JP2018537872A - 通信ネットワークにおける非アクセス層接続を確立するための通信ネットワーク及び方法 - Google Patents

Abstract

【課題】モバイル無線通信ネットワークにおいて効率的なモビリティ管理機能及びセッション管理機能を提供する。
【解決手段】通信ネットワークは、モビリティ管理機能及び認証機能を提供するように構成された共通制御プレーン回路と、各々がそれぞれのセッション管理機能を提供するように構成された１つ又は複数の専用制御プレーン回路とを備える。認証機能は、通信端末を認証し、通信端末用の第１の鍵を生成することを含む。モビリティ管理機能は、通信端末によって送信された第１の要求メッセージに応答して、生成された第１の鍵を使用して、認証された通信端末との間で非アクセス層接続を提供することを含む。認証機能は、各選択されたセッション管理機能用のそれぞれの第２の鍵を生成することをさらに含む。各セッション管理機能は、それぞれに生成された第２の鍵を使用して、認証された通信端末との間で非アクセス層接続を提供することを含む。
【選択図】図６

Description

様々な実施形態は、一般に、通信ネットワークにおける非アクセス層（ｎｏｎ−ａｃｃｅｓｓ ｓｔｒａｔｕｍ）接続を確立するための通信ネットワーク及び方法に関する。
［関連出願の相互参照］

本出願は、２０１６年１１月１日に欧州特許庁に出願された欧州特許出願第１６１９６７１６号の優先権を主張し、当該出願は、その全体が参照により本明細書に組み込まれる。

一般に、モバイル無線通信ネットワークにおいては、モビリティ管理機能及びセッション管理機能が必要とされる。

たとえば、第５世代モバイル無線通信ネットワークなどの今後のモバイル無線通信ネットワークは、効率的なモビリティ管理機能及びセッション管理機能が必要となる。さらに、ユーザ装置（ｕｓｅｒ ｅｑｕｉｐｍｅｎｔ）など端末デバイスに、暗号による安全な方法でこうした機能を提供することが望ましいであろう。

通信ネットワークは、モビリティ管理機能及び認証機能を提供するように構成された共通制御プレーン回路と、各々がそれぞれのセッション管理機能を提供するように構成された１つ又は複数の専用制御プレーン回路とを備える。認証機能は、通信端末を認証すること、及び、通信端末用の第１の鍵を生成することを含む。モビリティ管理機能は、通信端末によって送信された第１の要求メッセージに応答して、生成された第１の鍵を使用して、認証された通信端末との間で非アクセス層接続を提供することを含む。認証機能は、各選択されたセッション管理機能用のそれぞれの第２の鍵を生成することをさらに含む。各セッション管理機能は、それぞれに生成された第２の鍵を使用して、認証された通信端末との間で非アクセス層接続を提供することを含む。

図面において、同一の参照符号は全体的に、異なる図面全体を通して同一の部分を参照している。図面は必ずしも縮尺通りではなく、全体的に本発明の原理を示すことに重点が置かれている。以下の説明において、以下の図面を参照して本発明の様々な実施形態が記載されている。
様々な実施形態によるモバイル無線通信ネットワークを示す図である。 第１のプロセス状態における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す図である。 第２のプロセス状態における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す図である。 第３のプロセス状態における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す図である。 第４のプロセス状態における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す図である。 様々な実施形態による非アクセス層（ＮＡＳ：Ｎｏｎ−Ａｃｃｅｓｓ Ｓｔｒａｔｕｍ）接続を確立するための第１の実施例を示す第１のメッセージ流れ図である。 様々な実施形態によるＮＡＳ接続を確立するための第２の実施例を示す第２のメッセージ流れ図である。

以下の詳細な説明は、本発明を実施することができる特定の詳細及び実施形態を図解によって示す添付の図面を参照する。

本明細書では「例示的な」という用語は、「実例、事例、又は例証として役立つ」という意味で使用されている。「例示的な」として本明細書に記載の任意の実施形態又はひな型は、他の実施形態又はひな型よりも好ましい又は有益であると、必ずしも解釈されるべきではない。

本明細書で使用する「回路」又は「回路構成」（１つ又は複数の「回路」を含むことができる）は、任意の種類の論理実装エンティティであると理解することができ、これは、メモリ、ファームウェア及びそれらの任意の組合せに記憶されたソフトウェアを実行する、特殊目的の回路構成又はプロセッサとすることができる。さらに、「回路」又は「回路構成」は、プログラマブルプロセッサ、たとえばマイクロプロセッサ（たとえば、複数命令セットコンピュータ（ＣＩＳＣ）プロセッサ又は縮小命令セットコンピュータ（ＲＩＳＣ）プロセッサ）といった、ハードワイヤード論理回路又はプログラマブル論理回路とすることができる。「回路」又は「回路構成」はまた、ソフトウェア、たとえば任意の種類のコンピュータプログラム、たとえばバーチャルマシンコード、たとえばＪａｖａ（登録商標）を使用するコンピュータプログラムを実行する、プロセッサとすることができる。以下でより詳細に説明する各機能の任意の他の種類の実装形態も、「回路」又は「回路構成」として理解することができる。任意の２つ（又はそれ以上）の記載された回路又は回路構成は、結合されて１つの回路又は回路構成となると理解することもできる。

