FI111900B

FI111900B - Apparatus for forming a communication network interface

Info

Publication number: FI111900B
Application number: FI20001622A
Authority: FI
Inventors: Sami Ala-Luukko; Mika Julkunen; Petri Timonen
Original assignee: Sonera Oyj
Priority date: 2000-07-07
Filing date: 2000-07-07
Publication date: 2003-09-30
Also published as: FI20001622A; FI20001622A0

Description

111900111900

Laitteisto tietoliikenneverkon rajapinnan muodostamiseksi Tämä keksintö liittyy matkaviestinverkkoihin ja erityisesti liikenteen hallintaan niissä.The present invention relates to mobile communication networks and, in particular, to traffic management therein.

5 Aikaisemmin tunnetaan esimerkiksi GSM-järjestelmässä (Global5 Formerly known, for example, in the GSM system (Global

System for Mobile Communication) ratkaisu, jossa matkaviestinverkon tilaajilla on käytössään lyhytsanomapalvelu, joka mahdollistaa korkeintaan 160 merkkiä pitkien lyhytsanomien vastaanottamisen ja lähettämisen. Tämä palvelu toteutetaan lyhytsanomakeskuksen avulla. Matkaviestimestä lähtevässä (MO = 10 Mobile Originated) liikenteessä verkko vastaanottaa ja tallentaa lyhytsanoman lyhytsanomakeskukseen. Matkaviestimeen päättyvässä (MT = Mobile Terminated) liikenteessä verkko lähettää lyhytsanomakeskukseen tallennetun lyhytsanoman edelleen vastaanottavalle matkaviestimelle. Lyhytsanomakeskuksen ja matkapuhelinkeskuksen väliseen signalointiin käytetään yleisesti SS7-signa-15 lointia (Signalling System no 7), joka on televerkon merkinantojärjestelmä. On mahdollista, että erillinen palveluoperaattori tarjoaa lyhytsanomapalvelua verkko-operaattorin ylläpitämässä matkaviestinverkossa. Tällöin palveluoperaattori voi esimerkiksi vuokrata määrätyn verkkokapasiteetin käyttöönsä.System for Mobile Communication) solution, where mobile network subscribers have a short message service that allows receiving and sending short messages up to 160 characters in length. This service is implemented through the Short Message Service Center. In mobile outgoing (MO = 10 Mobile Originated) traffic, the network receives and stores a short message in a short message center. In mobile terminating (MT = Mobile Terminated) traffic, the network forwards the short message stored in the short message center to the receiving mobile station. Signaling system SS7-Signa-15 (Signaling System no 7), which is a signaling system for the telecommunications network, is commonly used for signaling between the short message service center and the mobile services switching center. It is possible that a separate service operator will provide short message service in the mobile network maintained by the network operator. In this case, the service operator may, for example, lease specific network capacity for use.

Ongelmana yllä kuvatussa ratkaisussa on, että verkko-operaattori ei 20 pysty kontrolloimaan mihin matkaviestintilaaja saa lähettää lyhytsanomia, min-ΎΊ kä tyyppisiä lyhytsanomia verkossa lähetetään tai kuinka paljon lyhytsanoma- : liikennettä esiintyy. Verkko-operaattorin signalointiverkon rajapinta on siksi täl- •: * tä osin käytännössä avoin. Tämä ei ole turvallisuuden kannalta toivottava tilan- ne. Sama tilanne koskee myös muuta matkaviestinverkon liikennettä, eli on-25 gelma ei rajoitu pelkästään lyhytsanomapalveluun.The problem with the solution described above is that the network operator 20 cannot control where the mobile subscriber is allowed to send short messages, what types of short messages are sent in the network, or how much short message traffic occurs. The signaling network interface of the network operator is, therefore, * practically open. This is not a desirable security situation. The same situation applies to other mobile network traffic, i.e. the on-25 problem is not limited to short message service.

* ·* ·

Keksinnön tavoitteena on ratkaista yllä mainitut ongelmat tarjoamal- , la käyttöön ratkaisu, jossa verkko-operaattorilla on mahdollisuus valvoa signa- γ;’ lointiverkon rajapintaa ja rajapinnan yli tapahtuvaa liikennettä. Tämä tavoite • · '·;· saavutetaan laitteistolla tietoliikenneverkon rajapinnan muodostamiseksi siten, : 30 että rajapinnan läpi kulkeva liikenne on rajoitettavissa, laitteiston käsittäessä: välineitä mainittuun laitteistoon tiedonsiirtoyhteydessä olevaan tietokantaan tallennettujen reititystietojen tarkistamiseksi, välineitä verkko-operaattorin hal-•;,:t litseman verkkoelementin ja palveluoperaattorin hallitseman verkkoelementin ’· : välisen signaloinnin sallimiseksi tai hylkäämiseksi mainittuun tietokantaan tal- 35 lennettujen reititystietojen perusteella, ja välineitä mainittujen reititystietojen 2 111900 perusteella sallitun liikenteen reitittämiseksi seuraavalle verkkoelementille. Mainitulle laitteistolle on tunnusomaista, että laitteisto käsittää ensimmäisen SS7-protokollapinon, jonka välityksellä rajapintalaitteisto on kytketty ensimmäiseen SS7-signalointiverkkoon ja edelleen verkko-operaattorin verkkoele-5 menttiin, ja toisen SS7-protokollapinon, jonka kautta rajapintalaitteisto on kytketty toiseen SS7-signalointiverkkoon ja edelleen palveluoperaattorin verkkoelementtiin.The object of the invention is to solve the above problems by providing a solution in which the network operator has the possibility to monitor the interface of the signaling network and the traffic over the interface. This object is achieved by the apparatus for establishing an interface of a communication network such that traffic through the interface can be restricted, the apparatus comprising: means for checking routing information stored in a database communicating with said apparatus, means licensed by the network operator; means for allowing or denying signaling between the network element and the network element managed by the service operator based on the routing information stored in said database, and means for routing traffic allowed to said next network element based on said routing information 2 111900. Said apparatus is characterized in that the apparatus comprises a first SS7 protocol stack through which the interface equipment is connected to the first SS7 signaling network and further to the network operator network element 5, and a second SS7 protocol stack through which the interface equipment is connected to the second SS7 signaling network. the network element.

