(57)【特許請求の範囲】
【請求項１】
移動端末の位置情報を登録する記憶部を有し、この記憶部に登録される位置情報に基づいて移動端末の通信を制御する移動端末の移動支援装置であって、
前記記憶部に登録される位置情報に対する優先度を登録する優先度登録手段と、
通信手段と、
前記通信手段で受信される位置情報更新要求について、この位置情報更新要求に含まれている優先度が前記記憶部内の更新対象の位置情報に対する優先度よりも高いか否かを判定し、前記位置情報更新要求内の優先度が高いと判定する場合に、前記更新対象の位置情報を前記位置情報更新要求に含まれている位置情報で更新する更新処理手段と、
を含む移動端末の移動支援装置。
【請求項２】
前記更新処理手段は、移動端末からの前記更新要求について、前記判定処理を行う
請求項１記載の移動端末の移動支援装置。
【請求項３】
前記更新処理手段は、移動支援装置の管理端末からの前記更新要求について、前記判定処理を行う
請求項１又は２記載の移動端末の移動支援装置。
【請求項４】
最高位の優先度が設定された位置情報が前記記憶部に記憶された場合に、所定時間を計時する計時手段と、
前記計時手段が所定時間を計時したときに、前記最高位の優先度を下位の優先度に書き換える書換手段と
をさらに含む請求項１〜３の何れか１項に記載の移動端末の移動支援装置。
【請求項５】
前記更新処理手段は、最高位の優先度が設定された位置情報を前記記憶部に登録する場合に、この位置情報に対する優先度を最高位よりも低い優先度で登録する
請求項１〜３の何れか１項に記載の移動端末の移動支援装置。
【請求項６】
前記更新処理手段は、前記通信手段で受信される位置情報更新要求の送信元が所定のノードである場合にのみ、この位置情報更新要求を受け付ける
請求項１〜５の何れか１項に記載の移動端末の移動支援装置。
【請求項７】
前記記憶部に記憶されている位置情報に対し、パケットの転送先情報を設定する転送先設定手段と、
前記通信手段で受信されるパケットの送信元が前記転送先情報が設定された位置情報に係る移動端末である場合に、このパケットを前記通信手段から前記転送先情報に基づく転送先へ向けて送出させる転送制御手段と
をさらに含む請求項１〜６の何れか１項に記載の移動端末の移動支援装置。
【請求項８】
前記転送制御手段は、前記通信手段で受信されるパケットの宛先が前記転送先アドレスが設定された位置情報に係る移動端末である場合に、このパケットを前記通信手段から前記転送先情報に基づく転送先へ向けて送出させる
請求項７に記載の移動端末の移動支援装置。
【請求項９】
所定端末からの要求に応じて、前記記憶部に記憶された所定の位置情報に係る移動端末に対するパケットの送信許可状態を設定する手段と、
前記通信手段で受信されるパケットの送信元が前記所定端末である場合に、前記送信許可状態に従って、このパケットを前記通信手段から前記移動端末へ送信させる中継処理手段と
をさらに含む請求項１〜８の何れか１項に記載の移動端末の移動支援装置。
【請求項１０】
前記中継処理手段は、移動端末へ転送すべきパケットの送信元アドレスを移動支援装置のアドレスに書き換える
請求項９に記載の移動端末の移動支援装置。
【請求項１１】
前記中継処理手段は、前記移動端末に位置情報更新要求の送信を強制的に行わせるメッセージを含むパケットを中継する
請求項９又は１０に記載の移動端末の移動支援装置。
【請求項１２】
前記中継処理手段は、前記移動端末の動作を停止させるメッセージを含むパケットを中継する
請求項９〜１１の何れか１項に記載の移動端末の移動支援装置。
【請求項１３】
管理端末からの要求に応じて、前記記憶部に記憶されている特定の位置情報に対し、管理端末による制御対象であることを示す被制御対象情報を登録する登録手段と、
前記通信手段で受信される前記管理端末からの制御情報に基づいて、前記被制御対象情報が登録された位置情報に係る処理を行う制御手段と
を含む請求項１〜１２の何れか１項に記載の移動端末の移動支援装置。
【発明の詳細な説明】
【技術分野】  本発明は、移動端末（Ｍｏｂｉｌｅ  Ｎｏｄｅ：ＭＮ）の位置登録を支援する移動支援装置（Ｈｏｍｅ  Ａｇｅｎｔ：ＨＡ）に関する。
【背景技術】  Ｍｏｂｉｌｅ  ＩＰ（Ｍｏｂｌｉｅ  ＩＰｖ４：非特許文献１参照、Ｍｏｂｉｌｅ  ＩＰｖ６：非特許文献２参照）の分野では、移動端末（Ｍｏｂｉｌｅ  Ｎｏｄｅ：ＭＮ）は、移動支援装置であるホームエージェント（Ｈｏｍｅ  Ａｇｅｎｔ：ＨＡ）に対して位置登録要求（Ｂｉｎｄｉｎｇ  Ｕｐｄａｔｅ：ＢＵ）のメッセージを送信することで、移動支援を依頼する。
ＭＮがＨＡにＢＵを送信する場合には、ＩＰ  Ｓｅｃｕｒｉｔｙ  Ｐｒｏｔｏｃｏｌ（ＩＰＳｅｃ）を用いたネゴシエーションがＭＮとＨＡとの間で行われ、これを基に位置登録が行われる。これによって、セキュリティ面の強化が図られている。
しかしながら、ＭＮの紛失や盗難、ＭＮ−ＨＡ間の通信の傍受等でセキュリティ情報が漏れてしまう可能性がある。この場合、不正なユーザがセキュリティ情報を用いてＨＡに対して不正な位置登録を行った場合には、正規のユーザがＨＡに対して位置登録を行おうとしても、位置登録ができない状態が継続してしまう場合がある。しかしながら、このような状態を解除するための有効な方法が存在していなかった。
以下、図３１〜図３７を用い、Ｍｏｂｉｌｅ  ＩＰｖ６の場合を例として、従来技術の問題点について説明する。図３１は、Ｍｏｂｉｌｅ  ＩＰｖ６が適用されるネットワーク構成の例を示す図である。図３１において、Ｍ１は、ユーザＢ（妨害者）の移動端末である。Ｍ２は、正規のユーザＡ（契約者）の移動端末である。移動端末Ｍ２は、ホームリンクで使用するホームアドレス（ＨｏＡ）を持ち、移動先（フォーリンリンク）では、気付アドレス（Ｃａｒｅ−ｏｆ  ａｄｄｒｅｓｓ：ＣｏＡ）を獲得し、ＨＡに対して位置登録を行う。Ｍ３，Ｍ４，Ｍ６は、一般のルータであり、インターネットＭ９に接続されている。
Ｍ７は、移動支援装置（ホームエージェント：ＨＡ）である。ＨＡは、ＭＮからの位置登録要求（ＢＵ：Ｂｉｎｄｉｎｇ  Ｕｐｄａｔｅ）を受信する。ＢＵメッセージは、ＭＮのＨｏＡとＣｏＡとを含んでいる。ＨＡは、ＢＵを受信すると、ＨｏＡとＣｏＡとの関連づけ（「バインディング」と呼ばれる）をＭＮの位置情報として、バインディングキャッシュ（Ｂｉｎｄｉｎｇ  Ｃａｃｈｅ：ＢＣ）と呼ばれる領域に登録する。また、ＨＡは、ＭＮと通信相手のノード（ＣＮ（Ｃｏｒｒｅｓｐｏｎｄｅｎｔ  Ｎｏｄｅ）と呼ばれる）との間で通信を行う場合には、ＨＡは双方からのパケットを中継する。このとき、ＨＡは、ＭＮ宛のパケットを受信し、ＢＣを参照して現在のＭＮのＣｏＡへパケットをカプセル化して転送する。
Ｍ８は、ゲートウェイであり、企業網Ｍ１１とインターネットＭ９との間に位置し、ゲートウェイ機能を有する。Ｍ９は、通常のインターネットである。Ｍ１１は、企業網のようなプライベート網である。また、ゲートウェイＭ８は、ホームエージェントＭ７との連携により、ＭＮが企業網Ｍ１１に対してＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）通信によりアクセスすることを可能とする。Ｍ１２は、無線アクセスポイントであり、ＩＥＥＥ８０２．１１ｘ等を用いて移動端末Ｍ１、移動端末Ｍ２等と接続される。
図３２は、図３１に示したようなネットワークシステムにおけるＭｏｂｉｌｅ  ＩＰｖ６での位置登録処理に係る動作概要を示す。図３２において、ホームアドレス“ＨｏＡ−Ｍ２”を持つ移動端末Ｍ２は、移動支援を依頼する時、ルータＭ４からのルータ広告（Ｒｏｕｔｅｒ（Ａｇｅｎｔ）Ａｄｖｅｒｔｉｓｅｍｅｎｔ：ＲＡ）を受信する（図３２（１））。そして、移動端末Ｍ２は、ＲＡに基づき、“ＨｏＡ−Ｍ２”に対する気付アドレス“ＣｏＡ−Ｍ４”を作成する（図３２（２））。次に、移動端末Ｍ２は、ホームエージェントＭ７とセキュリティネゴシエーション（認証処理）を行い（図３２（３））、その後、ホームエージェントＭ７に対してＢＵを送信する（図３２（４））。図３３は、ＢＵメッセージのフォーマット構成例を示す。ホームエージェントＭ７は、ＢＵを受け付けると、これに含まれる“ＨｏＡ−Ｍ２”と“ＣｏＡ−Ｍ４”との関連付けを行い（バインディングを生成し）、バインディングキャッシュ（ＢＣ）に登録する（図３２（５））。図３４は、通常のＨｏＡ毎にバインディングキャッシュを格納するＢＣテーブルの例を示す。
図３５は、図３１に示したようなネットワークシステムにおいて、移動端末Ｍ２に係る情報を移動端末Ｍ１のユーザＢが不正に入手した場合についての動作概要を示す。図３５において、移動端末Ｍ１は、不正入手した情報を用い、移動端末Ｍ２になりすまして移動支援を依頼する時、ルータＭ３からのＲＡを受信し（図３５（１））、このＲＡに基づいて係る気付アドレス“ＣｏＡ−Ｍ３”を作成し（図３５（２））、ホームエージェントＭ７との間で認証処理を行い（図３５（３））、その後、ホームエージェントＭ７へＢＵを送信する（図３５（４））。ホームエージェントＭ７は、ＢＵを受け付けると、なりすましによる“ＨｏＡ−Ｍ２”と“ＣｏＡ−Ｍ３”との関連付け（バインディング）をＢＣに登録する（図３５（５））。
その後、移動端末Ｍ２が図３２で説明した動作を行う場合を仮定する。この場合、移動端末Ｍ２は、ルータＭ４からＲＡを受信し（図３５（６））、“ＣｏＡ−Ｍ４”を作成し（図３５（７））、ホームエージェントＭ７に対してセキュリティのネゴシエーションを行い（図３５（８））、ＢＵを送信する（図３５（９））。
このとき、ホームエージェントＭ７では、なりすましにより“ＨｏＡ−Ｍ２”に係るＢＣが既に登録されているので、ホームエージェントＭ７は、移動端末Ｍ２からの位置登録を拒否する。この場合、セキュリティネゴシエーション手順により、移動端末Ｍ２とホームエージェントＭ７との間で新規の認証用の鍵を登録しようとしても、その鍵は既に登録されている鍵（ユーザＢにより改竄された鍵）と異なるためその登録は拒否されてしまう。従って、移動端末Ｍ２は、位置登録ができないので、通信を行うことができない。
図３６は、図３１に示したようなネットワークシステムにおいて、ユーザＢ（妨害者）が移動端末Ｍ２を不正に入手した場合における位置登録の動作概要を示している。図３６において、ユーザＢは、移動端末Ｍ２を用いてユーザＡになりすまし、図３５で説明した（１）〜（５）と同様の動作を行う（図６（１）〜（５））。この場合には、ユーザＡが移動端末Ｍ２の代わりの新規の移動端末を入手し（図３６（６））、図３５における（６）〜（９）と同様の動作（新規端末の位置登録手順：図３６（７）〜（１０））が行われても、既に位置登録が行われているので、位置登録が拒否され、通信を行うことができない。
また、図３５及び図３６に示すケースでは、ホームエージェントＭ７に企業ＶＰＮ−ＧＷ（ルータ）としてのゲートウェイＭ８が直接（ＩＰレベルで透過的に）接続されている。このため、ユーザＢがホームエージェントＭ７を介してゲートウェイＭ８のアドレスを入手し、ゲートウェイＭ８を介して企業網に攻撃を加える可能性があった。
図３７は、図３１に示したようなネットワークシステムにおいて、図３２における（１）〜（５）の動作が行われた状態において、無線ＬＡＮからのＷＥＰコードの傍受と解析により、ＶＰＮアドレスが検出される例を示している。
図３７において、移動端末Ｍ２が企業網Ｍ１１にアクセスする場合、図３２における（１）〜（５）と同様の動作（位置登録手順）によって無線アクセスポイント１２及びルータＭ４を介してホームエージェントＭ７に対する移動端末Ｍ２の位置登録が行われた後、企業網Ｍ１１内のローカルアドレスである移動端末Ｍ２のホームアドレス“ＨｏＡ−Ｍ２”を用いてホームエージェントＭ７とゲートウェイＭ８との間でＶＰＮ接続が行われる（図３７（１））。その後、移動端末Ｍ２は、企業網Ｍ１１との間で通信を行うことができる（図３７（２））。ここで、不正者が端末Ｍ１を用いて移動端末Ｍ２と無線アクセスポイントＭ１２間の通信を傍受し（図３７（３））、無線アクセスポイントＭ１２と移動端末Ｍ２との間のＷｉｒｅｄ  Ｅｑｕｉｖａｌｅｎｔ  Ｐｒｉｖａｃｙ（ＷＥＰ）暗号を覗き、例えば非特許文献４等に開示される技術を用いてＷＥＰ暗号を解読し、ホームエージェントＭ７のアドレスを見つけた場合には、不正者が、端末Ｍ１を用いて、一般のルータＭ１３を経由して、ホームエージェントＭ７に対して不正な攻撃（アタック）を行う（図３７（４））可能性が生じる。
この場合、ホームエージェントＭ７のアドレスが解ってしまうことにより、移動端末Ｍ２側で受信されるデータ情報から直接ホームエージェントＭ７のアドレス（ソースアドレス）を見ることができる。このため、ホームエージェントＭ７が移動端末Ｍ２になりすました端末（端末Ｍ１等）から不正な要求を受け付けてしまう可能性がある。
【非特許文献１】（Ｍｏｂｉｌｅ  ＩＰｖ４）
ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２００２．ｔｘｔ
【非特許文献２】（Ｍｏｂｉｌｅ  ＩＰｖ６）
ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｆｔｓ／ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｉｐ−ｉｐｖ６−２３．ｔｘｔ
【非特許文献３】（ＷＥＰ）
Ｉｎｔｅｒｃｅｐｔｉｎｇ  Ｍｏｂｉｌｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ：Ｔｈｅ  Ｉｎｓｅｃｕｒｉｔｙ  ｏｆ  ８０２．１１（Ｎｉｋｉｔａ  Ｂｏｒｉｓｏｖ、Ｉａｎ  Ｇｏｌｄｂｅｒｇ、およびＤａｖｉｄ  Ｗａｇｎｅｒ著）
【非特許文献４】（ＳＳＬ）
ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２２４６．ｔｘｔ？ｎｕｍｂｅｒ＝２２４６
【発明の開示】
本発明の目的の一つは、既に行われている位置登録を削除することができる技術を提供することである。
また、本発明の他の目的は、移動支援装置への攻撃によってその通信が実施できなくなることを防止する技術を提供することである。