様々な実施形態は、モビリティ管理（ＭＭ：Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ）及び通信セッション管理（ＳＭ：Ｓｅｓｓｉｏｎ Ｍａｎａｇｅｍｅｎｔ）の機能の分離を有するモバイル無線通信ネットワークのアーキテクチャにおける、非アクセス層（ＮＡＳ）のセキュリティ設定をできるようにする効率的な機構を提供することができる。言い換えれば、様々な実施形態は、端末デバイス（たとえば、ユーザ装置又は任意の他の無線通信端末ノード）と様々な通信ネットワーク機能（たとえばコアネットワーク機能）との間で、暗号による安全なＮＡＳ通信接続を確立するための効率的な機構を提供することができる。この様々な通信ネットワーク機能には、たとえば、端末デバイスとＭＭ機能（たとえば、共通制御プレーン回路内に設けられる）との間の暗号による安全なＮＡＳ通信接続、並びに、端末デバイスと複数のＳＭ機能のうちそれぞれ１つ（たとえば、それぞれ専用制御プレーン回路内に設けられる）との間の暗号による安全なＮＡＳ通信接続といった、個々のＮＡＳ終端点がそれぞれ設けられている。

ＮＡＳは、端末デバイス、たとえば携帯電話とも呼ばれるユーザ装置（ＵＥ：Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ）と、無線ネットワークを経由して透過的に通過する、コアノード（たとえば、移動交換局（ＭＳＣ：Ｍｏｂｉｌｅ Ｓｗｉｔｃｈｉｎｇ Ｃｅｎｔｅｒ）、サービング汎用パケット（ＧＰＲＳ）無線サービスサポートノード（ＳＧＳＮ）、モビリティ管理エンティティ（ＭＭＥ：Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｅｎｔｉｔｙ）等）とも呼ばれるコアネットワーク（ＣＮ）の１つ又は複数のエンティティとの間を通過するメッセージのプロトコルとして理解することができる。ＮＡＳメッセージの例としては、エリアアップデート又はアタッチメッセージ、認証メッセージ、サービス要求、モビリティ管理メッセージなどがある。端末デバイスが無線接続を確立すると、端末デバイスは、無線接続を使用してコアノードと通信を行い、通信サービス（複数可）を調整する。ＮＡＳとアクセス層の相違は、アクセス層は明確に端末デバイスと無線ネットワーク間の対話に対して設けられているが、ＮＡＳは端末デバイスとコアネットワークノード間の対話に対して設けられるという点にある。

図１は、様々な実施形態によるモバイル無線通信ネットワーク１００を示す。

通信ネットワーク１００は、たとえば１つ又は複数の（一般に任意の数の）端末デバイス１０２など、１つ又は複数の端末デバイス１０２を備えることができる。端末デバイス１０２は、パーソナルコンピュータ、ラップトップ、ノートブック、スマートフォン、カメラ、センサ構造、個々のセンサ、アクター構造、個々のアクター、中継装置などを含む、任意のタイプの通信デバイスに備えられ、又は、実装することができる。

通信ネットワーク１００は、たとえば１つ又は複数の（一般に任意の数の）進化型ＮｏｄｅＢ（ｅＮＢ）１０４など、１つ又は複数の基地局１０４をさらに備えることができる。各端末デバイス１０２は、１つ又は複数の基地局１０４、たとえば１つ又は複数のｅＮＢ１０４に接続することができる。

さらに、通信ネットワーク１００は、コアネットワーク１０６を備えることができる。コアネットワーク１０６は、１つ又は複数の回路構成を備えることができ、この回路構成は１つ又は複数のコアネットワークエンティティ、言い換えれば、１つ又は複数のコアネットワーク機能を備えることができる。

一例として、コアネットワーク１０６は、モビリティ管理機能１０８及び認証機能（図１には図示せず）を提供するように構成された共通制御プレーン回路を含むことができる。モビリティ管理機能１０８は、モバイル無線通信ネットワーク１００の共通制御プレーンに、個々のＮＡＳ終端点を提供することができる。言い換えれば、モビリティ管理ＮＡＳ終端点は、モビリティ管理ＮＡＳメッセージを処理するように機能することができる。モビリティ管理機能１０８は、たとえば端末デバイスアップデート位置機能などといった様々なモビリティサービスを提供することができる。さらに、以下でより詳細に説明するように、モビリティ管理機能１０８は、端末デバイス１０２と個々の独立したセッション管理機能１１０，１１２との間で通信をルーティングするためのＮＡＳルーティング機能をさらに提供することができる。ここで、各セッション管理機能は、独立した専用制御プレーン回路１１４，１１６によって実装される。各専用制御プレーン回路１１４，１１６は、それぞれのユーザプレーン１１８，１２０及び関連するユーザプレーン機能をさらに含むか、又は実装することができる。各セッション管理機能は、個々のＮＡＳ終端点を提供することができる。端末デバイス１０２は、複数の通信サービスに加入することがあり、したがって、異なるセッション管理機能終端点で終端する異なる通信セッションを有する。

コアネットワーク１０６は、様々なエンティティ及び回路構成、たとえばユーザデータ管理（ＵＤＭ：ｕｓｅｒ ｄａｔａ ｍａｎａｇｅｍｅｎｔ）回路／ホーム加入者サーバ（ＨＳＳ：ｈｏｍｅ ｓｕｂｓｃｒｉｂｅｒ ｓｅｒｖｅｒ）１２２をさらに含むことができる。さらに、コアネットワーク１０６は、他のセクレタリ（ｓｅｃｒｅｔａｒｉｅｓ）及び構成要素を所望のもの及び通常提供されるものとしてさらに含むことができるが、これらは詳細な聞き取りにおいては記載されないが、それにもかかわらず通信ネットワーク１００の中に様々な実施形態にしたがって提供される。

図２は、第１のプロセス状態２００における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す。

より詳細には、図２は、端末デバイス１０２と共通制御プレーン回路２０２の間の暗号による安全なＮＡＳ通信接続を確立するためのプロセスを示す。図２に示すように、共通制御プレーン回路２０２は、モビリティ管理機能１０８及び認証機能２０４を含むか、又は実装することができる。

