JP5876877B2 - 電気通信ネットワーク及び電気通信ネットワークと顧客構内機器との間の接続の効率的な使用のための方法及びシステム - Google Patents

Description

本発明は、電気通信ネットワーク及びこの電気通信ネットワークと顧客構内機器との間の接続の効率的な使用のための方法及びシステムに関する。

特許文献１から、デジタル加入者線リンクを介した顧客モデムと中央局モデムとの間のネットワークサービスの起動の自動化を向上させるシステムが既知である。この従来技術によるシステムでは、中央局モデムは、顧客モデムをネットワークサービスを提供するネットワークに結合し、ポーリングシステムを備えるシステムが中央局モデムと結合される。

さらに、非特許文献１は、電気通信ネットワークのアクセスノードとユーザ機器との間の接続を確立する方法を開示している。

そのような既知のシステムは複数の欠点を有する。例えば、顧客モデムがネットワークアクセス可能でない或る時間期間を規定するポーリングシステムに起因するものである。さらに、既知のシステムは、インターネットプロトコルアドレスを割り当てられたセッションをプロビジョニングすることに依拠するが、このセッションは永久に用いることができず、したがって、（場合によっては別のインターネットプロトコルアドレスによる、したがって、場合によっては切断ステップ及び／又は新たなセッションの開始及び／又は顧客機器の再起動操作による）顧客モデムと通信ネットワークとの間の接続の再接続を必要とする。

さらに、従来技術によれば、一方ではインターネットプロトコルエッジノードと、他方では顧客モデム又はＣＰＥ（顧客構内機器）のようなユーザ機器との間のインターネットプロトコル接続を確立するために、認証情報として、信頼されない環境において使用又は配信される情報を常に用いる必要がある。例えば、ＣＰＥユニットはユーザ固有の方法で事前構成され、複数の顧客又は顧客ホストに分配され、それらの顧客又は顧客ホストが電気通信ネットワーク事業者から得た信用証明を用いてＣＰＥが構成される。そのような事前構成情報は本質的にセキュアでもなく、信用もできない。なぜなら従来技術によるインターネットプロトコルセッションの確立の前に行われるステップに起因して、電気通信ネットワーク事業者は必然的に、そのような信用証明若しくは事前構成又は他の（以前は信頼された）情報を、信頼されない環境において、又は信頼されない環境（例えば顧客宅）に配信する必要があるためである。

これらの制限は、一方では顧客モデムと、他方では電気通信ネットワークとの間の接続が、比較的時間がかかるという影響を有する。ユーザはネットワークにアクセスするために信用証明を入力しなくてはならない。ネットワーク及びネットワーク接続性に対し提供されるサービスにアクセスするプラグアンドプレイの解決法は存在しない。

さらに、特許文献２は、ユーザ固有の方式で通信ポートを構成する方法を開示している。この方法は、特定のユーザに向けられたデフォルトプロファイルを提供するステップを含み、このユーザ固有のデフォルトプロファイルを、特定のユーザに割り当てられたユーザ固有の構成プロファイルに割り当てるステップを更に含む。

米国特許第７，１２７，０４９号 独国特許出願公開第１０２００７０３９５１６号

TS 33.203 of the third Generation Partnership Project (3GPP), Access security for IP-based services (Release 10), 16 June 2010

本発明の目的は、電気通信ネットワーク、及びこの電気通信ネットワークと顧客構内機器（ＣＰＥ）との間の接続の効率的な使用のためのシステム及び方法を、電気通信ネットワークとＣＰＥとの間の通信チャネルを提供することによって、及び
−−電気通信サービスの柔軟な使用がユーザに可能になるように、
−−ＣＰＥ自体を構成する必要なく、電気通信サービスを構成するための最小の時間遅延しか必要としないように、
−−電気通信ネットワークへのアクセスに対して、認証プロセスを効率的に、かつセキュアに実行する可能性を提供するように、
−−高い、又は従来技術による方法よりも高いセキュリティレベルが達成されるように
電気通信ネットワークの制御を提供することによって、提供することである。本発明の更なる目的は、幾つかの電気通信サービスに接続するＩＰ接続性の認可の管理が、ＩＰ接続性自体と無関係であるようなシステムを提供することである。

本発明の目的は、電気通信ネットワーク、及びアクセスノードを介した電気通信ネットワークと顧客構内機器（ＣＰＥ）との間の接続の、効率的な使用のための方法及びシステムによって達成され、本方法は、
−−電気通信ネットワークのアクセスノードと、ＣＰＥとの間の物理通信チャネルを確立するステップであって、物理通信チャネルはアクセスノードに関するネットワークアクセス関連識別情報に割り当てられるステップと、
−−電気通信ネットワークが、ＣＰＥが電気通信ネットワークのインターネットプロトコルエッジノードと通信するのに用いるパブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスをＣＰＥに提供するステップであって、インターネットプロトコルアドレスはネットワークアクセス関連識別情報と関連付けられ、論理通信チャネルを実現するインターネットプロトコルセッション（ＩＰセッション）又はインターネットプロトコル接続が、電気通信ネットワークのインターネットプロトコルエッジノードとＣＰＥとの間で開始されるステップと、
−−電気通信ネットワークが、パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第１の機能レベルを（例えば壁に囲まれた庭（walled garden）の形態で）最初に割り当てるステップと、
電気通信ネットワークがネットワークアクセス関連識別情報を契約関連識別情報に連携させることができる場合、電気通信ネットワークがインターネットプロトコルアドレスに第２の機能レベルを割り当てるステップと、
−−ネットワークアクセス関連識別情報の契約関連識別情報への連携が、ネットワークアタッチメントサブシステム（ＮＡＳＳ：network attachment subsystem）に基づく認証を含むステップと
を含む。

本発明の目的は、電気通信ネットワーク、及び電気通信ネットワークのアクセスノードとＣＰＥとの間の接続の、効率的な使用のための方法及びシステムによって更に達成され、本方法は、
−−電気通信ネットワークのアクセスノードと、ＣＰＥとの間の物理通信チャネルを確立するステップであって、物理通信チャネルはネットワークアクセス関連識別情報に割り当てられるステップと、
−−電気通信ネットワークが、ＣＰＥが電気通信ネットワークのＩＰネットワークと通信するのに用いるパブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスをＣＰＥに提供するステップであって、インターネットプロトコルアドレスはネットワークアクセス関連識別情報と関連付けられるステップと、
−−電気通信ネットワークが、パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第１の機能レベルを（例えば壁に囲まれた庭の形態で）最初に割り当てるステップと、
−−電気通信ネットワークがネットワークアクセス関連識別情報を契約関連識別情報に連携させることができる場合、電気通信ネットワークがインターネットプロトコルアドレスに第２の機能レベルを割り当てるステップと、
−−ネットワークアクセス関連識別情報の契約関連識別情報への連携が、ネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証を含むステップと
を含む。

本発明によれば、前記論理通信チャネルは少なくとも１つの認証情報を用いることによって確立され、該少なくとも１つの認証情報は前記電気通信ネットワーク内に存在する信頼された情報であることが好ましい。

電気通信ネットワークのアクセスノードとＣＰＥとの間の物理通信リンクは、任意の有線通信リンクとすることができる。そのような有線通信リンクは通常、ＣＰＥに接続された端部と、電気通信ネットワークのアクセスノードに接続された端部とを備える。本発明によるアクセスノードは、電気通信ネットワークの一部であるアクセスネットワークとホームネットワークとを終端する任意のデバイスとして定義される。ＣＰＥは、ルータ機能を有するホームゲートウェイのような顧客構内機器として、又はＩＰ接続性を確立することが可能であり、例えば中継点（transfer point）若しくは建物入口のインタフェースに連結する（又はプラグを差し込む）ことによって物理通信リンクに接続された任意の他のデバイスとして理解されるべきである。アクセスノードとＣＰＥとの間の物理通信リンクはまた、多くの場合に（アクセスネットワークのネットワーク構成要素と顧客構内機器との間の）「ラストマイル」とも呼ばれる。「電気通信ネットワークのアクセスノードとＣＰＥとの間の物理通信リンク」という用語は、ＣＰＥとアクセスノードとの間の個別の有線通信リンクである必要はなく、ＧＰＯＮに基づく光ファイバネットワーク、ケーブルネットワーク等の共有媒体が用いられる場合、ＣＰＥが接続されたアクティブデバイス（例えばＯＮＵ／ＯＮＴ又はケーブルモデム）によって実現することもできることを理解すべきである。本発明との関連で、「物理通信リンク」という用語は、接続されることになる２つの点の間の「論理通信リンク」も含む。電気通信ネットワークのアクセスノードとＣＰＥとの間のポイントツーポイント無線システム（又は指向性無線リンク）等の無線通信リンクの（部分的な）使用であっても、そのような物理通信リンクがＣＰＥに接続された端部と電気通信ネットワークのアクセスノードに接続された端部とを備えるという意味で、「物理通信リンク」であるものとして理解されるべきである。

有線通信リンクの例には、銅線対を介したデジタル加入者線通信リンク、又は光ファイバリンクを介したデジタル加入者線通信リンク、又はケーブルテレビアクセスリンクを介したデジタル加入者線通信リンクが含まれる。銅線対を介したデジタル加入者線通信リンクが用いられる場合、ＣＰＥは例えば、いわゆるＴＡＥ（Telekommunikations Anschluss Einheit）、ＡＰＬ（Abschlusspunkt Linientechnik、アクセスポイントライン技術又は中継点）によって電気通信ネットワークにリンクされ、ＴＡＥ／ＡＰＬ（加入者宅内）と、電気通信ネットワークのアクセスノードとしての役割を果たすデジタル加入者線アクセスマルチプレクサ（ＤＳＬＡＭ）との間に銅線対が延びる。光ファイバリンクを介したデジタル加入者線通信リンクが用いられる場合、ＣＰＥは例えば、いわゆるＯＮＵ（光ネットワークユニット）又はＯＮＴ（光ネットワーク終端装置）によって電気通信ネットワークにリンクされ、ＯＮＵ／ＯＮＴ（加入者宅内）と、電気通信ネットワークのアクセスノードとしての役割を果たすＯＬＴ（光回線終端装置）との間に光ファイバリンクが延びる。ケーブルテレビアクセスリンクを介したデジタル加入者線通信リンクが用いられる場合、ＣＰＥは例えば、いわゆるＣＭ（ケーブルモデム）によって電気通信ネットワークにリンクされ、ＣＭ（加入者宅内）と、電気通信ネットワークのアクセスノードとしての役割を果たすＣＭＴＳ（ケーブルモデム終端システム）との間にケーブルテレビアクセスリンクが延びる。

本発明によれば、インターネットプロトコルエッジノードとＣＰＥとの間に論理通信チャネルが確立される。論理通信チャネルは、インターネットプロトコルセッション又はインターネットプロトコル接続に対応する。（電気通信ネットワークとＣＰＥとの間の）物理通信チャネルはアクセスノードとＣＰＥとの間に確立される。本発明の全ての実施の形態によれば、インターネットプロトコルエッジノードの機能が少なくとも部分的に、アクセスノードの機能を有するネットワークノードに一体化され、逆もまた同様である（すなわち、アクセスノードの機能が少なくとも部分的に、インターネットプロトコルエッジノードの機能を有するネットワークノードに一体化される）ことが可能であり、好ましい。

