JP2005524161A

JP2005524161A - 公衆無線近距離通信網で移動性を有する認証システム及び方法｛ＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｙｓｔｅｍａｎｄＭｅｔｈｏｄＨａｖｉｎｇＭｏｂｉｌｉｔｙｉｎＰｕｂｌｉｃＷｉｒｅｌｅｓｓＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ｝

Info

Publication number: JP2005524161A
Application number: JP2004500428A
Authority: JP
Inventors: シン，ヨン−シック; リョウ，シ−フン; リー，ドン−ハク; ブハン，チャン−ジョム
Original assignee: SK Telecom Co Ltd
Current assignee: SK Telecom Co Ltd
Priority date: 2002-04-23
Filing date: 2002-10-24
Publication date: 2005-08-11
Anticipated expiration: 2022-10-24
Also published as: KR20030083941A; CN100468990C; JP4508864B2; EP1497934B1; TW200407024A; EP1497934A4; AU2002351438A1; TWI249929B; EP1497934A1; KR100470303B1; CA2480612C; CA2480612A1; US20050286489A1; WO2003092190A1; CN1625853A

Abstract

本発明は公衆無線近距離通信網で移動性を有する認証システム及び方法に関し、無線で接続された移動端末機に対する認証をアクセスポイント管理者に要求した後、認証された移動端末機に対しデータ送受信がなされるようにし、認証された移動端末機に対し課金が行われるようアクセスポイント管理者に要求するアクセスポイントと、アクセスポイントからの要求に従い既に認証された移動端末機の場合には既に登録されている登録情報により認証し、登録されていない場合には該当の移動網事業者の認証サーバーを介し認証した後、認証情報をアクセスポイントに伝送させるアクセスポイント管理者で構成される。
本発明によれば、移動端末機は再認証を経ず同一のサブネット（Subnet）だけでなく、相違するサブネットに属するアクセスポイントを介しネットワークと連続的に接続が可能になって移動性が保障され、課金が可能になる。

Description

発明の詳細な説明

（技術分野）
本発明は移動端末機の認証に関し、さらに具体的には移動端末機が一つのサブネットで構成されたアクセスポイントに接続して認証を受け、他のサブネットで構成されたアクセスポイントに移動しても認証及び課金が引き続き有効になるようにする公衆無線近距離通信網で移動性を有する認証システム及び方法に関する。

（背景技術）
現在、一般に用いられている公衆無線ラン（Public Wireless LAN）を主導している802.11b標準は認証部分を含まない。これに対する補完で使用者の認証のため801.1xを採択し使用している。すなわち、このような無線ランは未だ広範囲な移動性（mobility）を支援することができない状況である。

従って、現在無線ランを用いる移動端末機（client）がアクセスポイント（ＡＰ; Access Point）の間をローミング（roaming）できるようにするためには、アクセスポイントでローミングのための機能的部分が追加されなければならない。このため標準化作業がIEEE 802.11fで進行中であり、現在一部企業等は固有の機能を装着して端末機のアクセスポイント間のローミングを支援する状況である。ここでローミングは同一のサブネット（subnet）内に位置するアクセスポイント間の移動を意味する。

図１は、従来の実試例に係る無線事業者の近距離通信網システムの構成を概略的に示す図である。図で参照符号１０はネットワーク、ＷＴは移動端末機、２０はアクセスポイント、３０はＩＰコア、４０は移動網、４２は認証サーバー、４４は移動網事業者コア、４６はＭＳＣ／ＨＬＲ、４８は課金ゲートウェイを示す。

従来の実試例に係る移動網事業者の近距離通信網システムは、制御信号データが移動網事業者コア４４に伝送される。アクセスポイント２０は公衆、又は個人サービスにアクセスすることができるよう使用者データパケットを直接ＩＰコア３０にラウトする。

図に示されたように、従来の移動端末機はアクセスポイント２０を介して参与し、アクセスポイント２０からＩＰアドレスを与えられる。前記アクセスポイント２０は、認証要求をアクセスネットワークと信号ネットワークの間のゲートウェイを構成する認証サーバー４２に伝達する。すると、認証サーバー４２は認証データに対しＨＬＲ（Home Location Register）４６に質問し、この情報を利用して使用者を認証する。

図２は、図１に示された従来の公衆無線近距離通信網と移動網事業者システムによる認証段階を詳しく示した図である。

図に示されたように、移動端末機（ＷＴ）はアクセスポイント２０を介しネットワーク１０に接近することになる（Ｓ１１）。次いで、移動端末機（ＷＴ）はアクセスポイント２０からＩＰアドレスを受信し、初期認証要求をアクセスポイント２０に伝送する。認証サーバー４２はＭＳＣ／ＨＬＲ４６と接続しＨＬＲ（Home Location Register）からのトリプレット（Triplet）を要求する。次いで、認証サーバー４２はＲＡＮＤ（Random Number Authentication）により計算されたメッセージ認証コード（Message Authentication Code）に従いＲＡＮＤを、アクセスポイント２０を介し移動端末機（ＷＴ）に伝送する（Ｓ２１）。

