境界ルータ４０２に対して、この新しい移動端末について（したがってそのＩＰアドレスを）通知する。その後、ＩＰゲートウェイ４０２およびアクセスポイント４０３、４０４は、それに従って、それらのＦＴＮ(FEC-To-NHLFE)マップを更新する。各移動端末ＩＰアドレスは、これらのマップにおいて新しいＦＥＣに対応する。境界ルータでＦＴＮマップを正しく更新するために、次の手続きが使用される。
【００６０】
１．マップ内にＩＰmtのエントリがまだ存在しない場合、新規作成する。
【００６１】
２．マップ内でアクセスポイント1のエントリを検索し、そのＮＨＬＦＥをＮＨＬＦＥ1と表す。
【００６２】
３．ＩＰmtのエントリのＮＨＬＦＥ部分をＮＨＬＦＥ1に更新する。
【００６３】
このようにして、ゲートウェイ４０２またはアクセスポイント４０３、４０４は、移動ホスト宛のパケットを受信すると、自己のＦＴＮマップをチェックし、アクセスポイント４０４（アクセスポイント1）へのものと同じＬＳＰ４０６に対応するラベルを選択する。こうして、ラベル付けされたパケットは、ラベル変換のみによって、ルーティングなしで、中間ルータによりアクセスポイント４０４（アクセスポイント1）へフォワーディングされることが可能となる。このことは、中間ルータが移動端末４０８の位置について知らなくてもパケットが正しくフォワーディングされることを保証する。パケットがアクセスポイント４０４（アクセスポイント1）に到達すると、ラベルは取り外され、アクセスポイント４０４は、通常のＩＰパケットを移動端末４０８へフォワーディングする。
【００６４】
移動端末４０８が新たなアクセスポイント４０３に移動すると、同じ手続きに従って、ゲートウェイ４０２および他のアクセスポイント４０３、４０４内のＦＴＮマップを更新する。しかし、１つの相違点は、移動端末４０８についての一部のパケットが、この移行期間中に、すなわち、ＦＴＮマップがゲートウェイ４０２または他のアクセスポイントで正しく更新される前に、前の（旧）アクセスポイント４０４へフォワーディングされる可能性があることである。実際にはＭＰＬＳがこの問題点を解決するのを助ける。更新手続きに従って、移動端末４０８が新アクセスポイント４０３に再関連づけされた後、旧アクセスポイント４０４のＦＴＮマップは、移動端末４０８宛のすべてのパケットを新アクセスポイント４０３へフォワーディングするように変更される。こうして、パケットは、移行期間中に誤って旧アクセスポイント４０４へフォワーディングされても、直ちに新アクセスポイント４０３へフォワーディングされる。
【００６５】
現在のＭＰＬＳ配備では、ＭＰＬＳ隣接ルータは通常ポイントツーポイントコネクションを有するため、ＭＰＬＳフォワーディングプロセスは、各パケットについて、出力インタフェースおよび新たなラベルを決定するだけでよい。その場合、パケットは、出力インタフェースを通じて接続された隣接ルータへ送られることになる。したがって、ＩＬＭマップ内の各エントリは、（入力ラベル，入力ポート）の対を（出力ラベル，出力ポート）の対にマップする。ＰＡＭＬＡＮ環境では、隣接ルータは、スイッチイーサーネットＬＡＮを通じて接続されることがある。このため、物理ポートは、隣接ルータを識別するにはもはや不十分である。このような場合、各ＮＨＬＦＥは、物理インタフェースに加えて、隣接ルータのＭＡＣアドレスを含む。ルータがＭＰＬＳパケットを受け取ると、まず入力ラベルが出力ラベルで置き換えられる。その後、ＩＬＭ内にあるＭＡＣアドレスを含むイーサーネットヘッダがパケットに付加されてイーサーネットフレームを形成し、出力インタフェースを通じてイーサーネットＬＡＮへ送出される。
【００６６】
