JP6732794B2 - モバイル無線通信ネットワーク及び通信ネットワークデバイスへのモバイル端末の接続を確立するための方法 - Google Patents

Description

本開示は、モバイル無線通信ネットワーク及び通信ネットワークデバイスへのモバイル端末の接続を確立するための方法に関する。

モバイル通信ネットワークにおいて、ＵＥ（User Equipment、ユーザ装置）認証が、ある共通ＣＰ（Control Plane、コントロールプレーン）機能（たとえば、ＭＭＥ（Mobility Management Entity、モビリティ管理エンティティ））からＵＥを管理する別の共通ＣＰ機能へのアタッチ要求のリルートの後に、たとえばＵＥのサブスクリプション（たとえば、ＵＥタイプ、専用のコアネットワークＩＤ、企業ＩＤ、クライアントＩＤ、テナントＩＤ、顧客ＩＤ）に基づいて実施されるということが通常発生する。このことは、ネットワークを、攻撃、すなわち、デフォルトの共通ＣＰ機能（たとえば、デフォルトのＭＭＥ）、ＵＥを管理している共通ＣＰ機能、及び、ＨＳＳ（Home Subscriber Server、ホーム加入者サーバ）に対するサービス妨害攻撃にさらす。

したがって、こうした攻撃を妨害する手法が望ましい。

一実装形態によれば、モバイル無線通信ネットワークの第１の共通コントロールプレーン機能が、モバイル端末から接続要求を受信するステップと、第１の共通コントロールプレーン機能が、モバイル端末の認証コンテキストを生成することを含む、モバイル端末を認証するステップと、第１の共通コントロールプレーン機能が、接続要求を転送し、モバイル端末の認証コンテキストをモバイル無線通信ネットワークの第２の共通コントロールプレーン機能に送信するステップと、第２の共通コントロールプレーン機能が、モバイル端末をモバイル無線通信ネットワークに接続するステップとを含む、モバイル無線通信ネットワークへのモバイル端末の接続を確立するための方法が提供される。

別の実装形態によれば、上記の方法による通信ネットワークデバイスが提供される。

図面において、同一の参照数字は全体的に、異なる図面全体を通して同一の部分について言及している。図面は必ずしも同一の縮尺を示すものではなく、全体的に本発明の原理を示すことに重点が置かれている。以下の説明において、以下の図面を参照して様々な態様が記載されている。

ＵＥ（User Equipment）のアタッチ要求のリルーティングを示す図である。 図１のシナリオにおける、ＲＡＮを経由した、共通ＣＰ機能に対するＵＥによるサービス妨害（ＤｏＳ、Denial of Service）攻撃を示す図である。 ＬＴＥ（Long Term Evolution）通信システムを示す図である。 図３の通信システムにおけるアタッチ手順を示すメッセージ流れ図である。 ５Ｇ通信システムを示す図である。 図５の通信システムにおける（セッション管理手順に先立つ）アタッチ手順を示すメッセージ流れ図である。 専用の共通ＣＰ機能へのアタッチ要求をリルーティングする前に、認証を実行することを含む手法を示す図である。 図４のシナリオにおける図７の手法の適用を示すメッセージ流れ図である。 図４のシナリオにおける図７の手法の適用を示す別の代替のメッセージ流れ図である。 図６のシナリオにおける図７の手法の適用を示すメッセージ流れ図である。 最初のアクセス手順における図７の手法の別の適用を示すメッセージ流れ図である。 モバイル無線通信ネットワークへのモバイル端末の接続を確立するための方法を示す流れ図である。 通信ネットワークデバイスを示す図である。

以下の詳細な説明は、本発明を実施することができる本開示の特定の詳細及び態様を図解によって示す添付の図面に関する。他の態様を利用することも可能であり、構造的、論理的、及び電気的変更を、本発明の範囲から逸脱することなく加えることができる。本開示の様々な態様は、本開示の一部の態様が本開示の１つ又は複数の他の態様と結合して新しい態様を形成することができるなど、必ずしも相互に排他的ではない。

図１は、ＵＥ（User Equipment）のアタッチ要求のリルーティングを示す。

ＵＥ１０１が、アタッチ要求をモバイル通信ネットワーク、特に、モバイル通信ネットワークの無線アクセスネットワーク（ＲＡＮ）１０２に送信するものとする。ＲＡＮ１０２は、アタッチ要求をデフォルトの共通ＣＰ機能（Ｃ−ＣＰＦ、たとえばデフォルトのＭＭＥ）１０３に転送するが、このＣ−ＣＰＦは、たとえば、ＵＥタイプ、又は専用のコアネットワークＩＤ、又は企業ＩＤ、又はクライアントＩＤ、又はテナントＩＤ、又は顧客ＩＤが理由で、ＵＥ１０１に関与することはできない。

ＵＥタイプの例は、「マシン型通信（ＭＴＣ、Machine Type Communication）ＵＥタイプ」、「スマートフォンＵＥタイプ」などである。ＵＥタイプは通常、ＵＥのサブスクリプションの一部として記憶される。

したがって、デフォルトの共通ＣＰ機能１０３は、アタッチ要求を専用の共通ＣＰ機能（たとえば、専用のＭＭＥ）１０４にリルートし（第１の矢印１０５によって示す）、この専用の共通ＣＰ機能が、ＵＥ認証及びＮＡＳ（Non Access Stratum）のセキュリティ設定（第２の矢印１０６によって示す）を実施する。

図２は、図１のシナリオにおける専用の共通ＣＰ機能へのリルーティングを介して広がる、ＲＡＮ２０２を介した、デフォルトの共通ＣＰ機能２０３に対するＵＥ２０１によるサービス妨害（ＤｏＳ）攻撃を示す。