前記メッセージ認証コードは、移動網４０と端末機（ＷＴ）の間に相互認証が可能にする。すると、移動端末機（ＷＴ）はメッセージ認証コードを計算した後、その結果をネットワーク１０から受信したものと比べる（Ｓ２３）。

引き続き、移動端末機（ＷＴ）がメッセージ認証コードの計算結果をアクセスポイント２０に伝送すると、アクセスポイント２０は前記応答を認証サーバー４２に伝達する（Ｓ２７、Ｓ２９）。すると、認証サーバー４２はメッセージ認証コードを計算して移動端末機（ＷＴ）の応答を検証する（Ｓ３１）。次いで、認証サーバー４２は認証結果コードをアクセスポイント２０に伝達する（Ｓ３３）。この時、認証が成功するとアクセスポイント２０は認証サーバー４２に新しい計定セッションが開始されたことを知らせる（Ｓ３５）。

終りに、アクセスポイント２０はターミナルデータパケットのラウティングを可能にし、移動端末機（ＷＴ）に確認を伝送する（Ｓ３７）。

しかし、既存の進行中の方法はローミングを進めるため常に再認証が要求される。すなわち、新しいアクセスポイント領域へ移動端末機が移動すれば、新しいアクセスポイントにより端末は再度認証を受けなければならない。このような再認証はデータの連続性を保障しない。さらに、既存の方法は課金のための手続きを含んでいないので、事業者の観点で既存の方法は適しない。

（発明が達成しようとする技術的課題）
従って、本発明は移動端末機がアクセスポイントに接続して認証を受けた後、他のサブネットのアクセスポイントに移動しても既に認証された登録情報を利用して認証することにより、移動端末機の移動性を保障することができる公衆無線近距離通信網で移動性を有する認証システム及び方法を提供する。

（発明の構成）
前述した目的を達成するため提案された本発明は、移動網事業者の認証サーバーを介し認証及び課金を行うシステムにおいて、移動端末機と無線で接続して移動端末機に対する情報を認証要求メッセージ、または課金要求メッセージに含ませ出力して認証及び課金を要求し、認証応答メッセージを受信して認証された移動端末機に対しデータ送受信が行われるよう制御するアクセスポイントと;前記アクセスポイントからの移動端末機に対する認証要求メッセージを受信し、前記移動端末機が既に認証されているかを確認し、認証されていない移動端末機の場合は前記認証要求メッセージを前記移動網事業者の認証サーバーに伝送させた後認証応答メッセージを受信すると、前記アクセスポイントに認証応答メッセージを伝送し、既に認証されている移動端末機の場合は登録された認証情報に基づき認証応答メッセージをアクセスポイントに伝送させるアクセスポイント管理者で構成される。

さらに、本発明の他の特徴によれば、公衆無線近距離通信網で移動性を有する認証方法は、アクセスポイントから移動端末機の認証及び課金要求メッセージを受信すると、移動網事業者の認証サーバーを介し認証及び課金を行う方法において、アクセスポイントから認証要求メッセージを受信すると受信した認証要求メッセージに基づき移動端末機を認証した後、該当のアクセスポイントに認証応答メッセージを伝送させる認証段階と；アクセスポイントから課金要求メッセージを受信すると受信した課金要求メッセージを認証サーバーに伝達し、認証サーバーから課金要求応答メッセージを受信すると前記課金要求応答メッセージをアクセスポイントに伝達する課金段階で構成されたことを特徴とする。
尚、発明の他の特徴によれば、公衆無線近距離通信網で移動性を有する認証方法は、アクセスポイントが移動端末機の認証及び課金をアクセスポイント管理者を介して要求する方法において、移動端末機と無線で接続する段階と;接続した移動端末機の情報を認証要求メッセージに含ませてアクセスポイント管理者に伝送させる認証要求段階；及び前記認証要求段階から伝送された認証要求メッセージに対する認証応答メッセージをアクセスポイント管理者から受信し、前記認証応答メッセージに含まれた認証情報に基づき選択的にアクセスポイント管理者に課金が開始されるよう要求する段階で構成されたことを特徴とする。

以下、図３乃至図７を参照して本発明の実試例を詳しく説明する。

図３は、本発明の実試例に係る公衆無線近距離通信網と移動網事業者システムによる認証システムの構成を示した図である。図で参照符号１２０と１４０はアクセスポイント、１３０はＩＰコア、１６０はＡＰＭ（Access Point Manager）、３１０は認証サーバー、３２０はＭＳＣ／ＨＬＲ、３３０は移動網事業者コア、３４０は課金ゲートウェイを各々示す。そして、図でＷＴは移動端末機（Wireless LAN Terminal）を示す。さらに、前記ＭＳＣはモバイルスイッチングセンター（Mobile Switching Center）、ＨＬＲは加入者位置登録器（Home Location Register）を示す。

