JP2008199324A - 通信制御課金システム、通信制御課金方法、および通信制御課金プログラム - Google Patents

Abstract

【課題】既成の通信認証システムへの導入を容易とし、通信セッションの制御を行うと共に通信セッションに応じた課金を行う。
【解決手段】企業網１０に接続された通信端末１が、プロバイダ網２０に接続された相手端末２との相互間通信を行う場合に、予めプロバイダ網２０に設けられた認証管理装置２１が、通信端末１の通信アクセス認証を行う。そして、認証管理装置２１は、認証された通信端末１と相手端末２との相互間通信セッションの確立を制御すると共にこの通信セッションに応じた通信料金を管理する。
【選択図】図１

Description

本発明は、通信ネットワークを介して通信端末と相手端末との間で行われる通信の許容について制御する通信制御課金システム、通信制御課金方法、および通信制御課金プログラムに関する。

従来、企業や個人の施設内に設置される通信ネットワーク(以下「企業ネットワーク」という)にあっては、この企業に属さないユーザ(以下「ゲストユーザ」という)によって利用される場合、企業ネットワークの所有者や管理者側が、当該通信利用に応じた通信費をゲストユーザから対価として適切に得ることが困難であった。

即ち、ゲストユーザの通信利用に応じた通信費を適切に課金するためには、例えば、図13に示すような通信事業者ネットワーク間で行われるローミングサービスのように、認証手段、セッション制御手段、課金手段など大規模で複雑な処理を行うネットワーク設備を企業ネットワーク内に設置しなければならない。

ここで、図13に開示されたネットワーク構成は、通信事業者Ａのネットワーク60と通信事業者Ｂのネットワーク70とが相互に接続され、通信事業者Ａネットワーク60に通信接続された通信端末51と通信事業者Ｂネットワーク70に通信接続された相手端末52とが相互間通信可能に接続された状態となっている。

上述した通信事業者Ａネットワーク60は、通信端末51の通信アクセスを管理する通信事業者Ａ網管理装置61を備えている。この通信事業者Ａ網管理装置61は、通信端末51の通信アクセス認証および通信事業者Ｂネットワーク側70からの通信アクセスに対して認証を行うアクセス認証手段62と、アクセス認証された通信端末１と通信事業者Ｂネットワーク側70との通信セッションの確立および終了を制御するセッション制御手段63と、このセッション制御手段63により確立された通信セッションに応じた通信料金の課金を行うと共にこの課金情報を管理する課金情報管理手段64とにより構成される。

又、上述した通信事業者Ｂネットワーク70も同様に構成され、相手端末52の通信アクセスを管理する通信事業者Ｂ網管理装置71を備えている。この通信事業者Ｂ網管理装置71は、相手端末52の通信アクセス認証および通信事業者Ａネットワーク60側からの通信アクセスに対して認証を行うアクセス認証手段72と、アクセス認証された相手端末２と通信事業者Ａネットワーク60側との相互間通信セッションの確立および終了を制御するセッション制御手段73と、このセッション制御手段73により確立された通信セッションに応じた通信料金の課金を行うと共に課金情報を管理する課金情報管理手段74とにより構成される。

このようなネットワーク構成にあって、例えば、通信端末51は、予め割当てられた認証ID・認証パスワードを使用して、通信事業者Ａネットワーク60および通信事業者Ｂネットワーク70のそれぞれでアクセス認証を受けることにより、相手端末52との通信セッションが確立されると共に当該通信セッションに対応する通信料金を課金することができる。

ところで、ゲストユーザが企業ネットワークを利用して通信を行うにあたって、企業ネットワーク内のセキュリティ対策として、通信データの内容が分析される場合や、ゲストユーザの通信データが盗聴やデータ漏えい等の対象となる場合が生じる。

こうした場合においても、通信事業者が契約に基づき利用者の通信データについてのセキュリティや秘匿性を担保するためには、企業ネットワーク内に上述したローミングサービスのような大規模なネットワーク設備を設置する必要があった。

これに対して、通信事業者のネットワークから企業ネットワークの各ユーザ端末に対して動的に変更可能なＩＰアドレスが割当てられ、当該ＩＰアドレスに基づきプロバイダ側で認証処理および課金処理を行う方法が開示されている(特許文献１参照)。
特開２００３−８７２９９公報

しかしながら、上記の従来例における課金処理方法では、上述したように、ゲストユーザによる通信の秘匿性を確保できないという不都合がある。又、ゲストユーザと予め設定された通信事業者側の端末(サーバなど)との相互間通信セッションを制御する機構が、企業ネットワーク側(ここではルータ)に実装されているので、既存の通信認証システムへの導入が容易ではないという不都合がある。

このため、ゲストユーザが企業ネットワークを利用して外部ネットワーク(例えば、通信事業者ネットワークやインターネット等)との通信を行う場合に、複雑で大規模なネットワーク構成を利用しなければ、ゲストユーザの通信利用の度合いに応じた適切な通信費を課金を行うことができないという不都合が生じていた。

更に、上記従来例にあっては、企業ネットワークにおけるゲストユーザの通信データが盗聴やデータ漏えいの対象となる可能性があり、通信の秘匿性が確保できないという不都合があった。

［発明の目的］
本発明は、上記従来例の有する不都合を改善し、複雑で管理コストの高い既存の通信認証および通信制御システムに代えて、既成の通信認証および通信制御システムへ容易に導入可能で、且つ通信セッションに応じた適切な課金を行うことができる通信制御課金システム、通信制御課金方法、および通信制御課金プログラムを提供することを、その目的とする。