本発明によれば、インターネットプロトコルエッジノードとＣＰＥとの間の論理通信チャネル（インターネットプロトコル接続）は、少なくとも１つの認証情報を用いることによって確立され、少なくとも１つの認証情報は、電気通信ネットワーク内に、特に、ＣＰＥが物理的に接続されたアクセスノード又はアクセスノードポートに存在する信頼された情報である。これは、本発明との関連において、完全に機能するインターネットプロトコルセッション又はインターネットプロトコル接続（すなわち、インターネットプロトコルエッジノードとＣＰＥとの間の論理通信チャネル）を確立するために、信用証明の配信も、個別の事前構成されたＣＰＥデバイスも必要ないことを意味する。電気通信ネットワーク、すなわち制御ユニット又は制御機能部が、アクセスノードの特定のポートの存在（及びラインＩＤ）について知り、ＣＰＥ、すなわち任意に構成されたＣＰＥがアクセスノードの特定のポートに物理的に接続されることしか必要でない。これらの技術条件に基づいて、インターネットプロトコルセッション又はインターネットプロトコル接続をＣＰＥについて確立することが可能である。本発明によれば、最初に、このインターネットプロトコル接続性又はインターネットプロトコルセッション（すなわち論理通信チャネル）は、第１の機能レベルに基づいてのみ機能することが好ましい。契約関連情報を交換すると、第２の機能レベルのアクティブ化が可能となる。

本発明の好ましい実施の形態によれば、少なくとも１つの認証情報はＣＰＥと無関係であり、少なくとも１つの認証情報は、アクセスノード又は電気通信ネットワークの他の部分のいずれかにのみ関係付けられる。

したがって、有利には、インターネットプロトコルセッション又はインターネットプロトコル接続の必要条件として、ＣＰＥデバイスを顧客に分配するか、ＣＰＥデバイスを事前構成するか、又は少なくとも１つの認証情報、すなわち特に信用証明若しくは信用証明情報をハンドリングするためのロジスティカルな取り組み（logistical effort）を削減することが可能である。

本発明の好ましい実施の形態によれば、ネットワークアクセス関連識別情報は、いわゆるポートＩＤ及び／又はラインＩＤに対応するか、又はいわゆるポートＩＤ及び／又はラインＩＤである。ネットワークアクセス関連識別情報又はラインＩＤは、物理通信チャネルを表す。物理通信チャネルは、必然的に設置され、すなわち、特定のアクセスノードから特定の中継点に至り（逆もまた同様である）、したがって、物理通信チャネルに、その物理通信チャネルのアイデンティティ（ネットワークアクセス関連識別情報）のみでなく、その物理通信チャネルの位置も、例えば郵便アドレスの形態で、又は共同住宅内の特定の部屋を指定する形態で割り当てる可能性を与える。物理通信チャネルの位置は、第１に、その物理通信チャネルの遠端（すなわち、顧客構内又はＣＰＥとアクセスノードとの間の物理通信リンクの開始点）に関することが好ましい。以後ポートＩＤとも呼ばれるいわゆるネットワークポート識別情報が、ＣＰＥに向けた物理接続に接続されたアクセスノードのポートを識別する。本発明によれば、ラインＩＤ（すなわちネットワークアクセス関連識別情報）をアクセスノードのポートに関連付けることが可能であり、このため双方の識別子を電気通信ネットワークにおいて技術プロトコル内でトランスポートすることができる。

電気通信ネットワークサービスを要求するための（すなわち、データ伝送接続を確立するための）、アクセスノードへのＣＰＥの初期要求の後、アクセスノードはＣＰＥの要求を、ラインＩＤ及びポートＩＤの情報要素によって補う。これは、ＤＨＣＰプロトコル（動的ホスト構成プロトコル）を介して、好ましくはＤＨＣＰオプション８２又はＰＰＰｏＥ（イーサネットを介したポイントツーポイントプロトコル）を用いて、好ましくはＰＰＰｏＥ仲介者（intermediate agent）を用いて行われることが好ましい。

電気通信ネットワークは、いわゆるインターネットプロトコルエッジノードを含むことが好ましい。インターネットプロトコルエッジノードは、ＣＰＥに向けたインターネットプロトコルアドレスの分配、及びＣＰＥがアドレス指定することができる様々なインターネットプロトコルアドレスと関連付けられた様々な機能レベルを管理する。このため、インターネットプロトコルエッジノードは、様々な仮想インタフェースにおける様々なインターネットプロトコルアドレスと関連付けられた複数のアクセス及び許可規則を有するルーティングデバイスとして理解することができる。例えば、ＣＰＥに与えられる、削減された機能レベルを有するインターネットプロトコルアドレスは、限られたアクセス範囲のターゲットインターネットプロトコルアドレスにしか許可されない。例えば、増大された機能レベルを有するインターネットプロトコルアドレスは、インターネットへのデフォルトルートを有する、拡張したアクセス範囲のターゲットインターネットプロトコルアドレスに許可される。

本発明によれば、ＣＰＥに与えられたインターネットプロトコルアドレスに関連付けるか又は割り当てることができる複数の異なる機能レベルが存在する：
削減された機能レベルが、電気通信ネットワークのアクセスノードの任意のポートと、この種のアクセスノードを用いて動作可能な任意の関連付けられたＣＰＥとの間で機能する任意の物理通信チャネルに対し利用可能である。本発明によれば、そのような削減された機能レベルを用いて、契約に関係しない基本接続性を提供し、この接続性の背後のユーザが、デフォルトの一組の機能、例えば、顧客セルフケアインタフェースにアクセスすることによって、様々なサービスの事業者によって提供される様々なアクセスモード及び／又は様々なサービスを選択する可能性を用いることを可能にする。
拡張機能レベルが、物理通信チャネルによって、特にインターネットプロトコルに基づくネットワーク接続によって配信することができ、かつアクセス可能な、任意のサービスと関連付けられる。そのようなサービスは、インターネットアクセスサービス、ＶｏＩＰ（ボイスオーバインターネットプロトコル）サービス、ＶｏＤ（ビデオオンデマンド）サービス、テレビ（ＴＶ）サービス等を含むがこれらに限定されない。

本発明によれば、複数の拡張機能レベルが存在し、例えば、インターネットアクセスサービスに関して拡張された機能レベルを、テレビサービス（ＩＰＴＶ）又はＶｏＤ等のマルチキャストサービスに関して削減された機能レベルと同時に提供できることが可能であり、好ましい。

本発明の１つの実施の形態によれば、インターネットプロトコルに基づくサービスの初期化プロセスが説明される。これは、「第１の機能レベル」が、削減された機能レベル、特に基本接続性レベルを指し、「第２の機能レベル」が、契約から取り出された契約関連識別情報（すなわち、例えば認可情報）又は少なくとも（未来の）可能な契約への参照が行われた後に、サービスプロバイダによる或る種のサービス配信と関連付けられた拡張機能を指すことを意味する。このプロセスは、本発明との関連において「連携」と呼ばれる。この実施の形態によれば、例えば基本接続性レベルの意味でそのような削減された機能レベルを指す第１の機能レベルは、ネットワークにアクセスするエンティティが、顧客セルフケアインタフェース、又はネットワークアクセスを構成することを目的とした別のサービス若しくは機能に接続されることのみを可能にする。そのような削減された接続性レベル又は基本接続性レベルは、本発明との関連で壁に囲まれた庭（walled garden）とも呼ばれる。

本発明の別の実施の形態によれば、インターネットプロトコルに基づくサービス構成の変更が説明される。これは、「第１の機能レベル」が、サービス構成の変更前の機能レベルを指し、「第２の機能レベル」が、サービス構成の変更後の機能レベルを指すことを意味する。例えば、サービス構成の変更前の機能レベルは、ＶｏＩＰ、又はＰＯＴＳシステムによって以前に提供されたサービスを実施する機能のみを含む場合があり、サービス構成の変更後の機能レベルは、ＶｏＩＰ又はＰＯＴＳ機能と、インターネットアクセス機能とを含む場合がある（又はサービス構成変更後の機能レベルは、ＶｏＩＰ若しくはＰＯＴＳ機能と、インターネットアクセス機能及びＴＶ若しくはＶｏＤ機能の双方とを含む場合がある）。

別の例によれば、サービス構成の変更前の機能レベルは、ＶｏＩＰ又はＰＯＴＳ機能と、壁に囲まれた庭へのアクセスとを含む場合があり、サービス構成の変更後の機能レベルは、ＶｏＩＰ又はＰＯＴＳ機能と、インターネットアクセス機能とを含む場合がある。

本発明の好ましい実施の形態によれば、電気通信ネットワークはインターネットプロトコルエッジノードと制御機能部とを含み、第２の機能レベルを可能にするための契約関連識別情報は、連携プロセスによってネットワークアクセス関連識別情報をこの契約関連識別情報に関係付けた後に、制御機能部に送信される。制御機能部では、一組の認可情報が記憶される。最初に、この一組の認可情報は、「第１の機能レベル」の意味において、契約から取り出されたものではない基本的な一組の権利である。第２のステップにおいて、この認可情報は、「第２の機能レベル」の意味において変更される。これは、好ましくは、
−−ラインＩＤ（すなわちネットワークアクセス関連識別情報）を契約関連識別情報、例えば契約（連携）から取り出されたサービスの認可情報を保有するユーザ等のエンティティに関係付けた後、又は
−−このユーザに関係付けられた認可情報を、既存の契約を変更することによって変更するか、又は他の理由（例えば不正な挙動に起因したサービスの遮断）によって変更した後
に行われる。

本発明との関連で、「契約関連識別情報」という用語は、
−−インターネットサービス及び／又はＶｏＤサービス及び／又は電話（ＶｏＩＰ）サービス及び／又はテレビジョンオーバＩＰサービス）及び／又はｅメール若しくはポータルサービスのような他のインターネットプロバイダサービスのようなサービスの認可情報にリンクされるか、
−−又は、ユーザがサービスプロバイダについて有する特定のサービスに関連する支払い済みの契約から取り出された認可情報にリンクされるか、
−−又は、販売促進のための提案、領収書等の、サービスプロバイダとの別の契約関係若しくは準契約関係から取り出された認可情報にリンクされた
情報に関する。

本発明によれば、ネットワークアクセス関連識別情報の契約関連識別情報への連携は、ネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証を備える。これは、ネットワークアクセス関連識別情報を認証し、ユーザ自身のような連携された契約関連識別情報を分解することによって、電気通信ネットワークへのアクセスを要求しているユーザにそのようなアクセスを提供することができるように、認証プロセスが実行されることを意味する。

本発明の好ましい実施の形態によれば、ネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証は、ポータルログイン又はＳＭＴＰ認証対話、特に、ＳＩＰ（セッション開始プロトコル）登録のような任意のアプリケーションを備える。

本発明の別の好ましい実施の形態によれば、パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスへの第２の機能レベルの割当ては、ラインＩＤを割り当て、かつエンティティが認可情報を保有してから１００秒以内で、好ましくは３０秒以内で、より好ましくは１０秒以内で、更により好ましくは３秒以内で、最も好ましくは１秒以内で行われる。

したがって、有利には、ユーザのサービス設定の変更を用いることができるように、ネットワークパラメータをほぼ即時に構成することが可能である。

本発明によれば、認証プロセスの間、トークン情報又はトークン情報にリンクされたユニフォームリソース識別子（ＵＲＩ）が用いられることが更に好ましい。このトークンへのＵＲＩ又はトークン情報自体は、ＣＰＥにＩＰアドレスを提供するプロセス内で発行される。

したがって有利には、本発明によれば、認証プロセスをセキュアな方式で実行することができることを確実にすることが可能である。

本発明によれば、異なる機能レベル間の差別化は、インターネットプロトコルエッジノードが、ＣＰＥによって潜在的にアクセス可能な様々な範囲のインターネットプロトコルアドレス及び他のフィルタ（例えばレイヤ４）を定義することによって実現されることが好ましい。インターネットプロトコルエッジノードを介してルーティングされないコンテンツ情報の場合、本発明によれば、インターネットプロトコルエッジノードが、関連付けられた電気通信ネットワーク要素（アクセスノード等）を制御し、それによって、指定されたＣＰＥについて、マルチキャストのトランスポートを可能にするか若しくは不可能にする等、そのようなコンテンツ情報へのアクセスを許可若しくは拒否するか、又は更には特定の種類のイーサネットフレームのトランスポートを許可若しくは拒否することが好ましい。

