JP2010239195A - 通信傍受システム、通信傍受装置、通信傍受方法およびプログラム - Google Patents

Abstract

【課題】通信網の規模が大きくなっても、通信処理の低下を抑制するとともに、通信傍受のための設備費用を抑えた通信傍受システムを提供する。
【解決手段】通信を傍受する通信傍受システムであって、傍受対象の端末を特定する管理装置と、傍受対象の端末の通信を傍受する通信傍受装置とを備え、管理装置が、接続要求された端末が傍受対象であることを特定すると、端末が傍受対象である旨を通信傍受装置に通知し、通信傍受装置が、端末と自装置との間にトンネル経路を構築させる。
【選択図】図１Ｂ

Description

本発明は、通信傍受システム、通信傍受装置、通信傍受方法、およびその方法をコンピュータに実行させるためのプログラムに関する。

ネットワークを介して行われる、端末間の通信に対して、傍受を行うことが必要な場合がある。そのような傍受を行うための通信傍受装置の一例として、特許文献１が開示されている。

これに関連する通信傍受装置を用いた通信傍受システムの一例について、以下に図を用いて具体的に説明する。図１１Ａは、関連する通信傍受システムの一構成例を含むネットワーク全体を示すブロック図である。

図１１Ａに示すように、ユーザが利用するサービスネットワーク８０に複数のＧＷ（Gateway）４５０が接続され、これら複数のＧＷ４５０はネットワーク２を介して複数のＡＧＷ（Access Gateway）５５０と接続される。移動体通信の端末７０１と無線接続する無線基地局６０は、ＡＧＷ５５０と接続される。ネットワーク２およびサービスネットワーク８０のそれぞれは、企業が運営するネットワークであってもよく、インターネットであってもよい。ユーザは移動体の端末７０１を操作してその端末７０１を無線基地局６０、ＡＧＷ５５０、およびＧＷ４５０を介してサービスネットワーク８０に接続させ、さらに、端末７５と接続させる。

図１１Ｂは図１１Ａに示した通信傍受システムによる通信傍受方法を説明するためのブロック図である。図１１Ｂでは、説明を簡単にするために、ＧＷおよびＡＧＷのそれぞれが１つの場合を示す。図１１Ａおよび図１１Ｂにおいて、ユーザプレーン通信路（トンネル経路）を太い点線で模式的に表している。

図１１Ｂに示す通信傍受システムは、通信を傍受する通信傍受装置４００と、通信傍受装置４００を管理する通信傍受管理装置６００と、端末およびそのユーザに関する情報である加入者情報を管理する加入者管理装置５００とを有する。ＧＷ４５０およびＡＧＷ５５０はトンネル経路９００で接続される。通信傍受装置４００は、ＧＷ４５０、ＡＧＷ５５０、加入者管理装置５００および通信傍受管理装置６００のそれぞれと制御信号通信路で接続される。また、加入者管理装置５００は、ＧＷ４５０、ＡＧＷ５５０、通信傍受装置４００および通信傍受管理装置６００のそれぞれと制御信号通信路で接続される。通信傍受管理装置６００は、加入者管理装置５００および通信傍受装置４００のそれぞれと制御信号通信路で接続される。

図１１Ｂに示す通信傍受システムでは、ＡＧＷ５５０およびＧＷ４５０のゲートウェイは、通常の通信処理として、傍受非対象の呼（通信セッション）について、呼に伴うデータをトンネル経路９００を介して他方のゲートウェイに送信する処理を行う。また、ＡＧＷ５５０またはＧＷ４５０は、通信傍受装置４００から傍受対象を特定するためのキーとなる情報（例えば、傍受対象となる端末のＩＰアドレス）を含む通信傍受の指示を受け取ると、キーとなる情報を参照し、通信処理対象の呼に対して、傍受対象となる呼があるか検索する。そして、ＡＧＷ５５０またはＧＷ４５０は、傍受対象となる呼を見つけると、傍受対象の呼でやり取りされるデータを複写し、複写したデータを制御信号通信路９１０を介して通信傍受装置４００に送信する。なお、ＡＧＷ５５０またはＧＷ４５０は、複写の際の元のデータについては、通常の通信処理と同様にして、トンネル経路９００を介して他方のゲートウェイに送信する。

このようにして、ＡＧＷ５５０またはＧＷ４５０は、通信傍受装置４００から通信傍受の指示を受け取ると、通常の通信処理以外に、傍受対象の検索、傍受対象のデータの複写、複写したデータの通信傍受装置４００への送信という処理を行う必要がある。傍受対象の検索、傍受対象のデータの複写、および複写したデータの通信傍受装置４００への送信を含む処理を、以下では、傍受のための準備処理と称する。

次に、別の通信傍受システムの例を説明する。図１２は、関連する通信傍受システムの別の構成例を説明するためのブロック図である。通信路の表示の仕方は図１１Ｂと同様であり、その説明を省略する。

図１１Ｂに示した通信傍受システムとの大きな違いは、図１２に示すＧＷ４０およびＡＧＷ５０はいずれも傍受のための準備処理を行う機能を備えていないことと、ＧＷ４０とＡＧＷ５０を結ぶトンネル経路の途中に通信傍受装置（図１２および以下の文では、傍受装置と表記）４１０が設けられていることである。ＧＷ４０およびＡＧＷ５０は通常の通信処理を行う。傍受装置４１０は、ＩＰネットワークにおけるルータに相当する装置である。加入者管理装置５００は、ＧＷ４０、ＡＧＷ５０および通信傍受管理装置６００のそれぞれと制御信号通信路で接続される。

図１２に示す通信傍受システムでは、傍受装置４１０は、キーとなる情報を元に、傍受対象となる呼をトンネル経路９００で検索する。検索の結果、傍受装置４１０は、傍受対象となる呼を見つけると、通信の傍受を開始すると共に、その呼に伴うデータを複写し、元のデータをトンネル経路９００に戻す。

特開２００２−２６９７６号公報

図１１Ｂで説明した通信傍受システムでは、図１１Ａに示したように、ＡＧＷ５５０が複数あると、傍受対象の移動体がどのＡＧＷ５５０に接続するかわからないため、傍受のための準備処理機能を全てのＡＧＷ５５０に予め設けておく必要がある。ＡＧＷ５５０の代わりにＧＷ４５０に対して傍受のための準備処理を行わせる場合であっても、ＧＷ４５０が複数あると、傍受のための準備処理機能を全てのＧＷ４５０に予め設けておく必要がある。

また、ＡＧＷ５５０またはＧＷ４５０は、通信傍受装置４００から通信傍受の指示を受け取ると、通常の通信処理と並行して、傍受のための準備処理を行うため、傍受非対象の呼に対して処理能力が低下するなど、通常の通信処理に影響が出てしまうおそれがある。このように、傍受によって通常の通信処理が低下してしまうという問題がある。

