(57)【要約】【課題】  移動機などに特別の追加機能を付加することなく、ＩＰｓｅｃトンネル終端ゲートウェイや認証サーバにおける不要な情報の保持をなくしてリソースの有効利用を図る。【解決手段】  移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムにおいて、セキュリティパスであるＩＰｓｅｃトンネル１０５を介して、移動機１００に対して、ＩＣＭＰエコー要求を送出し、このエコー要求に対する応答の有無により、移動機１００の無線ＬＡＮ圏外の検出を行って、ＩＰｓｅｃトンネル１０５生成のための装置１０１や１０３に対して、ＩＰｓｅｃトンネル１０５や移動機１００に関する情報の削除要求をなす移動機監視装置１０４を設けたことを特徴とする。【選択図】      図１
2009267547.tif 000002
【特許請求の範囲】
【請求項１】
移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムであって、
前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰ（Internet Control and Management Protocol）エコー要求を送出し、このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなす移動機監視装置を設けたことを特徴とする移動通信システム。
【請求項２】
前記エコー要求を所定間隔で送出し、所定回数連続して前記応答がなかった場合に、前記移動機の無線ＬＡＮ圏外の検出をなすことを特徴とする請求項１記載の移動通信システム。
【請求項３】
前記移動体監視装置は、前記エコー要求に対する応答の有無により、前記セキュリティパスの異常検出をなすことを特徴とする請求項１または２記載の移動通信システム。
【請求項４】
移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムにおける通信制御方法であって、
前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰ（Internet Control and Management Protocol）エコー要求を送出するステップと、
このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなすステップとを含むことを特徴とする通信制御方法。
【請求項５】
前記エコー要求を所定間隔で送出し、所定回数連続して前記応答がなかった場合に、前記移動機の無線ＬＡＮ圏外の検出をなすことを特徴とする請求項４記載の通信制御方法。
【請求項６】
前記エコー要求に対する応答の有無により、前記セキュリティパスの異常検出をなすステップを、更に含むことを特徴とする請求項４または５記載の通信制御方法。
【請求項７】
移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムにおける移動体監視装置であって、
前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰ（Internet Control and Management Protocol）エコー要求を送出し、このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなすことを特徴とする移動体監視装置。
【請求項８】
前記エコー要求を所定間隔で送出し、所定回数連続して前記応答がなかった場合に、前記移動機の無線ＬＡＮ圏外の検出をなすことを特徴とする請求項７記載の移動体監視装置。
【請求項９】
前記エコー要求に対する応答の有無により、前記セキュリティパスの異常検出をなすことを特徴とする請求項７または８記載の移動体監視装置。
【請求項１０】
移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムにおける移動体監視装置の動作をコンピュータに実行させるためのプログラムであって、
前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰ（Internet Control and Management Protocol）エコー要求を送出する処理と、
このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなす処理とを含むことを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は移動通信システム及び移動通信制御方法並びにそれに用いる移動機監視装置に関し、特に無線ＬＡＮ（ＷＬＡＮ：Wireless Local Area Network ）経由で移動機の移動体通信網へのアクセス方式に関するのものである。
【背景技術】
【０００２】