図７を参照して、２つのＶＯＬＡＮを有する３セグメントＬＡＮの場合の、本発明による例示的なアーキテクチャについて説明する。図７において、ＶＯＬＡＮ１は、アクセスポイントルータからＰＡＭＬＡＮゲートウェイルータへの３つのＭＰＬＳパスを有し、ＶＯＬＡＮ２は４つのＭＰＬＳパスを有する。ＬＡＮセグメント１（６０２）は、いくつかのエアアクセスポイントを有する。ＬＡＮセグメント２（６０１）は、イーサーネットスイッチのみを有するように図示されているが、ＬＡＮセグメント２（６０１）はいくつかのエアアクセスポイントを有することも可能である。ＬＡＮセグメント３（６００）は、イーサーネットスイッチのみを有するように図示されているが、ＬＡＮセグメント３（６００）はいくつかのエアアクセスポイントを有することも可能である。セグメント間ゲートウェイルータ６１１、６１３は、ＬＡＮセグメント１、ＬＡＮセグメント２およびＬＡＮセグメント３を互いに接続する。２つのＰＡＭＬＡＮゲートウェイルータ６１０、６１２は、ＬＡＮセグメント２およびＬＡＮセグメント３のイーサーネットスイッチに接続される。ＶＯＬＡＮ１は、ＬＡＮセグメント２（６０１）を通って設けられＬＡＮセグメント１（６０２）内のエアアクセスポイントに到達する３つのＭＰＬＳパス（すなわちトンネル）を有する。ＬＡＮセグメント１（６０２）内では、ＭＰＬＳパスは、ＬＡＮセグメント内に設けられたエアアクセスポイントの一部（しかし全部ではない）に分布する。イーサーネットスイッチは、さまざまなエアアクセスポイントへのＭＰＬＳパスを実現する。図７に示されるように、１つのＶＯＬＡＮの複数のＭＰＬＳパスが単一のエアアクセスポイントへルーティングされることも可能であり、また、複数のＶＯＬＡＮの複数のＭＰＬＳパスが単一のエアアクセスポイントへルーティングされることも可能である。また、異なるゲートウェイルータからの複数のＭＰＬＳパスが単一のＬＡＮセグメント内に集められることも可能である。図７に示されるように、ＶＯＬＡＮ２の２つのＭＰＬＳパスは、１つのゲートウェイルータ６１２を通じてルーティングされ、ＶＯＬＡＮ２の他の２つのＭＰＬＳパスは、別のゲートウェイルータ６１０を通じてルーティングされる。ＬＡＮセグメント２（６０１）において、４つのＭＰＬＳパスが集められ、セグメント間ゲートウェイルータ６１３を通じてＬＡＮセグメント１（６０２）へルーティングされる。
【００６７】
図７におけるクラウド（雲状の表示）は、ルータを通じて相互接続されるサブネットワークである。これらは、スペースが限られているために小さいサイズで描かれているだけであって、実際には、これらのサブネットワークは、多数のＶＬＡＮにグループ化された数百のノードを有して、相当大規模かつ複雑になることもある。隣接ルータどうしは、それらの両方が属するクラウド（サブネットワーク）を通じて互いに接続される。図７からわかるように、ＶＯＬＡＮは、相互接続するルータによって、あるクラウドから別のクラウドにマップされる。
【００６８】
ＭＰＬＳを使用することにより、ＶＯＬＡＮ管理をＰＡＭＬＡＮの「境界」で限界づけることが可能となる。ＶＯＬＡＮの存在について知っている必要があるのはインターネットゲートウェイおよびアクセスポイントだけである。中間のＰＡＭＬＡＮルータにおけるルーティング機能の変更なしに組織的な方法で移動加入者トラフィックを伝送するように、ＭＰＬＳトンネルがそれらのＶＯＬＡＮの間に形成される。これらのルータは、ＭＰＬＳラベルのみを検査する。ＭＰＬＳラベルは、送信元と宛先の境界ルータ間のＶＯＬＡＮパスに関する情報を運ぶ。
【００６９】
本質的に、ＶＯＬＡＮサポートのためにＭＰＬＳを利用することは、マイクロモビリティサポートの場合と非常に類似しており、両方のソリューションはＰＡＭＬＡＮに容易に統合することができる。いずれの場合も、ＭＰＬＳパスは、ＭＰＬＳドメインの入口および出口ＬＳＲとして作用する境界ルータ間で設定される必要がある。しかし、次のようないくつかの注目すべき相違点がある。
【００７０】
１．各ＦＥＣは、もはやＩＰアドレスプレフィクスのみでは識別されず、（ＩＰアドレスプレフィクス，ＶＯＬＡＮ  ＩＤ）の対によって識別される。このことは、２つの境界ルータの間で複数のＬＳＰが確立されることが必要とされる場合があることを意味し、その場合、各ＬＳＰは１つの仮想事業者に属するトラフィックを伝送する。