図１２に示した通信傍受システムでは、ＧＷ４０とＡＧＷ５０との間に形成されるトンネル経路に傍受装置４１０を設置する必要がある。この場合、図１１Ａに示したネットワーク２の規模が大きくなるにしたがって、図１１Ａに示したＧＷやＡＧＷの数も増加する。その結果、ＧＷとＡＧＷの間に設ける傍受装置の数も多くなり、その設備の設置や運用にかかる費用が高くなってしまうという問題がある。

一方、現在の移動体通信では、ハンドオーバと呼ばれる、端末が無線基地局間を移動しても通信が途切れることなく行われることが一般的になっている。図１３は、図１１Ｂに示した通信システムにおいてハンドオーバが行われた場合を説明するためのブロック図である。

端末７０１と端末７５とがサービスネットワーク８０、ＧＷ４５０、ＡＧＷ５５０ａおよび無線基地局６０ａを介して通信を行っている際、ＡＧＷ５５０ａは、端末７０１を傍受対象とする旨の指示を通信傍受装置４００から受けると、上述した、傍受のための準備処理を開始する。その後、端末７０１が無線基地局６０ａの通信圏内から無線基地局６０ｂの通信圏内に移動すると、端末７０１が無線基地局６０ｂおよびＡＧＷ５５０ｂを介して端末７５と通信を開始する。しかしながら、その通信を開始する前に、ＡＧＷ５５０ａは、傍受対象を特定するためのキーとなる情報をＡＧＷ５５０ｂに通知しなければならない。そして、その通知を受けたＡＧＷ５５０ｂは、他の呼に対して行っていた通常の通信処理だけでなく、傍受のための準備処理を開始する。

図１４は、図１２に示した通信システムにおいてハンドオーバが行われた場合を説明するためのブロック図である。図１４に示す場合において、端末７０１が端末７５とサービスネットワーク８０、ＧＷ４０、ＡＧＷ５０ａおよび無線基地局６０ａを介して通信を行う。その際、端末７０１が無線基地局６０ａの通信圏内から無線基地局６０ｂの通信圏内に移動すると、ハンドオーバにより端末７０１の接続先は無線基地局６０ａから無線基地局６０ｂに切り替わる。ハンドオーバの際に端末７０１に対する通信傍受を行う装置を傍受装置４１０ａから傍受装置４１０ｂに切り替えるには、通信が切り替わる前までに、傍受対象を特定するためのキーとなる情報が傍受装置４１０ａから傍受装置４１０ｂに通知されていなければならない。

本発明は、上述したような技術が有する問題点を解決するためになされたものであり、通信網の規模が大きくなっても、ＡＧＷやＧＷに通信傍受のための機能を持たせる必要が無く、通信処理の低下を抑制するとともに、通信傍受のための設備費用を抑えた通信傍受システム、通信傍受装置、通信傍受方法、およびその方法をコンピュータに実行させるためのプログラムを提供することを目的とする。

上記目的を達成するための本発明の通信傍受システムは、通信を傍受する通信傍受システムであって、
傍受対象の端末を特定する管理装置と、
傍受対象の端末の通信を傍受する通信傍受装置と
を備え、
前記管理装置が、接続要求された端末が傍受対象であることを特定すると、該端末が傍受対象である旨を前記通信傍受装置に通知し、該通信傍受装置が、前記端末と自装置との間にトンネル経路を構築させるものである。

また、本発明の通信傍受装置は、接続要求された端末が傍受対象である旨の情報を受け取ると、前記端末と自装置との間にトンネル経路を構築させるものである。

また、本発明の通信傍受方法は、
接続要求された端末が傍受対象であることを特定すると、前記端末と通信傍受装置との間にトンネル経路を構築させるものである。

さらに、本発明のプログラムは、
接続要求された端末が傍受対象であることを特定すると、前記端末と通信傍受装置との間にトンネル経路を構築させるものである。

本発明によれば、傍受対象の呼だけが通信傍受装置を経由して処理されるため、ゲートウェイ装置は制御対象の呼に対して傍受対象であるかどうかを検索する必要がなく、通信処理の負荷が軽減する。また、ゲートウェイ間を結ぶ複数のトンネル経路の全てに通信傍受装置を設置する必要がないので、通信傍受のための設備費用を抑制できる。

本実施形態の通信傍受システムの一構成例を説明するためのブロック図である。 図１Ａに示した通信傍受システムにおける通信傍受方法を説明するためのブロック図である。 図１Ａに示した加入者管理装置の一構成例を示すブロック図である。 図１Ａに示した通信傍受管理装置の一構成例を示すブロック図である。 図１Ａに示した通信傍受装置の一構成例を示すブロック図である。 本実施形態の通信傍受システムをＷｉＭＡＸネットワークに適用した場合のブロック図である。 図５Ａに示した通信傍受システムにおける通信傍受方法を説明するためのブロック図である。 図５Ａに示した通信傍受装置の一構成例を示すブロック図である。 実施例１において、事前に通知された、傍受対象となるユーザのセッションが確立される際の通信傍受の動作手順を示すシーケンス図である。 実施例１において、ＡＳＮ−ＧＷとＨＡの間に既に確立しているトンネル経路の呼に対して通信傍受を開始するまでの手順を示すシーケンス図である。 実施例１において、通信傍受を終了させる手順を示すシーケンス図である。 実施例１におけるハンドオーバの場合を説明するための図である。 実施例１におけるハンドオーバの場合を説明するための図である。 関連する通信傍受システムの一構成例を含むネットワーク全体を示すブロック図である。 図１１Ａに示した通信傍受システムによる通信傍受方法を説明するためのブロック図である。 関連する通信傍受システムの別の構成例を説明するためのブロック図である。 図１１Ｂに示した通信システムにおいてハンドオーバが行われた場合を説明するためのブロック図である。 図１２に示した通信システムにおいてハンドオーバが行われた場合を説明するためのブロック図である。

本実施形態の通信傍受システムを説明する。図１Ａは本実施形態の通信傍受システムの一構成例を示すブロック図である。図１Ｂは本実施形態における通信傍受方法を説明するための図である。なお、ＧＷ４０とＡＧＷ５０のそれぞれは、図１１Ａで説明したように、複数設けられ、本実施形態においても、図１１Ａに示したネットワーク２と同様なネットワークがある。ここでは、説明を簡単にするためにＧＷ４０とＡＧＷ５０が１つの場合で説明する。

図１Ａおよび図１Ｂにおいて、トンネル経路が模式的に太い点線で表されている。また、図１２で説明した構成と同様な構成には同一の符号を付し、その詳細な説明を省略する。

図１Ａに示す通信システムは、サービスネットワーク８０に接続されるＧＷ４０と、無線基地局６０ａ、６０ｂと、ＡＧＷ５０とを有する。端末７０１または端末７０２は無線通信で無線基地局６０ａ、６０ｂと接続される。