本発明によれば、関連付けられた電気通信ネットワーク要素（アクセスノード等）のそのような制御は、ＤＨＣＰ（動的ホスト構成プロトコル）又はＤＨＣＰに基づくプロトコル又はＰＰＰｏＥ（ポイントツーポイントオーバイーサネット）を介して実現されることが好ましい。

本発明によれば、インターネットプロトコルエッジノードが認可情報を得るために電気通信ネットワークの制御機能部と通信することが好ましい。認可情報は、インターネットプロトコルエッジノードによって、ＣＰＥに提供されたパブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに、特定の機能レベルを関連付けるのに用いられる。認可情報の要求は、ネットワークアクセス関連識別情報としてのラインＩＤに基づくことが好ましい。本発明によれば、制御機能部は、集中化された認証・認可・会計（ＡＡＡ）機能部又は関連付けられたＡＡＡノードによって実現される。制御機能部と関連付けられた認証及び／又は認可機能は、例えばＲＡＤＩＵＳ（ユーザサービスにおける遠隔認証ダイアル（ＲＡＤＩＵＳ））サーバノード又はＤＩＡＭＥＴＥＲサーバノードによって（又はＲＡＤＩＵＳ機能を実現する対応する機能によって）実現される。制御機能部は、インターネットプロトコルアドレスの機能レベルに関する情報をインターネットプロトコルエッジノードに提供する。これは、メモリ手段が制御機能部に割り当てられ（又は制御ノードがメモリ手段を備え）、それによってネットワークアクセス関連識別情報（例えばラインＩＤ）が、ユーザの或る契約関係又は或るユーザの人物（the person of a certain user）に関連付けられた特定の機能レベルに関する情報に関連付けられることを意味する。機能レベルに関する情報は、例えば、インターネットプロトコルアドレスの潜在的にアドレス指定可能な範囲、並びに許可された及び／又は使用可能な帯域幅に関する情報を備える。機能レベルに関するそのような情報は、いわゆるポリシの形態及び／又は単一の専用情報の形態で、制御機能部と関連付けられたメモリデバイス内に記憶される場合があり、制御機能部がインターネットプロトコルエッジノードから受信した要求の認可のために用いられる。

本発明によれば、制御機能部は、インターネットプロトコルエッジノードに、機能しているＩＰアドレスを有する機能している接続の場合であっても、機能レベルの変更を実施するように強制することができることが好ましい。例えば、これは、認可要求の変更によって実現することができる。本発明によれば、（最初に提供されたインターネットプロトコルアドレスを用いた、ＣＰＥと電気通信ネットワークとの機能している接続と関連付けられた）機能レベルのそのような変更は、制御機能部とインターネットプロトコルエッジノードとの間の通信によって実現されることが好ましい。例えば、インターネットプロトコルエッジノードは、制御機能部に向けた「会計停止」メッセージ（ＣＰＥとインターネットプロトコルエッジとの間にインターネットプロトコル接続性が既に存在する場合）及び後続の「会計開始」メッセージによって機能レベルを制限又は拡大するためのコマンドに確認応答する。これは、ＣＰＥのインターネットプロトコル接続性を遮ることなく行われることが好ましい。

本発明によれば、電気通信ネットワークに向けたＣＰＥの接続性（すなわちＣＰＥとアクセスノードとの間の接続性）のためのインターネットプロトコルアドレスの初期プロビジョニングは、インターネットプロトコルエッジノード又は制御機能部によって実現されることが好ましい。

本発明によれば、制御機能部は、機能しているインターネットプロトコル接続性（又は機能しているインターネットプロトコルセッション）に関する以下の情報、すなわち
−−通信リンクの種類ごとのラインＩＤ及びポートＩＤ、
−−ＣＰＥによってアドレス指定可能なインターネットプロトコルアドレスの範囲、
−−インターネットプロトコルセッションに関するネットワークパラメータ、
−−例えば、ＤＳＬ加入者線のｓｙｎｃ帯域幅のような、ＣＰＥとアクセスノードとの間の物理接続に関するネットワークパラメータ、
を返すことができることが更に好ましい。代替的に、本発明によれば、ラインＩＤの代わりに、ハンドル基準又はポインタ基準が用いられることが可能であり、好ましい。ラインＩＤが契約関連識別情報に連携される場合、アプリケーションＩＤＰ（アプリケーションアイデンティティプロバイダ）がハンドル基準又はポインタ基準を用いて参照される。これによって、（ＩＰサービスの契約を保持する）ネットワーク事業者及びサービス事業者が異なる法的単体である場合、データプライバシが向上する。そのような場合（（ＩＰサービスの契約を保持する）ネットワーク事業者及びサービス事業者が異なる法的単体である場合）特に、本発明によれば、契約関連識別情報に関連付けられた基準ハンドルが、いわゆる不透明なハンドル（opaque handle）、すなわち暗号化されるか又は他の方法でマスキングされた情報であり、それによってラインＩＤのコンテンツが、不透明なハンドル、すなわち暗号化されるか又は他の方法でマスキングされた情報から容易に導出することができないことが好ましい。

本発明によれば、（例えばメンテナンスの状況等の場合に）認証のためにラインＩＤが提供されない場合であっても、制御機能部がＩＰ接続性を確立することができることが更に好ましい。この場合、ユーザ又は技術者と、電気通信ネットワークの事業者との間の基本通信のために、ＩＰエッジに特殊な認可プロファイル（すなわち構成及び設置機能レベル）が与えられなくてはならない。

本発明はまた、複数のネットワークノードを備える電気通信ネットワークであって、該電気通信ネットワークは、アクセスノードを介した該電気通信ネットワークとＣＰＥとの間の効率的な接続のために提供され、該電気通信ネットワークは、該電気通信ネットワークの前記アクセスノードと前記ＣＰＥとの間に物理通信チャネルを備え、該物理通信リンクは、前記アクセスノードに関するネットワークアクセス関連識別情報に関連付けられ、該電気通信ネットワークは、前記ＣＰＥが前記インターネットプロトコルエッジノードと通信するのに用いるパブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスを前記ＣＰＥに提供し、前記インターネットプロトコルアドレスは前記ネットワークアクセス関連識別情報と関連付けられ、インターネットプロトコルセッション（ＩＰセッション）又は論理通信チャネルを実現する接続が、該電気通信ネットワークの前記インターネットプロトコルエッジノードと前記ＣＰＥとの間で開始され、該電気通信ネットワークは、前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第１の機能レベルを最初に割り当て、該電気通信ネットワークが前記ネットワークアクセス関連識別情報を契約関連識別情報に連携させることができる場合、該電気通信ネットワークは、前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第２の機能レベルを割り当て、前記ネットワークアクセス関連識別情報の前記契約関連識別情報への前記連携は、該電気通信ネットワークの制御機能部によって表されるネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証を含む、電気通信ネットワークに関する。

本発明は更にまた、複数のネットワークノードを備える電気通信ネットワークであって、該電気通信ネットワークは、アクセスノードを介した該電気通信ネットワークとＣＰＥとの間の効率的な接続のために提供され、該電気通信ネットワークは、該電気通信ネットワークの前記アクセスノードと前記ＣＰＥとの間に物理通信チャネルを備え、該物理通信リンクは、前記アクセスノードに関するネットワークアクセス関連識別情報に関連付けられ、該電気通信ネットワークは、前記ＣＰＥが前記インターネットプロトコルエッジノードと通信するのに用いるパブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスを前記ＣＰＥに提供し、前記インターネットプロトコルアドレスは前記ネットワークアクセス関連識別情報と関連付けられ、インターネットプロトコルセッション（ＩＰセッション）又は論理通信チャネルを実現する接続が、該電気通信ネットワークの前記インターネットプロトコルエッジノードと前記ＣＰＥとの間で開始され、該電気通信ネットワークは、前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第１の機能レベルを最初に割り当て、該電気通信ネットワークが前記ネットワークアクセス関連識別情報を契約関連識別情報に連携させることができる場合、該電気通信ネットワークは、前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第２の機能レベルを割り当て、前記ネットワークアクセス関連識別情報の前記契約関連識別情報への前記連携は、ネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証を含む、電気通信ネットワークに関する。

本発明によれば、前記論理通信チャネルは少なくとも１つの認証情報を用いて確立され、該少なくとも１つの認証情報は前記電気通信ネットワーク内に存在する信頼された情報であることが好ましい。

本発明の更なる主題は、本発明による方法を実行するようにアクセスノード及び／又は制御機能部を制御するためのコンピュータ可読プログラムコードを含むプログラムと、そのようなプログラムを含むコンピュータプログラム製品とを含む。

ＣＰＥが接続された電気通信ネットワークの例を概略的に示す図である。 アクセスノードと複数のホームゲートウェイとの間の物理通信チャネルのより詳細な表現の例を概略的に示す図である。 ＣＰＥにインターネットプロトコル接続性を提供すること、及び通信サービスを初期化することに関するコミュニケーション図を概略的に示す図である。 通信アクセス、特に電気通信ネットワークへのＣＰＥのインターネットプロトコル接続性を、アクセスノードを介して提供することができるように、電気通信ネットワークの複数のアクセスノードのうちの一アクセスノードを初期化するための初期化プロセスに関するコミュニケーション図を概略的に示す図である。 認証プロセスに関するコミュニケーション図を概略的に示す図である。 認証プロセスに関するコミュニケーション図を概略的に示す図である。 認証プロセスに関するコミュニケーション図を概略的に示す図である。 認証プロセスに関するコミュニケーション図を概略的に示す図である。

本発明は、特定の実施形態に関して或る図面を参照して説明されるが、本発明はそれらに限定されるものではなく、特許請求の範囲によってのみ限定される。説明される図面は単に概略的なものであり、非限定的である。図面において、要素のうちの幾つかのものの大きさは誇張されている場合があり、説明の目的で縮尺通りに描かれていない場合がある。

単数名詞を示すときに不定冠詞又は定冠詞、例えば"a", "an", "the"が用いられる場合、これは、特に言及がない限り、当該名詞の複数を含む。

さらに、明細書及び特許請求の範囲における第１の、第２の、第３の等の用語は、類似した要素を区別するために用いられ、必ずしも順番又は時系列を説明するために用いられるものではない。このように用いられる用語は、適切な状況下で交換可能であること、及び本明細書において説明される本発明の実施形態は、本明細書に説明又は例示されるもの以外の順序で動作可能であることを理解されたい。

図１において、顧客が接続された電気通信ネットワーク５の例が概略的に表されている。顧客は、ＰＣ、セットトップボックス、又は任意の他のデバイスのような、ＩＰ接続性を確立する機能を有するいわゆるＣＰＥ又は専用ＣＰＥ１０を用いて電気通信ネットワーク５に接続される。ＣＰＥ１０は、例えば、ユーザ宅内に設置されたルーティングデバイスである。顧客構内機器（ＣＰＥ）に接続された更なるＣＰＥが存在する場合がある。

ＣＰＥ１０は、アクセスノード２０を介して電気通信ネットワーク５に接続される。アクセスノード２０は、顧客の建物内に設置されるか、若しくは数キロメートル未満、好ましくは１０００メートル未満、より好ましくは５００メートル未満の距離に設置される、電気通信ネットワークのアクセスノードとしての役割を果たすデジタル加入者線アクセスマルチプレクサ（ＤＳＬＡＭ）であるか、又は電気通信ネットワークのアクセスノードとしての役割を果たすＯＬＴ（光回線終端装置）であることが好ましい。

