JP2012198910A - 認可方法 - Google Patents

Abstract

【課題】汎用ユーザープロファイル（ＧＵＰ）のフレームワークにおいて、ユーザープロファイルの管理及びアクセスのための標準的なスキームを提供する。
【解決手段】前記エンティティが、少なくとも１つのユーザープロファイルデータコンポーネント、および少なくとも１つの認可データコンポーネントを含むユーザープロファイルを使用し、前記認可データコンポーネントに基づいて、前記少なくとも１つのユーザープロファイルデータコンポーネントに関連する複数のデータへのアクセスを認可することを含む。ただし、前記ユーザープロファイルはＧＵＰプロファイルであり、前記ユーザープロファイルデータコンポーネントはＧＵＰコンポーネントであり、前記認可データコンポーネントもＧＵＰコンポーネントである。
【選択図】図７

Description

本発明は、通信システムにおける認可方法に関する。

通信システムとは、ユーザー端末装置および／またはネットワークエンティティ、および通信システムに関連する他のノードなどの、２つ以上のエンティティ間の通信を可能にする設備である。通信には、例えば、音声、電子メール（Ｅメール）、テキストメッセージ、データ、マルチメディアなどの通信を含めることが可能である。

通信は、固定回線通信インターフェースおよび／または無線通信インターフェースによって提供することが可能である。無線通信システムの特徴は、システムがモビリティをそのユーザーに提供することである。無線通信を提供する通信システムの例には、公衆陸上モバイルネットワーク（ＰＬＭＮ）が挙げられる。固定回線システムの例には、公衆交換電話網（ＰＳＴＮ）が挙げられる。

通信システムは、一般的に、システムの様々なエレメントのうちのどれが実行を認可されているか、およびエレメントの機能はどのように達成されなければならないのかを定める、所与の規格または仕様に基づいて作動する。例えば、規格または仕様は、ユーザー、より正確にはユーザー機器が回路交換サーバーまたはパケット交換サーバー、あるいはその両方を備えているかどうかを定義することが可能である。接続に使用されるべき通信プロトコルおよび／またはパラメータも、一般的に、定義される。例えば、通信がユーザー機器と通信ネットワークとの間で実行される様態は、一般的に所定の通信プロトコルに基づく。すなわち、通信が基づくことのできる特定の一連の「ルール」は、ユーザー機器が、通信システムを経た通信を可能にするように定義される必要がある。

いわゆる第三世代（３Ｇ）の通信システムの導入によって、モバイルユーザー機器および他のタイプのＵＥを経てインターネット上のサービスへのアクセスの実現性が著しく増加する。

コンピュータ（固定または携帯型）、携帯電話、携帯情報端末、またはオーガナイザなどのような様々なユーザー機器（ＵＥ）は、当業者には既知であり、インターネットにアクセスしてサービスを得るために使用することができる。移動局と称されるモバイルユーザー機器は、無線インターフェースを経てモバイル電気通信ネットワークの基地局または他のエンティティなどの他の機器との通信を可能にする手段として定義することができる。

本明細書で使用される「サービス」という用語は、ユーザーが所望またはリクエストするもの、あるいは提供されるあらゆるサービスまたは商品を幅広く対象としていると理解されたい。この用語はまた、無料サービスの提供も対象とすると理解されたい。限定されないが、特に、「サービス」という用語は、インターネットプロトコルマルチメディアＩＭサービス、会議、電話通信、ゲーム、高品位の通話、プレゼンス、電子商取引、およびインスタントメッセージングなどのメッセージングを含むと理解されたい。

第三世代パートナーシッププロジェクト（３ＧＰＰ）では、ユーザー機器（ＵＥ）のユーザーにこれらのサービスへのアクセスを提供する、汎用モバイル電気通信システム（ＵＭＴＳ）コアネットワークのための基準アーキテクチャを定義する。このＵＭＴＳコアネットワークは、３つの主要なドメインに分割される。これらは、回路交換ドメイン、パケット交換ドメイン、およびインターネットプロトコルマルチメディア（ＩＭ）ドメインである。

ＩＭドメインは、マルチメディアサービスの十分な管理を確実にする。ＩＭドメインは、インターネット技術特別調査委員会（ＩＥＴＦ）が開発したようなセッション開始プロトコル（ＳＩＰ）に対応する。

さらに、複数のアクセス技術（ＧＥＲＡＮ：ＧＳＭ／ＥＤＧＥ無線アクセスネットワーク、ＵＴＲＡＮ：汎用地上無線アクセスネットワーク、およびＷＬＡＮ：無線ローカルエリアネットワーク）がある。