Käsitteellä verkko-operaattori tarkoitetaan tässä televerkkoa ylläpitävää ja teleyhteyksiä tarjoavaa organisaatiota, joka voi tarjota yhteyksiä sekä 10 palveluntarjoajille että suoraan käyttäjille. Käsitteellä palveluoperaattori tarkoitetaan tässä käyttäjille tietoliikennepalveluita tarjoavaa organisaatiota. Sama organisaatio voi toimia sekä verkko-operaattorina että palveluoperaattorina, joten käytännössä keksinnössä esitetyt verkkoelementit, joiden välistä liikennettä hallitaan, voi olla saman organisaation tai eri organisaatioiden omista-15 mat.The term "network operator" refers to an organization that maintains a telecommunications network and provides telecommunications connections that can provide connections to both 10 service providers and direct users. The term "service operator" is used herein to mean an organization providing telecommunications services to users. The same organization can act as both a network operator and a service operator, so in practice, the network elements between which traffic is disclosed in the invention may be owned by the same organization or by different organizations.

Keksinnön kohteena on edelleen matkaviestinjärjestelmä, joka käsittää ainakin verkko-operaattorin hallitsemia verkkoelementtejä yhteyksien muodostamiseksi, palveluoperaattorin hallitseman verkko-elementin palvelun tarjoamiseksi, verkko-operaattorin verkkoelementtiin ja palveluoperaattorin 'i 20 verkkoelementtiin tiedonsiirtoyhteydessä olevan rajapintalaitteiston tietoliiken-• neverkon rajapinnan muodostamiseksi, ja rajapintalaitteistoon tiedonsiirtoyh teydessä olevan tietokannan, johon on tallennettu verkossa välitettävää liiken-: nettä koskevia reititystietoja, jolloin rajapintalaitteisto käsittää: välineitä tieto- kantaan tallennettujen reititystietojen tarkistamiseksi, välineitä matkaviestin-; 25 verkon verkko-operaattorin hallitseman verkkoelementin ja palveluoperaattorin hallitseman verkkoelementin välisen signaloinnin sallimiseksi tai hylkäämiseksi • a mainittuun tietokantaan tallennettujen reititystietojen perusteella, ja välineitä mainittujen reititystietojen perusteella sallitun liikenteen reitittämiseksi seuraa- » ; · ‘ valle verkkoelementille. Mainitulle matkaviestinjärjestelmälle on tunnusomais- 30 ta, että järjestelmä käsittää: kaksi erillistä SS7-signalointiverkkoa siten, että verkko-operaattorin verkkoelementti ja rajapintalaitteisto on kytketty toisiinsa \ ensimmäisen SS7-signalointiverkon välityksellä ja palveluoperaattorin verk- ; koelementti ja rajapintalaitteisto on kytketty toisiinsa toisen SS7-signalointiver- • kon välityksellä, ja rajapintalaitteisto käsittää ensimmäisen SS7-protokolla- 35 pinon, jonka välityksellä rajapintalaitteisto on kytketty ensimmäiseen SS7-sig- 3 111900 nalointiverkkoon ja toisen SS7-protokollapinon, jonka kautta rajapintalaitteisto on kytketty toiseen SS7-signalointiverkkoon.The invention further relates to a mobile communication system comprising at least network elements managed by a network operator for establishing a connection, providing a service element managed by a service operator, interfacing with a data communication interface of an interface device communicating with a network operator network element and a service operator a database storing routing information about traffic transmitted over the network, the interface equipment comprising: means for checking routing information stored in the database, means for mobile communication; 25 to allow or deny signaling between the network element managed by the network operator and the network element managed by the service operator, a based on the routing information stored in said database, and means for routing traffic allowed on the basis of said routing information; · 'Network element. Said mobile communication system is characterized in that the system comprises: two separate SS7 signaling networks such that the network element and the interface equipment of the network operator are interconnected via the first SS7 signaling network and the network of the service operator; the test element and the interface equipment are interconnected via a second SS7 signaling network, and the interface equipment comprises a first SS7 protocol stack through which the interface equipment is connected to a first SS7 signaling network and a second SS7 protocol stack through which the interface is connected. to another SS7 signaling network.