アクセスノード２０は電気通信ネットワーク５内のインターネットプロトコルエッジノード３０に接続される。インターネットプロトコルエッジノードは、インターネットプロトコルアドレスの分配、及びＣＰＥがアクセスすることができる様々なインターネットプロトコルアドレスと関連付けられた様々な機能レベルを管理する。インターネットプロトコルエッジノードは、様々な仮想インタフェースにおける様々なインターネットプロトコルアドレスに関する複数のアクセス及び許可規則を有するルーティングデバイスとして理解することができる。特に、インターネットプロトコルエッジノード３０は、ＯＳＩモデルのレイヤ３及びレイヤ４においてＣＰＥ１０がいずれのアドレス及び機能にアクセス可能であるかを制御する。

電気通信ネットワーク５は、制御機能部４０を更に備える。本発明によれば、制御機能部４０は、集中化された認証・認可・会計（ＡＡＡ）機能部又は関連付けられたＡＡＡノードによって実現される。制御機能部４０と関連付けられた認証及び／又は認可機能は、例えばＲＡＤＩＵＳ（ユーザサービスにおける遠隔認証ダイアル（ＲＡＤＩＵＳ））サーバノード又はＤＩＡＭＥＴＥＲサーバノードによって（又はＲＡＤＩＵＳ機能を実現する対応する機能によって）実現される。本発明によれば、インターネットプロトコルエッジノード３０の代わりに、制御機能部４０が、インターネットプロトコルアドレスの分配、及びＣＰＥがアクセスすることができる様々なインターネットプロトコルアドレスと関連付けられた様々な機能レベルを管理することが可能であり好ましい。

インターネットプロトコルエッジノード３０は、制御機能部４０のセッション会計（session-accounting）を更に制御する。加えて、インターネットプロトコルエッジノード３０は、制御機能部４０を用いた認証目的で、アクセスノード２０から取得又は受信した識別子情報又は信用証明情報を用いることができる。認証目的で、すなわち１つの認証情報として、ラインＩＤが用いられる。さらに、インターネットプロトコルエッジノード３０は、アクセスノード２０からのポートＩＤを送信する。インターネットプロトコルエッジノード３０は、１つ又は複数の規定されたデータクラスについて、アップストリームデータフロー及びダウンストリームデータフローのための帯域幅を（インターネットプロトコルレベルで）更に制御する。

本発明による好ましい実施形態によれば、インターネットプロトコルエッジノード３０は、制御機能部４０が受信した（特に、制御機能部４０へのアクセス要求メッセージの返答としてインターネットプロトコルエッジノード３０が受信した）規則又は規則情報に従って、ＣＰＥ１０のインターネットプロトコルアドレス（ＩＰアドレス）を管理又は配分する。

電気通信ネットワーク５は、オペレーションサポートシステム６０を更に備える。オペレーションサポートシステム６０は、アクセスネットワークの様々なエンティティ、すなわち、比較的多数のユーザに電気通信ネットワーク５へのアクセスを提供するのに用いられる電気通信ネットワーク５の部分を管理するのに特に用いられる。さらに、電気通信ネットワーク５は、ネットワークアイデンティティプロバイダ（以後、ネットワークＩＤＰとも呼ぶ）６５を備える。ネットワークＩＤＰ６５は、電気通信ネットワーク５の複数のアクセスノード２０のうちの１つ又は複数のアクセスノード２０の様々なポートの認証及び認可の管理を扱うのに特に用いられる。オペレーションサポートシステム６０は、アクセスノード２０を初期化することを可能にする等のためにアクセスノード２０にリンクされる。オペレーションサポートシステム６０は、好ましくはインターネットプロトコル（ＩＰ）接続により、アクセスノード２０への管理接続を提供する。これは、例えば、特定のアクセスノード２０を管理又は初期化するために特に予約されたインターネットプロトコル（ＩＰ）アドレス等の管理アドレスを用いることによって行われる。

電気通信ネットワーク５は、アプリケーション及び／又はＩＭＳ機能のためのＡ＆Ａ機能部（認可及び認証機能部）７０を更に備える。Ａ＆Ａ機能部７０は、電気通信ネットワーク５内のユーザ及び／又はデバイスを、アプリケーション及び／又はＩＭＳに向けて認証（すなわち、通常、エンティティが識別子及び対応する信用証明等の特定のデジタルアイデンティティを保有する証拠を提供することによって、エンティティのアイデンティティが認証されるプロセス）及び認可（すなわち、特定のエンティティが所与の動作を実行することを認可されるか否か）するのに特に用いられる。

さらに、電気通信ネットワーク５は、アプリケーションアイデンティティプロバイダ（以後、アプリケーションＩＤＰとも呼ばれる）７５を備える。アプリケーションＩＤＰ７５は、電気通信ネットワーク５の様々なユーザ及び／又はデバイスをハンドリングするのに特に用いられる。アプリケーションＩＤＰ７５及びネットワークＩＤＰ６５は、連携インタフェースにより、契約関連識別情報（以後、ユーザアイデンティティ又はユーザＩＤとも呼ばれる）をネットワークアクセス関連識別情報、すなわち、ネットワーク終端位置又はネットワークポート（例えばアクセスノードのポート）のアイデンティティと連携させることができる。

電気通信ネットワーク５は、アプリケーション機能又はアプリケーションエンティティ５０（特に、電気通信ネットワーク５のインターネットプロトコルマルチメディアサブシステム（ＩＭＳ）システムのアプリケーション、特にＳＩＰプロキシ（Ｐ−ＣＳＣＦ））を更に備える。

本発明によれば、電気通信ネットワーク５は、顧客関係管理機能部８０又は対応するユニットを備えることが好ましい。以後、顧客関係管理機能部８０という用語は、そのようなユニットを指すのにも用いる。顧客関係管理機能部８０は、（新たな顧客をハンドリングするための）顧客アイデンティティ及び対応する契約を作成する機能部として提供される。顧客関係管理機能部８０は、顧客、製品、及び契約データのマスタである。顧客関係管理機能部８０は、様々な要求（例えば、新たな顧客データ要素の生成、又は実現プロセスに関する）を処理し、対応する要求を電気通信ネットワーク５の他の部分に転送するｅＴｏｍモデル（明示的に図示されていない）において示される「オーダハンドリング」及び「サービス構成及びアクティブ化」の意味におけるような要求又はオーダ管理構成要素（又はオーダ管理機能部）を備えるか、又はこれに割り当てられる。

本発明によれば、電気通信ネットワーク５が、顧客セルフケアインタフェース８５又は顧客セルフケアポータル８５も備えることが更に好ましい。顧客セルフケアポータル８５は、電気通信ネットワーク５のユーザ（又は顧客）がネットワークアクセスを構成する可能性を提供する。

本発明によれば、構成デバイス１１は、構成及び／又は設置の目的でアクセスノード２０に接続することができる。電気通信ネットワーク５の通常動作による使用において、構成デバイス１１は、アクセスノード２０（の全て）に接続されない。

好ましくは、顧客セルフケアポータル８５は、アプリケーションＩＤＰに対するユーザ認証をサポートし、連携の必須条件として、制御機能部４０に対する認証プロセス中に用いられるインターネットプロトコルアドレスに対応するラインＩＤを決定する。好ましくは、
−−ユーザＩＤに関係付けられたオーダＩＤをアプリケーションＩＤＰに送信することによって、及び／又は
−−ラインＩＤに関係付けられたオーダＩＤをネットワークＩＤＰに送信することによって、
ユーザＩＤとラインＩＤとの間の連携プロセスも開始することが可能である。
さらに、ラインＩＤにアクセス可能なサービス（すなわち、例えばネットワークポート、又はアクセスノード２０に接続されたＣＰＥ１０若しくは任意の他のデバイスに割り当てられたＩＰアドレスに関連付けられた機能レベル）の更新を、ラインＩＤによって、又はラインＩＤへのハンドル（好ましくは不透明なハンドル（opaque handle））によって変更することができるように、プロビジョニングインタフェースがアプリケーションＩＤＰからネットワークＩＤＰに提供されることが好ましい。本発明によれば、好ましくは顧客セルフケアポータルによる、ユーザＩＤとラインＩＤとの間の（完全な又は部分的な）連携解除（この結果、すなわち、特定のサービスを用いる権利が解消されるか、又は権利若しくは使用可能な帯域幅が削減される）も可能である。以下において、連携の場合についてのみ明示的に述べられるが、本発明によれば連携解除の場合もあり得る。

連携プロセスの実行は、ユーザＩＤ及びラインＩＤ又は任意の他の契約関連情報を必要とする。連携プロセスの第１の代替形態によれば、明示的なユーザ認証（すなわちユーザＩＤを求めること）が、顧客セルフケアポータルを用いて実行される。
顧客セルフケアポータルとコンタクトするのにネットワークリソースを用いることによって、すなわち、アクセスノード２０のネットワークポートを用いることによって、顧客セルフケアポータルを用いたそのようなユーザ認証が実行されるときに、ラインＩＤも利用可能となる。連携プロセスの第２の代替形態によれば、ラインＩＤは、位置検索により求められる。別の検索によって、ユーザＩＤ（例えば、顧客にその顧客のユーザ名、又は特殊な秘密のようなユーザＩＤに割り当てられた任意の他の既知の情報を求めた後）又は任意の他の契約関連情報も提供される。連携プロセスの第１の代替形態及び第２の代替形態の双方が、ユーザＩＤ又は任意の他の契約関連情報とラインＩＤとの連携の可能性につながる。連携プロセスと、ユーザＩＤ又は任意の他の契約関連情報に関連付けられたサービスに関する後の各変更とによって、結果としてネットワークＩＤＰ６５へのアプリケーションＩＤＰ７５の要求が生成される。したがって、アプリケーションＩＤＰ７５は、好ましくはユーザＩＤ若しくは任意の他の契約関連情報に連携されたラインＩＤ又は対応するハンドルを用いる。結果として、ネットワークＩＤＰ６５は、制御機能部４０における（又は制御機能部４０と関連付けられた）記憶データの更新、すなわち、
−−ラインＩＤに関する永続的データベース内に記憶された許可の更新、
−−例えば、インターネットプロトコルエッジノード３０への認可変更要求による、既存のインターネットプロトコル接続に関するセッションデータベース内に記憶された許可の更新
を実行する。

連携プロセスの結果として、ラインＩＤとユーザＩＤ又は任意の他の契約関連情報とが連携され、ネットワークＩＤＰ６５及び制御機能部４０は許可されたネットワークサービスに関連するラインＩＤごとの認可情報（アドレス指定可能なインターネットプロトコルアドレス範囲、及びマルチキャスト複製点にアクセスする可能性を含む使用可能な帯域幅）を備える。インターネットプロトコルエッジノード３０とのＣＰＥ１０の存在する可能性があるインターネットプロトコル接続が再パラメータ化される。本発明によれば、好ましくは、１対１の関係及び１対ｎの関係の双方によって、ユーザＩＤ又は任意の他の契約関連情報をラインＩＤと連携させることが可能であることが有利である。これは、同一のユーザが複数の異なるラインＩＤに対しネットワークサービスアクセスを有することができることを意味する。

図２において、アクセスノード２０と複数のホームゲートウェイ１０との間の物理通信チャネルのより詳細な表現の例が概略的に示されている。図２の表現から見てとることができるように、アクセスノード２０は、例えば異なる宅内に位置する複数の異なるホームゲートウェイ１０に接続することができる（好ましくは接続される）。図２の左側において、複数の個々の家が概略的に表されている。これらの家のそれぞれにおいて、電気通信ネットワーク５への個々のアクセスを提供するホームゲートウェイ１０が位置する。図２の右側において、複数の異なる部屋を有する共同住宅が概略的に表され、各部屋は電気通信ネットワーク５への個々のアクセスを提供するホームゲートウェイ１０を有する。異なるラインがアクセスノード２０から（家又は共同住宅の）ホームゲートウェイ１０に延びている。