本発明の第１の態様は、移動端末の位置情報を登録する記憶部を有し、この記憶部に登録される位置情報に基づいて移動端末の通信を制御する移動端末の移動支援装置であって、
前記記憶部に登録される位置情報に対する優先度を登録する優先度登録手段と、
通信手段と、
前記通信手段で受信される位置情報更新要求について、この位置情報更新要求に含まれている優先度が前記記憶部内の更新対象の位置情報に対する優先度よりも高いか否かを判定し、前記位置情報更新要求内の優先度が高いと判定する場合に、前記更新対象の位置情報を前記位置情報更新要求に含まれている位置情報で更新する更新処理手段と、を含む移動端末の移動支援装置である。
第１の態様によれば、記憶部に位置登録情報が登録されている場合において、その位置登録情報の優先度よりも位置登録更新要求に含まれる優先度が高いと判定される場合には、この更新要求に含まれる位置登録情報で記憶部内の対応する位置登録情報が更新される。従って、記憶部に登録された位置登録情報が不正な位置登録情報であれば、上記作用によって、この不正な位置登録情報は記憶部から削除される。このようにして、不正な位置登録が行われた場合に、この位置登録を排除することができ、正規な位置登録を行うことができるようにすることができる。
好ましくは、第１の態様における更新処理手段は、移動端末からの前記更新要求について、前記判定処理を行う。
また、好ましくは、第１の態様における更新処理手段は、移動支援装置の管理端末からの前記更新要求について、前記判定処理を行う。
このように、第１の態様では、位置登録支援装置に対して位置登録を行っている移動端末と異なる端末からの位置登録更新要求に基づいて、当該移動端末により登録された位置情報が更新される。
また、好ましくは、第１の態様は、最高位の優先度が設定された位置情報が前記記憶部に記憶された場合に、所定時間を計時する計時手段と、
前記計時手段が所定時間を計時したときに、前記最高位の優先度を下位の優先度に書き換える書換手段とをさらに含む。
また、好ましくは、第１の態様における更新処理手段は、最高位の優先度が設定された位置情報を前記記憶部に登録する場合に、この位置情報に対する優先度を最高位よりも低い優先度で登録する。
また、第１の態様における更新処理手段は、比較対象の双方の優先度が等しく且つ最高位の優先度でない場合には、更新要求中の優先度が高いと判定するように構成することができる。
また、第１の態様における更新処理手段は、比較対象の双方の優先度が最高位である場合には、更新要求中の優先度が高いと判定するように構成することもできる。
また、本発明の第２の態様は、移動端末の位置情報を登録する記憶部を有し、この記憶部に登録される位置情報に基づいて移動端末の通信を制御する移動端末の移動支援装置であって、
通信手段と、
第１の位置情報を含む位置情報更新要求を移動支援装置の管理端末から前記通信手段を介して受け取り、前記第１の位置情報で前記記憶部内の更新対象の位置情報を書き換え、その後、第２の位置情報を含む位置情報更新要求を移動端末から前記通信手段を介して受け取り、前記記憶部内の第１の位置情報を前記第２の位置情報に書き換える更新処理手段と、を含む移動端末の移動支援装置である。
好ましくは、第１及び第２の態様における更新処理手段は、前記通信手段で受信される位置情報更新要求の送信元が所定のノードである場合にのみ、この位置情報更新要求を受け付ける。
本発明の第３の態様は、移動端末の位置情報を登録する記憶部を有し、この記憶部に登録される位置情報に基づいて移動端末の通信を制御する移動端末の移動支援装置であって、通信手段と、
複数の識別情報を有する移動端末からの位置情報の更新要求を前記通信手段を介して受け取り、この更新要求内の位置情報に含まれる移動端末の識別情報と異なるこの移動端末の識別情報を含む位置情報が前記記憶部に登録されている場合には、この前記記憶部内の位置情報を、前記更新要求中の位置情報に基づいて更新する更新処理手段とを含む移動端末の移動支援装置である。
この場合、例えば、複数の識別情報が優劣関係を持ち、更新要求中の識別情報に劣る識別情報を含む位置情報が記憶部に登録されている場合には、その位置情報が更新要求中の位置情報に基づいて更新されるように構成するのが好ましい。
好ましくは、第１〜第３の態様は、前記記憶部に記憶されている位置情報に対し、パケットの転送先情報を設定する転送先設定手段と、
前記通信手段で受信されるパケットの送信元が前記転送先情報が設定された位置情報に係る移動端末である場合に、このパケットを前記通信手段から前記転送先情報に基づく転送先へ向けて送出させる転送制御手段とをさらに含む。
また、好ましくは、転送制御手段は、前記通信手段で受信されるパケットの宛先が前記転送先アドレスが設定された位置情報に係る移動端末である場合に、このパケットを前記通信手段から前記転送先情報に基づく転送先へ向けて送出させる。
また、第１〜３の態様は、所定端末からの要求に応じて、前記記憶部に記憶された所定の位置情報に係る移動端末に対するパケットの送信許可状態を設定する手段と、
前記通信手段で受信されるパケットの送信元が前記所定端末である場合に、前記送信許可状態に従って、このパケットを前記通信手段から前記移動端末へ送信させる中継処理手段とをさらに含む。
また、好ましくは、中継処理手段は、移動端末へ転送すべきパケットの送信元アドレスを移動支援装置のアドレスに書き換える。
また、好ましくは、中継処理手段は、前記移動端末に位置情報更新要求の送信を強制的に行わせるメッセージを含むパケットを中継する。
また、好ましくは、中継処理手段は、前記移動端末の動作を停止させるメッセージを含むパケットを中継する。
また、第１〜第３の態様は、管理端末からの要求に応じて、前記記憶部に記憶されている特定の位置情報に対し、管理端末による制御対象であることを示す被制御対象情報を登録する登録手段と、
前記通信手段で受信される前記管理端末からの制御情報に基づいて、前記被制御対象情報が登録された位置情報に係る処理を行う制御手段とをさらに含む。
被制御対象情報は、例えば、管理端末が位置するネットワークのアドレス、又は管理端末自身のアドレスである。
また、本発明の第４の態様は、移動端末と、第１の移動支援装置と、第２の移動支援装置と、前記移動端末がアクセスするプライベート網のゲートウェイとを含み、
前記第１の移動支援装置は、前記移動端末及び前記ゲートウェイからの位置登録を受け付けて、自身を経由する前記移動端末と前記ゲートウェイとの間の通信を確立し、
前記第２の移動支援装置は、前記第１の移動支援装置に対する負荷上昇によって前記移動端末が前記第１の移動支援装置を介して前記ゲートウェイと通信できないと判定した場合に、前記移動端末及び前記ゲートウェイから位置登録を受け付けて、自身を経由する前記移動端末と前記ゲートウェイとの間の通信を確立する移動通信システムである。
また、本発明の第５の態様は、移動端末と、移動支援装置と、移動端末がアクセスするプライベート網の第１及び第２のゲートウェイとを含み、
前記移動支援装置は、前記移動端末及び前記第１のゲートウェイからの位置登録を受け付けて、自身を経由する前記移動端末と前記第１のゲートウェイとの間の通信を確立し、
前記第２のゲートウェイは、前記第１のゲートウェイの負荷が所定値を越える場合に、前記移動支援装置に対し、前記第１のゲートウェイとして位置登録を行い、前記移動端末との通信を前記第１のゲートウェイから引き継ぐ移動通信システムである。
好ましくは、第５の態様における第２のゲートウェイは、前記移動端末との通信を前記第１のゲートウェイから引き継ぐ場合に、前記移動端末が不正な移動端末か否かを試験し、試験結果により前記移動端末が不正な移動端末と判定する場合に、前記移動支援装置に対し、前記移動端末との通信を切断するための処理を依頼する。
本発明は、上述した移動支援装置や移動通信システムと同様の特徴を持つ移動支援装置における位置登録制御方法、通信路（通信パス）の切り換え方法として特定することも可能である。
【図面の簡単な説明】  図１は、本発明の第１実施形態の説明図であり；
図２は、本発明の第２実施形態の説明図であり；
図３は、本発明の第３実施形態の説明図であり；
図４は、本発明の第４実施形態の説明図であり；
図５は、本発明の第５実施形態の説明図であり；
図６は、本発明の第６実施形態の説明図であり；
図７は、本発明の第７実施形態の説明図であり；
図８は、本発明の第８実施形態の説明図であり；
図９は、本発明の第９実施形態の説明図であり；
図１０は、本発明の第９実施形態の動作例を示すシーケンス図であり；
図１１は、本発明の第１０実施形態の説明図であり；
図１２は、本発明の第１０実施形態の動作例を示すシーケンス図であり；
図１３は、移動支援装置（ＨＡ）の構成例を示すブロック図であり；
図１４は、移動端末（ＭＮ）の構成例を示すブロック図であり；
図１５は、管理端末の構成例を示すブロック図であり；
図１６は、バインディングキャッシュに優先度が設定されるバインディングテーブルの一例を示す図であり；
図１７は、バインディングキャッシュに固定宛先アドレスが設定されるバインディングキャッシュテーブルの一例を示す図であり；
図１８は、バインディングキャッシュ（ＨｏＡ）に優劣度が設定されるバインディングキャッシュテーブルの一例を示す図であり；
図１９は、バインディングキャッシュに優先度と優先度の設定を許可するアドレスとが設定されるバインディングキャッシュテーブルの一例を示す図であり；
図２０（Ａ）は、複数のＨｏＡの関連づけ登録処理に係る情報を格納するテーブルの一例を示す図であり、図２０（Ｂ）は、制御提供機能の説明図であり；
図２１は、優先度が指定されたバインディング更新メッセージの例を示す図であり；
図２２は、メッセージの長さで優先度を定義するバインディング更新メッセージの例を示す図であり；
図２３は、複数のＨｏＡの登録要求メッセージの一例を示す図であり；
図２４は、通常のバインディング・リフレッシュ・リクエスト・メッセージの例を示す図であり；
図２５は、移動端末に対する停止メッセージの一例を示す図であり；
図２６は、移動支援装置（ＨＡ）による処理の例を示すフローチャートであり；
図２７は、優先位置登録処理の例を示すフローチャートであり；
図２８は、バインディングキャッシュの有効アドレス指定処理の例を示すフローチャートであり；
図２９は、バインディングキャッシュテーブル更新処理の例を示すフローチャートであり；
図３０は、複数のホームアドレスの関連づけ処理要求ポリシー関連づけ処理登録の例を示すフローチャートであり；
図３１は、Ｍｏｂｉｌｅ  ＩＰｖ６に従って動作するネットワークの構成例を示す図であり；
図３２は、図３１に示すネットワークにおいて、Ｍｏｂｉｌｅ  ＩＰｖ６に従った位置登録処理が行われる場合の例を示す図であり；
図３３は、通常のバインディング更新メッセージを示す図であり；
図３４は、通常のバインディングキャッシュテーブルを示す図であり；
図３５は、不正なユーザがなりすましによりホームエージェントに対して位置登録を実施し、これによって正規のユーザが位置登録を実施できなくなった場合の説明図であり；
図３６は、正規の移動端末が不正に使用されてホームエージェントに対する位置登録が実施された場合の説明図であり；
図３７は、無線ＬＡＮのアクセスポイントでのＷＥＰ鍵を入手して、ホームエージェントのアドレスを入手し、ホームエージェントに対して攻撃を加えている場合の説明図である。
【発明を実施するための最良の形態】  以下、図面を参照して本発明の実施形態について説明する。実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。
〈第１実施形態〉
図１は、本発明の第１の実施形態の説明図である。図１には、本発明に係る移動端末（ＭＮ）の移動支援装置としてのホームエージェント（ＨＡ）Ｍ７Ａを含むネットワークシステムが示されている。ホームエージェントＭ７Ａは、インターネットＭ９に接続されており、Ｍｏｂｉｌｅ  ＩＰｖ６に従って移動端末（ＭＮ）の位置登録を支援するとともに、ＭＮとその通信相手の端末（ｃｏｒｒｅｓｐｏｎｄｅｎｔ  ｎｏｄｅ：ＣＮ）との間で送受信されるパケットを中継する。
移動端末は、ルータＭ３やルータＭ４のようなインターネットＭ９に接続されたルータを介して、ホームエージェントＭ７Ａに対し、自身の位置管理情報を登録することができる。図１には、ホームエージェントＭ７Ａを用いた移動通信サービスに加入している正規のユーザＡにより使用される移動端末Ｍ２と、不正なユーザＢにより使用される移動端末Ｍ１が図示されている。
また、ホームエージェントＭ７Ａは、ルータＭ６を介して、インターネットＭ９と企業網Ｍ１１とを接続するゲートウェイＭ８に接続されている。移動端末Ｍ２は、ホームエージェントＭ７Ａに対して自身の位置登録を行い、ホームエージェントＭ７Ａ，ルータＭ６，ゲートウェイＭ８を介して企業網Ｍ１１中の端末（図示せず）と通信を行うことができる。
図１には、妨害者（ユーザＢ）が、移動端末Ｍ１を用いて移動端末Ｍ２（正規のユーザＡ）のなりすましによる移動支援を依頼する場合が示されている。この場合、移動端末Ｍ１は、ルータＭ３からのルータ広告（ＲＡ）を受信する（図１（１））。すると、移動端末Ｍ１は、気付アドレス“ＣｏＡ−Ｍ３”を作成する（図１（２））。次に、移動端末Ｍ１は、移動端末Ｍ２になりすまして（“ＨｏＡ−Ｍ２”を用いて）ホームエージェントＭ７Ａに対してセキュリティのネゴシエーションを行う（図１（３））。その後、移動端末Ｍ１は、移動端末Ｍ２のホームアドレス“ＨｏＡ−Ｍ２”に対応する気付アドレス“ＣｏＡ−Ｍ３”をホームエージェントＭ７Ａに通知するための位置登録更新要求メッセージ（Ｂｉｎｄｉｎｇ  Ｕｐｄａｔｅ：ＢＵ：図３３参照）を送信する（図１（４））。
ホームエージェントＭ７Ａは、移動端末Ｍ１からのＢＵを受け付けると、“ＨｏＡ−Ｍ２”と“ＣｏＡ−Ｍ３”との対応づけを行う。このようなホームアドレスと気付アドレスとの関係及び対応づけは“バインディング（ｂｉｎｄｉｎｇ）”と呼ばれる。ホームエージェントＭ７Ａは、バインディングを、位置管理情報として、ホームエージェントＭ７Ａが有する記憶装置（例えば、ＲＡＭ，ハードディスク等）上に用意された領域（「Ｂｉｎｄｉｎｇ  Ｃａｃｈｅ：ＢＣ」と呼ばれる）に登録する。ＢＣは、例えば、ＨｏＡ毎にエントリが用意されたＢＣテーブル（例えば、図１６参照）として管理される（図１（５））。