ＤｏＳ攻撃とは、インターネットに接続されたホストのサービスを一時的に又は永久に中断又は一時停止させるなど、狙ったユーザに対してマシン又はネットワーク資源を利用不能にさせる試みをいう。サービス妨害は通常、システムに過負荷をかけ、一部又は全ての正当な要求が実行されるのを妨害しようとして、標的のマシン又は資源を法外な要求であふれさせることによって達成される。

以下において、図１のシナリオを図３及び図４を参照して、ＬＴＥ（Long Term Evolution）通信システムについてより詳細に説明する。

図３は、ＬＴＥ（Long Term Evolution）通信システムを示す。

通信システム３００は、無線アクセスネットワーク３０１（ＲＡＮ、すなわち、ＬＴＥによる、Ｅ−ＵＴＲＡＮ、進化型ＵＭＴＳ（Universal Mobile Communications System、ユニバーサルモバイル通信システム）地上無線アクセスネットワーク）を備える。無線アクセスネットワーク３０１は、基地（トランシーバ）局（すなわち、ＬＴＥによる、ｅＮｏｄｅＢｓ、ｅＮＢｓ）３０３を備えることができる。各基地局３０３は、無線アクセスネットワーク３０１の１つ又は複数のモバイル無線セル３０４に無線カバレッジを提供する。

モバイル無線セル３０４（この例では中間の無線セル３０４）のうちの１つに配置されたモバイル端末（ＵＥ（User Equipment）又はＭＳ（Mobile Station、移動局）とも呼ばれる）３０５は、モバイル無線セルにカバレッジを提供する（言い換えれば動作させる）基地局を介して、コアネットワーク３０２及び他のモバイル端末３０５と通信することができる。

制御データ及びユーザデータは、モバイル端末３０５と、多重アクセス方法に基づきエアーインタフェース３０６を介して基地局３０３によって動作されるモバイル無線セル３０４に配置された基地局３０３との間で送信される。

基地局３０３は、第１のインタフェース３０７、たとえば、Ｘ２インタフェースによって相互に接続される。基地局３０３はまた、第２のインタフェース３０８、たとえば、Ｓ１インタフェースにより、たとえば、ＭＭＥ（Mobility Management Entity）３０９、サービングゲートウエイ（ＳＧＷ）３１０、パケットデータゲートウエイ（ＰＧＷ）３１１、及び、ホーム加入者サーバ（ＨＳＳ）３１２を含む、コアネットワークに接続される。たとえば、ＭＭＥ３０９は、Ｅ−ＵＴＲＡＮのカバレッジエリア内に配置されたモバイル端末の移動性を管理することに関与するが、Ｓ−ＧＷ３１０は、モバイル端末３０５とコアネットワーク３０２の間のユーザデータの送信を取り扱うことに関与する。

図４は、図３の通信システムにおけるアタッチ手順を示すメッセージ流れ図４００を示す。

メッセージの流れは、ＵＥ３０５に対応するＵＥ４０１、ＵＥ３０５にサービスするｅＮＢ３０３に対応するｅＮＢ４０２、デフォルトのＭＭＥ４０３及び専用のＭＭＥ４０４（コアネットワーク３０２の）、専用のＳＧＷ又はパケットデータゲートウエイＰＧＷ４０５（コアネットワーク３０２の）、並びに、ＨＳＳ３１２に対応するＨＳＳ４０６の間で発生する。

４０７において、ＵＥ４０１はアタッチ要求をｅＮＢ４０２に送信する。

４０８において、ｅＮＢ４０２はアタッチ要求をデフォルトのＭＭＥ４０３に転送する。

４０９において、デフォルトのＭＭＥ４０３は、認証情報要求をＨＳＳ４０６に送信する。しかし、実際の認証は実施されずに、認証情報要求は、ＵＥのサブスクリプションプロファイルをＨＳＳ４０６から入手するのに役立つだけである。このプロファイルには、それだけには限定されないが、たとえば、ＵＥの使用タイプ（すなわち、上で説明したＵＥタイプ）、又は、専用のコアネットワークＩＤ、企業ＩＤ、クライアントＩＤ、テナントＩＤ、顧客ＩＤが含まれる。

４１０において、ＨＳＳは認証情報応答（ＵＥ使用タイプを含む）をデフォルトのＭＭＥ４０３に送信する。

４１１において、デフォルトのＭＭＥ４０３は、ＵＥ使用タイプに基づいて（予め構成された又はドメインネームサーバを通して）ＭＭＥ選択を実施し、４１２において、ＮＡＳアタッチ要求、及びリルートパラメータ（たとえば、リルーティングの目標を識別するＭＭＥグループ識別子ＭＭＥＧＩ）を含むことができるリルートＮＡＳメッセージ要求をｅＮＢ４０２に送信する。

４１３において、ｅＮＢ４０２は、最初のＵＥアタッチ要求メッセージを、ＮＡＳアタッチメッセージ及びＭＭＥＧＩを含むことができる専用のＭＭＥ４０４（リルーティングの目標であると想定される）に送信する。

４１４において、専用のＭＭＥ４０４は、ＵＥ（ＨＳＳ４０６を含む）を使用して認証及びＮＡＳセキュリティ設定の両者を実施する。ＮＡＳセキュリティ設定は、専用のＭＭＥとＵＥの間のセキュアな（安全な、secure）通信に使用されるキー（認証キー以外の）のネゴシエーションを含む。

４１５において、専用のＭＭＥ４０４は、認証及びＮＡＳセキュリティ設定に関するＵＥコンテキストを記憶し、ＵＥ４０１に対するＧＵＴＩ（グローバルに一意の一時的な識別子）の割り当てを実施する。

４１６において、専用のＭＭＥ４０４は、４１７で応答されるセッション作成要求をＳＧＷ／ＰＧＷ４０５に送信する。

４１８において、専用のＭＭＥ４０４は、アタッチ受け取りメッセージ（ＧＵＴＩを含む）をｅＮＢ４０２に送信する。次いで、アタッチ手順のさらに先の部分が続くことがあるが、ここでは説明はしない。