本発明によれば、電気通信ネットワーク５はいわゆるＮＧＮ（次世代ネットワーク）として提供されることが好ましい。通常、ＮＧＮ電気通信ネットワーク５は、４つの異なるプレーン又はネットワークレイヤ、すなわち、アクセスに割り当てられた第１のネットワークプレーン１（アクセスプレーン１）と、データのトランスポートに割り当てられた第２のネットワークプレーン２（トランスポートプレーン２）と、制御に割り当てられた第３のネットワークプレーン３（制御プレーン３）と、アプリケーションに割り当てられた第４のネットワークプレーン４（アプリケーションプレーン４）とを含む。

図３において、ＣＰＥ１０にインターネットプロトコル接続性を提供し、通信サービスを初期化することに関するコミュニケーション図が、ＣＰＥ１０と、アクセスノード２０と、インターネットプロトコルエッジノード３０と、制御機能部４０との間で交換される多数の異なるメッセージによって概略的に示されている。

ＣＰＥ１０にインターネットプロトコル接続性を最初に提供する第１のステップにおいて、ＣＰＥ１０はアクセスノード２０にインターネットプロトコルアドレスの提供を要求する。これは第１のメッセージ１０１によって表される。

第２のステップにおいて、アクセスノード２０は、インターネットプロトコルアドレスを提供することの要求に更なる情報を追加する。追加された情報を有する要求はインターネットプロトコルエッジノード３０に送信される。追加された更なる情報は、有線物理通信チャネルの場合、ラインＩＤ情報及びポートＩＤ情報を特に含む（本発明によれば、この情報（ラインＩＤ及びポートＩＤ）は電気通信ネットワーク５に信頼された形で知られているので、これによって信頼された情報が構築される）。ネットワークアクセス関連識別情報（又はラインＩＤ）の他に、アップストリーム及びダウンストリーム２０の物理接続速度のような、特にネットワークパラメータに関する更なる情報をアクセスノードによって追加することができる。これは第２のメッセージ１０２によって表される。

第３のステップにおいて、インターネットプロトコルエッジノード３０は、特にラインＩＤに基づいて認可要求を制御機能部４０に送信する。これは第３のメッセージ１０３によって表される。

第４のステップにおいて、制御機能部４０は要求１０３内のラインＩＤに関連した認可情報を取り出すか又は求める。認可情報は、
−−ＣＰＥ１０にアクセス可能となるべきインターネットプロトコルアドレスの範囲、及びマルチキャストへのアクセス可能性を含む他のフィルタ（例えばレイヤ４）、及び
−−許された又は認可された帯域幅に関する（例えばアップロード帯域幅及び／又はダウンロード帯域幅に関する）帯域幅情報
に関する情報を特に含む。取り出されるか又は求められた認可情報は、制御機能部４０によってインターネットプロトコルエッジノード３０に返される。これは第４のメッセージ１０４によって表される。ＣＰＥに割り当てられたインターネットプロトコルアドレスのプロビジョニングがインターネットプロトコルエッジノードによって行われる場合、第４のメッセージ１０４はＣＰＥ１０に割り当てられたインターネットプロトコルアドレスに関する表示を含まない。代替的に、ＣＰＥ１０に割り当てられたインターネットプロトコルアドレスのプロビジョニングがインターネットプロトコルエッジノードによって行われない場合、ＣＰＥによって用いられるインターネットプロトコルアドレスのプロビジョニングは制御機能部によって提供され、第４のメッセージ１０４は、ＣＰＥ１０に割り当てられたインターネットプロトコルアドレスに関する表示を含む。

第５のステップにおいて、インターネットプロトコルエッジノードは、制御機能部４０が受信した情報に従ってインターネットプロトコルトラフィックルーティングの実現を提供する。特に、インターネットプロトコルエッジノードは、第４のメッセージ１０４の情報に従って、ＣＰＥがアクセス可能なインターネットプロトコルアドレスの範囲と、他のフィルタ（例えばレイヤ４）及びそれぞれの使用可能な帯域幅とを設定する。さらに、第５のメッセージ１０５によって、インターネットプロトコルエッジノード３０は、（ＣＰＥ１０に割り当てられるか又はＣＰＥ１０によって用いられることになる）インターネットプロトコルアドレスをＣＰＥ１０に提供する。本発明によれば、第５のメッセージ１０５は、デフォルトゲートウェイ及び／又はＤＮＳアドレス（ドメイン名システムすなわちＤＮＳのアドレス）等の追加のネットワーク情報も含むことが好ましい。

第４のメッセージ１０４内に含まれる設定情報が、マルチキャスト複製パラメータの設定に関する変更（通常、アクセスノード２０において行われる）が必要であることを示す場合、インターネットプロトコルエッジノード３０は、そのような情報を、第６のメッセージ１０６によってアクセスノードに提供する。

第７のステップにおいて、インターネットプロトコルエッジノード３０は、第７のメッセージ１０７を制御機能部４０に送信する。第７のメッセージ１０７は、制御機能部４０においてセッションを開始するための、インターネットプロトコルアドレスに関連する会計開始要求を含む。

第８のステップにおいて、制御機能部４０は、インターネットプロトコルアドレスに関するセッションを開始し、ＣＰＥに割り当てられたインターネットプロトコルアドレスと、ＣＰＥによってアクセス可能なインターネットプロトコルアドレスの範囲及び他のフィルタ（例えばレイヤ４）又はその相関する認可情報と、ラインＩＤ及びポートＩＤと、アクセスノードポート機能を記述するネットワークパラメータとを記憶する。

結果として、ＣＰＥ１０と電気通信ネットワークとの間にインターネットプロトコル接続性が確立され、ＣＰＥ１０はインターネットプロトコルアドレス、すなわちＩＰアドレス（動的又は静的）を与えられ、（購入されたサービス又は機能レベルによって許される場合）任意のインターネットプロトコルアドレスをアドレス指定し、ホスト名をインターネットプロトコルアドレスに分解するために全ての必須情報がＣＰＥ１０において存在する。

本発明によれば、有利には、個別の信用証明情報（すなわち、特定のユーザ又は契約に直接リンクされた情報）を備えることなく、ＣＰＥデバイスを用いることが可能である。

図４において、電気通信ネットワーク５へのＣＰＥ１０（及び好ましくは複数の、例えば１０個又は１００個又は１０００個又は１００００個のＣＰＥ１０）の通信アクセス、特にインターネットプロトコル接続性を、アクセスノード２０を介して提供することができるように、電気通信ネットワーク５の複数のアクセスノード２０のうちの一アクセスノード２０を効率的に初期化するための初期化プロセスに関するコミュニケーション図が示されている。コミュニケーション図は、アクセスノード２０と、制御機能部４０と、オペレーションサポートシステム６０と、ネットワークＩＤＰ６５との間で交換される多数の異なるメッセージを表している。

アクセスノード２０に接続された複数のＣＰＥ１０のうちの１つへのインターネットプロトコル接続性が初期化されることを可能にするように最初に電気通信ネットワークをセットアップする場合、アクセスノード２０は（第１１のステップにおいて）管理通信チャネルによってオペレーションサポートシステム６０に接続される。管理通信チャネルは、例えば、インターネットプロトコル管理アドレス等の管理アドレスを用いることによって実現される。（そのような管理通信チャネルによって初期化されることになる）アクセスノード２０が提供することが可能な（場合によってはＣＰＥ１０又は別のデバイスへの）物理通信チャネルごとに、アクセスノード２０はオペレーションサポートシステム６０に以下の情報、すなわち、ラインＩＤと、ポートＩＤと、物理通信チャネルのステータスと、物理的に可能な最大帯域幅等の更なるネットワークパラメータとを送信することができる。これは第１１のメッセージ１１１によって表される。特定の物理通信チャネルに関してアクセスノード２０によって受信される情報に基づいて、オペレーションサポートシステム６０は、ポートＩＤを得るか、又はアクセスノードのポートからの／へのポートＩＤを構成し、ポートＩＤによって表されるポートへのラインＩＤを構成し、利用可能な帯域幅及び他のパラメータの物理制限を構成することができる。さらに、オペレーションサポートシステム６０は、ラインＩＤに関する（物理通信チャネルに関する）位置情報を記憶することができる。ラインＩＤが利用可能でない場合、オペレーションサポートシステム６０は、ラインＩＤがポートＩＤに等しくなるような構成を提供することができる。ラインＩＤが利用不可能な場合に、ポートＩＤ及びラインＩＤが等しくなるように設定されるような構成を実現する代わりに、ラインＩＤを指定しないことも可能である。そのような場合には、制御機能部４０が、指定されたラインＩＤを有しないか又は未知のラインＩＤを有する物理通信チャネル（又はネットワークポート）に関する要求を受信した場合、制御機能部はそのような要求を拒否せず、制限された形式で、例えば構成及び設置機能レベル又は違反ポリシに従ってネットワークアクセスを許可する、すなわち、メンテナンス機能（すなわち、上記で基本接続性を提供することを指した機能レベルよりも更に削減された、「第１の機能レベル」と呼ばれる機能レベル（契約と関連がなく、顧客セルフケア機能を用いることを可能にする））のみを許可する。

アクセスノード２０を初期化するプロセスは、オペレーションサポートシステム６０が、技術的ステータスと、アクセスノード２０の各ネットワークポート（又は物理通信チャネル）の論理的ステータスとを検出（又は発見）すること、又はオペレーションサポートシステム６０が、技術的ステータスと、アクセスノード２０のネットワークポート（又は物理通信チャネル）の少なくとも大部分の論理的ステータスとを検出（又は発見すること）を意味する。アクセスノード２０のこの初期化プロセスは自動的に実行することができるので、このプロセスは、アクセスノード２０の自動発見、又はアクセスノード２０のネットワークポートの自動発見とも呼ばれる。

本発明によれば、オペレーションサポートシステム６０が、ネットワークポート（又は物理通信チャネル）の技術的ステータスに関する少なくとも以下の可能性、すなわち
−−ネットワークポートが利用可能（「ＯＫ」）である、すなわち、物理通信チャネル又はネットワークポートに関連付けられて検出された誤りが存在しない、
−−ネットワークポートが利用可能でない（「ＯＫでない」）、すなわち、物理通信チャネル又はネットワークポートに関連付けられて検出された誤りが存在する、
−−ネットワークポートがビジー（「Ｓｙｎｃ」）である、すなわち、アクセスノード２０のネットワークポートと、例えばＣＰＥ１０との間に確立された接続が存在する、
を知ることが好ましい。

本発明によれば、オペレーションサポートシステム６０が、ネットワークポート（又は物理通信チャネル）の論理的ステータスに関する少なくとも以下の可能性、すなわち
−−ネットワークポートがプロビジョニングされている（「プロビジョニング済み」）、すなわち、ポートＩＤ、位置、及びラインＩＤに関する情報がオペレーションサポートシステム６０に存在する、
−−ネットワークポートがプロビジョニングされていない（「未プロビジョニング」）、すなわち、ポートＩＤに関する情報がオペレーションサポートシステム６０に存在するが、ラインＩＤに関する情報は存在しない（本発明の１つの実施形態によれば、この結果、ラインＩＤをポートＩＤに等しくなるように設定するが、必須ではない）
を知ることが好ましい。

第１２のステップでは、オペレーションサポートシステム６０は、ラインＩＤ情報と、位置情報と、初期化されたアクセスノード２０の様々なネットワークポートの技術的ステータス及び論理的ステータスに関する情報とをネットワークＩＤＰ６５に送信する。これは第１２のメッセージ１１２によって表される。