その後、正規のユーザＡの移動端末Ｍ２ＡがホームエージェントＭ７Ａに移動支援を依頼する場合には、移動端末Ｍ２は、ルータＭ４からのＲＡを受信し（図１（６））、気付アドレス“ＣｏＡ−Ｍ４”を作成し（図１（７））、移動端末Ｍ２−ホームエージェントＭ７Ａ間でセキュリティのネゴシエーション（認証処理）を行う（図１（８））。その後、移動端末Ｍ２Ａは、ホームアドレス“ＨｏＡ−Ｍ２”に対応する気付アドレス“ＣｏＡ−Ｍ４”をホームエージェントＭ７Ａに通知するためのＢＵを送信する（図１（９））。
しかしながら、ホームエージェントＭ７Ａにおいて、ホームアドレス“ＨｏＡ−Ｍ２”に係るバインディング情報は、セキュリティにより保護された状態で登録されている。このため、ホームエージェントＭ７ＡはＢＵを受け付けず、バインディング応答（Ｂｉｎｄｉｎｇ  Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ（ＢＡ））のメッセージによって、“異常”を移動端末Ｍ２に対して返送する（図１（１０））。
このような異常を受け付けた移動端末Ｍ２は、バインディングに対する優先度が指定（優先度を示す指示レベル情報が付与）された“ＨｏＡ−Ｍ２”に係るＢＵを生成及び送信する（図１（１１））。優先度が指定されたＢＵとして、例えば、図２１に示すような優先処理登録のヘッダフィールド（“優先度”の格納フィールドを持つ）を持つＢＵメッセージや、図２２に示すような、所定のヘッダフィールドの数によって優先度が指定されるようにしたＢＵメッセージを適用することができる。
ホームエージェントＭ７Ａは、優先度が付与されたＢＵを受信すると、このＢＵに含まれるホームアドレスから“ＨｏＡ−Ｍ２”に係るＢＣを割り出し、このＢＣに対して設定されているバインディングの優先度と、ＢＵに含まれた優先度との比較を行う。このとき、ＢＣに設定されている優先度よりもＢＵに含まれた優先度が高いと判断する場合には、ホームエージェントＭ７Ａは、このＢＵを受け付け、このＢＵから得られるバインディングで“ＨｏＡ−Ｍ２”に係るＢＣを更新する（図１（１２））。これによって、不正なバインディングが削除（排除）される。また、移動端末Ｍ２からの正規のバインディングがＢＣとして登録される。ホームエージェントＭ７Ａは、ＢＣを記憶装置に登録（新規登録及び更新登録）する場合には、このＢＣに対応する優先度をＢＣと関連づけて登録する（図１６参照）。
なお、ホームエージェントＭ７Ａで受信されるＢＵに優先度指定がない場合（優先度指定がないＢＵを「一般ＢＵ」と呼ぶ）には、この一般ＢＵに基づくＢＣへの位置登録に対する優先度（指示レベル情報）は、指定無しを示す“ＥＭＰＴＹ（Ｐｒｉｏｒｉｔｙ＝０）”となる。一般ＢＵに対し、優先度が指定（指示レベル情報が付与）されたＢＵを、“特殊ＢＵ”と呼ぶ。
図１に示す例では、（４）で送信されるＢＵは一般ＢＵであるので、この一般ＢＵに基づく位置登録の優先度は“指定無し”となる。“指定無し”についての優先度のレベル（ランク）は最下位である。これに対し、（１１）で送信されるＢＵは特殊ＢＵであり、この特殊ＢＵで指定された優先度“ＬＥＶＥＬ  １”は、優先度“指定無し”に優先する。これによって、不正なＢＣが削除され、今回の特殊ＢＵに基づくバインディングがＢＣとして登録（更新）される。
なお、図１に従った説明では、移動端末Ｍ１は優先度が付与されていないＢＵを送信する（図１（４））。これに代えて、図１（４）で優先度が指定されたＢＵが送信される場合でも、このＢＵで指定された優先度より高い優先度が指定されたＢＵが移動端末Ｍ２から送信（図１（１１））されれば、上記と同様に、不正な位置登録を排除し、正規の位置登録を行うことができる。
〈第２実施形態〉
図２は、本発明の第２の実施形態の説明図である。図２に示すネットワークシステムの構成は、図１に示したネットワークシステムとほぼ同様である。但し、第２実施形態では、ホームエージェントＭ７Ａの管理端末Ｍ１０が、インターネット上のルータＭ５を介してホームエージェントＭ７Ａに接続されている。この点を除き、第２実施形態のネットワーク構成は、第１実施形態と同じである。
第２実施形態では、管理端末Ｍ１０により、ＨＡにおけるＢＣの登録（更新）が制御される。図２において、（１）〜（１０）の手順は、図１に示した（１）〜（１０）と同様であるので、説明を省略する。
図２（１１）では、ホームエージェントＭ７Ａの管理者は、ユーザＡから位置登録ができない旨の連絡を受け取り、管理者側（管理端末Ｍ１０）で不正に登録されたＢＣを削除する。このため、管理端末Ｍ１０が、指示レベル情報が付与されたＢＵをホームエージェントＭ７Ａへ送信する。このＢＵは、ホームアドレス“ＨｏＡ−Ｍ２”に係るＢＣに対する仮のバインディング情報を含む更新要求である。
ホームエージェントＭ７Ａは、管理端末Ｍ１０からの優先度を含むＢＵを受信すると、不正に登録されたＢＣを更新対象として（ＨｏＡからＢＣを割り出す）、このＢＣについて登録されている優先度（前回登録ＢＵの優先度）と、今回のＢＵで指定された優先度とを比較し、今回の優先度が高いと判断すると、今回のＢＵを受け付けてＢＣの対応エントリを更新する。このようにして、不正なバインディング情報を削除することができる。なお、第２実施形態でも、図１６に示したようなＢＣテーブルや、図２１及び図２２に示したようなＢＵメッセージを適用することができる。
また、管理端末Ｍ１０は、ホームエージェントＭ７Ａが管理端末Ｍ１０からのＢＵでＢＣを更新した場合に、このＢＣを正規のユーザ（ユーザＡ）の移動端末Ｍ２が引き継ぐための条件をホームエージェントＭ７Ａに関連づけ（設定）するように構成することができる。この場合、ホームエージェントＭ７Ａは、移動端末Ｍ２からの引継条件を満たすＢＵに応じて、当該ＢＣを更新する。
また、管理端末Ｍ１０からの要求に従って、ホームエージェントＭ７Ａが位置登録に係るセキュリティのアルゴリズム情報構成を変更するように構成することができる。この場合、ホームエージェントＭ７Ａが“ＣｏＡ−Ｍ３”（即ち移動端末Ｍ１）からのＢＵを受け付けない設定にすることができる。
上記のような設定は、管理端末Ｍ１０がＢＵに設定のための情報を含めてホームエージェントＭ７Ａに送信することにより、或いは、管理端末Ｍ１０がＢＵとは別のメッセージをホームエージェントＭ７Ａに送信することにより、実現することができる。
移動端末Ｍ２がホームエージェントＭ７に対して再度の位置登録を行う場合には、例えばユーザＡは、管理者側から、ホームエージェントＭ７Ａで更新された仮のバインディングによるＢＣの引継条件情報を、手渡し、電話、郵便、他の通信等により入手し、この引継条件情報が反映されたＢＵを移動端末Ｍ２から送信する。
すると、ホームエージェントＭ７Ａは、移動端末Ｍ２からのＢＵに設定された引継条件情報を参照し、引継条件が満たされると判定すると、このＢＵに設定されたバインディング情報で、仮のバインディング情報によるＢＣを更新する。このようにして、移動端末Ｍ２は、自身の位置情報（バインディング）をホームエージェントＭ７Ａに登録することができる。
なお、図２に示す例では、管理端末Ｍ１０からのＢＵにより、不正なＢＣ（ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４）が、仮のバインディング“ＨｏＡ−Ｍ１０：ＣｏＡ−Ｍ４”で更新される。このように、仮のバインディングを構成する気付アドレスを、移動端末Ｍ２の現在位置における気付アドレス“ＣｏＡ−Ｍ４”に設定することで、管理端末Ｍ１０は、移動端末Ｍ２についての気付アドレスの登録を代理することができる。
〈第３実施形態〉
図３は、本発明の第３実施形態の説明図である。図３に示すネットワークシステムの構成は、図２に示したネットワークシステムとほぼ同様である。第３実施形態では、管理端末Ｍ１０により、ＨＡにおけるＢＣの登録（更新）が制御される。
第３実施形態では、ＢＣテーブルには、ＢＣに対応する優先度は設定されない。但し、第３実施形態におけるホームエージェントＭ７Ａには、“優先制御ＣｏＡ”として所定のＣｏＡが設定される。ホームエージェントＭ７Ａは、優先制御ＣｏＡを有するＢＵを受信すると、このＢＵに基づくバインディング（優先制御ＣｏＡを含むバインディング）を優先的にＢＣに登録する。
ここでは、ホームエージェントＭ７Ａには、管理端末Ｍ１０の気付アドレス“ＣｏＡ−Ｍ１０”が指定されたＢＵに基づくバインディングを優先的に登録するフィルタリング設定が施されている。
これによって、ホームエージェントＭ７Ａは、特定のホームアドレスについて、管理端末Ｍ１０の気付アドレス“ＣｏＡ−Ｍ１０”が指定されたバインディングを優先的に登録する。このようなフィルタリング設定は、ホームエージェントＭ７Ａに対して直接、又は管理端末Ｍ１０からの遠隔操作により実施することができる。
図３において、（１）〜（１０）の手順により、図１（１）〜（１０）と同様に、ユーザＢによる移動端末Ｍ２のなりすましによって、不正なバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”がＢＣに登録され、この登録によって、ユーザＡの移動端末Ｍ２による位置登録が拒否された場合を仮定する。
この場合、管理者は、ユーザＡから位置登録ができない旨の通知を様々な伝達手段を介して受け取る。すると、管理者は、管理端末Ｍ１０を操作し、不正なバインディングの登録を削除する。管理端末Ｍ１０は、管理者の操作に従って、優先制御ＣｏＡを含む仮のバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ１０”を登録するためのＢＵを、ホームエージェントＭ７Ａへ送信する（図３（１１））。
ホームエージェントＭ７Ａは、管理端末Ｍ１０からのＢＵを受信し、このＢＵで指定された気付アドレス“ＣｏＡ−Ｍ１０”より、自身に予め設定されているフィルタリング設定に従って、このＢＵによるバインディングを優先的に登録すべきと認識する。ホームエージェントＭ７Ａは、この認識に従って、ＢＣテーブルから、ＢＵに含まれるホームアドレス“ＨｏＡ−Ｍ２”に係る不正なＢＣ“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”を特定し、このＢＣをＢＵによるバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ１０”で更新する。これによって、不正なＢＣが削除される（図３（１２））。
その後、管理端末Ｍ１０は、ホームエージェントＭ７Ａに対し、移動端末Ｍ２が、ＢＣ“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ１０”を更新するための設定を行う。例えば、管理端末Ｍ１０は、ホームエージェントＭ７Ａに対し、ＨｏＡ−Ｍ２について、移動端末Ｍ２が現在位置するフォーリンリンク（ここではＣｏＡ−Ｍ４）が指定されたＢＵのみを限定的に受け付ける旨の設定情報を送信する。
ホームエージェントＭ７Ａは、設定情報を受信すると、この設定情報に従って、ＣｏＡ−Ｍ４を、“限定受付ＣｏＡ”として設定する。これによって、ホームエージェントＭ７Ａは、ＨｏＡ−Ｍ２について、限定受付ＣｏＡを含むＢＵ、即ち、“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”を通知するＢＵのみを受け付ける状態となる（図３（１３））。
その後、移動端末Ｍ２は、“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”を通知するためのＢＵを、ホームエージェントＭ７Ａに送信する（図１２（１４））。すると、ホームエージェントＭ７Ａは、ＢＵから特定されるバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”で、ＢＣの“ＨｏＡ−Ｍ２：ＣｏＡ−１０”を更新する。このようにして、移動端末Ｍ２は、再度の位置登録を行うことができる。
〈第４実施形態〉
図４は、本発明の第４実施形態の説明図である。図４に示すネットワークシステムの構成は、図１に示したネットワークシステムとほぼ同様である。第４実施形態では、第１実施形態と同様に、ＭＮにより、ＨＡにおけるＢＣの登録（更新）が制御される。
ホームエージェントＭ７Ａは、優先度が指定されたＢＵを受信すると、そのＢＵに含まれた優先度と、更新対象のＢＣに対応付けて登録されている優先度（“登録優先度”と称する）とを対比し、ＢＵの優先度が登録優先度よりも高いか否かを判定する。このとき、双方の優先度のレベルが最上位（最優先）であれば、ホームエージェントＭ７Ａは、ＢＵの優先度が登録優先度よりも高くないと判定する。このため、もし、不正なバインディング（ＢＣ）が最上位の優先度で登録されると、そのバインディングを削除又は更新できなくなってしまう。第４実施形態は、このような問題を解決する。
第４実施形態では、ホームエージェントＭ７Ａは、所定時間を計時するタイマを有している。ホームエージェントＭ７Ａは、優先度のレベルが最上位（最優先）のバインディングをＢＣに登録するときに、タイマによる計時を開始する。ホームエージェントＭ７Ａは、タイマが所定時間を計時（タイムアウト）すると、当該ＢＣに設定されている優先度を最上位よりも下位のレベルに変更する。
図４には、（１）〜（５）の手順により、ユーザＢが移動端末Ｍ１を用いてユーザＡの移動端末Ｍ２になりすまし、不正なバインディングを最優先で登録したケースが示されている。
この場合、ホームエージェントＭ７Ａは、移動端末Ｍ１からのＢＵに従ってＢＣに“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”を最優先（Ｐｒｉｏｒｉｔｙ：Ｈｉｇｈ）で登録する（図１３（５））。このとき、ホームエージェントＭ７Ａは、タイマによる所定時間の計時を開始する（図１３（６））。
そして、ホームエージェントＭ７Ａは、タイマがタイムアウトになると、当該ＢＣに対応する優先度のレベルを最上位から下位のレベル（（Ｐｒｉｏｒｉｔｙ：Ｌｏｗ））に変更する（図１３（７））。