【００７１】
２．境界ルータでは、移動端末のＦＴＮエントリが、その関連するアクセスポイントおよびその現在の仮想事業者に従って決定される。移動端末アドレスをその対応する仮想事業者に容易にマップするため、ＤＨＣＰサーバは、仮想事業者ごとにＩＰアドレスを割り当てるべきである。なお、移動端末は、複数のＶＯＬＡＮ（複数の仮想事業者）に属する可能性もある。このような場合、各インタフェースに１つのＩＰアドレスを割り当て、異なるインタフェースを用いて異なるＶＯＬＡＮメンバシップを識別することも可能である。
【００７２】
３．中間ルータでは、ＩＬＭの各エントリに含まれる仮想ポートを、ＶＬＡＮタグで拡張する必要がある。このタグは、次の隣接ルータに到達するために、パケットの送り先のスイッチイーサーネットＬＡＮ内の仮想事業者を識別する。
【００７３】
アクセスポイントでは、各移動加入者パケットは、仮想事業者メンバシップおよび所望のＱｏＳクラスに基づいてＦＥＣ(Forwarding Equivalence Class)にマップされる。ＦＥＣ情報を運ぶＭＰＬＳラベルがパケットに挿入され、各ＶＬＡＮ内の８０２．１ｐ優先順位とともにＶＬＡＮ割当てを決定するために、ＭＰＬＳパス上のラベルスイッチルータ（ＬＳＲ）によって使用される。ＰＡＭＬＡＮと複数の仮想事業者との間のサービス契約に従って、アクセスポイントとインターネットゲートウェイの間で、トラフィックエンジニアリングがなされたパスが設定されることが可能である。
【００７４】
本発明によって移動加入者が無線サービスにアクセスしようとするとき、アクセスポイントは、移動加入者が無線サービスにアクセスする権限を有し、提供した無線サービスに正しく課金することができることを確認しなければならない。同時に、移動加入者は、ＰＡＭＬＡＮが信頼（または半信頼）可能であり、移動加入者のサービスプロバイダによって証明を受けていることを確認しなければならない。本発明によれば、移動加入者のサービスプロバイダは、ＰＡＭＬＡＮ内で仮想事業者特権(franchise)を有する。さらに、移動加入者およびＰＡＭＬＡＮは両方とも、それらの間の伝送が安全であること、および、誰も無権限のアクセスを得るために移動加入者の識別を偽造することができないことを確認しなければならない。
【００７５】
本発明は、上記の点を解決するセキュリティフレームワークを提供する。このセキュリティフレームワークの実施例では、次の４つの主要なコンポーネントが提供される。
【００７６】
１．移動加入者と仮想事業者の間でのＲＡＤＩＵＳ(Remote Authentication Dial-In User Service)を通じた相互認証。アクセスポイントはＲＡＤＩＵＳクライアントとして作用する。仮想事業者のＲＡＤＩＵＳサーバもまたアクセスポイントに証明を与え、移動加入者とアクセスポイントが適当なレベルの相互信頼を得られるようにする。
【００７７】
２．移動加入者とアクセスポイントの間の、公開鍵に基づく安全なチャネルの確立。各移動加入者は、仮想事業者により管理されるディレクトリ内に公開鍵を有する。移動加入者（およびアクセスポイント）の認証後、仮想事業者はこの鍵をアクセスポイントへ送る。すると、アクセスポイントはセッション鍵を生成し、移動加入者の公開鍵を用いてセッション鍵を暗号化し、暗号化されたセッション鍵を移動加入者へ送る。
【００７８】
３．認証されたセッションのためのパケットごとの暗号化。いったん移動加入者がセッションごとの鍵を取得すると、すべての移動加入者トラフィックは、ＩＰＳｅｃを用いてＩＰレイヤで、または、移動通信機器とアクセスポイントの両方におけるレイヤ２プロトコル実装（例えば、ＩＥＥＥ８０２．１１）がセッションごとの鍵をサポートしている場合にはハードウェア暗号化を用いてレイヤ２で、暗号化される。