第１３のステップにおいて、制御機能部４０のメモリユニット内の（新たな）ネットワークポートエントリの生成を要求するメッセージが制御機能部４０に送信されるか、又は制御機能部４０に割り当てられる。新たなネットワークポートエントリは、電気通信ネットワーク５によって新たに発見されたか、又はアクセスノード２０の初期化プロセスによって電気通信ネットワーク５の管理において新たに一体化されたネットワークポートを表す。第１３のステップは、第１３のメッセージ１１３によって表される。第１３のメッセージ１１３は、ネットワークＩＤＰ６５によって送信されることが好ましい。オプションの第１４のステップでは、制御機能部４０はネットワークポートエントリの生成に確認応答する。これは第１４のメッセージ１１４によって表される。

結果として、アクセスノード２０は、新たに発見されたネットワークポートを用いるように構成又は初期化され、すなわち、アクセスノード２０とＣＰＥ１０との間の新たな物理通信チャネルが可能になる。オペレーションサポートシステム６０は、アクセスノード２０のネットワークポートの技術的ステータス及び論理的ステータスと、ラインＩＤ、ポートＩＤ、位置、及び更なるネットワークパラメータとを知る。ネットワークＩＤＰ６５は、新たに初期化及び構成されたアクセスノード２０における全てのネットワークポートの技術的ステータス及び論理的ステータスと、ラインＩＤ及びラインＩＤに関係付けられた位置とを知り、さらに、ネットワークＩＤＰ６５は、ネットワークポートのうちのいずれが連携可能な可能性がある（すなわち連携させることができる）か、及びネットワークポートのうちのいずれが既に連携されているかも検出している。制御機能部４０は、ネットワークＩＤＰ６５の全てのラインＩＤ（及びネットワークポート）に関して、ＣＰＥ１０によってアドレス指定可能なインターネットプロトコル範囲並びに他のフィルタ（例えばレイヤ４）及び可能な帯域幅に関する対応する認可情報とともに知る。本発明によれば、ＩＰ接続性を提供することが常に可能である。ポートＩＤのみが利用可能である場合、そのようなＩＰ接続性は（電気通信ネットワークの）内部の使用にのみ利用可能である。加えて、ラインＩＤも利用可能である場合も、デフォルトポリシ（第１の機能レベル）に従ってＩＰ接続性が利用可能であり、アクセスノード２０にリンクされたＣＰＥ１０から壁に囲まれた庭（walled garden）へのアクセスが提供される。

図５〜図８において、認証プロセスに関連するコミュニケーション図が概略的に表されている。図５の記載に関して、第１〜第１１のステップと、対応する第１〜第１１のメッセージ又は処理１２３ａ〜１２３ｋとが述べられるが、これらは図５の説明のみに関係する。図６の記載に関して、第１〜第１１のステップと、対応する第１〜第１１のメッセージ又は処理１２４ａ〜１２４ｋとが述べられるが、これらは図６の説明のみに関係する。図７の記載に関して、第１〜第１１のステップと、対応する第１〜第１１のメッセージ又は処理１２５ａ〜１２５ｋとが述べられるが、これらは図７の説明のみに関係する。図８の記載に関して、第１〜第１３のステップと、対応する第１〜第１３のメッセージ又は処理１２６ａ〜１２６ｍとが述べられるが、これらは図８の説明のみに関係する。図５において、認証プロセスの第１の代替的な実施形態が表されている。図６及び図７において、認証プロセスの第２の代替的な実施形態が表されている。図８において、認証プロセスの第３の代替的な実施形態が表されている。

図５において、認証プロセスの第１の実施形態に関するコミュニケーション図が、ＣＰＥ１０と、アプリケーション５０と、Ａ＆Ａ機能部７０と、制御部４０と、アプリケーションＩＤＰ７５との間で交換される多数の異なるメッセージによって概略的に示されている。Ａ＆Ａ機能部７０及びアプリケーションＩＤＰ７５は、ホーム加入者サーバ（ＨＳＳ）構成要素によって部分的に又は完全に実現することができる。アプリケーション５０は、本発明の認証プロセスの第１の実施形態との関連でＳＩＰプロキシ５０によって実現される。以下において、ＳＩＰ ＲＥＧＩＳＴＥＲは、電気通信ネットワーク５のインターネットプロトコルマルチメディアサブシステム（ＩＭＳ）に向けたＣＰＥの最初の要求で開始し、ＳＩＰセッションで終了するシーケンスを意味する。第１の実施形態による認証はＮＡＳＳに基づく。すなわち、この認証は、アプリケーションセッション、特にＳＩＰ（セッション開始プロトコル）接続を認証するために、電気通信ネットワーク５のネットワークアタッチメントサブシステムを用いる。認証プロセスに関する第１の実施形態によれば、ＣＰＥ１０のＰＯＴＳポート（すなわち、レガシーＰＯＴＳ（一般電話システム）システムの機能を提供する、ＣＰＥ１０のポート又はインタフェース又は機能）に関連付けられた電話番号を自動的に取り出すか又は求めることができることが可能である。ＣＰＥ１０は、例えばＳＩＰ−Ｆｒｏｍ−Ｈｅａｄｅｒを備えるＳＩＰ−ＲＥＧＩＳＴＥＲ要求を送信し、例えば、第１のＰＯＴＳポートの場合、ローカル部アドレス＜ローカル部１＞、第２のＰＯＴＳポートの場合、ローカル部アドレス＜ローカル部２＞等を用いる。電気通信ネットワーク５において、好ましくはアプリケーションＩＤＰ７５において、各ローカル部アドレスのサービスプロファイルがユーザＩＤに関係付けられて記憶される。サービスプロファイルは、例えば、＜ローカル部１＞アドレスを＋４９ ６００１ １２３４５６７８等の特定の電話番号（また、任意選択で複数のそのような電話番号）に関係付け、＜ローカル部２＞アドレスを＋４９ ６００１ ２３４５６７８９等の別の特定の電話番号（また、任意選択で複数のそのような電話番号）に関係付けるテーブルの形式で提供される。本発明によれば、ＳＩＰプロキシ（Ｐ−ＣＳＣＦ）５０が電気通信ネットワーク５のインターネットプロトコルマルチメディアサブシステム（ＩＭＳ）内に存在し、ＳＩＰプロキシ５０が、Ａ＆Ａ機能部７０及び制御機能部４０との通信を通じて、ＶｏＩＰプロファイルとともにユーザＩＤを求めることができることが好ましい。Ａ＆Ａ機能部７０は、ラインＩＤ（ネットワークアクセス関連識別情報）を用いる（提供する）ことによって、ラインＩＤと関連付けられたユーザ又はユーザＩＤを求めるか又は取り出すことができ、その後、Ａ＆Ａ機能部７０は、ユーザＩＤに関係付けられたサービスプロファイルのローカル部に対しいずれの電話番号が構成されたかを、アプリケーションＩＤＰ７５に要求するか又はアプリケーションＩＤＰ７５から取り出すことができる。次に、ＳＩＰプロキシ５０は、電気通信ネットワーク５の他のエンティティから得られたデータを用いて、ＳＩＰ ＲＥＧＩＳＴＥＲ手順を通信することができる。より詳細には、このプロセスは後述され、図５に表される。ＣＰＥ１０は、インターネットプロトコルアドレス及び＜ローカル部１＞＠＜ｆｑｄｎ＞情報（その第１のＰＯＴＳポートの場合）を好ましくは備える第１のメッセージ１２３ａを伴う第１のステップにおいて、インターネットプロトコルマルチメディアサブシステムのＳＩＰプロキシ５０にＳＩＰ ＲＥＧＩＳＴＥＲを要求する。インターネットプロトコルアドレス及び＜ローカル部１＞＠＜ｆｑｄｎ＞情報を好ましくは備える第２のメッセージ１２３ｂを伴う第２のステップにおいて、ＳＩＰプロキシ５０はＳＩＰユーザ名のローカル部を抽出し、Ａ＆Ａ機能部７０に、（インターネットプロトコルアドレスに関係付けられた）ユーザＩＤ、電話番号、及び認可を要求する。第３のメッセージ１２３ｃを伴う第３のステップにおいて、Ａ＆Ａ機能部７０は、制御機能部４０に、（インターネットプロトコルアドレスに関係付けられた）対応するラインＩＤ又はラインＩＤへの（不透明な）ハンドルを要求する。処理１２３ｄを伴う第４のステップにおいて、制御機能部４０は、ＩＰ接続性に関係付けられたラインＩＤ（又はラインＩＤのハンドル）を求める。第５のメッセージ１２３ｅを伴う第５のステップにおいて、制御機能部は４０は、ラインＩＤ又はラインＩＤへのハンドルをＡ＆Ａ機能部７０に送信する。第６のメッセージ１２３ｆを伴う第６のステップにおいて、Ａ＆Ａ機能部７０は、アプリケーションＩＤＰ７５に、＜ローカル部１＞のユーザＩＤのプロファイルに記憶されているユーザＩＤ及び電話番号と、ユーザＩＤに関係付けられた認可とを要求する。処理１２３ｇを伴う第７のステップにおいて、アプリケーションＩＤＰ７５は要求された情報を求め、第８のメッセージ１２３ｈを伴う第８のステップにおいて、アプリケーションＩＤＰは要求された情報をＡ＆Ａ機能部７０に返す。第９のメッセージ１２３ｉを伴う第９のステップにおいて、Ａ＆Ａ機能部７０は要求された情報（すなわち、インターネットプロトコルアドレスに関係付けられたユーザＩＤ、ラインＩＤ、電話番号、及び認可情報）を、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）のＳＩＰプロキシ５０に返す。処理１２３ｊを伴う第１０のステップにおいて、ＳＩＰプロキシ５０は認可情報を検証し、ＳＩＰ ＲＥＧＩＳＴＥＲ（認可が肯定的である場合）、及び要求側のＣＰＥ１０への確認応答を準備する。第１１のメッセージ１２３ｋを伴う第１１のステップにおいて、ＳＩＰプロキシ５０は、ローカル部情報によって特定されたＰＯＴＳポートに関係付けられた求められたＰＯＴＳ電話番号を用いた、要求側のＣＰＥ１０のＳＩＰ ＲＥＧＩＳＴＥＲに進む（認可が肯定的である場合）。

結果として、ラインＩＤ及びユーザＩＤの連携後にラインＩＤに関係付けられている、アプリケーションＩＤＰ７５に記憶されたユーザＩＤの＜ローカル部１＞のプロファイルに関連付けられた電話番号を用いた、ＣＰＥ１０のＮＡＳＳに基づく認証を伴うＳＩＰ−ＲＥＧＩＳＴＥＲ手順が実行された。ＳＩＰ ＲＥＧＩＳＴＥＲは、ＣＰＥ１０内に個別の信用証明が記憶されることを一切必要とせずに実行されたが、ＣＰＥの異なるＰＯＴＳポートに個々の電話番号を割り当てることが可能である。ＮＡＳＳに基づく認証のこの手順は、他のアプリケーションと関係付けて適用することもできる。この場合、＜ローカル部１＞のような他のプロファイル関連情報を用いて、アプリケーションＩＤＰ７５から情報を取り出し、ＣＰＥ内にサービス固有情報が記憶されることを回避することができる。