図に示されたように、多数のアクセスポイント１２０、１４０はインターネット通信が可能であるよう事業者のＩＰコア（Internet Protocol Network Core）と接続されている。このように各々のアクセスポイントは、サブネット（Subnet）を構成して多数の移動端末機（ＷＴ）とＩＰコア１３０の間を無線で接続させる。従って、前記のようなアクセスポイントは、事業者の構成に伴い前記ＩＰコア１３０に必要なほど接続させて用いることができる。

また、前記ＩＰコア１３０には、ＩＰコア１３０に接続された全てのアクセスポイント１２０〜１４０の認証、及び課金を管理するようアクセスポイント管理者１６０が接続される。そして、前記アクセスポイント管理者１６０は移動網事業者の認証サーバー３１０と接続されている。

図で参照符号３００は移動網事業者の領域を示したもので、移動網事業者コア３３０には認証サーバー３１０とＭＳＣ／ＨＬＲ３２０、及び課金ゲートウェイ３４０が接続されている。

従って、アクセスポイント管理者１６０は、移動網事業者の認証サーバー３１０を介して認証と課金を要求することになる。すると、移動網事業者コア３３０と接続された認証サーバー３１０は、アクセスポイント管理者１６０から認証要求があればＭＳＣ／ＨＬＲ３２０を介して認証要求を行うか、課金要求があれば課金ゲートウェイ３４０を介して課金要求を処理することになる。そして、認証サーバー３１０は前記認証要求の結果、又は課金要求の結果をアクセスポイント管理者１６０に伝送させて応答することになる。

図４は、図３に示された移動端末機（ＷＴ）とアクセスポイント（ＡＰ）、アクセスポイント管理者（ＡＰＭ）、認証サーバー間３１０の認証及び課金を行うためのプロトコルを示した図である。ここで、参照符号ＷＴは移動端末機、ＡＰ１は第１アクセスポイント１２０、ＡＰｎは第ｎアクセスポイント１４０、ＡＰＭはアクセスポイント管理者１６０を各々示す。

図４では、第１アクセスポイントＡＰ１の領域１１０の第１アクセスポイントＡＰ１と結合（Association）した移動端末機（ＷＴ）が移動し、第ｎアクセスポイント１４０の領域１５０の第ｎアクセスポイント１４０と接続した後、接続が終了するまでのメッセージ伝達過程を示す。

先ず、移動端末機（ＷＴ）は第１アクセスポイント（ＡＰ１）と結合（Association）される（Ｓ１１０）。この時、第 1 アクセスポイント（ＡＰ１）はアクセスポイント管理者（ＡＰＭ）側に認証要求メッセージ（Aut-request）を伝送する（Ｓ１２０）。前記認証要求メッセージ（Aut-request）には、使用者ＩＤとパスワード情報が含まれる。さらに、前記認証要求メッセージ（Aut-request）には、認証要求メッセージを伝送する現在のアクセスポイント（ＡＰ１）のＩＰアドレスが含まれる。

すると、アクセスポイント管理者（ＡＰＭ）は前記第１アクセスポイント（ＡＰ１）の認証要求に従い、認証サーバー３１０を介して移動端末機（ＷＴ）の認証を行う（Ｓ１３０）。前記アクセスポイント管理者（ＡＰＭ）と認証サーバー３１０の間の認証は例えば、ＭＤ−５、ＴＬＳ、ＳＲＰ、ＯＴＰのうち一つを選択して用いることができる。前記のようにして移動端末機（ＷＴ）の認証が行われ、アクセスポイント管理者（ＡＰＭ）は該当のアクセスポイント（ＡＰ１）に認証応答メッセージ（Aut-response）を伝送する（Ｓ１４０）。この時、前記認証応答メッセージ（Aut-response）には認証登録を示す情報が含まれる。

前記のように、移動端末機（ＷＴ）の認証が完了すると、第１アクセスポイント（ＡＰ１）は移動端末機（ＷＴ）のデータ送受信が開始できるようにし、課金が開始されるようアクセスポイント管理者（ＡＰＭ）に課金開始要求メッセージ（Acc-request（start））を伝送する（Ｓ１５０）。すると、アクセスポイント管理者（ＡＰＭ）は、前記第１アクセスポイント（ＡＰ１）から受信した課金開始要求メッセージ（Acc-request（start））を認証サーバー３１０に伝達して課金が開始されるようにする（Ｓ１６０）。

