JP2021010174A - 通信方法、コントロールプレーン装置、コントロールプレーン装置もしくは通信端末のための方法、及び通信端末 - Google Patents

通信方法、コントロールプレーン装置、コントロールプレーン装置もしくは通信端末のための方法、及び通信端末 Download PDF

Info

Publication number
JP2021010174A
JP2021010174A JP2020163072A JP2020163072A JP2021010174A JP 2021010174 A JP2021010174 A JP 2021010174A JP 2020163072 A JP2020163072 A JP 2020163072A JP 2020163072 A JP2020163072 A JP 2020163072A JP 2021010174 A JP2021010174 A JP 2021010174A
Authority
JP
Japan
Prior art keywords
communication terminal
control plane
communication
information
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2020163072A
Other languages
English (en)
Other versions
JP6962432B2 (ja
Inventor
伊藤　博紀
Hironori Ito
伊藤　　博紀
アナンド ラガワ プラサド
Raghawa Prasad Anand
アナンド ラガワ プラサド
クンツ アンドレアス
Kunz Andreas
クンツ アンドレアス
直明 鈴木
Naoaki Suzuki
直明 鈴木
田村　利之
Toshiyuki Tamura
利之 田村
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Publication of JP2021010174A publication Critical patent/JP2021010174A/ja
Application granted granted Critical
Publication of JP6962432B2 publication Critical patent/JP6962432B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/22—Processing or transfer of terminal data, e.g. status or physical capabilities
    • H04W8/24—Transfer of terminal data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/12—Access point controller devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/16—Interfaces between hierarchically similar devices
    • H04W92/24—Interfaces between hierarchically similar devices between backbone network devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/14—Backbone network devices

Abstract

【課題】ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワークにおいて高いセキュリティレベルを維持することができる通信システムを提供することを目的とする。【解決手段】本開示にかかる通信システムは、通信端末の加入者情報を管理する加入者情報管理装置（１０）と、通信端末の識別情報と、通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理するセキュリティ装置（２０）と、を備える。加入者情報管理装置（１０）は、通信端末の識別情報及び通信端末が利用するネットワークスライスシステムの識別情報を用いてセキュリティ装置（２０）から通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する。【選択図】図１