【００７９】
４．移動通信機器からのトラフィックを制御するための、アクセスポイントにおけるフィルタリング機能。アクセスポイントは、各パケットをフィルタリングし、パケットを通過させるべきか（セッション鍵で認証されたユーザトラフィック）、認証エンジンへ送るべきか（ログインセッショントラフィック）、それとも、ブロックすべきか（無権限のトラフィック）を判定する。このフィルタリング機能は、ＶＬＡＮ割当ておよびＱｏＳ制御のような他の多くの目的のために用いられる基本構成ブロックである。
【００８０】
本発明の認証方式は、Cisco、Microsoft、Intel、SymbolおよびInformed Technologyにより提出されたＩＥＥＥ８０２．１１草案(draft proposal)におけるものと類似している。しかし、ＩＥＥＥ８０２．１１草案とは異なり、本発明のセキュリティフレームワークは、純粋にＩＰベースのソリューションを使用する。ＩＥＥＥ８０２．１１草案は、ＩＥＥＥ８０２．１ｘポートに基づく認証方式を使用し、これは、ＩＥＥＥ８０２．１１および８０２．１ｘの両方の標準への多少の変更を必要とする。
【００８１】
本発明のＩＰベースのセキュリティフレームワークは、レイヤ２プロトコル（これは通常、ハードウェアに組み込まれており、変更は容易でない）を変更することを必要とせずに、相異なる無線技術にわたって動作する。ＩＰベースのセキュリティフレームワークにより、アクセスポイントは、それぞれ独自のＡＡＡ方式を有する可能性のある相異なるベンダからの無線インタフェースカードとの相互運用が可能となる。相互運用性（インターオペラビリティ）に必要なことは、必要なアプリケーションレベルの認証ソフトウェアを無線機器にインストールすることだけである。
【００８２】
本発明では、移動通信機器は、オープンな認証を通じてアクセスポイントと関連づけられる。その後、アクセスポイントは、移動通信機器にＤＨＣＰにより動的ＩＰアドレスを割り当てるとともに、割り当てられたＩＰアドレスに対するフィルタをインストールする。この動的ＩＰアドレスからのすべてのＩＰトラフィックはまずアクセスポイントフィルタによって終端されてから認証エンジンに送られる。ＩＰスタックが移動通信機器に正しく設定された後、移動加入者は、アクセスポイントを通じて自己のサービスプロバイダ（仮想事業者）とのログインセッションを開始する。サービスプロバイダがＰＡＭＬＡＮと提携契約を結んでいる場合、アクセスポイントは、ＲＡＤＩＵＳサーバとして作用して、仮想事業者のＲＡＤＩＵＳサーバとのＲＡＤＩＵＳセッションを開始することができる。チャレンジ／レスポンス方式を使用し、アクセスポイントをリレーエージェントとして利用することにより、移動加入者とサービスプロバイダのＲＡＤＩＵＳサーバは、ＲＡＤＩＵＳプロトコルメッセージ交換を通じて相互に認証する。
【００８３】
図８を参照して、移動加入者とサービスプロバイダのＲＡＤＩＵＳサーバとの間の認証シーケンスの実施例について説明する。このような相互認証の結果、移動加入者とアクセスポイントは、サービスプロバイダ契約に関して相互に信頼することができるようになる。この保証があると、アクセスポイントは、サービスプロバイダに対して、移動加入者の公開鍵および加入ステータスを含む移動加入者のプロファイルを送るよう要求することができる。公開鍵は、移動加入者にセッション鍵を安全に通知するために使用される一方、プロファイル内の他のすべてのパラメータは、移動加入者トラフィックに対して仮想事業者のアクセスおよびＱｏＳのポリシーを施行するために使用される。
【００８４】