上記目的を達成するために、本発明に係る通信制御課金システムでは、1又は2以上の通信端末が接続されたローカルネットワークと、このローカルネットワークの一部を構成すると共に外部ネットワークに接続された網相互間接続装置と、前記外部ネットワークに接続された相手端末とを備えた通信制御課金システムであって、前記通信端末が前記ローカルネットワークに通信アクセスを行う場合に前記通信端末のアクセス認証を行う認証管理装置を前記外部ネットワークに設け、この認証管理装置が、前記通信端末と相手端末との相互間通信セッションの確立を制御する通信セッション制御機能と、前記通信セッションに応じた通信料金を管理する通信課金管理機能とを備える、という構成をとっている。

ここで、前記認証管理装置については、前記アクセス認証された通信端末に対して通信アクセス用の通信パラメータを割当てる通信パラメータ割当機能と、前記通信パラメータにより特定される前記通信端末と前記外部ネットワーク側との相互間通信を許容するか否かの通信選別ルールを決定する通信選別ルール決定機能とを備え、前記網相互間接続装置が、前記通信端末と前記外部ネットワークとの相互間通信を前記通信選別ルールに基き許容又は遮断する制御を行う通信通過制御機能を有する構成としてもよい(請求項１乃至４)。

これにより、予め外部ネットワークの認証管理装置に通信端末と相手端末との相互間通信を確立するための通信セッション確立機能および課金情報管理機能を設け、ローカルネットワーク側では通信の規制制御のみを行う構成としたので、これにより、大規模で複雑な処理を行うネットワーク設備を企業ネットワーク内に設置することなく、通信端末利用者に対して通信セッションに応じた適切な課金を行うことができる。

又、前記網相互間接続装置を介して行われる前記通信端末と相手端末との相互間通信における通信帯域を設定制御する通信帯域制御手段を、前記網相互間接続装置に併設してもよい(請求項５)。
これにより、前記通信端末と相手端末との間で確立される相互間通信について、データロスやオーバフローなどを抑制することができる。

更に、前記通信端末と相手端末との相互間通信で送受信されるＩＰパケットについて暗号化を行う暗号化手段とこの暗号化されたＩＰパケットの複合化を行う複合化手段とを、前記認証管理装置、通信端末、および相手端末のそれぞれが有する構成としてもよい(請求項６)。
これにより、セキュリティ対策として通信データの内容分析を必要とするような大規模で複雑なネットワーク設備を用いることなく、通信事業者の暗号化方式を利用することで、通信端末のユーザが企業網を利用した通信を行う場合に生じる通信データの盗聴やデータ漏えいを軽減し、簡易に通信セキュリティを高めることができる。
更に、前記認証管理装置は、前記通信端末に割当てられた通信パラメータと予め設定された前記通信端末の識別情報とを対応させて記憶する通信パラメータ管理機能を備えた構成としてもよい(請求項７)。

又、本発明にかかる通信制御課金方法は、ローカルネットワークおよび外部ネットワークを介して通信端末と相手端末とが相互間通信を行う場合に、予め前記外部ネットワークに設けられた認証管理装置が前記通信端末と相手端末との相互間通信セッションの確立を制御すると共に当該通信セッションに対する課金を行う通信制御課金方法であって、前記ローカルネットワークへの通信アクセスに先立ち、前記通信端末が前記認証管理装置にアクセス認証を要求するアクセス認証要求工程と、受信したアクセス認証要求に応じて前記認証管理装置が、通信アクセス用の通信パラメータを前記通信端末に割当てることにより通信アクセス認証を行う通信認証割当工程と、前記アクセス認証を取得した通信端末が前記相手端末との通信セッションを確立する通信セッション確立工程と、前記確立された通信セッションが停止されると共に課金情報が算出される通信課金工程を有することを特徴とする。又、前記通信セッションの確立された通信端末と相手端末との間の相互間通信を許容するか否かの制御を行う通信セッション通過制御工程を通信課金工程の前に設けてもよい(請求項８乃至９)。

これにより、通信端末と相手端末との相互間通信における通信セッション制御を実行するのに先立ち、外部ネットワークの認証管理装置がアクセス認証を行うことにより、企業網側(網相互間接続装置)では、適切な通信セッション通過制御を行うことができ、このため、通信セッションに応じて通信端末利用者に対する適切な課金を行うことができる。

更に、本発明にかかる通信制御課金プログラムでは、ローカルネットワークおよび外部ネットワークを介して通信端末と相手端末とが相互間通信を行う場合に、前記通信端末と相手端末との間で確立される通信セッションを制御すると共に当該通信セッションに対する課金を行うための通信制御課金プログラムにおいて、前記通信端末から受信される当該ローカルネットワークへの通信アクセス要求に応じて通信アクセス元を特定する通信パラメータを割当てる通信パラメータ割当機能、前記通信パラメータを取得した通信端末と予め通信先として特定された前記相手端末との間に通信セッションを確立すると共に当該通信セッションの制御を行う通信セッション制御機能、前記確立された通信セッションを特定するセッション識別情報に基づき通信料金情報を生成すると共に当該通信料金情報を記憶する課金情報記憶機能をコンピュータに実行させることを特徴としている(請求項10)。