Description

本開示は通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関し、例えばセキュリティ処理を実行する通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関する。
近年、ＩｏＴ（Internet of Things）サービスに関する検討が進められている。ＩｏＴサービスには、ユーザの操作を必要とせず、自律的に通信を実行する端末（以下、ＩｏＴ端末とする）が数多く用いられる。そこで、サービス事業者が多くのＩｏＴ端末を用いてＩｏＴサービスを提供するために、通信事業者等が管理するネットワークにおいて、多くのＩｏＴ端末を効率的に収容することが望まれている。
非特許文献１には、Annex Bにおいて、ネットワークスライシングを適用したコアネットワークの構成が記載されている。ネットワークスライシングは、多くのＩｏＴ端末を効率的に収容するために、提供するサービス毎にコアネットワークを分割する技術である。また、5.1節において、分割されたそれぞれのネットワーク（ネットワークスライスシステム）には、カスタマイズや最適化が必要になることが記載されている。
一方、非特許文献２の6.2節には、ＥＰＳ（Evolved Packet System）のセキュリティ処理において用いられる鍵の構成が記載されている。具体的には、ＵＳＩＭ（Universal Subscriber Identity Module）及びＡｕＣ（Authentication Center）が、マスター鍵Ｋを有している。ＵＳＩＭ及びＡｕＣは、マスター鍵Ｋを用いて、ＣＫ（Confidentiality Key）及びＩＫ（Integrity Key）を生成する。
次に、ＵＥ（User Equipment）及びＨＳＳ（Home Subscriber Server）は、ＣＫ、ＩＫ、及び、ＳＮＩＤ（Serving Network Identity）を用いて、鍵ＫＡＳＭＥを生成する。ＳＮＩＤは、通信事業者を識別するＩＤである。次に、ＵＥ及びＭＭＥ（Mobility Management Entity）は、鍵ＫＡＳＭＥを用いて、コアネットワーク及び無線アクセスネットワークのセキュリティ処理に用いられる鍵を生成する。
ＥＰＳにおいては、このようにして生成された鍵を用いて、メッセージの暗号化及びメッセージの改ざん防止（メッセージの完全性保証）等のセキュリティ処理が実行される。
3GPP TR23.799 V0.2.0 (2016-2) Annex B, 5.1 Key issue 1: Support of network slicing 3GPP TS 33.401 V13.2.0 (2016-03) 6.2 EPS key hierarchy
非特許文献１に開示されているネットワークスライシングが適用された場合、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させるために、ネットワークスライスシステム毎に異なる鍵を使用することが想定される。しかし、非特許文献２に開示されている鍵の構成は、ＵＥが、コアネットワーク内においては、１つの鍵ＫＡＳＭＥを使用することを示している。そのため、非特許文献２に開示されている鍵の構成を、ネットワークスライシングが適用されたコアネットワークに用いても、ネットワークスライスシステム毎に異なる鍵を生成することができない。そのため、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させることができないという問題がある。
本開示の目的は、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することにある。
本開示の第１の態様にかかる通信システムは、通信端末の加入者情報を管理する加入者情報管理装置と、前記通信端末と、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理するセキュリティ装置と、を備え、前記加入者情報管理装置は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。
本開示の第２の態様にかかる加入者情報管理装置は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と通信する通信部と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理する管理部と、を備え、前記通信部は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。
本開示の第３の態様にかかる情報取得方法は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。
本開示の第４の態様にかかるプログラムは、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することをコンピュータに実行させるものである。
本開示により、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することができる。
実施の形態１にかかる通信システムの構成図である。 実施の形態２にかかる通信システムの構成図である。 実施の形態２にかかるＡｕＣの構成図である。 実施の形態２にかかるＡｕＣが管理する情報を示す図である。 実施の形態２にかかるＨＳＳの構成図である。 実施の形態２にかかるＨＳＳが管理する情報を示す図である。 実施の形態２にかかるＵＥの構成図である。 実施の形態２にかかるＡｔｔａｃｈ処理の流れを示す図である。 実施の形態２にかかるＡＫＡ処理の流れを示す図である。 実施の形態２にかかるＡｕＣにおけるサービス鍵の導出を説明する図である。 実施の形態２にかかるＵＥにおけるサービス鍵の導出を説明する図である。 実施の形態２にかかるＡｕＣが管理する情報を示す図である。 実施の形態３にかかる通信システムの構成図である。 それぞれの実施の形態にかかるＵＥの構成図である。 それぞれの実施の形態にかかるＡｕＣ及びＨＳＳの構成図である。
（実施の形態１）
以下、図面を参照して本開示の実施の形態について説明する。図１の通信システムは、加入者情報管理装置１０及びセキュリティ装置２０を有している。加入者情報管理装置１０及びセキュリティ装置２０は、プロセッサがメモリに格納されたプログラムを実行することによって動作するコンピュータ装置であってもよい。
加入者情報管理装置１０は、少なくとも１つの通信端末の加入者情報を管理する。通信端末は、例えば、携帯電話端末、スマートフォン端末、通信機能を有するコンピュータ装置等であってもよい。通信端末は、ＩｏＴ端末、Ｍ２Ｍ（Machine to Machine）端末、もしくは、ＭＴＣ（Machine Type Communication）端末等であってもよい。
加入者情報は、例えば、通信端末を利用するユーザに関する契約情報、通信端末の位置情報、もしくは、通信端末を識別する情報等であってもよい。
セキュリティ装置２０は、通信端末を識別する情報（通信端末の識別情報）と、通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理する。セキュリティ情報は、ネットワークスライスシステムごとに固有の情報である。セキュリティ情報は、通信端末を認証する際に用いられる鍵情報であってもよい。セキュリティ情報は、データの暗号化もしくは完全性保証処理を実行する際に用いられる鍵情報等であってもよい。セキュリティ情報は、認証もしくは暗号化等に用いられる鍵情報を生成するために用いるマスター鍵であってもよい。セキュリティ情報は、セキュリティ処理を実行する際に用いられるセキュリティアルゴリズム等であってもよい。
加入者情報管理装置１０は、通信端末の識別情報及び通信端末が利用するネットワークスライスシステムの識別情報を用いて、セキュリティ装置２０から、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する。
以上説明したように、図１の通信システムを用いることによって、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することができる。そのため、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステム毎に異なるセキュリティ情報を用いることができる。その結果、ネットワークスライスシステムの独立性を高め、コアネットワーク全体のセキュリティを向上させることができる。
（実施の形態２）
図２を用いて本開示の実施の形態２にかかる通信システムの構成例について説明する。図２の通信システムは、コアネットワーク１００、５Ｇ ＲＡＮ（Radio Access Network）８０、及び、ＵＥ（User Equipment）９０を有している。コアネットワーク１００は、例えば、３ＧＰＰ（3rd Generation Partnership Project）において規定されているネットワークであってもよい。
ＵＥは、３ＧＰＰにおいて通信端末の総称として用いられる。ＵＥ９０は図２において１つのみ示されているが、図２の通信システムは複数のＵＥ９０を備えていてもよい。
５Ｇ ＲＡＮ８０は、ＵＥ９０へ無線回線を提供するネットワークである。５Ｇ ＲＡＮ８０は、例えば、基地局を有してもよく、さらに、基地局を制御する基地局制御装置等を有してもよい。５Ｇ ＲＡＮ８０は、例えば、低遅延及び広帯域な無線周波数等を実現する次世代のＲＡＮである。次世代に用いられるＲＡＮとして、５Ｇ ＲＡＮと称しているが、次世代に用いられるＲＡＮの名称は、５Ｇ ＲＡＮに限定されない。
コアネットワーク１００の構成例について説明する。コアネットワーク１００は、ＨＳＳ（Home Subscriber Server）３０、ＡｕＣ（Authentication Center）４０、ＡｕＣ５０、ＡｕＣ６０、ＣＰＦ（Control Plane Function）エンティティ７０（以下、ＣＰＦ７０とする）、ＮＳ（Nework Slice）システム１１０、ＮＳシステム１２０、及び、ＮＳシステム１３０を有している。各ＡｕＣは、ＨＳＳ３０と同じ装置内にあっても良く、ＡｕＣの一部の機能が、ＨＳＳ３０に実装されてもよい。また、各ＡｕＣは、各ＮＳシステム内に合っても良い。