Keksinnön ajatuksena on verkko-operaattorin verkon erottaminen esimerkiksi palveluoperaattorin verkosta siten, että palveluoperaattorin verk-5 koelementti voidaan liittää verkko-operaattorin verkkoon verkko-operaattorin hallitseman rajapinnan kautta. Palveluoperaattori voi tällä tavalla tarjota palvelujaan asiakkailleen verkko-operaattorin kautta. Teknisesti tämä voi tarkoittaa sitä, että normaalien matkaviestinverkon elementtien väliin lisätään palomuuri-komponentti, joka tekee reititystä ja tarkistaa, onko liikenteen välitys kohde-10 osoitteeseen kulloinkin sallittua. Tällä saavutetaan se etu, että verkko-operaattori voi rajoittaa liikennettä tarpeen mukaan eri parametrien avulla siten, että palvelu säilyy turvallisena ja laadukkaana. Verkko-operaattorin signalointiverk-ko ei tällöin ole avoin eli esimerkiksi palveluoperaattorilla ei ole suoraa pääsyä tilaajatietoihin. Keksinnössä hyödynnetään kahta erillistä SS7-signalointiverk-15 koa ja kahta protokollapinoa. Tämän toteutuksen etuna on, että palveluoperaattori on selkeästi erotettu verkko-operaattorin SS7-verkosta, koska molemmilla on omat verkkonsa.The idea of the invention is to separate the network of the network operator from the network of the service operator, for example, so that the test element of the service operator network 5 can be connected to the network of the network operator via an interface controlled by the network operator. In this way, the service provider can provide its services to its customers through the network operator. Technically, this may mean adding a firewall component between normal elements of the mobile network to perform routing and check whether traffic to the destination address is allowed at any given time. This provides the advantage that the network operator can limit traffic by using different parameters as needed, while maintaining a secure and quality service. The signaling network of the network operator is then not open, i.e., for example, the service operator does not have direct access to subscriber data. The invention utilizes two separate SS7 signaling networks and two protocol stacks. The advantage of this implementation is that the service operator is clearly separated from the network operator's SS7 network, since both have their own networks.

Eräässä keksinnön mukaisen rajapintalaitteiston ensimmäisessä edullisessa suoritusmuodossa rajapintalaitteisto käsittää välineitä sallitun vas-: 20 taanottajan tarkistamiseksi tietokannan reititystiedoista. Tämä merkitsee, että : voidaan valvoa esimerkiksi, mitä lyhytsanomakeskusta kukin käyttäjä saa käyt- ,: tää tai esimerkiksi sitä, ovatko ulkomaille lähetettävät lyhytsanomat sallittuja.In a first preferred embodiment of the interface apparatus according to the invention, the interface apparatus comprises means for verifying an authorized recipient from database routing information. This means that, for example, it is possible to control, for example, which short message center each user can use, or, for example, whether short messages sent abroad are allowed.

: Eräässä keksinnön mukaisen rajapintalaitteiston toisessa edullises- : sa suoritusmuodossa laitteisto käsittää välineitä sanoman sallitun muodon tar- 25 kistamiseksi tietokannan reititystiedoista. Tällä tavalla voidaan esimerkiksi rajata palveluoperaattorin käyttämä signalointi tiettyihin ennalta sovittuihin merkinantosanomiin.In another preferred embodiment of the interface apparatus according to the invention, the apparatus comprises means for verifying the allowed format of the message from the database routing information. This way, for example, the signaling used by the service operator can be limited to certain pre-agreed signaling messages.

Eräässä keksinnön mukaisen rajapintalaitteiston kolmannessa edullisessa suoritusmuodossa laitteisto käsittää välineitä ennalta määrätyn liiken-30 teen määrän ylärajan tarkistamiseksi tietokannan reititystiedoista ja mainitun ylärajan ylittävän liikenteen hylkäämiseksi. Tästä voi olla hyötyä esimerkiksi silloin, jos verkko-operaattori ja palveluoperaattori tekevät lisenssisopimuksen, joka oikeuttaa määrätyn verkkokapasiteetin käyttöön.In a third preferred embodiment of the interface apparatus according to the invention, the apparatus comprises means for checking a predetermined amount of traffic from the database routing information and rejecting traffic exceeding said upper bound. This may be useful, for example, if a network operator and service operator enter into a license agreement that entitles them to use specific network capacity.

Eräässä keksinnön mukaisen rajapintalaitteiston neljännessä edulli-35 sessa suoritusmuodossa laitteisto käsittää välineitä reititystietojen tarkistami- 4 111900 seksi tietokannasta lähettäjän tilaajanumeron perusteella. Tällöin lähettävän tilaajan tietokantatietoihin on tallennettu esimerkiksi sallitut kohdeosoitteet ja sallittu sanoman muoto. Reititystiedot voidaan tallentaa ja tarkistaa myös muiden parametrien tai bittien tai niiden yhdistelmien avulla.In a fourth preferred embodiment of the interface apparatus according to the invention, the apparatus comprises means for checking routing information from a database based on the sender's subscriber number. In this case, for example, the authorized destination addresses and the allowed message format are stored in the database of the sending subscriber. The routing data can also be stored and checked using other parameters or bits or combinations thereof.

5 Eräässä keksinnön mukaisen matkaviestinjärjestelmän ensimmäi sessä edullisessa suoritusmuodossa reititystietoja sisältävä tietokanta on tilaa-jakohtainen. Eräässä keksinnön mukaisen matkaviestinjärjestelmän toisessa edullisessa suoritusmuodossa reititystietoja sisältävä tietokanta on palveluope-raattorikohtainen. Eräässä keksinnön mukaisen matkaviestinjärjestelmän kol-10 mannessa edullisessa suoritusmuodossa reititystietoja sisältävä tietokanta on sanomakohtainen. Nämä erilaiset tietokannan toteutustavat antavat mahdollisuuden tallentaa matkaviestinverkon liikenteeseen liittyviä reititystietoja selkeällä ja kuhunkin palveluun parhaiten sopivalla tavalla. Tietokanta voi kaikissa näissä tapauksissa sisältää tietoja esimerkiksi siitä, mihin liikenteen reititys on 15 sallittua ja kuka saa olla sen lähettäjänä.In a first preferred embodiment of the mobile communication system of the invention, the database containing routing information is space-dependent. In another preferred embodiment of the mobile communication system of the invention, the database containing routing information is service provider specific. In a third preferred embodiment of the mobile communication system according to the invention, the database containing routing information is message-specific. These various database implementations allow you to store routing information related to mobile network traffic in a clear and best-suited manner for each service. In all these cases, the database may include information such as where traffic routing is allowed and who may be sending it.

