JP2009504051A - Ｓｉｍカードを有する個人用アクセスポイント - Google Patents

Abstract

セルラ通信ネットワークなどの移動体通信ネットワーク用のアクセスポイントすなわち基地局は、ユーザの自宅またはオフィスの内部または近傍での使用のために、ユーザによって設置される。基地局はＳＩＭカードを有し、ユーザの既存のブロードバンドインターネット接続を通じて移動体通信値ネットワークのコアネットワークと安全な通信を確立できる。基地局は、携帯装置が基地局、従ってコアネットワークと安全に通信することを可能にするために、所要の暗号化鍵を取得することもできる。

Description

本発明はアクセスポイントに関し、特に移動体通信ネットワークのアクセスポイントに関する。

セルラ式通信ネットワーク（cellular communication network）などの移動体通信ネットワーク(mobile xommunication network)の事業者によるネットワークのカバレッジエリアの増大を可能とするために、ユーザの自宅またはオフィスの内部または近傍で使用するアクセスポイント、すなわち基地局（base station)を、ユーザが設置可能であるべきと提案されている。このような基地局は、ユーザの既存のブロードバンドインターネット接続を通じて移動体通信ネットワークのコアネットワークと通信を確立できる。

これを達成するために、基地局は移動体通信ネットワークのコアネットワークと安全に通信でき、且つ、基地局と通信する移動体装置がコアネットワークとの安全な通信を可能にする必要がある。

本発明の第一の態様によれば、ＳＩＭカード用のインタフェースを備える移動通信システム用の基地局が提供される。

図１は、システムアーキテクチャを示すブロック図である。移動体通信事業者（ＭＮＯ、Mobile Network Operator)は、セルラ基地局（図に示していない）のネットワークを含む無線ネットワーク１０と、固定電話網(fixed telephone network)への接続を有するコアネットワーク２０とを有する無線通信ネットワークを所有し運用する。これらは、以下に記述することを除いて、おおむね従来のものである。

携帯電話機(mobile phone)３０は、無線通信ネットワークでカバーされた地域を移動(roam)するとき、固定電話網の他の電話機、またはセルラ基地局、それ故、固定電話網とも無線接続を確立している他の携帯電話機と通信するために、セルラ基地局の１つと無線接続を確立することができる。

本発明によれば、例えば追加の無線カバレッジを必要とする家庭またはオフィスまたは他の場所に、別の基地局すなわちアクセスポイント５０が設置される。このアクセスポイント５０は、これが配置される建物の所有者による使用のために設置されるが、無線通信ネットワークに統合される。すなわち、アクセスポイントは、チャネルグループの一部を永続的または一時的に割り当てられることにより、無線通信ネットワークに割り当てられた無線周波数スペクトラムの一部を共用する。従って、このチャネルグループは、公衆広域網内でマクロセル、マイクロセル、ピコセル、または「フェムトセル」にさえサービスしてもよい他の基地局と共用される。その結果、携帯電話機３０は、アクセスポイント５０のごく近傍から離れるとき、アクセスポイント５０から別の基地局に移動してもよいし、またアクセスポイント５０のごく近傍に戻るとき、別の基地局からアクセスポイント５０に移動してもよい。

それ故、アクセスポイント５０は、当該無線通信ネットワーク内の基地局の役割を果たす。例えば、それは、全く変更していない従来の携帯電話機３０または他のユーザ装置が、ＧＳＭ／ＧＰＲＳおよび／またはＵＭＴＳエアインタフェースを使用して、音声および／またはデータサービス用の接続を確立するのを可能にしてもよい。もちろん、アクセスポイント５０は、任意の適切なセルラ式無線通信システムの標準エアインタフェースを使用して携帯電話機３０との接続を確立する能力を付与されてもよい。

アクセスポイント５０は、家庭またはオフィス４０内のイーサネット（登録商標）ローカルエリアネットワーク（ＬＡＮ）４２との接続部を有する。図１に示すように、アクセスポイント５０は、イーサネット（登録商標）ＬＡＮ４２を通じて、１台以上のローカルＰＣまたはサーバ４４に接続可能である。

アクセスポイント５０は、イーサネット（登録商標）（登録商標）ＬＡＮ４２を通じて、ＩＰゲートウェイ装置６０に接続してもよい。ＩＰゲートウェイ装置６０は、デジタル加入者線（ＤＳＬ、Digital Subscriber Line）を介して、またはデジタルマルチメディアケーブルネットワークなどの他のＩＰ伝送方法を介して、例えばインターネットなどのＩＰネットワーク７０を通じて、ＭＮＯネットワークへのＩＰ接続を提供する。従って、家庭またはオフィスからの既存のＩＰ接続は、アクセスポイント５０からの帰路を提供するために使用されてもよい。事業者のコアネットワーク２０との柔軟なインタフェーシングは、ＵＭＡ規格を使用してＵＭＡゲートウェイ２２を通してＭＮＯのコアネットワークまたは無線アクセスネットワークへの接続を介して提供されてもよい。このアプローチは、ＶｏＩＰ(Voice-over-Internet Protocol)技術を使用して、データおよび音声の低コスト伝送を可能にする。

ＩＰネットワーク７０を通じたＩＰゲートウェイ６０からＭＮＯ無線アクセスネットワーク１０への接続は、ＧＡＮＣ(Generic Access Network Controller)として３ＧＰＰによって標準化されているＵＭＡ ＵＮＣ(Unlicensed Network Controller)１２によって提供される。無線アクセスネットワーク１０とインタフェースする他の非標準のソリューションも、代替アプローチとして使用できよう。事業者のコアネットワークへの直接接続は、アクセスポイントとＳＩＰゲートウェイやＩＰマルチメディアサブシステムなどの適切なゲートウェイとの間のＳＩＰインタフェースの使用を通して達成されてもよい。

この図の実施形態では、ＤＳＬまたはケーブルとのＩＰゲートウェイ装置６０は、ＰＯＴＳ電話機またファクス装置６２の接続、ならびにテレビ６４にＩＰＴＶサービスを提供する音声／映像接続の提供を含む。アクセスポイント５０は、これらの設備をＭＮＯネットワークに統合可能にするサービス環境を有し、ユーザに洗練された新サービスの提供を可能にする。

本発明の代替実施では、アクセスポイント５０は、ＩＰゲートウェイ装置６０内のコンポーネントとして統合されてもよい。その場合、内部ＩＰ接続が、組み込まれたアクセスポイントコンポーネントをＩＰゲートウェイ装置内のルータ機能に結合する。この構成は、場合によっては全体のコストをより安く提供することができ、データ、固定音声、マルチメディアおよび携帯サービスを統合するゲートウェイ設備の提供に関心を向ける事業者には都合がよい。

従って、携帯電話機３０は、家庭またはオフィス４０内、さもなければアクセスポイント５０のカバレッジエリア内にいる間、セルラ式無線通信ネットワーク内の他のどの基地局を介したのと同じ方法でＭＮＯネットワークに接続できる。

図１には、ＩＰネットワーク７０に接続するネットワークサーバ７２も示されている。当然のことながら、ＩＰネットワーク７０がインターネットの場合、膨大な数のサーバおよび他の装置がネットワークに接続される。以下でより詳細に記述するように、携帯電話機３０のユーザは、アクセスポイント５０を用いてこのような装置にアクセスすることができる。

図１には、ＩＰネットワーク７０に接続する管理システム７４も示されている。管理システム７４は、利用可能なサービスの制御を含むアクセスポイント５０の動作を管理するため移動体通信事業者によって提供される。

例えば、上記のように、また、より詳細を以下に記述するように、携帯電話機３０のユーザは、アクセスポイントを経由して、イーサネット（登録商標）（登録商標）ＬＡＮ４２を通じて１台以上のローカルＰＣ若しくはサーバ４４との接続、またはＩＰゲートウェイ装置６０を通してそれに接続する別の装置との接続、またはＩＰゲートウェイ装置６０を通してＩＰネットワーク７０に接続するネットワークサーバ７２との接続を確立できる。これらの接続は、トラフィックが無線通信ネットワークのコアネットワーク２０を通過することなしに、確立されてもよい。管理システム７４は、このような接続が確立されてもよい装置またはＩＰアドレスを定義することができる。その場合、これらの接続は、移動体通信事業者が望む場合、限られら数の装置またはＩＰアドレスとだけ確立されてもよい。

また、管理システム７４は、アクセスポイント５０に割り当てられるチャネル（これは、特定の移動無線通信システム次第で、周波数、タイムスロット、および／または拡散符号によって指定されてもよい）を指定することができる。これらのチャネルは、ネットワーク全体の要件に応じて、半永久的に割り当てられてもよいし、また定期的に変更されてもよい。

図２は、アクセスポイント５０のハードウェアアーキテクチャを示すブロック図である。アーキテクチャは、ＡＲＭ ＡＭＢＡバスなどのプロセッサバス８０によって相互接続される相当数の機能ブロックで構成される。

アクセスポイント５０は、ＲＪ４５イーサネット（登録商標）１０／１００インタフェース８２を含む様々な外部有線インタフェースを有する。イーサネット（登録商標）インタフェース８２は、ＩＰゲートウェイ装置６０とそこからＭＮＯネットワークおよびインターネットへの接続のためにローカルＬＡＮへの接続を提供するとともに、１台以上のＰＣ４４など若しくは高度サービス提供に関してはＩＰＴＶ６４などのイーサネット（登録商標）ネットワークに接続する他の装置へのアクセスも提供する。それ故、アクセスポイント５０は、標準ＵＭＡ ＵＮＣへの適合を通して無線アクセスネットワーク１０へ、またはいつものｌｕｂ（ＵＭＴＳ）若しくはＡｂｉｓ（ＧＳＭ）インタフェースとは対照的に、ＳＩＰによるコアネットワークへのＩＰベースのインタフェースを有してもよい。

アクセスポイント５０は、アクセスポイント５０に関する一意識別子を提供する標準ＵＭＴＳ ＳＩＭカードの使用を可能にするＳＩＭ(Subscriber Identification Module)カードインタフェース８４も有し、管理システム７４および事業者の無線ネットワーク１０およびコアネットワーク２０に装置を識別させ、それによって様々なサービスの提供を受けられるようにする。ＧＳＭ ＳＩＭインタフェースまたはＩＭＳ ＩＳＩＭインタフェースも、代替実装として使用できよう。

アクセスポイント５０は、暗号専用コプロセッサ８８およびパケット処理専用コプロセッサ９０によって補助されるＡＲＭ９２６（適切な周辺装置と一緒に）などの小さな内臓ＣＰＵとして実装されるプロトコルエンジン８６も有する。これらのコプロセッサは、特定の集中的なタスクに関してメインＣＰＵの負荷を取り除く。例えば、ＩＰｓｅｃパケットペイロードの暗号化は、ＡＥＳおよび３ＤＥＳ暗号化プロトコルをサポートする暗号アクセラレータ８８によって処理される。アクセスポイント５０からＵＮＣ１２および管理システム７４へのＶＰＮ接続は、内部暗号処理を使用し、ＶＰＮ暗号処理はアクセスポイント５０以外で処理されてもよい。

メインＣＰＵは、メインＣＰＵバス８０を介してベースバンドモデム９２およびイーサネット（登録商標）（登録商標）ポート８２を含むシステム内の全機能ブロックの構成および制御も担当する。全システム機能ブロックに関する構成データを含むシステムソフトウェアイメージは、アクセスポイント５０内のフラッシュメモリ９４に格納される。２つの全部そろったシステムイメージが格納され、それにより、更新されたシステムイメージが管理システム７４からアクセスポイント５０へダウンロードでき、その一方で、破損データをダウンロードした場合のフォールバックオプションとして以前のイメージが保有される。

メインＣＰＵの周辺装置には、ソフトウェア健全性チェック用のウオッチドッグタイマと、システム内デバッグ用のＪＴＡＧおよびシリアルポートと、ＬＥＤ状態表示、システム電力管理、およびシステムアラーム収集を含むシステム制御用ＧＩＯとを有する。

アクセスポイント５０は、９００ＭＨｚ若しくは１８００ＭＨｚのＧＳＭ用の第１のＲＦインタフェース９４と、２１００ＭＨｚのＵＭＴＳ用の第２のＲＦインタフェース９６とを有する。それ故、ＧＳＭとＵＭＴＳとの同時動作を可能にする。ＧＳＭおよびＵＭＴＳの受信パス（path）に関しては、アップリンク（基地局受信）およびダウンリンク（端末受信）の両方の周波数がアクセス可能である。送信パスに関しては、ダウンリンク（基地局送信）周波数だけが利用可能である。インストール時、アクセスポイント５０は、管理システム７４から提供されるＧＳＭおよびＵＭＴＳキャリヤ周波数の許可リストからＧＳＭおよびＵＭＴＳの両方に対して最小の雑音／干渉を有するダウンリンクＲＦキャリヤ周波数を選択する。許可されたダウンリンク周波数は、アクセスポイント５０が、受信パスをＵＥモードに構成し、送信パスを無効にしてスキャンする。

アクセスポイント５０は、建物内の５０ｍ未満の距離内の静止または歩行（例えば、１０ｋｍ／ｈを超えない）ユーザにセルラサービスを提供するように設計される。従って、所要の送信電力は従来のマクロセル基地局に比べて劇的に減少する。しかし、本明細書に記載の機能は、あらゆる電力レベルで動作し、あらゆる種類の携帯ユーザを処理するどの基地局で提供されてもよい。

ＲＦインタフェース９４、９６は、モデムアナログインタフェース９８を通して、ベースバンドモデム９２へ接続される。ベースバンドモデム９２は、ＧＳＭおよびＵＭＴＳの基地局モデムに対してサンプルレート処理、チップレート処理（ＵＭＴＳだけ）およびシンボルレート処理を提供する。

アクセスポイント５０は、その近くのＧＳＭ／ＵＭＴＳ基地局および近くの他のアクセスポイントからブロードキャストチャネル（ＢＣＨ、Broadcast Channel）の取得を可能にするために、ＧＳＭ移動機（ＭＳ、Mobile Station）およびＵＭＴＳユーザ装置（ＵＥ、User Equipment）の限定的なモデム機能を有する。ＵＥモデムモードは、初期設置中にローカルＲＦ環境を調査するため、また初期設置後定期間隔でＲＦ環境をモニタし、必要な場合アクセスポイント構成を変更するために使用される。

ベースバンドモデム９２は、５年もの現場寿命を超える高い適応能力を確実にするために、ソフトウェアベースのアーキテクチャを使用して実装され、例えば、装置を置き換える必要なしに、実際に使用されている状況でＨＳＤＰＡまたはＥＤＧＥサービスの将来の高度化を提供可能にするためにアップグレードできる。

アクセスポイント５０は、５年の耐用年限にわたってＧＳＭおよびＵＭＴＳの基地局運用に対して十分な精度を提供する、タイミングおよび周波数基準１００を有する。

それ故、アクセスポイント５０のこの実施形態は、様々な運用上の特徴を提供する。例えば、ユーザ設置可能で、自動構成で、周囲のＲＦ環境に適応する。標準ＧＳＭ／ＵＭＴＳプロトコルを使用して、アクセスは指定のユーザに制限してもよい。さらに、共通のイーサネット（登録商標）ＬＡＮに接続する大きな屋内地域に設置された複数のアクセスポイント装置は、無線ネットワーク１０又は事業者のセルラネットワークのコアネットワーク２０の他のシステムの介入なしに、それらの装置間ハンドオフを管理できる。

図３は、アクセスポイント５０のプロトコルエンジン８６に加えて、暗号アクセラレータ８８およびパケット処理アクセラレータ９０の上で動くソフトウェアのアーキテクチャの、サービス環境および下位スタックレイヤへの制御パスを強調した概念的全体像を提供する。