３ＧＰＰモバイルシステムおよびアクセス技術には複数のドメインや新しく出現した複数のサービスがあるので、様々なエンティティに位置するユーザー関連情報の標準化された使用を可能にする概念記述を提供するために、汎用ユーザープロファイル（ＧＵＰ）が開発された。サービスの例には、マルチメディアメッセージング（ＭＭＳ）、ＳＭＳ、チャット、電話通信、ゲーム、閲覧／ウェブサービス、ダウンロード、電子商取引が挙げられる。これにより、標準のユーザープロファイル管理およびアクセスの必要性が生じた。

ＧＵＰはまた、サブスクリプション管理において使用される。

ＧＵＰの様々な態様は、ＴＳ２２．２４０、ＴＳ２３．２４０、ＴＳ２３．２４１、およびＴＳ２９．２４０の３ＧＧＰ仕様において定義される。これらの資料は、参照することにより本願明細書に含まれる。

しかし、ＧＵＰに対する現在の定義は、あらゆるモデルのための認可を定めていない。認可は、法的な側面（プライバシー）を有するため、オペレータおよび／またはエンドユーザーにとっては、複雑になりすぎて容易に管理できなくなる可能性がある。

したがって、本発明の実施態様は、これらの問題に対処することを目的とする。

本発明の一側面によれば、通信システムにおける認可方法であって、

認可データを使用するステップを含み、前記認可データは、他のデータに関連する認可を定義するために、前記他のデータを参照するか又は前記他のデータによって参照される、データコンポーネント、データグループ、またはデータエレメントのうちのいずれか1つである方法が提供される。

本発明の一側面によれば、通信システム内のデータへのアクセスを認可する方法であって、
少なくとも１つのユーザープロファイルデータコンポーネント、および少なくとも１つの認可データコンポーネントを含むユーザープロファイルを提供するステップと、
少なくとも１つの認可データコンポーネントおよび少なくとも１つのユーザープロファイルデータコンポーネントのうちの一方により、前記少なくとも１つの認可データコンポーネントおよび少なくとも１つのユーザープロファイルデータコンポーネントのうちの他方を参照するステップと、
前記認可データコンポーネントに基づいて、少なくとも１つのユーザープロファイルデータコンポーネントに関連するデータへのアクセスを認可するステップとを含む方法が提供される。

本発明の一側面によれば、通信システムにおけるエンティティであって、認可データは使用されるように構成され、前記認可データは、他のデータに関連する認可を定義する前記他のデータを参照する、データコンポーネント、データグループ、またはデータエレメントのうちの１つであるエンティティが提供される。

本発明の一側面によれば、通信システムにおけるエンティティであって、前記エンティティは、少なくとも１つのユーザープロファイルデータコンポーネントと、少なくとも１つの認可データコンポーネントとを含むユーザープロファイルを使用するように構成され、少なくとも１つの認可データコンポーネントおよび少なくとも１つのユーザープロファイルデータコンポーネントは、もう一方の前記少なくとも１つの認可データコンポーネントおよび少なくとも１つのユーザープロファイルデータコンポーネントを参照し、前記エンティティは、前記認可データコンポーネントに基づいて、少なくとも１つのユーザープロファイルデータコンポーネントに関連するデータへのアクセスを認可するための手段を有するエンティティが提供される。

本発明の一側面によれば、通信システム内のデータへのアクセスを認可する方法であって、少なくとも１つのユーザープロファイルデータコンポーネントおよび少なくとも１つの認可データコンポーネントを含むユーザープロファイルを使用するステップを含み、少なくとも１つの認可データコンポーネントおよび少なくとも１つのプロファイルデータコンポーネントのうちの一方は、前記認可データコンポーネントに基づいて少なくとも１つのユーザープロファイルデータコンポーネントに関連するデータへのアクセスを認可するために、前記少なくとも１つの認可データコンポーネントおよび少なくとも１つのユーザープロファイルデータコンポーネントの他方を参照する方法が提供される。

発明の実施例の詳細な説明

本発明の更なる理解のため、および本発明をどのように実行するかに関して、添付図面を例として用いて参照する。

図１を参照する。図１は、本発明の実施態様を実行することができるシステムを概略的に示す。システムはユーザー機器２を備える。ユーザー機器は、あらゆる好適な形態とすることができ、例えば、携帯電話、携帯情報端末（ＰＤＡ）、携帯型コンピュータ、ラップトップコンピュータ、固定型コンピュータ、または他の好適な機器のような、モバイルまたは固定エンティティであってよい。ユーザー機器２は、無線接続を経て無線アクセスネットワーク（ＲＡＮ）８と通信するように構成される。この無線接続は、例えば無線周波数のような、あらゆる好適な周波数であってよい。