その後、移動端末Ｍ２が最優先（Ｐｒｉｏｒｉｔｙ：Ｈｉｇｈ）が指定されたＢＵを送信すれば、第１実施形態と同様の作用により、移動端末Ｍ２からのＢＵに基づくバインディングで不正なバインディングが更新される。このようにして、不正なバインディングが削除され、正規のバインディングがＢＣに登録される。
以上のように、第４実施形態では、ホームエージェントＭ７Ａが、ＢＣに登録された最優先の優先度を所定時間の経過後に下位のレベルに書き換える。従って、ＢＣが最優先で登録されることによって、そのＢＣが更新されなくなることを防止することができる。
なお、ＢＵの優先度と登録優先度とが最上位よりも下位の優先度で等しい場合には、ホームエージェントＭ７ＡがＢＵの優先度が登録優先度よりも高くないと判定するように構成しても良い。或いは、ホームエージェントＭ７ＡがＢＵの優先度が登録優先度よりも高いと判定するようにしても良い。
また、上述したように、ホームエージェントＭ７Ａがタイマを有し且つ登録優先度を所定時間後に変更する構成に代えて、次の構成を適用することができる。例えば、ホームエージェントＭ７Ａは、ＢＵで最優先が指定されたバインディング情報をＢＣテーブルに登録する場合に、その優先度“最優先”を、これよりも下位の所定の優先度に置き換えて登録する。
或いは、ホームエージェントＭ７Ａは、ＢＵの優先度と登録優先度とを比較する場合に、双方の優先度が最優先であれば、このＢＵに基づくバインディング情報の登録を優先する。即ち、ＢＵの優先度が登録優先度よりも高いと判定する。
これらのような機能をホームエージェントＭ７Ａが有することによっても、優先度が最上位で登録されたＢＣを削除し、任意のバインディング情報で更新することが可能となる。
〈第５実施形態〉
図５は、本発明の第５実施形態の説明図である。図５に示すネットワークシステムの構成は、図１に示したネットワークシステムとほぼ同様である。第５実施形態では、第１実施形態と同様に、ＭＮにより、ＨＡにおけるＢＣの登録（更新）が制御される。
移動端末Ｍ２は、複数のホームアドレスを有している。図５に示す例では、移動端末Ｍ２は、ホームアドレス“ＨｏＡ−Ｍ２”と“ＨｏＡ−ｐ２”とを有している。そして、“ＨｏＡ−ｐ２”は、位置登録において、“ＨｏＡ−Ｍ２”に優先する。このようなＨｏＡの優劣に係るポリシーは、ホームエージェントＭ７Ａに予め設定されている。なお、第５実施形態では、ＢＵに対する優先度の設定、及びＢＣテーブルに対する優先度の登録は行われない。
図５には、ユーザＢが、移動端末Ｍ１を用い、移動端末Ｍ２になりすまして不正な位置登録を行ったケースが示されている。即ち、第１実施形態における図１（１）〜（５）に示した手順と実質的に等しい手順によって、ホームエージェントＭ７Ａは、移動端末Ｍ１からのＢＵに従って、バインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”をＢＣに登録する（図５（１）〜（５））。
その後、移動端末Ｍ２がホームエージェントＭ７Ａに対してホームアドレス“ＨｏＡ−Ｍ２”に係る位置登録を要求すると、既にＢＣが登録されているので、移動端末Ｍ２は、ホームエージェントＭ７Ａから更新拒否（“異常”）を示すＢＡを受け取る（図５（６）〜（１０））。これは、第１実施形態と同様である（図１（６）〜（１０）参照）。
すると、移動端末Ｍ２は、“ＨｏＡ−Ｍ２”に優先するホームアドレス“ＨｏＡ−ｐ２”を用いたＢＵを生成し、ホームエージェントＭ７Ａへ送信する（図５（１１））。
ホームエージェントＭ７Ａは、“ＨｏＡ−ｐ２”に係るＢＵをＢＣテーブルに登録する（図５（１２））。すると、ホームエージェントＭ７Ａは、“ＨｏＡ−Ｍ２”について予め規定されている設定（ポリシー）に従って、ＢＣを更新する。
ここで、ホームエージェントＭ７Ａに設定されているポリシーは次の通りである。“ＨｏＡ−Ｍ２”に係るＢＣが登録されている場合において、この“ＨｏＡ−Ｍ２”に優先する“ＨｏＡ−ｐ２”に係るバインディングがＢＣに登録される場合には、この“ＨｏＡ−ｐ２”に係るバインディングで特定されるＣｏＡが“ＨｏＡ−Ｍ２”に反映される。
このため、ホームエージェントＭ７Ａは、“ＨｏＡ−ｐ２”に係るバインディングをＢＣに登録する場合には、この“ＨｏＡ−ｐ２”に対応する気付アドレス“ＣｏＡ−Ｍ４”を“ＨｏＡ−Ｍ２”のＢＣに反映する。即ち、ホームエージェントＭ７Ａは、“ＨｏＡ−Ｍ２”に係るＢＣ“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”を“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”に書き換える（図５（１３））。このようにして、不正なバインディングが削除され、正規のバインディングで更新される。
上記処理は、次のような変形が可能である。即ち、ホームエージェントＭ７Ａは、“ＨｏＡ−ｐ２”に係るＢＵを受信すると、ＢＣテーブルから“ＨｏＡ−ｐ２”よりも下位のホームアドレス“ＨｏＡ−Ｍ２”に係るＢＣを検索する。このとき、“ＨｏＡ−Ｍ２”に係るＢＣが検索されると、ホームエージェントＭ７Ａは、“ＨｏＡ−ｐ２”に対応する気付アドレスを、検索されたＢＣに反映する。このとき、“ＨｏＡ−ｐ２”に対する気付アドレスが“ＣｏＡ−Ｍ４”であれば、不正なバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”を、正当なバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”に書き換えることができる。この場合、“ＨｏＡ−ｐ２”に係るバインディングをＢＣに登録しなくて済む。
また、ホームエージェントＭ７Ａが、“ＨｏＡ−ｐ２”に係るバインディングで、“ＨｏＡ−Ｍ２”に係るバインディングを上書きするように構成しても良い。この場合、移動端末Ｍ２のホームアドレスとして“ＨｏＡ−ｐ２”が使用される。
〈第６実施形態〉
図６は、本発明の第６実施形態の説明図である。図６に示すネットワークシステムの構成は、図１に示したネットワークシステムとほぼ同様である。但し、第６実施形態では、図２に示したような管理端末Ｍ１０がルータＭ５を介してインターネットＭ９に接続されるとともに、固定宛先アドレス（第一ルーティングアドレス：Ｆａｓｔ  Ｒｏｕｔｉｎｇ  Ａｄｄｒｅｓｓ）を持つ端末Ｍ２０がルータを介してインターネットＭ９に接続されている。
第６実施形態では、ホームエージェントＭ７Ａは、ホームアドレス（ＨｏＡ）がＢＣに登録されたＭＮからのパケットに対するルーティング先の指定に応じて、そのルーティング先にＭＮからのパケットを優先的に転送する機能を持つ。
ルーティング先として、任意のアドレスが指定される。図６に示す例では、端末Ｍ２０のアドレスが指定される。ルーティング先の指定は、例えば管理端末Ｍ１０から通知することができる。この通知は、少なくともＨｏＡと指定アドレスとを含む。ホームエージェントＭ７Ａは、通知を受け取ると、そのＨｏＡに関連するＢＣを特定し、このＢＣに関連づけて、指定アドレスを第一ルーティングアドレスとして登録する。
但し、管理端末Ｍ１０は、指定アドレス値として、ルーティング先を指定しない旨の値（“無指定値”と称する。例えば通常のルーティングに使用しない値（例えば“０”））を指定することもできる。この場合には、ホームエージェントＭ７Ａは、ＭＮからのパケットに設定された宛先へ転送を行う通常のルーティング処理を行う。
即ち、管理端末Ｍ１０は、任意のＨｏＡについて、指定アドレスと無指定値との一方を、ホームエージェントＭ７Ａに設定する。これによって、管理端末Ｍ１０は、そのＨｏＡからのパケット（必ずホームエージェントＭ７Ａを通過する）を、ホームエージェントＭ７Ａからそのパケットに設定された本来の宛先アドレスへ転送させたり、任意の指定アドレスへ転送させたりすることができる。
なお、Ｍｏｂｉｌｅ  ＩＰｖ６は、ＣＮにＢＣを登録し、ＣＮとＭＮとがＨＡを介することなく通信を行うオプションを持つ。しかし、この実施形態では、そのオプションは使用しない。
図６において、ユーザＢが移動端末Ｍ１を用い、移動端末Ｍ２になりすまして不正なバインディングをホームエージェントＭ７Ａに登録した場合を仮定する（図６（１）〜（５）参照：第３実施形態で説明した図３（１）〜（５）の動作と同じ）。これによって、ホームエージェントＭ７ＡのＢＣには、不正なバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”が登録された状態となる。
このような状態において、管理端末Ｍ１０は、管理者の操作に従って、ホームエージェントＭ７Ａに対し、“ＨｏＡ−Ｍ２”に対するルーティング先を指定するためのメッセージを送信する（図６（６））。このメッセージには、“ＨｏＡ−Ｍ２”に対して指定された端末Ｍ２０のアドレスが含まれている。
ホームエージェントＭ７Ａは、管理端末Ｍ１０からのメッセージを受信すると、このメッセージに従って、“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”のＢＣに関連づけて、メッセージに含まれた端末Ｍ２０のアドレスを登録する（図６（７））。
その後、ホームエージェントＭ７は、移動端末Ｍ１からのパケットを受信し、このパケットの送信元が“ＨｏＡ−Ｍ２”であると認識すると、このパケットの宛先アドレスを、“ＨｏＡ−Ｍ２”のＢＣについて登録された指定アドレス（端末Ｍ２０のアドレス）に変更し、パケットを転送する。これによって、移動端末Ｍ１からのパケットは、本来の宛先に届くことなく、端末Ｍ２０に到達する（図６（８））。
このように、ホームエージェントＭ７Ａは、管理端末Ｍ１０の制御に従って、不正な移動端末Ｍ１からのパケットの宛先を端末Ｍ２０に変更する。これによって、不正な位置登録に基づくパケットがネットワークに流れ込むのを防止することができる。
また、“ＨｏＡ−Ｍ２”宛のパケットは、通常であれば、ホームエージェントＭ７Ａを経て移動端末Ｍ１に到達する。このようなパケットに対し、ホームエージェントＭ７Ａは、パケットの宛先が“ＨｏＡ−Ｍ２”と認識した時点で、“ＨｏＡ−Ｍ２”に対して設定されている指定アドレスを参照し、当該パケットを端末Ｍ２０に転送する。このようにして、不正な移動端末Ｍ１に“ＨｏＡ−Ｍ２”宛のパケットが到達することを防ぐことができる。
なお、上述した構成に代えて、ホームエージェントＭ７Ａが、移動端末Ｍ１からのパケットを本来の宛先に転送するとともに、ホームアドレス（ＢＣ）に対して設定された指定アドレスへ当該パケットを転送するように構成することも可能である。このようにして、管理者側の端末Ｍ２０が不正な移動端末からのパケットを取得することができる。
或いは、ホームエージェントＭ７Ａが、移動端末Ｍ１からのパケットを受信すると、そのパケットをカプセル化して指定アドレス（端末Ｍ２０）宛に転送し、端末Ｍ２０がパケットをデカプセルし、デカプセルされたパケットのコピーを作成し、オリジナルとコピーとの一方を保存し、他方を本来の宛先へ向けて転送するように構成しても良い。
〈第７実施形態〉
図７（Ａ）は、本発明の第７実施形態の説明図である。図７（Ａ）に示すネットワークシステムの構成は、図３に示したネットワークシステムとほぼ同様である。第７実施形態では、ホームエージェントＭ７Ａは、管理端末Ｍ１０からのパケットを移動端末Ｍ１に転送する。
図７（Ａ）において、（１）〜（５）の動作は、第３実施形態で説明した図３（１）〜（５）の動作と同じである。これにより、移動端末Ｍ２になりすました移動端末Ｍ１からのバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”がホームエージェントＭ７ＡのＢＣに登録された状態となる。
このような状態において、管理端末Ｍ１０は、ホームエージェントＭ７Ａに対し、“ＨｏＡ−Ｍ２”についてパケット送信許可を割り当てる（図７（Ａ）−（６））。即ち、管理端末Ｍ１０は、ホームエージェントＭ７Ａに対し、管理端末Ｍ１０がＨｏＡ−Ｍ２へパケットを送信することの許可を求めるメッセージを送信する。
すると、ホームエージェントＭ７Ａは、メッセージに従って、管理端末Ｍ１０からの“ＨｏＡ−Ｍ２”宛のパケットを、ＨｏＡ−Ｍ２に対応するＣｏＡ宛に転送する状態となる。
続いて、管理端末Ｍ１０は、ホームエージェントＭ７Ａに対し、ＨｏＡ−Ｍ２宛の任意の送信パケットを送信する（図７（Ａ）−（７））。
ホームエージェントＭ７Ａは、管理端末Ｍ１０から送信パケットを受信すると、送信パケットの宛先アドレス“ＨｏＡ−Ｍ２”から、対応するＢＣ“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”を参照し、このＢＣに対し、管理端末Ｍ１０の気付アドレス“ＣｏＡ−Ｍ５”をバインドする（図７（Ａ）−（８））。
バインドされる“ＣｏＡ−Ｍ５”は、バインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”が管理端末Ｍ１０の制御対象であることを示す被制御対象情報として機能し、ホームエージェントＭ７Ａは、管理端末Ｍ１０からの制御情報を受信した場合に、この“ＣｏＡ−Ｍ５”がバインド（登録）されているバインディングに関して制御情報に基づく制御を実行する。制御の具体的な内容は、図２０に示すポリシー制御の内容を適用することができる。
続いて、ホームエージェントＭ７Ａは、送信パケットの宛先アドレスを“ＣｏＡ−Ｍ３”に変換し、且つ送信元アドレスをホームエージェントＭ７Ａのアドレスに変換し、その後、送信パケット（ＨｏＡ−Ｍ２を含む）を移動端末Ｍ１へ送信する（図７（Ａ）−（９））。このようにして、管理端末Ｍ１０からの送信パケットが移動端末Ｍ１に到着する。図７（Ｂ）は、図７（Ａ）−（９）において、ホームエージェントＭ７Ａから移動端末Ｍ１へ送信されるパケットの例を示し、このパケットは、宛先アドレス“ＣｏＡ−Ｍ３”と、ＨｏＡと、データとを含んでいる。
また、移動端末Ｍ１が送信パケットに対する応答パケットを送信し、ホームエージェントＭ７Ａが受信した場合には、ホームエージェントＭ７Ａが、応答パケットを管理端末Ｍ１０に転送するように構成することも可能である。この場合、ホームエージェントＭ７Ａが管理端末Ｍ１０のアドレスを知っている必要がある。例えば、管理端末Ｍ１０のアドレスは図７（Ａ）−（６）でホームエージェントＭ７Ａに通知される。