本実施形態の通信傍受システムは、図１Ａに示すように、通信を傍受する通信傍受装置１０と、通信傍受装置１０を管理する通信傍受管理装置３０と、サービスネットワーク８０に接続される端末に関する加入者情報を管理する加入者管理装置２０とを有する。本実施形態では、加入者管理装置２０と通信傍受管理装置３０を別々に設けているが、１台の管理サーバがそれらの装置の両方の機能を備えるようにしてもよい。以下では、別々に設けた場合で説明する。

通信傍受装置１０は、ＧＷ４０、ＡＧＷ５０、加入者管理装置２０および通信傍受管理装置３０のそれぞれと制御信号通信路で接続される。また、加入者管理装置２０は、ＧＷ４０、ＡＧＷ５０、通信傍受装置１０および通信傍受管理装置３０のそれぞれと制御信号通信路で接続される。通信傍受管理装置３０は、加入者管理装置２０および通信傍受装置１０のそれぞれと制御信号通信路で接続される。

図１Ａに示す端末７０１、７０２や端末７５には、端末を識別するためのキーとなる情報として端末識別子が予め付与されている。端末識別子は端末毎に異なっている。端末識別子は、例えば、電話番号やＩＰアドレスである。通信システムおよび通信傍受システムの各装置は、端末からの接続要求や端末から受信するデータに含まれる端末識別子を読み出して、接続要求元やデータ送信元の端末を識別する。以下では、各装置における端末識別動作についての説明を省略する。

次に、図１Ａに示した通信傍受システムの各構成について説明する。図２は本実施形態における通信傍受管理装置の一構成例を示すブロック図である。

図２に示すように、通信傍受管理装置３０は、傍受対象の端末を指定するための操作部３３０と、傍受対象に指定された端末の情報を通信傍受装置１０および加入者管理装置２０に通知する制御部３１０とを有する。制御部３１０は、傍受対象の端末を特定するための情報である、傍受対象の情報が操作部３３０を介して入力されると、傍受対象の端末の端末識別子を加入者管理装置２０および通信傍受装置１０に通知する。

傍受対象の情報は、端末の電話番号およびＩＰアドレスなどの端末識別子に限らず、その端末のユーザの名前であってもよい。傍受対象の情報をユーザ名とする場合、ユーザ名と端末識別子を組にしたデータを記憶する記憶部（不図示）を通信傍受管理装置３０に予め設けておく。そして、制御部３１０は、操作部３３０を介してユーザ名が入力されると、入力されたユーザ名に一致する情報を含むデータを記憶部（不図示）から読み出し、読み出したデータに含まれる端末識別子を加入者管理装置２０および通信傍受装置１０に通知する。ユーザ名と端末識別子を組にしたデータを記憶する記憶部（不図示）を設ける代わりに、制御部３１０は、端末識別子を要求する旨の情報とユーザ名の情報とを含む問い合わせ情報を加入者管理装置２０に送信し、端末識別子の情報を加入者管理装置２０から取得してもよい。

制御部３１０の構成は、上記の動作を実行するための機能に準じた専用回路であるが、制御部３１０にＣＰＵ（Central Processing Unit）（不図示）とメモリ（不図示）が設けられ、メモリに格納したプログラムをＣＰＵが実行することで、上記機能が実行されるようにしてもよい。なお、上述したように、通信傍受管理装置３０に記憶部（不図示）を設ける場合には、制御部３１０は、通信傍受によるデータ解析処理後の情報を通信傍受装置１０から受信すると、その情報を記憶部（不図示）に格納してもよい。

次に、加入者管理装置の構成について説明する。図３は本実施形態における加入者管理装置の一構成例を示すブロック図である。

図３に示すように、加入者管理装置２０は、加入者情報および認証情報を保存する記憶部２２０と、記憶部２２０に保存した加入者情報を管理するとともに認証処理を行う制御部２１０とを有する。加入者情報には、ユーザが使用する端末の端末識別子、およびユーザを認証するためのユーザ認証情報が含まれる。認証情報は、ＧＷ４０、ＡＧＷ５０および通信傍受装置１０を認証するための情報および装置毎に異なるＩＰアドレスの情報である。加入者情報に、ユーザの名前の情報が含まれていてもよい。

制御部２１０は、サービスネットワーク８０へのエントリ要求を行う端末について認証を求める旨と端末識別子の情報を含む問い合わせ情報をゲートウェイから受け取ると、記憶部２２０に保存されたユーザ認証情報を参照し、問い合わせ元のゲートウェイに認証結果を通知する。その際、制御部２１０は、認証要求をしてきたゲートウェイを特定するための情報である装置識別子をその端末の加入者情報に記録する。装置識別子は、例えば、ＩＰアドレスである。また、制御部２１０は、ＧＷ４０、ＡＧＷ５０および通信傍受装置１０のうちいずれかについて認証を求める旨の問い合わせがあると、ユーザ認証処理と同様に、その問い合わせ元に認証結果を通知するとともに、認証の問い合わせ元の装置に対応する認証情報に、認証対象の装置の装置識別子を記録する。

また、制御部２１０は、傍受対象となる端末の端末識別子の情報を通信傍受管理装置３０から受信すると、その端末識別子に対応する加入者情報を記憶部２２０で検索し、検索の結果、該当する加入者情報を見つけると、その加入者情報に傍受対象である旨の情報を付加する。傍受対象となる端末の端末識別子の情報を通信傍受管理装置３０から受信した際、傍受対象となる端末と他の端末との間にトンネル経路３が確立されていると、制御部２１０は、ＡＧＷ５０と通信傍受装置１０に対して、次のような制御を行う。制御部２１０は、ＡＧＷ５０に対して、それらの端末間の呼のトンネル経路３の接続先をＧＷ４０から通信傍受装置１０に切り替える旨を指示する。また、制御部２１０は、通信傍受装置１０にもう１つのトンネル経路の接続先を指示するために、ＧＷ４０のＩＰアドレスを通信傍受装置１０に通知する。

さらに、制御部２１０は、上述のようにして、加入者情報に傍受対象の情報を登録した後、傍受対象の端末より接続要求があった旨の情報をＡＧＷ５０から受け取ると、傍受対象の端末の呼について、通信傍受装置１０との間にトンネル経路５を設定する旨をＡＧＷ５０に指示し、ＧＷ４０のＩＰアドレスを通信傍受装置１０に通知する。

制御部２１０の構成は、上述の動作を実行するための機能に準じた専用回路であるが、制御部２１０にＣＰＵ（不図示）とメモリ（不図示）が設けられ、メモリに格納したプログラムをＣＰＵが実行することで、上記機能が実行されるようにしてもよい。