又、前記前記通信パラメータにより特定される前記通信端末から外部ネットワークへの通信アクセスを許容するか否かの制御を行う通信アクセス通過制御機能と、前記通信端末と相手端末との間で確立された通信セッションを特定するセッション識別情報に基づいて前記通信端末と相手端末との相互間通信を許容する制御を行う通信セッション通過制御機能と、前記前記通信端末と相手端末との相互間通信の通信帯域を制御する通信帯域制御機能をコンピュータに実行させることを特徴としてもよい(請求項11乃至12)。
これにより、前記通信端末と相手端末との相互間で確立された通信セッションをセッション識別情報に基づいて、迅速に特定することができる。このため、通信セッション毎に、適切に通信の規制を制御できると共に適切に課金を行うことができる。

本発明は、以上のように構成され機能するので、これによると、予め外部ネットワークの認証管理装置に通信端末と相手端末との相互間通信を確立するための通信セッション確立機能および課金情報管理機能を設け、ローカルネットワーク側では通信の規制制御のみを行う構成としたので、これにより、外部ネットワーク側で通信セッション確立の制御および当該通信セッションに応じた適切な課金を行うことができ、且つ既成のローカルネットワークおよび外部ネットワークからなる通信認証および通信制御システムへ容易に導入することができるという従来にない優れた通信制御課金システム等を提供することができる。

次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。

［実施形態］
本発明の実施形態は、図１に示すように、企業の施設内に設けられたローカルエリアネットワーク(LAN)である企業網10と、この企業網10に通信回線を介して接続された外部ネットワークを備えている。前記外部ネットワークについては、本実施形態では、企業網10にインターネット通信サービスを提供する通信事業者(ISP：Internet Service Provider)のネットワーク(以下「プロバイダ網」という)20を想定している。更に、本実施形態では、前記企業網10に通信回線を介して接続された通信端末１と、前記プロバイダ網20に接続された相手端末２とを備え、通信端末１と相手端末２とが企業網10およびプロバイダ網20を介して相互に通信可能に接続された状態となっている。

上述した通信端末１は、企業網10の設けられた企業に属さないゲストユーザにより利用可能な状態で設置され、又、このゲストユーザには予めユーザＩＤおよびパスワードが割当てられているものとする。

企業網10は、前記通信端末１に対して企業網10への通信アクセスを提供するアクセス手段11と、このアクセス手段11を介して前記通信端末１からアクセス要求を受信すると共に前記通信端末１に代わってアクセス要求を行うアクセス要求代行手段12を備え、更に、上述したプロバイダ網20に通信回線を介して接続された企業網ゲートウェイ(網相互間接続手段に相当)13と、この企業網ゲートウェイ13を介して行われる通信について規制制御を行うゲートウェイ制御手段14と、このゲートウェイ制御手段14に接続され前記通信端末１により行われる通信の課金算出を行う課金算出手段15とにより構成されている。

プロバイダ網20は、このプロバイダ網20の一部を構成すると共に前記通信端末１によって行われる通信アクセスの認証を行う認証管理装置21を有する。
この認証管理装置21は、企業網10に対する通信端末１の通信アクセスに対してアクセス認証を行うアクセス認証手段31と、アクセス認証された通信端末１と前記相手端末２とを相互につなぎ通信セッションを確立するセッション制御手段32と、確立された通信セッション毎に対応した通信料金を記憶する課金情報管理手段33とにより構成されている。

尚、図1における、ゲートウェイ制御手段14とセッション制御手段32との相互間通信16Ａ、アクセス要求代行手段とアクセス認証手段31との相互間通信17Ｂ、および課金算出手段15から課金情報管理手段33への通信18Ｃは、実際には図２に示すように、それぞれ企業網ゲートウェイ13を介して行われる。

以下、上述した本実施形態の各構成について更に詳述する。
上述した企業網10のアクセス手段11は、企業網10に通信アクセスを行うのに必要な認証を要求するメッセージ(以下「アクセス要求」という)を通信端末１から受信すると共に、このアクセス要求をアクセス要求代行手段12に転送するアクセス要求転送機能を備える。
又、アクセス手段11は、認証管理装置21のアクセス認証手段31から通信端末１に割当てられたＩＰアドレスを、予め備えられたＩＰアドレスリストに記憶する割当アドレス記憶機能と、このＩＰアドレスリストに基づき通信端末１から送り込まれるＩＰパケットの送信元ＩＰアドレスとの一致の可否を判定することにより、当該ＩＰパケットの通過の可否を判断するパケット通過制御機能を有する。ここで、上記アクセス要求およびアクセス応答のデータ形式をそれぞれ図３(A)および(B)に示している。
更に、上記ＩＰアドレスリストのデータ形式の一例を図３(C)に示す。このＩＰアドレスリストに記憶されるＩＰアドレスは、通信端末１のユーザが、アクセス認証手段31に認証され割当てられた認証アドレスである。
又、アクセス手段11がこのＩＰアドレスリストに基づいて、受信したＩＰパケットの通信通過を許容した場合、このＩＰパケットは企業網ゲートウェイ13に送られる。

ここで、アクセス手段11が、通信端末１から送られたＩＰパケットを受信した場合の動作について、図4(A)のフローチャートに基づき説明する。
まず、アクセス認証された通信端末１からＩＰパケット(例えば、通信認証要求)を受信する(ステップS301)。ＩＰアドレスリストを参照することにより、受信したＩＰパケットの送信元アドレスと一致の可否を調べる(ステップS302)。
そして、ＩＰパケットの送信元アドレスとＩＰアドレスリストの内容とが一致する(つまり、送信元アドレスが割当てられている認証アドレスであることが判定される)場合(ステップS303)には、ＩＰパケットを通過させる(ステップS304)。ＩＰパケットの送信元アドレスとＩＰアドレスリストの内容とが一致しない(つまり、送信元アドレスが通信端末１に割当てられている認証アドレスではない)場合、このＩＰパケットを破棄する(ステップS305)。
ただし、上述のように、アクセス手段11が通信端末１からアクセス要求を受信した場合には、アクセス手段11は、このアクセス要求をアクセス代行要求手段12に転送する。