アクセスポイント５０は、４つのデータネットワーク、すなわち、外部ＭＮＯコアネットワーク２０、外部インターネット７０、携帯電話機３０などの携帯装置（ＧＳＭ／ＵＭＴＳを介して）、およびホームネットワーク（イーサネット（登録商標）を介して）を組み合わせた能力を利用できるサービスプラットフォームを有する。

アクセスポイントのスタックアーキテクチャは、強力なサービス環境１２０を有する。サービス環境は、ＪａＶａ（登録商標）ベースであり、Ｊａｖａ（登録商標）バーチャルマシン１２２、およびＡＰＩインタフェースの形態でアクセスポイントライブラリ１２４を有する。ＡＰＩインタフェースは、アプリケーション１２６が呼／データセッション、トラフィックルーティング、および他の多くの機能を制御するために、スタックの下位レイヤと相互連携することを可能にする。サービス環境１２０は、ウェブサーバ１２８も有し、これは、ローカルＰＣによってデバッグおよび保守するために機密保護オプションを有し、構成およびモニタリング、ならびに所望のアプリケーションの選択および購入にもまた、ユーザに便利なインタフェースを提供する。サービス環境１２０は、管理システム（ＭＳ、Management System）クライアント１３０も含み、これはアクセスポイント５０を構成し、その運用の様々な様相をモニタする。ＭＳクライアント１３０は、プロビジョニングシステムを制御し、図３に示すシステムソフトウェアのどのコンポーネントも置換し再開できるようにする。

上記のように、サービス環境１２０は、例えば移動体通信事業者またはＩＰゲートウェイ６０のプロバイダによって作成される様々なアプリケーション１２６も有する。アプリケーション１２６は、アクセスポイント５０にプリインストールされてもよいし、事業者の発案または例えば有料サービスの一部としてユーザからの要求で、事業者のネットワークからのダウンロードによって配信されてもよい。

ソフトウェアのネットワーク（ＺＮ）レイヤ１３２は、セッション制御機能を提供し、特定の移動体通信事業者（ＭＮＯ）構成およびエンドユーザ設定に関して、アクセスポイント５０がどのように構成され動作するかを決定するサービスフローおよびポリシーを管理実施する。構成パラメータは、管理システム（ＭＳ）クライアント１３０、またはＪａｖａ（登録商標）アプリケーションを介して、またはウェブサーバ１２８を介してＺＮデータベース１３４にロードされる。これらのパラメータは、アクセスポイント内のセッション制御動作に関する「ルール」を提供する。セッション制御機能に含むのは、ＭＮＯコアネットワーク上でのアクセスポイント５０に関する登録、呼制御およびトラフィックフロー／ルーティング用のポリシーの実施と、登録、呼制御およびトラフィックフローに関するＵＭＡクライアントの制御（以下でさらに記述）と、ＩＰゲートウェイ６０を介してＧＳＭ／ＵＭＴＳサービスの配信および他のサービスとの相互連携を行うアクセスポイントＺＡＰリソースの効率的管理とである。

ソフトウェアのネットワーク（ＺＮ）レイヤ１３２の下に、非アクセス層（ＮＡＳ、Non Access Stratum）機能１３６があるが、これは、ＭＮＯのＧＳＭ／ＵＭＴＳコアネットワーク２０がアクセスポイント５０に接続されていないとき、サービスをＵＥに提供するために必要である。この機能により、従来のやり方でＧＳＭ／ＵＭＴＳコアネットワークに接続されていないときに、アクセスポイント５０は、携帯ユーザ愛用のＳＭＳおよびＭＭＳなどの通常のＧＳＭ／ＵＭＴＳサービスを提供することが可能になる。このようなサービスを提供するために、アクセスポイント５０は、移動通信交換局（ＭＳＣ、Mobile Switching Centre）、サービングＧＰＲＳサービスノード（ＳＧＳＮ、Serving GPRS Service Node）、ＧＳＭ基地局サブシステム（ＢＳＳ、Basestation Subsystem）、および無線ネットワークサブシステム（ＲＮＳ、Radio Network Subsystem）に大抵収容されるコアネットワーク機能を凝縮したサブセットを有する。

アクセスポイント５０に実装される非アクセス層レイヤ（Non-Access Stratum Layer）１３６は、それ故従来のＧＳＭ／ＵＭＴＳネットワーク内のＭＳＣおよびＳＧＳＮノードに通常含まれる様々な機能を提供する。このような機能の１つは、呼制御（ＣＣ、Call Control）である。これは、主に回線交換接続用に２つのピアエンティティ間の呼設定を可能にする。

ＮＡＳレイヤ１３６は、パケットデータセッション制御用のセッション管理（ＳＭ、Session Management）と、アクセスポイント５０とネットワークＳＭＳサービスセンタとの間のＳＭＳメッセージ伝送用のショートメッセージサービス（ＳＭＳ、Short Message Service）機能と、通話中着信、呼保留および多者間通話などの付加サービス（ＳＳ、Supplementary Services）と、位置登録、認証および暗号化などのＵＥ移動要素管理用の移動管理／ＧＰＲＳ移動管理（ＭＭ／ＧＭＭ）と、アクセスポイント５０に取り付けられてもよいＳＩＭカードに関連する制御機能も提供する。アクセスポイント５０は、従来のネットワークでは本質的にＧＧＳＮ機能であるパケットルーティング機能も提供する。

ＮＡＳ機能の下に、アクセス層機能があり、具体的にはＵＭＴＳアクセス層機能１３８およびＧＥＲＡＮアクセス層機能１４０である。

ＵＭＴＳアクセス層機能１３８は、ＳＧＳＮ機能、無線ネットワークコントローラ（ＲＮＣ、Radio Network Controller）機能、およびベースバンドモデム９２に実装されるＵＭＴＳ物理レイヤへのインタフェースを備える。ＲＮＣおよび物理レイヤインタフェース機能は、使用されるコアネットワークインタフェースにかかわらず、ＵＭＴＳをサポートするすべてのアクセスポイントのサービスに必要である。

より詳細には、アクセス層機能は以下の要素を備える：
・ＰＤＣＰ(Packet Data Convergence Protocol)
ヘッダ圧縮、ＩＰデータストリームの復元（オプション）、ユーザデータ転送、ＰＤＣＰシーケンス番号の維持（通常ＳＧＳＮ機能の一部）。
・無線リソース制御（ＲＲＣ、Radio Resources Control）
ＮＡＳおよびＡＳに関連する情報のブロードキャストと、ＲＲＣ接続の確立、保持および解放と、無線ベアラおよび無線リソースの確立、再構成および解放と、ＲＲＣ接続移動機能と、所要ＱｏＳの制御と、ＵＥ測定報告および制御と、アウターループ電力制御と、暗号化制御。
・無線リンク制御（ＲＬＣ、Radio Link Control）
パケットのバッファリング、分割および連結を含むシグナリングおよびデータパケットの送信および受信。アクノレッジモード、非アクノレッジモードおよびトランスペアレントモードの３つのエンティティ形式を備える。
・媒体アクセス制御（ＭＡＣ、Medium Access Control）
論理チャネルとトランスポートチャネル間のマッピング、各トランスポートチャネルに対する適切なトランスポートフォーマットの選択、ＵＥ間の優先処理、共用および専用のトランスポートチャネルのトランスポートブロック（セット）との上位レイヤＰＤＵの多重化／逆多重化。
・ＵＭＴＳレイヤ１
ベースバンドモデムに実装されたＵＭＴＳモデム機能へのインタフェース。

ＧＥＲＡＮアクセス層機能１４０は、ＢＳＳおよび限定されたＳＧＳＮ機能を備える。ＢＳＳ機能は、アクセスポイント５０とＭＮＯコアネットワーク２０との間で使用されるインタフェースにかかわらず、全ＧＳＭ／ＧＰＲＳ／ＥＤＧＥサービスを補助するために必要である。

ＧＥＲＡＮアクセス層機能１４０のＳＧＳＮ機能は以下の要素を備える：
・ＳＮＤＣＰ(Sub-Network Dependent Convergence Protocol)
いくつかのパケットデータプロトコルの多重化と、データ圧縮／復元（オプション）と、ヘッダ圧縮／復元（オプション）と、分割および再組み立て。
・論理リンク制御（ＬＬＣ、Logical Link Control）
ＬＬＣは、ピアツーピアの非アクノレッジおよびアクノレッジデータ転送と、ＧＰＲＳ暗号化機能を提供する。

ＧＥＲＡＮアクセス層機能１４０のＢＳＳ機能は以下の要素を備える：
・無線リンク制御／媒体アクセス制御（ＲＬＣ／ＭＡＣ）
ＲＬＣ／ＭＡＣは、アクノレッジおよび非アクノレッジモードと、ＬＬＣ ＰＤＵの分割および再組み立てと、いくつかの物理チャネルの多重化と、システム情報のブロードキャストとを可能にする。
・無線リソース（ＲＲ、Radio Resource）管理
ＲＲ接続確立、保持および解放と、システム情報ブロードキャストと、パケットデータリソース管理。
・ＧＳＭ／ＧＰＲＳレイヤ１
ベースバンドモデムに実装されたＧＳＭ／ＧＰＲＳ／ＥＤＧＥモデム機能とのインタフェース。

従って、上記のように、アクセスポイント５０は、ＵＭＴＳおよびＧＳＭ規格の無線アクセスネットワークの高位レベルに通常配置される機能を有する。この理由の一部は、ＭＮＯコアネットワークへ、またはインターネットへ、またはローカルエリアネットワークの装置へ、データトラフィックを向けることができるためには、アクセスポイント５０は、遠隔装置との間で流れるデータパケットにアクセスしなければならないからである。しかしながら、セルラ装置へのエアインタフェースは、セルラネットワークの残りで使用されるのと同じ暗号化メカニズムで保護されることが強く望まれる。それ故、これを保守する必要がある場合、上記のサービスおよびルーティング機能を可能にするために、アクセスポイント５０は、エアインタフェース暗号化の終端機能（すなわち、ＵＭＴＳのＲＬＣ／ＭＡＣレイヤ）を有するべきである。

アクセスポイント５０で動作するソフトウェアは、アクセスポイント５０に非標準構成のＵＭＡプロトコルの使用を可能にするＵＭＡクライアント１４２も有する。具体的には、標準ＵＭＡプロトコルは、ＧＳＭのＭＳまたはＵＭＴＳのＵＥを使用可能にするよう設計され、ＵＭＡクライアントおよび無免許スペクトラムを使用してＧＳＭ／ＵＭＴＳコアネットワークと通信するために、ＩＥＥＥ８０２．１１ｂ／ｇまたはブルートゥースなどの無免許スペクトラム・エアインタフェースを有する。しかし、アクセスポイント５０の実装は、ＧＳＭ／ＵＭＴＳ基地局のネットワークインタフェースの一部としてＵＭＡクライアントを使用し、それ故ＵＮＣ(Unlicensed Network Controller)を介してＧＳＭ／ＵＭＴＳコアネットワークと通信するために開発されたＵＭＡプロトコルは、マクロネットワークとの間のハンドオーバを含むその基地局が処理する呼を管理するように適合されてもよい。前述のように、ＳＩＰインタフェースが代替アプローチとして使用されてもよい。

アクセスポイント５０は、１つ以上のＩＰ装置クライアント１４４も有し、「携帯ドメイン」（アクセスポイント５０に接続する携帯電話機およびＭＮＯコアネットワーク２０へのトラフィックパス）と固定線電話／ファクスサービス用のＩＰゲートウェイ６０内のＶｏＩＰ／ＰＯＴＳポートや、ＩＰＴＶおよび／またはビデオサービス用のＩＰゲートウェイ６０内のＡＶポートや、ローカルイーサネット（登録商標）ＬＡＮ上のＰＣ若しくはサーバ４４や、ＩＰゲートウェイ６０を介してインターネット７０を通じてアクセス可能な遠隔ウェブページおよび／またはサーバ７２などの他のＩＰ装置との間の、呼の転送、情報若しくはデータの制御を可能にする。

各ＩＰ装置クライアント１４４は、アクセスポイント５０内のトラフィックパスにアクセスしてもよい。各ＩＰ装置クライアント１４４は、アクセス可能なＩＰ装置との呼／データセッションを開始または終了できるＺＮレイヤ１３２内のセッションコントローラによって制御されてもよい。特定の装置またはサービスに固有のＩＰ装置クライアントをアクセスポイント５０のソフトウェアアーキテクチャ内に包含することにより、その特定の装置またはサービスからのトラフィックをアクセスポイント５０内に向けるのを可能にし、その特定の装置がＧＳＭまたはＵＭＴＳアクセス層を介してアクセスされるＧＳＭ／ＵＭＴＳ携帯装置、またはＵＭＡクライアントを介してアクセスされるＭＮＯコアネットワークに接続されてもよいようにする。

また、各ＩＰ装置クライアント１４４は、ＬＡＮ上の他の装置へアクセスできるし、またインターネット７０上でアクセス可能な他の装置にもアクセスできる。例えば、適切なＩＰ装置クライアント１４４を使用することにより、アクセスポイント５０に接続するＰＯＴＳ電話機は、音声通話をするために、インターネット７０を通じて別のＰＯＴＳ電話機に接続されてもよい。

さらに、各ＩＰ装置クライアント１４４は、ＭＮＯの移動体網にもアクセスできる。特に、ＬＡＮ４２に接続されるどの装置も、またＩＰゲートウェイ６０に接続されるどの装置も、自装置とＵＳＩＭインタフェース８４に接続するＳＩＭカードとを関連付けるＩＰ装置クライアント１４４を有してもよい。ＭＮＯネットワークの視点からは、このような装置のどれもが移動体装置機に見え、ＭＮＯネットワークへのアクセスが許可される。その結果、装置に適切な所望の機能を与え、次いでＳＩＭカードを使用して、装置にＭＮＯコアネットワークを通じて１つ以上の他の装置と接続することを許可することにより、様々なサービスをユーザに提供してもよい。

ＵＳＩＭインタフェース８４に接続するＳＩＭカードの別の使用は、アクセスポイントに接続する携帯電話機が複数の子機を持つコードレス電話システムと同様のやり方で動作することを可能にする。この特定のサービス構成では、アクセスポイント５０内のＳＩＭカードはＩＭＳＩ識別子を備え、このＩＭＳＩ識別子は、アクセスポイント５０が設置された家庭またはオフィスの電話回線を実際には規定するが、移動体通信事業者のシステム内では携帯電話番号に見える。アクセスポイント５０のＳＩＭカードのＩＭＳＩが呼ばれるとき、アクセスポイント５０に接続する全携帯電話機のベルが鳴り、その中の１台が応答するまで鳴り続ける。このやり方で、個別の人への着信呼は、個別の携帯電話機のＩＭＳＩに向けられ、それ故呼ばれるＩＭＳＩ識別子によって、その家庭またはオフィスのユーザの誰かに向けられた呼とは区別される。アクセスポイント５０の呼処理機能は、アクセスポイント自体のＩＭＳＩ識別子が呼ばれるとき、切り替わる。

従って、一般的に言えば、アクセスポイント５０は、アクセスポイントが使用するスペクトラムの事業者、すなわち当該移動体網の事業者によって発行されるＵＭＴＳ ＳＩＭカードを有する。ＵＳＩＭカードは携帯端末に関する標準識別情報を備え、その中で最も大事なものはＩＭＳＩ識別子およびＭＳＩＳＤＮ番号である。ＭＳＩＳＤＮ番号はＳＩＭに関連する電話番号である。このＩＭＳＩ識別子は、アクセスポイントを識別するため、認証するため、及び、ＩＰインタフェースを介してＭＮＯネットワークにアクセスするＳＩＭカードを有する携帯端末が使用するメカニズムと全く同じメカニズムを使用し、ＩＰ相互接続を介してＭＮＯネットワークと安全な通信を確立するために使用される。端末装置のＭＮＯネットワークへのＩＰ接続用に、相当数の標準インタフェースが規定されており、ＵＭＡおよびＷＬＡＮ／ＩＭＳ標準インタフェースが主流である、無線ＬＡＮまたはＷｉＦｉ用の装置が最も一般的である。（ＳＩＭカードを含むＩＰ装置を利用可能にしたいわゆる「プリＩＭＳ」システムも、この原理を使用してインタフェースされてもよい）。これらのインタフェースに対する手順は、より詳細に以下に説明するが、原理は、ＳＩＭを有する遠隔装置をＭＮＯネットワークに接続可能にするように設計された、どのインタフェースにも拡大される。