ＨＳＳ３０は、図１の加入者情報管理装置１０に相当する。ＨＳＳ３０は、ＵＥ９０に関する加入者情報を管理する。また、ＨＳＳ３０は、ＨＬＲ（Home Location Register）に置き換えられてもよい。ＨＳＳ３０は、鍵管理機能を有する。また、ＨＳＳ３０は、それぞれのＮＳシステムに、鍵情報を送信する。鍵管理機能とは、ＵＥに関する鍵情報をどのノード装置もしくはどのＮＳシステムへ送信したかを管理する機能である。さらに、鍵管理機能は、ノード装置もしくはＮＳシステムへ送信した鍵情報の種類等についても管理する機能である。また、ＨＳＳ３０は、鍵管理機能の一部の機能を有し、その他の機能をＨＳＳ３０と異なる装置が有してもよい。もしくは、鍵管理機能に関する全ての機能を、ＨＳＳ３０と異なる装置が有してもよい。
ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０（以下、ＡｕＣ４０等とする）各々は、図１のセキュリティ装置２０に相当する。ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に用いる鍵情報を管理する。さらに、ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に関するパラメータを管理する。セキュリティ処理に関するパラメータは、例えば、ＮＡＳ（Non Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＮＡＳは、ＵＥ９０等とコアネットワーク１００との間の通信に用いられるレイヤである。セキュリティ処理に関するパラメータは、ＡＳ（Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＡＳは、５Ｇ ＲＡＮ８０と、ＵＥ９０との間の通信に用いられるレイヤである。
セキュリティ処理に関するパラメータは、鍵の長さを規定するパラメータであってもよい。鍵の長さは、例えば、ビット数によって示される。セキュリティ処理に関するパラメータは、暗号化アルゴリズム、鍵生成アルゴリズム、もしくは、認証アルゴリズム等を示すパラメータであってもよい。
ＣＰＦ７０は、コアネットワーク１００内において、ＵＥ９０に関するＣ−Ｐｌａｎｅデータを処理する装置である。Ｃ−Ｐｌａｎｅデータは、制御データと称されてもよい。ＣＰＦ７０は、制御データを処理する装置であるため制御装置と称されてもよい。さらに、ＣＰＦ７０は、３ＧＰＰにおいて規定されているＭＭＥ（Mobility Management Entity）に相当する機能を有してもよい。
ＮＳシステム１１０は、ＮＳシステム１２０及びＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。また、ＮＳシステム１２０は、ＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。それぞれのＮＳシステムが提供するサービスは、例えば、自動運転サービス、スマートメータに関するサービス、もしくは、自動販売機の管理サービス等であってもよい。ＮＳシステムが提供するサービスは、これらのサービスに限定されず、様々なサービスが存在する。
図２においては、ＣＰＦ７０は、コアネットワーク１００内に配置され、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれにも属していないことを示している。しかし、ＣＰＦ７０は、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれかに属してもよく、もしくは、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のそれぞれが、ＣＰＦ７０を有してもよい。
続いて、図３を用いて本開示の実施の形態２にかかるＡｕＣ４０の構成例について説明する。ＡｕＣ５０及びＡｕＣ６０は、ＡｕＣ４０と同様の構成を有している。ＡｕＣ４０は、通信部４１、セキュリティ情報管理部４２、及び、ＮＳ鍵生成部４３を有している。通信部４１は、送信部（transmitter）及び受信部(receiver)であってもよい。
通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、回路もしくはチップ等のハードウェアであってもよい。
通信部４１は、主に、ＨＳＳ３０との間においてデータを伝送する。
セキュリティ情報管理部４２は、ＵＥ９０毎に関連付けられたセキュリティ情報を管理する。ここで、図４を用いて、セキュリティ情報管理部４２が管理する情報について説明する。セキュリティ情報管理部４２は、ＩＭＳＩ（International Mobile Subscriber Identity）と、ＮＳＩＤ（Network Slice Identity）及びマスター鍵Ｋとを関連付けて管理している。ＩＭＳＩは、ＵＥ９０を識別するために用いられる識別情報である。ＮＳＩＤは、ＮＳシステムを識別するために用いられる識別情報である。
図４は、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０及びＮＳシステム１２０を利用することができることを示している。さらに、図４は、ＩＭＳＩが００１であるＵＥに対して、ＮＳシステム１１０におけるセキュリティ処理に用いられるマスター鍵Ｋａ＿００１が割り当てられ、ＮＳシステム１２０におけるセキュリティ処理に用いられるマスター鍵Ｋｂ＿００１が割り当てられていることを示している。ＩＭＳＩが００２であるＵＥに関しても、利用可能なＮＳシステムと、そのＮＳシステムにおけるセキュリティ処理に用いられるマスター鍵Ｋとが関連付けられている。
図４は、セキュリティ情報管理部４２が複数のＮＳシステムに関するマスター鍵を管理することを示しているが、セキュリティ情報管理部４２は、一つのＮＳシステムに関するマスター鍵のみを管理してもよい。例えば、ＡｕＣ４０は、ＮＳシステム１１０に関するマスター鍵Ｋを管理する装置として用いられてもよい。この場合、セキュリティ情報管理部４２は、ＮＳＩＤに関する情報を管理せず、ＩＭＳＩとマスター鍵Ｋとを関連付けて管理してもよい。
図３に戻り、ＮＳ鍵生成部４３は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部４３は、マスター鍵Ｋａ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａを生成する。さらに、ＮＳ鍵生成部４３は、マスター鍵Ｋｂ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１２０において用いられるサービス鍵Ｋｓｖ−Ｂを生成する。ＩＭＳＩが００２であるＵＥに対しても同様に、サービス鍵Ｋｓｖを生成する。
図５を用いて本開示の実施の形態２にかかるＨＳＳ３０の構成例について説明する。ＨＳＳ３０は、通信部３１及び情報管理部３２を有している。通信部３１及び情報管理部３２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部３１及び情報管理部３２は、回路もしくはチップ等のハードウェアであってもよい。通信部３１は、送信部（transmitter）及び受信部(receiver)であってもよい。
通信部３１は、ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０との間においてデータを伝送する。さらに、通信部３１は、ＮＳシステム１１０を構成するノード装置、ＮＳシステム１２０を構成するノード装置、及び、ＮＳシステム１３０を構成するノード装置との間においてデータを伝送する。
情報管理部３２は、ＡｕＣ４０等とＮＳシステムとを関連付けた情報を管理している。ここで、図６を用いて、情報管理部３２が管理する情報について説明する。図６は、ＡｕＣ４０と、ＮＳシステム１１０〜ＮＳシステム１３０とが関連付けられており、さらに、ＡｕＣ５０とＮＳシステム１４０〜ＮＳシステム１６０とが関連付けられていることを示している。ＡｕＣ４０とＮＳシステム１１０〜ＮＳシステム１３０とが関連付けられているとは、ＡｕＣ４０が、ＵＥ毎に、ＮＳシステム１１０〜ＮＳシステム１３０においてセキュリティ処理に用いられるマスター鍵Ｋを管理していることである。
図７を用いて本開示の実施の形態２にかかるＵＥ９０の構成例について説明する。ＵＥ９０は、通信部９１及びＮＳ鍵生成部９２を有している。通信部９１及びＮＳ鍵生成部９２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部９１及びＮＳ鍵生成部９２は、回路もしくはチップ等のハードウェアであってもよい。通信部９１は、送信部（transmitter）及び受信部(receiver)であってもよい。
通信部９１は、主に、５Ｇ ＲＡＮ８０を構成する基地局等との間においてデータ伝送を行う。
ＮＳ鍵生成部９２は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部９２は、ＮＳシステム１１０及びＮＳシステム１２０を利用することができるとする。この場合、ＮＳ鍵生成部９２は、マスター鍵Ｋａ＿００１を用いて、ＮＳシステム１１０において用いるサービス鍵Ｋｓｖ−Ａを生成し、マスター鍵Ｋｂ＿００１を用いて、ＮＳシステム１２０において用いるサービス鍵Ｋｓｖ−Ｂを生成する。
例えば、通信部９１は、複数のＳＩＭを有し、ＳＩＭ毎に異なるマスター鍵Ｋを管理してもよい。また、それぞれのＳＩＭは、いずれかのＮＳシステムと対応付けられていてもよい。
図８を用いて本開示の実施の形態２にかかるＵＥ９０に関するＡｔｔａｃｈ処理の流れについて説明する。
はじめに、ＵＥ９０は、５Ｇ ＲＡＮ８０との間において接続処理を開始する（Ｓ１１）。例えば、ＵＥ９０は、５Ｇ ＲＡＮ８０に配置されている基地局と通信を行うために、無線通信回線を介して基地局と接続する。