アクセス要求代行手段12は、前記アクセス手段11からアクセス要求を受信した場合に、このアクセス要求に要求元ＩＤとしてアクセス要求代行手段12の識別情報を付与すると共にアクセス代理要求としてプロバイダ網20のアクセス認証手段22に送信するアクセス代理要求機能を備えている。

又、アクセス要求代行手段12は、アクセス代理要求に応じて送り込まれたアクセス代理応答を、通信端末１に送信するアクセス応答転送機能を有する。ここで、アクセス認証手段22によってアクセスが認証された場合、受信するアクセス代理応答には、通信端末１に割当てられた認証アドレスが付与されている。ここで、上記アクセス代理要求およびアクセス代理応答のデータ形式の一例をそれぞれ図４(B)および(C)に示す。
更に、アクセス要求代行手段12は、アクセス代理応答に付与された認証アドレスをゲートウェイ制御手段14に通知する認証アドレス通知機能を備えている。

企業網ゲートウェイ13は、ゲートウェイ制御手段14による制御に基づき動作して企業網10とプロバイダ網20との相互間で行われるＩＰパケット通信の許容又は遮断を行う網相互間通信規制機能と、ゲートウェイ制御手段14による制御に基づき動作して企業網10とプロバイダ網20との相互間通信の伝送レートの規制制御を行う通信速度規制機能を備えている。ここで、本実施形態では、予め企業網ゲートウェイ13に設定された最低通信帯域の伝送レートを、30kbpsとする。

ゲートウェイ制御手段14は、アクセス要求代行手段12から通知された通信端末1の認証アドレスを、予め設定されたＩＰアドレスリストに記憶する認証アドレス記憶機能と、このＩＰアドレスリストに記憶されたアドレスを有するＩＰパケットの通信を許容するように企業網ゲートウェイ13を指示制御する認証アドレス通過制御機能(通信アクセス通過制御機能に対応)を備えている。このＩＰアドレスリストのデータ形式の一例は、上述と同様に図３(C)に示されている。
又、ゲートウェイ制御手段14は、後述するセッション制御手段32から送られるメッセージ(通信セッション通過要求)に基づいて、通信端末１と相手端末２との相互間通信セッションの通信を許容又は遮断するように企業網ゲートウェイ13を指示制御する通信セッション通過制御機能を備えている。

更に、ゲートウェイ制御手段14は、通信端末１と相手端末２との相互間で確立された通信セッションで利用される通信帯域を前記通信セッション通過要求に基づき設定すると共に前記企業網ゲートウェイ13を介して行われる通信の帯域制御を行う通信帯域設定制御機能(通信帯域制御機能に対応)を有する。
ここで、ゲートウェイ制御手段14は、確立された通信セッションでの通信を許容するか否かの応答メッセージ(以下「セッション通過応答」という)を返信する。上記セッション通過要求および通過応答のデータ形式の一例を図５(A)(B)に示している。

ここで、前記セッション通過要求を受信した場合の、ゲートウェイ制御手段14の動作について、図６(A)のフローチャートに基づき説明する。
まず、ゲートウェイ制御手段14は、セッション制御手段32からセッション通過要求を受信する(ステップS311)。次いで、ゲートウェイ制御手段14は、企業網ゲートウェイ13に空きポートおよび利用可能な通信帯域があるか否かを調べる(ステップS312)。企業網ゲートウェイ13に空きポートおよび通信帯域がある場合に、ゲートウェイ制御手段14は、セッション通過要求に基づき特定される通信セッションの通信を許容すると共に当該通信の帯域制御を行う(ステップS313)。又、ゲートウェイ制御手段14は、セッション制御手段32にセッション通過応答を返信する(ステップS314)。
一方、企業網ゲートウェイ13に空きポートおよび通信帯域がない場合(又は企業網10が利用されている場合)に、セッション制御手段32にセッション通過拒否応答を返信する(ステップS315)。

課金情報算出手段15は、ゲートウェイ制御手段14から送られた通信セッション識別情報(通信時間、通信帯域、ＩＰパケット量)に基づいて、予め設定された算出方法により、通信料金の算出(課金)を行う通信料金算出機能と、算出された通信料金とセッション識別情報を課金情報管理手段33に送信する課金情報送信機能を備えている。ここで、上記課金情報登録要求のデータ形式の一例を図６(B)に示す。
尚、前記通信料金算出機能は、この課金情報算出手段15に代えて、認証管理装置21の課金情報管理手段33に備えられてもよい。
これにより、課金情報を通知することなく、迅速に課金情報管理手段の有する課金情報リストを更新することができる。

前記認証管理装置21のアクセス認証手段31は、通信端末１およびそのユーザを認証するためのアカウント情報(ユーザＩＤ、パスワード、通信端末１のＩＤ)を予め記憶するアカウント情報記憶機能を備え、アクセス要求代行手段12を介して送り込まれるアクセス代理要求を受信した場合に当該アクセス代理要求に対応して通信端末１に割当てるＩＰアドレス(以下「認証アドレス」という)を設定する認証アドレス設定機能(通信パラメータ割当機能に対応)を備えている。
又、アクセス認証手段31は、この認証アドレスと前記アカウント情報とを対応させて記憶するアドレス対応記憶機能(通信パラメータ管理機能に対応)と、前記認証アドレスを付与されたアクセス応答を通信端末１に向けて送信するアクセス応答返信機能とを有する。