アクセスポイント５０内へのＳＩＭの包含によって可能になる別の機能は、携帯端末がそうするように、アクセスポイントがＭＮＯネットワークと通信することが可能になることである。具体的には、アクセスポイントは、他の携帯端末または有線装置との呼の発着信と、他の装置とのデータセッションの開始および終了と、ＳＭＳメッセージおよびＭＭＳメッセージの送受信とができる。これにより、相当数の役に立つ機能がアクセスポイントによって提供可能になる。これには以下のものがある：
・アクセスポイントに事前登録したユーザの１人からのキーワードの入ったＳＭＳメッセージの受信であり、そのメッセージは、アクセスポイント内に格納された「許可ユーザ」のリストに新ユーザを加えるなどの特定の機能の実行をアクセスポイントに命令してもよい。（オプションで、アクセスポイントは、データベース間の同期を維持するために、この許可ユーザの変更で管理システム７４を更新してもよい）。ＰＣベースのビデオレコーダのプログラムや盗難予防警報器の起動や暖房制御などの処置が、ユーザのホームネットワークで開始されてもよいように、この機能は、アクセスポイント内のアプリケーション機能および適切なＩＰ装置クライアントと組み合わされてもよい。
・アクセスポイントに首尾よく加わった新しい許可ユーザや、アクセスポイントに接続になる特定のユーザ（すなわち、家に帰った）などの重要な情報、または干渉レベルが高いために設置時にサービスが提供できないなどのエラー状況について、ユーザに注意を促すＳＭＳメッセージまたはＭＭＳメッセージの送信。この機能は、アクセスポイントアプリケーションおよび適切なＩＰ装置クライアント１４４と組み合わせでき、それによって、ユーザのホームネットワーク内の活動が家の外にいるユーザに中継されてもよい。例えば、セキュリティウェブカメラで撮ったユーザの家の玄関にいる訪問者の写真をＭＭＳメッセージでユーザに転送できよう。
・ユーザによって広域網で開始された呼／データセッションの受信。ユーザが、例えばセキュリティウェブカメラのライブビデオまたはユーザのホームＰＣサーバに格納された情報の閲覧などで、ユーザのホームネットワークの情報にアクセスできるようにするため。
・イベントまたは所定の時間で開始されるとき、アクセスポイントがユーザに情報を「プッシュ」してもよいように呼／データセッションの開始。例えば、アクセスポイント５０に適切なＩＰ装置クライアント１４４を用意し、アクセスポイントおよびホームＰＣサーバに適切なアプリケーションソフトウェアを用意して、ユーザのホームＰＣにダウンロードされたマルチメディアニュースクリップがユーザの電話機に転送されてもよいし、株価を追跡するソフトウェアまたはインターネットオークションサイトにより生成されるアラートが、ユーザへの呼を開始して、きっかけとなったイベントへの対応を求めてもよい。

アクセスポイント５０によって開始されるメッセージ、呼およびデータセッションは、ＭＮＯネットワークに向けられ、広域のマクロセルネットワーク内のユーザが受信できるようにする。オプションで、メッセージ／呼／データセッションの受信者が既にセルに接続しているかどうかを識別するためのロジックがアクセスポイントに含まれてもよく、それによって、不要にコアネットワークリソースを拘束することなく、アクセスポイント５０のエアインタフェースを通じてトランザクションが直接開始されてもよい。同様のやり方で、アクセスポイント５０で終端するメッセージ、呼およびデータセッションは、コアネットワークから直接受信される。オプションでアクセスポイントは、自装置のＭＳＩＳＤＮがトランザクションの対象とする受信者であるかどうかを識別するために出て行くトランザクションを審査（screen）してもよく、それによって、コアネットワークリソースの不要な使用を避けるために呼を途中で取るかどうかに関する決定をしてもよい。

図４は、移動体通信ネットワークのブロック図であり、アクセスポイント（ＡＰ）５０は、バックホール（backhaul）を利用可能とするために既存の標準ＵＭＡインタフェースの修正版を使用してコアネットワークに接続する。これは、本明細書中では３Ｇ免許ＵＭＡ（Ｌ−ＵＭＡ）または３Ｇ Ｌ−ＵＭＡと呼ぶ。図４では、アクセスポイント（ＡＰ）５０は、図１に示すＩＰゲートウェイ６０の機能も有する。

ＵＭＡまたは３ＧＰＰ ＧＡＮ標準は、ＧＡＮＣコントローラとＵＥとの間のインタフェースであるＵｐインタフェースを規定する。アクセスポイント５０は、携帯装置として自装置を登録認証し、コアネットワークへの安全なＩＰｓｅｃトンネルを設定するために、標準メッセージングを使用する。

図４は、１台のＵＥ３０を示すが、複数のＵＥが１つのアクセスポイント５０に接続することができる。ＵＥは追加クライアントのない３ＧＰＰ標準ＵＭＴＳ ＵＥである。それらは、ハンドセット、ＰＤＡ、ＰＣカードまたは他のどの形態の要素でもよい。

ＰＯＴＳまたはＳＩＰ電話機６２は、アクセスポイント５０を介してホーム電話番号の通話を行うために使用される。

ＰＣクライアント４４は、ローカルサービスの好み、連絡先および動的な呼／セッション行動を制御する。ソフトフォン機能がＰＣクライアントに含まれてもよい。

アクセスポイント５０は、以下の機能を提供する：
・３ＧＧ標準の局部的なＵＭＴＳカバレッジを提供する。
・ＵＳＩＭ１６０を有し、これは、アクセスポイント５０のプロビジョニング、構成、コアネットワークとの認証、ならびにホーム電話番号サービスのためにＵＭＴＳサービスのサポートに専念する。
・３ＧＰＰ標準Ｕｕインタフェースを通じて複数のＵＥ３０とインタフェースし、ＡＳレイヤおよびＮＡＳレイヤを局部的に終端する。
・ＰＯＴＳインタフェースを通じてローカルのＰＯＴＳ若しくはＳＩＰ電話機６２と、またはホームネットワーク／イーサネット（登録商標）インタフェースを通じて独立型のＶｏＩＰ（ＳＩＰ）電話機とインタフェースする。
・イーサネット（登録商標）インタフェース８２を介したＩＰ上で、ローカルＰＣクライアント４４およびソフトフォンとインタフェースする。
・ｌｔｆ−Ｚｚインタフェースを介して近隣または遠隔のアクセスポイント１６２とインタフェースする。
・ＣＮネットワークシグナリングの関与なしで、ローカルの呼処理およびローカルのインターネットオフロードを含むローカルサービスを達成する。
・ＲＲＣ等価シグナリングおよび鍵材料（keying material）交換のために、汎用ＩＰアクセスネットワーク７０を経由し、Ｕｐ’インタフェースを通じてＬ−ＧＡＮＣ１６４とインタフェースする。
・ＮＡＳレイヤシグナリング（ＭＭ、ＣＣ／ＳＳ／ＳＭＳ、ＧＭＭ、ＳＭ）のために、Ｕｐ’インタフェースを介して３ＧＰＰ標準Ｕｕ（ＮＡＳ）インタフェースで、ＣＮレガシーＮＥ（ＭＳＣ１６６、ＳＧＳＮ１６８）とインタフェースする。
・ネットワーク管理、サービス管理、ソフトウェアアップグレード、故障報告、動作モニタリングおよびトラブルシューティングのために、汎用ＩＰアクセスネットワーク７０およびＬ−ＧＡＮＣセキュリティゲートウェイ１７０を経由してｌｔｆ−Ｚインタフェースを通じて管理システム（ＺＭＳ）７４とインタフェースする。ｌｔｆ−Ｚは、Ｌ−ＧＡＮＣセキュリティゲートウェイ１７０を介して接続される。
・コアネットワークの関与なしにローカルでデータへの直接アクセスおよびローカルでインターネットオフロードサービスを提供するために、Ｇｉ−Ｌ（ローカルＧｉ）インタフェースを通じて公衆データ網およびインターネット１７２とインタフェースする。

汎用ＩＰアクセスネットワーク７０は、アクセスポイント５０、１６２とＬ−ＧＡＮＣ１６４との間、およびアクセスポイント５０、１６２とインターネット１７２との間にＩＰ接続を提供する。汎用ＩＰアクセスネットワークは、ＮＡＴ／ＰＡＴを適用してもよく、普通従来のものである。

３Ｇ Ｌ−ＧＡＮＣ１６４は、ＵＭＴＳ免許汎用アクセスネットワークコントローラである。Ｌ−ＧＡＮＣ１６４は、以下の機能を提供する：
・ＵＭＴＳアーキテクチャのＲＮＣの機能と同等の機能を提供する。
・汎用ＩＰアクセスネットワーク７０を通じてコアネットワークへの安全なアクセスを提供する。
・認証およびＩＰｓｅｃトンネリング用に標準セキュリティゲートウェイ１７０を有する。
・認証、認可および課金手順を可能にするために、３ＧＰＰ標準Ｗｍインタフェースを通じてコアネットワークＡＡＡ１７４とインタフェースする。
・ＲＲＣ等価シグナリングおよび鍵材料交換のために、汎用ＩＰアクセスネットワーク７０を経由してＵｐ’インタフェースを通じて、複数のアクセスポイント５０、１６２とインタフェースする。
・アクセスポイント５０とＺＭＳ７４との間のｌｔｆ−Ｚに安全な伝送を提供する。
・回線交換サービスを可能とするために、３ＧＰＰ標準ｌｕ−ＣＳインタフェースを通じてコアネットワークＭＳＣ１６６とインタフェースする。
・パケット交換サービスを可能とするために、３ＧＰＰ標準ｌｕ−ＰＳインタフェースを通じてコアネットワークＳＧＳＮ１６８とインタフェースする。
・アクセスポイント５０とコアネットワークのＭＳＣ１６６およびＳＧＳＮ１６８との間の３ＧＰＰ標準Ｕｕ（ＮＡＳ）インタフェースに安全な伝送を提供する。
・アクセスポイントのネットワークに移動するＵＥの位置情報をサポートするために、３ＧＰＰ標準Ｌｂインタフェースを通じてコアネットワークＳＭＬＣ１７６とインタフェースする。
・セルブロードキャストサービスを可能とするために３ＧＰＰ標準ＣＢＣ−ＲＮＣインタフェースを通じてコアネットワークＣＢＣ１７８とインタフェースする。

管理システム（ＺＭＳ）７４は、アクセスポイント５０に保守・運用・プロビジョニング機能を提供する。より具体的には、以下の通りである：
・ＤＳＬフォーラムの仕様ＴＲ−０６９に記載の手順および方法を使用してアクセスポイント５０を管理する。
・設置プロセス中、アクセスポイント５０のプロビジョニングを担当する。
・管理するアクセスポイントから報告された故障をモニタする。
・事業者に各アクセスポイント５０の構成を管理する手段を提供する。
・ユーザインタフェースにユーザがアクセスできる機能を制限するセキュリティを提供する。
・安全なＩＰ接続を使用してｌｔｆ−Ｚを通じて、アクセスポイント５０とインタフェースする。
・アクセスポイントのソフトウェアのアップグレードを管理する手段を提供する。
・アクセスポイントから報告される実績指標を収集する。
・顧客サービスおよびネットワーク運用センタ（network operations centre）とインタフェースする。

ＵＭＴＳコアネットワーク要素のＭＳＣ１６６、ＳＧＳＮ１６８、ＡＡＡ１７４およびＨＬＲ／ＨＳＳ１８０は、３ＧＰＰ標準要素であり、これ以上は説明しない。

アクセスポイント５０は、自装置を認証するために標準ＵＥメカニズムを使用する。これを、例としてＩＭＳ／ＳＩＰの場合を使用して説明する。３ＧＰＰ ＩＭＳ標準は、ＳＩＭカードを有する無線ＬＡＮ ＵＥをサポートするインタフェースを規定している（本明細書でＷＬＡＮ／ＩＭＳインタフェースと呼ぶ）。アクセスポイント５０がＳＩＭカード１６０を有するときに、ＳＩＭカードを有する無線ＬＡＮ ＵＥに見えてもよいので、このメカニズムはアクセスポイント５０をＭＮＯコアネットワークに認証するために再使用されてもよい。非常に類似したメカニズムは、非標準のいわゆる「プリＩＭＳ」ソリューションに含まれており、「プリＩＭＳ」ソリューションの多くは、従来の３ＧＰＰネットワーク内への無線ＬＡＮ装置の統合をサポートするように特に設計されている。

図５は標準ＷＬＡＮ／ＩＭＳインタフェースを示す図であり、ＷＬＡＮ ＵＥ１９０は、３ＧＰＰネットワーク１９４のパケットデータゲートウェイ（ＰＤＧ、Packet Data Gateway）１９２に自装置を認証する。

図６は、本明細書で使用する認証メカニズムの適合版を示す図である。本質的に、アクセスポイント５０は、ＡＡＡサーバに自装置を認証し、パケットデータゲートウェイ（ＰＤＧ）２００に終端する安全なＩＰｓｅｃトンネルを作成するために、３ＧＰＰ規格に指定されるのと同じ認証メカニズムを使用する。

アクセスポイントは、ホームネットワークへ自装置固有のＩＰｓｅｃトンネルを確立する。従って、アクセスポイント５０が初期化された後、ＤＳＬアクセスに関連するＩＳＰからローカルＩＰアドレスを取得する。次いで、アクセスポイント５０は、遠隔構成、ＰＯＴＳ電話機に対するＶｏＩＰサポートの提供、アクセスポイントにアタッチする各ＵＥに代わってＵＥ固有のＩＰｓｅｃトンネルの設定時に、ＵＥ固有の鍵材料の安全な配信などのいくつかの目的のために、ホームネットワークへの安全な専用のＩＰ接続を必要とする。これは、ホームネットワークのＰＤＧ２００に向けてＶＰＮのようなＩＰｓｅｃＥＳＰトンネルを設定することにより達成される。

アクセスポイントは、ＷＬＡＮ ＵＥがＲ６ ＴＳ ２３．２３４に準拠するだろうやり方と全く同じやり方で、ＥＡＰ／ＡＫＡ認証を有するＩＫＥｖ２を使用してこのトンネルを確立するために、ホームＭＮＯネットワーク供給のＵＳＩＭを有することを活用する。

トンネル確立では、以下のステップが実行される：
１．アクセスポイントは、ホームＭＮＯネットワークのＰＤＧ２００のＩＰアドレスを取得する。
２．アクセスポイントは、プロセス中にリモートＩＰアドレスを取得したＰＤＧ２００へのＩＰｓｅｃトンネルを設定するために、ＥＡＰ−ＡＫＡ認証を有するＩＫＥｖ２使用する。

アクセスポイントは、ＷＬＡＮ−３ＧＰＰ相互作用フレームワークのＷ−ＡＰＮと同様のやり方で、ＰＤＧ２００を指す完全修飾ドメイン名（ＦＱＤＮ、Fully Qualified Domain Name）を使用してローカルに構成される。アクセスポイント５０は、ＦＱＤＮに関するＤＮＳ手順によってＰＤＧ２００のＩＰアドレスを解決する。ＷＬＡＮ−３ＧＰＰ相互作用の場合と同様に、ＰＤＧ２００のＦＱＤＮは公開ＤＮＳに存在すると想定する。