Edelleen eräässä keksinnön mukaisen matkaviestinjärjestelmän edullisessa suoritusmuodossa järjestelmän rajapintalaitteisto käsittää kaksi erilleen sijoitettavaa verkkoelementtiä, jotka ovat tiedonsiirtoyhteydessä toisiinsa ja joista ensimmäinen osa on kytketty ensimmäisen SS7-protokollapi-20 non välityksellä ensimmäiseen SS7-signalointiverkkoon ja toinen osa on kyt-,; ketty toisen SS7-protokollapinon välityksellä toiseen SS7-signalointiverkkoon.In a further preferred embodiment of the mobile communication system according to the invention, the system interface equipment comprises two spaced network elements which are in communication with each other, the first part being connected to the first SS7 signaling network and the second part being connected; via a second SS7 protocol stack to another SS7 signaling network.

Tämän toteutuksen etuna on, että verkko-ja palveluoperaattorin osat rajapin-• talaitteistosta voidaan tarvittaessa siirtää hyvinkin kauaksi toisistaan. Rajapin- , ·. talaitteiston osat voivat olla yhteydessä toisiinsa esimerkiksi TCP/IP (Trans- * · , ’t 25 mission Control Protocol / Internet Protocol) yhteydellä.The advantage of this implementation is that the network and service operator parts of the interface equipment can, if necessary, be moved very far apart. Boundary, ·. hardware components may communicate with one another through, for example, TCP / IP (Trans- *, Mission Control Protocol / Internet Protocol).

Keksinnön mukaisen rajapintalaitteiston ja matkaviestinjärjestelmän ,, , edulliset suoritusmuodot ilmenevät oheisista epäitsenäisistä patenttivaatimuk- * » » ; sista.Preferred embodiments of the interface device and the mobile communication system ,, according to the invention are apparent from the appended dependent claims; Sista.

Keksintöä selostetaan seuraavassa esimerkinomaisesti lähemmin : 30 viittaamalla oheisiin kuvioihin, joista: kuviot 1A ja 1B esittävät lohkokaavioita keksinnön mukaisesta järjestelmästä ja kuvaavat järjestelmän toiminnallisuutta lyhytsanomapalvelun ; : tapauksessa, • · 5 111900 kuvio 2 esittää signalointikaaviota keksinnön mukaisen järjestelmän verkkoelementtien välisestä signaloinnista lyhytsanomapalvelun tapauksessa, ja kuviot 3-5 esittävät lohkokaavioita keksinnön mukaisen jäijestel-5 män kolmesta erilaisesta toteutustavasta lyhytsanomapalvelun tapauksessa.The invention will now be described in more detail by way of example, with reference to the accompanying drawings, in which: Figures 1A and 1B show block diagrams of a system according to the invention and illustrate the functionality of the system in a short message service; Figure 2 illustrates a signaling diagram of signaling between network elements of the system of the invention in the case of a short message service, and Figs. 3-5 show block diagrams of three different embodiments of the rigid system of the invention in the case of a short message service.

Kuvio 1A esittää lohkokaaviota keksinnön mukaisesta järjestelmästä. Kuvio kuvaa järjestelmän toiminnallisuutta lyhytsanomapalvelun tapauksessa matkaviestimestä lähtevässä liikenteessä. Esitetty järjestelmä käsittää matkapuhelinkeskuksen MSC (Mobile Services Switching Centre), tietokannan 10 DB (Database), johon on tallennettu esimerkiksi tilaajakohtaisia lyhytsanomien välitystä koskevia tietoja, rajapinta- eli palomuurilaitteiston SS7-FW ja kolme lyhytsanomakeskusta SMSC (Short Message Service Centre). Järjestelmä toimii siten, että lyhytsanoma välitetään matkapuhelinkeskukselta MSC palo-muurilaitteistolle SS7-FW, joka tarkistaa tietokannan DB reititystiedoista esi-15 merkiksi sallitut käyttäjät ja reitityskohteet, jonka jälkeen lyhytsanoma välitetään edelleen jollekin lyhytsanomakeskukselle SMSC.Figure 1A is a block diagram of a system according to the invention. The figure illustrates the functionality of the system in the case of short message service in outbound traffic. The disclosed system comprises a Mobile Services Switching Center (MSC), a database 10 DB (Database) storing, for example, subscriber-specific short message transmission information, an SS7-FW firewall device and three SMSC (Short Message Service Center). The system operates by transmitting the short message from the mobile switching center MSC to the firewall hardware SS7-FW, which checks the database DB routing information for example for permitted users and routing destinations, after which the short message is forwarded to a short message service center SMSC.