更に、アクセス認証手段31は、前記設定された認証アドレスをセッション制御手段32に通知する第一の認証アドレス通知機能と、企業網10側から送り込まれる通信認証要求と前記記憶された認証アドレスとを比較して通信開始認証の可否を判定する通信認証判定機能を備えている。
又、前記通信認証要求に対して認証を行う場合に通信認証応答を返信する通信認証応答機能と、この通信認証応答の返信先アカウント情報および前記認証アドレスをセッション制御手段32に通知する第二の認証アドレス通知機能を備えている。

ここで、アクセス代理要求を受信した場合のアクセス認証手段31の動作について、図７のフローチャートに基づいて説明する。
まず、アクセス要求代行手段12により送信されたアクセス代理要求を受信する(ステップS321)。アクセス認証手段31に予め記憶されたアカウント情報と受信されたアクセス代理要求のアカウント情報との一致の可否を判定する(ステップS322)。アカウント情報が一致した場合(ステップS323)、通信端末１に割当てる認証アドレスを生成する(ステップS324)。アドレス応答を生成すると共に当該アドレス応答に認証アドレスを付加する(ステップS325)。予め備えられたＩＰアドレス対応リストを更新する(ステップS326)。一方で、アカウント情報が一致しない場合、アドレス要求拒否応答を生成する(ステップS327)。

セッション制御手段32は、通信端末１と相手端末２との相互間通信の中継を行い通信セッションを確立する通信セッション確立機能部を備えている。
このセッション確立機能部は、アクセス認証手段31から通知された認証アドレスを記憶する認証アドレス記憶機能と、通信端末１から送信されたセッション開始要求を受信すると共に当該セッション開始要求の送信元ＩＰアドレスと前記記憶された認証アドレスとの一致の可否を判定し、一致する場合にこのセッション開始要求を相手端末２に転送するセッション要求判定中継機能とを備えている。
更に、セッション確立機能部は、相手端末２から送り込まれるセッション開始応答に基づいて、通信端末１と相手端末２との相互間通信の許容を要求するメッセージ(以下「通信セッション通過要求」という)を生成すると共にこの通信セッション通過要求をゲートウェイ制御手段14に送信するセッション通過要求生成送信機能と、この通信セッション通過要求に応じて送り込まれるセッション通過応答を受信した場合に通信端末１に通信セッションの確立を通知するセッション開始応答を送信するセッション開始応答送信機能を有する。
ここで、上記セッション開始要求および開始応答のデータ形式の一例をそれぞれ図８(A)および(B)に示している。

又、セッション制御手段32は、通信端末１から送信されたセッション停止要求を受信すると共にこのセッション停止要求を相手端末２に転送するセッション停止要求中継機能と、相手端末２から送り込まれるセッション停止応答を受信すると共にセッション終了要求として通信端末１に送信するセッション終了要求送信機能とを備えている。

課金情報管理手段33は、企業網10の課金情報算出手段15から送り込まれる課金情報を受信すると共に当該課金情報を予め備えられた課金情報リストに記憶する課金情報記憶機能を有する。ここで、記憶される課金情報は、前記セッション通過要求に含まれるセッション識別情報に基づいて通信セッション毎に記憶される。
尚、上述のように、課金情報管理手段33は、課金情報算出手段15に代えて、認証管理装置21の課金情報管理手段33に通信料金算出機能を備えてもよい。
これにより、迅速に課金情報管理手段33の課金情報リストを更新することができる。

ところで、上述した通信端末１、認証管理装置21、相手端末２は、それぞれ暗号化手段および複合化手段をそれぞれ有する。

図１に示した通信制御課金システムは、図９に示すように、通信端末１は暗号化手段２および複合化手段３を、認証管理装置21は暗号化手段23および複合化手段2４からなる暗号複合化部22を、そして、相手端末２は暗号化手段41および複合化手段42をそれぞれ有する。これにより、通信端末１、認証管理装置21、および相手端末２の相互間で通信されるＩＰパケットは、ＩＰヘッダ部以外のペイロード部が暗号化されて通信される。

ここで、通信端末１から認証手段31への通信は、通信端末１がＩＰパケットを暗号化して送信し、送信されたＩＰパケットは企業網ゲートウェイ13を介して認証管理装置21の複合化手段23に送られると共に複合化され認証手段31で受信される。
又、アクセス認証手段31から通信端末１への通信も同様に、アクセス認証手段31がＩＰパケットを送信するに際し暗号化手段22で暗号化して送信する。送信されたＩＰパケットは企業ゲートウェイ13を介して通信端末１に送られ、複合化手段３で複合化される。
通信端末１とセッション制御手段32との相互間通信も同様に通信される。

又、相手端末２とアクセス認証手段31との相互間通信は、アクセス認証手段31が、ＩＰパケットを送信するに際し暗号化手段22で暗号化して送信し、プロバイダ網20を介して相手端末40に送られ、複合化手段42で複合化される。相手端末40からセッション制御手段32への通信も同様に、相手端末40はＩＰパケットを送信するにあたって暗号化手段41で暗号化して送信し、プロバイダ網20を介して複合化手段23に送られ、複合化手段で複合化され、セッション制御手段32に送られる。

又、通信端末１と相手端末２との相互間で通信セッションか確立された場合、図10に示すように、両端末間で暗号化通信が行われる。
尚、認証管理装置21の暗号化手段22および複合化手段23からなる暗号複合化部が、認証手段31およびセッション制御手段32の内部にそれぞれ装備された構成としてもよい。
これにより、認証手段31およびセッション制御手段32それぞれで異なる暗号化通信を行うことができる。