以上のように、認証は専用のＭＭＥ４０４によって実施されるので、デフォルトのＭＭＥ４０３に対するＤｏＳ攻撃は専用のＭＭＥ４０４に広まる。

以下において、図５及び図６を参照して、５Ｇ（第５世代）通信システム用の図１のシナリオについてより詳細に説明する。

図５は５Ｇ通信システム５００を示す。

通信システム５００はＵＥ５０１を備え、ＵＥ５０１は、デフォルトの共通ＣＰ機能５０３と、第１のコアネットワークインスタンス（ＣＮＩ（Core Network Instance）、ネットワークスライス又はネットワークスライスインスタンスとも呼ばれる）５０５及び第２のコアネットワークインスタンス（ＣＮＩ）５０６に特有な共通ＣＰ機能５０４とに接続された、第５世代のＲＡＮ５０２と通信することができる。

第１のコアネットワークインスタンス５０５は、たとえば、第１のサービス５０７を提供し、第２のコアネットワークインスタンス５０６は、たとえば、第２のサービス５０８を提供し、各サービスはＵＥ５０１によって使用される。

コアネットワークインスタンス５０６、５０７は、ユーザプレーン機能５０９及びコントロールプレーン機能５１０を含む。

共通ＣＰ機能は、認証機能５１１、モビリティ管理機能５１２、共通ＣＰ選択機能（ＣＣＰＳＦ、Common CP Selection Function）５１３、及び、ネットワークスライス選択機能５１４を含む。

或いは、５Ｇ通信システムは、各ＣＮＩに専用のＣＰ機能５１０を含まなくともよいが、専用のＵＰ機能５０９だけは含む（すなわち、ＣＰ機能５１０は代替の実装形態においては存在しなくともよい）ということに留意されたい。

図６は、図６の通信システムにおけるアタッチ手順（後にセッション管理手順が続く）を示すメッセージ流れ図６００を示す。

メッセージの流れは、ＵＥ５０１に対応するＵＥ６０１、ＲＡＮ５０２のＲＡＮノード６０２、デフォルトの共通ＣＰ機能（Ｃ−ＣＰＦ、Common CP Function）５０３に対応するデフォルトの共通ＣＰ機能６０３、コアネットワークインスタンス５０５及び５０６に特有な共通ＣＰ機能６０４（すなわち、専用のＣ−ＣＰＦ）、第１のＣＮＩ５０５の第１のＣＮＩ ＣＰ機能６０５及び第１のＣＮＩ ＵＦ機能６０６、並びに、第２のＣＮＩ５０６の第２のＣＮＩ ＣＰ機能６０７及び第２のＣＮＩ ＵＦ機能６０８の間で発生する。

６０９において、ＵＥ６０１は、ＲＡＮノード６０２を介してデフォルトのＣ−ＣＰＦ６０３へのネットワーク接続を求める要求を送信する。

６１０において、デフォルトのＣ−ＣＰＦ６０３は、Ｃ−ＣＰＦ選択を実施する。

６１１において、デフォルトのＣ−ＣＰＦ６０３は、ネットワーク接続応答をＲＡＮノード６０２に送信する。

６１２において、ＮＡＳノード選択機能は、ＲＡＮノード６０２で、専用のＣ−ＣＰＦのプールから１つの専用のＣ−ＣＰＦを選択する。

６１３において、ＲＡＮノード６０２は、（選択された）専用のＣ−ＣＰＦ６０４へのネットワーク接続を求めるＵＥの要求を送信する。

６１４において、専用のＣ−ＣＰＦ６０４は、ＵＥに運営者のネットワークに接続する許可を与えるための認証、及び、モバイル端末とのセキュアな通信のためのＮＡＳセキュリティ設定の両方を実施する。

６１５において、専用のＣ−ＣＰＦ６０４は、ＵＥ６０１にＵＥ６０１が運営者のネットワークに接続することが受け入れられたということを知らせる。

これでアタッチ手順６１６は終了し、次にセッション管理手順６１７、６１８が続くことがある。このセッション管理手順は、ＵＥ６０１と担当のＣＮＩ制御機能６０５、６０７との間のＰＤＵセッション要求の交換及び対応する応答を含むことがある。

以上のようにこの場合もやはり、認証は専用のＣ−ＣＰＦ６０４によって実施されるので、デフォルトのＣ−ＣＰＦ６０３へのＤｏＳ攻撃は専用のＣ−ＣＰＦ６０４へと広がる。

図７は、アタッチ要求を専用の共通ＣＰ機能へリルーティングする前に、認証を実施することを含む手法を示す。

図１の場合と同様に、ＵＥ７０１は、アタッチ要求をモバイル通信ネットワーク、特にモバイル通信ネットワークの無線アクセスネットワーク（ＲＡＮ）７０２に送信するものとする。ＲＡＮ７０２は、アタッチ要求をデフォルトの共通ＣＰ機能７０３に転送する。この共通ＣＰ機能７０３は、たとえば、ＵＥのタイプ、及び／又は専用のコアネットワークＩＤ、及び／又は企業ＩＤ、及び／又はクライアントＩＤ、及び／又はテナントＩＤ、及び／又は顧客ＩＤが理由で、ＵＥ７０１に関与することはできない。

しかし、デフォルトの共通ＣＰ７０３は認証を実施し（第１の矢印７０５によって示す）、その認証の後にのみ、専用の共通ＣＰ機能７０４へアタッチ要求をリルートし（第２の矢印７０６によって示す）、この専用の共通ＣＰ機能７０４が、ＵＥ認証及びＮＡＳ（非アクセス層）セキュリティ設定を実施する（第３の矢印７０７によって示す）。

さらに、リルーティングは、ＵＥの認証が実施されたことを専用の共通ＣＰ７０４に示す、認証指示のシグナリング伝達を含む。こうした認証指示は、既に実施されたＵＥの認証の明示的なフラグ、又は、専用の共通ＣＰ７０４へのＵＥの認証コンテキストのどちらかを使用して行うことができる。