無線アクセスネットワーク８は、一般的に、基地局エンティティ（ノードＢと称する場合もある）から成り立っている。本明細書においては、基地局という用語を使用し、この用語はあらゆる好適なエンティティを対象とすることを意図するものである。無線アクセスネットワーク８はまた、制御エレメントも含む。この制御エレメントは、ＵＭＴＳシステムの場合は無線ネットワーク制御装置（ＲＮＣ）と称され、ＧＳＭシステムの場合は基地局制御装置（ＢＳＣ）と称されることがある。これは、制御装置という用語が、このようなあらゆる制御エンティティを対象とすることを意図するものである。いくつかの構成では、制御機能は基地局機能とは別に提供され、単一の制御エンティティが複数の基地局を制御することが可能である。本発明の他の実施態様では、各基地局は制御機能の一部を組み込むことが可能である。無線アクセスネットワークは、コアネットワーク１０と通信するように構成される。図１に示されるコアネットワーク１０は、パケット交換コアネットワークである。本発明の実施態様はまた、回路交換コアネットワークにも適用可能である。

コアネットワークは、パケット交換トランザクションを切り替えるために使用される少なくとも１つのサービングＧＰＲＳ（汎用パケット無線システム）サポートノード（ＳＧＳＮ）、およびコアネットワーク１０が外部のパケットスイッチネットワークに接続される箇所で切り替えられる少なくとも１つのゲートウェイＧＰＲＳサポートノード（ＧＧＳＮ）を含む。この例では、コアネットワークは、ＩＭサブシステム１４に接続される。ここでは別々に示されているが、実際にはコアネットワークの一部とすることが可能である。

サブスクリプションマネージャＳＭ１１も、図１に示す。ＳＭ１１は、コアネットワークおよびＩＭサブシステムに接続されているように示される。

本発明の実施態様は、幅広いアプリケーションおよび付加価値サービスなどの他のサービスを有する。

本発明の実施態様は、特に第三世代システムという状況において記述されている。しかし、本発明の実施態様の原理は、あらゆる他の好適な通信システムに適用できるものと理解されたい。

ＧＵＰは、様々なエンティティに位置するユーザー関連情報の標準化された使用を可能にする概念記述を提供するために開発された。ＧＵＰはユーザー関連データの集合であり、そのユーザー関連データは、あるエンティティグループがそのデータを共有しているサービスを、個々のユーザーが受ける場合のその受け方に影響を及ぼす。ＧＵＰは、ホームネットワーク環境に保存することができ、さらに保存をＵＥおよび／または付加価値サービスプロバイダの装置に拡張することができる。ＧＵＰは様々な利害関係者によってアクセスされ、また、標準化されたアクセス機構により、ユーザーや加入者、付加価値サービスプロバイダ、ネットワークオペレータなどの１つ（集中式）又は複数（非集中式）の利害関係者によって管理される。ＧＵＰプロファイルによって、ネットワーク内での使用、すなわちモバイルオペレータネットワーク内のアプリケーション間でのデータ交換が可能となり、また、ネットワーク間での使用、すなわちモバイルオペレータネットワークと付加価値サービスプロバイダとの間でのデータ交換が可能となる。

図２を参照する。図２は、ＧＵＰの概念的な図を示す。ＩＭＳＩ（国際移動電話加入者識別番号）またはＩＭＳ ＰＩＤ（パブリックアイデンティティ）によって特徴付けられる各ユーザーに対して、１つのユーザープロファイルが存在する。ユーザープロファイルは、複数の「コンポーネント」２０、２１または２２から構成することが可能である。図２に示すように、コンポーネント２１ａおよび２１ｂは、ユーザー機器に提供される。コンポーネント２２ａおよび２２ｂは、付加価値サービスプロバイダ１６に備えられる。付加価値サービスプロバイダ１６は、例えば、ＩＭＳシステム１４の一部とするか、または独立させることが可能である。コンポーネント２０ａ−ｆは、ホームネットワークに備えられる。ホームネットワーク１８は概して図１に示されるコアネットワーク１０に対応するが、本発明のいくつかの実施態様においてはＲＡＮ８も組み込む場合がある。したがって、ホームネットワーク内で、コンポーネントは様々なネットワークノードに配信されることが可能である。

コンポーネントは、コンポーネント２０ａおよび２０ｂ、２１ａおよび２２ａなどの一般的なユーザー情報を含むことが可能である。データはまた、コンポーネント２０ｃ、２０ｆ、２１ｂ、および２２ｂなどのサービス固有の情報も含むことも可能である。データはまた、例えば、コンポーネント２０ｃおよび２０ｄのような端末関連情報などの他のコンポーネントも含むことができる。図２に示される構成では、コンポーネントの１つのマスターが存在するが、マスターコンポーネントの１つ以上のコピーが存在する場合がある。例えば、コンポーネント２１ａはマスターコンポーネントであるが、ホームネットワーク１８にコンポーネント２０ａとしてコピーされ、付加価値サービスプロバイダ１６にコンポーネント２２ａとしてコピーされる。コンポーネント２０ｂ、２０ｃ、および２０ｄは、全てマスターコンポーネントである。コンポーネント２２ｂは、ホームネットワーク１６のコンポーネント２０ｃおよびそのコピーであるユーザー機器２のコンポーネント２１ｂを有するマスターコンポーネントである。コンポーネント２０ｆも、マスターコンポーネントである。本発明の実施態様では、ホームオペレータは、ホームネットワークの外側に位置するマスターコンポーネントをホームネットワークにコピーすることができる。ホームネットワーク内には、ＧＵＰコンポーネントを配置することができ、それによって、コンポーネントの実際の位置をアプリケーションに認識させない機能がある。