第７実施形態によれば、管理端末から不正なＭＮに対して、任意の送信パケットを送信することができる。このとき、不正なＭＮに送信されるパケットの送信元アドレスとしてＨＡのアドレスが設定されるので、不正なＭＮから見て、到着したパケットが管理端末からのものと認識することはできない。
上述した動作は、次のように応用することができる。例えば、正当なＭＮ（例えば移動端末Ｍ２）が紛失や盗難等により、正当なユーザ（ユーザＡ）が所持していない場合を想定する。
この場合、管理者は、ユーザＡからの紛失や盗難の連絡を受けて、管理端末Ｍ１０を操作する。この操作に応じて、管理端末Ｍ１０は、ＭＮに対して位置登録（ＢＵの送信）を要求するバインディング・リフレッシュ・リクエスト・メッセージ（ＢＲＲ：図２４参照）を送信パケットとしてホームエージェントＭ７Ａに送信する。
すると、ホームエージェントＭ７Ａは、ＢＲＲの送信元アドレスを自身のアドレスに書き換えた後、そのＢＲＲを自身の管理範囲に位置する各ルータへ送信する。各ルータはＢＲＲを自身の配下のサブネットに送信する。このとき、或るルータのサブネット内に移動端末Ｍ２が位置していれば、この移動端末Ｍ２は、ＢＲＲの受信を契機にＢＵを生成し、ホームエージェントＭ７Ａへ送信する。
ホームエージェントＭ７Ａは、ＢＵを受信すると、このＢＵに基づくバインディングでＢＣを更新する。このバインディングのＣｏＡから、移動端末Ｍ２のネットワークにおける現在の位置を把握することができる。
なお、ホームエージェントＭ７Ａは、所定時間内にＢＲＲに対する応答（ＢＵ）を受信できなかった場合には、そのＢＲＲに対応するＢＣを削除することもできる。
さらに、管理端末Ｍ１０は次のような動作を行うことが可能である。管理端末Ｍ１０は、移動端末Ｍ２の動作を停止するためのメッセージ（停止メッセージ：図２５参照）を生成し、ホームエージェントＭ７Ａに送信する。ホームエージェントＭ７は、上述した動作例と同様の動作により、停止メッセージを移動端末Ｍ２に転送する。
移動端末Ｍ２は、停止メッセージを受け付けると、自機の動作を停止または自機の状態を使用不可状態に遷移させる機能を持つアプリケーションを搭載している。これにより、移動端末Ｍ２は、停止メッセージの受信を契機（トリガ）に、停止状態（使用不可状態）に遷移する。
これによって、移動端末Ｍ２が他人に不正使用されることを防止することができる。ここでいうＭＮの停止又は使用不可状態とは、少なくともＭＮの通信機能の停止又は使用不可状態を指す。但し、ＭＮの全機能を停止又は使用不可状態にしても良い。
なお、ホームエージェントＭ７Ａが、ＭＮからＢＵを受信した時点で、上述したような停止メッセージを当該ＭＮに送信するように構成されていても良い。
〈第８実施形態〉
図８は、本発明の第８実施形態の説明図である。第８実施形態のネットワーク構成は、第７実施形態と同様である。但し、ホームエージェントＭ７Ａ及び管理端末Ｍ１０の動作が異なる。
図８において、図８（１）〜（５）における動作は、第７実施形態と同様である。これによって、ホームエージェントＭ７Ａには、不正な移動端末Ｍ１によって、不正なバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”がＢＣに登録された状態となる。
この場合において、管理端末Ｍ１０は、移動端末Ｍ１へパケットを送信する場合には、次のように動作する。即ち、管理端末Ｍ１０は、自身の気付アドレス“ＣｏＡ−Ｍ５”を生成し（図８（６））、“ＨｏＡ−Ｍ１０：ＣｏＡ−Ｍ５”を通知するためのＢＵをホームエージェントＭ７Ａに送信する（図８（７））。すると、ホームエージェントＭ７Ａは、“ＨｏＡ−Ｍ１０：ＣｏＡ−Ｍ５”をＢＣに登録する（図８（８））。
次に、管理端末Ｍ１０は、ホームエージェントＭ７Ａに対して、“ＨｏＡ−Ｍ２”に係るＢＣと自身のＨｏＡとの結合要求メッセージを送信する（図８（９））。すると、ホームエージェントＭ７Ａは、結合要求メッセージに従って、ＨｏＡ−Ｍ２に係るＢＣ“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”に対して、管理端末Ｍ１０のＨｏＡである“ＨｏＡ−Ｍ１０”をバインドする（図８（１０））。“ＨｏＡ−Ｍ１０”は、第７実施形態で説明した被制御対象情報として機能する。
その後、管理端末Ｍ１０は、移動端末Ｍ１宛の送信パケットをホームエージェントＭ７Ａに送信する（図８（１１））。この送信パケットは、管理端末Ｍ１０の気付アドレス“ＣｏＡ−Ｍ５”を含んでいる。
ホームエージェントＭ７Ａは、管理端末Ｍ１０からの送信パケットを受信すると、ＢＣを参照して“ＣｏＡ−Ｍ５”から“ＨｏＡ−Ｍ１０”を割り出し、さらに、“ＨｏＡ−Ｍ１０”が“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”に対して登録されていることを認識する（図８（１２））。これより、ホームエージェントＭ７Ａは、ＨｏＡ−Ｍ１０からのパケットをＨｏＡ−Ｍ２へ転送することが許可されているものとして、送信パケットの送信元アドレスを自身のアドレスに書き換え、その後、送信パケットを移動端末Ｍ１に送信する（図８（１３））。このようにして、送信パケットを移動端末Ｍ１に送信することができる。
〈第９実施形態〉
図９は、本発明の第９実施形態の説明図である。図９では、正当なユーザＡの移動端末Ｍ２は、無線ＬＡＮのアクセスポイントＭ１２を介してルータＭ４にアクセスし、アクセスポイントＭ１２及びルータＭ４を介してホームエージェントＭ７Ａに対し、自身のホームアドレス“ＨｏＡ−Ｍ２”に係るＢＣを登録可能となっている（図９（１）、（２））。
ホームエージェントＭ７Ａは、ゲートウェイＭ８側のＣｏＡを位置登録するように構成されており、移動端末Ｍ２とゲートウェイＭ８との間をＶＰＮ接続する機能（ＶＰＮゲートウェイ機能）を有している。そして、移動端末Ｍ２は、ホームエージェントＭ７Ａ，ルータＭ６，及びゲートウェイＭ８を介して企業網Ｍ１１にＶＰＮ通信によってアクセス可能となっている。
ここで、不正なユーザＢが移動端末Ｍ２とアクセスポイントＭ１２との間の無線リンクからホームエージェントＭ７Ａのアドレスを不正に入手し（図９（３）：図３７に示した傍受と同様）、ルータＭ１３を介してホームエージェントＭ７Ａに攻撃を加えた場合（図９（４））を想定する。なお、図９（１）〜（４）の動作は、図７（１）〜（４）の動作と同じである。
攻撃によって、ホームエージェントＭ７Ａが動作を停止（ダウン）した場合（図９（５））には、移動端末Ｍ２は、企業網Ｍ１１に対してＶＰＮ接続できなくなる。この場合、企業網Ｍ１１とインターネットＭ９との境界に設けられたゲートウェイＭ８は、ホームエージェントＭ７Ａのダウンを検知すると、ホームエージェントＭ７Ａの代替ＨＡに相当するホームエージェントＭ１４に対し、ゲートウェイＭ８側のＣｏＡを位置登録する（図１８（６））。
一方、移動端末Ｍ２も、ホームエージェントＭ７Ａの代替ＨＡたるホームエージェントＭ１４のアドレスを知っており、ホームエージェントＭ７Ａのダウンにより通信できなくなると、ホームエージェントＭ１４に対して自身の位置登録を行う（図１８（７））。そして、ホームエージェントＭ１４が移動端末Ｍ２とゲートウェイＭ８との間のＶＰＮ接続を実現する。このようにして、移動端末Ｍ２は、ホームエージェントＭ７Ａが不正なユーザＢによってダウンしても、企業網Ｍ１１に対してアクセスすることができる。
移動端末Ｍ２が代替ＨＡを選択する手法としては、例えば、企業網Ｍ１１から予め通知されているＨＡを代替ＨＡとして指定する手法がある。或いは、移動端末Ｍ２が、ホームエージェントＭ７Ａに対するリンクが切断された場合や、一定時間接続ができなかった場合に、ホームエージェントＭ１４のような、テンポラリー的にＶＰＮを実現するホームエージェントを検索し、このホームエージェントに対して位置登録を行う構成を適用することもできる。この場合には、ユーザがホームエージェントの切り替えを意識しなくても済む。但し、ゲートウェイＭ８側と移動端末Ｍ２とで、選択する代替ＨＡが同じになるように構成する必要がある。
また、ホームエージェントＭ７Ａは、復旧した場合には、復旧を代替ＨＡであるホームエージェントＭ１４に通知する。例えば、ホームエージェントＭ７Ａは、ゲートウェイＭ８に対するＶＰＮ接続に関する情報が登録された状態で復旧した場合には、代替ＨＡに対して、ゲートウェイＭ８のアドレスを通知する。すると、代替ＨＡであるホームエージェントＭ１４は、ゲートウェイＭ８のアドレスを重複アドレス（ｄｕｐｌｉｃａｔｅ  ａｄｄｒｅｓｓ）として検知する。すると、ホームエージェントＭ１４は、動作を停止する。
移動端末Ｍ２は、ホームエージェントＭ１４の停止を検知する（通信不可となるため）と、ホームエージェントＭ７Ａが復旧したものとして、ホームエージェントＭ７Ａに対して位置登録を行う。これによって、移動端末Ｍ２は、ホームエージェントＭ７Ａを介して移動端末Ｍ２とゲートウェイＭ８との間でＶＰＮ通信可能となる。
図１０は、第９実施形態の動作例を示すシーケンス図である。図１０に示すように、移動端末Ｍ２は、ホームアドレスとして、企業網Ｍ１１内のローカルアドレス“ＨｏＡ−Ｍ２”を用い、ＣｏＡとしてグローバルアドレスを用いるように構成されている。
移動端末Ｍ２は、ホームエージェントＭ７Ａに対して位置登録を行う場合には、“ＨｏＡ−Ｍ２”と、自身が現在位置しているルータのアドレスである気付アドレス（例えば“ＣｏＡ−Ｍ４”）とを含むＢＵを生成し、ホームエージェントＭ７Ａに通知する（ＳＱ１）。
すると、ホームエージェントＭ７Ａは、移動端末Ｍ２から通知された“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”をＢＣに登録する。また、ホームエージェントＭ７Ａは、ＢＣへの登録を行うと、位置応答（Ｂｉｎｄｉｎｇ  Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ：ＢＡ）を移動端末Ｍ２に送信する（ＳＱ２）。
一方、ホームエージェントＭ７Ａは、企業網Ｍ１１のゲートウェイＭ８から、“ＨｏＡ−Ｍ８：ＣｏＡ−Ｍ６”を含むＢＵを受信する（ＳＱ３）。ホームエージェントＭ７Ａは、当該ＢＵに従って、“ＨｏＡ−Ｍ８：ＣｏＡ−Ｍ６”をＢＣに登録し、位置応答メッセージをゲートウェイＭ８に送信する（ＳＱ２）。その後、ホームエージェントＭ７Ａは、ゲートウェイＭ８から送信されてくるリンク通知（ＨｏＡ−Ｍ８：フィルタが解除されたＨｏＡ）を移動端末Ｍ２に転送する（ＳＱ４）。これによって、移動端末Ｍ２は、ゲートウェイのアドレスとして、“ＨｏＡ−Ｍ８”を入手することができ、ホームエージェントＭ７Ａを介したＶＰＮ通信により、企業網Ｍ１１にアクセスすることができる。
その後、移動端末Ｍ１がホームエージェントＭ７Ａを攻撃し（ＳＱ５）、これによってホームエージェントＭ７Ａがダウンした場合には、ゲートウェイＭ８は、ホームエージェントＭ７Ａを介した通信ができなくなので、ホームエージェントＭ７Ａがダウンしたことを検知する。検知の方法は、既存のあらゆる手法を適用することができる。すると、ゲートウェイＭ８は、代替ＨＡであるホームエージェントＭ１４に対してＢＵを送信する（ＳＱ６）。これによって、ゲートウェイＭ８側のバインディングがホームエージェントＭ１４のＢＣに登録される。ホームエージェントＭ１４は、ゲートウェイＭ１４に対し、位置応答メッセージを送信する（ＳＱ７）。
一方、移動端末Ｍ２は、例えば、ホームエージェントＭ７Ａからの応答が無くなることを検知することで、ホームエージェントＭ７Ａのダウンによる通信不可を検知する（ＳＱ８）。すると、移動端末Ｍ２は、例えば、予め指定されているホームエージェントＭ１４のアドレスに対して、ＢＵを送信する（ＳＱ９）。すると、ホームエージェントＭ１４は、移動端末Ｍ２のバインディングをＢＣに登録し、位置応答を移動端末Ｍ２に返す（ＳＱ１０）。これによって、移動端末Ｍ２とゲートウェイＭ８との間で、ホームエージェントＭ１４を介したＶＰＮ通信が確立する（ＳＱ１１）。
その後、ホームエージェントＭ７Ａは、Ｍ８−Ｍ２間のＶＰＮ通信に係る情報が登録された状態で復旧すると（ＳＱ１２）、ゲートウェイＭ８のアドレスをホームエージェントＭ１４に通知する（ＳＱ１３）。ホームエージェントＭ１４は、ホームエージェントＭ７Ａからの通知を受け取り、ゲートウェイＭ８のアドレスが重複アドレスであることを検知すると、Ｍ８−Ｍ２間のＶＰＮ通信に係るルーティング情報を削除し、ダウンした状態となる。
これによって、移動端末Ｍ２は、通信不可を検知すると、ホームエージェントＭ７Ａに対する位置登録（ＢＵ送信）を再び行う。これによって、ホームエージェントＭ７ＡによるＭ２−Ｍ８間のＶＰＮ通信が復旧する。
〈第１０実施形態〉
図１１は、本発明の第１０実施形態の説明図である。図１１に示すネットワークシステムの構成は、第９実施形態とほぼ同様である。但し、図１１では、企業網Ｍ１１とインターネットＭ９との間には、ゲートウェイＭ８に対するセカンダリゲートウェイ（代替ゲートウェイ）に相当するゲートウェイＭ１５が設けられている。ゲートウェイＭ１５は、ゲートウェイＭ８に障害が発生したり、負荷が所定値よりも高くなったりした場合に起動し、端末側のヘルスチェックを実行する。
動作例として、企業側のゲートウェイＭ８に障害又は負荷の増大が発生した場合に、移動端末の動作を切り替える事なく、シームレスに企業側ゲートウェイを変更する為の方法について説明する。
図１１では、ＭＮに対して企業網の物理的なゲートウェイを隠している。なぜなら、企業側のゲートウェイを動的に変動させる為である。従って、移動端末側では、ＨＡ（図１１ではホームエージェントＭ７Ａ）のアドレスが実質的にゲートウェイのアドレスとなる。
図１１には、ゲートウェイを動的に変更する方法だけでなく、ゲートウェイの変更を契機に、ゲートウェイが配下のＭＮのヘルスチェック試験などを行い、ＭＮが正規のＭＮか否かを検知する方法も記載されている。