図８は、図４のシナリオにおける図７の手法の適用を示すメッセージ流れ図８００を示す。

図４と同様に、メッセージの流れは、ＵＥ８０１、ｅＮＢ８０２、デフォルトのＭＭＥ８０３、専用のＭＭＥ、専用のＳＧＷ８０５、及び、ＨＳＳ８０６の間で発生する。

８０７において、ＵＥ８０１はアタッチ要求をｅＮＢ８０２に送信する。

８０８において、ｅＮＢ８０２はアタッチ要求をデフォルトのＭＭＥ８０３に転送する。

８０９において、デフォルトのＭＭＥ８０３は、ＵＥ８０１の認証を実施（ＵＥ８０１及びＨＳＳ８０６とメッセージを交換する）し、またＵＥのサブスクリプションプロファイル（たとえば、ＵＥの使用タイプ、専用のコアネットワークＩＤ、企業ＩＤ、クライアントＩＤ、テナントＩＤ、顧客ＩＤ）を入手する。８０９の工程にはＮＡＳセキュリティ設定は含まれない。

８１０において、デフォルトのＭＭＥ８０３は、認証に関するＵＥコンテキストを記憶する（すなわち、ＵＥ８０１の認証コンテキスト）。デフォルトのＭＭＥ８０３は、この段階で、ＵＥ８０１に対してＧＵＴＩ割り当てを実施することができる。

８１１において、デフォルトのＭＭＥ８０３は、ＵＥのサブスクリプションプロファイル（たとえば、ＵＥの使用タイプ、専用のコアネットワークＩＤ、企業ＩＤ、クライアントＩＤ、テナントＩＤ、顧客ＩＤ）に基づいて、ＭＭＥ選択を実施する。デフォルトのＭＭＥ８０３は、予め構成されてもよく、又は、ドメインネームサーバを通して専用のＭＭＥを決定してもよい。デフォルトのＭＭＥ８０３は、８１２において、ＮＡＳアタッチ要求、リルートパラメータ（たとえば、リルーティング目標を識別するＭＭＥグループ識別子ＭＭＥＧＩ）、及び、ＵＥ認証がｅＮＢ８０２に対して実施されたことを示す認証フラグを含むことができる、リルートＮＡＳメッセージ要求をｅＮＢ８０２に送信する。この認証フラグにより、専用のＭＭＥ８０４（すなわち、リルーティングの目標）は、専用のＭＭＥはＵＥ認証を再度実施する必要がないことを知ることができる。

さらに、ＧＵＴＩ（利用可能であれば）又はデフォルトのＭＭＥのＩＤ（たとえば、ＧＵＭＭＥＩ（グローバルに一意のＭＭＥアイデンティティ））も、８１２においてメッセージと共に送信される。このＧＵＴＩ又はデフォルトのＭＭＥのＩＤは、リルーティング目標（すなわち、専用のＭＭＥ８０４）が、どのＭＭＥに対して、リルーティング目標が、たとえば、８０９において実施される認証中にデフォルトのＭＭＥ８０３とＵＥ８０１の間で交渉される認証キーを含むＵＥの認証コンテキストをフェッチすべきかについて知ることを可能にするために使用される。

８１３において、ｅＮＢ８０２は、最初のＵＥアタッチ要求メッセージを、ＮＡＳアタッチメッセージ及びＭＭＥＧＩ認証フラグ、並びにＧＵＴＩ（利用可能な場合に）、又はデフォルトのＭＭＥのＩＤ（たとえば、ＧＵＭＭＥＩ）を含むことができる、専用のＭＭＥ８０４に送信する。

８１４において、専用のＭＭＥ８０４は、デフォルトのＭＭＥに対するコンテキスト要求を実施して、ＵＥの認証コンテキストをフェッチする。このコンテキストは８１５のコンテキスト応答メッセージで送信される。

８１６において、専用のＭＭＥ８０４はＵＥ８０１を使用してＮＡＳセキュリティ設定を実施する。図４の手順とは対照的に、専用のＭＭＥ８０４はこの段階ではＵＥ８０１の認証を実施しない。

８１７において、専用のＭＭＥ８０４は、セッション作成要求をＳＧＷ／ＰＧＷ８０５に送信する。これは８１８において応答される。

８１９において、専用のＭＭＥはＵＥ８０１に対してＧＵＴＩ割り当てを実施する。

８２０において、専用のＭＭＥ８０４は、アタッチ受け取りメッセージ（ＧＵＴＩを含む）をｅＮＢ８０２に送信する。次いでアタッチ手順のさらに先の部分が続くことがあるがここでは説明しない。

図９は、図４のシナリオにおける図７の手法の適用を示す、別の代替メッセージ流れ図９００を示す。この代替形態において、図９についての主な相違は、デフォルトのＭＭＥがリルートＮＡＳメッセージ要求中のＵＥ認証コンテキストをｅＮＢ８０２に送信し、認証フラグは送信しないという点である。これに伴って、専用のＭＭＥは、図８の流れ図においては実施されるように、ＵＥ認証フラグをデフォルトのＭＭＥからフェッチする必要はない。

図４と同様に、メッセージの流れは、ＵＥ９０１、ｅＮＢ９０２、デフォルトのＭＭＥ９０３、専用のＭＭＥ、専用のＳＧＷ９０５、及び、ＨＳＳ９０６の間で発生する。

９０７において、ＵＥ９０１はアタッチ要求をｅＮＢ９０２に送信する。

９０８において、ｅＮＢ９０２はアタッチ要求をデフォルトのＭＭＥ９０３に転送する。

９０９において、デフォルトのＭＭＥ９０３は、ＵＥ９０１の認証を実施（ＵＥ９０１及びＨＳＳ９０６とメッセージを交換する）し、またＵＥのサブスクリプションプロファイル（たとえば、ＵＥの使用タイプ、専用のコアネットワークＩＤ、企業ＩＤ、クライアントＩＤ、テナントＩＤ、顧客ＩＤ）を入手する。これにはＮＡＳセキュリティ設定は含まれない。