図８、図９および図１０を参照して、認証プロセスについてさらに詳細に説明する。Ｓ１００で、移動端末は、ユーザ識別番号（ＵＩＤ）を有する第１メッセージをエアアクセスコンピュータに送る。第１メッセージを受信すると、Ｓ１１０で、エアアクセスコンピュータは第１符号語を計算し、この第１符号語をデータベースコンピュータへ転送する。関数Ａ（ＵＩＤ，Ｋｒｃ）は、エアアクセスコンピュータとデータベースコンピュータの間で共有されている秘密鍵（Ｋｒｃ）を用いて、メッセージＵＩＤの認証暗号化から符号語を生成する。次に、Ｓ１２０で、仮想事業者サーバのデータベースコンピュータは、第２符号語をエアアクセスポイントコンピュータへ送る。第２符号語は、認証暗号化関数Ａ（（ＵＩＤ，Ｓ１，Ｅ（Ｅ（Ｓ１，Ｋｍｕ），Ｋｒｃ）），Ｋｒｃ）から得られる。ただし、Ｓ１は移動加入者によって生成されたランダムストリングであり、Ｋｍｕは移動ユーザとデータベースコンピュータの間で共有されている秘密鍵であり、Ｋｒｃはエアアクセスコンピュータとデータベースコンピュータの間で共有されている秘密鍵である。次に、Ｓ１３０で、この認証方法は、第２符号語から第１ランダム文字列Ｓ１を抽出し、ユーザ識別番号ＵＩＤおよび第１ランダム文字列Ｓ１を含む第２メッセージを移動端末へ送る。Ｓ１４０で、移動端末は、ユーザ識別番号ＵＩＤ、第１ランダム文字列Ｓ１、第２ランダム文字列Ｓ２、および第３符号語を有する第３メッセージをエアアクセスコンピュータへ送る。第３符号語は、第１ランダム文字列Ｓ１および共有鍵Ｋｍｕのセキュリティ暗号化から得られる。Ｓ１５０で、エアアクセスコンピュータは、移動端末から受信された第３メッセージに基づいて、第３メッセージおよび共有鍵Ｋｒｃのセキュリティ暗号化を用いて第４符号語を計算し、この第４符号語をデータベースコンピュータへ送る。Ｓ１６０で、データベースコンピュータは、ユーザ識別番号ＵＩＤ、第１ランダム文字列Ｓ１、共有鍵Ｋｒｃ、共有鍵Ｋｍｕおよび移動加入者の公開鍵Ｐｋｍｕを用いて第５符号語を計算する。データベースコンピュータは、この第５符号語をエアアクセスコンピュータへ送る。Ｓ１７０で、エアアクセスコンピュータは、第２ランダム文字列Ｓ２および移動加入者の公開鍵Ｐｋｍｕのセキュリティ暗号化を用いて第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを移動端末へ送る。
【００８５】
認証およびセッションごとの鍵の確立が成功した後、移動加入者は、ＰＡＭＬＡＮを用いて、公衆インターネットやローカルリソース（例えば、印刷サービス、一時記憶スペースおよびキャッシュサービス）にアクセスすることができる。アクセスポイントにおけるフィルタリング機能は、ユーザアクセスを制御し豊富な機能ポリシーのセットを施行する際に重要な役割を果たす。
【００８６】
本発明によって提供される最も基本的なアクセスポリシーは、認証された移動通信機器ＩＰアドレスを、対応するセッション鍵にマップする、パケットごとの認証／暗号化ポリシーである。この対応するセッション鍵は、移動通信機器からのＩＰパケットを認証あるいは復号するために使用される。移動加入者のプロファイルには、移動加入者によって設定されるセキュリティレベルが格納される。移動加入者のプロファイル内のセキュリティのレベルに応じて、移動加入者パケットは、単にＩＰＳＥＣ認証ヘッダを用いて認証されることが可能となる。ＩＰＳＥＣ認証ヘッダは、パケット全体およびセッション鍵にわたる符号語を生成し、その結果をＩＰＳＥＣ認証ヘッダに付加することによって、移動加入者パケットを認証する。認証された移動通信機器のみが、セッション鍵をアクセスポイントと共有し、正しい認証ヘッダを生成することができるため、安全なパケットごとの認証を実行することができる。
【００８７】
本発明のパケットごとの認証／暗号化ポリシーは、無権限の移動加入者がＰＡＭＬＡＮアクセスを得るために別の移動加入者のＩＰアドレスを騙るという偽造識別攻撃を防止するのに十分である。しかし、パケットごとの認証／暗号化ポリシーは、パケット内容のセキュリティを保護しない。移動加入者が盗聴(eavesdropping)を心配する場合、本発明は、ＩＰＳＥＣカプセル化セキュリティペイロード（ＥＳＰ）を用いてＩＰペイロードを暗号化する。別法として、本発明は、エンドツーエンドアプローチ（例えば、セキュアソケット）も使用する。