次に、通信傍受装置の構成を説明する。図４は本実施形態の通信傍受装置の一構成例を示すブロック図である。

図４に示すように、通信傍受装置１０は、傍受対象の端末７０１が通信相手に送信するデータ、または通信相手から受信するデータを格納するための記憶部１１２と、通信制御部１１３および通信傍受部１１４を含む制御部１１１と、を有する構成である。

通信制御部１１３は、傍受対象の端末の端末識別子の情報を通信傍受管理装置３０から受信し、ＡＧＷ５０から接続要求があると、ＡＧＷ５０の認証と接続先を加入者管理装置２０に問い合わせる。通信制御部１１３は、加入者管理情報２０からＡＧＷ５０の認証とＧＷ４０のＩＰアドレスを受信すると、ＡＧＷ５０と自装置を結ぶトンネル経路５、およびＧＷ４０と自装置を結ぶトンネル経路４を確立する。そして、通信制御部１１３は、ＧＷ４０およびＡＧＷ５０の２つの装置のうち少なくとも一方のゲートウェイを介して傍受対象の端末を送信元とするデータを受信すると、他方のゲートウェイに転送する。また、通信制御部１１３は、ＧＷ４０およびＡＧＷ５０の２つの装置のうち少なくとも一方のゲートウェイを介して、傍受対象の端末を送信先とするデータを受信すると、他方のゲートウェイに転送する。

通信傍受部１１４は、通信制御部１１３で転送処理されるデータを複写して記憶部１１２に格納する。その際、複写したデータを解析し、通信開始時刻および通信終了時刻などの通信履歴と通信内容とを時系列に記憶部１１２に記録してもよい。以下では、データを複写する処理と複写したデータを解析する処理を含めて傍受処理と称する。

制御部１１１は、制御部内の各部の機能に準じた専用回路が設けられている構成であるが、制御部１１１にＣＰＵ（不図示）とメモリ（不図示）が設けられ、メモリに格納したプログラムをＣＰＵが実行することで、各部の構成の一部または全部が通信傍受装置内に仮想的に構成されるようにしてもよい。

次に、本実施形態の通信傍受方法を図１Ａおよび図１Ｂを参照して説明する。

はじめに、図１Ａに示すように、端末７０１と端末７５は、無線基地局６０ａ、ＡＧＷ５０、トンネル経路３、ＧＷ４０およびサービスネットワーク８０を介して接続されているものとする。これと同様にして、端末７０２は、無線基地局６０ｂ、ＡＧＷ５０、トンネル経路３、ＧＷ４０およびサービスネットワーク８０を介して端末（不図示）と接続されている。このような通常運用状態では、ＡＧＷ５０とＧＷ４０との間にトンネル経路３が構築されている。

続いて、通信傍受管理装置３０に、端末７０１の端末識別子の情報を含む、傍受対象の情報が図２に示される操作部３３０を介して入力されると、通信傍受管理装置３０は、端末７０１の端末識別子の情報を制御部３１０を介して加入者管理装置２０および通信傍受装置１０のそれぞれに送信する。加入者管理装置２０は、傍受対象となる端末７０１の端末識別子の情報を通信傍受管理装置３０から受信すると、ＡＧＷ５０に対して、端末７０１に関する呼のトンネル経路３の接続先をＧＷ４０から通信傍受装置１０に切り替える旨を指示する。一方、通信傍受装置１０は、傍受対象となる端末７０１の端末識別子の情報を通信傍受管理装置３０から受信すると、ＧＷ４０に対して接続を要求する。

ＡＧＷ５０は、加入者管理装置３０からの指示にしたがって、ＧＷ４０との間に構築したトンネル経路３の先をＧＷ４０から通信傍受装置１０に切り替え、図１Ｂに示すように通信傍受装置１０との間にトンネル経路５を構築する。ＧＷ４０は、通信傍受装置１０からの接続要求にしたがって、通信傍受装置１０との間にトンネル経路４を構築する。このようにして、端末７０１と端末７５との間で送受信されるデータの伝送経路は、図１Ａに示すトンネル経路３から、図１Ｂに示すトンネル経路４およびトンネル経路５に切り替わる。通信傍受装置１０は、ＡＧＷ５０およびＧＷ４０のそれぞれから受信する端末７０１の呼に関して傍受処理を行う。なお、傍受非対象の端末７０２と端末（不図示）との呼については、図１Ａに示すトンネル経路３がそのまま利用される。このようにトンネル経路は、端末毎に構築される。

本実施形態では、ＧＷ４０およびＡＧＷ５０の間で傍受非対象のデータが送受信される場合、ＧＷ４０とＡＧＷ５０はトンネル経路を介してデータを直接やり取りするが、ＧＷ４０およびＡＧＷ５０の間で傍受対象のデータが送受信される場合、図１Ａに示すトンネル経路が図１Ｂに示すトンネル経路に切り替わり、ＧＷ４０およびＡＧＷ５０を結ぶトンネル経路が通信傍受装置１０を経由して接続される。

なお、図１Ａおよび図１Ｂでは、装置間の制御信号のやり取りを理解しやすくするために、ＧＷ４０、ＡＧＷ５０、加入者管理装置２０、通信傍受装置１０、および通信傍受管理装置３０の装置間を接続する制御信号通信路を模式的に示しているが、これらの装置を専用のネットワークで接続してもよい。その場合、ＧＷ４０およびＡＧＷ５０のそれぞれと専用のネットワークの間にファイアウォールなど、通信傍受システムへの不正侵入を防ぐ手段が設けられているものとする。

本発明の課題の欄で述べたように、通信傍受を実施するためには、ＧＷおよびＡＧＷ自体に傍受のための機能を持たせるか、または、経路毎に傍受装置を設置することが必要であった。運用者にとって、傍受にかかわる機能のための設備配置は最小とすることが望まれる。また、一般的に傍受対象となる呼は、運用中の一部の呼であることが考えられる。

本実施形態では、傍受対象となる呼に対して、移動体通信網に用いられるトンネルプロトコルを利用してＧＷ−ＡＧＷ間に連結するトンネル経路を、通信傍受装置経由で構築するようにしている。そのため、ＧＷおよびＡＧＷは通信傍受のための機能を必要とせず、通常の通信処理を行うだけでよい。そして、傍受対象となる呼に対して、ＧＷおよびＡＧＷは構築されたトンネル経路を通信傍受装置経由に切り替えるだけで、通信傍受を可能にする。よって、通常の通信に影響を与えることなく、通信処理の低下を抑制することが可能となる。また、ネットワークの規模が大きくなっても、通信傍受のための装置を増やす必要がなく、通信傍受のための設備費用を抑えることが可能となる。