９１０において、デフォルトのＭＭＥ９０３は、認証に関するＵＥコンテキストを記憶する（すなわち、ＵＥ９０１の認証コンテキスト）。デフォルトのＭＭＥ９０３は、この段階で、ＵＥ９０１に対してＧＵＴＩ割り当てを実施しない。

９１１において、デフォルトのＭＭＥ９０３は、ＵＥのサブスクリプションプロファイル（たとえば、ＵＥの使用タイプ、専用のコアネットワークＩＤ、企業ＩＤ、クライアントＩＤ、テナントＩＤ、顧客ＩＤ）に基づいて、ＭＭＥ選択を実施する。デフォルトのＭＭＥ９０３は、予め構成されてもよく、又は、ドメインネームサーバを通して専用のＭＭＥを決定してもよい。デフォルトのＭＭＥ９０３は、９１２において、ＮＡＳアタッチ要求、リルートパラメータ（たとえば、リルーティング目標を識別するＭＭＥグループ識別子ＭＭＥＧＩ）、及び、ｅＮＢ９０２に対するＵＥの認証コンテキスト（たとえば、ＫＡＳＭＥキー、ＮＡＳカウントを含むＵＥの特定のＮＡＳセキュリティコンテキスト）を含むことができるリルートＮＡＳメッセージ要求をｅＮＢ９０２に送信する。認証コンテキストは、たとえば、認証中にデフォルトのＭＭＥ９０３とＵＥ９０１の間で交渉された認証キーを含むことができる。認証コンテキストは、専用のＭＭＥ９０４（すなわち、リルーティングの目標）に専用のＭＭＥ９０４がＵＥ認証を再度実施する必要がないことを知らせることができる認証フラグを特に含むことができる。

９１３において、ｅＮＢ９０２は、最初のＵＥアタッチ要求メッセージを、ＮＡＳアタッチメッセージ及びＭＭＥＧＩを含むことができ、ＵＥの認証コンテキストを含む専用のＭＭＥ９０４に送信する。

９１４において、専用のＭＭＥ９０４は、ＵＥ９０１を使用してＮＡＳセキュリティ設定を実施する。図４の手順とは対照的に、専用のＭＭＥ９０４はこの段階ではＵＥ９０１の認証は実施しない。

９１５において、専用のＭＭＥ９０４は、セッション作成要求をＳＧＷ／ＰＧＷ９０５に送信する。これは９１６において応答される。

９１７において、専用のＭＭＥはＵＥ９０１に対してＧＵＴＩ割り当てを実施する。

９１８において、専用のＭＭＥ９０４は、アタッチ受け取りメッセージ（ＧＵＴＩを含む）をｅＮＢ９０２に送信する。次いでアタッチ手順のさらに先の部分が続くことがあるがここでは説明しない。

図１０は、図６のシナリオにおける図７の手法の適用を示すメッセージ流れ図１０００を示す。

図６と同様に、メッセージの流れは、ＵＥ１００１及びＲＡＮノード１００２、デフォルトのＣ−ＣＰＦ１００３、専用のＣ−ＣＰＦ１００４、（ある運営者の）モバイル通信ネットワークの、第１のＣＮＩ５０５の第１のＣＮＩ ＣＰ機能１００５及び第１のＣＮＩ ＵＦ機能１００６、並びに、第２のＣＮＩ５０６の第２のＣＮＩ ＣＰ機能１００７及び第２のＣＮＩ ＵＦ機能１００８の間で発生する。

１００９においてＵＥ１００１は、ネットワーク接続を求める要求をＲＡＮノード１００２を経由して、デフォルトのＣ−ＣＰＦ１００３に送信する。

１０１０において、デフォルトのＣ−ＣＰＦ１００３は、運営者のネットワークに接続するための認証及び許可を実施する。これはＵＥのサブスクリプションプロファイル（たとえば、ＵＥの使用タイプ、専用のコアネットワークＩＤ、企業ＩＤ、クライアントＩＤ、テナントＩＤ、顧客ＩＤ）を入手することを含む。ＵＥのサブスクリプションプロファイルを検索することは、図１０には示されていないことに留意されたい。この段階では、ＮＡＳセキュリティ設定は、デフォルトのＣ−ＣＰＦ１００３とＵＥ１００１の間では実施されない。

１０１１において、デフォルトのＣ−ＣＰＦ１００３は、Ｃ−ＣＰＦ選択を実施する。

１０１２において、デフォルトのＣ−ＣＰＦ１００３は、ネットワーク接続応答をＲＡＮノード１００２に送信する。これはリダイレクションパラメータ（たとえば、専用のＣ−ＣＰＦ１００４又は専用のＣ−ＣＰＦ１００４のプールを指定する）及びＵＥ１００１の認証コンテキストを含む。認証コンテキストは、たとえば、認証中にデフォルトのＣ−ＣＰＦ１００３とＵＥ１００１の間で交渉された認証キーを含むことができる。認証コンテキストを有する代わりに、デフォルトのＣ−ＣＰＦ１００３は、専用のＣ−ＣＰＦ１００４（すなわち、リダイレクションの目標）にＵＥ認証を再度実施する必要がないことを知らせることができる認証フラグを特に含むことができる。ネットワーク接続応答は、デフォルトのＣ−ＣＰＦ１００３の識別、又は、ＵＥ１００１の一時的な識別（たとえば、ＵＥのＧＵＴＩ）をさらに含むことができる。