アクセスポイントは、ホームＭＮＯネットワークに向けて自装置の身元を証明するためにＩＭＳＩベースのネットワークアクセス識別子ＮＡＩ(Network Access Identifier)を使用する。例えば、
０．＜ＩＭＳＩ＿ＺＡＰ＞＠．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ、または
ＩＭＳＩ＿ＺＡＰ＠．ｚａｐ．ｈｏｍｅ＿ｎｅｔｗｏｒｋ＿ｄｏｍａｉｎ
である。

ここで、ＩＭＳＩ＿ＺＡＰは、アクセスポイントに配置されるＵＳＩＭのＩＭＳＩである。ＭＮＣはホームＭＮＯネットワークの移動体通信網識別番号であり、ＭＣＣは移動体通信用国番号である。プリフィックス０が、ＳＩＭ認証の代わりにＡＫＡ認証を要求されていることを示すために使用されてもよい。

ＩＫＥベースのトンネル設定手順に関して、アクセスポイントがＮＡＴ装置の背後に配置されている（らしい）ことに対処するために、アクセスポイントは、ＩＫＥｖ２に本来備わっているＮＡＴトラバーサルサポート、すなわちＩＥＴＦ ＲＦＣ３９４８“ＵＤＰ Ｅｎｃａｐｓｕｌａｔｉｏｎ ｏｆ ＩＰｓｅｃ ＥＳＰ Ｐａｋｅｔｓ”（ＩＰｓｅｃＥＳＰパケットＵＤＰカプセル化）を活用する。

図７は、アクセスポイント５０とホームＭＮＯネットワークのＰＤＧ２００との間のＩＰｓｅｃトンネルの設定に関与するシグナリングを示す。これは、３ＧＰＰ−ＷＬＡＮ相互作用で考慮されているアーキテクチャと類似のホームＭＮＯネットワークアーキテクチャを想定している。しかし、ソリューションは、ネットワークアーキテクチャに関する前提に厳密には依存せず、以下に説明するように、アーキテクチャがアクセスポイントからＰＤＧへのシグナリングをサポートすれば十分である。アクセスポイント／ＵＳＩＭとホームＭＮＯネットワークとの間のトンネル確立手順は、Ｒ６ ＴＳ ２３．２３４にそのまま従うけれども、アクセスポイントが各ＵＥに代わってＵＥ固有のトンネルを確立するときに必要な変更（ＵＥ固有の鍵材料のアクセスポイントへの配信のために）を説明してもよいように、本明細書にいくらかの詳細を記述する。

アクセスポイントは、ＰＤＧのＦＱＤＮをＩＰアドレスに解決した後、トンネル確立手順を開始する。

ステップ７０１で、アクセスポイント５０は、そのＵＤＰポート５００からＰＤＧ２００のＵＤＰポート５００へＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージを送信する。このメッセージは、アクセスポイントとＰＤＧとの間のＩＫＥ ＳＡの設定を開始させるものであり、、以下を有する。
・サポートする暗号スイートを運ぶＳＡＩペイロード：例えばＴＳ ３３．２３４のスイート＃２の場合は、
暗号化：ＣＢＣモードで固定鍵長のＡＥＳ
インテグリティ：ＡＥＳ−ＸＣＢＣ−ＭＡＣ−９６
疑似乱数機能：ＡＥＳ−ＸＣＢＣ−ＰＲＦ−１２８
Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎグループ２
である。
・アクセスポイントのＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ（ＤＨ）公開鍵Ｋｅｉおよび一回限りのＮｉ：
・送信元ＩＰアドレス（アクセスポイントのローカルＩＰアドレス）と送信元ポート（５００）のハッシュを運ぶＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＳＯＵＲＣＥ＿ＩＰペイロード：
・宛先ＩＰアドレス（ＰＤＧのＩＰアドレス）と宛先ポート（５００）のハッシュを運ぶＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＤＥＳＴＩＮＡＴＩＯＮ＿ＩＰペイロード。

ステップ７０２で、ＰＤＧ２００は、ＩＫＥ＿ＳＡ＿ＩＮＴメッセージを受信し、それを運ぶパケットの送信元ＩＰアドレスと送信元ポート番号のハッシュの計算に進む。それが、ＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＤＥＳＴＩＮＡＴＩＯＮ＿ＩＰペイロードの値と異なる場合、ＰＤＧはアクセスポイントがＮＡＴの背後にあることを知る。ＰＤＧは、ＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＤＥＳＴＩＮＡＴＩＯＮ＿ＩＰペイロードの値と一緒に、自装置のＩＰアドレスとポートのハッシュも計算する。これが異なる場合、ＰＤＧは自装置がＮＡＴの背後にあることを知り、この場合はＮＡＴバインディングが変更されないようにキープアライブパケットを送信開始すべきである。アクセスポイントおよび／またはＰＤＧがＮＡＴの背後にあるかどうかをアクセスポイントが判定するのを可能にするために、アクセスポイントが行ったのと同じやり方で、ＰＤＧは、自装置のＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＳＯＵＲＣＥ＿ＩＰペイロードおよびＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＤＥＳＴＩＮＡＴＩＯＮ＿ＩＰペイロードを生成する。

ＰＤＧは、秘密ＤＨ鍵および自分で生成した一回限りのＮｒと一緒に受信したＫＥｉおよびＮｉを使用し、以下の７つの秘密共有鍵を生成する：
・ＳＫ＿ａｉ／ＳＫ＿ａｒ：ＩＫＥシグナリングを保護するためのインテグリティ保護アルゴリズム（ＡＥＳ−ＸＣＢＣ−ＭＡＣ−９６）によって使用される。
・ＳＫ＿ｅｉ／ＳＫ＿ｅｒ：ＩＫＥシグナリングを保護するために暗号化アルゴリズム（ＣＢＣモードのＡＥＳ）によって使用される。
・ＳＫ＿ｄ、ＳＫ＿ｐｉ／ＳＫ＿ｐｒ

ＰＤＧは、ＩＫＥ＿ＳＡ＿ＩＮＩＴ応答を送信することによりＩＫＥ ＳＡのネゴシエーションを完了する。これは、ＮＡＴの存在に無関係にアクセスポイントに戻るのを確実にするために、ＩＫＥ＿ＳＡ＿ＩＮＩＴを運ぶＩＰパケットの送信元ＩＰアドレスに（ポート５００からポート５００へ）送信される。これは以下を有する：
・アクセスポイント提案の暗号スイートを運ぶＳＡｉペイロードで、それによってその受け入れに肯定応答する。
・ＰＤＧのＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ（ＤＨ）公開鍵ＫＥｒおよび一回限りのＮｒ。
・送信元ＩＰアドレス（ＰＤＧのローカルＩＰアドレス）と送信元ポート（５００）のハッシュを運ぶＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＳＯＵＲＣＥ＿ＩＰペイロード。
・宛先ＩＰアドレス（アクセスポイントのＩＰアドレス）と宛先ポート（５００）のハッシュを運ぶＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＤＥＳＴＩＮＡＴＩＯＮ＿ＩＰペイロード。

ステップ７０３で、アクセスポイントは、ＩＫＥ＿ＳＡ＿ＩＮＩＴ応答を受信すると、アクセスポイントおよび／またはＰＤＧがＮＡＴの背後にあるかどうかを検出するために、ＰＤＧが行ったのと同じ方法でＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＳＯＵＲＣＥ＿ＩＰペイロードとＮＡＴ＿ＤＥＴＥＣＴＩＯＮ＿ＤＥＳＴＩＮＡＴＩＯＮ＿ＩＰペイロードをチェックする。ＮＡＴが検出された場合、アクセスポイントは、それ以降のすべてのＩＫＥシグナリングの送信を、ポート４５００からポート４５００への送信に切り替える。

ＰＤＧは、前にＰＤＧが生成したのと同じ７つの秘密共有鍵を生成するために、その秘密ＤＨ鍵および自装置で生成した一回限りのＮｉと一緒に受信ＫＥｒおよびＮｒを使用し、ＳＫ＿ａｉ／ＳＫ＿ａｒおよびＳＫ＿ｅｉ／ＳＫ＿ｅｒでそれ以降のすべてのＩＫＥシグナリングの保護を開始する。

この時点で、ＩＫＥ ＳＡは設定されており、アクセスポイントとＰＤＧとは、安全に通信してもよいが、認証は行われていない。認証は、アクセスポイントから第１番目のＩＫＥ＿ＡＵＴＨ要求メッセージを送信することによって開始される。アクセスポイントは、ＩＤｉペイロードによって、そのＩＭＳＩ由来のアイデンティティをアサートする。アクセスポイントは、これら２つの方法の１つを通して生成されたＡＵＴＨペイロードを含めないことで、デフォルトのＩＫＥｖ２認証方法（事前共有の秘密鍵ベースまたは電子署名ベース）の代わりにその認証にＥＡＰを使用する意図も宣言する。

ＩＫＥ＿ＡＵＴＨ要求メッセージは、トンネルを通じて運ばれる全トラフィックを保護するＩＰｓｅｃＥＳＰ ＳＡ（ＣＨＩＬＤ＿ＳＡ）の設定も開始する。このメッセージは以下を有する：
・ＩＤｉペイロードで、次のアクセスポイントのアイデンティを有する。
ＩＭＳＩ＿ＺＡＰ＠．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ
・ＰＤＧのＦＱＤＮを有するＩＤｒペイロード。
・ＰＤＧのリモートＩＰアドレスを要求するＣＰペイロード（ＩＰｓｅｃトンネルを終端するため）、および、場合によってはホームＭＮＯネットワーク内に設置されるＤＮＳサーバのＩＰアドレス（例えば、Ｐ−ＣＳＣＦディスカバリのため）。
・ＳＡｉ２で、これは、トンネルで（すなわち、ＩＰｓｅｃＥＳＰ ＳＡを通して）運ばれるトラフィックの保護のために使用される暗号スイートを有する開始者（すなわち、アクセスポイント）のセキュリティアソシエーションペイロード。例えばＴＳ ３３．２３４のスイート＃２の場合は、
暗号化：ＣＢＣモードの１２８ビット鍵を持つＡＥＳ。
インテグリティ：ＡＥＳ−ＸＣＢＣ−ＭＡＣ−９６。
トンネルモード：
ＴＳｉとＴＳｒ：トンネルを通じて運ばれるＩＰフロー（送信元の範囲−宛先の範囲）を識別する、提案のトラフィックセレクタを有する。

ステップ７０４で、ＰＤＧは、以下のアクセスポイントがアサートされたアイデンティティを有するＥＡＰ認証要求メッセージを送信することによって、ＡＡＡサーバにアクセスポイントを認証するように依頼する。
ＩＭＳＩ＿ＺＡＰ＠．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ

ステップ７０５では、ＡＡＡが有効なＡＫＡ認証ベクトル（ＲＡＮＤ、ＡＵＴＮ、ＲＥＳ、ＣＫ、ＩＫ）を有さない場合、ＡＡＡはそれを取得するためにＨＳＳと通信する。ＨＳＳは、認証ベクトル生成のためにＩＭＳＩ＿ＺＡＰ用のＡＫＡアルゴリズムを実行する。

ステップ７０６で、ＡＡＡサーバは、ＥＡＰ−ＡＫＡパケットを保護用に、そのＩＭＳＩ用のマスタセッション鍵（ＭＳＫ＿ＺＡＰ）および追加の鍵（ＴＥＫ）を生成するためにＣＫおよびＩＫを使用する。

ステップ７０７で、ＡＡＡサーバは、自装置を認証するためにベクトルの中のＡＵＴＮおよびＲＡＮＤを使用し、ＰＤＧを介してアクセスポイントに（ＲＡＮＤ、ＡＵＴＮ）を運ぶＥＡＰ−要求／ＡＫＡ−チャレンジメッセージを送信することによって、アクセスポイントに自装置をＡＫＡ−認証するようにチャレンジする。そのメッセージは、ＥＡＰパケットが途中で改ざんされなかったことをアクセスポイントが確信できるようにするために、ＭＡＣも運ぶ。

ステップ７０８で、ＰＤＧは、アクセスポイントへＥＡＰ−要求／ＡＫＡ−チャレンジ（ＲＡＮＤ、ＡＵＴＮ、ＭＡＣ）をＩＫＥ＿ＡＵＴＨ応答メッセージ内に入れて転送し、アクセスポイントに向けて自装置を認証するための証明書（ステップ７１８で行われるＥＡＰ−ＡＫＡベースの認証に加えて）を含める。

ステップ７０９で、アクセスポイントは、ＡＫＡアルゴリズムを実行するためにそのＵＳＩＭを使用する。すなわち、
・ＥＡＰメッセージが改ざんされていないことをチェックするためにＭＡＣを計算する。
・ＡＵＴＮの有効性をチェックする。
・（ＲＥＳ、ＣＫ、ＩＫ）を生成する。
さらに、アクセスポイントは、ＣＫ、ＩＫおよびＩＭＳＩ＿ＺＡＰからＭＳＫ＿ＺＡＰポイントを計算する。

ステップ７１０で、アクセスポイントは、新しいＩＫＥ＿ＡＵＴＨ要求メッセージ内にカプセル化したＥＡＰ−要求／ＡＫＡ−チャレンジのＲＥＳ値を送信することによって、自装置を認証する。

ステップ７１１で、ＰＤＧは、ＡＡＡサーバにＥＡＰ−要求／ＡＫＡ−チャレンジ（ＲＥＳ）を転送し、ＡＡＡサーバは、それとアクセスポイントを認証するためにＨＳＳから受信したＲＥＳ値とを比較する。

ステップ７１２で、ＡＡＡサーバは、認証に成功した場合、成功の認証応答にＥＡＰ−成功ペイロードをカプセル化して、ＰＤＧにＭＳＫ＿ＺＡＰを転送する。

ステップ７１３で、ＰＤＧは、アクセスポイントがそのＦＱＤＮに付随するサービスを享受するために、アクセスポイントを認可するようにＡＡＡサーバに依頼する（Ｗ−ＡＰＮ類似）。

ステップ７１４で、ＡＡＡサーバは、トンネルが設定されてもよいかどうかを判定するために、ＩＭＳＩ＿ＺＡＰに関連するプロファイルをチェックする。

ステップ７１５で、ＡＡＡサーバは、トンネル設定の認可を確認する。

ステップ７１６では、ＩＫＥ＿ＡＵＴＨ応答でＥＡＰ成功ペイロードを送信することによって、ＰＤＧは、ＡＡＡサーバとの認証に成功したことを、アクセスポイントに通知する。

ステップ７１７で、アクセスポイントは、ステップ７０１のＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージをＭＳＫ＿ＺＡＰ鍵で署名し、新しいＩＫＥ＿ＡＵＴＨ要求メッセージのＡＵＴＨペイロードに結果を含めることによって、ＰＤＧに向けて自装置を認証する。

ステップ７１８で、ＰＤＧは、ＡＵＴＨペイロードをチェックするためにＭＳＫ＿ＺＡＰポイントのその知識を使用し、それによってアクセスポイントを認証する。次いで、ＰＤＧはＭＳＫ＿ＺＡＰ使用し、ステップ７０２のＩＫＥ＿ＳＡ＿ＩＮＩＴ応答に署名することによって自装置のＡＵＴＨペイロードを生成し、アクセスポイントに向けてそのアイデンティティを認証する。ＰＤＧは、これをＩＫＥ＿ＡＵＴＨ応答メッセージで送信する。さらに、ＰＤＧは、構成ペイロード（ＣＦＧ＿ＲＥＰＬＹ）で、トンネルに割り当てられたリモートＩＰアドレス、ネゴシエートされた暗号スイート（提案のものと同じ）、ＳＡｒ２およびトラフィックセレクタＴＳｉ、ＴＳｒを送信し、それによってトンネルの全トラフィックを保護するＩＰｓｅｃＥＳＰ ＳＡのネゴシエーションを完了する。最後に、アクセスポイントは、ＭＳＫ＿ＺＡＰのその知識を使用して、ＡＵＴＨペイロードをチェックし、それによってＰＤＧを認証する。