次に、ＵＥ９０は、５Ｇ ＲＡＮ８０を介してＣＰＦ７０へAttach requestメッセージを送信する（Ｓ１２）。ＵＥ９０は、例えば、ＮＳシステム１１０において提供されているサービスを利用する。この場合、ＵＥ９０は、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤ、を設定したAttach requestメッセージをＣＰＦ７０に送信する。ＵＥ９０は、複数のＮＳＩＤを設定しても構わない。
次に、ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間においてＡＫＡ（Authentication and Key Agreement）処理を実行する（Ｓ１３）。ステップＳ１３におけるＡＫＡ処理を実行することによって、ＵＥ９０において生成されたサービス鍵Ｋｓｖ−Ａと、ＡｕＣ４０において生成されたサービス鍵Ｋｓｖ−Ａとが一致することを、ＵＥ９０及びＨＳＳ３０において確認することができる。ＵＥ９０がAttach requestメッセージに複数のＮＳＩＤを設定した場合、ＮＳシステム毎に、サービス鍵Ｋｓｖが生成される。この場合、ステップＳ１３のＡＫＡ処理において、ＵＥ９０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖと、ＡｕＣ４０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖとが一致するかを確認する。ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間において、ＡＫＡ以外の処理が実行されることによって、サービス鍵Ｋｓｖの認証が行われててもよい。
ＵＥ９０は、ステップＳ１３におけるＡＫＡ処理が実行された後に、サービス鍵Ｋｓｖ−Ａを用いて、ＮＳシステム１１０において提供されているサービスを利用することができる。例えば、ＵＥ９０が、ＮＳシステム１１０が有する装置に対してアクセスする際に、ＵＥ９０は、ＵＥ９０を操作するユーザから入力されたパスワード情報等を、ＮＳシステム１１０が有する装置へ送信してもよい。ＮＳシステム１１０が有する装置は、送信されたパスワードの正当性を確認できた場合に、ＵＥ９０に対してサービスを提供してもよい。
もしくは、ＮＳシステム１１０が有する装置は、ＵＥ９０に関するサービス鍵Ｋｓｖ−Ａを予め保持していてもよい。例えば、ＮＳシステム１１０が有する装置は、ＨＳＳ３０もしくはＡｕＣ４０からサービス鍵Ｋｓｖ−Ａを取得してもよい。ＮＳシステム１１０が有する装置は、ＡＫＡ処理を実行し、自装置が保持するサービス鍵Ｋｓｖ−Ａと、ＵＥ９０が保持するサービス鍵Ｋｓｖ−Ａとが一致する場合に、ＵＥ９０に対してサービスを提供してもよい。
図８においては、ステップＳ１２において、ＵＥ９０が、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤを設定したAttach requestメッセージをＣＰＦ７０へ送信することを示している。一方、ＵＥ９０が利用することができるＮＳシステムが一つだけであり、ＨＳＳ３０において、ＵＥ９０が利用することができるＮＳシステムが加入者情報として管理されている場合、ＵＥ９０は、ＩＭＳＩのみを設定したAttach requestメッセージをＣＰＦ７０へ送信してもよい。ＵＥ９０が利用することができるＮＳシステムが複数ある場合、ＵＥ９０は、ＩＭＳＩ及び利用するＮＳシステムの識別情報を設定したAttach requestメッセージをＣＰＦ７０へ送信する。
図９を用いて、図８のステップＳ１３におけるＡＫＡ処理の詳細について説明する。はじめに、ＣＰＦ７０は、ＨＳＳ３０へAuthentication data requestメッセージを送信する（Ｓ２１）。Authentication data requestメッセージには、ＵＥ９０のＩＭＳＩ（International Mobile Subscriber Identity）、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。ＮＳＩＤは、例えば、ＮＳシステム１１０を示す識別情報である。
次に、ＨＳＳ３０は、ＡｕＣ４０へAuth data create requestメッセージを送信する（Ｓ２２）。Auth data create requestメッセージには、ＵＥ９０のＩＭＳＩ、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。図９においては、ＮＳＩＤは、ＮＳシステム１１０を示す識別情報であるとする。ＨＳＳ３０は、図６に示す情報を用いて、ＵＥ９０が指定するＮＳＩＤと関連付けられているＡｕＣを特定することができる。ここでは、ＨＳＳ３０は、ＮＳシステム１１０を示すＮＳＩＤを受信している。そのため、ＨＳＳ３０は、Auth data create requestメッセージの送信先を、図６に示す情報を用いて、ＡｕＣ４０と特定することができる。ＵＥ９０が、ＮＳＩＤを指定しなかった場合、ＨＳＳ３０は、予め定められたデフォルトＮＳシステムと関連付けられているＡｕＣを特定する。デフォルトＮＳシステムは、ＵＥ毎に予め定められていてもよく、ＨＳＳ３０において管理されている優先度に従って定められてもよい。優先度は、ＵＥ毎に定められてもよい。
ＵＥ９０が利用可能なＮＳシステムが１つのみであり、ＨＳＳ３０が、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳシステムとを関連付ける情報を加入者情報として管理しているとする。この場合、ＨＳＳ３０は、ＣＰＦ７０から送信されるＩＭＳＩを用いて、ＵＥ９０が利用可能なＮＳシステムを特定することができる。ＨＳＳ３０は、ＵＥ９０が接続可能な複数のＮＳＩＤを加入者データとして管理している場合がある。この場合、ＨＳＳ３０は加入者データが示すすべてのＮＳＩＤに対応するＡｕＣ４０等へAuth data create requestメッセージを繰り返し送信してもかまわない。
次に、ＡｕＣ４０は、ＫＤＦ（Key Deriviation Function）を用いて、サービス鍵Ｋｓｖ−Ａを導出する（Ｓ２３）。ここで、図１０を用いて、ＡｕＣ４０のＮＳ鍵生成部４３における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。
図１０は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ（Random number）、及び、ＳＱＮ（Sequence Number）が入力された結果、ＸＲＥＳ（Expected Response）、ＡＵＴＮ（Authentication token）、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａとする。
図９に戻り、ＡｕＣ４０は、ＨＳＳ３０へAuth data create responseメッセージを送信する（Ｓ２４）。Auth data create responseメッセージには、ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。Authentication data responseメッセージに含まれるＲＡＮＤは、ステップＳ２３において、Ｋｓｖ−Ａ等を生成する際に入力パラメータとして用いられたＲＡＮＤと同様である。ＸＲＥＳ、Ｋｓｖ−Ａ、及び、ＡＵＴＮは、ステップＳ２３において生成されたＸＲＥＳ、Ｋｓｖ−Ａ、及び、ＡＵＴＮと同様である。Ｋｓｖ−Ａ＿ＩＤは、Ｋｓｖ−Ａを識別する識別情報である。ＨＳＳ３０が、複数のＡｕＣにAuth data create requestメッセージを繰り返し送信した場合は、すべてのＡｕＣから対応するAuth data create responseメッセージが返送される事を確認し、その後、各Auth data create responseメッセージに含まれるＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮを、対応するＮＳＩＤ毎にAuthentication data responseメッセージに設定する。
次に、ＨＳＳ３０は、ＣＰＦ７０へAuthentication data responseメッセージを送信する（Ｓ２５）。Authentication data responseメッセージには、ステップＳ２４において送信されたAuth data create responseメッセージに含まれていたＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮは、ＮＳＩＤ毎に設定される場合もある。
次に、ＣＰＦ７０は、５Ｇ ＲＡＮ４２を介してＵＥ９０へAuthentication requestメッセージを送信する（Ｓ２６）。Authentication requestメッセージには、ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤが含まれる。ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤは、ステップＳ２５においてＨＳＳ３０から受信したＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤである。ＵＥ９０が、Attach requestメッセージ（Ｓ１２）で複数のＮＳＩＤを設定した場合は、ＮＳＩＤ毎のＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤが設定される。
次に、ＵＥ９０は、ＫＤＦを用いて、サービス鍵Ｋｓｖ−Ａを導出する（Ｓ２７）。ここで、図１１を用いて、ＵＥ９０のＮＳ鍵生成部９２における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。
図１１は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ、及び、ＡＵＴＮが入力された結果、ＲＥＳ（Response）、ＳＱＮ、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａが用いられるとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａとする。なお、ここでは、ＵＥ９０は、アクセスできるＮＳシステムが事前に決められており、そのＮＳシステムのＮＳＩＤをあらかじめ保持していることを前提としている。