Olennainen osa palomuurilaitteistolla SS7-FW reitityksessä on siihen tarvittavan signaloinnin ja logiikan toteuttaminen verkkoelementtien välillä. Lyhytsanoman vastaanotto ja edelleenlähetys voi tapahtua MAP-protokollan t . 20 (Mobile Application Part) tai jonkin muun lyhytsanoman välitykseen soveltuvan » · '·· protokollan avulla. Sekä matkaviestimestä lähtevässä liikenteessä että matka- ; : viestimeen päättyvässä liikenteessä voidaan määritellä mitkä palomuuritoimin- • nallisuudet ovat käytössä. Matkaviestimestä lähteville sanomille voidaan tehdä . esimerkiksi lähettäjän numeron ja sallitun lyhytsanomakeskuksen numeron tar- .·*. 25 kistus. Tietokantaan voi olla tallennettu jokin tunniste, jonka avulla muun mu assa käyttöoikeus tarkistetaan esimerkiksi lähettäjän numeron ja lyhytsano-, , makeskuksen numeron muodostaman numeroparin perusteella. Mikäli kyseis- tä tietoa ei löydy, ei reititys ole sallittua ja sanoma hylätään. Jos reititys on sal-littua, sanoma välitetään edelleen kyseiselle lyhytsanomakeskukselle. Matka-: 30 viestimeen päättyvässä liikenteessä sanomille voidaan määritellä esimerkiksi mihin verkkoihin sallitaan viestien lähetys. Olennaista palomuurilaitteiston toi-·. minnallisuudessa matkaviestimeen päättyvässä liikenteessä on tarvittavan •; · '· t signaloinnin välittäminen eri verkkoelementtien välillä.An essential part of firewall hardware SS7-FW routing is the implementation of the necessary signaling and logic between network elements. The short message can be received and forwarded using the MAP protocol t. 20 (Mobile Application Part) or any other · · '·· protocol suitable for short message delivery. For both outbound traffic and mobile; : In traffic terminating to a device, it is possible to define which firewall features • are enabled. Messages from the mobile station can be made. for example, sender number and allowed short message center number · ·. 25 strains. An identifier may be stored in the database, which, among other things, is used to verify access based on, for example, the sender number and the short word, makecenter number. If this information is not found, routing is not allowed and the message is rejected. If routing is allowed, the message is forwarded to the short message center in question. In mobile: traffic terminating at 30 terminals, messages can be defined, for example, to which networks the messages are allowed to be transmitted. The essential function of firewall hardware. • the quality of traffic terminating in the mobile station has the necessary •; · '· T relaying signaling between different network elements.

• *: Kuvio 1B esittää myös lohkokaaviota keksinnön mukaisesta järjes- 35 telmästä. Kuvio kuvaa järjestelmän toiminnallisuutta lyhytsanomapalvelun ta- 6 111900 pauksessa matkaviestimeen päättyvässä liikenteessä. Esitetty järjestelmä käsittää matkapuhelinkeskuksen MSC, tietokannan DB, johon on tallennettu esimerkiksi tilaajakohtaisia lyhytsanomien välitystä koskevia tietoja, kotirekisterin HLR (Home Location Register), johon on tallennettu tilaajatietoja, rajapinta-5 eli palomuurilaitteiston SS7-FW ja kolme lyhytsanomakeskusta SMSC. Järjestelmä toimii siten, että lyhytsanoma välitetään joltakin lyhytsanomakeskukselta SMSC palomuurilaitteistolle SS7-FW, joka tarkistaa tietokannan DB reititystiedoista esimerkiksi sallitut käyttäjät ja reitityskohteet. Tämän jälkeen palomuuri-laitteisto SS7-FW kysyy kotirekisteriltä vastaanottajan sijaintitietoja, kuten 10 MSC-osoitteen, ja IMSI-numeron (International Mobile Subscriber Identity), jonka jälkeen lyhytsanoma välitetään edelleen matkapuhelinkeskukselle MSC.*: Figure 1B also shows a block diagram of a system according to the invention. The figure illustrates the functionality of the system in the event of short message service 6111900 in mobile terminating traffic. The disclosed system comprises a mobile services switching center MSC, a database DB storing, for example, subscriber-specific short message forwarding information, a home location register HLR (subscriber location) storing subscriber information, interface 5 or firewall system SS7-FW and three short message service centers SMSC. The system operates by transmitting the short message from an SMSC to the SS7-FW firewall hardware, which checks the DB routing information, for example, for authorized users and routing destinations. The firewall hardware SS7-FW then requests the home location register of the recipient, such as 10 MSC addresses, and an IMSI (International Mobile Subscriber Identity) number, after which the short message is forwarded to the MSC.

Kuvio 2 esittää signalointikaaviota keksinnön mukaisen järjestelmän verkkoelementtien välisestä signaloinnista lyhytsanomapalvelun tapauksessa. Kuvion 2 vaiheessa 1 matkapuhelinkeskukselta MSC menee matkaviestimestä 15 lähetetty lyhytsanoma rajapinta- eli palomuurilaitteistolle SS7-FW ja vaiheessa 2 edelleen lyhytsanomakeskukselle SMSC. Vaiheissa 3 ja 4 lyhytsanomakeskukselta SMSC välittyy kuittaus matkapuhelinkeskukselle MSC. Vaiheessa 5 lyhytsanomakeskus SMSC lähettää reititystä ja sijaintitietoja koskevan kyselyn palomuurilaitteistolle SS7-FW, josta se menee vaiheessa 6 edelleen kotirekis-·: 20 terille HLR. Vaiheissa 7 ja 8 kotirekisteriltä HLR tulee kuittaus ja vastaus kyse- • lyyn lyhytsanomakeskukselle SMSC. Vaiheissa 9 ja 10 lyhytsanomakeskus SMSC välittää eteenpäin lyhytsanoman palomuurilaitteiston SS7-FW kautta : matkapuhelinkeskukselle MSC, mikäli kyseisen lyhytsanoman reitittäminen on sallittua. Vaiheissa 11 ja 12 matkapuhelinkeskus MSC kuittaa lyhytsanoman . ·. 25 vastaanottamisen lyhytsanomakeskukselle SMSC.Figure 2 shows a signaling diagram of signaling between network elements of the system of the invention in the case of short message service. In step 1 of Figure 2, a short message sent from the mobile switching center MSC goes to the interface or firewall apparatus SS7-FW and in step 2, it continues to the short message service center SMSC. In steps 3 and 4, an acknowledgment is transmitted from the short message service center SMSC to the mobile services switching center MSC. In step 5, the short message service center SMSC sends a routing and location information request to the firewall system SS7-FW, from where it goes on to the home register ·: 20 blades HLR. In steps 7 and 8, the home location register HLR receives an acknowledgment and a response to the SMSC. In steps 9 and 10, the short message service center SMSC forwards the short message through the firewall system SS7-FW: to the mobile services switching center MSC if routing of the short message in question is allowed. In steps 11 and 12, the MSC acknowledges the short message. ·. 25 to the short message service center SMSC.