また、図１２に示した通信傍受システムでは、傍受装置４１０は、受信したパケットをどのゲートウェイ宛に転送すればよいかを通信プロトコルのＩＰ層の情報で認識して送出する。傍受対象の呼がトンネルプロトコルを用いていると、その呼を識別するためのキーとなる情報は、通常、通信プロトコルの複数の階層のうちＩＰ層よりも上位層にある。そのため、傍受装置４１０は、そのパケットが傍受対象の端末に関連するものなのかどうかを調べるには、キーとなる情報を読み出すためにパケットをある程度解析し、そのパケットが傍受対象であるかを検索する必要がある。したがって、通信傍受装置に、高い解析処理能力が必要になる。さらに、トンネルプロトコルによっては、トンネル内部が暗号化されている場合があり、その場合、傍受装置４１０がキーとなる情報を検索できない可能性がある。

これに対して、本実施形態の通信傍受装置は、受け取るパケットが全て傍受対象であるから、それらを検索する必要がない。また、トンネル内を暗号化するトンネルプロトコルを用いてパケットが暗号化される場合であっても、通信傍受装置１０でトンネル経路が終端するため、暗号化されたパケットを復号でき、傍受処理に支障がない。

本実施例は、本実施形態の通信傍受システムをＷｉＭＡＸネットワークに適用した場合である。図５Ａは本実施形態の通信傍受システムをＷｉＭＡＸネットワークに適用した場合のブロック図である。図５Ｂは、図５Ａに示した通信傍受システムにおける通信傍受方法を説明するためのブロック図である。図５Ａおよび図５Ｂにおいて、トンネル経路が模式的に太い点線で表されている。

通信システムは、図１Ａに示したＧＷ４０に相当するＨＡ（Home Agent）４５と、ＡＧＷ５０に相当するＡＳＮ−ＧＷ（Access Service Network−Gateway）５５と、無線基地局６０に相当するＢＳ（Base Station）６５とを有する。

通信傍受システムは、図１Ａに示した通信傍受装置１０に相当する通信傍受装置１５と、加入者管理装置２０に相当するＡＡＡ（Authentication, Authorization and Accounting）サーバ２５と、通信傍受管理装置３０に相当する通信傍受管理装置３５とを有する。装置間を結ぶ通信路については、図１Ａで説明した構成と同様であるため、その詳細な説明を省略する。傍受対象のトンネル経路は、ＡＳＮ−ＧＷ５５−通信傍受装置１５−ＨＡ４５となる。

ＡＳＮ−ＧＷ５５は、外部装置から接続切り替え指示を受けると、その指示にしたがってトンネル経路の接続先を、ＨＡ４５から通信傍受装置１５に切り替える、または、通信傍受装置１５からＨＡ４５に切り替える。図５Ａに示すトンネル経路６はＡＳＮ−ＧＷ５５の接続先を通信傍受装置１５からＨＡ４５に切り替えた場合を示す。図５Ｂに示すトンネル経路８はＡＳＮ−ＧＷ５５の接続先をＨＡ４５から通信傍受装置１５に切り替えた場合を示す。本実施例では、接続切り替えを指示する外部装置をＡＡＡサーバ２５としている。

通信傍受装置１５は、ＡＳＮ−ＧＷ５５から接続要求があると、接続要求に応じてＡＳＮ−ＧＷ５５と接続するトンネル経路８を構築するとともに、ＨＡ４５に対して接続要求を通知し、ＨＡ４５との間にトンネル経路７を構築する。

ＡＡＡサーバ２５は、ユーザ認証情報を含む加入者情報の他に、ＨＡ４５、ＡＳＮ−ＧＷ５５および通信傍受装置１５を認証するための認証情報、ならびにこれらの装置のＩＰアドレスの情報を記憶部（不図示）に保存している。また、ＡＡＡサーバ２５は、接続要求のあった端末についてＨＡ４５またはＡＳＮ−ＧＷ５５から認証要求を受けると、認証結果を要求元に通知するとともに、要求元の装置のＩＰアドレスをその端末の加入者情報に記録する。

また、ＡＡＡサーバ２５は、通信傍受管理装置３５から傍受対象の端末の端末識別子の通知があると、その端末識別子を記憶部（不図示）に格納する。傍受対象の端末に関する通知を受ける際、その端末が通信を行っている場合、ＡＳＮ−ＧＷ５５にトンネル経路の接続切り替えを指示し、傍受終了通知に応じて、ＡＳＮ−ＧＷ５５にトンネル経路の接続切り替えを指示する。

一方、傍受対象の端末が通信を行っていない場合、ＡＡＡサーバ２５は、ＡＳＮ−ＧＷ５５に接続要求をする端末の端末識別子の情報をＡＳＮ−ＧＷ５５から入手し、その端末が傍受対象であるか否かを記憶部（不図示）に登録された端末識別子を参照して判定する。判定の結果、ＡＳＮ−ＧＷ５５に接続要求をする端末が傍受対象の端末であると、ＡＡＡサーバ２５は、その端末の呼に関するトンネル経路についてＡＳＮ−ＧＷ５５に接続切り替えを指示する。

なお、ＨＡ４５からは、プロトコル上、トンネルの接続先がＡＳＮ−ＧＷ５５から通信傍受装置１５に移動したというように見えるだけであり、これはＨＡ４５の通常動作の範囲内であり、ＨＡに特別な動作を必要としないため、その詳細な説明を省略する。

次に、図５Ａに示した通信傍受装置１５の構成を説明する。図６は図５Ａに示した通信傍受装置の一構成例を示すブロック図である。

通信傍受装置１５は、移動体通信網での制御信号を処理し、トンネルプロトコルおよびセッションを制御するトンネル制御部１５１と、ＡＳＮ−ＧＷ５５との間のトンネルパケットを処理するトンネル処理部１５２と、ＨＡ４５との間のトンネルパケットを処理するトンネル処理部１５３と、これらトンネル処理部の間でデータの複写を行う通信傍受部１５４と、複写されたデータを解析するデータ解析部１５５と、解析後必要となるデータを蓄積するデータ蓄積部１５６と、通信傍受管理装置３５からの指示等を処理する傍受制御部１５７とを有する。

データ解析部１５５は、通信傍受部１５４から受け取るデータを解析し、通信開始時刻および通信終了時刻などの通信履歴と、通信内容とを時系列にデータ蓄積部１５６に記録する。通信内容は、傍受対象の端末が電話であれば通話内容であり、傍受対象の端末が送信または受信したデータがパケットであれば、ネットワーク上のウェブサイトでどのサイトにアクセスしたかを示す情報である。以下では、データ解析後の情報を傍受情報と称する。

図４に示した通信制御部１１３が、トンネル制御部１５１、トンネル処理部１５２、トンネル処理部１５３および傍受制御部１５７を含む構成である。図４に示した通信傍受部１１４が通信傍受部１５４に相当し、データ解析部１５５は図４に示した制御部１１１内に設けられたものである。図４に示した記憶部１１２がデータ蓄積部１５６に相当する。