【００８８】
本発明によりサポートされるその他のポリシーには、（１）権限のあるサービスプロバイダとの一定のタイプの加入契約のみへのアクセスを提供すること、（２）広告付きで無料アクセスを提供すること、（３）特定のインターネットサイトへのアクセスを排除すること（すなわち、保護者機能(parental control)）、（４）サービスプロバイダのＱｏＳ制限を強制すること（例えば、アクセスレートへの制限）、がある。
【００８９】
トラフィックフィルタリング機能の助けを借りて、本発明は、ユーザごとのアカウンティング情報も収集も行う。一実施例では、アクセスポイントが、ユーザごとのアカウンティング情報を収集し、収集した情報を仮想事業者（すなわち、サービスプロバイダ）のＲＡＤＩＵＳサーバに送る。アカウンティング情報は、セッション継続時間、要求されたサービスの詳細なリスト、訪問されたサイトの詳細なリスト、全セッション継続時間、および、提供されたサービスのレベルを含むことが可能である。最も正確なアカウンティング情報を取得するためには、サービスプロバイダは、自己のロケーション、または、インターネット内の信頼されるエンティティのロケーションを通じて、すべての移動加入者トラフィックをルーティングしなければならないことになる。
【００９０】
別法として、さまざまな加入契約に対応する、次のようないくつかのローカルに動作するメカニズムを使用することも可能である。
【００９１】
１．定額制：  ＰＡＭＬＡＮ事業者は、仮想事業者に属する移動加入者に無制限のアクセスを提供するために、定額料金を各仮想事業者に課金する。その場合、仮想事業者は、各移動加入者に毎月定額料金を課金する。ゆるやかなアカウンティング方式が使用される。例えば、アクセスポイントのみが移動加入者トラフィックを追跡して定期的に仮想事業者に報告する。
【００９２】
２．セッションごと：  仮想事業者は、移動加入者のログインおよびサインオフの証明で満足する。
【００９３】
３．従量制：  移動加入者は、自己の移動通信機器がＰＡＭＬＡＮ上で生成した実際のトラフィックについてのみ課金される。紛争の可能性を避けるため、仮想事業者は、移動加入者およびアクセスポイントが同じトラフィック使用量を測定した証拠に対して、ディジタル署名（認証）しておかなければならない。
【００９４】
複数のサブネットワークを有する本発明の大規模な実装では、モビリティ管理が重要な問題となる。本発明はレイヤ３インフラストラクチャとして作用するため、特に動的パスルーティングや高速ＡＡＡハンドオフのようなモビリティ要求は、ＩＰレイヤでサポートされなければならない。
【００９５】
マイクロモビリティとは、ＰＡＭＬＡＮ環境内でのローミングを指す。ローカルな移動しかなされないときには、インターネットを通じて移動加入者のホームロケーションへリルーティングする完全なモバイルＩＰ手続きに従う必要はない。
【００９６】
セルラＩＰは、複数のルータ型アクセスポイントおよび単一のインターネットゲートウェイを有するＬＡＮ環境においてマイクロモビリティをサポートするために設計された。移動通信機器が移動してその関連するアクセスポイントを変更すると、ルーティング更新メッセージが移動通信機器から新たなアクセスポイントを通じてインターネットゲートウェイへ送られる。経路上の各ルータは、アクセスポイントやインターネットゲートウェイと同様に、この変更を反映するためにそのルーティングテーブルを更新する。通常のパケット伝送に休止がある場合にルーティングテーブルエントリが期限切れにならないようにするため、移動通信機器が定期的に位置更新パケット（ページングパケット）を送信しなければならないように、これらのルーティングエントリは定期的にリフレッシュされる。ＰＡＭＬＡＮが多数の移動通信機器にサービスしているときには、このプロセス全体は相当の負荷である。