端末デバイス１０２と共通制御プレーン回路２０２の間の、暗号による安全なＮＡＳ通信接続を確立するための方法を開始するために、端末デバイス（たとえばＵＥ）１０２は、アタッチ要求メッセージ２０６を生成し、モビリティ管理機能１０８に送信することができる。アタッチ要求メッセージ２０６を受信した後に、モビリティ管理機能１０８は、アタッチ要求メッセージ２０６を受信した先である端末デバイス１０２用の認証要求２０８を生成し、それを認証機能２０４に供給することができる。認証要求２０８を受信したことに応答して、認証機能２０４は認証プロセス２１０を実施して（たとえば、認証機能２０８と端末デバイス１０２の間の通信によって）、認証要求２０８の指示にしたがって端末デバイス１０２を認証する。認証機能２０４が端末デバイス１０２を首尾よく認証できない場合には、この方法は終了し通信接続は確立されない。認証機能２０４が端末デバイス１０２を首尾よく認証できた場合には、認証機能２０４は、暗号化、デジタル署名など任意の所望の暗号化サービスに使用することができる第１の暗号鍵２１２（以下において、第１の鍵又はマスター鍵又はベース鍵とも呼ばれる）を生成することができる。第１の暗号鍵２１２は、通信端末１０２と関連付けるか、又は割り当てることができる。第１の暗号鍵２１２は、対称鍵でも非対称鍵でもよい。一例として、第１の暗号鍵２１２は、認証機能２０４によって生成された一対の非対称鍵の秘密鍵とすることができる。様々な実施形態において、第１の暗号鍵２１２は秘密対称鍵とすることができる。認証機能２０４は、第１の暗号鍵２１２をモビリティ管理機能１０８に供給することができ、その結果、モビリティ管理機能１０８は、第１の暗号鍵２１２を所有することになる。モビリティ管理機能１０８は、第１の暗号鍵２１２を記憶することができる。次いで、図２に示すように、モビリティ管理機能１０８は、セキュリティモードコマンドメッセージ２１４を生成し、それを端末デバイス１０２に送信することができる。セキュリティモードコマンドメッセージ２１４は、（現に首尾よく認証された）端末デバイス１０２と共通制御プレーン回路２０２、より詳細には、その中のモビリティ管理機能１０８との間に、第１の暗号による安全なＮＡＳ接続３０２（図３を参照）を確立する。モビリティ管理機能１０８は第１の暗号鍵２１２を使用して、第１の暗号による安全なＮＡＳ接続３０２を保証するのに使用される暗号化サービスを提供する。

図３は、第２のプロセス状態３００における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す。

第１の暗号による安全なＮＡＳ接続３０２を確立した後で、端末デバイス１０２が、モビリティ管理機能１０８が実装されている共通制御プレーンとは別個の専用制御プレーン機能中の１つ又は複数のセッション管理機能と、暗号による安全なＮＡＳ接続の確立をしようとすることを想定する。これを行うために、端末デバイス１０２はパケットデータネットワーク（ＰＤＮ：ｐａｃｋｅｔ ｄａｔａ ｎｅｔｗｏｒｋ）接続要求メッセージ３０４を生成し、それをモビリティ管理機能１０８に送信することができる。ＰＤＮ接続要求メッセージ３０４を受信した後で、モビリティ管理機能１０８は、ＰＤＮ接続要求メッセージ３０４を受信した先である端末デバイス１０２用の認証要求３０６をさらに生成し、それを認証機能２０４に供給することができる。ＰＤＮ接続要求メッセージ３０４は、セッション管理機能によって提供される、１つ又は複数の所望の通信セッション又は通信サービスを示す特定のパラメータ、及び／又は、関連するセッション固有のパラメータ若しくはサービス固有のパラメータを含むことができる。認証要求３０６を受信したことに応答して、認証機能２０４は別の認証プロセス３０８を再度任意選択で実施して（たとえば、認証機能２０８と端末デバイス１０２の間の通信によって）、認証要求３０６の指示にしたがって端末デバイス１０２を認証する。別の認証（言い換えれば、端末デバイス１０２の第２の認証）は、ＰＤＮ接続要求メッセージ３０４において要求された、通信セッションに固有の認証パラメータを使用して実行することができるということに留意されたい。認証パラメータは、上記のようにＰＤＮ接続要求メッセージ３０４に含むことができる。しかし、別の認証プロセス３０８は任意選択的であることに留意されたい。別の認証プロセス３０８が提供され、認証機能２０４が端末デバイス１０２を再度首尾よく認証できない場合に、この方法は終了し、通信接続は確立できない。認証機能２０４が端末デバイス１０２を再度首尾よく認証できる場合に、認証機能２０４は、暗号化、デジタル署名など、任意の所望の暗号化サービスにも使用することができる第２の暗号鍵３１０（以下において、第２の鍵３１０、又は派生鍵３１０とも呼ばれる）を生成することができる。認証機能２０４は、第２の暗号鍵３１０を第１の暗号鍵２１２から導出することによって生成することができる。第１の暗号鍵２１２からの第２の暗号鍵３１０の導出は、一般に、任意の所望の方法で実施することができる。第２の暗号鍵３１０はまた、対称鍵でも非対称鍵でもよい。一例として、第２の暗号鍵３１０は、認証機能２０４によって生成された一対の非対称鍵の秘密鍵とすることができる。様々な実施形態において、第２の暗号鍵３１０は秘密対称鍵とすることができる。認証機能２０４は、第２の暗号鍵３１０をモビリティ管理機能１０８に供給することができ、その結果、モビリティ管理機能１０８は、第２の暗号鍵３１０を所有することになる。モビリティ管理機能１０８は、第２の暗号鍵３１０を記憶することができる。