このＧＵＴＩ又はデフォルトのＣ−ＣＰＦ１００３のＩＤは、リルーティング目標（すなわち、専用のＣ−ＣＰＦ１００４）が、どのＣ−ＣＰＦに対して、リルーティング目標が、たとえば、１０１０において実施される認証中にデフォルトのＣ−ＣＰＦ１００３とＵＥ１００１の間で交渉される認証キーを含むＵＥの認証コンテキストをフェッチすべきかについて知ることを可能にするために使用される。

１０１３において、ＮＡＳノード選択機能が、ＲＡＮノード１００２で専用のＣ−ＣＰＦのプールから１つの専用のＣ−ＣＰＦを選択する。

１０１４において、ＲＡＮノード１００２は、ＵＥのネットワーク接続を求める要求を（選択された）専用のＣ−ＣＰＦ１００４に送信する。これはリダイレクションパラメータを含むことができ、ＵＥの認証コンテキストを含む。これはデフォルトのＣ−ＣＰＦ１００３の識別、又は、ＵＥ１００１の一時的な識別、たとえば、ＵＥのＧＵＴＩをさらに含むことができる。ＵＥ１００１の一時的な識別は、デフォルトのＣ−ＣＰＦ１００３がＵＥの一時的な識別の割り当てを実施した場合にのみ利用可能であることに留意されたい。

１０１４において、専用のＣ−ＣＰＦ６０４は、運営者のネットワークに接続するために、認証及び許可の両方を実施する。

１０１５において、専用のＣ−ＣＰＦ１００５は、ＵＥ１００１を使用してＮＡＳセキュリティ設定を実施する。専用のＣ−ＣＰＦ１００５は、この段階ではＵＥ１００１の認証は実施しない。

１０１６において、専用のＣ−ＣＰＦ１００４は、ＵＥ１００１にＵＥ１００１が運営者のネットワークに接続していることは認められてきたことを通知する。

これでアタッチ手順１０１７は終了し、次にセッション管理手順１０１８、１０１９が続くことがある。このセッション管理手順は、ＵＥ１００１と担当のＣＮＩ制御機能１００５、１００７との間のＰＤＵセッション要求の交換及び対応する応答を含む。

図１１は、最初のアクセス手順において図７の手法の別の適用を示すメッセージ流れ図１１００を示す。

メッセージの流れは、ＵＥ１１０１、ＲＡＮ１１０２、デフォルトの共通コントロールプレーン機能（ここでは共通コントロールネットワーク機能（ＣＣＮＦ、Common Control Network Function）１１０３として示されている）、及び、サービングＣＣＮＦ１１０４の間で発生する。

１１０５において、ＵＥ１１０１はアタッチ要求をＲＡＮ１１０２に送信する。これは、ＩＭＳＩ（International Mobile Subscriber Identity、国際移動加入者識別番号）、又は、一時的な識別番号、及び、ネットワークスライスインスタンス選択用の要求されたＭＤＤ（Multi-Dimensional Descriptor、多次元記述子）を含むことができる。

１１０６において、ＲＡＮ１１０２は、アタッチ要求をデフォルトのＣＣＮＦ１１０３に転送する。

１１０７において、デフォルトのＣＣＮＦ１１０３は、ＵＥ１１０１の認証を含むセキュリティ手順を実施する。

１１０８において、デフォルトのＣＣＮＦ１１０３は、ＵＥのサブスクリプションをチェックし、対応するネットワークスライスインスタンスを選択する。

１１０９において、デフォルトのＣＣＮＦ１１０３は、アタッチ要求をサービングＣＣＮＦ１１０４に転送する。これは、ＵＥのＩＭＳＩ、受け取られたＭＤＤ、及びＵＥのＭＭコンテキスト、並びに、１１０７における認証のＵＥの認証コンテキストの送信を含む。

１１１０において、サービングＣＣＮＦ１１０４は、ネットワークスライスインスタンス選択を実施する。

１１１１において、サービング１１０４は、アタッチ受け取り（一時的なＩＤ及び受け取られたＭＤＤを含む）をデフォルトのＣＣＮＦ１１０３に送信する。このアタッチ受け取りは１１１２においてＲＡＮ１１０２に、及び、１１１３においてＵＥに転送される。

要約すれば、様々な実装形態にしたがって、モバイル無線通信ネットワークへのモバイル端末の接続を確立するための方法が、図１２に示すように提供される。

図１２は流れ図１２００を示す。

１２０１において、モバイル無線通信ネットワークの第１の共通コントロールプレーン機能は、モバイル端末から接続要求を受信する。

１２０２において、第１の共通コントロールプレーン機能は、モバイル端末の認証コンテキストを生成することを含め、モバイル端末を認証する。

１２０３において、第１の共通コントロールプレーン機能は、接続要求を転送し、モバイル端末の認証コンテキスト、又は、認証が第１の共通コントロールプレーン機能によって既に実施されたことを示す認証フラグを、モバイル無線通信ネットワークの第２の共通コントロールプレーン機能に送信する。

１２０４において、第２の共通コントロールプレーン機能は、モバイル端末をモバイル無線通信ネットワークに接続する。

言い換えれば、様々な実装形態にしたがって、第１の共通コントロールプレーン機能はモバイル端末の認証を実施し、モバイル端末の認証コンテキスト又は認証フラグのどちらかを、モバイル端末の接続要求（たとえば、アタッチ要求）を扱う第２の共通コントロールプレーン機能に転送する。第２の共通コントロールプレーン機能が、認証フラグを第１の共通コントロールプレーン機能から受け取った場合には、第２の共通コントロールプレーン機能は、認証コンテキストを第１の共通コントロールプレーン機能からフェッチする。第２の共通コントロールプレーン機能は、たとえば、特にモバイル端末用のＮＡＳセキュリティ設定を取り扱う。

言い換えれば、ＵＥ認証及びＮＡＳセキュリティ設定は、異なる共通ＣＰ機能（すなわち、異なるネットワークノード、たとえば、異なるＭＭＥで）で実施される。

第１の共通コントロールプレーン機能は、第２の共通コントロールプレーン機能に、たとえば、パラメータ又は認証コンテキストを用いて、リダイレクションの後にモバイル端末認証、すなわち、接続要求の転送を実施しないように指示することができる。