図９に戻り、ＵＥ９０は、５Ｇ ＲＡＮ８０を介してＣＰＦ７０へAuthentication responseメッセージを送信する（Ｓ２８）。Authentication responseメッセージには、ＲＥＳが含まれる。Authentication responseメッセージに含まれるＲＥＳは、ステップＳ２７において生成されたＲＥＳと同様である。Authentication requestメッセージ（Ｓ２６）に複数のＮＳＩＤが設定された場合は、ＮＳＩＤ毎のＲＥＳが設定される。
次に、ＣＰＦ７０は、ステップＳ２５において受信したAuthentication data responseメッセージに含まれるＸＲＥＳと、ステップＳ２８において受信したAuthentication responseメッセージに含まれるＲＥＳとを比較する（Ｓ２９）。ステップＳ２９において、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致する場合、ＡｕＣ４０において生成されたＫｓｖ−Ａと、ＵＥ９０において生成されたＫｓｖ−Ａとが一致すると判定することができる。複数のＮＳＩＤが扱われる場合は、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとの比較をＮＳＩＤ毎に実行される。ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致した場合、ＲＥＳとＸＲＥＳとが一致したこと、もしくは、Ｋｓｖ−Ａに関する認証が成功したことをＨＳＳ３０へ通知する。さらに、ＨＳＳ３０は、Ｋｓｖ−Ａ＿ＩＤとＫｓｖ−ＡとをＮＳシステム１１０へ送信する。
次に、ＵＥ９０に関するＡＫＡ処理がエラーとなる場合について説明する。例えば、ＡｕＣ４０は、Auth data create requestに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、Auth data create requestメッセージに対する応答メッセージとしてＡｕＣ４０は、cause値”No subscription to Network slice”を含むAuth data create errorメッセージをＨＳＳ３０に送信する。更に、ＨＳＳ３０は、cause値”No subscription to Network slice”を含むAuthentication data rejectメッセージをＣＰＦ７０に送信する。更に、ＣＰＦ７０は、cause値”Access to Network slice not allowed”を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
また、ステップＳ２９の認証に失敗した場合、ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
また、複数のＮＳＩＤに対して行われた認証について一部のＮＳＩＤのみに関する認証が成功した場合の動作について説明する。この場合、ＣＰＦ７０は、認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合と、認証されたＮＳＩＤのみに対して接続を許容する場合とがある。以下がそれぞれの場合の動作である。
認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合：
ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージををＵＥ９０に送信する。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication failureメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
認証されたＮＳＩＤのみに対して接続を許容する場合：
ＣＰＦ７０は、部分的に認証が成功したとしてcause値”Network Slice Authentication partially failed” を含むAuthentication responseメッセージををＵＥ９０に送信しても良い。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication responseメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみに対して認証が成功した事を認識する。この場合、ＵＥ９０は部分的に認証が成功したNetwork Sliceで提供されるサービスのみを享受してもかまわない。
次にＵＥ９０が、Attach requestメッセージ（Ｓ１２）に設定したＮＳＩＤに対する認証が成功した場合の動作について説明する。ＣＰＦ７０は、認証したサービス鍵Ｋｓｖを図２に示されるNetwork Sliceシステムに通知してもよい。更にNetwork Sliceシステムは、サービス鍵Ｋｓｖを利用して必要なサービス鍵を更に生成しても構わない。また、図２に示されるNetwork Sliceシステムは、ＨＳＳ３０と連動して更なる認証動作を行っても構わない。
また、ＨＳＳ３０は、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳＩＤとを関連付けて管理していてもよい。この場合、ステップＳ２１において、ＨＳＳ３０は、Authentication data requestメッセージを受信する。Authentication data requestメッセージに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、ＨＳＳ３０は、Authentication data requestメッセージに対する応答メッセージとしてエラーメッセージを送信する。ＨＳＳ３０は、各ＡｕＣに関連付けデータを要求することができる。また、各ＡｕＣは、関連付けデータを更新した場合に、ＨＳＳ３０に更新したデータを送信することができる。例えば、各ＡｕＣは、図１２に示すように、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けて管理してもよい。関連付けデータは、図１２に示すように、例えば、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けたデータである。図１２は、ＩＭＳＩが００３であるＵＥは、ＮＳシステム１１０にはアクセスすることができるが、ＮＳシステム１２０及びＮＳシステム１３０にはアクセスすることができないことを示している。さらに、ＩＭＳＩが００４であるＵＥは、ＮＳシステム１４０及びＮＳシステム１５０にはアクセスすることができるが、ＮＳシステム１６０にはアクセスすることができないことを示している。各ＡｕＣは、図１２に示すデータを更新した場合、更新したデータをＨＳＳ３０へ送信する。
（実施の形態３）
続いて、図１３を用いて本開示の実施の形態３にかかる通信システムの構成例について説明する。図１３は、ＵＥ９５が、ホーム網であるＨＰＬＭＮ（Home Public Land Mobile Network）１０１からＶＰＬＭＮ（Visited Public Land Mobile Network）１０２へ移動したことを示している。言い換えると、図１３は、ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングしたことを示している。
ＨＰＬＭＮ１０１は、ＨＳＳ３５、ＡｕＣ５１、ＡｕＣ５２、ＣＰＦ７１、ＤＥＡ（Diameter Edge Agent）７２、ＮＳシステム１１１、及び、ＮＳシステム１１２を有している。ＵＥ９５は、５Ｇ ＲＡＮ８１を介してＨＰＬＭＮ１０１と通信を行う。また、ＶＰＬＭＮ１０２は、ＨＳＳ３６、ＡｕＣ６１、ＡｕＣ６２、ＣＰＦ７３、ＤＥＡ７４、ＮＳシステム１２１、及び、ＮＳシステム１２２を有している。ＵＥ９５は、５Ｇ ＲＡＮ８２を介してＶＰＬＭＮ１０２と通信を行う。ＤＥＡ７２及びＤＥＡ７４は、Diameter信号を中継する装置である。ＤＥＡ７２及びＤＥＡ７４以外の構成については、図２に示す通信ネットワークと同様である。
ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へ移動した場合、ＶＰＬＭＮ１０２においてＡｔｔａｃｈ処理を実行する。この場合、ＵＥ９５は、図８のステップＳ１１及びＳ１２において説明したＡｔｔａｃｈ処理と同様に、５Ｇ ＲＡＮ８２を介してＣＰＦ７３へ接続する。
次に、ＣＰＦ７３は、図８のステップＳ１３において、ＨＳＳ３６へ問い合わせた結果、ＵＥ９５がＨＰＬＭＮ１０１をホーム網とするローミング端末であると決定する。そのため、ＣＰＦ７３は、ＤＥＡ７４及びＤＥＡ７２を介してＣＰＦ７１に接続する。ＵＥ９５は、ＣＰＦ７３、ＤＥＡ７４、及びＤＥＡ７２を介して、ＣＰＦ７１との間において、ＡＫＡ処理を実行する。ＵＥ９５は、例えば、ＨＰＬＭＮ１０１におけるＮＳシステム１１１が提供するサービスを利用することを要望しているとする。この場合、ＵＥ９５は、ＣＰＦ７１との間においてＡＫＡ処理を実行し、認証が完了すると、例えば、ＮＳシステム１２１を介してＮＳシステム１１１と通信を行ってもよい。
ＶＰＬＭＮ１０２は、ローミング端末が利用可能なＮＳシステムとして、予めＮＳシステム１２１を定めていてもよい。もしくは、ＨＰＬＭＮ１０１のＮＳシステム１１１に対応するＶＰＬＭＮ１０２のＮＳシステム、および、ＨＰＬＭＮ１０１のＮＳシステム１１２に対応するＶＰＬＭＮ１０２のＮＳシステムが予め定められていてもよい。例えば、ＨＰＬＭＮ１０１のＮＳシステム１１１とＶＰＬＭＮ１０２のＮＳシステム１２１とを対応付け、ＨＰＬＭＮ１０１のＮＳシステム１１２とＶＰＬＭＮ１０２のＮＳシステム１２２とを対応付けてもよい。
以上説明したように、ＵＥ９５は、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングした場合であっても、ＶＰＬＭＮ１０２を介してＨＰＬＭＮ１０１におけるＮＳシステムへアクセスすることができる。