次いで、図３に示すように、モビリティ管理機能１０８は、第２の暗号鍵３１０を含むことができるＰＤＮ接続要求メッセージ３１２を生成し、ＰＤＮ接続要求メッセージ３１２を、所望の選択された専用の第１の制御プレーン回路１１４へ、より詳細には、専用の第１の制御プレーン回路１１４によって提供され実装された、所望の選択された独立の第１のセッション管理機能１１０へ送信することができる。その結果、第１のセッション管理機能１１０は、第２の暗号鍵３１０を所有することになり、それを専用の第１の制御プレーン回路１１４のメモリに記憶することができる。次に、第１のセッション管理機能１１０又は別の適切なエンティティは、第２のセキュリティモードコマンドメッセージ３１４を生成し、それを端末デバイス１０２に送信し、それぞれに生成された第２の暗号鍵３１０を使用して、認証された通信端末１０２との間で非アクセス層接続４０２（図４を参照）を確立することができる。言い換えれば、第２のセキュリティモードコマンドメッセージ３１４は、（首尾よく認証された）端末デバイス１０２と専用の第１の制御プレーン回路１１４、より詳細には、その中の第１のセッション管理機能１１０との間に、第２の暗号による安全なＮＡＳ接続４０２（図４を参照）を確立する。第１のセッション管理機能１１０は、第２の暗号鍵３１０を使用して、第２の暗号による安全なＮＡＳ接続４０２を保証するのに使用される暗号化サービスを提供する。

図４は、第３のプロセス状態４００における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す。

図４に示すように、次に、端末デバイス１０２とコアネットワークの異なるエンティティの間に、独立の２つの、暗号による安全なＮＡＳ接続、すなわち、端末デバイス１０２とモビリティ管理機能１０８の間の第１の暗号による安全なＮＡＳ接続３０２、及び、端末デバイス１０２と第１のセッション管理機能１１０（これはモビリティ管理機能１０８とは別のものである）の間の第２の暗号による安全なＮＡＳ接続４０２が提供される。これにより、それぞれ独立したセッション管理機能によって提供される、それぞれ所望の通信セッションの特性を考慮することができる暗号による安全なＮＡＳ接続を実装することが可能となる。これにより、通信セッションの暗号による安全なＮＡＳ接続は、モビリティ管理機能のＮＡＳ接続の特性と比較して、通信セッションのそれぞれの要求又は通信セッションの特定の特性に適合することができる。この第３の状態において、１つの暗号による安全なＮＡＳ接続のみが、セッション管理機能、すなわち第１のセッション管理機能１１０に提供されるということに留意されたい。専用の第２の制御プレーン回路１１６の、第２のセッション管理機能１１２に対して確立されたＮＡＳ接続は今のところない。

図５は、第４のプロセス状態５００における様々な実施形態による、図１のモバイル無線通信ネットワークの一部を示す。

端末デバイス１０２と、専用の第２の制御プレーン回路１１６によって提供され及び実装された第２のセッション管理機能１１２との間においても、暗号による安全なＮＡＳ接続を確立するために、第２のセッション管理機能１１２によって提供された所望の通信セッションの特定のパラメータを使用して、図３を参照して上述したプロセスと同種の類似のプロセスを実施することができる。この場合、第１の暗号鍵２１２から導出することもできる第３の暗号鍵は、認証機能２０４によって生成することができ、たとえば、モビリティ管理機能１０８を経由して第２のセッション管理機能１１２に提供することができるということを理解されたい。このプロセスを実施後に、（首尾よく認証された）端末デバイス１０２と、専用の第２の制御プレーン回路１１６、より詳細には、その中の第２のセッション管理機能１１２との間の、第３の暗号による安全なＮＡＳ接続５０２（図５を参照）が確立される。第２のセッション管理機能１１２は、第３の暗号鍵を使用して第３の暗号による安全なＮＡＳ接続５０２を保証するのに使用される暗号化サービスを提供する。

端末デバイス１０２と各個別のセッション管理機能の間において、独立した暗号による安全なＮＡＳ接続中のそれぞれの個々の接続を確立することが望ましいので、プロセスは、同数の通信セッション、したがって同数の専用制御プレーン回路、そして、その回路内に提供されたセッション管理機能に対して、図３を参照して説明したように類似の方法で繰り返すことができる。

確立されたＮＡＳ接続３０２、４０２、及び５０２はまた図１に示されている。ここではオプションは符号で表され、ＮＡＳ接続３０２、４０２、及び５０２はすべて、モビリティ管理機能１０８を経由してルーティングされている。言い換えれば、モビリティ管理機能１０８は、それぞれのセッション管理機能へのセッション管理のＮＡＳメッセージのルートを定めるように構成されたＮＡＳルーティング機能を提供することができる。代替として、第２及び第３の暗号による安全なＮＡＳ接続４０２及び５０２は、端末デバイス１０２並びに、それぞれ第１のセッション管理機能１１０及び第２のセッション管理機能１１２によって、直接確立することができる。