【００９７】
マイクロモビリティのために、本発明は、インターネットゲートウェイとアクセスポイントの間のＭＰＬＳラベルスイッチパス（ＬＳＰ）を用いて、移動通信トラフィックを処理する。アクセスポイントおよびインターネットゲートウェイは、移動通信トラフィックの方向に応じて、入口または出口のルータとして作用する。ＬＳＰがアクセスポイントとインターネットゲートウェイの間で静的にプロビジョニングされる場合、移動通信機器が移動するときに中間ルータを更新する必要はない。異なるＬＳＰを通じて移動通信トラフィックをリダイレクトするための変更を、古い（旧）アクセスポイント、新しいアクセスポイントおよびインターネットゲートウェイのみに通知すればよい。効率的なマイクロモビリティのサポートとは別に、本発明のこの機能はまた、前述のように、仮想事業者ＬＡＮをプロビジョニングする１つの方法を提供する。
【００９８】
本発明のＰＡＭＬＡＮ環境では、移動加入者が新たなアクセスポイントと関連づけられるたびに移動加入者に認証プロセスを繰り返させることは、不便さとトラフィック中断の両方の理由で好ましくない。したがって、ＡＡＡ制御の状態が旧アクセスポイントから新アクセスポイントへ円滑に転送される必要がある。旧アクセスポイントが新アクセスポイントを信頼していれば、高速で円滑なハンドオフが可能である。これは本発明の特徴である。本発明は、高速なハンドオフを保証するために、次のステップを実行する。
【００９９】
１．新アクセスポイントが、旧アクセスポイントから移動加入者プロファイルをフェッチする。とりわけ、この移動加入者プロファイルは、移動加入者の公開鍵、移動加入者が旧アクセスポイントと共有していた旧セッション鍵、移動通信機器のＩＰアドレス、および、旧セッションに関連するすべてのアクセスポリシーを含む。
【０１００】
２．旧アクセスポイントが、ＲＡＤＩＵＳサーバに、現在のアカウンティングセッションの終了を通知する。
【０１０１】
３．新アクセスポイントが、新セッション鍵を生成し、移動加入者の公開鍵を用いて、この新セッション鍵および移動加入者の旧セッション鍵を暗号化し、その結果をＵＤＰパケットで移動加入者へ送る。移動加入者は、このパケットを受信すると、これらの鍵を復号し、旧セッション鍵を新セッション鍵と比較する。これらの２つが一致する場合、移動加入者は、新セッション鍵を用いて、アクセスポイントとの安全なセッションを確立する。
【０１０２】
４．新アクセスポイントは、移動加入者プロファイル内のアクセスポリシーとともに、フィルタリング機能をインストールする。新アクセスポイントは、ＲＡＤＩＵＳサーバとの新たなアカウンティングセッションを開始する。
【０１０３】
本発明のさまざまな側面についての以上の記載は、例示および説明の目的で提示されている。これは、網羅的であることや、開示されたとおりの形に本発明を限定することを意図しておらず、さまざまな変更や変形が、上記の説明に照らして可能であり、また、そのような変更や変形は本発明の実施から得られる。本発明の原理およびその実際的な応用は、当業者が、考えている具体的な利用法に適するように、さまざまな実施態様でさまざまな変更を加えて本発明を利用することができるように説明するために、記載されたものである。
【０１０４】
したがって、ここでは本発明のいくつかの側面についてのみ具体的に説明したが、明らかなように、本発明の技術思想および技術的範囲を離れることなく、さまざまな変更を本発明に加えることが可能である。さらに、頭字語は単に、明細書（特許請求の範囲を含む）の読みやすさを向上させるためにのみ使用されている。注意すべき点であるが、それらの頭字語は、使用されている用語の一般性を縮小することを意図しておらず、特許請求の範囲をここに記載した実施例に制限するように解釈されてはならない。
【図面の簡単な説明】
【０１０５】
【図１】３ＧＰＰにおけるＧＰＲＳおよび３Ｇネットワークアーキテクチャの例を示す図である。