第１の共通コントロールプレーン機能で認証を実施することにより、セキュリティ攻撃（たとえば、サービス妨害攻撃）が広がること、及び、ネットワークにおいて不必要なＣＰシグナリングが発生することが阻止される。

認証コンテキストは、モバイル端末の識別情報、モバイル端末の状態情報及びモード情報、並びに、ＵＥがたとえばハンドオーバ後のネットワークで（再度）認証できるようにする認証キーといった様々な情報を含むことができる。

第１の共通コントロールプレーン機能及び第２の共通コントロールプレーン機能は、直接又は無線アクセスネットワークを介して通信することができる。

第１の共通コントロールプレーン機能は、一実装形態によれば、リルートメッセージに認証フラグ（認証コンテキストではなく）のみを示すことができる。第２の共通コントロールプレーン機能が、他の情報（たとえばＧＵＴＩ）と共に認証フラグを受信すると、第２の共通コントロールプレーン機能は、モバイル端末の認証コンテキストを第１の共通コントロールプレーン機能からフェッチする。リルートメッセージにＧＵＴＩを組み込んだ理由は、第２の共通コントロールプレーン機能が、どちらの共通コントロールプレーン機能がＵＥを認証した機能であるか知ることができるようにすることである。この状況においてＧＵＴＩの可能な代替物はＧＵＭＭＥＩである。ＧＵＭＭＥＩの場合のみ、第２の共通コントロールプレーン機能は、リルートメッセージと共に送信されている、ＮＡＳアタッチ要求内のＩＭＳＩを調査する。

共通コントロールプレーン機能の「共通」という用語は、コントロールプレーン機能が複数のコアネットワークインスタンス（又はスライス）に関与する、すなわち、複数のコアネットワークインスタンスに共通であるということを指すと理解することができる。言い換えれば、共通コントロールプレーン機能の「共通」という用語は、慣習的なという意味を含ませようとするものではない。

図１２の方法は、たとえば、図１３に示すように、通信ネットワークデバイス（たとえば、通信ネットワーク構成要素）によって実行することができる。

図１３は通信ネットワークデバイス１３００を示す。

通信ネットワークデバイス１３００は、モバイル無線通信ネットワークの第１の共通コントロールプレーン機能を実装するように構成されている。

通信ネットワークデバイス１３００は、接続要求をモバイル端末から受信するように構成された受信器１３０１、及び、モバイル端末の認証コンテキストを生成することを含む、モバイル端末を認証するように構成された認証機能１３０２を備える。

さらに、通信ネットワークデバイス１３００は、接続要求を転送し、モバイル端末の認証コンテキストをモバイル無線通信ネットワークの第２の共通コントロールプレーン機能に送信するように構成された送信器１３０３を備える。

様々な実施例を以下に記載する。

実施例１は、図１２に示すように、モバイル無線通信ネットワークへのモバイル端末の接続を確立するための方法である。

実施例２は、第１の共通コントロールプレーン機能が、モバイル端末のサブスクリプションプロファイルに基づいて接続要求を転送する、実施例１の方法である。

実施例３は、モバイル端末をモバイル無線通信ネットワークに接続することが、モバイル端末にモバイル無線通信ネットワークへの接続が許可されるということを知らせることを含む、実施例１又は２の方法である。

実施例４は、モバイル端末をモバイル無線通信ネットワークに接続することが、モバイル端末とのセキュアな通信を設定することを含む、実施例１〜３のいずれか１つの方法である。

実施例５は、モバイル端末用の通信セッションをモバイル無線通信ネットワークを介して設定する、第２の共通コントロールプレーン機能をさらに含む、実施例１〜４のいずれか１つの方法である。

実施例６は、接続要求がアタッチ要求である、実施例１〜５のいずれか１つの方法である。

実施例７は、認証コンテキストが認証キーを含む、実施例１〜６のいずれか１つの方法である。

実施例８は、認証キーによりＵＥがハンドオーバ後のネットワークで認証することが可能となる、実施例７の方法である。

実施例９は、認証コンテキストが、ＵＥ認証は既に実施済みであることを示す、実施例１〜８のいずれか１つの方法である。

実施例１０は、認証コンテキストが、接続要求の転送にともない送信される、実施例１〜９のいずれか１つの方法である。

実施例１１は、接続要求が、認証コンテキストを含む転送されたアタッチ要求メッセージにより、第１の共通コントロールプレーン機能から第２の共通コントロールプレーン機能へ転送される、実施例１〜１０のいずれか１つの方法である。

実施例１２は、第１の共通コントロールプレーン機能及び第２の共通コントロールプレーン機能のそれぞれが、モバイル端末認証機能、モビリティ管理機能、共通コントロールプレーン機能選択機能、及び、ネットワークスライス選択機能のうちの少なくとも１つを含む、実施例１〜１１のいずれか１つの方法である。

実施例１３は、モバイル無線通信ネットワークが無線アクセスネットワーク及びコアネットワークを備え、コアネットワークが第１の共通コントロールプレーン機能及び第２の共通コントロールプレーン機能を含む、実施例１〜１２のいずれか１つの方法である。

実施例１４は、第１の共通コントロールプレーン機能が、接続要求を無線アクセスネットワークを介して第２の共通コントロールプレーン機能に転送するように構成された、実施例１〜１３のいずれか１つの方法である。

実施例１５は、第１の共通コントロールプレーン機能が、モバイル端末を認証したという指示を第２の共通コントロールプレーン機能に送信し、第２の共通コントロールプレーン機能が、第１の共通コントロールプレーン機能から認証コンテキストを要求する、実施例１〜１４のいずれか１つの方法である。