トンネル制御部１５１、トンネル処理部１５２、トンネル処理部１５３、通信傍受部１５４、データ解析部１５５および傍受制御部１５７のそれぞれは、各機能を実行するための専用回路で構成されている。ただし、プログラムにしたがって処理を実行するＣＰＵ（不図示）と、プログラムを格納するためのメモリ（不図示）とを通信傍受装置１５に設け、上記各部のうちいずれか一部または全部は、ＣＰＵがプログラムを実行することで通信傍受装置内に仮想的に構成されるものであってもよい。

なお、ここではトンネル処理部１５２およびトンネル処理部１５３を設けているが、接続先に対応して個別にトンネル処理部を設ける代わりに、１つのトンネル処理部の機能を役割に応じて論理的に分離してもよい。

次に、本実施例の通信傍受システムの動作の一例を説明する。ここでは、傍受対象となるユーザの情報が事前にＡＡＡサーバ２５に登録され、そのユーザのセッションが確立される際に通信傍受を開始するための動作手順を説明する。

図７は、本実施例の通信傍受システムにおいて、事前に通知された、傍受対象となるユーザのセッションが確立される際の通信傍受の動作手順を示すシーケンス図である。

通信傍受管理装置３５は、傍受対象の端末を指定する旨の指示とともに端末７０１の端末識別子が入力されると、傍受対象の端末の情報として端末７０１の端末識別子を通信傍受装置１５およびＡＡＡサーバ２５に通知する（ステップ１０１、１０２）。その際、通信傍受管理装置３５は、通信傍受装置１５に対して、どのような通信内容を要求するかの情報を通知してもよい。ＡＡＡサーバ２５は、傍受対象の端末７０１の端末識別子を記憶部（不図示）に格納する。その後、端末７０１が端末７５と通信するためにＡＳＮ−ＧＷ５５にエントリを要求すると、端末７０１のエントリ要求がＡＳＮ−ＧＷ５５に通知される（ステップ１０３）。

ＡＳＮ−ＧＷ５５は、端末７０１についてユーザ認証を実施するため、端末識別子の情報を含む認証要求（Radius: Access Request）をＡＡＡサーバ２５へ通知する（ステップ１０４）。ＡＡＡサーバ２５は、記憶したユーザ認証情報で端末７０１のユーザ認証を行う。ユーザ認証に成功すると、ＡＡＡサーバ２５は、ＡＳＮ−ＧＷ５５に接続要求してきた端末７０１が傍受対象であるか否かを判定する。判定の結果、端末７０１が傍受対象の端末であることを認識すると、ＡＡＡサーバ２５は、認証成功通知（Radius: Access Accept）内の接続先装置の属性にＨＡ４５のＩＰアドレスの代わりに通信傍受装置１５のＩＰアドレスを設定して、ＡＳＮ−ＧＷ５５に応答する（ステップ１０５）。また、ＡＡＡサーバ２５は、端末７０１に対応する加入者情報にＡＳＮ−ＧＷ５５のＩＰアドレスを記録する。

ＡＳＮ−ＧＷ５５は、ＡＡＡサーバ２５から端末７０１についての認証成功通知を受け取ると、通知された接続先装置へ接続要求（Mobile IPv4: Registration Request）を通知する（ステップ１０６）。ここでは、接続先装置は通信傍受装置１５となる。

通信傍受装置１５は、通信傍受管理装置３５から受信した、端末７０１に関する情報を格納する。その後、通信傍受装置１５は、ＡＳＮ−ＧＷ５５から接続要求を受け取ると、通常のＨＡの動作と同様にトンネル経路の接続処理を実施するため、ＡＳＮ−ＧＷ５５に関する認証情報をＡＡＡサーバ２５へ問い合わせる（ステップ１０７）。ＡＡＡサーバ２５は、ＡＳＮ−ＧＷ５５に関する認証情報と、最終接続先であるＨＡ４５のＩＰアドレスの情報を含むＧＷ情報とを通信傍受装置１５に通知する（ステップ１０８）。また、ＡＡＡサーバ２５は、通信傍受装置１５の認証情報にＡＳＮ−ＧＷ５５およびＨＡ４５のそれぞれのＩＰアドレスの情報を記録する。以下では、ＡＡＡサーバ２５は、通信中の端末、ゲートウェイおよび通信傍受装置１５のそれぞれについて接続先のＩＰアドレスの履歴を加入者情報と認証情報に記録する。

通信傍受装置１５は、ＡＳＮ−ＧＷ５５に関する認証情報と最終接続先を示すＧＷ情報とをＡＡＡサーバ２５から受け取ると、受け取った最終接続先の情報に基づいてＨＡ４５へ接続要求（Mobile IPv4：Registration Request）を通知する（ステップ１０９）。ＨＡ４５は、通信傍受装置１５から接続要求を受け取ると、接続完了（Mobile IPv4：Registration Reply）を通信傍受装置１５に通知し、通信傍受装置１５との間にトンネル経路７を確立する（ステップ１１０）。

また、通信傍受装置１５は、ＨＡ４５とのトンネル経路７の確立が完了した後、ＡＳＮ−ＧＷ５５へ接続完了を通知し、ＡＳＮ−ＧＷ５５との間にトンネル経路８を確立する（ステップ１１１）。ＡＳＮ−ＧＷ５５は、エントリが完了したことを、端末７０１へ通知する（ステップ１１２）。

ステップ１１０およびステップ１１１により、トンネル内に端末７０１のパケットが伝送される（ステップ１１３）。トンネル経路７、８の確立が完了した後、通信傍受装置１５は、トンネル内のパケットを通信傍受部１５４にて複写し、傍受処理を開始する（ステップ１１４）。そして、複写したデータを解析した結果の情報である傍受情報を、必要に応じて通信傍受管理装置３５へ送信する（ステップ１１５）。

次に、ＡＳＮ−ＧＷ５５とＨＡ４５の間にトンネル経路が既に確立している呼に対して、通信傍受を開始するまでの手順を説明する。

図８は、本実施例の通信傍受システムにおいて、ＡＳＮ−ＧＷとＨＡの間に既に確立しているトンネル経路の呼に対して通信傍受を開始するまでの手順を示すシーケンス図である。なお、図８と、次の説明の際に参照する図９では端末７０１の表示を省略している。

図５Ａに示したように、端末７５と端末７０１との間でトンネル経路６が既に確立している（ステップ２０１）。通信傍受管理装置３５は、端末７０１を傍受対象の端末に指定する旨の指示と端末７０１の端末識別子が入力されると、図７に示したステップ１０１および１０２と同様にして、傍受対象の端末７０１の端末識別子をＡＡＡサーバ２５および通信傍受装置１５に通知する（ステップ２０２、２０３）。