続いて以下では、上述の複数の実施形態で説明されたUE９０、AuC４０〜６０、及び、ＨＳＳ３０の構成例について説明する。
図１４は、UE９０及びＵＥ９５の構成例を示すブロック図である。Radio Frequency（RF）トランシーバ１１０１は、５Ｇ ＲＡＮ８０、８１及び８２と通信するためにアナログRF信号処理を行う。RFトランシーバ１１０１により行われるアナログRF信号処理は、周波数アップコンバージョン、周波数ダウンコンバージョン、及び増幅を含む。RFトランシーバ１１０１は、アンテナ１１０２及びベースバンドプロセッサ１１０３と結合される。すなわち、RFトランシーバ１１０１は、変調シンボルデータ（又はOFDMシンボルデータ）をベースバンドプロセッサ１１０３から受信し、送信RF信号を生成し、送信RF信号をアンテナ１１０２に供給する。また、RFトランシーバ１１０１は、アンテナ１１０２によって受信された受信ＲＦ信号に基づいてベースバンド受信信号を生成し、これをベースバンドプロセッサ１１０３に供給する。
ベースバンドプロセッサ１１０３は、無線通信のためのデジタルベースバンド信号処理（データプレーン処理）とコントロールプレーン処理を行う。デジタルベースバンド信号処理は、(a) データ圧縮／復元、(b) データのセグメンテーション／コンカテネーション、(c) 伝送フォーマット（伝送フレーム）の生成／分解、(d) 伝送路符号化／復号化、(e) 変調（シンボルマッピング）／復調、及び(f) Inverse Fast Fourier Transform（IFFT）によるOFDMシンボルデータ（ベースバンドOFDM信号）の生成などを含む。一方、コントロールプレーン処理は、レイヤ１（e.g., 送信電力制御）、レイヤ２（e.g., 無線リソース管理、及びhybrid automatic repeat request（HARQ）処理）、及びレイヤ３（e.g., アタッチ、モビリティ、及び通話管理に関するシグナリング）の通信管理を含む。
例えば、LTEおよびLTE-Advancedの場合、ベースバンドプロセッサ１１０３によるデジタルベースバンド信号処理は、Packet Data Convergence Protocol（PDCP）レイヤ、Radio Link Control（RLC）レイヤ、MACレイヤ、およびPHYレイヤの信号処理を含んでもよい。また、ベースバンドプロセッサ１１０３によるコントロールプレーン処理は、Non-Access Stratum（NAS）プロトコル、RRCプロトコル、及びMAC CEの処理を含んでもよい。
ベースバンドプロセッサ１１０３は、デジタルベースバンド信号処理を行うモデム・プロセッサ（e.g., Digital Signal Processor（DSP））とコントロールプレーン処理を行うプロトコルスタック・プロセッサ（e.g., Central Processing Unit（CPU）、又はMicro Processing Unit（MPU））を含んでもよい。この場合、コントロールプレーン処理を行うプロトコルスタック・プロセッサは、後述するアプリケーションプロセッサ１１０４と共通化されてもよい。
アプリケーションプロセッサ１１０４は、CPU、MPU、マイクロプロセッサ、又はプロセッサコアとも呼ばれる。アプリケーションプロセッサ１１０４は、複数のプロセッサ（複数のプロセッサコア）を含んでもよい。アプリケーションプロセッサ１１０４は、メモリ１１０６又は図示されていないメモリから読み出されたシステムソフトウェアプログラム（Operating System（OS））及び様々なアプリケーションプログラム（例えば、通話アプリケーション、WEBブラウザ、メーラ、カメラ操作アプリケーション、音楽再生アプリケーション）を実行することによって、ＵＥ９０及びＵＥ９５の各種機能を実現する。
いくつかの実装において、図１４に破線（１１０５）で示されているように、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのチップ上に集積されてもよい。言い換えると、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのSystem on Chip（SoC）デバイス１１０５として実装されてもよい。SoCデバイスは、システムLarge Scale Integration（LSI）またはチップセットと呼ばれることもある。
メモリ１１０６は、揮発性メモリ若しくは不揮発性メモリ又はこれらの組合せである。メモリ１１０６は、物理的に独立した複数のメモリデバイスを含んでもよい。揮発性メモリは、例えば、Static Random Access Memory（SRAM）若しくはDynamic RAM（DRAM）又はこれらの組み合わせである。不揮発性メモリは、マスクRead Only Memory（MROM）、Electrically Erasable Programmable ROM（EEPROM）、フラッシュメモリ、若しくはハードディスクドライブ、又はこれらの任意の組合せである。例えば、メモリ１１０６は、ベースバンドプロセッサ１１０３、アプリケーションプロセッサ１１０４、及びSoC１１０５からアクセス可能な外部メモリデバイスを含んでもよい。メモリ１１０６は、ベースバンドプロセッサ１１０３内、アプリケーションプロセッサ１１０４内、又はSoC１１０５内に集積された内蔵メモリデバイスを含んでもよい。さらに、メモリ１１０６は、Universal Integrated Circuit Card（UICC）内のメモリを含んでもよい。
メモリ１１０６は、上述の複数の実施形態で説明されたＵＥ９０及びＵＥ９５による処理を行うための命令群およびデータを含むソフトウェアモジュール（コンピュータプログラム）を格納してもよい。いくつかの実装において、ベースバンドプロセッサ１１０３又はアプリケーションプロセッサ１１０４は、当該ソフトウェアモジュールをメモリ１１０６から読み出して実行することで、上述の実施形態で説明されたＵＥ９０及びＵＥ９５の処理を行うよう構成されてもよい。
図１５は、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、ＡｕＣ６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６（以下、ＡｕＣ４０等とする）の構成例を示すブロック図である。図１５を参照すると、ＡｕＣ４０等は、ネットワークインターフェース１２０１、プロセッサ１２０２、及びメモリ１２０３を含む。ネットワークインターフェース１２０１は、ネットワークノード（e.g., eNodeB１３０、MME、P-GW、）と通信するために使用される。ネットワークインターフェース１２０１は、例えば、IEEE 802.3 seriesに準拠したネットワークインタフェースカード（NIC）を含んでもよい。
プロセッサ１２０２は、メモリ１２０３からソフトウェア（コンピュータプログラム）を読み出して実行することで、上述の実施形態においてシーケンス図及びフローチャートを用いて説明されたＡｕＣ４０等の処理を行う。プロセッサ１２０２は、例えば、マイクロプロセッサ、MPU、又はCPUであってもよい。プロセッサ１２０２は、複数のプロセッサを含んでもよい。
メモリ１２０３は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２０３は、プロセッサ１２０２から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１２０２は、図示されていないI/Oインタフェースを介してメモリ１２０３にアクセスしてもよい。
図１５の例では、メモリ１２０３は、ソフトウェアモジュール群を格納するために使用される。プロセッサ１２０２は、これらのソフトウェアモジュール群をメモリ１２０３から読み出して実行することで、上述の実施形態において説明されたＡｕＣ４０等の処理を行うことができる。
図１４及び図１５を用いて説明したように、上述の実施形態にＵＥ９０及びＵＥ９５、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６が有するプロセッサの各々は、図面を用いて説明されたアルゴリズムをコンピュータに行わせるための命令群を含む１又は複数のプログラムを実行する。このプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、Compact Disc Read Only Memory（CD-ROM）、CD-R、CD-R/W、半導体メモリ（例えば、マスクROM、Programmable ROM（PROM）、Erasable PROM（EPROM）、フラッシュROM、Random Access Memory（RAM））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
なお、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、本開示は、それぞれの実施の形態を適宜組み合わせて実施されてもよい。
以上、実施の形態を参照して本願開示を説明したが、本願開示は上記によって限定されるものではない。本願開示の構成や詳細には、開示のスコープ内で当業者が理解し得る様々な変更をすることができる。
この出願は、２０１６年７月１５日に出願された日本出願特願２０１６−１４０７６０を基礎とする優先権を主張し、その開示の全てをここに取り込む。
１０ 加入者情報管理装置
２０ セキュリティ装置
３０ ＨＳＳ
３１ 通信部
３２ 情報管理部
３５ ＨＳＳ
３６ ＨＳＳ
４０ ＡｕＣ
４１ 通信部
４２ セキュリティ情報管理部
４３ ＮＳ鍵生成部
５０ ＡｕＣ
５１ ＡｕＣ
５２ ＡｕＣ
６０ ＡｕＣ
６１ ＡｕＣ
６２ ＡｕＣ
７０ ＣＰＦ
７１ ＣＰＦ
７２ ＤＥＡ
７３ ＣＰＦ
７４ ＤＥＡ
８０ ５Ｇ ＲＡＮ
８１ ５Ｇ ＲＡＮ
８２ ５Ｇ ＲＡＮ
９０ ＵＥ
９１ 通信部
９２ ＮＳ鍵生成部
９５ ＵＥ
１００ コアネットワーク
１０１ ＨＰＬＭＮ
１０２ ＶＰＬＭＮ
１１０ ＮＳシステム
１１１ ＮＳシステム
１１２ ＮＳシステム
１２０ ＮＳシステム
１２１ ＮＳシステム
１２２ ＮＳシステム
１３０ ＮＳシステム