図３を参照する。図３は、ＧＵＰの処理に関連するエンティティを示す。ＧＵＰは、供給者および需要者のためのユーザー関連データへのアクセスおよび操作するための汎用機構を提供する。この機構によって、標準化された方法でデータの取り出しおよび管理を行うことができる。

データの供給者および需要者は、以下のグループに分割することができる。ＵＥ２におけるアプリケーション３０；ホームネットワーク１８におけるホームネットワークアプリケーション３２；例えば付加価値サービスプロバイダ１６における第三者アプリケーション３４；および、ＯＡＭ（運営上の管理およびメンテナンス）、およびサブスクリプション管理アプリケーション３６。端末アプリケーション３０は、本来は様々であり、ＧＵＰデータを上述のデータストアに供給することも、アプリケーションで使用するためのデータを取り出すこともできる。ホームネットワークのアプリケーション３２は、通話またはセッション処理、およびメッセージングまたはウェブサービスに関連するデータを含むことが可能である。第三者アプリケーション３４は、ホームネットワーク内のアプリケーションに類似している。ＯＡＭおよびサブスクリプション管理アプリケーションは、ネットワークオペレータによるユーザーデータの管理を提供する。

図４を参照する。図４は、本発明の実施態様を組み込んだＧＵＰの標準的なアーキテクチャの一例を示す。アプリケーション４０（端末アプリケーション３０、ホームネットワークアプリケーション３２、第三者アプリケーション３４、およびＯＡＭおよびサブスクリプション管理アプリケーション３６を含む）は、ＧＵＰサーバー４２に接続される。ＧＵＰサーバーは、特定の加入者のＧＵＰデータへの単一のアクセスポイントを提供する機能エンティティである。図４に示される構成では、独立した認可サーバーおよび／または認可データリポジトリ４４がある。

本発明の実施態様は、２つの異なる方法で実行することができる。一実施例では、サーバー４４は省略される。ＧＵＰサーバー４２は、さらに認可サーバー機能を提供する。認可データリポジトリは、サーバー４２または独立したデータリポジトリ内に存在させることが可能である。本発明の他の実施態様では、図４に示されるように、認可サーバー機能を提供し、および／または認可データリポジトリである、独立したサーバーがある。すなわち、認可の判断はサーバー４４によって行うか、またはエンティティ４４を、単に認可関連のデータのためのリポジトリとすることが可能である。

また、図４にはリポジトリアクセス機能部４６、４７、および４８も示される。リポジトリアクセス機能部ＲＡＦ（Repository Access Function）は、標準化されたアクセスインターフェースを実現する。それは、データリポジトリの実装の詳細をＧＵＰインフラから隠蔽する。ＲＡＦはプロトコルおよびデータ変換を必要に応じて実行する。データリポジトリ５０および５２は、それぞれＲＡＦ４６および４７に関連する。ＲＡＦ４８は、サーバーまたはエンティティ４４に関連する。データリポジトリは、１つまたは複数のＧＵＰプロファイルコンポーネントの主たるコピーを保存する。特定のデータリポジトリに関連するＲＡＦは、データリポジトリへの標準化されたアクセスを提供する。図４に示される構成では、データリポジトリおよび関連するＲＡＦは、認可データを保存する。認可データは、サーバー４２または他の好適なエンティティに提供することができる。例えば、認可データにアクセスすることが可能なオペレータアプリケーションを提供するために、いくつかの手段によって認可されなければならないアプリケーションにデータが提供される。他のデータは、後述するように、認可データとして同じデータリポジトリに含めることが可能である。

図４に示される実施態様では、認可リクエストはＧＵＰサーバー４２からエンティティまたはサーバー４４に直接送信され、ＧＵＰサーバーにリクエストに対する応答を送信することが可能である。このＲＡＦ４８をバイパスすることが可能である。

図５を参照する。図５は、現在のインフラ環境に対する図４のＧＵＰ基準アーキテクチャのマッピングの一例を示す。アプリケーション３０、３２、および３４は、それぞれＧＵＰサーバー４２への接続を有する。本発明の実施態様によれば、ＧＵＰサーバーは、図４の認可サーバーおよび／または認可データリポジトリ４４に接続することが可能である。