図１１では、不正な移動端末Ｍ１が正規の移動端末Ｍ２（ホームアドレス“ＨｏＡ−Ｍ２”）になりすまして、不正な位置登録を行った場合が想定されている。図３（１）〜（５）と同様の動作により、ホームエージェントＭ７Ａは、移動端末Ｍ１からのバインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ３”がＢＣに登録される（図１１（１）〜（５）参照）。
一方、企業網Ｍ１１のゲートウェイＭ８は、ホームエージェントＭ７Ａに対して位置登録を行う（図１１（６））。これによって、ゲートウェイＭ８に係るバインディング“ＨｏＡ−Ｍ８：ＣｏＡ−Ｍ６−１”がＢＣに登録される（図１１（７））。
その後、ゲートウェイＭ８は、ＨｏＡ−Ｍ２に対するフィルタリング指定として、ＨｏＡ−Ｍ２のアクセスを許可する旨のメッセージを送信する（図１１（８））。すると、ホームエージェントＭ７Ａは、このメッセージに従って、ＨｏＡ−Ｍ８に係るＢＣに、ＨｏＡ−Ｍ２をバインドする（図１１（８）−１）。
続いて、ゲートウェイＭ８は、ＨｏＡ−Ｍ２、即ち移動端末Ｍ１に対し、アクセスを許可した旨の情報を送信する（図１１（９））。これによって、移動端末Ｍ１は、ゲートウェイＭ８宛のパケットを、ホームエージェントＭ７Ａを宛先として送信する。
ホームエージェントＭ７Ａは、このパケットの送信元アドレス“ＨｏＡ−Ｍ２”を認識すると、ＢＣテーブルを参照し、“ＨｏＡ−Ｍ２”がＨｏＡ−Ｍ８に係るＢＣにバインドされているので、このパケットのカプセル化を行い、ＨｏＡ−Ｍ８宛、即ちゲートウェイＭ８へ送信する。このようにして、ホームエージェントＭ７Ａは、ゲートウェイＭ８側のＶＰＮの代行処理を行う。
ところで、移動端末Ｍ１のユーザＢは、ゲートウェイＭ８へのアクセスが許可されると、ゲートウェイＭ８に対して攻撃（アタック）を加えることが可能となる。移動端末Ｍ１がゲートウェイＭ８に対してアタックを行い（図１１（１１））、ゲートウェイＭ８の負荷が増大すると、ゲートウェイＭ８は、代替ゲートウェイＭ１５に処理を移行する（図１１（１１））。この移行は、例えば、ゲートウェイＭ８がゲートウェイＭ１５に対して移行を命令することにより行われる。
ゲートウェイＭ１５は、移行命令をゲートウェイＭ８から受け取ると、ホームエージェントＭ７Ａに対してＢＵを送信し、位置登録を行う（図１１（１２））。このとき、ゲートウェイＭ１５は、ホームアドレスとして、ゲートウェイＭ８のホームアドレス“ＨｏＡ−Ｍ８”を用いる。
ホームエージェントＭ７Ａは、ゲートウェイＭ１５からのＢＵに含まれたバインディング“ＨｏＡ−Ｍ８：ＣｏＡ−Ｍ６−２”をＢＣに登録するとともに、既に登録されている“ＨｏＡ−Ｍ８”のバインディングにバインドされている“ＨｏＡ−Ｍ２”を“ＨｏＡ−Ｍ８：ＣｏＡ−Ｍ６−２”にバインドする（図１１（１２）−１）。これによって、移動端末Ｍ１は、ゲートウェイＭ８に代わりのゲートウェイＭ１５を介して企業網Ｍ１１にアクセスすることが可能な状態となる。
このようにして、デフォルト（プライマリ）のゲートウェイに障害や負荷増大が発生した場合には、ＭＮが切り替え動作を行うことなく、セカンダリのゲートウェイに処理が動的に移行する。なお、ゲートウェイＭ１５は、ゲートウェイＭ８を監視し、ゲートウェイＭ８がダウンすると、ゲートウェイＭ８の代わりに動作するように構成することもできる。
ゲートウェイＭ１５は、ホームエージェントＭ７Ａに対して位置登録を行うと、ホームエージェントＭ７Ａの配下のＭＮ（ここでは移動端末Ｍ１）に対して、ヘルスチェック試験信号を送信する（図１１（１３））。
ヘルスチェック試験信号は、例えばＰｉｎｇコマンドに拡張を施すことで実現可能である。そして、企業網Ｍ１１にアクセス可能な正規のＭＮ（例えば移動端末Ｍ２）は、ヘルスチェック試験信号に対し、正規のＭＮのみが知っている特殊な情報（コード等）を返送する、或いは試験信号に対する応答を返さないように構成される。また、ヘルスチェック試験信号は、正規のＭＮ以外のＭＮがそれを受け取った場合には、特殊な情報以外の情報を返送する、或いは不要な応答を返すように構成される。ここでは、ヘルスチェック試験信号に対して、正規のＭＮが特殊な情報を返送するように構成されていると仮定する。
移動端末Ｍ１は、正規のＭＮではないので、ヘルスチェック試験信号を受信すると、特殊な情報以外の情報を返送する。ゲートウェイＭ１５は、特殊な情報以外の情報を受信すると、移動端末Ｍ１が不正なＭＮであることを認識する（図１１（１４））。
すると、ゲートウェイＭ１５は、ホームエージェントＭ７Ａに対し、移動端末Ｍ１“ＨｏＡ−Ｍ２”からのパケットに対するフィルタの設定を施す（図１１（１５））。例えば、ゲートウェイＭ１５は、ホームエージェントＭ７Ａが“ＨｏＡ−Ｍ２”のＢＣを削除したり、“ＨｏＡ−Ｍ２”からのパケットを廃棄したり、“ＨｏＡ−Ｍ２”からの位置登録を拒否したりするように、ホームエージェントＭ７Ａを制御することができる。これによって、不正な移動端末Ｍ１は、ホームエージェントＭ７Ａに接続できなくなるので、通信不可能な状態となる。
なお、ゲートウェイＭ８とＭ１５とは、これらの負荷バランスが考慮され、一方の負荷が他方よりも大きくなった場合に、一方から他方へ動的に切り替わるように構成することが可能である。
図１２は、第１０実施形態の動作例を示すシーケンス図である。図１２において、移動端末Ｍ１が位置登録を行うと（ＳＱ２１）、ホームエージェントＭ７Ａが、バインディング“ＨｏＡ−Ｍ２：ＣｏＡ−Ｍ４”をＢＣに登録し、位置応答を移動端末Ｍ１に返す（ＳＱ２２）。
一方、ゲートウェイＭ８が位置登録を行い（ＳＱ２３）、バインディング“ＨｏＡ−Ｍ８：ＣｏＡ−Ｍ６−１”がホームエージェントＭ７ＡのＢＣに登録され、位置応答がゲートウェイＭ８に返される（ＳＱ２４）。すると、ゲートウェイＭ８から移動端末Ｍ１のアクセス許可を示すリンク通知がホームエージェントＭ７Ａを介して移動端末Ｍ１に与えられる（ＳＱ２５）。
これにより、移動端末Ｍ１がゲートウェイＭ８に対して攻撃を行い（ＳＱ２６）、ゲートウェイＭ８の負荷が増大すると、ゲートウェイＭ１５が起動し、ホームエージェントＭ７Ａに対して位置登録を行う（ＳＱ２７）。これによって、ゲートウェイＭ１５のＢＣ（ＨｏＡ−Ｍ８：ＣｏＡ−Ｍ６−２）が登録され、位置応答がゲートウェイＭ１５に返送される（ＳＱ２９）。
すると、ゲートウェイＭ１５は、移動端末Ｍ１に対し、ヘルスチェック試験信号を送信する（ＳＱ２９）。このヘルスチェック試験信号に対して移動端末Ｍ１が応答し（ＳＱ３０）、この応答が適正でない場合には、ゲートウェイＭ１５は移動端末Ｍ１が不正であることを検出する（ＳＱ３１）。
すると、ゲートウェイＭ１５は、“ＨｏＡ−Ｍ８”のライフタイムを０（ルータ広告を無効）にする設定及び“ＨｏＡ−Ｍ２”のＢＣの削除を求めるＢＵをホームエージェントＭ７Ａに送信する（ＳＱ３２）。このＢＵに従ってホームエージェントＭ７Ａが、“ＨｏＡ−Ｍ８”のライフタイムを０にし、且つ該当するＢＣを削除すると、移動端末Ｍ１は、ゲートウェイに対して通信不可能な状態となる。このため、移動端末Ｍ１にて通信できないことが検知される（ＳＱ３３）。
以上説明した第１〜第１０実施形態の構成及び機能は、必要に応じて適宜組み合わせることができる。
〈移動支援装置の構成例〉
次に、上述した実施形態で説明した動作を実現するための移動支援装置（ＨＡ）の構成例について説明する。図１３は、ＨＡの構成例を示すブロック図である。図１３において、ＨＡ１０は、上述したホームエージェントＭ７Ａとして適用可能なＨＡである。ＨＡ１０は、例えばルータやレイヤ３スイッチ装置で構成される。
ＨＡ１０は、ハードウェア的には、制御装置（ＣＰＵ，主記憶（ＲＡＭ等），補助記憶（ＲＡＭ，ＲＯＭ，ハードディスク等），入出力ユニット，デバイスドライバ等からなる）、通信制御装置（ネットワークインタフェース装置等）を備えており、制御装置を構成するＣＰＵが補助記憶などに記憶された各種のプログラム（ＯＳ，様々なアプリケーション）を実行することによって、図１３に示すような複数のブロックを持つ装置として機能する。
即ち、ＨＡ１０は、受信処理部１１及び送信処理部１２を有する少なくとも１つのネットワークインタフェース１３（図１３には、ネットワークインタフェースを一つだけ例示：通信手段に相当）と、パケット識別部１４と、ルータ広告メッセージ処理部１５と、モバイルＩＰメッセージ処理部１６（更新処理手段、転送先設定手段、送信許可状態設定手段、中継処理手段、登録手段、制御手段に相当）と、ポリシーテーブル１７（記憶部に相当）と、パケット分解部１８と、アプリケーション１９と、ユーザインタフェース２０と、パケット組立部２１と、タイマ２２（計時手段に相当）と、転送先切り換え機能２３（転送制御手段に相当）とを備えた装置として機能する。
受信処理部１１は、ネットワークからパケットを受信し、パケット識別部１４に渡す。送信処理部１２は、転送先切り換え機能２３から受信するパケットを転送先へ向けてネットワークに送出する。
パケット識別部１４は、受信処理部１１から受け取るパケットの内容を解析し種別を識別する。パケット識別部１４は、解析において、必要に応じてポリシーテーブル１７を参照する。
パケット識別部１４は、パケットがルータ広告メッセージを含む場合には、このルータ広告メッセージをルータ広告メッセージ処理部１５に与える。また、パケット識別部１４は、パケットがモバイルＩＰメッセージ（ＢＵ等）又はＢＡを含む場合には、このパケットをモバイルＩＰメッセージ処理部１６に与える。また、パケット識別部１４は、パケットがアプリケーションデータパケットであると識別した場合には、このパケットをパケット分解部１８に与える。
モバイルＩＰメッセージ処理部１６は、ＢＵ等のモバイルＩＰメッセージ（ＨＡの制御メッセージ）をパケット識別部１４から受け取り、モバイルＩＰメッセージに従った様々な処理を行う。例えば、モバイルＩＰメッセージ処理部１６は、ＢＵに基づき、例えばポリシーテーブル１７に備えられているＢＣテーブル（記憶部に相当）の管理（バインディングの追加／更新／削除等）を行う。
また、モバイルＩＰメッセージ処理部１６は、例えば、優先度に基づくＢＣの更新による不正なバインディングの削除（第１〜第５実施形態），ルーティング先の指定／指定解除（第６実施形態），任意のＨｏＡ（ＭＮ）に対するパケットの転送（第７及び第８実施形態）、ＨＡの切り換え制御（第９実施形態）、ゲートウェイ（ＧＷ）の切り換えに応じた制御（第１０実施形態）に係る状態設定、判断、状態設定や判断に基づくメッセージの作成等を実行する。モバイルＩＰメッセージ処理部１６は、状態設定や判断を、ポリシーテーブル１７に格納されているＢＣを含む様々な情報を参照して行う。
また、モバイルＩＰメッセージ処理部１６は、モバイルＩＰメッセージに基づいて送信メッセージを作成した場合には、この送信メッセージをパケット組立部２１に与える。
ポリシーテーブル１７は、モバイルＩＰメッセージ処理部１６によって登録及び参照される。ポリシーテーブル１７は、モバイルＩＰメッセージ処理部１６が第１〜第１０実施形態に記載した動作を行うためのポリシー設定に係る情報（図２０に示すテーブル６０）を格納している。また、ポリシーテーブル１７は、上述したように、各ＨｏＡに対するＢＣ（ＢＣテーブル（図１６−１９参照））を有している。
タイマ２２は、第４実施形態における動作を実現するために、最上位の優先度を持つバインディングがＢＣに登録されることを契機として所定時間を計時する。タイマ２２は、ポリシーテーブル１７の管理機能によって制御され、タイマ２２がタイムアウトになると、管理機能は、上記ＢＣに設定されている優先度を下位のレベルに変更する。
パケット分解部１８は、パケット識別部１４から受信される１以上のアプリケーションデータパケットからデータ部分を取り出し、受信データを生成し、アプリケーション１９に渡す。
アプリケーション１９は、必要に応じて、ユーザインタフェース２０から入力される様々な情報（データや命令等）に基づいて、受信データに対する処理を行う。また、アプリケーション１９は、受信データに対する処理結果を示す情報（データ等）をユーザインタフェース２０に出力したり、受信データに対する処理によって得られた送信データをパケット組立部２１に渡したりする。
パケット組立部２１は、送信データや送信メッセージを格納した１以上の送信パケットを組み立てて、転送先切換機能２３に与える。
転送先切換機能２３は、必要に応じて、送信パケットの転送先のアドレスを書き換える。例えば、転送先切換機能２３は、送信パケットの宛先アドレスをポリシーテーブル１７から得られる指定アドレスに書き換える。また、転送先切換機能２３は、必要に応じて、送信パケットの宛先アドレスを指定アドレス（第一ルーティングアドレス）に書き換えたり、送信元アドレスをＨＡ３０のアドレスに書き換えたりする。送信パケットは、送信処理部１２に与えられ、ネットワークへ送出される。
〈移動端末の構成例〉
次に、上述した実施形態で説明した動作を実現するための移動端末（ＭＮ）の構成例について説明する。図１４は、ＭＮの構成例を示すブロック図である。図１４において、ＭＮ３０は、移動端末Ｍ２として適用可能なＨＡである。ＭＮ３０は、例えば、ノート型のパーソナルコンピュータ，ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔｓ）等のモバイルコンピュータのような可搬性を持つコンピュータで構成される。
ＭＮ３０は、ハードウェア的には、制御装置（ＣＰＵ，主記憶（ＲＡＭ等），補助記憶（ＲＡＭ，ＲＯＭ，ハードディスク等），入出力ユニット，デバイスドライバ等からなる）、通信制御装置（ネットワークインタフェース装置等）を備えており、制御装置を構成するＣＰＵが補助記憶などに記憶された各種のプログラム（ＯＳ，様々なアプリケーション）を実行することによって、図１４に示すような複数のブロックを持つ装置として機能する。
ＭＮ３０は、受信処理部３１と、パケット識別部３２と、パケット分解部３３と、アプリケーション３４と、ユーザインタフェース３５と、パケット組立部３６と、送信処理部３７と、端末停止コードチェック部３８と、ルータ広告メッセージ処理部３９と、モバイルＩＰメッセージ処理部４０と、ＢＵ付与処理部４１と、優先メッセージの有無を示す情報の格納部４２と、位置登録優先処理リスト４３とを備えた装置として機能する。