次いで、前記アクセスポイント管理者（ＡＰＭ）は認証サーバー３１０から課金開始応答メッセージ（Acc-response（start））を受信すると（Ｓ１７０）、前記課金開始応答メッセージ（Acc-response（start））を第１アクセスポイント（ＡＰ１）に伝達する。

すると、前記第１アクセスポイント（ＡＰ１）は認証された移動端末機の情報を、移動端末機状態メッセージ（Client-status）を介してアクセスポイント管理者（ＡＰＭ）側へ伝送する（Ｓ１９０）。

前記のようにして移動端末機（ＷＴ）の第１アクセスポイント（ＡＰ１）との結合（Association）による最初の認証及び課金が開始される。次いで、移動端末機（ＷＴ）が移動して第ｎアクセスポイント（ＡＰｎ）と結合された後、認証が終了するまでの過程を詳しく説明する。

移動端末機（ＷＴ）が第ｎアクセスポイント（ＡＰｎ）に移動すると、移動端末機は前記第ｎアクセスポイント（ＡＰｎ）と再結合（Re-association）が行われる（Ｓ２１０）。すると、前記第ｎアクセスポイント（ＡＰｎ）はアクセスポイント管理者（ＡＰＭ）側へ認証要求メッセージ（Aut-request）を伝送する（Ｓ２２０）。前記のように認証要求メッセージ（Aut-request）を受信したアクセスポイント管理者（ＡＰＭ）は、受信された認証要求メッセージ（Aut-request）に含まれる移動端末機（ＷＴ）の情報を抽出し、既に認証されているかを検索する。従って、ここでは前記第１アクセスポイント（ＡＰ１）により認証が既になされているので、アクセスポイント管理者（ＡＰＭ）は認証サーバー３１０に認証を要求せず、第ｎアクセスポイント（ＡＰｎ）に認証応答メッセージ（Aut-response）を伝送させて認証することになる（Ｓ２３０）。前記アクセスポイント管理者（ＡＰＭ）の認証は、受信された認証要求メッセージ（Aut-request）に含まれる移動端末機のＭＡＣアドレス及び割り当てられたＩＰアドレスが管理テーブルに貯蔵された移動端末機のＭＡＣアドレス、及び割り当てられたＩＰアドレスと同一であり、アクセスポイントのＩＰアドレスが変更された場合に行われる。

このようにアクセスポイント管理者（ＡＰＭ）から認証応答メッセージ（Aut-response）が受信されると（Ｓ２３０）、前記第ｎアクセスポイント（ＡＰｎ）は移動端末機（ＷＴ）のデータ送受信が継続されるよう制御する。

前記のようにして移動端末機（ＷＴ）のデータ伝送が行われる途中に移動端末機（ＷＴ）からログオフ（Log Off）が受信されるか、データ伝送が中断され時間超過（Time Out）が発生すると（Ｓ２４０）、前記第ｎアクセスポイント（ＡＰｎ）は課金が中断されるようアクセスポイント管理者（ＡＰＭ）に課金中断要求メッセージ（Acc-request（stop））を伝送する（Ｓ２５０）。

すると、アクセスポイント管理者（ＡＰＭ）は、前記第ｎアクセスポイント（ＡＰｎ）から受信された課金中断要求メッセージ（Acc-request（stop））を認証サーバー３１０に伝送させる（Ｓ２６０）。引き続き、アクセスポイント管理者（ＡＰＭ）は認証サーバー３１０から課金中断応答メッセージ（Acc-response（stop））を受信すると（Ｓ２７０）、前記課金中断応答メッセージ（Acc-response（stop））を第ｎアクセスポイント（ＡＰｎ）に伝送させる（Ｓ２８０）。これにより、前記第ｎアクセスポイント（ＡＰｎ）と認証サーバー間の認証が終了する（Ｓ２９０）。

図５は、図４に示された認証要求メッセージと認証応答メッセージ、及び移動端末機状態メッセージのフォーマットを示した図である。

先ず、図５ａは認証要求メッセージのフォーマットを示したものである。

ここで、ISAMP versionは本発明のプロトコルを意味する、所謂ＩＳＡＭＰ（Inter Subnet-Access point Mobile Protocol）のバージョンを示すフィールドで例えば１バイトで構成される。また、Identifierはメッセージ区別子を示すフィールドで例えば２バイトで構成される。さらに、LengthはＩＡＲＰパケットの長さを示すフィールドで例えば２バイトで構成される。ＡＰ−ＩＰ addressは現在アクセスポイントのアドレスを示すフィールドである。Client-MAC addressは現在結合（Association）された移動端末機のＭＡＣ（Media Access Control）アドレスを示すフィールドで定義されたアドレス長さで構成される。ＵｓｅｒＩＤは利用者のＩＤ（Identification）を示すフィールドである。Sequence Numberは一連番号を示すフィールドで２バイトで構成される。前記Sequence Numberは例えば０から２０４８までの値を示す。