ＲＡＦ５４、５６、５８、および６０は次のようなものである。
・ ＲＡＦ５４は、ユーザー機器６２のためのデータリポジトリへのアクセスを提供する。
・ ＲＡＦ５６は、ＨＳＳ（ホームサブスクリプションサーバー）、ＨＬＲ（ホームロケーションレジスタ）、ＶＬＲ（ビジターロケーションレジスタ）、およびＰＰＲ（プライバシープロファイルレジスタ）などのＨＰＬＭＮ（ホームＰＬＭＮ）のためのデータリポジトリ６４へのアクセスを提供する。
・ ＲＡＦ５８は、例えばＩＭＳアプリケーションサーバーなどのアプリケーションサーバーのためのデータリポジトリ６６へのアクセスを提供する。
・ ＲＡＦ６０は、管理サーバーＣＲＭ（カスタマリレーションシップマネジメント）などのためのデータリポジトリ６８へのアクセスを提供する。
これらのデータリポジトリ６２乃至６８のうちの１つ以上において、認可データを保存することが可能である。

図６を参照する。図６は、ＧＵＰ情報モデルを示す。

汎用ユーザープロファイル８０は、複数の独立したＧＵＰコンポーネント８２を含む。ＧＵＰコンポーネントは、他のＧＵＰコンポーネントを含む（すなわち参照する）ことが可能である。これによって、例えばデータを再利用することができる。ＧＵＰコンポーネント８２は、汎用ユーザープロファイル内に一意の識別子を有し、１つのＲＡＦを介して取り出すことができる。コンポーネントのタイプに加えて、コンポーネント識別子は、加入者識別子、または使用されるコンポーネントのタイプに依存するより汎用的な識別情報を含む。ＧＵＰコンポーネントは、複数のＧＵＰコンポーネント、データエレメントグループおよび／またはデータエレメントから構成することが可能である。

ＧＵＰコンポーネントはゼロ以上のデータエレメントグループ８６を含む。データエレメントグループは、不可分のデータエレメントおよび／またはデータエレメントグループを含む。必要なデータエレメントグループによって、より深い階層構造とすることができる。最も低い階層的レベルのデータエレメントグループは、１つ以上のデータエレメント８８を含む。ＧＵＰコンポーネント内のデータエレメントグループは、同一または異なるタイプであってよい。本発明のいくつかの実施態様では、ＧＵＰコンポーネントは、データエレメントグループを持たないゼロ以上のデータエレメントを含むことが可能である。ＧＵＰコンポーネントは、少なくとも１つのＧＵＰコンポーネント、データエレメントグループ、またはデータエレメントを有するものとする。

複合データタイプ９０は、ＧＵＰコンポーネント全体の構成を定義するために使用される。その構成は、どのようなデータエレメントグループであるのかの定義、および／またはどのデータエレメントが定義されたＧＵＰコンポーネントに属するかの定義、ならびにデータのタイプおよびそのデータの値の定義を含む。

図７を参照する。図７は、どのように認可コンポーネントを汎用ユーザープロファイル（ＧＵＰ）に適合させることができるかを示す。汎用ユーザープロファイル８０は、認可コンポーネント９２（ＧＵＰコンポーネントである）、第１のＧＵＰコンポーネント８２ａ、および、第２のＧＵＰコンポーネント８２ｂを有しているように示されている。認可コンポーネント９２は、第１のデータエレメント８８ａおよび第２のデータエレメント８８ｂを含むデータエレメントグループ８６を含むことが可能である。別様には、認可コンポーネント９２は、データエレメント８８ｃを含むことが可能である。

第２のＧＵＰコンポーネント８２ａは、２つのデータエレメント８８ｄおよび８８ｅを含むように示されている。

第２のＧＵＰコンポーネントは、認可コンポーネント９４を有するように示されている。この認可コンポーネントは、データエレメントグループまたはデータエレメントを有する。また、データエレメントグループ８６ｂも示されている。データエレメントグループ８６ｂは、２つのデータエレメント８８ｆおよび８８ｇを含むデータエレメントグループ８６ｃを含む。代わりにまたはさらに、データエレメントグループ８６ｂは、データエレメント８８ｈを含むことが可能である。ＧＵＰコンポーネント８２ｂはまた、更なるコンポーネント８２ｃを含むように示される。すなわち、本発明の実施態様によってもたらされる認可コンポーネントは、ＧＵＰコンポーネント、データエレメントグループ、および／またはデータエレメントを含むことが可能である。

ＧＵＰの認可データは、ユーザープロファイルデータまたはＧＵＰコンポーネントによって参照することができる、独立したＧＵＰコンポーネントであるとみなされる。これによって、同じ特性（capability）を、他のユーザープロファイルデータに関して認可データを管理するために使用することができる。認可データは実際のデータから完全に独立し、認可モデルおよびルールを単独で開発することが可能である。本発明の実施態様では、認可データ内のあらゆるＧＵＰデータアイテム（例えば、プッシュタイプの通信を受信することに関する加入者の言語または初期設定）を参照し、その使用に対して認可を与えることが可能である。ルールは粗い場合もあれば細かい場合もあり、必要な精度のレベルに合わせて準備される。