Claims (10)

  1. コントロールプレーン装置と複数のネットワークスライスシステムと認証装置とを備える通信システムのための通信方法であって、
    前記コントロールプレーン装置が、通信端末から当該通信端末の識別情報と前記複数のネットワークスライスシステムに関する情報とを含む第１のメッセージを受信し、
    前記コントロールプレーン装置と前記認証装置とが、前記複数のネットワークスライスシステムに関する情報のそれぞれに対して前記通信端末を認証し、
    前記コントロールプレーン装置が、前記通信端末に前記認証が成功したか否かを含む第２のメッセージを送信する、通信方法。
  2. 請求項１に記載の通信方法であって、
    前記認証が失敗した場合は、前記コントロールプレーン装置が、前記認証の失敗に関するcause値を前記通信端末に送信する。
  3. 通信システムに用いられるコントロールプレーン装置であって、
    通信端末から当該通信端末の識別情報と複数のネットワークスライスシステムに関する情報とを含む第１のメッセージを受信する手段と、
    前記複数のネットワークスライスシステムに関する情報のそれぞれに対して、前記通信端末を認証する手段と、
    前記通信端末に前記認証が成功したか否かを含む第２のメッセージを送信する手段と
    を備える、コントロールプレーン装置。
  4. 請求項３に記載のコントロールプレーン装置であって、
    前記認証が失敗した場合は、当該コントロールプレーン装置は、前記認証の失敗に関するcause値を前記通信端末に送信する。
  5. 通信システムに用いられるコントロールプレーン装置のための方法であって、
    通信端末から当該通信端末の識別情報と複数のネットワークスライスシステムに関する情報とを含む第１のメッセージを受信し、
    前記複数のネットワークスライスシステムに関する情報のそれぞれに対して、前記通信端末を認証し、
    前記通信端末に前記認証が成功したか否かを含む第２のメッセージを送信する、方法。
  6. 請求項５に記載のコントロールプレーン装置のための方法であって、
    前記認証が失敗した場合は、当該コントロールプレーン装置は、前記認証の失敗に関するcause値を前記通信端末に送信する。
  7. コントロールプレーン装置と複数のネットワークスライスシステムとを備える通信システムと通信する通信端末であって、
    当該通信端末の識別情報と前記複数のネットワークスライスシステムに関する情報とを含む第１のメッセージを、前記コントロールプレーン装置に送信する手段と、
    前記複数のネットワークスライスシステムに関する情報のそれぞれに対して、当該通信端末の認証が成功したか否かを含む第２のメッセージを、前記コントロールプレーン装置から受信する手段と
    を備える、通信端末。
  8. 請求項７に記載の通信端末であって、
    前記認証が失敗した場合は、当該通信端末は、前記認証の失敗に関するcause値を前記コントロールプレーン装置から受信する。
  9. コントロールプレーン装置と複数のネットワークスライスシステムとを備える通信システムと通信する通信端末のための方法であって、
    当該通信端末の識別情報と前記複数のネットワークスライスシステムに関する情報とを含む第１のメッセージを、前記コントロールプレーン装置に送信し、
    前記複数のネットワークスライスシステムに関する情報のそれぞれに対して、当該通信端末の認証が成功したか否かを含む第２のメッセージを、前記コントロールプレーン装置から受信する、方法。
  10. 請求項９に記載の通信端末のための方法であって、
    前記認証が失敗した場合は、当該通信端末は、前記認証の失敗に関するcause値を前記コントロールプレーン装置から受信する。
JP2020163072A 2016-07-15 2020-09-29 通信方法、コントロールプレーン装置、コントロールプレーン装置もしくは通信端末のための方法、及び通信端末 Active JP6962432B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2016140760 2016-07-15
JP2016140760 2016-07-15
JP2018527677A JP6773116B2 (ja) 2016-07-15 2017-07-14 通信方法