一方、図５ｂは認証応答メッセージのフォーマットを示したものである。

ここで、ISAMP versionはＩＳＡＭＰのバージョンを示すフィールドで例えば１バイトで構成される。そして、Identifierはメッセージ区別子を示すフィールドで例えば２バイトで構成される。さらに、LengthはＩＡＲＰパケットの長さを示すフィールドで例えば２バイトで構成される。ＡＰ−ＩＰ addressは現在アクセスポイントのアドレスを示すフィールドである。Connectionは認証登録に対する識別を示すフィールドで例えば１バイトで構成される。前記Connectionは移動端末機が最初に認証を要求した場合と、既に認証され登録されている場合に認証を要求した場合を各々区別して示すことができる。例えば、新規登録の場合には００ｈ、既に登録されている場合には１１ｈに設定される。Sequence Numberは一連番号を示すフィールドで２バイトで構成される。前記 Sequence Numberは、例えば０から２０４８までの値を示す。

終りに、図５ｃは移動端末機状態メッセージのフォーマットを示すものである。

ここで、ISAMP versionはＩＳＡＭＰのバージョンを示すフィールドで例えば１バイトで構成される。そして、Identifierはメッセージ区別子を示すフィールドで例えば２バイトで構成される。さらに、LengthはＩＡＲＰパケットの長さを示すフィールドで例えば２バイトで構成される。ＡＰ−ＩＰ addressは現在アクセスポイントのアドレスを示すフィールドである。Client-MAC addressは、現在結合（Association）された移動端末機のＭＡＣ（Media Access Control）アドレスを示すフィールドで定義されたアドレス長さで構成される。Client-IP addressは移動端末機に割り当てられたＩＰのアドレスを示すフィールドである。Sequence Numberは一連番号を示すフィールドで２バイトで構成される。前記Sequence Numberは、例えば０から２０４８までの値を示す。

図６は、図４でアクセスポイント（ＡＰ）の動作を詳しく示した図である。

先ず、アクセスポイント（ＡＰ）は各々の領域内で移動端末機（ＷＴ）と結合（Association）を行う（Ｓ３１０）。このように結合が完了すると、アクセスポイント（ＡＰ）は移動端末機（ＷＴ）の情報とアクセスポイント（ＡＰ）の情報をアクセスポイント管理者（ＡＰＭ）に提供して認証を要求する（Ｓ３２０）。この時、アクセスポイント（ＡＰ）は認証要求メッセージ（Aut-request）を介してアクセスポイント管理者（ＡＰＭ）に情報を伝送することになる。

次いで、アクセスポイント（ＡＰ）は、アクセスポイント管理者（ＡＰＭ）から認証要求に対する応答があるかを確認する（Ｓ３３０）。この時、アクセスポイント（ＡＰ）はアクセスポイント管理者（ＡＰＭ）から認証応答メッセージ（Aut-response）を介して認証情報を受信することになる。

前記で認証が正常的になされた場合に、アクセスポイント（ＡＰ）は受信された認証応答メッセージ（Aut-response）を分析して前記移動端末機（ＷＴ）が既に登録されているか、或いは新規登録なのかを確認する（Ｓ３４０）。例えば、前記認証応答メッセージ（Aut-response）の Connection フィールドの値が００ｈの場合には新規登録と判断し、１１ｈの場合には既に登録されているものと判断する。

引き続き、アクセスポイント（ＡＰ）は前記で新規登録（００ｈ）の場合にはアクセスポイント管理者（ＡＰＭ）に課金が開始されるよう要求を行う（Ｓ３５０）。この時、アクセスポイント（ＡＰ）は課金開始要求メッセージ（Acc-request（start））を介して情報を伝送することになる。そして、アクセスポイント（ＡＰ）は移動端末機（ＷＴ）のデータ送受信がなされるようにする（Ｓ３６０）。さらに、アクセスポイント（ＡＰ）はアクセスポイント管理者（ＡＰＭ）から前記課金開始要求に対する応答を受信すると（Ｓ３７０）、アクセスポイント管理者（ＡＰＭ）に移動端末機（ＷＴ）の状態情報を伝送する（Ｓ３８０）。前記アクセスポイント（ＡＰ）からアクセスポイント管理者（ＡＰＭ）に伝送される移動端末機（ＷＴ）の状態情報は、移動端末機状態メッセージ（Client-status）を介し伝送される。

一方、前記認証応答メッセージ（Aut-response）の分析で移動端末機が既に登録（１１ｈ）されているものと判断された場合に、アクセスポイント（ＡＰ）はアクセスポイント管理者（ＡＰＭ）に課金が開始されるよう要求せず、移動端末機（ＷＴ）のデータ送受信が続けられるようにする（Ｓ３８５）。