アクセスポイント５０は、ＵＭＡインタフェースおよびＷＬＡＮ／ＩＭＳインタフェース用のクライアントソフトウェア機能を有する（特定の非標準プリＩＭＳソリューション固有のクライアントソフトウェアは、アクセスポイント内にも含まれてもよい）。クライアント機能は、前述のようにアクセスポイントがＭＮＯネットワークに端末装置に見えるのを可能にするが、アクセスポイント５０に接続する標準ＧＳＭ／ＵＭＴＳ端末が、ＵＭＡインタフェースまたはＩＭＳインタフェースにそれぞれＵＭＡ装置またはＷＬＡＮ ＵＥとして見えるのを可能にする相互作用機能も有する。（この場合もやはり、同じ原理はＳＩＰ周辺に基礎を置く独自のプリＩＭＳソリューションに拡大されてもよく、それらのソリューションは、ＳＩＰ／ＩＭＳアプローチと高度の共有性がある）。携帯装置用に開発されたＳＩＰクライアントおよびＵＭＡクライアントが、これらのクライアント機能の基礎として使用されてもよい。移動体通信事業者への大きな利点は、ＩＰネットワークを通じたアクセスを可能にするクライアントが、電話機ではなくアクセスポイント５０によって利用可能にされるので、レガシー電話機はＩＰベースのアクセスネットワークで使用され続けてもよく、事業者の投資を減少し、顧客に対するサービスを改善することである。

アクセスポイント５０から携帯端末へのエアインタフェースは、標準ＧＳＭ／ＵＭＴＳ手順を使用して暗号化されるべきである。暗号化を可能とするために、アクセスポイント５０は、ＭＮＯコアネットワークから直接ＵＥに配信された暗号鍵情報にアクセスする必要がある。暗号鍵情報へのアクセスを容易にするために、小さな修正が標準メカニズムに行われ、アクセスポイントが、ＵＥだけに通常提供される鍵にアクセスするためにＵＥのＩＤを使用することを可能にしている。このプロセスは、アクセスポイント５０が「信頼できる要素（trusted element）」であるとコアネットワークによって認証された後でだけ開始される。また、取得された鍵は、一時的な鍵であり、各呼に対して新しくされなければならない。マスタ鍵は、アクセスポイントとは交換されない。

ＵＭＡインタフェースとＳＩＰ／ＩＭＳインタフェースに対するこの相互作用の原理の実施を、以下により詳細に説明する。

相互作用機能の一使用は、ＵＭＡを使用するＵＥアクセスおよび暗号鍵交換を可能にすることである。上記のように、アクセスポイント５０は、汎用ＩＰアクセスネットワークを通じてコアネットワークに接続する。この接続には以下の２つの選択肢があり、移動体通信事業者は、配備の時点で選択可能にする必要がある。
・安全なＩＰアクセス：この場合、アクセスポイント固有のＩＰｓｅｃトンネルおよびＵＥ固有のＩＰｓｅｃトンネルを含む安全なＩＰｓｅｃトンネルが、アクセスポイントとコアネットワークとの全通信に適用される。
・プライベートＩＰアクセス：この場合、ＭＮＯは、どの公衆ＰＤＮ(Public Data Network)も通過しないＩＰアクセスネットワークを所有または直接制御し、この際、ＭＮＯはＩＰｓｅｃの管理およびオーバヘッドを持たないことを望んでもよく、代わりにプライベートＩＰアクセスに本来備わっているセキュリティを当てにしてもよい。

ＭＮＯが汎用ＩＰアクセスネットワークへの安全なＩＰアクセスを必要とする場合、以下が適用される。電源オン時、アクセスポイントは、ＵＳＩＭベースの認証を使用してＳｅＧＷとＩＰｓｅｃトンネルを設定する。アクセスポイントＩＰｓｅｃトンネルは以下のために使用される：
・アクセスポイントシグナリングおよびネットワーク管理機能をサポートする。
・非ＵＥ呼（ＰＯＴＳのような）および有線置換のためにホーム電話番号サービスをサポートする。

アクセスポイントのカバレッジ内に移動する各ＵＥに対して、アクセスポイントは、ＵＳＩＭベースの認証を使用して（アクセスポイントをプロキシとして）、ＳｅＧＷとのＵＥ固有のＩＰｓｅｃトンネルを設定する。図８は、図４のシステムの関連部分を示し、第１のＵＥ（ＵＥ１）２１０および第２のＵＥ（ＵＥ２）２２０がある例を示す。この場合、ＵＥ１は、高ＱｏＳのＰＤＰコンテキスト２３０で、ＭＮＯデータサービス（例えばＭＭＳ）へ接続し、ベストエフォートＰＤＰコンテキスト２３２で、ＧＧＳＮを介してインターネットへ接続する複数のＣＳサービスを提供するのに対して、ＵＥ２は、１つのＣＳだけのＵＥであり、例えばエンドユーザがデータ接続を有効にしていないＵＥである。

この例では、アクセスポイント５０は、２台のＵＥの各々に対してそれぞれのトンネルを設定する。すなわち、第１のＵＥ２１０に対する第１のトンネル２２２および第２のＵＥ２２０に対する第２のトンネル２２４である。これらのトンネルは、ＣＳトラフィックを運び、オプションで第１のＰＤＰコンテキストも運ぶ。この例では、アクセスポイント５０は、例えば複数／二次的なＰＤＰコンテキストのＱｏＳの差別化のために、ＳｅＧＷと追加のＩＰｓｅｃトンネル２２６、２２８も設定する。

アクセスポイント５０は、レガシーＵＥにトランスペアレントに、ＣＮシグナリング用にＵＥ ＮＡＳおよびＬ−ＵＭＡクライアントのインスタンスも作成する。オプションでアクセスポイントは、ローカルのインターネットオフロードを可能にする。

他の例では、アクセスポイントごとに１つのトンネルおよびＵＥごとに１つのトンネル、あるいは全トラフィックを通すアクセスポイントごとに１つのトンネル（外側のＩＰヘッダでのＱｏＳ差別化）、あるいはＩＰｓｅｃトンネルはないがアクセスポイントからコアネットワークへのＰＰＰ若しくは同等物があってもよい。

セキュリティが高レベルのアーキテクチャについて、以下に具体的に述べる。
・ＩＰネットワーキングセキュリティ：
ホームルータにファイアウォールがある。また、安全なＩＰアクセスオプションであるがプライベートＩＰアクセスオプションでない場合は、全通信は、アクセスポイントとＣＮセキュリティＧＷとの間のＩＰｓｅｃトンネル経由で安全にされ、アクセスポイントごとに１つのＩＰｓｅｃトンネルとＵＥごとに少なくとも１つのＩＰｓｅｃトンネルとがあり、すべてがＵＳＩＭベースの認証を行う。
・アクセスポイントレベルのセキュリティ：
アクセスポイントは、サービスに関して管理システム７４に認証する。アクセスポイントは、Ｌ−ＧＡＮＣに登録し、ＵＳＩＭベースのＭＭレイヤ認証を使用して、呼／データサービスに関してＣＮのＭＳＣ／ＳＧＳＮに認証する。また、安全なＩＰアクセスオプションであるがプライベートＩＰアクセスオプションでない場合は、アクセスポイントは、ＣＮセキュリティＧＷを認証し、ＵＳＩＭベースのＩＰｓｅｃトンネルを設定する。
・ＵＥレベルセキュリティ：
各ＵＥは、アクセスポイントによって（ＩＭＳＩにより）ローカルでアクセスを審査される。アクセスポイントがプロキシとしての機能を果たして、ＵＥはＬ−ＧＡＮＣに登録し、ＭＳＣ／ＳＧＧＮとＵＳＩＭベースのＭＭレイヤ認証を使用して、呼／データサービスに関してＣＮのＭＳＣ／ＳＧＳＮに認証する。ＭＭ認証手順中に捕捉したＩＫ、ＣＫを使用した、ＵＥとアクセスポイントとの間の無線インタフェースの暗号化がある。ＭＳＣは、これらをＲＡＮＡＰセキュリティモードコマンドでＬ−ＧＡＮＣに送信し、Ｌ−ＧＡＮＣは、それらを現在のＧＡ−ＣＳＲ（ＵＲＲ）メッセージの拡張または新しい専用メッセージでアクセスポイントに転送する。また、安全なＩＰアクセスオプションだがプライベートＩＰアクセスオプションでない場合は、コアネットワークとの初期ＵＥシグナリングはアクセスポイント固有のＩＰｓｅｃトンネルを通じて運ばれてもよく、ＵＥは、アクセスポイントが（ＵＳＩＭベースで）プロキシの機能を果たしてコアネットワークセキュリティＧＷを認証し、アクセスポイントごとにただ１つのＩＰｓｅｃトンネルが使用されるのでない限り、アクセスポイントはＵＥ固有のＩＰｓｅｃトンネルを設定し、オプションでＱｏＳ差別化のために二次的な／複数のＰＤＰコンテキスト確立用に追加のＩＰｓｅｃトンネルを設定する。

アクセスポイントＩＰｓｅｃトンネル確立の場合に、安全なＩＰアクセスオプションが使用されるとき、アクセスポイント用のＩＰｓｅｃトンネルはＵＳＩＭベースの認証を使用する。標準ＩＫＥｖ２およびＥＡＰ−ＡＫＡ手順に変更は必要ない。

アクセスポイントＩＰｓｅｃトンネル確立に、標準手順によればＬ−ＧＡＮＣへのアクセスポイント登録が続き、やはり標準手順によればアクセスポイントＭＭ認証が続く。

安全なＩＰアクセスオプションの場合で、アクセスポイントごとに唯一のＩＰｓｅｃトンネルでない条件で、ＵＥ ＩＰｓｅｃトンネルが確立される。この段階では無線暗号化は開始されず、手順はＵＥ ＵＳＩＭベースである必要がある。

ＩＰｓｅｃトンネルの設定後、アクセスポイントＬ−ＵＭＡクライアントは、標準手順に従ってＬ−ＧＡＮＣにＵＥを登録する。

無線暗号化は、ＭＭ ＬＡＵ手順でＭＳＣと同期される。暗号化鍵（ＩＫ、ＣＫ）は、ＭＳＣがｌｕＣＳ ＲＡＮＡＰセキュリティモードコマンドでＬ−ＧＡＮＣに送信した暗号化材料を使用して、この段階でアクセスポイントに格納される。Ｌ−ＧＡＮＣは、それらを現在のＧＡ−ＣＳＲ（ＵＲＲ）メッセージの拡張または新しい専用メッセージでアクセスポイントに転送する。

図９は、認証および暗号化がＭＳＣで可能にされる回線交換登録の場合の、ＭＭ位置エリア更新および暗号化を実行する詳細な手順を示している。

ステップ９０１で、ＵＥ３０は、アクセスポイント５０にＬＯＣＡＴＩＯＮ ＵＰＤＡＴＩＮＧ ＲＥＱＵＥＳＴメッセージを送信することによって、アイドルモードでＰＬＭＮおよび／またはセルの選択／再選択を実行してもよい。メッセージは、ＵＥのＩＭＳＩまたはＴＭＳＩを有してもよい。

ステップ９０２で、ＬＯＣＡＴＩＯＮ ＵＰＤＡＴＩＮＧ ＲＥＱＵＥＳＴメッセージでＴＭＳＩだけが受信された場合は、ＵＥからＩＭＳＩを取得するために、識別手順がアクセスポイントによって開始されてもよい。

ステップ９０３は、安全なＩＰアクセスオプションだけに適用可能であり（アクセスポイントごとに唯一のＩＰｓｅｃトンネルのオプションには適用可能でない）、安全なＩＰアクセスオプションでなければ、手順は直接ステップ９０４に続く。ＩＫＥｖ２およびＥＡＰ−ＡＫＡ手順が、アクセスポイントとＵＮＣとの間に安全なＩＰｓｅｃトンネルを設定するために実行される。ＥＡＰ−ＡＫＡ中、認証およびセキュリティ手順が実施される。この場合、ＳＥＣＵＲＩＴＹ ＭＯＤＥメッセージがＥＡＰ−ＡＫＡ手順中にＵＥに送信される。

ステップ９０４で、ＩＰｓｅｃトンネルを首尾よく確立時、アクセスポイントは、ＵＥをＵＮＣに登録するためにＵＲＲ ＲＥＧＩＳＴＥＲ ＲＥＱＵＥＳＴメッセージを生成し、ＵＮＣに送信する。サービングＵＮＣは、既にアクセスポイントに発見されていると想定すると、ステップ９０５で、ＵＥがＵＮＣに首尾よく登録されたことを示すＵＲＲ ＲＥＧＩＳＴＥＲ ＡＣＣＥＰＴメッセージがＵＮＣから受信される。

ステップ９０６で、ＵＥから受信した元のＬＯＣＡＴＩＯＮ ＵＰＤＡＴＩＮＧ ＲＥＱＵＥＳＴメッセージは、ＵＲＲ ＵＬ ＤＩＲＥＣＴ ＴＲＡＮＳＦＥＲラッパーでＵＮＣに転送され、ステップ９０７でＵＮＣは、ＭＳＣのＭＭサブレイヤにＬＯＣＡＴＩＯＮ ＵＰＤＡＴＩＮＧ ＲＥＱＵＥＳＴを転送する。

認証および暗号化は３ＧのＭＳＣで可能にされると想定すると、ステップ９０８で、ＭＭサブレイヤは、３ＧのＲＡＮＤおよびＡＵＴＮパラメータを有するＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＲＥＱＵＥＳＴメッセージを生成し、ステップ９０９で、ＵＮＣは、ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＲＥＱＵＥＳＴを有するＵＲＲ ＤＬ ＤＩＲＥＣＴ ＴＲＡＮＳＦＥＲメッセージを生成し、アクセスポイントに送信する。

ステップ９１０で、アクセスポイントは、ＵＲＲ ＤＬ ＤＩＲＥＣＴ ＴＲＡＮＳＦＥＲを受信し、ＵＥにＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＲＥＱＵＥＳＴメッセージを送信する。

ステップ９１１で、ＵＥは、３Ｇ認証手順を実行して、ＲＥＳを生成し、ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＲＥＳＰＯＮＳＥメッセージでアクセスポイントに送信する。ステップ９１２では、アクセスポイントは、ＵＲＲ ＵＬ ＤＩＲＥＣＴ ＴＲＡＮＳＦＥＲでＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＲＥＳＰＯＮＳＥメッセージをＵＮＣに送信し、ステップ９１３では、ＵＮＣは、ＵＲＲ ＵＬ ＤＩＲＥＣＴ ＴＲＡＮＳＦＥＲを受信し、ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＲＥＳＰＯＮＳＥメッセージをＭＳＣに送信する。

ステップ９１４では、ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＲＥＳＰＯＮＳＥに収容されたＲＥＳは、ＭＳＣで確証される。暗号化は、ＵＮＣにセキュリティモードコマンドを送信することによって可能にされる。セキュリティモードコマンドは、ＣＫおよびＩＫの暗号化およびインテグリティ鍵を有すべきである。ステップ９１５では、ＵＮＣは、修正ＵＲＲ ＣＩＰＨＥＲＩＮＧ ＭＯＤＥ ＣＯＭＭＡＮＤ（または新しいメッセージのＵＲＲ ＳＥＣＵＲＩＴＹ ＭＯＤＥ ＣＯＭＭＡＮＤ）で暗号化およびインテグリティ情報をアクセスポイントに送信する。