図６は、様々な実施形態による、ＮＡＳ接続を確立するための第１の例を示す第１のメッセージ流れ図６００を示す。

図６に示すように、端末デバイス１０２は、アタッチ要求メッセージ６０２を生成し、それを基地局（たとえば、ｅＮＢ）１０４に送信することができる。基地局（たとえば、ｅＮＢ）１０４は、アタッチ要求メッセージ６０２を、共通制御プレーン回路２０２によって提供され、実装されたモビリティ管理機能１０８に転送することができる。モビリティ管理機能１０８がアタッチ要求メッセージ６０２を受信後に、識別要求／応答プロセス６０４が、端末デバイス１０２とモビリティ管理機能１０８の間で実施される。さらに、モビリティ管理機能１０８は、サブスクリプション要求メッセージ６０６を生成し、それをユーザデータ管理（ＵＤＭ）回路／ホーム加入者サーバ（ＨＳＳ）１２２に送信することができる。これらはメッセージに応答して、サブスクリプション応答メッセージ６０８を生成し、それをモビリティ管理機能１０８に返信することができる。次いで、モビリティ管理機能１０８は、認証要求６１０を生成し、それを認証機能２０４に供給することができる。認証機能２０４は、認証プロセスを実施し、たとえば、端末デバイス１０２に送信することができるＮＡＳ認証要求メッセージ６１２を生成することによって、端末デバイス１０２を認証することができる。認証機能１０８に対して端末デバイス１０２自体を認証するために、端末デバイス１０２は、ＮＡＳ認証要求メッセージ６１２に応答して、ＮＡＳ認証応答メッセージ６１４を生成し、それを認証機能２０４に返信することができる。端末デバイス１０２を首尾よく認証できた場合には、認証機能１０８は認証承認メッセージ６１６を生成し、それをモビリティ管理機能１０８に供給することができる。認証承認メッセージ６１６は、上でおおまかに説明したように、第１の暗号鍵を含むことができる。言い換えれば、このプロセス段階では、両方のエンティティ、すなわち、端末デバイス１０２及びモビリティ管理機能１０８は、暗号による安全な第１のＮＡＳ接続６２２を確立するために使用することができる、第１の暗号鍵を所有する。モビリティ管理機能１０８は、第１の暗号鍵を使用して、ＮＡＳセキュリティモードコマンドメッセージ６１８を生成することができる。次いで、モビリティ管理機能１０８は、ＮＡＳセキュリティモードコマンドメッセージ６１８を端末デバイス１０２に送信することができる。暗号による安全な第１のＮＡＳ接続６２２を確立するために、端末デバイス１０２は、ＮＡＳセキュリティモードコマンド応答メッセージ６２０を生成し、それをモビリティ管理機能１０８に送信することができる。モビリティ管理機能１０８が、ＮＡＳセキュリティモードコマンド応答メッセージ６２０を受信するとすぐに、暗号など関連した暗号化サービス用の第１の暗号鍵を使用した暗号による安全な第１のＮＡＳ接続６２２が確立される。

次に、端末デバイス１０２は、ＰＤＮ接続要求メッセージ６２４を生成し、それをモビリティ管理機能１０８に送信することができる。ＰＤＮ接続要求メッセージ６２４を受信すると、モビリティ管理機能１０８は、セッション管理機能選択プロセス６２６を実施し、１つ又は複数のセッション管理機能、並びに、受信したＰＤＮ接続要求メッセージ６２４に従った関連する通信セッション、及び／又は、通信サービスを選択することができる。たとえば、第１のセッション管理機能１１０を選択した後で、モビリティ管理機能１０８は、第１のセッション管理機能１１０を識別する情報を含むことができる認証要求メッセージ６２８を生成し、その認証要求メッセージ６２８を認証機能２０４に供給することができる。認証要求メッセージ６２８を受信した後で、認証機能２０４は、さらに認識プロセスを任意選択で実施し、第１のセッション管理機能１１０と関連付けられた、選択された通信セッション又は通信サービスに特有の認証パラメータを任意選択で使用して、端末デバイス１０２を再度認証することができる。この任意選択的なプロセスは、たとえば、スライス（ｓｌｉｃｅ）認証及びセッション管理ＮＡＳコンテキストセットアップ要求メッセージ６３０を生成し、それらを端末デバイス１０２に送信する、認証機能２０４によって実施することができる。セッション管理ＮＡＳコンテキストセットアップ要求メッセージ６３０を用いて生成されたセッション管理ＮＡＳコンテキストは、６３２においてＨＳＳ１２２によって特定のスライスに結び付けることができる。認証機能２０４は、第１の暗号鍵から第２の暗号鍵を導出することができ、この第２の暗号鍵は、選択された第１のセッション管理機能１１０と関連付けられており、又は、第１のセッション管理機能１１０に割り当てられている。さらに、認証機能２０４は、認証承認メッセージ６３４を生成することができ、このメッセージは、選択された第１のセッション管理機能１１０、及び、関連した第２の暗号鍵、たとえば第２の暗号鍵自体、又は第２の暗号鍵が記憶されるメモリのロケーションに対するポインタについての情報を含むことができる。さらに、認証機能２０４は、認証承認メッセージ６３４をモビリティ管理機能１０８に供給することができる。認証承認メッセージ６３４及びそれとともに第２の暗号鍵を受信すると、モビリティ管理機能１０８は、ＰＤＮ接続要求メッセージ６３６を生成し、それを第１のセッション管理機能１１０に送信することができる。ＰＤＮ接続要求メッセージ６３６は、ＵＥ（ユーザ装置）ＳＭ（セッション管理）サブスクリプション情報及び第２の暗号鍵を含むことができる。ＰＤＮ接続要求メッセージ６３６を受信すると、第１のセッション管理機能１１０は、第２の暗号鍵を使用してＮＡＳセキュリティモードコマンドメッセージ６３８を生成し、それをモビリティ管理機能１０８に送信することができる。モビリティ管理機能１０８は、ＮＡＳセキュリティモードコマンドメッセージ６３８を端末デバイス１０２に転送することができる。ＮＡＳセキュリティモードコマンドメッセージを受信すると、端末デバイス１０２は次に、ＮＡＳセキュリティモードコマンド応答メッセージ６４０を生成し、それをモビリティ管理機能１０８に送信することによって、第２のＮＡＳ接続６４２を確立することができる。モビリティ管理機能１０８はこの場合も、このメッセージ６４０を第１のセッション管理機能１１０に転送することができる。第１のセッション管理機能１１０は次いで、ＰＤＮ接続応答メッセージ６４４を生成し、それをモビリティ管理機能１０８に送信することができる。モビリティ管理機能１０８はさらに、ＰＤＮ接続応答メッセージ６４４を端末デバイス１０２に転送することができる。端末デバイス１０２と第２のセッション管理機能１１２の間の図６の矢印６４６によって表されているように、端末デバイス１０２と第２のセッション管理機能１１２の間で、第３の暗号による安全なＮＡＳ接続を確立するために、図６の点線６４８で囲まれたプロセスが、第２のセッション管理機能１１２と関連付けられた通信セッション、又は通信サービスのために、同様な方法で繰り返し実施することができる。