受信処理部３１は、ネットワークインタフェースの一部を構成し、ネットワークからパケットを受信してパケット識別部３２に与える。
パケット識別部３２は、パケットの内容を解析し、パケットがルータ広告メッセージを含んでいれば、そのルータ広告メッセージをルータ広告メッセージ処理部３９に与える。また、パケット識別部３２は、パケットがモバイルＩＰメッセージ又は位置応答（ＢＡ）メッセージを含んでいれば、これらのメッセージをモバイルＩＰメッセージ処理部３９に与える。また、パケットがアプリケーションデータパケットであれば、このパケットをパケット分解部３３に与える。
パケット分解部３３は、パケットの分解処理を行い、受信データを組み立ててアプリケーション３４に与える。
アプリケーション３４は、必要に応じて、ユーザインタフェース３５から入力される情報（データや命令）に従って受信データに対する様々な処理を行い、その処理結果を示す情報（データなど）をユーザインタフェース３５に出力し、受信データに対する処理の結果生成された送信データをパケット組立部３６に与える。
パケット組立部３６は、送信データ、或いはＢＵ付与処理部４１から与えられるＢＵ（優先度の指定付き／指定なし）を含む１以上の送信パケットを生成し、送信処理部３７に与える。
送信処理部３７はネットワークインタフェースの一部を構成し、送信パケットをネットワークに送出する。
ルータ広告メッセージ処理部３９は、ルータから送信されるルータ広告メッセージからルータのアドレス（ＣｏＡ）をチェックし、ＣｏＡが変化している場合には、ＭＮの移動を検出し、ＭＮの移動をモバイルＩＰメッセージ処理部４０に通知する。
モバイルＩＰメッセージ処理部４０は、移動通知をルータ広告メッセージ処理部３９から受け取った場合には、ＢＵメッセージを生成し、ＢＵ付与処理部４１に渡す。また、モバイルＩＰメッセージ処理部４０は、モバイルＩＰメッセージとしてＢＲＲメッセージを受け取った場合にも、ＢＵメッセージを生成する。
モバイルＩＰメッセージ処理部４０で作成されたＢＵメッセージは、ＢＵ付与処理部４１に渡される。また、モバイルＩＰメッセージ処理部４０は、ＢＵ付与処理部４１に対し、優先度の付与処理に対する有効／無効を制御する。
ＢＵに優先度を付与しない場合には、付与処理部４１の処理が無効にされ、優先度が付与される場合には、付与すべき優先度がメッセージ処理部４０から通知され、ＢＵ付与部４１がＢＵメッセージに優先度を付与し、パケット組立部３６に渡す。
優先度管理部４２は、ＭＮが指定できる優先度のレベルと、最後に指定した優先度のレベルを示す情報を管理している。優先度管理部４２で管理される情報は、メッセージ処理部４０で参照され、メッセージ処理部４０は、指定すべき優先度を取得してＢＵ付与部４１に通知する。
ＨｏＡ管理部４３は、ＭＮに付与されている複数のＨｏＡとこれらのＨｏＡに係る情報（例えばその優先順位（優劣関係）を示す情報）を管理している。メッセージ処理部４０は、ＨｏＡ管理部４３で管理されている情報を参照し、使用すべきＨｏＡを決定し、そのＨｏＡを含むＢＵメッセージを生成する。
端末停止コードチェック部３８は、パケット識別部３２に到着した停止メッセージを検出し、アプリケーション３４に通知する。即ち、チェック部３８は、パケット識別部３２に入力されるパケットの所定位置に設定されているコードをチェックし、このコードが端末停止コードである場合には、そのことをアプリケーション３４に通知する。すると、アプリケーション３４は、ＭＮ３０の状態を停止又は使用不可状態にする。
〈管理端末の構成例〉
次に、上述した実施形態で説明した動作を実現するための管理端末の構成例について説明する。図１５は、管理端末の構成例を示すブロック図である。図１５において、ＭＮ３０は、移動端末Ｍ２として適用可能なＨＡである。ＭＮ３０は、パーソナルコンピュータ，ワークステーションのような情報処理装置で構成される。
管理端末５０は、ハードウェア的には、制御装置（ＣＰＵ，主記憶（ＲＡＭ等），補助記憶（ＲＡＭ，ＲＯＭ，ハードディスク等），入出力ユニット，デバイスドライバ等からなる）、通信制御装置（ネットワークインタフェース装置等）を備えており、制御装置を構成するＣＰＵが補助記憶などに記憶された各種のプログラム（ＯＳ，様々なアプリケーション）を実行することによって、図１５に示すような複数のブロックを持つ装置として機能する。
図１５において、管理端末５０は、受信処理部５１と、送信処理部５２と、パケット識別部５３と、管理端末ＩＤ情報制御部５４と、ポリシー管理情報格納部５５と、端末認証部５６と、パケット廃棄部５７と、端末制御部５８と、情報監視部５９と、管理情報登録制御部６０とを備えた装置として機能する。
受信処理部５１は、ネットワークからパケットを受信する。送信処理部５２は、パケットをネットワークへ送信する。パケット識別部５３は、パケットの種別を識別し、所定の種別のパケットを管理端末ＩＤ情報制御部５４に渡す。
管理端末ＩＤ情報制御部５４は、管理端末５０の管理対象のユニークな端末ＩＤ情報を管理しており、パケット識別部５３からのパケットに含まれた端末ＩＤが管理している端末ＩＤと照合し、何れかと一致する場合には、パケットをポリシー管理情報制御部５５に渡し、そうでない場合には、パケットをパケット廃棄部５７に渡す。
ポリシー管理情報制御部５５は、ポリシーを管理しており、ポリシーに従って、端末認証部５６、パケット廃棄部５７、端末制御部５８、情報監視部５９、管理情報登録制御部６０を制御する。
端末認証部５６は、制御部５５からの指示に従って、移動端末が位置登録削除要請を行う場合等において、ＳＳＬ等を用いて、その移動端末のユーザが正規の契約ユーザであるか否かを判断する。
パケット廃棄部５７は、無効なパケットを廃棄する。例えば、管理端末５０が管理していない端末ＩＤ情報を持つ移動端末からの要求パケットを制御部５４から受け取って廃棄する。なお、パケット識別部５３がパケットの端末ＩＤ情報を参照し、管理対象の端末ＩＤ情報か否かを判断し、管理対象でない場合に当該パケットを廃棄するように構成されていても良い。
端末制御部５８は、制御部５５からの指示に従って、移動端末に対するメッセージ（送信パケット）を生成し、送信処理部５２から送信する。例えば、端末制御部５８は、第７実施形態で説明したようなＢＲＲや、停止メッセージを生成して送信することができる。
情報監視部５９は、第６実施形態で説明したような、ＨＡから転送されてくるＭＮからのパケット等を、覗き見る（ピーピング）する。また、情報監視部５９は、覗き見たパケットを本来の宛先へ向けて転送することもできる。
管理情報登録制御部６０は、ＨＡに対し、管理対象の移動端末に係るポリシーの設定を行うための処理を行う。即ち、管理情報登録制御部６０は、ポリシー管理情報制御部５５で管理されているポリシーに従って、ＨＡに対してポリシーを設定するための制御メッセージを生成し、送信処理部５２からＨＡへ向けて送信する。
〈テーブルの構成例〉
次に、上述した本発明の実施形態に適用可能なテーブルの構成例を説明する。図１６は、第１、２実施形態にて適用可能なＢＣテーブルのデータ構造の例を示す図である。ＢＣテーブルは、ＨＡが持つ記憶装置上に作成され、バインディング（ＨｏＡ及びＣｏＡ）毎に用意される１以上のエントリからなる。各エントリは、バインディングを格納するフィールドと、バインディングに対する優先度（Ｐｒｉｏｒｉｔｙ）を示すフィールドとを含む。優先度の格納フィールドは、新たに用意されたフィールドである。このフィールドに登録された優先度は、ＢＵに含まれる優先度との比較のために参照される。
図１７は、第６実施形態にて適用可能なＢＣテーブルのデータ構造例を示す図である。図１７に示すＢＣテーブルは、ＨＡが持つ記憶装置上に作成され、バインディング毎に用意される複数のエントリを有している。各エントリは、バインディング（ＨｏＡ及びＣｏＡ）を格納するためのフィールドと、パケットの宛先として使用される指定アドレス（Ｆａｓｔ  ｒｏｕｔｉｎｇ  ａｄｄｒｅｓｓ）を格納するためのフィールドとを有する。指定アドレスの値は、ＨＡがパケットを転送する際に参照され、指定アドレスの値が０（指定なし）であれば、そのパケットがそのまま転送され、そうでなければ、この指定アドレスがパケットの宛先アドレスに設定され、その宛先アドレスへパケットが転送される。
図１８は、第５実施形態で適用可能なＢＣテーブルのデータ構造例を示す。図１８に示すＢＣテーブルは、ＨＡが持つ記憶装置上に作成され、バインディング毎に用意される１以上のエントリからなる。各エントリは、バインディング（ＨｏＡ及びＣｏＡ）を格納するためのフィールドと、このバインディング（ＨｏＡ）に対する他のバインディング（ＨｏＡ）との優劣を示す値（ＭＯＤＥ値）を格納するフィールドとを備える。
ＭＯＤＥ値の優劣関係は、例えば３すくみの関係を持つようにするのが好ましい。例えば、ＭＯＤＥ値がＡ，Ｂ，Ｃからなる場合には、Ａ＞Ｂ＞Ｃ＞Ａの関係を持つ。またＭＯＤＥ値を二つ用意（例えば、ＡとＢ）し、ＢＣテーブルに対して後から登録されるものが先に登録されるものに優位するようにしても良い。
図１９は、優先度を設定するアドレスが割り付けられるＢＣの例を示す図である。図１９に示すＢＣは、ＨＡが持つ記憶装置上に作成され、バインディングを格納するフィールドと、バインディングに対する優先度を格納するフィールドと、このバインディングに対する優先度を設定することが可能なノード（ＭＮや管理端末等）のアドレスを示す１以上の設定許可アドレスを格納するためのフィールドとを備える。
ＨＡは、優先度が指定されたＢＵを受信した場合に、そのＢＵに含まれるＨｏＡから対応するＢＣを特定する。このとき、そのＢＵの送信元アドレスが設定許可アドレスの何れかに該当するか否かを判定し、該当する場合には、第１実施形態で説明したような優先度の優劣判定処理を行い、そうでなければ、このＢＵを無視（例えば廃棄）する。これによって、ＢＣの更新の権限を持つノードが限定されている場合において、権限のないノードからのＢＵによってＢＣが更新されるのを防止することができる。
図２０（Ａ）は、複数のＨｏＡの関連づけ登録処理に使用されるテーブルの構成例を示す図であり、図２０（Ｂ）は、テーブル６０に格納される制御提供機能の説明図である。
図２０（Ａ）において、テーブル６０は、契約ＭＮ毎に用意される。テーブル６０は、契約ＭＮに対して設定された複数のＨｏＡ毎のエントリを持つ（契約ＭＮが持つＨｏＡが１つのときはエントリは１つ）。各エントリは、ＨｏＡ名と、値“Ｐ１”と、制御アドレスと、リンクと、属性と、Ｐ２と、制御提供機能とをそれぞれ保持するフィールドを持つ。テーブル６０は、例えば、図１３に示したポリシーテーブル１７や、図１５に示したポリシー管理情報制御部５５内に設けられる。
図２０（Ａ）に示したテーブル６０において、“Ｐ１”として、制御アドレスから制御提供機能までを１セットとした数が設定される。但し、“Ｐ１”の値が“０”であれば、制御権は自装置（ＨＡ又は管理端末）のみとなる。制御アドレスとして、制御権を持つアドレスが指定される。制御アドレスの指定がない場合には、制御権は自装置のみが持つこととなる。リンク（Ｌｉｎｋ）として、制御アドレスのＢＣの更新時において、更新に係るバインディングのＣｏＡを、当該バインディングのＨｏＡを含む他のＢＣに反映しないことを示す値（例えば“０”）、又は反映することを示す値（例えば“１”）値が設定される。属性として、制御アドレスの背反論理を決定するための情報（例えば、Ａ＞Ｂ＞Ｃ＞Ａ）や、バインディングに対する優先度の決定手法を示す情報が設定される。値“Ｐ２”として、制御提供機能の有効数が設定される。制御提供機能として、図２０（Ｂ）に示すように、削除（ＤＥＬＥＴＥ），置換（ＲＥＰＬＡＣＥ），追加位置登録（ＡＤＤ  ＢＩＮＤ），第１ルーティング設定（ＦＩＲＳＴ  ＲＯＵＴＩＮＧ），データパケット転送中止（ＤＡＴＡ  ＰＡＣＫＥＴ  ＳＴＯＰ），制御パケット処理中止（ＣＯＮＴＲＯＬ  ＰＡＣＫＥＴ  ＳＴＯＰ），設定反映（ＬＩＮＫ），傍受許容（ＰＥＥＰ）等が用意されている。
〈メッセージのフォーマット例〉
次に、上述した本発明の実施形態にて適用可能なメッセージのフォーマット例について説明する。図２１（Ａ）は、優先度が指定されたＢＵメッセージのフォーマット例を示す図であり、図２１（Ｂ）は、図２１（Ａ）に示した“優先処理登録”のヘッダフィールドの詳細説明図である。このＢＵメッセージは、第１及び第２実施形態に適用することができる。図２１に示すように、ＢＵメッセージには、指示レベル情報を格納するための“優先処理登録”のヘッダフィールドが新たに設けられており、このフィールド内に優先度が設定される（図２１（Ｂ））。また、“優先処理登録”を示すオプションタイプ（Ｏｐｔｉｏｎ  Ｔｙｐｅ）として、未使用のコードが使用される。
図２２は、メッセージの長さで優先度を定義するＢＵメッセージの例を示す図である。このＢＵメッセージは、第１及び第２実施形態に適用することができる。図２２に示すように、ＭＮがＢＵメッセージにおけるＨｏｍｅ  ＡｄｄｒｅｓｓとＰａｙｌｏａｄ  ｐｒｏｔｏのフィールドの間に、定型のヘッダを所定数挿入し、このヘッダの数でＨＡがＢＵに付与された優先度のレベルを割り出すように構成することもできる。例えば、ヘッダの数が多い（少ない）ほど、優先度が高く（低く）なるように定義することができる。
図２３（Ａ）は、複数ＨｏＡ登録要求メッセージの例を示す図であり、図２３（Ｂ）は、図２３（Ｂ）に示した複数ＨｏＡ登録要求の詳細説明図であり、図２３（Ｃ）は、複数ＨｏＡ関連登録処理情報の内容説明図である。このメッセージは、図２０に示したようなテーブル６０に設定された内容に従って作成される。図２３に示すように、複数ＨｏＡ登録要求メッセージは、複数ＨｏＡ登録要求のフィールドを有し、このフィールドに設けられた複数ＨｏＡ関連登録処理情報内には、送信側のテーブル６０（図２１参照）中の指定ＨｏＡに対応するエントリの内容（リンク，属性，Ｐ２，及び制御提供機能）が設定される。また、メッセージに設定された設定された内容（リンク，属性，Ｐ２，制御提供機能）は、メッセージの受信側のテーブル６０の対応するＨｏＡについてのエントリに反映される。このようなメッセージが管理端末からホームエージェントへ送信される。このとき、メッセージが登録モードであれば、ホームエージェントは、メッセージ中のＨｏＡに対する制御提供機能を、テーブル６０のエントリに登録する。また、メッセージが設定モードであれば、ホームエージェントは、メッセージ中のＨｏＡに対する制御提供機能に基づく制御動作を行う。