本発明の実施態様に使用される認可データモデルによって、複雑なユーザープロファイル情報に対する認可データを提供できる。これは、例えば、データアイテムがいくつかのエンティティによってリクエストされたときに、そのデータアイテムを提供できるかどうかを判断する場合に必要である。認可は、非常に異なるデータの塊、異なる実施態様、および構成に対して行うことが可能である。本発明の実施態様は、これらの変形例に対応することができる。

本発明の実施態様は、認可される様々なデータに対して汎用かつ共通の解決策を適用させることができるという利点を有する。この利点は、異なる種類の実施態様および実施態様のアーキテクチャに対して好適である。認可データの管理は、他のＧＵＰ固有のデータに関して、および認可されるデータとは別に、ＧＵＰによって処理することができる。認可される実際のデータを管理するためよりも、認可データを管理するために異なるアクセスを異なるエンティティに与える方が容易である。類似したユーザーインターフェースおよび管理アプリケーションを、他のＧＵＰデータに関して使用することができる。本発明の実施態様は、データ非依存である。すなわち、認可データによって、既存のデータフォーマットまたはデータストレージの構造を変更する必要がない。同じ認可設定を、異なるデータに利用することができる。

本発明の実施態様はまた、位置に非依存とすることが可能である。認可データ保存専用の独立したサーバー内、認可されるデータ内、または実際のデータストレージに代わって認可を処理するサーバー内に存在させることが可能である。

上述のように、ＧＵＰの認可データモデルは、認可関連のデータが認可コンポーネントと称される独立したＧＵＰコンポーネントとしてみなされるようなものである。実際のユーザープロファイルか、または実際の汎用データを記述するために使用される他のＧＵＰコンポーネントに類似する。

本発明の実施態様において、同じ機構、すなわち、作成、変更、削除、クエリー、類似したコンポーネントの識別子などのプロシージャ、および同じ管理インターフェースを、他のユーザープロファイルデータに関して、認可データの管理に使用することができる。これによって、ユーザーデータは、場合に応じて全ユーザープロファイルの一部とみなすこともできる。

上述のように、認可データは認可されるデータと強く結びついていない。認可データは、実施要件に基づいて、例えば、独立したプライバシーレジスタ内、またはＧＵＰサーバー内などのあらゆる位置に存在させることが可能である。認可コンポーネントによって、認可データを、ユーザー固有のもの、または複数のユーザーに共通したものに定義することができる。認可コンポーネントによって、認可データを全ユーザープロファイルのコンポーネントに共通とするか、または特定のコンポーネントのタイプの全てのユーザーに共通とすることができる。

認可コンポーネントは、認可データ自身に対する認可ルール、すなわち誰がその認可ルールの変更を許可されたかを記述するために使用することができる。認可コンポーネントは、実際のデータをデータの要求元に伝達するために、保持時間、更なるディスクロージャルールなどのデータ配信および使用ポリシーの記述に使用することができる。認可コンポーネントは、ユーザー固有の設定が存在するか、ユーザー固有の設定が作成される前に、デフォルトの認可設定を記述することができる。

以下のタイプの認可データを指定することができる。
・ ターゲット加入者（または加入者のグループ）の識別子−ＧＵＰ加入者
・ コンポーネントタイプおよびより詳細なデータ参照子
・ 要求元（アプリケーションＩＤおよびエンドユーザーＩＤ）または要求元グループの識別子
・ リクエストにおいて認可アサーションとして受信される他の要求元関連データ
・ 認可されたオペレーション（クエリー、変更、作成、削除、サブスクライブ）
・ プライバシーポリシーに特有の属性（プライバシーポリシーは、リクエストに含まれる）
・ リクエストの事例に関連する他の属性（タイムスケジュールなど）
・ 動作（例、判断、プライバシーポリシーのカプセル化など）

認可コンポーネントは、ＧＵＰ情報モデル内のあらゆるエレメントを参照することができる。これによって、場合および必要性に応じて、異なるレベルおよびデータの階層に対する認可設定を行うことができる。したがって、本発明の実施態様では、ＧＵＰは他のあらゆるＧＵＰコンポーネントのように、認可コンポーネントを定義する。これは、他のＧＵＰコンポーネントと同じ特性（capability）（例、識別子や構成）が、認可コンポーネントにも適用されることを意味する。認可コンポーネントは、ＧＵＰ情報モデルのあらゆるエレメントを参照し、それらのエレメントに関する認可を定義することができる。認可コンポーネントは、加入者特有であってもよく、複数の加入者および／またはＧＵＰ情報モデルのエレメントに共通としてもよい。あらゆるＧＵＰコンポーネントは、認可のために（例えば、ＲＡＦによって）使用される追加的なデータアイテムを含むことが可能であるが、それらは、特定のＧＵＰコンポーネントに特定のデータの一部であるとみなされるので、ＧＵＰによって規定される汎用の認可の一部ではない。