ＡＡＡサーバ２５は、傍受対象の端末７０１の端末識別子の情報を通信傍受管理装置３５から受信すると、端末７０１に対応する加入者情報を参照して、端末７０１の認証を要求してきた装置がＡＳＮ−ＧＷ５５であることを認識する。そして、ＡＡＡサーバ２５は、端末７０１の通信路に対する切り替え指示（Radius：Change of Authorization）にて、接続先装置として通信傍受装置１５のＩＰアドレスをＡＳＮ−ＧＷ５５へ通知する（ステップ２０４）。図７に示したステップ１０６〜１１１と同様にして接続の切り替えが実行される（ステップ２０５〜２１０）。図５Ｂに示したように、トンネル経路７、８が確立する。

ＡＳＮ−ＧＷ５５は、トンネル接続の切り替えが終了すると、切り替え完了（Radius Change of Authorization Ack）をＡＡＡサーバ２５に通知する（ステップ２１１）。続いて、図７に示したステップ１１３〜１１５と同様にして、通信傍受装置１５は端末７０１が送受信するデータの傍受を開始する（ステップ２１２〜２１４）。

次に、通信傍受を終了させる手順を説明する。図９は、本実施例の通信傍受システムにおいて通信傍受を終了させる手順を示すシーケンス図である。

通信傍受装置１５は、ＡＳＮ−ＧＷ５５およびＨＡ４５のそれぞれとの間にトンネル経路７、８を構築して、端末７０１が送受信するデータの通信傍受を実行している（ステップ３０１）。通信傍受管理装置３５は、通信傍受を終了する旨の指示とともに端末７０１の端末識別子が入力されると、端末識別子の情報を含む傍受終了をＡＡＡサーバ３０２および通信傍受装置１５へ通知する（ステップ３０２、３０３）。

ＡＡＡサーバ２５は、通信傍受管理装置３５から傍受終了の指示を受け取ると、端末７０１の通信路に対してＡＳＮ−ＧＷ５５に切り替え指示（Radius: Change of Authorization）を通知し、接続先装置を通知する。その際、ＡＡＡサーバ２５は、通信傍受装置１５が構築したトンネル経路７の一端が接続されているＨＡ４５のＩＰアドレスを新たな接続先装置としてＡＳＮ−ＧＷ５５に通知する（ステップ３０４）。

ＡＳＮ−ＧＷ５５は、ＡＡＡサーバ２５から切り替え指示と接続先装置の情報を受け取ると、通知された接続先装置となるＨＡ４５に接続要求を通知する（ステップ３０５）。ＨＡ４５は、ＡＳＮ−ＧＷ５５から接続要求を受け取ると、接続先を通信傍受装置１５からＡＳＮ−ＧＷ５５に切り替える。そして、ＨＡ４５は、接続完了をＡＳＮ−ＧＷ５５に通知し、トンネル経路を切り替える（ステップ３０６）。ＡＳＮ−ＧＷ５５とＨＡ４５の間にトンネル経路６が確立し、端末７０１が送受信するパケットがそのトンネル経路６を介して伝送される（ステップ３０７）。

ＡＳＮ−ＧＷ５５は、ＨＡ４５との間でトンネル経路６が確立すると、切り替え完了をＡＡＡサーバ２５へ通知する（ステップ３０８）。通信傍受装置１５は、ＡＡＡサーバ２５に傍受終了を通知し、それから一定期間後に傍受を終了する（ステップ３０９）。そして、通信傍受装置１５は、傍受終了を通知する旨の情報を含む傍受終了通知を通信傍受管理装置３５へ通知する（ステップ３１０）。

なお、傍受対象の端末７０１のユーザが自ら接続を切った場合、その後の処理は傍受対象ではない通常の端末が接続を切ったときと同様であるため、その詳細な説明を省略する。

次に、本実施例の通信傍受システムにおけるハンドオーバの場合を説明する。図１０Ａおよび図１０Ｂは、本施例におけるハンドオーバの場合を説明するための図である。ここでは、端末７０１が傍受対象の端末であるものとする。また、ＡＳＮ−ＧＷ５５ａ、５５ｂのそれぞれと加入者管理装置２５とを結ぶ制御信号通信路を図に示すことを省略している。

図１０Ａに示すように、端末７０１と端末７５とが通信を行っている際、これらの端末間でやり取りされるデータはトンネル経路７、８を経由して伝送される。通信傍受装置１５は、トンネル経路７、８を介して受信するデータに対して傍受処理を行う。端末７０１がＢＳ６５ａの通信圏内からＢＳ６５ｂの通信圏内に移動すると、ＢＳ６５ｂは端末７０１と通信可能になる。ＢＳ６５ｂは新たに通信可能になった端末７０１の情報をＡＳＮ-ＧＷ５５ｂに通知する。

ＡＳＮ−ＧＷ５５ｂは、端末７０１について加入者管理装置２５に認証を求める。続いて、ＡＳＮ−ＧＷ５５ｂは、その応答として認証結果とトンネル経路の接続先として通信傍受装置１５のＩＰアドレスの情報を加入者管理装置２５から受け取る。その後、図７に示したステップ１０６からステップ１１３までと同様の処理が行われ、図１０Ｂに示すようにトンネル経路７およびトンネル経路９が構築される。通信傍受装置１５は、トンネル経路７、９を介して受信するデータに対して傍受処理を行う。

本実施例では、ＡＳＮ−ＧＷ５５ａからＡＳＮ−ＧＷ５５ｂに対して端末７０１を傍受対象とする旨の通知は行われず、ＡＳＮ−ＧＷ５５ｂは、端末７０１の呼を引き継いでも傍受のための準備処理を開始することもない。ＡＳＮ−ＧＷ５５ｂが行う処理は、通常のハンドオーバと同様である。傍受対象の端末７０１の通信に対してハンドオーバが行われても、通信傍受装置１５は、トンネル経路の接続先をＡＳＮ−ＧＷ５５ａからＡＳＮ−ＧＷ５５ｂに変更するだけで、引き続き、受信するデータの全てについて傍受処理を行えばよい。本実施例では、他の通信傍受装置を必要とせず、他の通信傍受装置への傍受処理の切り替えも必要ない。

上述したように、本実施例の通信傍受装置は、傍受対象の呼のみに対して、移動体通信網で用いられるトンネルプロトコル（モビリティプロトコル）を用いて、明示的にＡＧＷ−ＧＷの間に割り込んでトンネル終端を連結し、データを中継する際に傍受処理を行っている。