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2018527677A Division JP6773116B2 (ja) 2016-07-15 2017-07-14 通信方法

Publications (2)

Publication Number Publication Date
JP2021010174A true JP2021010174A (ja) 2021-01-28
JP6962432B2 JP6962432B2 (ja) 2021-11-05

Family

ID=60952096

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2018527677A Active JP6773116B2 (ja) 2016-07-15 2017-07-14 通信方法
JP2020163072A Active JP6962432B2 (ja) 2016-07-15 2020-09-29 通信方法、コントロールプレーン装置、コントロールプレーン装置もしくは通信端末のための方法、及び通信端末

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2018527677A Active JP6773116B2 (ja) 2016-07-15 2017-07-14 通信方法

Country Status (6)

Country Link
US (2) US20190246270A1 (ja)
EP (2) EP3767983A1 (ja)
JP (2) JP6773116B2 (ja)
KR (2) KR102140521B1 (ja)
CN (1) CN109479193B (ja)
WO (1) WO2018012611A1 (ja)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108012267B (zh) * 2016-10-31 2022-05-24 华为技术有限公司 一种网络认证方法、相关设备及***
US11902174B2 (en) * 2017-10-23 2024-02-13 Nokia Solutions And Networks Oy Network slice configuration
US20220046416A1 (en) * 2018-09-28 2022-02-10 Nec Corporation Core network device, communication terminal, communication system, authentication method, and communication method
US20200162919A1 (en) * 2018-11-16 2020-05-21 Lenovo (Singapore) Pte. Ltd. Accessing a denied network resource
CN111865872B (zh) * 2019-04-26 2021-08-27 大唐移动通信设备有限公司 一种网络切片内终端安全策略实现方法及设备
CN111414645B (zh) * 2020-03-19 2022-07-05 中国电子科技集团公司第三十研究所 一种实现隐私保护功能的安全hss/udm设计方法及***

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100904215B1 (ko) 2008-11-19 2009-06-25 넷큐브테크놀러지 주식회사 사용자 인증에 기반한 네트워크 접속 관리 시스템 및 방법
KR101504717B1 (ko) * 2010-09-16 2015-03-23 에스케이텔레콤 주식회사 단말 인증 처리 시스템 및 방법
CN103782615A (zh) * 2011-07-08 2014-05-07 诺基亚公司 用于订户向长期演进电信网络或通用移动电信***进行验证的方法和设备
WO2014022984A1 (zh) * 2012-08-08 2014-02-13 华为技术有限公司 信息处理方法和装置
WO2015071888A1 (en) * 2013-11-18 2015-05-21 Telefonaktiebolaget L M Ericsson (Publ) Multi-tenant isolation in a cloud environment using software defined networking
KR20150116092A (ko) * 2014-04-04 2015-10-15 한국전자통신연구원 슬라이싱을 기반으로 네트워크를 분리하는 방법 및 장치
US9526005B2 (en) 2014-04-17 2016-12-20 Mitel Mobility Inc. GSM A3/A8 authentication in an IMS network
US10074178B2 (en) 2015-01-30 2018-09-11 Dental Imaging Technologies Corporation Intra-oral image acquisition alignment
US10111163B2 (en) * 2015-06-01 2018-10-23 Huawei Technologies Co., Ltd. System and method for virtualized functions in control and data planes
US9930524B2 (en) * 2015-06-22 2018-03-27 Verizon Patent And Licensing Inc. Detecting a second user device identifier based on registration of a first user device identifier
EP3357267A1 (en) * 2015-09-29 2018-08-08 Telefonaktiebolaget LM Ericsson (PUBL) Securing network slice management
KR20200079352A (ko) * 2016-02-16 2020-07-02 아이디에이씨 홀딩스, 인크. 네트워크 슬라이싱 동작
CN108886678B (zh) * 2016-03-21 2020-03-10 华为技术有限公司 一种消息交互的方法、设备和***
JP2019096918A (ja) 2016-04-05 2019-06-20 シャープ株式会社 端末装置、基地局装置、ＭＭＥ（Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｅｎｔｉｔｙ）および通信制御方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
LG ELECTRONICS INC.: "Network Slice Selection considering Authentication and Authorization[online]", 3GPP TSG-SA WG2#116 S2-163395, JPN6021036128, 15 July 2016 (2016-07-15), ISSN: 0004594392 *
MOTOROLA MOBILITY, LENOVO, BROADCOM: "Solution: Simultaneous Access to Multiple Independent Network Slices[online]", 3GPP TSG-SA WG2#116 S2-163400, JPN6021036127, 15 July 2016 (2016-07-15), ISSN: 0004594391 *
NEC: "Solution: shared and dedicated network functions for network slicing[online]", 3GPP TSG-SA WG2#114 S2-161785, JPN6021036130, 15 April 2016 (2016-04-15), ISSN: 0004594393 *

Also Published As

Publication number Publication date
JP6962432B2 (ja) 2021-11-05
CN109479193B (zh) 2021-10-01
EP3767983A1 (en) 2021-01-20
US20190246270A1 (en) 2019-08-08
WO2018012611A1 (ja) 2018-01-18
US11153751B2 (en) 2021-10-19
JP6773116B2 (ja) 2020-10-21
EP3487198A4 (en) 2019-05-22
KR20190030714A (ko) 2019-03-22
KR20200093086A (ko) 2020-08-04
CN109479193A (zh) 2019-03-15
KR102140521B1 (ko) 2020-08-03
US20200252798A1 (en) 2020-08-06
KR102193511B1 (ko) 2020-12-21
JPWO2018012611A1 (ja) 2019-05-16
EP3487198A1 (en) 2019-05-22

Similar Documents

Publication Publication Date Title
JP6962432B2 (ja) 通信方法、コントロールプレーン装置、コントロールプレーン装置もしくは通信端末のための方法、及び通信端末
US11937079B2 (en) Communication terminal, core network device, core network node, network node, and key deriving method
US11265705B2 (en) Communication system, communication terminal, AMF entity, and communication method
US11722891B2 (en) User authentication in first network using subscriber identity module for second legacy network
US20200329372A1 (en) Key derivation method, communication system, communication terminal, and communication device
US11297492B2 (en) Subscriber identity privacy protection and network key management
US11805409B2 (en) System and method for deriving a profile for a target endpoint device
US10798082B2 (en) Network authentication triggering method and related device
JP2018523418A (ja) セルラーアクセスネットワークノードのための識別子を含むネットワークアクセス識別子
CN112020869A (zh) 在通信***中的统一订阅标识符管理
JPWO2018079692A1 (ja) システム、基地局、コアネットワークノード、及び方法
TW202308363A (zh) 用於板載處理之使用者裝備與通訊網路間之認證技術
WO2020208295A1 (en) Establishing secure communication paths to multipath connection server with initial connection over private network
WO2018139588A1 (ja) 通信端末、情報管理方法、及びコンピュータ可読媒体
WO2020178046A1 (en) User equipment-initiated request for type of authentication and key agreement exchange in a communication system
WO2023142102A1 (en) Security configuration update in communication networks
WO2024092624A1 (en) Encryption key transfer method and device for roaming users in communication networks
US20230209343A1 (en) Network-assisted attachment for hybrid subscribers
WO2020090861A1 (ja) 通信端末、コアネットワーク装置、通信方法、及び通信システム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200929

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210914

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210927

R150 Certificate of patent or registration of utility model

Ref document number: 6962432

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150