Eri verkkoelementtien kannalta palomuurilaitteisto voi toimia läpinäkyvästi, eli siten, että matkapuhelinkeskus näkee palomuurilaitteiston ly- ;* hytsanomakeskuksena ja lyhytsanomakeskus näkee palomuurilaitteiston koti- » * ·' rekisterinä tai matkapuhelinkeskuksena. Normaalisti lyhytsanoma reititetään 30 suoraan matkapuhelinkeskukselta lyhytsanomakeskukselle ja lyhytsanoma- : ‘ keskus tekee kotirekisterikyselyn. Tämä mahdollistaa verkko-operaattorin halli- » · » ta SS7-rajapintaa eri verkkoelementteihin. Reititys voidaan toki tehdä myös t >» •;,:t erillisen signalointireitittimen (STP = Signalling Transfer Point) kautta. Se mi- ' · ': ten signaloinnin reitittäminen kussakin verkossa toteutetaan riippuu operaatto- 35 rin verkkokonfiguraatiosta.From the standpoint of the various network elements, the firewall hardware can operate transparently, i.e., the mobile switching center sees the firewall hardware as a "*" message center and the short message center sees the firewall equipment as a home registry or mobile switching center. Normally, the short message is routed 30 directly from the mobile switching center to the short message center, and the short message center switches to a home location register. This allows the network operator to manage the · · »SS7 interface to various network elements. Of course, routing can also be done via a separate signaling router (STP = Signaling Transfer Point). The routing of the signaling of the '·' in each network is dependent on the network configuration of the operator.

7 1119007111900

Kuvio 3 esittää lohkokaavioita keksinnön mukaisen järjestelmän yhdestä toteutustavasta lyhytsanomapalvelun tapauksessa. Esitetty järjestelmä käsittää verkko-operaattorin hallitseman osan ja palveluoperaattorin hallitseman osan. Verkko-operaattorin hallitsemaan osaan kuuluu rajapinta- eli pa-5 lomuurilaitteisto SS7-FW, matkapuhelinkeskus MSC ja kotirekisteri HLR sekä SS7-signalointiverkko 33. Palomuurilaitteistossa SS7-FW on erikseen esitetty palomuuripalvelun suorittava lohko 31 ja SS7-protokollapino 32. Palveluoperaattorin hallitsemaan osaan kuuluu lyhytsanomakeskus SMSC. Tässä esimerkissä verkko- ja palveluoperaattori käyttävät samaa SS7-signalointiverkkoa 10 33. Palomuurilaitteisto SS7-FW sisältää tällöin vain yhden SS7-protokollapi-non 32. Palveluoperaattori on kytkeytynyt verkko-operaattorin verkkoon palo-muurilaitteiston SS7-FW kautta. Liityntä tapahtuu tätä varten varatun signa-lointilinkin kautta. Kaikki palveluoperaattorin lyhytsanomaliikenne kulkee palo-muurilaitteiston SS7-FW kautta ja palomuuripalvelu suorittaa palomuuritoimin-15 nallisuudet ja välittää palveluoperaattorin liikenteen sekä verkko-operaattorin verkkoelementtien suuntaan että palveluoperaattorin lyhytsanomakeskuksen SMSC suuntaan.Figure 3 shows block diagrams of one embodiment of the system of the invention in the case of short message service. The disclosed system comprises a network operator controlled component and a service operator controlled component. The part managed by the network operator includes the SS7-FW interface, pa-5 firewall hardware, the mobile switching center MSC and the home location register HLR, and the SS7 signaling network 33. The firewall hardware SS7-FW has a separately displayed firewall service block SMSC. In this example, the network and service operator uses the same SS7 signaling network 10 33. The firewall hardware SS7-FW then contains only one SS7 protocol flag 32. The service operator is connected to the network operator network through the firewall hardware SS7-FW. The connection is made through the dedicated Signa creation link. All short message traffic of the service operator passes through the firewall hardware SS7-FW, and the firewall service performs firewall functionality and transmits the service operator traffic both to the network elements of the network operator and to the SMSC of the service operator.