ＷＬＡＮに関しては、３ＧＰＰ（3rd Generation Partnership Project）に規定されている。図４は、かかるＷＬＡＮのネットワークシステム構成図であり、移動機（ＵＥ：User Equipment）１００と、ＩＰｓｅｃ（Security Architecture for Internet Protocol ）トンネル終端ゲートウェイ（ＰＤＧ：Packet Data Gateway ）１０１と、ＳＩＰ（Session Initiation Protocol ）サーバ（ＣＳＣＦ：Call State Control Function ）１０２と、認証サーバ（ＡＡＡ：Authentication Authorization Accounting ）１０３とが設けられている。
【０００３】
ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、移動機１００との間に張られるＩＰｓｅｃトンネル１０５の終端機能を有する。移動機１００とＩＰｓｅｃトンネル終端ゲートウェイ１０１との間のネットワークは、インターネットなどの公衆回線が使用されるために、セキュリティパスであるＩＰｓｅｃトンネル１０５により、セキュアな通信を保障する必要がある。よって、このＩＰｓｅｃトンネル終端ゲートウェイ１０２は、移動体通信事業者内のネットワークとインターネットなどの公衆回線との境界に配置される。
【０００４】
ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、移動機１００で暗号化されたＩＰｓｅｃパケット（例えば、ＳＩＰプロトコルパケット）を復号化して、その先にある移動体通信網のサービス装置（図示せず）へ転送する。ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、ＩＰｓｅｃトンネル１０５を確立する際の認証処理を行うために、認証サーバ１０３へアクセスをなすものである。
【０００５】
ＳＩＰサーバ１０２は、移動機１００から送信されたＩＰｓｅｃパケットを処理するサーバである。認証サーバ１０３は、移動機のユーザ情報を管理するサーバであり、移動機の認証処理を実行するものである。よって、この認証サーバ１０３は、加入者情報サーバとも呼ばれる。
【０００６】
図５を参照すると、図４に示したＷＬＡＮのネットワークシステムにおけるＩＰｓｅｃ確立（ＣＨＩＬＤ＿ＳＡ（Security Association）確立）の際のシーケンス図であり、非特許文献１に記述されているものである。
【０００７】
移動機１００は、移動機が無線ＬＡＮ圏内に入った時、または移動機１００が無線ＬＡＮ圏内で電源投入された時、図５に示すシーケンスを実施してＩＰｓｅｃトンネル１０５を確立するものである。
【０００８】
移動機１００とＩＰｓｅｃトンネル終端ゲートウェイ１０１との間において、ＩＫＥ（Internet Key Excahange）＿ＳＡ＿ＩＮＩＴ（Initiation）要求２００及びＩＫＥ＿ＳＡ＿ＩＮＩＴ応答２０１により、各種パラメータの交換を行う。続いて、移動機１００は、ＩＫＥ＿ＡＵＴＨ（Authentication）要求２０２及び認証要求２０３により、認証サーバ１０３に対してＥＡＰ（Extensible Authentication Protocol）認証要求を行う。
【０００９】
認証サーバ１０３は、認証応答（ＥＡＰチャレンジ）２０４及びＩＫＥ＿ＡＵＴＨ認証応答（ＥＡＰチャレンジ）２０５により、移動機１００に対してＥＡＰチャレンジを送信する。ＥＡＰチャレンジを受信した移動機１００は、このＥＡＰチャレンジに対する演算処理２０６を実行することになる。そして、移動機１００は、この演算結果をＥＡＰレスポンスとして、ＩＫＥ＿ＡＵＴＨ要求（ＥＡＰレスポンス）２０７及び認証要求２０８（ＥＡＰレスポンス）により、認証サーバ１０３へ送信する。
【００１０】
認証サーバ１０３は、演算結果の照合処理２０９を実行することにより、移動機１００の認証処理を実施することになる。ＥＡＰ認証がＯＫの場合には、認証サーバ１０３は、認証応答（ＥＡＰ  ＯＫ）２１０及びＩＫＥ＿ＡＵＴＨ応答（ＥＡＰ  ＯＫ）２１１により、移動機１００に対してＥＡＰ認証結果ＯＫを送信する。
【００１１】
そして、最後に、ＩＫＥ＿ＡＵＴＨ要求２１２及びＩＫＥ＿ＡＵＴＨ応答２１３により、移動機１００とＩＰｓｅｃトンネル終端ゲートウェイ１０１との間において、ＩＰｓｅｃ認証処理を実施して、ＣＨＩＬＤ＿ＳＡ確立（ＩＰｓｅｃ確立）２１４となるのである。
【００１２】
ＩＰｓｅｃが確立されている間、ＩＰｓｅｃトンネル終端ゲートウェイ１０１及び認証サーバ１０３は、移動機１００のユーザ情報を保持し続ける様になっている（２１５，２１６）。
【００１３】
ここで、移動機１００が無線ＬＡＮの圏外になった場合（２１７）でも、ＩＰｓｅｃプロトコルの性質上、ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、移動機１００が無線ＬＡＮ圏外になったことを検出することができない。よって、ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、ＣＨＩＬＤ＿ＳＡ情報と移動機のユーザ情報が保持され、また認証サーバ１０３には、移動機のユーザ情報が保持され続ける。
【００１４】
【非特許文献１】３ＧＰＰ  ＴＳ３３．２３４  Ｖ７．１．０（２００６−０６）  ｐ．３７−４０
【発明の開示】
【発明が解決しようとする課題】
【００１５】