さらに、アクセスポイント（ＡＰ）は移動端末機（ＷＴ）からログオフの要求があるか、時間経過（Time Out）が発生したかを確認する（Ｓ３９０）。若し、移動端末機（ＷＴ）からログオフの要求があるとか時間経過が発生した場合には、アクセスポイント（ＡＰ）は課金が中断されるようアクセスポイント管理者（ＡＰＭ）に要求する（Ｓ４００）。この時、アクセスポイント（ＡＰ）は、課金中断要求メッセージ（Acc-request（stop））を介して情報を伝送する。そして、アクセスポイント（ＡＰ）は前記課金中断要求に対する応答メッセージを、アクセスポイント管理者（ＡＰＭ）から受信する（Ｓ４１０）。このようにして、アクセスポイント（ＡＰ）と認証サーバー間の移動端末機（ＷＴ）の認証が終了することになる（Ｓ４２０）。

図７は、図４でアクセスポイント管理者（ＡＰＭ）の動作を詳しく示した図である。

先ず、アクセスポイント管理者（ＡＰＭ）はアクセスポイント（ＡＰ）から認証要求があるかを確認する（Ｓ５１０）。この時、アクセスポイント管理者（ＡＰＭ）はアクセスポイント（ＡＰ）から伝送された認証要求メッセージ（Aut-request）を受信することになる。このようにアクセスポイント（ＡＰ）から認証要求メッセージ（Aut-request）が受信されると、アクセスポイント管理者（ＡＰＭ）は前記受信した認証要求メッセージ（Aut-request）を分析して認証された移動端末機（ＷＴ）なのかを確認する（Ｓ６１０）。即ち、アクセスポイント管理者（ＡＰＭ）は受信した認証要求メッセージ（Aut-request）に含まれる移動端末機（ＷＴ）のＭＡＣアドレス、ＩＰアドレス、及びアクセスポイントのＩＰアドレスを照会して既に認証されているかを確認する。

前記で移動端末機（ＷＴ）が認証されていない場合に、アクセスポイント管理者（ＡＰＭ）は認証サーバー３１０に前記受信した認証要求メッセージ（Aut-request）を伝送させて認証を要求する（Ｓ６２０）。次いで、認証サーバー３１０から認証情報を受信し（Ｓ６３０）、認証が正常的に行われた場合には移動端末機（ＷＴ）の情報、アクセスポイント（ＡＰ）の情報、及び認証情報を貯蔵する（Ｓ６４０）。そして、アクセスポイント管理者（ＡＰＭ）は、前記認証を要求したアクセスポイント（ＡＰ）に認証応答メッセージ（Aut-response）を伝送させて応答する（Ｓ６５０）。この時、前記アクセスポイント管理者（ＡＰＭ）は認証応答メッセージ（Aut-response）の Connectionフィールドを、例えば００ｈに設定させることにより移動端末機（ＷＴ）が新規に認証されたことを示す。

若し、前記で移動端末機（ＷＴ）が認証されている場合に、アクセスポイント管理者（ＡＰＭ）は認証サーバー３１０に認証を要求せず直接認証を行うことになる。この時、アクセスポイント管理者（ＡＰＭ）は受信した認証要求メッセージ（Aut-request）に含まれるアクセスポイント（ＡＰ）のＩＰアドレスを更新させて貯蔵する（Ｓ６６０）。次いで、アクセスポイント管理者（ＡＰＭ）は前記認証を要求したアクセスポイント（ＡＰ）に認証応答メッセージ（Aut-response）を伝送させて応答する（Ｓ６７０）。この時、アクセスポイント管理者（ＡＰＭ）は前記認証応答メッセージ（Aut-response）の Connectionフィールドを、例えば１１ｈに設定させることにより移動端末機（ＷＴ）が既に認証されていることを示す。

一方、アクセスポイント管理者（ＡＰＭ）は、アクセスポイント（ＡＰ）から課金に対する要求が受信されるかを判断する（Ｓ５２０）。この時、アクセスポイント（ＡＰ）から課金開始要求メッセージ（Acc-request（start））が受信された場合には、アクセスポイント管理者（ＡＰＭ）は認証サーバー３１０に前記課金開始要求メッセージ（Acc-request（start））を伝送させて課金が開始されるように要求する（Ｓ５３０）。次いで、認証サーバー３１０から課金開始応答メッセージ（Acc-response（start））が受信されると、アクセスポイント管理者（ＡＰＭ）は該当アクセスポイント（ＡＰ）に課金開始応答メッセージ（Acc-response（start））を伝送させる（Ｓ５５０）。そして、アクセスポイント管理者（ＡＰＭ）は、アクセスポイント（ＡＰ）から移動端末機（ＷＴ）の状態を示す移動端末機状態メッセージ（Client-status）を受信する（Ｓ５６０）。