図２４は、通常のバインディング・リフレッシュ・リクエスト・メッセージを示す図である。第７及び第８実施形態では、このようなメッセージを適用することが可能である。
図２５は、第７及び第８実施形態で適用可能な停止メッセージの例を示す図である。図２５に示すように、モバイルＩＰメッセージにオプションタイプを含むヘッダを挿入し、このオプションタイプの値として、通常使用されていないコード値が、“停止”を示す値として設定される。ＭＮは、この停止を示すコード値を検出する検出手段（端末停止コードチェック部３８）と、停止を示すコード値が検出された場合に、ＭＮを停止又は使用不可状態にする手段（アプリケーション３４）とを備えるように構成される。
〈ＨＡによる処理〉
次に、本発明の実施形態で説明したＨＡで実行される処理を説明する。図２６は、ＨＡの処理を示すフローチャートである。図２６に示すフローチャートは、パケットの受信を契機として開始する。
ＨＡは、パケットを受信すると、このパケットの識別処理を行い（Ｓ０１）、パケットに登録要求メッセージ（ＢＵ）が含まれているか否かを判定する（Ｓ０２）。このとき、登録要求メッセージが含まれていると判定される場合（Ｓ０２；Ｙｅｓ）には、処理がステップＳ０９に進み、そうでなければ（Ｓ０２；Ｎｏ）、処理がステップＳ０３に進む。
ステップＳ０３では、ＨＡは、ＢＣテーブルを参照し、パケットの宛先アドレスに対応するＢＣがあるか否かを判定する（Ｓ０４）。このとき、ＢＣがないと判定される場合（Ｓ０４；Ｎｏ）には、処理がステップＳ０７に進み、そうでなければ（Ｓ０４；Ｙｅｓ）、処理がステップＳ０５に進む。
ステップＳ０５では、カプセル化処理として、パケットがカプセル化され、ＢＣ中のＣｏＡが宛先に設定される。その後、処理がステップＳ０７に進む。
ステップＳ０７では、ＨＡは、ルーティングテーブルを参照してパケットの送信ポートを特定し、ステップＳ０８で、パケットを特定した送信ポートからネットワークへ送出し、処理を終了する。
ステップＳ０９へ処理が進んだ場合には、ＨＡは、位置登録アドレスフィルタ、即ちＢＵの送信元を制限するためのアドレスフィルタが設定されているか否かを判定する。このとき、アドレスフィルタがあると判定される場合（Ｓ０９；Ｙｅｓ）には、処理がステップＳ１０へ進み、そうでない場合（Ｓ０９；Ｎｏ）には処理がステップＳ１２へ進む。
ステップＳ１０では、ＨＡは、要求元、即ちＢＵメッセージの送信元アドレスがフィルタ許容アドレス（ＢＵメッセージの送信（位置登録）の権限を持つノードのアドレス）であるか否かを判定する。このとき、アドレスがフィルタ許容アドレスに該当すると判定される場合（Ｓ１０；Ｙｅｓ）には、処理がステップＳ１２へ進み、そうでない場合（Ｓ１０；Ｎｏ）には、パケットが廃棄され（Ｓ１１）、処理が終了する。
ステップＳ１２では、ＨＡは、優先処理、即ち優先度に基づくＢＣの更新処理を行う設定になっているか否かを判定する。このとき、優先処理が行われる設定となっている場合（Ｓ１２；Ｙｅｓ）には、ＨＡは、優先位置登録処理を実行し（Ｓ１５）、その後、処理を終了する。これに対し、優先処理が行われない設定となっている場合（Ｓ１２；Ｎｏ）には、ＨＡは、ＢＵメッセージに基づいてＢＣテーブルを更新し（Ｓ１３）、その結果に基づく位置登録応答パケット（ＢＡメッセージ）を生成して送信し（Ｓ１４）、処理を終了する。
図２７は、図２６に示した優先位置登録処理の例を示すフローチャートである。図２７において、ＨＡは、処理を開始すると、最初に、ＨｏＡ管理があるか否かを判定し（Ｓ２１）、ＨｏＡ管理がある場合（Ｓ２１；Ｙｅｓ）には、処理をステップＳ３２に進め、そうでない場合（Ｓ２１；Ｎｏ）には、処理をステップＳ２２に進める。
ステップＳ２２では、ＨＡは、ＢＵメッセージに基づくバインディングとＢＣテーブルの登録内容とを参照して位置登録が新規登録か否かを判定し、新規登録であれば（Ｓ２２；Ｙｅｓ）、処理をステップＳ２３に進め、そうでなければ（Ｓ２２；Ｎｏ）、処理をステップＳ２７に進める。
ステップＳ２３では、ＨＡは、ＢＵメッセージに優先度の指定があるか否かを判定し、優先度の指定があれば（Ｓ２３；Ｙｅｓ）、処理をステップＳ２５に進め、そうでなければ（Ｓ２３；Ｎｏ）、低レベルの優先度を指定し（Ｓ２４）、処理をステップＳ２５に進める。
ステップＳ２５では、ＨＡは、ＢＣテーブルの更新処理を行う。即ち、ＨＡは、ＢＵメッセージから特定されるバインディングと指定優先度とを、例えば図１６に示すようなＢＣテーブルに登録する。その後、ＨＡは、ＢＵメッセージに対するＢＡメッセージを送信し（Ｓ２６）、処理を終了する。
ステップＳ２７に処理が進んだ場合には、ＨＡは、位置登録が更新登録か否かを判定し、そうであれば（Ｓ２７；Ｙｅｓ）、処理をＳ２９に進める。ステップＳ２９では、ＨＡは、ＢＵメッセージに優先度指定があるか否かを判定し、優先度指定があれば（Ｓ２９；Ｙｅｓ）、処理をステップＳ３０に進める。
ステップＳ３０では、ＨＡは、ＢＵメッセージに含まれている優先度（「指定優先度」と称する）と、更新対象のＢＣに登録されている優先度（「登録優先度」と称する）とを対比し、予め設定されているポリシーに従って、どちらが優位かを判定する。例えば、指定優先度のレベルが登録優先度よりも高い場合には、処理がＳ２５に進み、指定優先度のレベルが登録優先度と同じ又は低い場合には、処理がＳ３４に進む。
処理がＳ２５に進んだ場合には、ＨＡは、ＢＵに基づくバインディング及び優先度で、更新対象のＢＣテーブルのエントリを更新（上書き）する。従って、先に登録されていたバインディング及び優先度は削除される。その後、ＢＣの更新を示すＢＡメッセージが送信され処理が終了する。一方、処理がステップＳ３４に進んだ場合には、ＨＡは、ＢＣの更新を行わず、ＢＣの未更新を示すＢＡメッセージを送信し、処理を終了する。
図２８は、ＨＡによるＢＣの有効アドレス（設定許可アドレス）の指定処理を示すフローチャートである。図２８に示す処理は、図１９に示すようなＢＣが適用され、ＢＣを更新可能なノードが制限される場合において、例えば、図２７に示すステップＳ２５の処理において実行される。
図２８において、ＨＡは、メッセージ（例えばＢＵメッセージ。その他のモバイルＩＰメッセージを適用することもできる）に、設定許可アドレスとして設定すべき指定アドレスが含まれているか否かを判定する（Ｓ４１）。
このとき、指定アドレスがなければ、処理がステップＳ４３に進み、指定アドレスがあれば、ＨＡは、位置登録アドレス許可フィルタ登録処理として、指定アドレスを設定許可アドレスとして登録した後、処理をステップＳ４３に進める。
ステップＳ４３は、ＢＣテーブル更新処理であり、ＨＡは、ＢＵメッセージに基づくバインディング及び優先度でＢＣテーブルを更新する。その後、処理が終了する。
図２９は、ポリシー関連づけ処理登録処理を示すフローチャートである。当該処理は、例えば、第５実施形態で説明したように、或るバインディングの登録を他のバインディングに反映する場合に実行される。この処理は、図２９に示すような、ポリシー登録テーブル１０１が使用される。
図２９に示すポリシー登録テーブル１０１には、４つのＨｏＡ（ＨｏＡ−１，ＨｏＡ−２，ＨｏＡ−３，ＨｏＡ−４）を対象ＨｏＡとして、各対象ＨｏＡについて更新を行うか否かの情報が格納されている。具体的には、対象ＨｏＡ毎に、これに対応するＨｏＡ（対応ＨｏＡ）と、そのリンクとが格納される。対応ＨｏＡには、対象ＨｏＡと同じＨｏＡを選択することができる。リンクは、“０”と“１”との値を持ち、“１”であれば、対応ＨｏＡが登録又は更新される場合に、対象ＨｏＡのＢＣに登録されているＣｏＡを、対応ＨｏＡのＣｏＡで更新することを示し、“０”であれば対象ＨｏＡのＢＣの更新を行わないことを示す。０／１の値の意味は逆であっても良い。
例えば、対象ＨｏＡ“ＨｏＡ−１”を例に説明すると、ＨｏＡ−１には、対応ＨｏＡとして、ＨｏＡ−２，ＨｏＡ−３及びＨｏＡ−１が設定されている。ここでは、ＨｏＡ−２＞ＨｏＡ−３＞ＨｏＡ−１で優先度が設定されている。各対応ＨｏＡのリンク値が“１”である場合、ＨｏＡ−１のＢＣにおけるＣｏＡは、ＨｏＡ−１の更新に加えて、ＨｏＡ−２及びＨｏＡ−３の登録又は更新時に強制的に更新される。
図２９に示す処理が開始されると、ＨＡは、ＢＣテーブルを更新し、ＢＵメッセージに基づくバインディングをＢＣテーブルに登録する（Ｓ５１）。このとき、ＢＵメッセージに優先度の指定があればその優先度も登録される。
次に、ＨＡは、ポリシー登録があるか否かを判定する（Ｓ５２）。即ち、ＨＡは、ポリシー登録テーブル１０１を参照し、Ｓ５１で登録したバインディングのＨｏＡがリンク値が“１”の対応ＨｏＡに該当するか否かを判定する。このとき、ＨｏＡが対応ＨｏＡに該当しない場合（Ｓ５２；Ｎｏ）には、処理が終了し、ＨｏＡが対応ＨｏＡに該当する場合（Ｓ５２；Ｙｅｓ）には、処理がＳ５３に進む。
ステップＳ５３では、ＨＡは、ポリシー登録テーブル１０１から、対象ＨｏＡを特定し、この対象ＨｏＡのＢＣをＢＣテーブルから特定し、このＢＣに登録されているＣｏＡを、Ｓ５１で登録した対応ＨｏＡのＣｏＡに書き換える。そして、ＨＡは処理を終了する。このようにして、或るＨｏＡに係るバインディングの登録に際して、他のＨｏＡに係るバインディングのＣｏＡを書き換えることができる。
図３０は、複数のＨｏＡの関連づけ処理要求を示すフローチャートである。図３０に示す処理は、図２０に示すテーブルと、図２３に示すメッセージとが適用される場合に実行される。これらの構成は、移動端末や管理端末がＨＡに対する制御を実施する形態で適用される。
図３０において、ＨＡは、図２３に示すメッセージパケットの受信を契機に処理を開始する。最初に、ＨＡは、パケットを識別し（Ｓ６１）、そのパケットの送信元アドレスが有効制御アドレスか否かを判定し（Ｓ６２）、そうでなければ当該パケットを廃棄し（Ｓ６４）、処理を終了する。
これに対し、パケットの送信元アドレスが有効制御アドレスである場合には、ＨＡは、制御提供機能の値が“０”か否かを判定し、“０”であれば、処理がステップＳ６４に進み、そうでなければ、処理がＳ６５に進む。ステップＳ６５では、ＭＯＤＥ（モード）値が参照され、その値が登録モード（ＳＥＴ）であれば、ポリシー登録処理を行い（図２０（Ｂ）参照）、設定（依頼）モード（ＷＲＩＴＥ）であれば、ポリシーの登録内容に基づく処理を行う。図３０では、モード値が設定モードの場合の処理が示されている。ステップＳ６５では、ＨＡは、制御提供機能の内容に基づく処理を行い（図２０（Ｂ）参照）、パケットフィルタを設定したり（Ｓ６６）、ＢＣテーブルを更新したりする（Ｓ６７）。そして、処理を終了する。
〈実施形態の作用効果〉
実施形態によれば、ＭＮのユーザは、不正な位置登録によりＨＡに対する位置登録が失敗した場合に、優先度の高い位置登録を、現在位置登録を行っている端末と異なる端末から行うことで、不正な位置登録を削除することができる。また、ＨＡの管理端末から、不正な位置登録を削除することもできる。また、管理端末は、ＨＡに対してセキュリティポリシーの変更を依頼する事ができる。
また、不正な位置登録が行われている場合において、そのＭＮから送信されるパケットの宛先をＨＡで変更することにより、所定のノードにて受信することができる。
また、ユーザがＭＮを紛失した場合や、盗難にあった場合には、管理端末からＢＲＲをＨＡを介して送信することで、ＭＮの位置を把握することができる。また、ＭＮがＨＡに対して位置登録されている場合には、管理端末がＭＮに停止メッセージを送信することで、他人によるＭＮの使用を防止することができる。
【図１】
0004340658.tif 000002
【図２】
0004340658.tif 000003
【図３】
0004340658.tif 000004
【図４】
0004340658.tif 000005
【図５】
0004340658.tif 000006
【図６】
0004340658.tif 000007
【図７】
0004340658.tif 000008
【図８】
0004340658.tif 000009
【図９】
0004340658.tif 000010
【図１０】
0004340658.tif 000011
【図１１】
0004340658.tif 000012
【図１２】
0004340658.tif 000013
【図１３】
0004340658.tif 000014
【図１４】
0004340658.tif 000015
【図１５】
0004340658.tif 000016
【図１６】
0004340658.tif 000017
【図１７】
0004340658.tif 000018
【図１８】
0004340658.tif 000019
【図１９】
0004340658.tif 000020
【図２０】
0004340658.tif 000021
【図２１】
0004340658.tif 000022
【図２２】
0004340658.tif 000023
【図２３】
0004340658.tif 000024
【図２４】
0004340658.tif 000025
【図２５】
0004340658.tif 000026
【図２６】
0004340658.tif 000027
【図２７】
0004340658.tif 000028
【図２８】
0004340658.tif 000029
【図２９】
0004340658.tif 000030
【図３０】
0004340658.tif 000031
【図３１】
0004340658.tif 000032
【図３２】
0004340658.tif 000033
【図３３】
0004340658.tif 000034
【図３４】
0004340658.tif 000035
【図３５】
0004340658.tif 000036
【図３６】
0004340658.tif 000037
【図３７】
0004340658.tif 000038