［実施形態の動作説明］
次に、前述した構成の通信制御課金システムの全体的な動作について説明する。
本実施形態において、前記企業網10への通信アクセスに先立ち、前記通信端末１が前記認証管理装置21にアクセス認証を要求する(アクセス認証要求工程)。
次に、受信したアクセス認証要求に応じて前記認証管理装置21が、通信アクセス用の通信パラメータを前記通信端末１に割当てることにより通信アクセス認証を行う通信認証割当工程と、前記アクセス認証を取得した通信端末が前記相手端末との通信セッションを確立する(通信セッション確立工程)。

次いで、前記通信セッションの確立された通信端末と相手端末との間の相互間通信を許容するか否かの制御を行う(通信セッション通過制御工程)。
最後に、前記確立された通信セッションが停止されると共に各通信セッションに対応した課金情報が算出される(通信課金工程)。

ここで、上記アクセス認証要求工程、通信セッション確立工程、通信セッション通過制御工程、通信課金工程については、その実行内容をプログラム化し、コンピュータに実行させるように構成してもよい。

以下、上記実施形態における認証管理課金システムの動作について更に詳説する。
ここでは、まず、通信端末１と相手端末２との相互間通信セッションが確立されるまでの動作について、図11のシーケンス図に基づいて説明し、続いて通信セッションを終了する際の動作について、図12のシーケンス図に基づいて説明する。

まず、図11のシーケンス図に基づいて、確立された通信セッションを終了する際の動作について説明する。
通信端末１は、アクセス手段11にアクセス要求を送信する(ステップS101)。アクセス手段11は、受信したアクセス要求をアクセス要求代行手段12に転送する(ステップS102)。アクセス要求代行手段12は、受信したアクセス要求をプロバイダ網20のアクセス認証手段31にアクセス代理要求として送信する(ステップS103：アクセス認証要求工程に対応)。アクセス代理要求を受信したアクセス認証手段31は、当該アクセス代理要求に対応した認証アドレスを設定し、当該認証アドレスの付加されたアクセス応答をアクセス要求代行手段12に返信する(ステップS104)と共に、セッション制御手段32に通信端末１の要求元ＩＤおよび認証アドレスを通知する(ステップS105)。

アクセス要求代行手段12は、受信したアクセス応答をアクセス手段11を介して通信端末１に転送する(ステップS106)と共に当該アクセス認証応答に含まれる認証アドレスをゲートウェイ制御手段に通知する(ステップS107)。ゲートウェイ制御手段14は、企業網ゲートウェイ13に対して通知された認証アドレスを含むＩＰパケットの通信を許容するように通信通過制御を行う(ステップS108)。
通信端末１は、認証アドレスを送信元とする通信認証要求を、送出する(ステップS109)。

ここで、通信認証要求を受信したアクセス手段11は、通信認証要求の送信元アドレスとＩＰアドレスリストの認証アドレスとの一致を判定し、一致する場合はこの通信認証要求を企業網ゲートウェイ13に転送する(ステップS110)。
次いで、転送された通信認証要求を受信した企業網ゲートウェイ13では、ゲートウェイ制御手段14が、通信認証要求の送信元アドレスとＩＰアドレスリストの認証アドレスとの一致を判定し、一致する場合には、企業網ゲートウェイ13に対して通信認証要求を通過するように制御する(ステップS111)。
このとき、企業網ゲートウェイ13では、ゲートウェイ制御手段14が、認証アドレスを送信元とするＩＰパケットについて、初期設定として予め設定された最低通信帯域(例えば30kbps)に基づいた伝送レートで企業網10からプロバイダ網20へと通過させる制御(帯域制御)を行う。

次いで、アクセス認証手段31は、通信端末1から送り込まれた通信認証要求のユーザＩＤおよびパスワードからプロバイダ網20に対する通信を判定し、通信認証応答を返信する(ステップS112)。
通信認証応答を取得した通信端末1は、セッション制御手段32に向けてセッション開始要求を送信する(ステップS113)。セッション制御手段32は、受信したセッション開始要求を相手端末２に転送する(ステップS114)。セッション開始要求を受信した相手端末２は、セッション開始応答を返信する(セッションS115)。セッション制御手段32は、受信したセッション開始応答に基づきセッション通過要求を生成すると共にゲートウェイ制御手段14に送信する(セッションS116)。
ゲートウェイ制御手段14は、受信したセッション通過要求対するセッション通過応答を返信する(ステップS117)と共に、セッション通過要求に基づいて企業網ゲートウェイ13の通信通過動作を指示制御する(ステップS118)。ここで、ゲートウェイ制御手段14は、課金算出通知手段15にセッション識別情報を通知する。これにより、課金対象の通信時間の算出が開始される。
セッション通過応答を受信したセッション制御手段32は、セッション開始応答を通信端末１に送信する(ステップS119)。セッション開始応答を受信した通信端末１は、相手端末２との通信セッションを開始する(ステップS120：通信セッション確立工程)。
このとき、ゲートウェイ制御手段14は、セッション通過要求に基づいて企業網ゲートウェイ13を介して行われる通信の帯域制御(規制制御)を行う(ステップS121：通信セッション通過制御工程)。