【図２】３ＧＰＰ２分散アーキテクチャの例を示す図である。
【図３】本発明の実施例を示す図である。
【図４】本発明によるアクセスポイントの実施例を示す図である。
【図５】本発明の実施例におけるラベルスイッチパスの利用を示す図である。
【図６】エアアクセスポイントおよび無線機器のために、本発明によって使用されるプロトコルスタックを示す図である。
【図７】複数の仮想事業者に対するマルチプロトコルラベルスイッチングパスを有する、本発明の実施例を示す図である。
【図８】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す図である。
【図９】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す流れ図である。
【図１０】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す流れ図である。
【図１１】本発明におけるマルチプロトコルラベルスイッチングパスの作成と、マルチプロトコルラベルおよび仮想事業者識別タグの割当てを示す流れ図である。
【符号の説明】
【０１０６】
１０２  移動通信交換センタ（ＭＳＣ）
１０３  基地局
１０４  基地局コントローラ（ＢＳＣ）
１０５  基地局トランシーバ（ＢＴＳ）
１０６  ホームロケーションレジスタ（ＨＬＲ）
１０７  バーチャルロケーションレジスタ（ＶＬＲ）
１０８  端末識別レジスタ（ＥＩＲ）
１０９  認証センタ
１１０  ゲートウェイＧＰＲＳ／３Ｇサポートノード（ＧＧＳＮ）
１１１  サービングＧＰＲＳ／３Ｇサポートノード（ＳＧＳＮ）
１１２  無線ネットワーク基地局
１１３  インターネットインタフェース
１１４  無線ネットワークコントローラ（ＲＮＣ）
１１５  基地局トランシーバ（ＮＯＤＥ−Ｂ）
２０１  ２Ｇシステム
２０２  ホームロケーションレジスタ（ＨＲＬ）
２０３  バーチャルロケーションレジスタ（ＶＬＲ）
２０４  無線ネットワーク（ＲＮ）
２０５  パケット制御機能（ＰＣＦ）デバイス
２０６  無線リソースコントローラ（ＲＲＣ）
２０７  インターネット機器
２０８  ゲートウェイ（ＰＤＳＮ）
２０９  ＩＰネットワーク
２１０  ユーザホームネットワーク
２１１  ゲートウェイ（ＰＤＳＮ）
２１２  無線ＬＡＮ（ＷＬＡＮ）
２１３  公衆交換電話ネットワーク（ＰＳＴＮ）
３００  アクセスポイント
３０１  イーサーネットスイッチ
３０２  セグメント間ゲートウェイルータ
３１３  ＩＰアクセスルータ
３２０，３２１，３２２  エアインタフェース
３２５  ＩＰゲートウェイ
３４０  ＩＳＰネットワーク
３４１  仮想事業者サーバ
３４２  エンドユーザ公開鍵ディレクトリ
４０１  ＰＡＭＬＡＮ
４０２  ＩＰゲートウェイ
４０３，４０４  アクセスポイント
４０６  ＬＳＰ
４０８  移動端末
５０１  無線機器のプロトコルスタック
５０２  エアアクセスポイントのプロトコルスタック
６００  ＬＡＮセグメント３
６０１  ＬＡＮセグメント２
６０２  ＬＡＮセグメント１
６１０，６１２  ＰＡＭＬＡＮゲートウェイルータ
６１１，６１３  セグメント間ゲートウェイルータ
【図１】
2005137026.tif 000004
【図２】
2005137026.tif 000005
【図３】
2005137026.tif 000006
【図４】
2005137026.tif 000007
【図５】
2005137026.tif 000008
【図６】
2005137026.tif 000009
【図７】
2005137026.tif 000010
【図８】
2005137026.tif 000011
【図９】
2005137026.tif 000012
【図１０】
2005137026.tif 000013
【図１１】
2005137026.tif 000014