本例において、セッション管理機能ＮＡＳ認証は、それぞれのＰＤＮ接続要求メッセージが、それぞれのセッション管理機能、たとえば第１のセッション管理機能１１０に転送される前に実施することができるということに留意されたい。

図７は、様々な実施形態による、ＮＡＳ接続を確立するための第２の例を示す第２のメッセージ流れ図７００を示す。

図７に示すように、端末デバイス１０２は、アタッチ要求メッセージ６０２を生成し、それを基地局（たとえば、ｅＮＢ）１０４に送信することができる。基地局（たとえば、ｅＮＢ）１０４は、アタッチ要求メッセージ６０２を、共通制御プレーン回路２０２によって提供され、実装されたモビリティ管理機能１０８に転送することができる。モビリティ管理機能１０８がアタッチ要求メッセージ６０２を受信後に、識別要求／応答プロセス６０４が、端末デバイス１０２とモビリティ管理機能１０８の間で実施される。さらに、モビリティ管理機能１０８は、サブスクリプション要求メッセージ６０６を生成し、それをユーザデータ管理（ＵＤＭ）回路／ホーム加入者サーバ（ＨＳＳ）１２２に送信することができる。これらはメッセージに応答して、サブスクリプション応答メッセージ６０８を生成し、それをモビリティ管理機能１０８に返信することができる。次いで、モビリティ管理機能１０８は、認証要求６１０を生成し、それを認証機能２０４に供給することができる。認証機能２０４は、認証プロセスを実施し、たとえば、端末デバイス１０２に送信することができるＮＡＳ認証要求メッセージ６１２を生成することによって、端末デバイス１０２を認証することができる。認証機能１０８に対して端末デバイス１０２自体を認証するために、端末デバイス１０２は、ＮＡＳ認証要求メッセージ６１２に応答して、ＮＡＳ認証応答メッセージ６１４を生成し、それを認証機能２０４に返信することができる。端末デバイス１０２を首尾よく認証できた場合には、認証機能１０８は認証承認メッセージ６１６を生成し、それをモビリティ管理機能１０８に供給することができる。認証承認メッセージ６１６は、上でおおまかに説明したように、第１の暗号鍵を含むことができる。言い換えれば、このプロセス段階では、両方のエンティティ、すなわち、端末デバイス１０２及びモビリティ管理機能１０８は、次いで暗号による安全な第１のＮＡＳ接続６２２を確立するために使用することができる、第１の暗号鍵を所有する。モビリティ管理機能１０８は、第１の暗号鍵を使用して、ＮＡＳセキュリティモードコマンドメッセージ６１８を生成することができる。次いで、モビリティ管理機能１０８は、ＮＡＳセキュリティモードコマンドメッセージ６１８を端末デバイス１０２に送信することができる。これにより、端末デバイス１０２も第１の暗号鍵を所有することができる。暗号による安全な第１のＮＡＳ接続６２２を確立するために、端末デバイス１０２は、ＮＡＳセキュリティモードコマンド応答メッセージ６２０を生成し、それをモビリティ管理機能１０８に送信することができる。モビリティ管理機能１０８が、ＮＡＳセキュリティモードコマンド応答メッセージ６２０を受信するとすぐに、暗号など関連した暗号化サービス用の第１の暗号鍵を使用した暗号による安全な第１のＮＡＳ接続６２２が確立される。