次いで、図12のシーケンス図に基づいて、確立された通信セッションを終了する際の動作について説明する。
通信端末１は、認証管理装置21のセッション制御手段32にセッション停止を要求するメッセージ(以下「セッション停止要求」という)を送信する(ステップS201)。セッション制御手段32は、受信したセッション停止要求を相手端末２に転送する(ステップS202)。セッション停止要求を受信した相手端末２は、セッション停止応答を返信する(ステップS203)。セッション停止応答を受信したセッション制御手段32は、セッション終了要求をゲートウェイ制御手段14に送信する(ステップS204)。
ゲートウェイ制御手段14は、セッション識別情報に基づき特定される通信セッションについて企業網ゲートウェイ13に対して通過停止制御を行う(ステップS205)と共に、セッション終了応答をセッション制御手段32に返信する(ステップS206)。又、ゲートウェイ制御手段14は、課金要求手段15に、セッション識別情報を通知する(ステップS207)。課金要求手段15は、通知されたセッション識別情報に基づき課金情報を算出すると共に認証管理装置21の課金管理手段33に送信する(ステップS208)。ここで、課金情報は、課金管理手段33に登録される。
最後に、セッション制御手段32は、通信端末１にセッション終了応答を転送する(ステップS209：通信課金工程)。

以上のように、本実施形態では、通信事業者の管理するプロバイダ網20の通信認証管理手段21に予め備えられたアクセス認証手段31が、通信アクセス認証と通信セッション制御(確立、切断を含む)を行う。このため、企業網10に認証手段やセッション制御機構を設置することなく、ユーザの通信認証および通信セッションの制御を適切に行うことができる。

尚、本発明の通信アクセス認証の手順および通信セッション確立手順は、一般的なIEEE802.1xやHTTPSを用いたCHAP等も利用可能である。又、セッション制御の手順はSIP等の一般的プロトコル通信に利用可能である。

本発明は、通信アクセス接続サービス利用する携帯電話や無線通信のアクセス管理システムおよびセキュリティ向上の用途に適用可能である。

本発明による通信制御課金システムの一実施形態におけるネットワーク全体を示す概略構成図である。 図１に開示した通信制御課金システムのネットワーク全体の一構成例を示す概略構成図である。 図１に開示した通信制御課金システムであって、図３(A)は、通信端末からアクセス要求代行手段に送られるアクセス要求メッセージの内容の概略を示す説明図である。 図３(B)は、アクセス要求代行手段から通信端末に送られるアクセス応答メッセージの内容の概略を示す説明図である。 図３(C)は、アクセス手段内に格納されるＩＰアドレスリストの一例を示す説明図である。 図１に開示した通信制御課金システムであって、図４(A)は、アクセス手段が通信端末からのＩＰパケットを受信した場合の処理ステップを概略的に表示したフローチャートである。 図４(B)は、アクセス要求代行手段からアクセス認証手段に送られるアクセス代理要求メッセージの内容の概略を示す説明図である。 図４(C)は、アクセス認証手段からアクセス要求代行手段に送られるアクセス代理応答メッセージの内容の概略を示す説明図である。 図１に開示した通信制御課金システムであって、図５(A)は、セッション制御手段からゲートウェイ制御手段に送られるセッション通過要求メッセージの内容の概略を示す説明図である。 図５(B)は、ゲートウェイ制御手段からセッション制御手段に送られるセッション通過応答メッセージの内容の概略を示す説明図である。 図１に開示した通信制御課金システムであって、図６(A)は、ゲートウェイ制御手段が、セッション制御手段からのセッション通過要求を受信した場合の処理ステップを概略的に表示したフローチャートである。 図６(B)は、課金算出手段に格納される課金要求メッセージの一例を示す説明図である。 図１に開示した通信制御課金システムであって、アクセス認証手段がアクセス要求代行手段からのアクセス代理要求メッセージを受信した場合の処理ステップを概略的に表示したフローチャートである。 図１に開示した通信制御課金システムであって、図８(A)は、通信端末からセッション制御手段に送られるセッション開始要求メッセージの内容の概略を示す説明図である。 図８(B)は、セッション制御手段から通信端末に送られるセッション開始要求メッセージの内容の概略を示す説明図である。 図１に開示した通信制御課金システムであって、暗号化手段と複合化手段との相互間通信を示す概略構成図である。 図１に開示した通信制御課金システムであって、通信端末と相手端末との相互間通信セッションが確立した場合の暗号化手段と複合化手段との相互間通信を示す概略構成図である。 図１に開示した通信制御課金システムの一実施形態における通信端末と企業網と通信管理装置と相手端末との各相互間で行われる通信動作のタイミングを示す通信シーケンスチャートである。 図１に開示した通信制御課金システムの一実施形態における通信端末と企業網と通信管理装置と相手端末との各相互間で行われる通信動作のタイミングを示す通信シーケンスチャートである。 従来例による通信認証システムのネットワーク全体を示す概略構成図である。

符号の説明

１、５１ 通信端末
２、５２ 相手端末
１０ 企業網
１１ アクセス手段
１２ アクセス要求代行手段
１３ 企業網ゲートウェイ
１４ ゲートウェイ制御手段
１５ 課金情報算出手段
１６Ａ、１７Ｂ 相互間通信
１８Ｃ 通信
２０ プロバイダ網
２１ 認証管理装置
２２、２４、２６ 暗号化手段
２３、２５、２７ 複合化手段
３１、６２、７２ アクセス認証手段
３２、６３、７３ セッション制御手段
３３、６４、７４ 課金情報管理手段
６０ 通信事業者Ａネットワーク
６１ 通信事業者Ａ網管理装置
７０ 通信事業者Ｂネットワーク
７１ 通信事業者Ｂ網管理装置

Claims (12)