これに応じて、ステップ９１６にて、アクセスポイントは、ＵＥＡ（暗号化アルゴリズム）、ＵＩＡ（インテグリティアルゴリズム）、ＦＲＥＳＨおよびＭＡＣ−ｌ情報を有するＳＥＣＵＲＩＴＹ ＭＯＤＥ ＣＯＭＭＡＮＤメッセージを生成する。ここで留意すべきは、ＵＥＡ、ＵＩＡ、ＦＲＥＳＨおよびＭＡＣ−ｌは、アクセスポイントから提供できることである。

ステップ９１７では、ＳＥＣＵＲＩＴＹ ＭＯＤＥ ＣＯＭＰＬＥＴＥメッセージがＵＥからアクセスポイントに送信され、ステップ９１８では、修正ＵＲＲ ＣＩＰＨＥＲＩＮＧ ＭＯＤＥ ＣＯＭＰＬＥＴＥメッセージ（または新しいＵＲＲ ＳＥＣＵＲＩＴＹ ＭＯＤＥ ＣＯＭＰＬＥＴＥメッセージ）を生成する。ステップ９１９では、ＵＮＣは、ＣＩＰＨＥＲ ＭＯＤＥ ＣＯＭＰＬＥＴＥメッセージをＭＳＣに送信する。

ステップ９２０で、ＭＳＣは、ＬＯＣＡＴＩＯＮ ＵＰＤＡＴＩＮＧ ＡＣＣＥＰＴメッセージをＵＮＣに送信し、ステップ９２１で、ＵＮＣは、ＬＯＣＡＴＩＯＮ ＵＰＤＡＴＩＮＧ ＡＣＣＥＰＴを有するＵＲＲ ＤＬ ＤＩＲＥＣＴ ＴＲＡＮＳＦＥＲメッセージをアクセスポイントに送信し、ステップ９２２で、アクセスポイントは、ＬＯＣＡＴＩＯＮ ＵＰＤＡＴＩＮＧ ＡＣＣＥＰＴをＵＥに送信し、登録手順を完了する。

こうして、Ｌ−ＧＡＮＣ１６４は、無線暗号化のためにアクセスポイント５０へ暗号化鍵を転送する。ｌｕＣＳメッセージは標準的なものであり、Ｌ−ＵＭＡメッセージは標準ＵＭＡメッセージの進化である。

上記の代替または追加として、相互作用機能が、３ＧＰＰ−ＷＬＡＮ／ＩＭＳインタフェースを使用してＵＥアクセスおよび暗号鍵交換を可能にするために、アクセスポイント内で提供されてもよい。アクセスポイント−ＳＩＰフレームワークは、３ＧＰＰサービスへの汎用ＩＰアクセスに対して有効であり、ＷＬＡＮアクセス固有でない３ＧＰＰ−ＷＬＡＮ相互作用フレームワークのそれらの様相を再使用する。

再使用される基本コンセプトは以下の通りである：
・ホームＭＮＯネットワークのアクセス／セキュリティゲートウェイへのＩＰ接続ベアラとして、ＩＫＥｖ２生成のＩＰｓｅｃＥＳＰトンネルの使用（アクセスＮＷがＧＰＲＳのときのＰＤＰコンテキストと同様のやり方で）と、
・ＩＰｓｅｃトンネルのＥＡＰ−ＡＫＡ／ＳＩＭベースの相互認証の使用。

簡潔にするために、用語ＰＤＧが、トンネルを終端するホームＭＮＯネットワークのアクセス／セキュリティゲートウェイを示すために再使用されるが、もちろんゲートウェイ機能は、３ＧＰＰ−ＷＬＡＮ ＰＤＧの機能と厳密に同じ必要はない。

アクセスポイントは、ＰＤＧとの間に２種類のＩＰｓｅｃトンネルを確立する。１つのアクセスポイント固有のトンネル（アクセスポイント関連のシグナリングを処理するため）と、アクセスポイントにＧＳＭ／ＵＭＴＳアタッチする各ＵＥに対する１つ以上のＵＥ固有のトンネルである。従って、図示のアクセスポイント−ＳＩＰソリューションは、ＵＥに代わってアクセスポイントがＵＥ固有のＩＰｓｅｃトンネルを作成するのに頼り、ＵＥがアクセスポイントにＧＳＭ／ＵＭＴＳアタッチするとき、ＵＥが通常の３ＧＰＰのＣＳおよびＰＳベースのサービスにシームレスにアクセスできるように、全ＵＥ関連トラフィックはそのトンネルを通してホームＭＮＯネットワークと交換される。

これらのＥＡＰ−ＡＫＡ／ＳＩＭ認証ＵＥ固有トンネルの確立で処理されるべき重要な問題は、アクセスポイントがＥＡＰシグナリングを終端する間、アクセスポイントはＵＥに常駐する（Ｕ）ＳＩＭに直接アクセスしないことである。アクセスポイントは、ＵＭＴＳ／ＧＳＭ認証手順を開始することで、ＵＥ／（Ｕ）ＳＩＭにＡＫＡ／ＳＩＭアルゴリズムの実行を開始させてもよく（こうして、ＵＥ−アクセスポイントＧＳＭ／ＵＭＴＳ認証手順とアクセスポイント−ＰＤＧトンネル認証手順とを結合する）、一方で、ＡＫＡ／ＳＩＭが実行されるとき、アクセスポイントはＵＥ／（Ｕ）ＳＩＭで生成された鍵材料に直接アクセスをしない。このようなものであるから、アクセスポイントは、ホームＭＮＯネットワークから直接この鍵材料を取得しなければならない。２つの代替方法がこれを達成するために記述されており、各々の方法は、アクセスポイントとホームＭＮＯネットワークとの間にわずかに異なるインタフェース構造を必要とする。

図１０は、第１のアーキテクチャを示し、トンネル確立時にＵＥ固有の鍵材料を取得する「帯域内（in-band）」方法が使用される場合に適用される。

従って、図１０に示すアーキテクチャでは、ＵＥ３０とアクセスポイント５０との間のＵｕインタフェース２４０と、アクセスポイント５０とＰＤＧ２００との間のＷｕ’インタフェース２４２と、ＰＤＧ２００とＡＡＡサーバ１７４との間のＷｍインタフェース２４４とがある。

Ｕｕインタフェース２４０は、ＵＥとアクセスポイントとの間の通常のＧＳＭ／ＵＭＴＳエアインタフェースである。

Ｗｕ’インタフェース２４２は、Ｒ６ ＴＳ ２３．２３４に規定されるＷｕインタフェースの強化版である。アクセスポイントが（その場所のアクセスポイントＵＳＩＭを使用して）自装置のためにＥＡＰ−ＡＫＡ認証ＩＰｓｅｃトンネルを確立するために使用するとき、Ｗｕ’インタフェース２４２は、標準Ｗｕインタフェースと区別できない。しかし、Ｗｕ’インタフェース２４２は、ＵＥに代わってＥＡＰ−ＡＫＡ／ＳＩＭ認証ＩＰｓｅｃトンネルを確立するためにもアクセスポイントによって使用されてもよく、この場合、アクセスポイントがホームＭＮＯネットワークにＵＥ固有のＡＫＡ／ＳＩＭ生成鍵材料を配信するように要求することを可能とするために、追加の機能が利用可能にされている。

追加の機能は、ＩＫＥｖ２のＣＦＧ＿ＲＥＱＵＥＳＴペイロードタイプに対する３つの新しい独自の属性タイプの定義に転換され、それらは、ＡＫＡ認証の場合に暗号化鍵（ＣＫ）およびインテグリティ保護鍵（ＩＫ）を運ぶための２つの属性と、ＳＩＭ認証の場合にスタンドアロン暗号化鍵（Ｋｃ）を運ぶ第３の属性である。

Ｗｍ’インタフェースは、Ｒ６ ＴＳ ２３．２３４で規定されるＷｍインタフェースの強化版である。アクセスポイント固有のトンネルの認証および認可中に使用されるとき、標準Ｗｍインタフェースと区別できない。しかし、ＵＥ固有のトンネルの認証および認可中に使用されるとき、ＡＡＡサーバが、ＡＫＡ認証の場合に暗号化鍵（ＣＫ）およびインテグリティ保護鍵（ＩＫ）を、またＳＩＭ認証の場合にスタンドアロン暗号化鍵（Ｋｃ）を（ＰＤＧに）転送するのを可能にするために、追加の機能を利用可能にする。

図１１は第２のアーキテクチャを示し、トンネル確立時にＵＥ固有の鍵材料を取得する「帯域外（out-of-band）」方法が使用される場合に適用される。この場合は、アクセスポイント５０は、ＵＥ固有のトンネル確立時にＵＥ固有の鍵材料を回収するために、ホームＭＮＯネットワークのＡＡＡサーバ１７４への直接インタフェースを必要とする。従って、図１１に示すアーキテクチャでは、ＵＥ３０とアクセスポイント５０との間のＵｕインタフェース２５０と、アクセスポイント５０とＰＤＧ２００との間のＷｕインタフェース２５２と、ＰＤＧ２００とＡＡＡサーバ１７４との間のＷｍインタフェース２５４と、アクセスポイント５０とＡＡＡサーバ１７４との間のＷａｘインタフェース２５６とがある。

Ｕｕインタフェース２５０は、ＵＥとアクセスポイントとの間の通常のＧＳＭ／ＵＭＴＳエアインタフェースである。

Ｗｕインタフェース２５２は、Ｒ６ ＴＳ ２３．２３４に規定されるＷｕインタフェースと基本的に同じであり、唯一の相違は使用されるアイデンティティのフォーマットに関する。アクセスポイントＩＤとして使用されるＮＡＩは、ＷＬＡＮ ＵＥと区別するために、固有のプリフィックスを有する。ＵＥのアイデンティとして使用されるＮＡＩは、ＵＥがその特定のアクセスポイントにアタッチしていることをホームＭＮＯネットワークにはっきりさせるために、アクセスポイントのアイデンティ（ＩＭＳＩ）を添えられる。

Ｗｍインタフェース２５４は、Ｒ６ ＴＳ ２３．２３４に規定されるＷｍと基本的に同じであり、唯一の相違は、前のセクションで検討したように、アクセスポイントおよびアクセスポイントにアタッチするＵＥを識別するために使用されアイデンティのフォーマットに関する。

Ｗａｘインタフェース２５６は、ＵＥ固有のトンネルの認証中にＡＫＡ／ＳＩＭアルゴリズムの実行で生成されるＵＥ固有の鍵材料を（ＡＡＡサーバから）回収するために、アクセスポイントによって使用される。使用されるプロトコルは、ＡＡＡサーバのサポートに従ってＲＡＤＩＵＳまたはＤＩＡＭＥＴＥＲである。Ｗａｘインタフェースは、３ＧＰＰ−ＷＬＡＮ相互作用のためにＲ６ ＴＳ ２３．２３４に規定されるＷａインタフェースとＷｘインタフェースとの組み合わせである。Ｗａｘインタフェースは、ＡＡＡプロトコルによって、アクセスネットワーク（アクセスポイント）とホームＭＮＯネットワークのＡＡＡサーバとを接続する点で、Ｗａインタフェースと類似する。しかし、その目的（認証ベクトル材料のＣＫおよびＩＫあるいはＫｃの回収）は、ＡＡＡサーバとＨＳＳとの間のＷｘインタフェースの目的に似ている。

アクセスポイント−ＳＩＰソリューションの究極の目標は、ＵＥがアクセスポイント−ＳＩＰにＧＳＭ／ＵＭＴＳアタッチするとき、マクロセルラＧＳＭ／ＵＭＴＳアクセスネットワークを経由してホームＭＮＯネットワークにＧＳＭ／ＵＭＴＳアタッチするとき享受するサービスと同じサービスをシームレスにサポートし提供することである。

ＵＥは、汎用ＩＰアクセスネットワークを通じてホームＭＮＯネットワークの３ＧＰＰサービスにアクセスできないので、アクセスポイントは、ＵＥに代わってこのタスクを実行する。

この目的のため、アクセスポイントは、ＵＥに代わって自装置とホームＭＮＯネットワークとの間にＵＥ関連トラフィックを運ぶＩＰベアラ（IP bearers）を確立する必要がある。これを達成する最善の方法は、３ＧＰＰ Ｒ６ ＴＳ ２３．２３４のＷＬＡＮ−３ＧＰＰ ＩＰアクセス（シナリオ３）のＷＬＡＮ−３ＧＰＰ相互作用フレームワークでＷＬＡＮ ＵＥ用に規定されたのとほぼ同じやり方で、ＵＥに代わってＶＰＮのようなＩＰｓｅｃＥＳＰトンネルを確立することである。この理由は、このやり方で、アクセスポイントはホームＭＮＯネットワークに各ＵＥがＷＬＡＮ ＵＥのように見えるようにし、それによってＷＬＡＮ−３ＧＰＰ相互作用のためのホームＭＮＯネットワークのインフラストラクチャが、アクセスポイント−ＳＩＰアクセスソリューション用に再使用されてもよくなるからである。

トンネル管理フレームワークは、以下のように記述できる：
１．アクセスポイントは、１対１ベースでＧＰＲＳ ＡＰＮとＰＤＧ ＦＱＤＮとをマッピングするデータベースを有する。すなわち、
ＧＰＲＳ ＡＰＮｘがＦＱＤＮｘにマッピングされる場合であって、ＵＥがマクロセルラＧＳＭ／ＵＭＴＳアクセスネットワークにある場合に、ＧＰＲＳ ＡＰＮｘを通してＵＥが利用可能であるだろうサービスセットと同じ３ＧＰＰ ＰＳベースのサービスセットに、ＦＱＤＮｘはアクセスを与える。
２．アクセスポイントへのＵＥ開始のＧＳＭ／ＵＭＴＳアタッチ中、アクセスポイントは、ＵＥに代わってＰＤＧへのデフォルトＩＰｓｅｃトンネルを確立する。ＵＥ−アクセスポイントの認証および鍵生成手順ならびにアクセスポイント−ＰＤＧインタフェースは、アクセスポイントによって結合される。このトンネルは、ＰＤＧと提供されるサービスセットの両方を特定するデフォルト（ローカルで構成された）完全修飾ドメイン名ＦＱＤＮ＿０に向けて確立される。ＦＱＤＮ＿０によってサポートされるサービスセットは、マクロセルラＧＳＭ／ＵＭＴＳアクセスネットワークに接続するときＵＥが通常利用可能な３ＧＰＰ ＣＳベースの全サービス、すなわちＣＳ音声呼、ＳＭＳ等を含む。ＦＱＤＮ＿０は、特定のＧＰＲＳ ＡＰＮに関連する３ＧＰＰ ＰＳベースのサービスもサポートしてもよい。
３．それ以降、ＵＥがＧＰＲＳ ＡＰＮに向けてＰＤＰコンテキストの起動を要求する場合：
・そのＧＰＲＳ ＡＰＮ用に既にアクティブなＰＤＰコンテキストがない場合（主要ＰＤＰコンテキスト起動手順）、アクセスポイントは、ＡＰＮがＦＱＤＮ＿０に関連するかどうかを調べるために、ＧＰＲＳ ＡＰＮとＰＤＧ ＦＱＤＮとの間の関連について内部データベースをチェックする。そして、関連する場合、既存のＩＰｓｅｃトンネルが再使用される。アクセスポイントは、既存のトンネルに関連するリモートＩＰアドレスおよび内部ＤＮＳサーバアドレスをＰＤＰコンテキストに割り当てる（すなわち、ＡＣＴＩＶＡＴＥ ＰＤＰ ＣＯＮＴＥＸＴ ＡＣＣＥＰＴでそれらを送信する）。また、関連しない場合、アクセスポイントは、ＧＰＲＳ ＡＰＮに関連するＦＱＤＮに向けて新しいトンネルを確立し、その新しいトンネルに関連するリモートＩＰアドレスおよび内部ＤＮＳサーバアドレスをＰＤＰコンテキストに割り当てる（すなわち、ＡＣＴＩＶＡＴＥ ＰＤＰ ＣＯＮＴＥＸＴ ＡＣＣＥＰＴでそれらを送信する）。
・ＧＰＲＳ ＡＰＮに対して既にアクティブなＰＤＰコンテキストがある場合（二次的ＰＤＰコンテキスト起動手順）、既存のトンネルが再使用される。