次に、端末デバイス１０２は、ＰＤＮ接続要求メッセージ６２４を生成し、それをモビリティ管理機能１０８に送信することができる。ＰＤＮ接続要求メッセージ６２４を受信すると、モビリティ管理機能１０８は、セッション管理機能選択プロセス６２６を実施し、１つ又は複数のセッション管理機能、並びに、受信したＰＤＮ接続要求メッセージ６２４に従った関連する通信セッション、及び／又は、通信サービスを選択することができる。たとえば、第１のセッション管理機能１１０を選択した後で、モビリティ管理機能１０８は、ＵＥ（ユーザ装置）ＳＭ（セッション管理）サブスクリプション情報を含むことができるＰＤＮ接続要求メッセージ７０２を生成し、それを第１のセッション管理機能１１０に送信することができる。ＰＤＮ接続要求メッセージ７０２を受信すると、第１のセッション管理機能１１０は、第１のセッション管理機能１１０と関連付けられた通信サービス又は通信セッションについての情報、たとえば第１のセッション管理機能１１０を識別する情報を含む認証要求メッセージ７０４を生成し、それを認証機能２０４に送信することができる。認証要求メッセージ７０４を受信した後で、認証機能２０４は、さらに認識プロセスを任意選択で実施し、第１のセッション管理機能１１０と関連付けられた、選択された通信セッション又は通信サービスに特有の認証パラメータを任意選択で使用して、端末デバイス１０２を再度認証することができる。この任意選択的なプロセスは、たとえば、スライス（ｓｌｉｃｅ）認証及びセッション管理ＮＡＳコンテキストセットアップ要求メッセージ７０６を生成し、それらを端末デバイス１０２に送信する、認証機能２０４によって実施することができる。セッション管理ＮＡＳコンテキストセットアップ要求メッセージ７０６を用いて生成されたセッション管理ＮＡＳコンテキストは、７０８においてＨＳＳ１２２によって特定のスライスに結び付けることができる。認証機能２０４は、第１の暗号鍵から第２の暗号鍵を導出することができ、この第２の暗号鍵は、選択された第１のセッション管理機能１１０と関連付けられており、又は、第１のセッション管理機能１１０に割り当てられている。さらに、認証機能２０４は、認証承認メッセージ７１０を生成することができ、このメッセージは、選択された第１のセッション管理機能１１０、及び、関連した第２の暗号鍵、たとえば第２の暗号鍵自体、又は第２の暗号鍵が記憶されるメモリのロケーションに対するポインタについての情報を含むことができる。さらに、認証機能２０４は、認証承認メッセージ７１０を第１のセッション管理機能１１０に送信することができる。認証承認メッセージ７１０及びそれとともに第２の暗号鍵を受信すると、第１のセッション管理機能１１０は、第２の暗号鍵を使用してＮＡＳセキュリティモードコマンドメッセージ７１２を生成し、それをモビリティ管理機能１０８に送信することができる。モビリティ管理機能１０８は、ＮＡＳセキュリティモードコマンドメッセージ７１２を端末デバイス１０２に転送することができる。ＮＡＳセキュリティモードコマンドメッセージ７１２を受信すると、端末デバイス１０２は次に、ＮＡＳセキュリティモードコマンド応答メッセージ７１４を生成し、それをモビリティ管理機能１０８に送信することによって、第２のＮＡＳ接続７１６を確立することができる。モビリティ管理機能１０８はこの場合も、このメッセージ７１４を第１のセッション管理機能１１０に転送することができる。第１のセッション管理機能１１０は次いで、ＰＤＮ接続応答メッセージ７１８を生成し、それをモビリティ管理機能１０８に送信することができる。モビリティ管理機能１０８はさらに、ＰＤＮ接続応答メッセージ７１８を端末デバイス１０２に転送することができる。

端末デバイス１０２と第２のセッション管理機能１１２の間の矢印７２０により図７において表されているように、端末デバイス１０２と第２のセッション管理機能１１２の間で、第３の暗号による安全なＮＡＳ接続を確立するために、図７の点線７２２で囲まれたプロセスが、第２のセッション管理機能１１２と関連付けられた通信セッション、又は通信サービスのために、同様な方法で繰り返し実施することができる。

本実施例において、それぞれのＰＤＮ接続要求メッセージは、セッション管理ＮＡＳ認証プロセスが実施される前に、それぞれのセッション管理機能、たとえば第１のセッション管理機能１１０に転送されるということに留意されたい。

この説明に照らして、スライスは、場合によってはアクセスネットワーク及びコアネットワークを含む、完全な論理ネットワーク（電気通信サービス及びネットワーク機能を提供する）を含むと理解することができる。たとえばＵＥといった端末デバイスは、１つの無線アクセスネットワークを介して、複数のスライスに同時にアクセスすることができる。こうした場合において、これらのスライスは、いくつかの制御プレーン機能、たとえばモビリティ管理機能を共有することができる。たとえばＵＥといった端末デバイスに対してサービスを提供する、通信ネットワークスライスインスタンス（複数可）のコアネットワーク部分は、コアネットワークによって選択することができる。

様々な実施形態において、ＭＭ機能及びＳＭ機能が分離されているとき、すなわち、各ＮＡＳ終端点に異なる暗号ＮＡＳ鍵を割り当てるとき、ＮＡＳセキュリティ通信を設定するための機構が用意されている。

たとえばＵＥといった端末デバイスは、それぞれのＳＭ機能に対して、通信するための異なる暗号ＮＡＳ鍵及びマップを保持することができる。

異なるネットワーク機能における異なるＮＡＳ終端、すなわち、ＭＭ機能におけるＮＧ１ ＮＡＳ終端及びＳＭ機能におけるＳＭ ＮＡＳ終端が、様々な実施形態において提供されうる。

様々な実施形態は、ＭＭ ＮＡＳ鍵によって暗号化されたＭＭ ＮＡＳメッセージを使用して、ＳＭ ＮＡＳ鍵によって暗号化されたＳＭ ＮＡＳメッセージをカプセル化することができる。

様々な実施形態は、ＳＭに特有な認証及びＮＡＳ確立が、通信ネットワークに企業に特有なセキュリティモデル、たとえば通信サービスビジネスモデルとしての認証を可能とするようにする効果をもたらすことができる。

本発明を特定の実施形態を参照して詳細に示し説明してきたが、当業者においては、形状及び細部における様々な変更が、添付の特許請求の範囲によって定義された本発明の趣旨及び範囲を逸脱することなく実施可能であることを理解されたい。本発明の範囲はしたがって、添付の特許請求の範囲によって示され、特許請求の範囲と同等のものの意義及び範囲内のあらゆる変更は、したがって、包含されるものとする。

Claims (14)