若し、アクセスポイント（ＡＰ）から課金中断要求メッセージ（Acc-request（stop））が受信されると、アクセスポイント管理者（ＡＰＭ）は前記受信した課金中断要求メッセージ（Acc-request（stop））を認証サーバー３１０に伝送させて課金が中断されるよう要求する（Ｓ５７０）。次いで、認証サーバー３１０から課金中断応答メッセージ（Acc-response（stop））が受信されると、アクセスポイント管理者（ＡＰＭ）は該当アクセスポイント（ＡＰ）に課金中断応答メッセージ（Acc-response（stop））を伝送させる（Ｓ５９０）。これにより、アクセスポイント（ＡＰ）と認証サーバー３１０間の移動端末機（ＷＴ）の認証が終了する（Ｓ６００）。

このように、本発明の属する技術分野の当業者は、本発明がその技術的思想や必須的特徴を変更せず他の具体的な形態で実施できるとのことを理解することができるはずである。それ故、以上で記述した実試例は全ての面で例示的なものであり、限定的なものではないことと理解しなければならない。本発明の範囲は前記詳細な説明よりは後述する特許請求範囲により示され、特許請求範囲の意味及び範囲、またその等価概念から導き出される全ての変更、または変形された形態が本発明の範囲に含まれるものと解釈されなければならない。

（発明の効果）
このような本発明によれば、同一のサブネット（Subnet）だけでなく相違したサブネットに属するアクセスポイント間を移動端末機が移動しても、既に認証された認証情報をアクセスポイント管理者で管理しアクセスポイントに認証することにより、再認証を経ずネットワークと連続的な接続が可能になって移動性が保障され、課金が可能になる。

（符号の説明）
１２０、１４０:アクセスポイント
１３０:ＩＰコア
１６０:アクセスポイント管理者（Access Point Manager）
３１０:認証サーバー
３２０:ＭＳＣ／ＨＬＲ
３３０:移動網事業者コア
３４０:課金ゲートウェイ

従来の実試例に係る公衆無線近距離通信網と移動網事業者システムの接続関係を概略的に示した図。図１に示された従来の公衆無線近距離通信網と移動網事業者システムによる認証段階を詳しく示した図。本発明の実試例に係る公衆無線近距離通信網と移動網事業者システムによる認証及び課金システムの構成を示した図。図３に示された移動端末機とアクセスポイント、アクセスポイント管理者、認証サーバー間の認証及び課金を行うためのプロトコルを示した図。図４に示された認証要求メッセージと認証応答メッセージ及び移動端末機状態メッセージのフォーマットを示した図。図４でアクセスポイントの動作を詳しく示したフロー図。図４でアクセスポイント管理者の動作を詳しく示したフロー図である。