Kuvio 4 esittää lohkokaavioita keksinnön mukaisen järjestelmän toisesta toteutustavasta lyhytsanomapalvelun tapauksessa. Tässäkin esimer- • 20 kissä järjestelmä käsittää verkko-operaattorin hallitseman osan ja palveluope- l raattorin hallitseman osan. Verkko-operaattorin hallitsemaan osaan kuuluu rajapinta- eli palomuurilaitteisto SS7-FW, matkapuhelinkeskus MSC ja kotire-; kisteri HLR sekä kaksi SS7-signalointiverkkoa 44, 45. Palomuurilaitteistossa SS7-FW on erikseen esitetty palomuuripalvelun suorittava lohko 41 ja kaksi 25 SS7-protokollapinoa 42, 43. Palveluoperaattorin hallitsemaan osaan kuuluu lyhytsanomakeskus SMSC. Olennaisin ero kuvion 3 järjestelmään on se, että verkko-operaattori ja palveluoperaattori käyttävät eri SS7-signalointiverkkoa 44, 45 ja molempia varten palomuurilaitteistossa on omat SS7-protokollapinot : 42, 43. Palveluoperaattori on kytkeytynyt verkko-operaattorin palomuurilaitteis- • 30 toon SS7-FW erityisesti tätä varten olevan SS7-signalointiverkon 45 kautta.Figure 4 shows block diagrams of another embodiment of the system of the invention in the case of short message service. Again, in this example, the system comprises a network operator-controlled part and a service operator-controlled part. The network operator-controlled component includes the SS7-FW firewall hardware, the MSC and the home switch; register HLR and two SS7 signaling networks 44, 45. Firewall hardware SS7-FW has a separately shown firewall service performing block 41 and two SS7 protocol stacks 42, 43. The service operator-controlled part includes a short message service center SMSC. The major difference to the system of Figure 3 is that the network operator and service operator use different SS7 signaling networks 44, 45, and both have their own SS7 protocol stacks: 42, 43. The service operator is connected to the network operator firewall device SS7-F. especially through the dedicated SS7 signaling network 45.

Liityntä tapahtuu tätä varten olevan signalointilinkin kautta. Tässä toteutustavassa palveluoperaattori on selkeämmin erotettu verkko-operaattorin SS7-ver- - · kosta, koska molemmilla on omat verkkonsa, jotka eivät näe toisiaan, i Kuvio 5 esittää lohkokaavioita keksinnön mukaisen järjestelmän 35 kolmannesta toteutustavasta lyhytsanomapalvelun tapauksessa. Tässäkin 8 111900 esimerkissä järjestelmä käsittää verkko-operaattorin hallitseman osan ja palveluoperaattorin hallitseman osan. Verkko-operaattorin hallitsemaan osaan kuuluu rajapinta- eli palomuurilaitteisto SS7-FW, matkapuhelinkeskus MSC ja kotirekisteri HLR sekä kaksi SS7-signalointiverkkoa 55, 56. Palomuurilaitteistossa 5 SS7-FW on erikseen esitetty palomuuripalvelun suorittava lohko 51, 52 ja kaksi SS7-protokollapinoa 53, 54. Palveluoperaattorin hallitsemaan osaan kuuluu lyhytsanomakeskus SMSC. Olennaisin ero kuvion 4 esimerkkiin on se, että palomuurilaitteisto SS7-FW on toteutettu kahdessa erillisessä verkkoelementissä, jotka on yhdistetty toisiinsa esimerkiksi TCP/IP-yhteydellä. Tällöin lyhyt-10 sanomaliikenteen signalointiin tarvittavat parametrit ja MAP-kerros sekä tarvittaessa SCCP-kerros (Signalling Connection Control Part) siirretään kahden palomuuriiaitteiston SS7-FW (Firewall) komponentin välillä TCP/IP-yhteyden avulla. Palomuuriiaitteiston komponenttien välillä voi myös olla jokin muu yhteys kuin TCP/IP-yhteys. Palveluoperaattoriin suoraan yhteydessä oleva palo-15 muurilaitteiston SS7-FW komponentti voi sijaita missä tahansa salatun tai salaamattoman verkon tai yhteyden, esimerkiksi Internetin, takana. Palomuurin kannalta tämä merkitsee vain, että laitteisto on jaettu kahteen eri verkkoelementtiin, mutta itse toiminnallisuuden kannalta sillä ei ole merkitystä.The connection is made through a signaling link for this purpose. In this embodiment, the service operator is more clearly distinguished from the network operator's SS7 network, since both have their own networks that cannot see each other. FIG. 5 is a block diagram of a third embodiment of the system 35 of the invention for short message service. Also in this 8111900 example, the system comprises a network operator controlled component and a service operator controlled component. The network operator-controlled component includes the firewall hardware SS7-FW, the mobile switching center MSC and the home location register HLR, and two SS7 signaling networks 55, 56. The part managed by the service operator includes the SMSC SMSC. The most important difference to the example of Figure 4 is that the firewall hardware SS7-FW is implemented in two separate network elements interconnected by, for example, a TCP / IP connection. The short 10 message signaling parameters and the MAP layer and, if necessary, the SCCP (Signaling Connection Control Part) layer are then transferred between the two firewall hardware SS7-FW (Firewall) components over TCP / IP. There may also be a connection other than a TCP / IP connection between the components of the firewall hardware. The SS7-FW firewall component of the firewall directly communicating with the service operator can be located anywhere behind an encrypted or unencrypted network or connection, such as the Internet. From a firewall point of view, this only means that the hardware is divided into two different network elements, but it does not matter in terms of functionality itself.

Kuvioissa 3-5 esitetyt toteutustavat eivät vaikuta palomuuripalve-20 lun toiminnallisuuteen. Eri toteutustavat vaikuttavat ainoastaan palvelun sisäiseen toteutukseen. Lisäksi on huomattava, että edellä esitetyissä toteutusvaihtoehdoissa palomuurilaitteistoon voi olla kytkettynä useampi palveluoperaattori, kukin oman signalointilinkin kautta.The embodiments shown in Figures 3-5 do not affect the functionality of the firewall service. The different implementation modes only affect the internal implementation of the service. In addition, it should be noted that in the above embodiments, multiple service operators may be connected to the firewall equipment, each via its own signaling link.