1又は2以上の通信端末が接続されたローカルネットワークと、このローカルネットワークの一部を構成すると共に外部ネットワークに接続された網相互間接続装置と、前記外部ネットワークに接続された相手端末とを備えた通信制御課金システムであって、
前記通信端末が前記ローカルネットワークに通信アクセスを行う場合に前記通信端末のアクセス認証を行う認証管理装置を前記外部ネットワークに設け、
この認証管理装置が、前記通信端末と相手端末との相互間通信セッションの確立を制御する通信セッション制御機能と、前記通信セッションに応じた通信料金を管理する通信課金管理機能とを備えたことを特徴とする通信制御課金システム。

前記請求項１に記載の通信制御課金システムにおいて、
前記認証管理装置は、前記アクセス認証された通信端末に対して通信アクセス用の通信パラメータを割当てる通信パラメータ割当機能と、前記通信パラメータにより特定される前記通信端末と前記外部ネットワーク側との相互間通信を許容するか否かの通信選別ルールを決定する通信選別ルール決定機能とを備え、
前記網相互間接続装置が、前記通信端末と前記外部ネットワークとの相互間通信を前記通信選別ルールに基き許容又は遮断する制御を行う通信通過制御機能を有することを特徴とした通信制御課金システム。

前記請求項１に記載の通信制御課金システムにおいて、
前記通信端末と相手端末との間で確立される通信セッションに対応して通信料金を算出すると共に算出された通信料金を前記認証管理装置に通知する課金算出手段を、前記ローカルネットワークに設けたことを特徴とする通信制御課金システム。

前記請求項１に記載の通信制御課金システムにおいて、
前記通信端末から送り込まれる前記ローカルネットワークへの通信アクセス要求に基づいて機能し前記通信端末に代わって前記認証管理装置にアクセス要求を行うアクセス要求代行装置を、前記ローカルネットワークに備えたことを特徴とする通信制御課金システム。

前記請求項２に記載の通信制御課金システムにおいて、
前記網相互間接続装置を介して行われる前記通信端末と相手端末との相互間通信における通信帯域を設定制御する通信帯域制御手段を、前記網相互間接続装置に併設したことを特徴とする通信制御課金システム。

前記請求項２に記載の通信制御課金システムにおいて、
前記通信端末と相手端末との相互間通信で送受信されるＩＰパケットについて暗号化を行う暗号化手段とこの暗号化されたＩＰパケットの複合化を行う複合化手段とを、前記認証管理装置、通信端末、および相手端末のそれぞれが有することを特徴とする通信制御課金システム。

前記請求項２に記載の通信制御課金システムにおいて、
前記認証管理装置は、前記通信端末に割当てられた通信パラメータと予め設定された前記通信端末の識別情報とを対応させて記憶する通信パラメータ管理機能を備えたことを特徴とする通信制御課金システム。

ローカルネットワークおよび外部ネットワークを介して通信端末と相手端末とが相互間通信を行う場合に、予め前記外部ネットワークに設けられた認証管理装置が前記通信端末と相手端末との相互間通信セッションの確立を制御すると共に当該通信セッションに対する課金を行う通信制御課金方法において、
前記ローカルネットワークへの通信アクセスに先立ち、前記通信端末が前記認証管理装置にアクセス認証を要求するアクセス認証要求工程と、
受信したアクセス認証要求に応じて前記認証管理装置が、通信アクセス用の通信パラメータを前記通信端末に割当てることにより通信アクセス認証を行う通信認証割当工程と、
前記アクセス認証を取得した通信端末が前記相手端末との通信セッションを確立する通信セッション確立工程と、
前記確立された通信セッションが停止されると共に課金情報が算出される通信課金工程と、
を備えたことを特徴とする通信制御課金方法。

前記請求項８に記載の通信制御課金方法において、
前記通信セッションの確立された通信端末と相手端末との間の相互間通信を許容する又は遮断する制御を行う通信セッション通過制御工程を通信課金工程の前に設けたことを特徴とする通信制御課金方法。

ローカルネットワークおよび外部ネットワークを介して通信端末と相手端末とが相互間通信を行う場合に、前記通信端末と相手端末との間で確立される通信セッションを制御すると共に当該通信セッションに対する課金を行うための通信制御課金プログラムにおいて、
前記通信端末から送り込まれる前記ローカルネットワークへの通信アクセス要求に応じて通信アクセス用の通信パラメータを割当てる通信パラメータ割当機能、
前記通信パラメータを取得した通信端末と予め通信先として特定された前記相手端末との間に通信セッションを確立すると共に当該通信セッションの制御を行う通信セッション制御機能、
前記確立された通信セッションを特定するセッション識別情報を生成すると共に、当該セッション識別情報に基づいて通信料金情報を算出し記憶する課金情報記憶機能、
をコンピュータに実行させることを特徴とした通信制御課金プログラム。

前記請求項10に記載の通信制御課金プログラムにおいて、
前記通信パラメータにより特定される前記通信端末と外部ネットワーク側との相互間通信を許容する又は遮断する制御を行う通信通過制御機能、
前記通信端末と相手端末との間で確立された通信セッションを特定するセッション識別情報に基づいて前記通信端末と相手端末との相互間通信を許容する制御を行う通信セッション通過制御機能、
をコンピュータに実行させることを特徴とした通信制御課金プログラム。

前記請求項10又は11に記載の通信制御課金プログラムにおいて、
前記通信端末と相手端末との相互間通信の通信帯域を制御する通信帯域制御機能をコンピュータに実行させることを特徴とした通信制御課金プログラム。

Images