図６及び図７において、認証プロセスの第２の実施形態に関するコミュニケーション図が、
図６では、ＣＰＥ１０と、アクセスノード２０と、インターネットプロトコルエッジノード３０と、制御機能部４０との間で、
図７では、ＣＰＥ１０と、アプリケーション５０と、Ａ＆Ａ機能部７０と、制御機能部４０と、アプリケーションＩＤＰ７５との間で
交換される多数の異なるメッセージによって概略的に示されている。第２の実施形態による認証もＮＡＳＳに基づく。認証プロセスに関する第２の実施形態によれば、制御機能部４０は、（有効なアクセス要求に関して）トークン情報又はトークン情報へのリンク（ユニフォームリソース識別子（ＵＲＩ））のいずれかをインターネットプロトコルエッジノード３０に提供することができる。これに対して任意選択で、認証プロセスの第２の実施形態によれば、トークンサーバが、トークン情報及び／又はトークン情報へのリンクを制御機能部４０に提供することが可能である。トークン情報及び／又はトークン情報のリンク（ユニフォームリソース識別子（ＵＲＩ））は、例えばＤＨＣＰプロトコル及び／又はＰＰＰｏＥプロトコルによってＣＰＥ１０に送信することができる。ＣＰＥ１０がトークン情報へのリンク（ユニフォームリソース識別子（ＵＲＩ）等）を受信する場合、ＣＰＥ１０は、トークンサーバにトークン情報を要求するか、又はトークンサーバからトークン情報を取り出すことができる。ＣＰＥ１０がセキュアな位置にトークン情報を記憶することができることが非常に好ましい。より詳細には、第２の実施形態による認証プロセスの第１の部分が後述され、図６に表される。

第１のメッセージ１２４ａを伴う第１のステップにおいて、ＣＰＥ１０は、アクセスノード２０にインターネットプロトコルアドレスを要求する。ラインＩＤ、ポートＩＤ、及び更なるネットワークパラメータ等の更なる情報を含むことが好ましい第２のメッセージ１２４ｂを伴う第２のステップにおいて、アクセスノード２０からインターネットプロトコルエッジノード３０にＩＰアドレスの要求が転送される。第３のメッセージ１２４ｃを伴う第３のステップにおいて、インターネットプロトコルエッジノード３０は、制御機能部４０に（インターネットプロトコルアドレスの）認可を要求する（ラインＩＤ及びポートＩＤを送信する）。処理１２４ｄを伴う第４のステップにおいて、制御機能部４０は、（アドレス指定可能なＩＰ範囲に関する）ラインＩＤ、（アップリンク及びダウンリンクについて）認可された帯域幅等に関係付けられた認可情報を求める。さらに、制御機能部４０は、トークン情報を生成するか又は取り出す。第５のメッセージ１２４ｅを伴う第５のステップにおいて、制御機能部４０は、インターネットプロトコルアドレス、認可、及びトークン情報（又はトークン情報へのユニフォームリソース識別子（ＵＲＩ））をインターネットプロトコルエッジノード３０に送信する。処理１２４ｆを伴う第６のステップにおいて、インターネットプロトコルエッジノード３０は、ＣＰＥ１０のためのＩＰ接続、すなわち、マルチキャストへのアクセス可能性を含む、ＣＰＥ１０がアクセス可能となるべきインターネットプロトコルアドレスの範囲と、許容又は許可された帯域幅に関する（例えば、アップロード帯域幅及び／又はダウンロード帯域幅に関する）帯域幅情報とをパラメータ化する。必要な場合、インターネットプロトコルエッジノード３０は、第７のメッセージ１２４ｇを伴う第７のステップにおいて、例えばアクセスノード２０においてマルチキャスト構成プロファイルを変更しなくてはならない場合、アクセスノード２０に構成情報を送信する。第８のメッセージ１２４ｈを伴う第８のステップにおいて、インターネットプロトコルエッジノード３０は、トークン情報、又はトークン情報へのユニフォームリソース識別子（ＵＲＩ）、デフォルトゲートウェイ、ＤＮＳアドレス等のネットワーク情報を含む、ＩＰ接続を開始するための全ての関連情報をＣＰＥ１０に送信する。処理１２４ｉを伴う第９のステップにおいて、ＣＰＥ１０（任意選択で、ユニフォームリソース識別子（ＵＲＩ）を用いることによってトークンを取り出す）はトークン情報を記憶する。第１０のメッセージ１２４ｊを伴う第１０のステップにおいて、インターネットプロトコルエッジノード３０は、（ラインＩＤ、ポートＩＤ、インターネットプロトコルアドレス、ネットワークパラメータ、及びトークン情報を有する）会計開始要求を制御機能部４０に送信する。処理１２４ｋを伴う第１１のステップにおいて、制御機能部は、ネットワークパラメータ及びトークン情報を用いてセッションを生成する。

第２の実施形態による認証プロセス第２の部分が後述され、図７に表される。ＣＰＥ１０は、インターネットプロトコルアドレス及び＜ローカル部１＃トークン＞＠＜ｆｑｄｎ＞情報（その第１のＰＯＴＳポートの場合）を含むことが好ましい第１２のメッセージ１２５ａを伴う第１２のステップにおいて、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）のＳＩＰプロキシ５０にＳＩＰ ＲＥＧＩＳＴＥＲを要求する。インターネットプロトコルアドレス及び＜ローカル部１＃トークン＞情報を含むことが好ましい第１３のメッセージ１２５ｂを伴う第１３のステップにおいて、ＳＩＰプロキシ５０は、Ａ＆Ａ機能部７０に、（インターネットプロトコルアドレスに関係付けられた）ユーザＩＤ、電話番号、及び認可を要求する。第１４のメッセージ１２５ｃを伴う第１４のステップにおいて、Ａ＆Ａ機能部７０は、制御機能部４０に、（インターネットプロトコルアドレスに関係付けられた）対応するラインＩＤ又はラインＩＤへの（不透明な）ハンドル、及びトークン情報を要求する。処理１２５ｄを伴う第１５のステップにおいて、制御機能部４０は、ＩＰ接続性に関係付けられたラインＩＤを求め（又はそれに加えてラインＩＤのハンドルを生成し）、ＩＰ接続性に関係付けられたトークン情報を求める（又はトークン情報若しくはトークン情報へのリンクを取り出す）。第１６のメッセージ１２５ｅを伴う第１５のステップにおいて、制御機能部４０は、トークン情報（又はトークン情報へのリンク情報）及びラインＩＤ（又はラインＩＤへのハンドル）をＡ＆Ａ機能部７０に送信する。第１７のメッセージ１２５ｆを伴う第１７のステップにおいて、一方で制御機能部４０からのトークン情報と、他方でＳＩＰプロキシ５０によって提供される＜ローカル部１＃トークン＞情報とが、肯定的な認証に必須であるように対応する（例えば同一である）場合、Ａ＆Ａ機能部７０は、アプリケーションＩＤＰ７５に、＜ローカル部１＞のユーザＩＤのプロファイルにおいて記憶されているユーザＩＤ及び電話番号と、ユーザＩＤに関係付けられた認可とを要求する。処理１２５ｇを伴う第１８のステップにおいて、アプリケーションＩＤＰ７５は要求された情報を求め、第１９のメッセージ１２５ｈを伴う第１９のステップにおいて、アプリケーションＩＤＰ７５は要求された情報をＡ＆Ａ機能部７０に返す。第２０のメッセージ１２５ｉを伴う第２０のステップにおいて、Ａ＆Ａ機能部７０は、要求された情報を、電気通信ネットワーク５のインターネットプロトコルマルチメディアサブシステム（ＩＭＳ）のＳＩＰプロキシ５０に返す。処理１２５ｊを伴う第２１のステップにおいて、ＳＩＰプロキシ５０は認可情報を検証し、ＳＩＰ登録（認可が正である場合）及び要求側のＣＰＥ１０への確認応答を準備する。第２２のメッセージ１２５ｋを伴う第２２のステップにおいて、ＳＩＰプロキシ５０は（認可が肯定的である場合）要求側のＣＰＥ１０のＳＩＰ ＲＥＧＩＳＴＥＲに進み、したがって、ローカル部情報によって特定されたＰＯＴＳポートに関係付けられた、求められたＰＯＴＳ電話番号を送信する。

結果として、ＣＰＥ１０は、電気通信ネットワーク５の認可されたサービスにアクセスするのに必要な全ての関連情報を有する。ＩＰ接続性は、ＣＰＥ１０と電気通信ネットワーク５とのネットワーク接続の前にＣＰＥ１０内に信用証明情報を記憶することなく可能である。インターネットプロトコルエッジノード３０は、必要な構成情報、例えば、インターネットプロトコルエッジノード３０とＣＰＥとの間のＩＰ接続のためのアドレス指定可能なＩＰ範囲を備える。アクセスノード２０は、インターネットプロトコルエッジノード３０から直接又は間接的に、関連マルチキャスト構成情報を受信している。制御機能部４０は、ＣＰＥが用いるＩＰアドレスと、アドレス指定可能なＩＰ範囲と、ポートＩＤと、ラインＩＤと、ネットワークパラメータと、トークン情報（又はトークン情報へのリンク）を含むセッションインスタンスを含む。ラインＩＤ及びユーザＩＤの連携後にラインＩＤに関係付けられている、アプリケーションＩＤＰ７５に記憶されたユーザＩＤの＜ローカル部１＞のプロファイルに関連付けられた電話番号を用いた、ＣＰＥ１０のＮＡＳＳに基づく認証を伴うＳＩＰ−ＲＥＧＩＳＴＥＲ手順が実行された。ＳＩＰ ＲＥＧＩＳＴＥＲは、ＣＰＥ１０内に個別の信用証明が記憶されることを一切必要とせずに実行されたが、ＣＰＥの異なるＰＯＴＳポートに個々の電話番号を割り当てることが可能である。認証は、保証された（securitized）形式で、すなわちトークン情報によって保証された（securitized）形式で行われ、ＣＰＥ（ホームゲートウェイ）のみがＳＩＰ ＲＥＧＩＳＴＥＲに進むことができるが、ローカルネットワーク内に存在する可能性がある別のクライアントは進むことができない。トークンで保護されたＮＡＳＳに基づく認証のこの手順は、他のアプリケーションに関係付けて適用することもできる。この場合、＜ローカル部１＞のような他のプロファイル関連情報を用いて、アプリケーションＩＤＰ７５から情報を取り出し、ＣＰＥ内にサービス固有情報が記憶されることを回避することができる。

認証プロセスの第２の実施形態による方法は、ＳＩＰレジスタ又は別の通信法の異なるヘッダフィールド内でローカル部情報及びトークン情報をトランスポートするように変更することもできる。

認証プロセスの第２の実施形態による方法は、（ＣＰＥ１０の）ホームネットワーク内の他の端末デバイスに拡張することもできる。ホームネットワーク内の別のデバイスがＤＨＣＰ要求をＣＰＥ１０に送信し、この別のデバイスのＭＡＣアドレスがＣＰＥ１０に知られている場合、この別のデバイスのための別のトークン情報を要求することが可能である。この場合、（電気通信ネットワーク５に向けた）ＣＰＥ１０の要求は、制御機能部４０によって以前に受信されたトークン情報を含まなくてはならず、制御機能部４０（又はトークンサーバ）は、ＣＰＥ１０が（ホームネットワーク内の別のデバイスのための）別のトークン情報を受信することを許されるか否かを検証することができる。これらのステップが行われた後、ホームネットワーク内の（ＣＰＥ１０以外の）別のデバイスは、トークン情報によってＳＩＰ ＲＥＱＵＥＳＴを保護することもできる。トークンで保護されたＮＡＳＳに基づく認証のこの手順は、他のアプリケーションに関係付けて適用することもできる。この場合、＜ローカル部１＞のような他のプロファイル関連情報を用いて、アプリケーションＩＤＰ７５から情報を取り出し、ＣＰＥ内にサービス固有情報が記憶されることを回避することができる。