アクセスポイントは、ＵＥがアクセスポイントにＧＳＭ／ＵＭＴＳアタッチするとき、ＦＱＤＮ＿０に向けてデフォルトのＵＥ固有のＩＰｓｅｃトンネルを自動的に確立する。ＦＱＤＮ＿０は、３ＧＰＰ ＣＳベースのサービスのためにＣＳ−ＳＩＰ相互作用への最小限のアクセスを提供し、固有のＧＰＲＳ ＡＰＮ用にサポートされる３ＧＰＰ ＰＳベースのサービスへのアクセスも提供してもよい。

アクセスポイントは、アクセスポイント固有のトンネルの確立時にＰＤＧのＦＱＤＮの解決で取得されるＩＰアドレスを再使用する。このやり方で、同じＰＤＥが、アクセスポイントから始まる全トンネル、すなわちアクセスポイント固有のトンネルと全ＵＥ固有のトンネルの両方を終端するために使用される。

アクセスポイントがＵＥに代わってトンネルの確立を要求するとき、使用されたアサートＩＤは、ＵＥのＩＭＳＩベースのＮＡＩにアクセスポイントのＩＭＳＩを添えることによって組み立てられる。このやり方で、アクセスポイントが代わってトンネルを要求したＵＥのアイデンティとアクセスポイントのアイデンティの両方は、ホームネットワークには明白である。ＷＬＡＮ−３ＧＰＰのＩＰアクセス［３ＧＰＰ Ｒ６ ＴＳ ２３．００３”Ｎｕｍｂｅｒｉｎｇ， ａｄｄｒｅｓｓｉｎｇ ａｎｄ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｆｏｒ ３ＧＰＰ Ｓｙｓｔｅｍ ｔｏ ＷＬＡＮ Ｉｎｔｅｒｗｏｒｋｉｎｇ”（３ＧＰＰシステムとＷＬＡＮ相互作用のための番号方式、アドレス指定および識別）参照］で利用されるのと類似のやり方で、アサートされたアイデンティには、ＥＡＰ−ＡＫＡ認証が使用されるべきかまたはＥＡＰ−ＳＩＭ認証が使用されるべきかを示すフラグも添えられる。たとえば、以下の通りである。
ＥＡＰ−ＡＫＡに対して
、０＜ＩＭＳＩ＿ＵＥ＞＠＜ＩＭＳＩ＿ＺＡＰ＞．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ、または、
ＥＡＰ−ＳＩＭに対して、
１＜ＩＭＳＩ＿ＵＥ＞＠＜ＩＭＳＩ＿ＺＡＰ＞．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ。

ＩＫＥベースのトンネル設定手順に関して、アクセスポイントがＮＡＴ装置の背後に設置されている事実（らしい）に対処するために、アクセスポイントは、ＩＫＥｖ２に本来備わっているＮＡＴトラバーサルサポートを活用する。一旦ＩＰｓｅｃＥＳＰトンネルが設定されると、アクセスポイントがＮＡＴ装置の背後に設置されていることに対処するため、アクセスポイントは、ＩＥＴＦ ＲＦＣ３９４８ “ＵＤＰ Ｅｎｃａｐｓｕｌａｔｉｏｎ ｏｆ ＩＰｓｅｃ ＥＳＰ Ｐａｃｋｅｔｓ”（ＩＰｓｅｃＥＳＰパケットのＵＤＰカプセル化）を使用する。

ＵＥに代わってホームＭＮＯネットワークへのＩＰｓｅｃトンネルを設定するアクセスポイント−ＳＩＰソリューションは、アクセスネットワークレベルで端末相互間のセキュリティを提供するために、２つの連動するセキュリティ手順に頼る。

第１に、ＵＥがアクセスポイントへのＵＭＴＳアタッチを実行する場合、アクセスポイントは、Ｒ９９ ＴＳ ３３．１０２”３Ｇ Ｓｅｃｕｒｉｔｙ；Ｓｅｃｕｒｉｔｙ ａｒｃｈｉｔｅｃｔｕｒｅ”（３Ｇセキュリティ：セキュリティアーキテクチャ）により、ホームＭＮＯネットワーク（ＨＳＳ／ＨＬＲ）に代わってＵＥ／ＵＳＩＭとの相互ＵＭＴＳアクセス認証を実行し、アクセスポイントは、（ＥＡＰ−ＡＫＡを使用してＩＫＥｖ２により）ＵＥ／ＵＳＩＭに代わってホームＭＮＯネットワーク（ＡＡＡサーバ／ＨＳＳとＰＤＧの両方）との相互トンネル認証を実行する。

第２に、ＵＥがアクセスポイントへのＧＳＭアタッチを実行する場合、アクセスポイントは、ＥＴＳＩ ＧＳＭ ０３．２０“Ｄｉｇｉｔａｌ ｃｅｌｌｕｌａｒ ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｓｙｓｔｅｍ （ｐｈａｓｅ ２＋）； Ｓｅｃｕｒｉｔｙ ｒｅｌａｔｅｄ ｎｅｔｗｏｒｋ ｆｕｎｃｔｉｏｎｓ”（デジタル移動通信システム（フェーズ２＋）：セキュリティ関連ネットワーク機能）によって、ホームＭＮＯネットワーク（ＨＳＳ／ＨＬＲ）に代わってＵＥ／ＳＩＭのＧＳＭアクセス認証を実行し、（ＥＡＰ−ＳＩＭを使用したＩＫＥｖ２により）ＵＥ／ＳＩＭに代わってホームＭＮＯネットワーク（ＡＡＡサーバ／ＨＳＳとＰＤＧの両方）との相互トンネル認証を実行する。

いずれの場合も、２つの手順は結合されてもよい。というのは、それらの両方とも、認証ならびにアクセスレイヤ暗号化およびインテグリティ保護のための鍵材料生成にＳＩＭ／ＡＫＡアルゴリズムの実行を当てにするからである。しかし、アクセスポイントは、ＳＩＭ／ＡＫＡアルゴリズムが実行されるエンティティ、すなわちＵＥの（Ｕ）ＳＩＭまたはＨＳＳ／ＨＬＲのどれにも直接アクセスしない。

アクセスポイントは、ＵＥ／（Ｕ）ＳＩＭに代わって、ＥＡＰ要求／応答交換をＭＭ：認証要求／応答交換にマッピングすることによって、ホームＭＮＯネットワークのＡＡＡサーバと相互認証を実行してもよいが、一方で、ＩＫＥｖ２／ＥＡＰによってＵＥに代わってＰＤＧに向けた認証を実行するため、ＧＳＭ／ＵＭＴＳエアインタフェースを安全にするために、ＡＫＡ／ＳＩＭアルゴリズムが実行されるとき生成された鍵材料を取得する必要がまだある。

ＰＤＧに向けた認証の実行を考慮すると、一般には、ＥＡＰ−ＡＫＡ（ＩＫＥｖ２でカプセル化される）が（ＩＰｓｅｃトンネル確立時に）２つのＩＫＥｖ２ピア間での認証に使用されるとき、相互認証は、両方のピアがＥＡＰ−ＡＫＡ交換の結果として同じ共有の秘密を取得したことを証明することに基づいている。この共有の秘密は、マスタセッション鍵ＭＳＫ(Master Session Key)であり、ＥＡＰ−ＡＫＡ交換中に両端末においてＡＫＡアルゴリズムを実行したときに生成された共通のＣＫ鍵およびＩＫ鍵から取得される。

現在の事例では、ＰＤＧは、ＡＡＡサーバからマスタセッション鍵を受信する。しかし、アクセスポイント自体は、ＡＫＡアルゴリズムを実行できないし、ＵＥ／ＵＳＩＭ自体からＣＫおよびＩＫを取得する方法も持たないので、アクセスポイントがＵＥに代わってＰＤＧに向けて自装置を認証するために必要なＣＫおよびＩＫを取得する外部の方法が必要である。

同じことは、ＣＫおよびＩＫをＫｃで置き換えることで、ＥＡＰ−ＳＩＭ認証の場合にも適用される。

ＧＳＭ／ＵＭＴＳエアインタフェースを安全にすることを考慮して、ＵＥがアクセスポイントへＵＭＴＳ登録を実行するとき、アクセスポイントは、ＵＥ／ＵＳＩＭで生成された鍵セットと同じＵＭＴＳ暗号化およびインテグリティ保護アルゴリズム（ＵＥとＲＮＣとの間）用の鍵セット（ＣＫ、ＩＫ）を取得する必要がある。同様の問題は、暗号化鍵Ｋｃに関してＧＳＭ登録の場合にも起こる。

従って、アクセスポイントは、ＡＫＡアルゴリズムがＵＥ／ＵＳＩＭとＨＳＳ／ＨＬＲとの間で実行されるたびに、ＣＫおよびＩＫへのアクセスを必要とし、「ＳＩＭ」アルゴリズムがＵＥ／ＳＩＭとＨＳＳ／ＨＬＲとの間で実行されるたびに、Ｋｃへのアクセスを必要とする。

ここに説明したように、アクセスポイントは、ホームＭＮＯネットワークからそれらの鍵を取得する。アクセスポイント自体に設置されるＵＳＩＭに基づき、アクセスポイントとホームＭＮＯネットワークとの間の前から存在する接続を経由する「帯域外」か、またはＵＥに代わってのトンネル設定に使用するＥＡＰシグナリングに便乗する「帯域内」で、アクセスポイントは、ＵＥに代わってのＩＰｓｅｃトンネル確立中に、ホームＭＮＯネットワークから鍵を取得してもよい。

ソリューションのどれでも、これらの鍵が安全に運ばれることが決定的に重要である。これは、アクセスポイントとホームＭＮＯネットワークとの間に事前共有の秘密があるということを当てにして達成されてもよい。事前共有秘密は、すなわち、アクセスポイントがホームＭＮＯネットワークと自装置のＵＳＩＭに基づきＩＰｓｅｃトンネルを以前設定したとき、両端末で生成されたＭＳＫ＿ＺＡＰである。

図１２は、「帯域内」ソリューションを示し、ＵＥ関連ＩＰｓｅｃトンネル自体を設定するためのシグナリング中に、鍵が、ホームＭＮＯネットワークのＡＡＡサーバからアクセスポイントに（ゲートウェイ経由で）送信される。このことは、鍵を運ぶために、ＴＳ ２３．２３４のＷｕインタフェースおよびＷｍインタフェース用に規定されたペイロードからＩＫＥｖ２／ＥＡＰ交換のペイロードにいくらかの変更を必要とする。

鍵はＰＤＧとアクセスポイントとの間で安全に伝送されてもよい。前から存在するＩＰｓｅｃトンネルがアクセスポイント／ＵＳＩＭとホームＭＮＯネットワークとの間で確立された時点で生成されたＭＳＫ＿ＺＡＰが、それらの間の事前共有秘密であるからである。

アクセスポイントが、ＵＥに代わってＩＰｓｅｃトンネルの確立を要求するとき、アクセスポイントは、自装置のＩＤを以下のようにアサートする：
ＵＭＴＳアタッチの場合は、０＜ＩＭＳＩ＿ＵＥ＞＠＜ＩＭＳＩ＿ＺＡＰ＞．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ、または、
ＧＳＭアタッチの場合は、１＜ＩＭＳＩ＿ＵＥ＞＠＜ＩＭＳＩ＿ＺＡＰ＞．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ

ＧＳＭアタッチの場合、最初のＩＫＥ＿ＡＵＴＨ要求メッセージのＣＦＧ＿ＲＥＱＵＥＳＴペイロードに追加（独自）の属性Ｋｃ＿ＡＴを含めることによって、アクセスポイントは、ＰＤＧにＵＥ固有の暗号化鍵Ｋｃを配信するように要求する。

ＵＭＴＳアタッチの場合、最初のＩＫＥ＿ＡＵＴＨ要求メッセージのＣＦＧ＿ＲＥＱＵＥＳＴペイロードに２つの追加（独自）の属性ＣＫ＿ＡＴおよびＩＫ＿ＡＴを含めることによって、アクセスポイントは、ＰＤＧにＵＥ固有の暗号化鍵およびインテグリティ鍵（ＣＫ、ＩＫ）を配信するように要求する。

次いで、ＰＤＧは、ＩＤｉペイロード（およびＣＳ−ＳＩＰ相互作用のためにアクセスポイントを識別するＦＱＤＮ＿０）で受信したＩＤを示すことで、ＡＡＡサーバに認証要求を送信する。

ＩＤｉペイロードが別のＩＭＳＩ（アクセスポイント）を添えたＩＭＳＩ（ＵＥ）を有することから、ＡＡＡサーバは、これはＵＥ固有のトンネルの要求であり、アクセスポイント固有のトンネルではないことに気付く。このようにして、ＡＡＡサーバは、「通常」のＵＥ固有のＭＳＫに加えて、ＵＥ固有の鍵材料をＰＤＧに送信しなければならないことを知る。ＰＤＧとＡＡＡサーバとの間で使用されるＡＡＡプロトコルがＤＩＡＭＥＴＥＲ（３ＧＰＰ−ＷＬＡＮ相互作用の要求に応じて）であると想定すると、ＡＫＡ認証の場合ＡＡＡサーバは、「秘密鍵ＡＫＡ」ＡＶＰおよび「インテグリティ鍵ＡＫＡ」ＡＶＰを使用してもよい。

ＳＩＭ認証の場合、ＡＡＡサーバは、「秘密鍵ＡＫＡ」ＡＶＰを使用してもよい。

ＩＤｉペイロードはＵＥのＩＭＳＩとアクセスポイントのＩＭＳＩとを関連付けることから、ＰＤＧはＭＳＫ＿ＺＡＰ鍵を回収しなければならないことを知る。ＰＤＧは、アクセスポイント固有のトンネルの確立時からアクセスポイントとＭＳＫ＿ＺＡＰ鍵を共有し、それでＡＡＡサーバから受信したＵＥ固有の鍵材料を暗号化する。

ＰＤＧは、ＥＡＰ成功ペイロードを運ぶＩＫＥ＿ＡＵＴＨ応答のＣＦＧ＿ＲＥＰＬＹペイロードにこの材料を含める。

アクセスポイントもＭＳＫ＿ＺＡＰを知っているので、アクセスポイントは、ペイロードを解読して、ＵＥ固有鍵材料にアクセスしてもよい。

図１３は、ＥＡＰ−ＡＫＡ認証の場合にＵＥ／ＵＳＩＭ関連の鍵（ＣＫ、ＩＫ）のアクセスポイントへの輸送を可能にするために必要なＩＰｓｅｃ確立シグナリングを示す。これは、標準ＩＰｓｅｃトンネル確立シグナリング（ＴＳ ２３．２３４）に基づく。同様のメカニズムは、ＥＡＰ−ＳＩＭ認証に適用される。