上述した様に、図５に示したシーケンスが実行された後は、ＩＰｓｅｃトンネル終端ゲートウェイ１０１には、ＣＨＩＬＤ＿ＳＡ情報と移動機のユーザ情報が保持され、また認証サーバ１０３には、移動機のユーザ情報が保持される。そして、ＩＰｓｅｃ確立後に、移動機１００が無線ＬＡＮ圏外となったとき、ＩＰｓｅｃプロトコルの性質上、ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、移動機１００の無線ＬＡＮ圏外を検出することはできない。
【００１６】
よって、ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、依然として、ＣＨＩＬＤ＿ＳＡ情報と移動機のユーザ情報を保持したままとなり、また、認証サーバ１０３は、移動機のユーザ情報を保持したままとなって、これらゲートウェイやサーバでのメモリリソースの有効利用が図れないという問題がある。また、当該ＩＰｓｅｃトンネルの開放を早急に行って、リソースの有効利用を図ることも必要となる。更に、移動機１００とＩＰｓｅｃトンネル終端ゲートウェイ１０１との間のＩＰｓｅｃトンネル１０５のネットワークに異常が発生した場合にも、同様な問題がある。
【００１７】
なお、ＩＥＴＦ（Internet Engineering Task Force ）によるＲＦＣ３７０６には、いわゆる“Ｄｅａｄ  Ｐｅｅｒ  Ｄｅｔｅｃｔｉｏｎ”と称される機能がオプションとして規定されているが、この機能は、移動機とＩＰｓｅｃトンネル終端ゲートウェイとの両方に対して、本機能を動作させるための特別なプロトコルを実装することが必要であるという問題がある。また、本機能は、特別なプロトコルを実装する必要があることから、移動機に対して新たな負荷がかかることになり、よって、移動機のバッテリ持続時間の観点からも問題がある。
【００１８】
本発明の目的は、移動機などに特別の追加機能を付加することなく、ＩＰｓｅｃトンネル終端ゲートウェイや認証サーバにおける不要な情報の保持をなくしてリソースの有効利用を図ることが可能な移動通信システム及び移動通信方法並びにそれに用いる移動機監視装置を提供することである。
【課題を解決するための手段】
【００１９】
本発明による移動通信システムは、移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムであって、前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰエコー要求を送出し、このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなす移動機監視装置を設けたことを特徴とする。
【００２０】
本発明による通信制御方法は、移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムにおける通信制御方法であって、前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰエコー要求を送出するステップと、このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなすステップとを含むことを特徴とする。
【００２１】
本発明による移動機監視装置は、移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムにおける移動体監視装置であって、前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰエコー要求を送出し、このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなすことを特徴とする。
【００２２】
本発明によるプログラムは、移動機の無線ＬＡＮ経由での移動体通信網へのアクセスに際して、セキュリティパスを設定するようにした移動通信システムにおける移動体監視装置の動作をコンピュータに実行させるためのプログラムであって、前記セキュリティパスを介して、前記移動機に対して、ＩＣＭＰエコー要求を送出する処理と、このエコー要求に対する応答の有無により、前記移動機の無線ＬＡＮ圏外の検出を行って、前記セキュリティパス生成のための装置に対して、前記セキュリティパスや前記移動機に関する情報の削除要求をなす処理とを含むことを特徴とする。
【発明の効果】
【００２３】
本発明によれば、ネットワーク上に移動機監視ノードを設け、ＩＰｓｅｃトンネル確立中にこのＩＰｓｅｃトンネルを介して移動機に対して所定間隔でＩＣＭＰ（Internet Control and Management Protocol）エコー要求を送出し、その応答の確認結果に従って、ＩＰｓｅｃトンネルの異常や移動機の無線ＬＡＮ圏外を検出して、ＩＰｓｅｃトンネル終端ゲートウェイや認証サーバにおける不要な情報の開放を行い、不要情報の保持をなくしてリソースの有効利用が可能となるという効果がある。
【発明を実施するための最良の形態】
【００２４】
以下に、図面を参照しつつ本発明の実施の形態について詳述する。図１は本発明の実施の形態を示すＷＬＡＮのネットワークシステム構成図であり、図４と同等部分は同一符号により示している。移動機（ＵＥ）１００と、ＩＰｓｅｃトンネル終端ゲートウェイ（ＰＤＧ）１０１と、ＳＩＰサーバ（ＣＳＣＦ）１０２と、認証サーバ（ＡＡＡ）１０３とが設けられていることは、図４の例と同一であるが、その他に、移動機監視ノード１０４が設けられている。