本発明の実施態様では、ユーザー固有または共通のプライバシールールに基づいて、ＧＵＰデータにアクセスするためのアプリケーションに認可を与える役割を果たすＧＵＰ機能がある。ＧＵＰデータにアクセスする全ての試行は、要求元情報、リクエストされたデータ、ターゲット加入者、および実行されるオペレーション、またはそれらのうちのいくつかを含まなければならない定義されたポリシー、に基づいて、認可される。ＧＵＰデータ構造は、プロファイル、コンポーネント、またはデータエレメントなどの認可情報を異なるレベルに提供するための要件を満たす必要がある。汎用認可データに加えて、更なるサービス固有のデータを（例えば、ＬＣＳに対して）定義することが可能である。認可判定ロジックについても同様である。認可ロジックの実行によって、要求元がリクエストを行うことを認可されたかどうかの判断がもたらされ、また、場合によっては、そのリクエストの性質に応じてデータのどの部分に要求元が適切なアクセス権を持ちうるかの判断がもたらされる。ＧＵＰは、認可データを管理するための機構を様々なＧＵＰエンティティに提供する。

ＨＰＬＭＮベースのアプリケーションも、非ＨＰＬＭＮベースのアプリケーションも、リクエストをＧＵＰサーバーに送信するものと予想される。ＧＵＰサーバーは、異なる認可基準、ポリシー制御、およびロード制御をＨＰＬＭＮおよびＨＰＬＭＮアプリケーションに提供するための機能を持たなければならない。

認可コンポーネントに加えて、実際のプロファイルデータを表すあらゆるＧＵＰコンポーネントは、認可のために、例えばＲＡＦによってローカルに使用されるデータ内に追加的なアイテムを有することが可能であるが、それらのアイテムは、特定のＧＵＰコンポーネントに特有であるデータの一部分としてみなされる。これらの認可設定は、意味的データの良好な情報を有するエンティティによってのみ翻訳することができる。例えば、（１つのＧＵＰコンポーネント内の）特定のサービスプロファイルデータは、そのデータにおいて定義されるアドレス（例、ＵＲＬ）、およびこのアドレスがどのようにアクセスおよび配信されるのかを示すアクセス制御フィールドを有することができる。この特殊なプライバシーフィールドの処理は、この特定のサービスに対して特有であり、汎用ＧＵＰ機能では処理することができないので、このアクセス制御に基づいた判断は、このサービスを提供するリポジトリに近接させなければならない。

図２に示されるように、ＧＵＰサーバーは、ユーザー特有の、または共通の、ユーザープロファイルにおいて参照される認可コンポーネントを含むことが可能である。ＧＵＰサーバーは、認可コンポーネントに基づいて認可判断を行う。

代わりにまたはさらに、ＲＡＦ機能およびデータリポジトリは、ＧＵＰサーバーと同様な役割を果たすことができるが、ＲＡＦによって処理されるＧＵＰコンポーネントを基準とする認可コンポーネントに基づいている。

代わりにまたはさらに、ＲＡＦおよび／またはＧＵＰサーバーは、ＧＵＰリクエストに関連する認可コンポーネントにアクセスすることができる。認可コンポーネントは、ＧＵＰサーバー内、ＧＵＰデータリポジトリ内、または認可専用の独立したサーバー内に存在させることが可能である。ＧＵＰサーバーは、認可コンポーネントに基づいて認可を処理し、ＲＡＦは、関連するデータリポジトリ内でローカルに認可を処理する。同様に、ＲＡＦは、認可コンポーネント（後述するコンポーネント）に基づいて認可を与えることが可能である。

独立した認可サーバーがあり、認可リクエストおよび対応する応答メッセージをＧＵＰサーバーと認可サーバーとの間で送信できる場合、認可データは、他のＧＵＰコンポーネントと同様に操作することが可能であり、認可自体は、通常ＧＵＰサーバー内の内部機能である。

図８を参照する。図８は、認可サーバーを使用する本発明の実施態様におけるシグナリングの一例を示す。

ステップＳ１で、アプリケーション４０は、ＧＵＰリクエストＳ１をＧＵＰサーバー４２に送信する。ＧＵＰサーバー４２は、アプリケーションを認証する。

ステップＳ２で、ＧＵＰサーバーは、認可リクエストを認可サーバー４４に送信する。これは、図４に示される直接接続を経てなる。ステップＳ３で、認可サーバー４４は、同一の接続に従って、認可応答を送信する。