実施例１６は、指示が認証フラグである、実施例１５の方法である。

実施例１７は、図１３に示したような通信ネットワークデバイスである。

別の実施例によれば、ＵＥアタッチ要求を、専用のコアネットワーク、又は、運営者のネットワーク（ＮＷ）の専用のネットワークスライスにリダイレクションする方法が提供される。この方法は、
運営者のネットワークにアタッチする要求をＵＥから受信すること、
第１のＣＰ（コントロールプレーン）構成要素（たとえばＣＰＦ）によってＵＥを認証し、その後、専用のコアネットワーク又はそのＵＥに適した専用のＮＷスライスを決定すること、
ＵＥのサブスクリプションプロファイルを考慮に入れることにより、どちらのコアネットワーク又はＮＷスライスがＵＥに適切か決定すること、
ＵＥアタッチ要求を、専用のコアネットワーク又は専用のＮＷスライスに配置された、第２のＣＰ構成要素（たとえばＣＰＦ）にリルーティングすること、
リルートされたＵＥアタッチ要求中のＵＥの認証コンテキストを示すこと、
リルートされたＵＥアタッチ要求を受信した後で、ＵＥと第２のＣＰ機能間のセキュリティコンテキストを設定すること
を含む。

モバイル無線通信ネットワークへのモバイル端末の接続を確立するための方法の文脈において説明した諸実施例は、ＵＥアタッチ要求を通信ネットワークデバイスにリダイレクションする方法に類似的にあてはまり、逆もまた同じであることに留意されたい。

通信ネットワークデバイスの構成要素（たとえば、受信器、認証機能、及び送信器）は、たとえば、１つ又は複数の回路によって実装することができる。「回路」は任意の種類の論理を実装するエンティティとして理解することができ、メモリ、ファームウェア、又はそれらの任意の組合せに記憶されたソフトウェアを実行する、特定目的の回路又はプロセッサとすることができる。このように、「回路」はハードワイヤード論理回路、又は、プログラマブルプロセッサ、たとえばマイクロプロセッサといったプログラマブル論理回路とすることができる。「回路」はまた、ソフトウェア、たとえば任意の種類のコンピュータプログラムを実行するプロセッサとすることができる。以下でより詳細に説明される各機能の任意の他の実装形態も、「回路」として理解することができる。

共通コントロールプレーン機能は、必ずしも異なる物理デバイス、たとえば異なるサーバコンピュータによって実装する必要はなく、たとえば同一のコンピューティングデバイスによって実装することができるということにさらに留意されたい。

特定の態様を説明してきたが、当業者においては、形式及び細部の様々な変更を、添付の特許請求の範囲によって定義された本開示の態様の趣旨及び範囲から逸脱することなく、行うことができることを理解すべきである。したがって、範囲は添付の特許請求の範囲によって示され、特許請求の範囲と同等の意味及び範囲に係るすべての変更は、それゆえ、包含されることとしている。

Claims (10)

1. モバイル無線通信ネットワークの第１の共通コントロールプレーン機能が、モバイル端末から接続要求を受信するステップと、
   前記第１の共通コントロールプレーン機能が、前記モバイル端末の認証コンテキストを生成することを含む、前記モバイル端末を認証するステップと、
   前記第１の共通コントロールプレーン機能が、前記接続要求に加え、前記モバイル端末が認証されたことを示す認証フラグであって前記モバイル無線通信ネットワークの第２の共通コントロールプレーン機能が前記モバイル端末を再度認証する必要がない旨を示す認証フラグを前記第２の共通コントロールプレーン機能に送信するステップと、
   前記第２の共通コントロールプレーン機能が、前記認証フラグを前記第１の共通コントロールプレーン機能から受信した場合に、前記認証コンテキストを前記第１の共通コントロールプレーン機能から取得するステップと、
   前記第２の共通コントロールプレーン機能が、前記モバイル端末を前記モバイル無線通信ネットワークに接続するステップであって、前記第２の共通コントロールプレーン機能が、前記認証コンテキストを前記第１の共通コントロールプレーン機能から取得した場合には、前記モバイル端末を再度認証せずに前記モバイル端末を前記モバイル無線通信ネットワークに接続する、ステップと、
   を含む、モバイル無線通信ネットワークへのモバイル端末の接続を確立するための方法。
2. 前記第１の共通コントロールプレーン機能が、前記モバイル端末のサブスクリプションプロファイル（subscription profile）に基づいて前記接続要求を送信する、請求項１に記載の方法。
3. 前記モバイル端末を前記モバイル無線通信ネットワークに接続するステップが、前記モバイル端末が前記モバイル無線通信ネットワークへ接続することを許可されていることを前記モバイル端末に知らせるステップを含む、請求項１又は２に記載の方法。
4. 前記モバイル端末を前記モバイル無線通信ネットワークに接続するステップが、前記モバイル端末とのセキュアな（secure）通信を設定するステップを含む、請求項１〜３のいずれか一項に記載の方法。
5. 前記第２の共通コントロールプレーン機能が、前記モバイル端末の通信セッションを前記モバイル無線通信ネットワークを介して設定するステップをさらに含む、請求項１〜４のいずれか一項に記載の方法。
6. 前記接続要求がアタッチ要求である、請求項１〜５のいずれか一項に記載の方法。
7. 前記認証コンテキストが認証キーを含む、請求項１〜６のいずれか一項に記載の方法。
8. 前記認証キーにより、ＵＥがハンドオーバ後にネットワークで認証することが可能となる、請求項７に記載の方法。
9. 前記認証コンテキストが、ＵＥ認証は既に実施済みであることを示す、請求項１〜８のいずれか一項に記載の方法。
10. 前記第１の共通コントロールプレーン機能及び前記第２の共通コントロールプレーン機能のそれぞれが、モバイル端末認証機能、モビリティ管理機能、共通コントロールプレーン機能選択機能、及び、ネットワークスライス選択機能のうちの少なくとも１つを含む、請求項１〜９のいずれか一項に記載の方法。