Kaikissa kuvioiden 1-5 tapauksissa on käsitelty keksintöä lyhytsa-25 nomapalveluesimerkin avulla. On kuitenkin muistettava, että keksintöä voidaan hyödyntää myös muiden palveluiden ja muuntyyppisen liikenteen hallintaan, jolloin kytkeytyvä verkkoelementti ei ole lyhytsanomakeskus vaan mikä tahan-: sa esimerkiksi SS7-signalointia käyttävä verkkoelementti.In all cases of Figs. 1-5, the invention is illustrated by means of a short service example. It should be remembered, however, that the invention can also be utilized to control other services and other types of traffic, whereby the network element to be switched is not a short message center, but any network element using, for example, SS7 signaling.

On ymmärrettävä, että edellä oleva selitys ja siihen liittyvät kuviot . . “. 30 on ainoastaan tarkoitettu havainnollistamaan esillä olevaa keksintöä. Alan am- ·, mattimiehelle tulevat olemaan ilmeisiä erilaiset keksinnön variaatiot ja muun- " nelmat ilman että poiketaan oheisissa patenttivaatimuksissa esitetyn keksin- .. I: ‘ nön suojapiiristä ja hengestä.It is to be understood that the above description and the accompanying figures. . ". 30 is merely intended to illustrate the present invention. Various variations and modifications of the invention will be apparent to those skilled in the art without departing from the scope and spirit of the invention disclosed in the appended claims.

Claims

A device (SS7-FW) for forming the interface of a telecommunications network, such that traffic through the interface can be restricted, which device comprises: means for controlling routing information stored in a database (DB) starring in data transmission connection with said device (SS7 -FW) means for approving or rejecting signaling between a network element controlled by a network operator (MSC) and a network element controlled by a service operator (SMSC) on the basis of routing information stored in said database, and means for routing further to a next network element traffic which on the basis of said routing information is allowed, characterized in that the device (SS7-FW) comprises a first SS7 protocol stack (42, 53), via which the interface device (SS7-FW) is connected to a first SS7 signaling network (44, 55) and further to the network operator's network element (MSC), and a second SS7 protocol stack (43, 54), via which interface The device (SS7-FW) is connected to a second SS7 signaling network (45, 56) and further to the network operator (SMSC) of the service operator.

Device (SS7-FW) according to claim 1 for forming a telephone. /, communication network interface, characterized in that the device comprises * * ... means for controlling the permitted receivers of traffic from the routing information of the database (DB). ·· 25

Device (SS7-FW) according to claim 1 or 2 for forming the interface of a telecommunications network, characterized in that the device in (SS7-FW) comprises means for controlling the permitted form of traffic from the database (DB),! ·, Routing information. > I ·

Device (SS7-FW) according to any one of claims 1 to 3 for * forming an interface of a telecommunications network, characterized in that the device (SS7-FW) comprises> I * · · 111900 means for check a predetermined upper limit for the amount of traffic from the database (DB) routing information and to discard traffic that exceeds said upper limit.

Device (SS7-FW) according to any of claims 1-4 to form an interface of a telecommunications network, characterized in that the device (SS7-FW) comprises means for checking routing information from the database (DB) on the base of the transmitter. subscriber number.

Device (SS7-FW) according to any of claims 1 to 5 for forming an interface of a telecommunications network, characterized in that the device (SS7-FW) comprises means for controlling routing information from the database (DB) on the base of the receiver. subscriber number.

7. Mobile communications systems comprising at least 15 network elements controlled by network operators for establishing connections, a network operator controlled SMS (SMSC) for providing a service, an interface device (SS7-FW) interfering with data transmission connection with a network element controlled by the network operator and the network operator of the service operator to form an interface to a telecommunications network, and a database (DB) which interferes in data transmission connection with the interface device, in which database routing information has been stored for current traffic. . means transmitted in the network, wherein the interface device (SS7-FW) comprises: means for controlling routing information stored in the database (DB)> means for approving or rejecting signaling between a network element controlled by the network operator (MSC) and the service operator network element 30 (SMSC) on the basis of routing information stored in said database, and •. means for routing further to a next network element traffic which is permitted on the basis of said routing information, characterized in that the system comprises: two separate SS7 signaling networks (44, 45, 55, 56), such that the network operator's network element (MSC) ) and the interface device (SS7-FW) are connected to each other via the first SS7 signaling network (44, 55) and the service operator's network element (SMSC) and the interface device (SS7-FW) are connected to each other via the second SS7 signaling network ( 45, 56), and the interface device (SS7-FW) comprises a first SS7 protocol stack (42, 53), through which the interface device (SS7-FW) is connected to the first SS7 signaling network (44, 55) and a second SS7 protocol stack (43, 54), through which the interface device (SS7-FW) is connected to the second SS7 signaling network (45, 56).

Mobile communication system according to claim 7, characterized in that said database (DB) containing routing information is subscriber specific.

Mobile communication system according to claim 7 or 8, characterized in that said database (DB) containing routing information is service operator specific.

Mobile communication system according to any of claims 7-9, characterized in that said database (DB) containing routing information is message specific.

Mobile communication system according to any one of claims 7-10, characterized in, the system interface device (SS7-FW) comprises two separately arranged network elements which operate in a data transmission connection with each other, and; . '; of which a first portion is connected via the first SS7 protocol stack (53) to the first SS7 signaling network (55) and a second portion is connected via the second SS7 protocol stack (54) to the second SS7 signaling network (56). • * »