1. モビリティ管理機能及び認証機能を提供するように構成された共通制御プレーン回路と、
   各々がそれぞれのセッション管理機能を提供するように構成された、１つ又は複数の専用制御プレーン回路と
   を備える通信ネットワークであって、
   前記認証機能が、通信端末を認証し、前記通信端末用の第１の鍵を生成するように構成されており、
   前記モビリティ管理機能が、前記通信端末によって送信された第１の要求メッセージに応答して、生成された前記第１の鍵を使用して、認証された前記通信端末との間で暗号による安全な非アクセス層接続を提供するように構成されており、
   前記モビリティ管理機能が、前記通信端末によって送信された第２の要求メッセージに応答して、少なくとも１つのセッション管理機能を選択するようにさらに構成されており、
   前記モビリティ管理機能が、前記認証機能に要求して、前記通信端末を認証し、前記第２の要求メッセージを各選択されたセッション管理機能に転送する前に、各選択されたセッション管理機能用のそれぞれの第２の鍵を生成するようにさらに構成されており、
   前記モビリティ管理機能が、前記それぞれの第２の鍵とともに前記第２の要求メッセージを、各選択されたセッション管理機能に転送するようにさらに構成されており、
   各セッション管理機能が、前記それぞれの第２の鍵を使用して、認証された前記通信端末との間で非アクセス層接続を提供するように構成されている、通信ネットワーク。
2. 前記第１の要求メッセージが、アタッチ要求メッセージである、請求項１に記載の通信ネットワーク。
3. 前記第２の要求メッセージが、パケットデータネットワーク接続要求メッセージである、請求項１又は２に記載の通信ネットワーク。
4. モビリティ管理機能及び認証機能を提供するように構成された共通制御プレーン回路と、
   各々がそれぞれのセッション管理機能を提供するように構成された、１つ又は複数の専用制御プレーン回路と、
   を備える通信ネットワークであって、
   前記認証機能が、通信端末を認証し、前記通信端末用の第１の鍵を生成するように構成されており、
   前記モビリティ管理機能が、前記通信端末によって送信された第１の要求メッセージに応答して、生成された前記第１の鍵を使用して、認証された前記通信端末との間で暗号による安全な非アクセス層接続を提供するように構成されており、
   前記モビリティ管理機能が、前記通信端末によって送信された第２の要求メッセージに応答して、少なくとも１つのセッション管理機能を選択するようにさらに構成されており、
   前記モビリティ管理機能が、前記第２の要求メッセージを選択された前記セッション管理機能に転送する前に、前記認証機能に要求して、それぞれの第２の鍵を前記第１の鍵から各選択されたセッション管理機能用に導出し、前記それぞれの第２の鍵及び前記第２の要求メッセージを、各選択されたセッション管理機能に転送するように構成されており、
   各セッション管理機能が、前記それぞれの第２の鍵を使用して、認証された前記通信端末との間で非アクセス層接続を提供するように構成されている、通信ネットワーク。
5. 前記第１の要求メッセージが、アタッチ要求メッセージである、請求項４に記載の通信ネットワーク。
6. 前記第２の要求メッセージが、パケットデータネットワーク接続要求メッセージである、請求項４又は５に記載の通信ネットワーク。
7. 前記認証機能によって生成された、前記第１の鍵、及び／又は、１つ若しくは複数の前記それぞれの第２の鍵を記憶するように構成されたホーム加入者サーバをさらに備える、請求項１〜２，４〜５のいずれか一項に記載の通信ネットワーク。
8. 通信ネットワークにおいて、通信端末用の１つ又は複数の暗号による安全な非アクセス層接続を確立するための方法であって、
   認証機能により、前記通信端末を認証し、前記通信端末用の第１の鍵を生成するステップと、
   モビリティ管理機能により、前記通信端末によって送信された第１の要求メッセージに応答して、生成された前記第１の鍵を使用して、認証された前記通信端末との間で暗号による安全な非アクセス層接続を確立するステップと、
   前記モビリティ管理機能により、前記通信端末によって送信された第２の要求メッセージに応答して、少なくとも１つのセッション管理機能を選択するステップと、
   前記モビリティ管理機能により、前記認証機能に要求して、前記通信端末を認証し、前記第２の要求メッセージを各選択されたセッション管理機能に転送する前に、各選択されたセッション管理機能用のそれぞれの第２の鍵を生成するステップと、
   前記モビリティ管理機能により、前記第２の要求メッセージ及び前記それぞれの第２の鍵を、各選択されたセッション管理機能に転送するステップと、
   各セッション管理機能が、前記それぞれの第２の鍵を使用して、認証された前記通信端末との間で非アクセス層接続を確立するステップと
   を含む、方法。
9. 前記第１の要求メッセージが、アタッチ要求メッセージである、請求項８に記載の方法。
10. 前記第２の要求メッセージが、パケットデータネットワーク接続要求メッセージである、請求項８又は９に記載の方法。
11. 通信ネットワークにおいて、通信端末用の１つ又は複数の暗号による安全な非アクセス層接続を確立するための方法であって、
    認証機能により、前記通信端末を認証し、前記通信端末用の第１の鍵を生成するステップと、
    モビリティ管理機能により、前記通信端末によって送信された第１の要求メッセージに応答して、生成された前記第１の鍵を使用して、認証された前記通信端末との間で暗号による安全な非アクセス層接続を確立するステップと、
    前記モビリティ管理機能により、前記通信端末によって送信された第２の要求メッセージに応答して、少なくとも１つのセッション管理機能を選択するステップと、
    前記モビリティ管理機能により、前記第２の要求メッセージを選択された前記セッション管理機能に転送する前に、前記認証機能に要求して、それぞれの第２の鍵を前記第１の鍵から各選択されたセッション管理機能用に導出し、前記それぞれの第２の鍵及び前記第２の要求メッセージを、各選択されたセッション管理機能に転送するステップと、
    を含み、
    各セッション管理機能が、前記それぞれの第２の鍵を使用して、認証された前記通信端末との間で非アクセス層接続を提供するように構成されている、方法。
12. 前記第１の要求メッセージが、アタッチ要求メッセージである、請求項１１に記載の方法。
13. 前記第２の要求メッセージが、パケットデータネットワーク接続要求メッセージである、請求項１１又は１２に記載の方法。
14. ホーム加入者サーバにおいて、前記認証機能によって生成された前記第１の鍵、及び／又は、１つ若しくは複数の前記それぞれの第２の鍵を記憶するステップをさらに含む、請求項８〜９，１１〜１２のいずれか一項に記載の方法。