ステップＳ５で、ＧＵＰサーバー４２は、適切なＲＡＦからＧＵＰデータエレメントのリクエストを行うが、図４（または実際に図５）に示されるＲＡＦのいずれかであってよい。関連するＲＡＦは、ステップＳ６で、ＧＵＰデータエレメントをＧＵＰサーバー４２に返す。ＲＡＦは、関連するＧＵＰデータリポジトリからリクエストされたＧＵＰデータエレメントを取得すると理解されたい。したがって、ＲＡＦはＧＵＰデータリポジトリから適切なデータエレメントをリクエストし、ＧＵＰデータリポジトリは、リクエストされたＧＵＰデータエレメントをＲＡＦに返す。これは図８には示されないが、ステップＳ５とＳ６との間で行われる。

複数のデータエレメントがリクエストされる場合、本発明の実施態様では、必要なデータエレメントは逐次的にリクエストされる。

ステップＳ７で、ＧＵＰサーバー４２は、リクエストされたＧＵＰデータを配信する。これは、取得されたデータエレメントからＧＵＰコンポーネントを構成するＧＵＰサーバーを対象とすることが可能である。

本発明のいくつかの実施態様において、認可サーバー４４によって提供される機能は、ＧＵＰサーバーまたは他の適切なエンティティによって提供されてよいと理解されたい。

したがって、本発明の実施態様はプロファイル構成の深くにあるコンポーネントを有することが可能であり、例えば、あるコンポーネントは、さらに下位のコンポーネント（可能であれば、さらに下位のコンポーネントなど）を再び参照しうるコンポーネントを参照することが可能である。コンポーネントは、常にではなく必要に応じて、認可コンポーネントを含む。

本発明の実施態様を実行することができるシステムを概略的に示す。 ＧＵＰの概念的な図を示す。 ＧＵＰの範囲を示す。 本発明の実施態様を組み込んだＧＵＰ基準アーキテクチャを示す。 本発明の実施態様を組み込んだＧＵＰ基準アーキテクチャを現在のインフラ環境にマッピングするための一例を示す。 ＧＵＰの基本構成を示す。 本発明の実施態様における汎用ユーザープロファイルへの認可データコンポーネントの構成の例を示す。 本発明の一実施態様におけるシグナリングを示す。

Claims (2)

1. ＧＵＰサーバが複数のリポジトリアクセス機能部へＧＵＰデータに関する要求を送信すること、ただし前記ＧＵＰデータは複数の部分を有し、前記複数の部分の少なくとも一つは、データコンポーネント、データグループ、データエレメントのいずれか一つ以上を有し、前記ＧＵＰデータの前記複数の部分のうちの一つは前記ＧＵＰデータを参照する認可データであり、前記認可データは前記複数の部分の少なくとも一つから独立しており、前記認可データはプロファイルのある部分の複数のユーザーに対して共通であり、前記複数のリポジトリアクセス機能部の各々は、複数のリポジトリの対応するものに格納されている前記ＧＵＰデータの様々な部分にアクセスするように構成される、前記送信することと；
   前記ＧＵＰサーバが、前記複数のリポジトリアクセス機能部の少なくともいずれかから、要求者が認可されたアクセス権を有する前記データを含む応答を受信すること、ただし該認可は、前記複数のリポジトリアクセス機能部のいずれか１つ以上によりアクセスされる、前記複数のリポジトリの対応するいずれかに格納される前記認可データに基づいて定義される、前記受信することと；
   前記ＧＵＰデータを含む前記応答を受信した後、前記ＧＵＰサーバが、前記要求者へ前記ＧＵＰデータを送信することと；
   を含む、方法。
2. ＧＵＰサーバに設けられる送信部と、前記ＧＵＰサーバに設けられる受信部とを備える装置であって、
   前記送信部は、複数のリポジトリアクセス機能部へＧＵＰデータに関する要求を送信するように構成され、ただし前記ＧＵＰデータは複数の部分を有し、前記複数の部分の少なくとも一つは、データコンポーネント、データグループ、データエレメントのいずれか一つ以上を有し、前記ＧＵＰデータの前記複数の部分のうちの一つは前記ＧＵＰデータを参照する認可データであり、前記送信部はまた、前記ＧＵＰデータを含む応答を受信した後、前記要求者へ前記ＧＵＰデータを送信するように構成され、前記複数のリポジトリアクセス機能部の各々は、複数のリポジトリの対応するものに格納されている前記ＧＵＰデータの様々な部分にアクセスするように構成され、
   前記受信部は、前記複数のリポジトリアクセス機能部の少なくともいずれかから、前記要求者が認可されたアクセス権を有する前記データを含む応答を受信するように構成され、ただし該認可は、前記複数のリポジトリアクセス機能部のいずれか１つ以上によりアクセスされる、前記複数のリポジトリの対応するいずれかに格納される前記認可データに基づいて定義され、
   前記認可データは前記複数の部分の少なくとも一つから独立しており、前記認可データはプロファイルのある部分の複数のユーザーに対して共通である、
   装置。

Images