上述したように、本実施形態では、ネットワーク内のＧＷおよびＡＧＷは通信傍受のための機能を必要とせず、経路毎に通信傍受装置を設ける必要がない。また、傍受対象のデータを複写して解析する傍受処理を行う装置を機能的に分離し、一部の装置に傍受処理を集中させて実行させている。そのため、通信傍受のための機能を備えたゲートウェイ装置をネットワーク全体に配備する場合や通信傍受装置を経路毎に配備する場合に比べて、配備コスト（ＣＡＰＥＸ：Capital Expenditure）を抑えられる。

また、傍受処理を行う装置をＩＰ網により接続可能であれば、ＧＷノードから地理的に離すことも可能となるため、ＩＰ網を介して傍受処理を集中管理でき、運用コスト（ＯＰＥＸ：Operating Expense）が抑えられる。トンネルプロトコルにより各ＧＷノードと通信路を構築すれば、トンネルプロトコルを利用してネットワーク内で傍受処理を実行する装置を分離する構成がとれ、その装置を集中管理することが可能となる。

また、傍受対象の呼だけが通信傍受装置を経由して処理されるため、傍受の際に、傍受対象以外の呼への影響を抑制できる。また、通信傍受装置は、制御対象となる呼に対して、傍受対象かどうかを検索して傍受非対象の呼と区別する処理が不要なため、ＡＧＷおよびＧＷのそれぞれに傍受のための準備処理機能を設けるよりも、処理と構成を単純化することが可能である。

さらに、２つのゲートウェイ間でやり取りされる、傍受対象のデータに対して通信傍受装置が傍受処理を実行しており、ハンドオーバにより一方のゲートウェイが変更になっても、トンネル経路の接続先を変更するだけで、通信傍受装置は自装置で転送するデータに対して傍受処理を継続すればよい。そのため、図１３で説明した、ゲートウェイ間における傍受対象の通知を行う必要がなく、図１４で説明した、通信傍受装置間における傍受対象の通知を行う必要もない。

２ ネットワーク
１０、１５ 通信傍受装置
２０ 加入者管理装置
２５ ＡＡＡサーバ
３０、３５ 通信傍受管理装置
４０ ＧＷ
４５ ＨＡ
５０ ＡＧＷ
５５ ＡＳＮ−ＧＷ
８０ サービスネットワーク

Claims (7)

1. 通信を傍受する通信傍受システムであって、
   傍受対象の端末を特定する管理装置と、
   傍受対象の端末の通信を傍受する通信傍受装置と
   を備え、
   前記管理装置が、接続要求された端末が傍受対象であることを特定すると、該端末が傍受対象である旨を前記通信傍受装置に通知し、該通信傍受装置が、前記端末と自装置との間にトンネル経路を構築させる、通信傍受システム。
2. 請求項１記載の通信傍受システムであって、
   前記管理装置は、
   傍受対象の端末を特定するための端末識別子が格納された記憶部と、該記憶部に格納された端末識別子に一致する端末識別子の端末より第１のゲートウェイに接続要求があった旨の情報を該第１のゲートウェイから受け取ると、該傍受対象の端末の通信のためのトンネル経路の接続先を前記通信傍受装置に指定する旨の情報を前記第１のゲートウェイに通知し、該第１のゲートウェイに関する認証要求を前記通信傍受装置から受けると、該第１のゲートウェイを認証する旨の認証結果および他の接続先として第２のゲートウェイを指定する旨の情報を前記通信傍受装置に送信する制御部とを有し、
   前記通信傍受装置は、
   前記傍受対象の端末が通信相手に送信するデータまたは通信相手から受信するデータを格納するための記憶部と、前記第１のゲートウェイから接続要求を受けると、該第１のゲートウェイに関する認証要求を前記管理装置に行い、該第１のゲートウェイの前記認証結果および前記第２のゲートウェイを接続先に指定する旨の情報を該管理装置から受信すると、該第２のゲートウェイに接続を要求し、該第１および第２のゲートウェイのそれぞれと自装置とを接続するトンネル経路を確立し、これら２つのゲートウェイのうち一方のゲートウェイから前記傍受対象の端末についての前記データを受信すると、該データを複写して自装置の記憶部に格納し、該データを他方のゲートウェイに転送する制御部とを有する、通信傍受システム。
3. 請求項１記載の通信傍受システムであって、
   前記管理装置は、
   端末毎に異なる端末識別子の情報および該端末と接続されたゲートウェイを特定するための情報を含む加入者情報が格納された記憶部と、通信傍受管理装置から傍受対象の端末の端末識別子の情報を受信すると、該端末識別子に一致する識別子を含む加入者情報を前記記憶部から読み出し、該加入者情報に記録された第１のゲートウェイに対して、該傍受対象の端末の通信のためのトンネル経路の接続先を前記通信傍受装置に指定する旨の情報を前記第１のゲートウェイに通知し、該第１のゲートウェイに関する認証要求を前記通信傍受装置から受けると、該第１のゲートウェイを認証する旨の認証結果および他の接続先として第２のゲートウェイを指定する旨の情報を前記通信傍受装置に送信する制御部とを有し、
   前記傍受対象の端末が通信相手に送信するデータまたは通信相手から受信するデータを格納するための記憶部と、前記第１のゲートウェイから接続要求を受けると、該第１のゲートウェイに関する認証要求を前記管理装置に行い、該第１のゲートウェイの前記認証結果および前記第２のゲートウェイを接続先に指定する旨の情報を該管理装置から受信すると、該第２のゲートウェイに接続を要求し、該第１および第２のゲートウェイのそれぞれと自装置とを接続するトンネル経路を確立し、これら２つのゲートウェイのうち一方のゲートウェイから前記傍受対象の端末についての前記データを受信すると、該データを複写して自装置の記憶部に格納し、該データを他方のゲートウェイに転送する制御部とを有する、通信傍受システム。
4. 接続要求された端末が傍受対象である旨の情報を受け取ると、前記端末と自装置との間にトンネル経路を構築させる、通信傍受装置。
5. 傍受対象の端末が通信相手に送信するまたは通信相手から受信するデータを格納するための記憶部と、
   第１のゲートウェイから接続要求を受けると、該第１のゲートウェイに関する認証要求を管理装置に行い、該第１のゲートウェイを認証する旨の認証結果および第２のゲートウェイを接続先に指定する旨の情報を該管理装置から受信すると、該第２のゲートウェイに接続を要求し、該第１および第２のゲートウェイのそれぞれと自装置とを接続するトンネル経路を確立し、これら２つのゲートウェイのうち一方のゲートウェイから前記傍受対象の端末についての前記データを受信すると、該データを複写して自装置の記憶部に格納し、該データを他方のゲートウェイに転送する制御部と、を有する、請求項４記載の通信傍受装置。
6. 接続要求された端末が傍受対象であることを特定すると、前記端末と通信傍受装置との間にトンネル経路を構築させる、通信傍受方法。
7. 接続要求された端末が傍受対象であることを特定すると、前記端末と通信傍受装置との間にトンネル経路を構築させるプログラム。

Images