図８において、認証プロセスの第３の実施形態に関連するコミュニケーション図が、ＣＰＥ１０と、アプリケーション５０と、Ａ＆Ａ機能部７０と、制御機能部４０と、アプリケーションＩＤＰ７５との間で交換される多数の異なるメッセージによって概略的に示されている。第３の実施形態による認証もＮＡＳＳに基づく。認証プロセスに関する第３の実施形態によれば、セッションがＡ＆Ａ機能部７０において行われることが可能である。ＣＰＥ１０は、ブラウザのようなアプリケーションを用いるＣＰＥ１０がアプリケーション５０によってまだ知られていない（又は認可されていない）時点において、アプリケーション５０に（例えばブラウザプログラムを介して）要求を送信する。より詳細には、このプロセスは後述され、図８に表される。第１のメッセージ１２６ａを伴う第１のステップにおいて、ＣＰＥ１０はアプリケーション５０にサービス（例えば接続されること）を要求する。第２のメッセージ１２６ｂを伴う第２のステップにおいて、要求は、トランザクション識別情報（以後、トランザクションＩＤとも呼ばれる）とともにＡ＆Ａ機能部７０に転送される。これは、シングルサインオンサービス（例えばＳＡＭＬ（セキュリティアサーションマークアップ言語）に基づく）におけるログインに対応する。第３のメッセージ１２６ｃを伴う第３のステップにおいて、Ａ＆Ａ機能部７０は、制御機能部４０に、（インターネットプロトコルアドレスに関係付けられた）対応するラインＩＤ又はラインＩＤへの（不透明な）ハンドルを要求する。処理１２６ｄを伴う第４のステップにおいて、制御機能部４０はＩＰ接続性に関係付けられたラインＩＤ（又はラインＩＤへのハンドル）を求める。第５のメッセージ１２６ｅを伴う第５のステップにおいて、制御機能部４０は、ラインＩＤ又はラインＩＤへのハンドルをＡ＆Ａ機能部７０に送信する。第６のメッセージ１２６ｆを伴う第６のステップにおいて、Ａ＆Ａ機能部７０はアプリケーションＩＤＰ７５に、ラインＩＤに関係付けられたユーザＩＤ及び認可を要求する。処理１２６ｇを伴う第７のステップにおいて、アプリケーションＩＤＰ７５は要求された情報を求め、第８のメッセージ１２６ｈを伴う第８のステップにおいて、アプリケーションＩＤＰは要求された情報をＡ＆Ａ機能部７０に返す。処理１２６ｉを伴う第９のステップにおいて、Ａ＆Ａ機能部７０はユーザＩＤに関係付けられたシングルサインオンセッション（ＳＳＯセッション）を開始する。第１０のメッセージ１２６ｊを伴う第１０のステップにおいて、Ａ＆Ａ機能部７０は、ユーザＩＤ及びユーザＩＤに関係付けられた認可又は参照情報を含むリダイレクトメッセージによって、要求された情報をアプリケーション５０に返し、このアプリケーションはこの要求された情報を取り出すことができる。処理１２６ｋを伴う第１１のステップにおいて、アプリケーション５０はセッションを開始する。第１２のメッセージ１２６ｌを伴う第１２のステップにおいて、アプリケーション５０は任意選択でセッションの開始をＡ＆Ａ機能部７０に送信する。第１３のメッセージ１２６ｍを伴う第１３のステップにおいて、アプリケーション５０はＣＰＥ１０にメッセージを送信し、このメッセージに従って、要求された認可が与えられる。

結果として、ＣＰＥ１０又はＣＰＥ上のアプリケーションは、アプリケーション５０に要求したサービスを用いることを認可される。Ａ＆Ａ機能部７０は、任意選択でＳＳＯセッションを開始している。アプリケーション５０は、Ａ＆Ａ機能部７０に任意選択で知られているセッションを開始している。ＣＰＥ１０を認証するのに用いられるインターネットプロトコルアドレスは、Ａ＆Ａ機能部７０によって、ＳＳＯセッション及びアプリケーション５０内のセッションに関してともに任意選択で関係付けられる。ＮＡＳＳに基づく認証のこの手順は、任意選択で、トークンを用いて保護することもできる。

Claims (11)

1. アクセスノード（２０）を介した電気通信ネットワーク（５）と顧客構内機器（ＣＰＥ）（１０）との間の接続の効率的な確立及び／又は構成のための方法であって、
   前記電気通信ネットワーク（５）の前記アクセスノード（２０）と、前記ＣＰＥ（１０）との間の物理通信チャネルを確立するステップであって、前記物理通信チャネルは前記アクセスノード（２０）に関するネットワークアクセス関連識別情報に割り当てられるステップと、
   前記電気通信ネットワーク（５）が、前記ＣＰＥ（１０）が前記電気通信ネットワーク（５）のインターネットプロトコルエッジノード（３０）と通信するのに用いるパブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスを、前記ＣＰＥ（１０）に提供するステップであって、前記インターネットプロトコルアドレスは前記ネットワークアクセス関連識別情報と関連付けられ、論理通信チャネルを実現するインターネットプロトコルセッション（ＩＰセッション）又はインターネットプロトコル接続が、前記電気通信ネットワーク（５）の前記インターネットプロトコルエッジノード（３０）と前記ＣＰＥ（１０）との間で開始され、前記インターネットプロトコルエッジノード（３０）は、複数のアクセス及び許可規則を有するルーティングデバイスであるステップと、
   前記電気通信ネットワーク（５）が、前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第１の機能レベルを最初に割り当てるステップと、
   前記電気通信ネットワーク（５）が前記ネットワークアクセス関連識別情報を契約関連識別情報に関連付けることができる場合、前記電気通信ネットワーク（５）が前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第２の機能レベルを割り当てるステップであって、前記ネットワークアクセス関連識別情報は、ポートＩＤ情報及び／又はラインＩＤ情報であり、前記契約関連識別情報はユーザに対応しているステップと、
   前記ネットワークアクセス関連識別情報の前記契約関連識別情報への前記関連付けは、前記電気通信ネットワーク（５）のインターネットマルチメディアサブシステム（ＩＭＳ）のネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証を含み、前記認証は、アプリケーションセッションを認証するために、前記電気通信ネットワーク（５）の前記ネットワークアタッチメントサブシステム（ＮＡＳＳ）を使用するステップと
   を含む方法。
2. 前記論理通信チャネルは少なくとも１つの認証情報を用いることによって確立され、該少なくとも１つの認証情報は前記電気通信ネットワーク内に存在する信頼された情報である、請求項１に記載の方法。
3. 前記ネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証は、ＳＩＰ（セッション開始プロトコル）登録を含む、請求項１又は２に記載の方法。
4. 前記電気通信ネットワーク（５）は、前記インターネットプロトコルエッジノード（３０）と、制御機能部（４０）とを備え、前記制御機能部は、集中化された認証・認可・会計（ＡＡＡ）機能部又は関連付けられたＡＡＡノードによって実現され、前記第２の機能レベルを可能にするための前記契約関連識別情報は、前記ネットワークアクセス関連識別情報を前記契約関連識別情報に関係付けた後に前記制御機能部（４０）に送信される、請求項１〜３のいずれか１項に記載の方法。
5. トークン又はトークンにリンクされたユニフォームリソース識別子（ＵＲＩ）が、認証プロセス中に用いられる、請求項１〜４のいずれか１項に記載の方法。
6. 前記インターネットプロトコルエッジノード（３０）は、前記第１の機能レベル又は前記第２の機能レベルに従って、前記電気通信ネットワーク（５）の前記アクセスノード（２０）を介した前記ＣＰＥ（１０）と前記インターネットプロトコルエッジノード（３０）との間の前記通信を制御し、前記インターネットプロトコルエッジノード（３０）は、ＯＳＩモデルのレイヤ３及びレイヤ４において前記ＣＰＥ（１０）がいずれのインターネットプロトコルのアドレスと機能にアクセス可能であるかを制御し、前記制御機能部（４０）から受信した情報によって、前記ネットワークアクセス関連識別情報と関連付けられた前記機能レベルが変更される、請求項１〜５のいずれか１項に記載の方法。
7. 複数のネットワークノードを備える電気通信ネットワーク（５）であって、前記電気通信ネットワーク（５）は、アクセスノード（２０）を介した前記電気通信ネットワーク（５）とＣＰＥ（１０）との間の接続の効率的な確立及び／又は構成を備え、
   前記電気通信ネットワーク（５）は、前記電気通信ネットワーク（５）の前記アクセスノード（２０）と前記ＣＰＥ（１０）との間に物理通信チャネルを備え、
   前記物理通信リンクは、前記アクセスノード（２０）に関するネットワークアクセス関連識別情報に関連付けられ、
   前記電気通信ネットワーク（５）は、前記ＣＰＥ（１０）が前記インターネットプロトコルエッジノード（３０）と通信するのに用いるパブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスを前記ＣＰＥ（１０）に提供し、
   前記インターネットプロトコルアドレスは前記ネットワークアクセス関連識別情報と関連付けられ、
   インターネットプロトコルセッション（ＩＰセッション）又は論理通信チャネルを実現する接続が、前記電気通信ネットワーク（５）の前記インターネットプロトコルエッジノード（３０）と前記ＣＰＥ（１０）との間で開始され、
   前記インターネットプロトコルエッジノード（３０）は複数のアクセス及び許可規則を有するルーティングデバイスであり、
   前記電気通信ネットワーク（５）は、前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第１の機能レベルを最初に割り当て、
   前記電気通信ネットワーク（５）が前記ネットワークアクセス関連識別情報を契約関連識別情報に関連付けることができる場合、前記電気通信ネットワーク（５）は、前記パブリックインターネットプロトコルアドレス又はプライベートインターネットプロトコルアドレスに第２の機能レベルを割り当て、
   前記ネットワークアクセス関連識別情報はポートＩＤ情報及び／又はラインＩＤ情報であり、前記契約関連識別情報はユーザに対応しており、前記ネットワークアクセス関連識別情報の前記契約関連識別情報への前記関連付けは、前記電気通信ネットワーク（５）のインターネットマルチメディアサブシステム（ＩＭＳ）のネットワークアタッチメントサブシステム（ＮＡＳＳ）に基づく認証を含み、前記認証は、アプリケーションセッションを認証するために、前記電気通信ネットワーク（５）の前記ネットワークアタッチメントサブシステム（ＮＡＳＳ）を使用する
   電気通信ネットワーク。
8. 前記契約関連識別情報はユーザＩＤであり、前記電気通信ネットワーク（５）の前記インターネットマルチメディアサブシステム（ＩＭＳ）は、サービスプロファイルを自動的に取り出し及び／又は求めるよう構成され、前記サービスプロファイルは、前記ＣＰＥ（１０）のポートのローカルパートアドレスに関連付けられており、前記電気通信ネットワーク（５）において前記サービスプロファイルは、前記ユーザＩＤと関連付けられて記憶される、請求項７に記載の電気通信ネットワーク。
9. 前記論理通信チャネルは少なくとも１つの認証情報を用いて確立され、該少なくとも１つの認証情報は前記電気通信ネットワーク内に存在する信頼された情報である、請求項７又は８に記載の電気通信ネットワーク。
10. インターネットプロトコルエッジノード（３０）と、制御機能部（４０）とを備え、前記制御機能部は、集中化された認証・認可・会計（ＡＡＡ）機能部又は関連付けられたＡＡＡノードによって実現され、前記第２の機能レベルを可能にするための前記契約関連識別情報は、前記ネットワークアクセス関連識別情報を前記約関連識別情報に関連付けた後に前記制御機能部（４０）に送信される、請求項７〜９のいずれか１項に記載の電気通信ネットワーク。
11. アクセスノード（２０）及び／又は制御機能部（４０）を制御するためのコンピュータ可読プログラムコードを備えるプログラムであって、前記コンピュータプログラムコードは、コンピュータ上で実行されると、該コンピュータに請求項１〜６のいずれか１項に記載の方法を実行させるプログラム。

Images