【００２５】
移動機監視ノード１０４は、ＩＰｓｅｃトンネル１０５の確立中にこのＩＰｓｅｃトンネル１０５を介して移動機１００に対して所定間隔でＩＣＭＰエコー要求を送出し、その応答の確認結果に従って、ＩＰｓｅｃトンネル１０４の異常や移動機１００の無線ＬＡＮ圏外を検出するものである。更に、この移動機監視ノード１０４は、この検出結果に従って、ＩＰｓｅｃトンネル終端ゲートウェイ１０１に対して、ＣＨＩＬＤ＿ＳＡ情報と移動機のユーザ情報の開放要求を生成し、また認証サーバ１０３に対して、移動機のユーザ情報の開放要求を生成するものである。
【００２６】
図２及び図３は本発明の動作を示すシーケンス図であり、図５と同等ステップは同一符号により示している。ステップ２０１〜２１６は、図５とのステップ２０１〜２１６と、それぞれ同一であるので、その説明は省略する。
【００２７】
ＩＰｓｅｃトンネル１０５の確立中に、ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、移動機監視ノード１０４に対して移動機監視開始要求２１８を送信する。移動機監視ノード１０４は、この移動機監視開始要求２１８を受信すると、移動機監視開始応答２１９をＩＰｓｅｃトンネル終端ゲートウェイ１０１に対して送信する。これを契機として、移動機監視ノード１０４は、ＩＰｓｅｃトンネル終端ゲートウェイ１０１及びＩＰｓｅｃトンネル１０５を介して、一定間隔を持ってＩＣＭＰエコー要求２２０，２２２を送出することになる。
【００２８】
移動機１００は、一定間隔で送出されてきたＩＣＭＰエコー要求２２０，２２２に対する応答であるＩＣＭＰエコー応答２２１，２２３を生成して、ＩＰｓｅｃトンネル１０５及びＩＰｓｅｃトンネル終端ゲートウェイ１０１を介して、移動機監視ノード１０４へ出力する。
【００２９】
ここで、移動機１００が無線ＬＡＮ圏外２１７になったとすると、移動機監視ノード１０４から送信されるＩＣＭＰエコー要求２２４〜２２６に対する応答がなくなる。よって、移動機監視ノード１０４は、予め定められた一定の回数だけ連続して、移動機１００からのＩＣＭＰエコー応答がない場合に、移動機１００が無線ＬＡＮ圏外２２７であることを検出する。
【００３０】
移動機監視ノード１０４は、移動機の無線ＬＡＮ圏外を検出すると、ＩＰｓｅｃトンネル終端ゲートウェイ１０１に対して、ＣＨＩＬＤ＿ＳＡ情報の削除要求２２８を生成する。ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、この削除要求２２８を受けると、移動機監視ノード１０４に対してその応答２２９を生成する。同時に、ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、認証サーバ１０３に対して移動機のユーザ情報を開放する開放要求２３０を生成し、認証サーバ１０３は、これに対する応答２３１を生成してＩＰｓｅｃトンネル終端ゲートウェイ１０１へ出力する。
【００３１】
これにより、ＩＰｓｅｃトンネル終端ゲートウェイ１０１は、ＣＨＩＬＤ＿ＳＡ情報の削除を行うと共に、保持している移動機のユーザ情報の開放をなす（２３２）。また、認証サーバ１０３は、移動機のユーザ情報を開放するのである（２３３）。こうすることにより、移動機が無線ＬＡＮ圏外になった時、ＩＰｓｅｃトンネル終端ゲートウェイにおけるＣＨＩＬＤ＿ＳＡ情報と移動機のユーザ情報の開放、及び認証サーバにおける移動機のユーザ情報の開放が実行されて、これらゲートウェイやサーバにおけるメモリ資源の有効利用が可能となる。
【００３２】
また、移動機の無線ＬＡＮ圏外のみならず、ＩＰｓｅｃトンネルに障害が発生した場合にも、移動機監視ノードは、ＩＣＭＰエコー応答を検出できないので、同様に、保持情報の開放をなすようにすることができる。
【００３３】
更に、ＩＣＭＰエコープロトコルは、移動機が使用するカーネルに一般的に組込まれているプロトコルであるので、移動機に特別の機能追加を必要としないし、またＩＣＭＰエコープロトコルは、負荷が軽いプロトコルであるので、移動機のバッテリ持続時間の観点からも有利である。
【００３４】
上述した実施の形態における各装置（ゲートウェイ、サーバやノード）の各動作は、予めその動作手順をプログラムとして記録媒体に格納しておき、これをコンピュータであるＣＰＵにより読取らせて実行する様に構成できることは明白である。
【図面の簡単な説明】
【００３５】
【図１】本発明の実施の形態のシステム構成図である。
【図２】本発明の実施の形態の動作を示すシーケンス図の一部である。
【図３】本発明の実施の形態の動作を示すシーケンス図の一部である。
【図４】本発明に関連するシステム構成図である。
【図５】図４のシステムの動作を示すシーケンス図である。
【符号の説明】
【００３６】
１００  移動機
１０１  ＩＰｓｅｃトンネル終端ゲートウェイ
１０２  ＳＩＰサーバ
１０３  認証サーバ
１０４  移動機監視ノード
１０５  ＩＰｓｅｃトンネル
【図１】
2009267547.tif 000003
【図２】
2009267547.tif 000004
【図３】
2009267547.tif 000005
【図４】
2009267547.tif 000006
【図５】
2009267547.tif 000007