Claims

移動網事業者の認証サーバーを介し認証及び課金を行うシステムにおいて、
移動端末機と無線で接続して移動端末機に対する情報を認証要求メッセージに、または課金要求メッセージに含ませ出力して認証及び課金を要求し、認証応答メッセージを受信して認証された移動端末機に対しデータ送受信がなされるよう制御するアクセスポイント;及び
前記アクセスポイントからの移動端末機に対する認証要求メッセージを受信し、前記移動端末機が既に認証されているか確認し、認証されていない移動端末機の場合には前記認証要求メッセージを前記移動網事業者の認証サーバーに伝送させた後、認証応答メッセージを受信すると前記アクセスポイントに認証応答メッセージを伝送し、既に認証されている移動端末機の場合には登録された認証情報に基づき認証応答メッセージをアクセスポイントに伝送させるアクセスポイント管理者で構成されたことを特徴とする公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは、認証要求メッセージに認証を受けようとする移動端末機のＭＡＣアドレスとＩＰアドレスを含ませて伝送することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは、認証要求メッセージに認証を要求するアクセスポイントのＩＰアドレスを含ませて伝送することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは、認証要求メッセージに認証を受けようとする移動端末機からの使用者ＩＤとパスワードを含ませて伝送することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは認証応答メッセージに含まれた認証情報に基づき移動端末機が新規に認証されたか、または既に認証されているかを確認することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは認証応答メッセージに含まれた認証情報に基づき移動端末機が新規に認証されたものと確認された場合には、前記認証された移動端末機に対し課金が開始されるよう課金開始要求メッセージをアクセスポイント管理者に伝送することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは認証された端末に対し課金が開始されるよう課金開始要求メッセージが伝送された場合には、認証された移動端末機に対しデータ送受信がなされるよう制御することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは課金開始要求メッセージを伝送した後、移動端末機の状態情報をアクセスポイント管理者に伝送させることを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイントは移動端末機からログオフ要求があるとか時間経過が発生すると、アクセスポイントに課金を中断させるよう課金中断要求メッセージを伝送させることを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイント管理者はアクセスポイントから認証要求メッセージが受信されると、認証しようとする移動端末機が既に認証されているかを確認することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイント管理者は認証要求メッセージに基づき移動端末機が認証されていないものと判断された場合には、移動網事業者の認証サーバーに認証要求メッセージを伝送させて認証することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイント管理者は移動端末機が新規に認証された場合には、新規に認証されたのを示す情報を認証応答メッセージに含ませてアクセスポイントに伝送させることを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイント管理者は認証要求メッセージに基づき移動端末機が既に認証されているものと判断された場合には、登録された認証情報に基づき直接認証することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイント管理者は移動端末機が既に認証されている場合には、既に認証されていることを示す情報を認証応答メッセージに含ませてアクセスポイントに伝送させることを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイント管理者はアクセスポイントから移動端末機の課金開始要求メッセージが受信された場合には、課金が開始されるよう認証サーバーに課金開始要求メッセージを伝達することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
前記アクセスポイント管理者はアクセスポイントから移動端末機の課金中断要求メッセージが受信された場合には、課金が中断されるよう認証サーバーに課金中断要求メッセージを伝達することを特徴とする請求項１に記載の公衆無線近距離通信網で移動性を有する認証システム。
アクセスポイントから移動端末機の認証及び課金要求メッセージを受信すると、移動網事業者の認証サーバーを介して認証及び課金を行う方法において、
アクセスポイントから認証要求メッセージを受信すると、受信した認証要求メッセージに基づき移動端末機を認証した後、該当アクセスポイントに認証応答メッセージを伝送させる認証段階と;
アクセスポイントから課金要求メッセージを受信すると受信した課金要求メッセージを認証サーバーに伝達し、認証サーバーから課金要求応答メッセージを受信すると前記課金要求応答メッセージをアクセスポイントに伝達する課金段階で構成されたことを特徴とする公衆無線近距離通信網で移動性を有する認証方法。
前記認証段階はアクセスポイントから受信した認証要求メッセージに基づき移動端末機が既に認証されているかを判断する段階と;
移動端末機が既に認証されている場合には、予め登録された認証情報に基づきアクセスポイントに認証応答メッセージを伝送させる段階; 及び
移動端末機が認証されていない場合には、認証サーバーから認証を受けた後アクセスポイントに認証応答メッセージを伝送させる段階で構成されたことを特徴とする請求項１７に記載の公衆無線近距離通信網で移動性を有する認証方法。
前記認証サーバーから認証を受けた後アクセスポイントに認証応答メッセージを伝送させる段階は、移動端末機の情報とアクセスポイントの情報、及び認証情報を登録させる段階を含むことを特徴とする請求項１８に記載の公衆無線近距離通信網で移動性を有する認証方法。
前記予め登録された認証情報に基づきアクセスポイントに認証応答メッセージを伝送させる段階は、受信した認証要求メッセージに基づきアクセスポイントの情報を更新させる段階を含むことを特徴とする請求項１８に記載の公衆無線近距離通信網で移動性を有する認証方法。
前記認証応答メッセージを伝送させる段階は認証応答メッセージに移動端末機が新規に認証されたか、既に認証されているかを示す情報を含ませる段階を含むことを特徴とする請求項１８に記載の公衆無線近距離通信網で移動性を有する認証方法。
アクセスポイントが移動端末機の認証及び課金をアクセスポイント管理者を介し要求する方法において、
移動端末機と無線で接続する段階と;
接続した移動端末機の情報を認証要求メッセージに含ませてアクセスポイント管理者に伝送させる認証要求段階; 及び
前記認証要求段階から伝送された認証要求メッセージに対する認証応答メッセージをアクセスポイント管理者から受信し、前記認証応答メッセージに含まれた認証情報に基づき選択的にアクセスポイント管理者に課金が開始されるよう要求する段階で構成されたことを特徴とする公衆無線近距離通信網で移動性を有する認証方法。
前記認証要求段階は、認証要求メッセージに移動端末機のＭＡＣアドレスとＩＰアドレスを含ませる段階を含むことを特徴とする請求項２２に記載の公衆無線近距離通信網で移動性を有する認証方法。
前記認証要求段階は、認証要求メッセージにアクセスポイントのＩＰアドレスを含ませる段階を含むことを特徴とする請求項２２に記載の公衆無線近距離通信網で移動性を有する認証方法。
前記課金が開始されるよう要求する段階は、受信した認証応答メッセージに基づき移動端末機が新規に認証されたものであるか判断する段階と;
移動端末機が新規に認証されたものと判断された場合には、課金が開始されるようアクセスポイント管理者に課金開始要求メッセージを伝送し、移動端末機のデータ送受信が開始されるようにする段階; 及び
移動端末機が既に認証されたものと判断された場合には、移動端末機のデータ送受信が開始されるようにする段階で構成されたことを特徴とする請求項２２に記載の公衆無線近距離通信網で移動性を有する認証方法。