具体的には、図１３は、ＵＥ関連ＩＰｓｅｃトンネルが（ＵＥに代わって）アクセスポイントによって確立される時に、ＣＫおよびＩＫがホームＭＮＯネットワークからアクセスポイントへどのように運ばれてもよいかを示す。ステップ１３０１では、前述のようにアクセスポイントの電源がオンにされるたびに、アクセスポイントはホームＭＮＯネットワークのＰＤＧへＩＰｓｅｃトンネルを確立する。この手順は、Ｒ６ ＴＳ ２３．２３４セクション６．１．５“Ｍｅｃｈａｎｉｓｍｓ ｆｏｒ ｔｈｅ ｓｅｔｕｐ ｏｆ ＵＥ−ｉｎｉｔｉａｔｅｄ ｔｕｎｎｅｌｓ（ＷＬＡＮ ３ＧＰＰ ＩＰ ａｃｃｅｓｓ）”（ＵＥ開始トンネルの設定メカニズム（ＷＬＡＮ−３ＧＰＰ ＩＰアクセス））に規定される手順にそのまま従う。この手順の結果として、アクセスポイント、ＰＤＧおよびＡＡＡサーバはすべて、秘密鍵ＭＳＫ＿ＺＡＰを共有する。

ステップ１３０２および１３０３では、アクセスポイントとＰＤＧは、新しいＩＫＥ＿ＳＡを確立し、ＵＥ関連ＩＰｓｅｃトンネル設定のために使用するＩＫＥシグナリングを安全にするために使用するＩＰｓｅｃプロトコル／アルゴリズムに合意する。

ＩＫＥｖ２プロトコルは、ＩＫＥピアの１つが他のピアに構成情報を要求する汎用メカニズムを提供する。このメカニズムは、要求する属性を挙げるＩＫＥ要求にＣＦＧ＿ＲＥＱＵＥＳＴペイロードを含めることにある。ＩＫＥｖ２は、ＩＮＴＥＲＮＡＬ＿ＩＰ４＿ＡＤＤＲＥＳＳを含むいくつかのデフォルト属性を規定し、ＩＮＴＥＲＮＡＬ＿ＩＰ４＿ＡＤＤＲＥＳＳは、ＩＰｓｅｃトンネルの確立のために必要なＰＤＧのリモートＩＰアドレスを取得するために既に使用されている。しかし、ＩＫＥｖ２は、新しい独自の属性タイプの拡張を可能にする。このソリューションでは、本発明者は、ＰＤＧにＵＥに関連する所要のＣＫおよびＩＫを支給するように要求するために、ステップ１３０４でアクセスポイントが使用する２つの追加の属性ＣＫ＿ＡＴおよびＩＫ＿ＡＴを規定する。追加で、このトンネル確立手順がこの特定のアクセスポイントに関連していることを、ホームＭＮＯネットワークが理解することを可能とするために、アクセスポイントはＵＥのＮＡＩに自装置のＩＭＳＩを添える。すなわち、次のようになる：
０＜ＩＭＳＩ＿ＵＥ＞＠＜ＩＭＳＩ＿ＺＡＰ＞．ｚａｐ．ｍｎｃ＜ＭＮＣ＞．ｍｃｃ＜ＭＣＣ＞．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ
従って、アクセスポイントのＵＳＩＭのＩＭＳＩが２３４１５０９９９９９９９９９であり、ＵＥのＵＳＩＭのＩＭＳＩが２３４１５０８８８８８８８８８である場合、アクセスポイントはＵＥに代わって以下のＩＤをアサートする：
ＩＤｉ＝０２３４１５０８８８８８８８８８＠２３４１５０９９９９９９９９９．ｚａｐ．ｍｎｃ２３４．ｍｃｃ１５．３ｇｐｐｎｅｔｗｏｒｋ．ｏｒｇ

３ＧＰＰ−ＷＬＡＮ規約（Ｒ６ ＴＳ ２３．００３）に従って、０のプリフィックスはＥＡＰ＿ＡＫＡが使用されることを合図する。プリフィックス１は、ＥＡＰ−ＳＩＭを合図するだろう。

ＩＤｉはアクセスポイントのＩＭＳＩを有するので、ＰＤＧは、アクセスポイントとＧＷとの間の事前共有秘密、すなわちＭＳＫ＿ＺＡＰを回収してもよく、それ故、シグナリングの後のほうでＡＡＡサーバからＵＥ関連ＣＫおよびＩＫを受信したとき、それらを暗号化するためにＭＳＫ＿ＺＡＰを使用する。

ステップ１３０６では、ＡＡＡサーバは、ＵＥのＩＭＳＩに関連するＡＫＡ認証ベクトル（ＲＡＮＤ、ＡＵＴＮ、ＸＲＥＳ、ＣＫ、ＩＫ）を格納しているかどうかチェックする。格納していない場合、新しい認証ベクトルをＨＳＳに問い合わせる。

ＡＡＡサーバは、ＩＤｉのこの特殊形態を読み取るとき、この場合はＵＥのＩＭＳＩに関連するＣＫおよびＩＫをＰＤＧに送信しなければならないことを知り、それは最終的にアクセスポイントに送信される。ＣＫおよびＩＫからいつものようにＡＡＡによって生成されるＭＳＫ＿ＵＥに加えてこれである。

ステップ１３０８で、アクセスポイントは、ＥＡＰ−要求／ＡＫＡ−チャレンジ（ＲＡＮＤ、ＭＡＣ、ＡＵＴＮ）をＭＭ：認証要求（ＲＡＮＤ、ＭＡＣ、ＡＵＴＮ）にマッピングし、それをＵＥに送信し、ＡＫＡアルゴリズムの実行を開始させる。

ステップ１３０９で、アクセスポイントは、ＵＥからＭＭ：認証要求（ＲＥＳ、ＭＡＣ）を受信し、それをＡＡＡサーバと相対してＵＥを認証するＥＡＰ−応答／ＡＫＡ−チャレンジ（ＲＥＳ、ＭＡＣ）にマッピングする。

標準シグナリング（ＴＳ ２３．２３４セクション６．１５）では、ＡＡＡサーバは、ＵＥのＩＭＳＩに関連するマスタセッション鍵だけを配信するだろう。しかし、この場合はステップ１３１１で、ＰＤＧでＣＫおよびＩＫを利用可能にするために、ＡＡＡサーバは２つの特別なＡＶＰ、すなわち認証応答用の秘密鍵ＡＫＡおよびインテグリティ鍵ＡＫＡを加える。

トンネルがステップ１３１２〜１３１４で認可された場合、ステップ１３１５でＰＤＧは、ＣＦＧ＿ＲＥＰＬＹペイロードによってアクセスポイントにＣＫおよびＩＫを配信する。ＣＦＧ＿ＲＥＰＬＹペイロードは、今ではリモートＩＰアドレスに加えてＣＫおよびＩＫ属性を運ぶ。

アクセスポイントだけがＣＫおよびＩＫにアクセスしてもよいことを確実にするために、ＰＤＧは、事前共有秘密ＭＳＫ＿ＺＡＰで鍵を暗号化する。これは、相当数の方法で達成されてもよいが、特定の方法がホームＭＮＯネットワークプロバイダと合意される必要がある。

ステップ１３１６で、アクセスポイントは、ＣＫおよびＩＫペイロードを解読するために、共有秘密ＭＳＫ＿ＺＡＰを使用する。次いでアクセスポイントは、ＭＳＫ＿ＵＥを（［ＥＰＡ−ＡＫＡ］セクション６．４“Ｋｅｙ ｇｅｎｅｒａｔｉｏｎ”（鍵生成）に規定のように）生成してもよく、ＭＳＫ＿ＵＥは、（［ＩＫＥｖ２］セクション２．１６”Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ Ｍｅｔｈｏｄｓ”（拡張認証プロトコル法）に規定のように）正しいＡＵＴＨペイロード生成するために使用される。

他方、アクセスポイントは、エアインタフェースを通じた暗号化およびインテグリティ保護のためにＣＫおよびＩＫを使用する。

ステップ１３１７で、ＰＤＧは、ＡＵＴＨをチェックし、それによってトンネルを認証し、自装置のＡＵＴＨペイロードを生成する。アクセスポイントは、ＡＵＴＨの妥当性をチェックするためにＭＳＫ＿ＵＥを使用し、それによってＰＤＧを認証する。

図１１に示すように、且つ、それを参照して説明したように、「帯域外」ソリューションの場合は、異なるアーキテクチャが適用される。このソリューションでは、ＵＥ固有のトンネル確立中にアクセスポイントは、所要のＵＥ固有の鍵材料、すなわちＵＭＴＳアタッチの場合はＣＫおよびＩＫ、ならびにＧＳＭアタッチの場合はＫｃに関して、ホームＭＮＯネットワークのＡＡＡサーバに直接問い合わせることによって、ＵＥ固有の鍵材料を取得する。この問い合わせは、上記のＷａｘインタフェースを介してＲＡＤＩＵＳまたはＤＩＡＭＥＴＥＲによって実行され、アクセスポイント−ＳＩＰソリューションをサポートするために採用される。

このソリューションでは、アクセスポイントがＥＡＰ成功メッセージを運ぶＩＫＥ＿ＡＵＴＨ応答を受信する時点まで、ＵＥ固有のトンネルの確立は図１３に示す手順と同じ手順に従う。ＥＡＰ成功メッセージは、ＡＡＡサーバがＵＥに関するＥＡＰ認証を首尾よく実行したことをアクセスポイントに伝える。この時点で、アクセスポイントは、ＰＤＧに向けて自装置を認証し、エアインタフェースを通じた暗号化およびインテグリティ保護を使用開始するために、ＡＡＡサーバからＵＥ固有の鍵材料を回収する必要がある。この材料は、アクセスポイント（ＧＳＭ／ＵＭＴＳ認証手順でＵＥに問い合わせることによって）とＡＡＡサーバとの間で行われたばかりの成功したＥＡＰベースの相互認証中に、ＡＡＡサーバによって使用された認証ベクトルの一部である。

ＤＩＡＭＥＴＥＲが使用されるところでは、ＡＡＡサーバによるＨＳＳからの認証ベクトルの回収に関して、３ＧＰＰ−ＷＬＡＮ相互作用フレームワークのＷｘインタフェースに関するＴＳ ２９．２３４に規定のアプリケーションが再使用されてもよい。

アクセスポイント５０は、ＡＡＡサーバに以下のフォーマットを有する認証要求を送信する。

要求の認証データコンテンツは以下のフォーマットを有する。

リクエストにおける認証データＡＡＡサーバは、アクセスポイント５０に以下のフォーマットを有する認証応答を送信する。

ＥＡＰ−ＡＫＡの場合の応答の認証データコンテンツは、以下のフォーマットを有する。

ＥＡＰ−ＳＩＭの場合の応答の認証データコンテンツは、以下のフォーマットを有する。

以上の説明した方法により、従って、ＳＩＭカードを備える基地局がネットワークに自装置を認証することができる。

本発明による基地局を組み入れるシステムのブロック図である。 本発明による基地局のハードウェアアーキテクチャを示すブロック図である。 本発明による基地局のソフトウェアアーキテクチャを示すブロック図である。 本発明による基地局を組み入れる別のシステムのブロック図である。 従来のネットワークアーキテクチャを示す図である。 本発明の一態様によるネットワークアーキテクチャを示す図である。 本発明の一態様によるシグナリング手順を示す図である。 図４で使用の別のシステムの一部のブロック図である。 本発明の一態様による別のシグナリング手順を示す図である。 本発明の一態様による別のネットワークアーキテクチャを示す図である。 本発明の一態様による別のネットワークアーキテクチャを示す図である。 請求項１０で使用の別のネットワークアーキテクチャを示す図である。 本発明の一態様による別のシグナリング手順を示す図である。

Claims (22)

1. セルラ式通信システム用の基地局であって、ＳＩＭカード用のインタフェースを備えることを特徴とする基地局。
2. ＧＳＭ／ＵＭＴＳプロトコルに準拠する通信を、対応するＳＩＰサービスにマッピングできるようにするＳＩＰクライアントソフトウェアを有することを特徴とする請求項１に記載の基地局。
3. 前記基地局が、ブロードバンドＩＰネットワークを通じて前記セルラ式通信システムの前記コアネットワークのＵＭＡ ＵＮＣと通信できるようにするＵＭＡクライアントソフトウェア有することを特徴とする請求項１または２に記載の基地局。
4. 前記基地局のソフトウェアは、ＧＳＭ／ＵＭＴＳプロトコルに準拠した通信を前記ＵＭＡプロトコルにマッピングするように構成されることを特徴とする請求項３に記載の基地局。
5. ＩＰｓｅｃソフトウェアを有し、これにより、前記基地局が、前記基地局と前記セルラ式通信システムのコアネットワークとの間で、暗号化された安全な伝送媒体を提供することを特徴とする請求項１乃至４のいずれか１項に記載の基地局。
6. 前記基地局は、前記セルラ式通信システムの前記コアネットワークから暗号化鍵を受信することを特徴とする請求項５に記載の基地局。
7. 前記基地局は、前記セルラ式通信システムの前記コアネットワークから受信した少なくとも１つの暗号化鍵を使用して、前記基地局と移動機との間で送信されるメッセージを暗号化および解読することを特徴とする請求項６に記載の基地局。
8. 前記基地局が携帯装置として認識され、メッセージおよび呼を発着信することが可能であるように、前記セルラ式通信システムのコアネットワークに自装置を識別させるため、前記ＳＩＭカードに格納された識別データを使用することを特徴とする請求項１乃至７のいずれか１項に記載の基地局。
9. 前記基地局は、前記セルラ式通信システムの前記コアネットワークとのＩＰｓｅｃトンネルを設定するために、前記ＳＩＭカードに格納された前記識別データを使用することを特徴とする請求項８に記載の基地局。
10. 前記基地局は、無線通信プロトコルによって前記基地局に接続するどの通信装置に対しても、前記通信装置の前記セルラ式通信システムのコアネットワークとの通信を可能にするプロキシ機能を果たすことを特徴とする請求項１乃至９のいずれか１項に記載の基地局。
11. 前記基地局は、前記基地局に特定の機能の実行を指示する、事前登録済みのユーザからＳＭＳメッセージを受信することを特徴とする請求項１に記載の基地局。
12. 前記特定の機能はデータベースの維持を含むことを特徴とする請求項１１に記載の基地局。
13. 前記基地局は、前記データベースの何らかの変更で関連管理システムを更新することを特徴とする請求項１２に記載の基地局。
14. 前記特定の機能は、ユーザのローカルエリアネットワークに接続される装置の制御を含むことを特徴とする請求項１１に記載の基地局。
15. 前記基地局は、所定の条件に応じて、ユーザにＳＭＳメッセージまたはＭＭＳメッセージを送信することを特徴とする請求項１に記載の基地局。
16. 前記所定の条件は前記基地局の動作に関することを特徴とする請求項１５に記載の基地局。
17. 前記所定の条件は、ユーザのローカルエリアネットワークに接続する装置に関することを特徴とする請求項１５に記載の基地局。
18. 前記ユーザの携帯通信装置が前記基地局に接続された場合、前記ＳＭＳメッセージまたはＭＭＳメッセージは、前記セルラ式通信システムのコアネットワークを通過することなしに、直接に前記ユーザに送信されることを特徴とする請求項１５乃至１７のいずれか１項に記載の基地局。
19. 前記基地局は、広域網内のユーザによって開始された呼またはデータセッションを受信することで、ユーザが前記ユーザのローカルエリアネットワークの情報にアクセスできるようにすることを特徴とする請求項１に記載の基地局。
20. 前記基地局は、所定の条件に応じて、ユーザへの呼またはデータセッションを開始することを特徴とする請求項１に記載の基地局。
21. 前記所定の条件は、ユーザのローカルエリアネットワークに接続する装置に関することを特徴とする請求項２０に記載の基地局。
22. 前記ユーザの携帯通信装置が前記基地局に接続される場合、前記呼またはデータセッションは、前記移動通信システムのコアネットワークを通過することなしに、直接に前記ユーザに開始されることを特徴とする請求項２０乃至２１のいずれか１項に記載の基地局。

Images