JP2023520387A - 通信方法、装置およびシステム - Google Patents

Abstract

ネットワーク側情報が端末デバイス上で構成されない場合に自動オンボーディングを実装するために、通信方法、装置およびシステムが提供される。方法は、端末デバイスが、１つまたは複数のネットワークの識別情報を含む補助認証情報を取得し、第１の一時認証情報と、１つまたは複数のネットワークのいずれか１つである第１のネットワークの識別情報とに基づいて、第１のネットワークのアクセス情報を決定し、第１のネットワークのアクセス情報に基づいて、第１のネットワークとの相互一時認証をトリガし、相互一時認証が成功した場合、第１のネットワークから第１のネットワークの構成情報を受信することを含む。端末デバイスは、第１のネットワークのアクセス情報に基づいて、第１のネットワークとの相互一時認証をトリガし得る。相互一時認証が成功した後に、端末デバイスは、構成情報を取得して、構成情報に基づき第１のネットワークにアクセスし得る。このようにして、端末デバイスは、ネットワーク側情報が端末デバイス上で構成されない場合に第１のネットワークのサブスクリプション情報をセキュアに取得できる。

Description

本願は、通信技術分野に関し、特に、通信方法、装置およびシステムに関する。

スタンドアロンノンパブリックネットワーク（ｓｔａｎｄａｌｏｎｅ ｎｏｎ－ｐｕｂｌｉｃ ｎｅｔｗｏｒｋ、ＳＮＰＮ）は、公衆陸上移動体ネットワーク（ｐｕｂｌｉｃ ｌａｎｄ ｍｏｂｉｌｅ ｎｅｔｗｏｒｋ、ＰＬＭＮ）に依存することなくネットワーク機能を提供するノンパブリックネットワークである。端末デバイスは、第３世代パートナーシッププロジェクト（３ｒｄ ｇｅｎｅｒａｔｉｏｎ ｐａｒｔｎｅｒｓｈｉｐ ｐｒｏｊｅｃｔ、３ＧＰＰ（登録商標））技術を用いることによりＳＮＰＮにアクセスし得る。ＰＬＭＮにおいて、端末デバイスは、オンボーディング後にのみ、ＰＬＭＮにアクセスできる。現在、ユーザは通常、端末デバイスのオンボーディングのためにモバイルサービスセンタに行っている。販売支援員は、端末デバイスの関連情報をネットワーク側にインポートする必要があり、ユーザのための加入者識別モジュール（ｓｕｂｓｃｒｉｂｅｒ ｉｄｅｎｔｉｔｙ ｍｏｄｕｌｅ、ＳＩＭ）カードを提供する。ＳＩＭカードは、端末デバイスにより選択されるネットワークについての情報を格納している。ユーザがＳＩＭカードを端末デバイスに挿入した後に、端末デバイスは、ＳＩＭカードに格納された情報に基づいて、対応するネットワークを選択し、このネットワークにアクセスし得る。しかしながら、この方式は、非効率であり、手動での介入を必要とし、十分に自動的ではない。

加えて、ＳＮＰＮシナリオでは、多数の端末デバイスが小さいモノのインターネット端末デバイスであってよい。これらの端末デバイスは、表示画面を有しておらず、数が多い。ＰＬＭＮにおいて既存のオンボーディング方式が依然として用いられている場合、オンボーディング効率が低く、オペレーションおよびメンテナンススタッフの協働が必要とされる。この場合、ＳＮＰＮサブスクリプションデータを有しないこれらの端末デバイスに対してオンボーディングをどのようにセキュアに実行するかは、現在早急に解決する必要がある技術課題である。

本願は、ネットワーク側情報が端末デバイス上で構成されない場合に自動オンボーディングを実装するために、通信方法、装置およびシステムを提供する。

第１の態様によれば、本願は、通信方法を提供する。この方法は、補助認証情報を取得する段階と、第１の一時認証情報と、第１のネットワークの識別情報とに基づいて第１のネットワークのアクセス情報を決定する段階と、第１のネットワークのアクセス情報に基づいて第１のネットワークとの相互一時認証をトリガする段階であって、補助認証情報は、１つまたは複数のネットワークの識別情報を含み、第１のネットワークは、１つまたは複数のネットワークのいずれか１つである、トリガする段階と、相互一時認証が成功した場合、第１のネットワークから第１のネットワークの構成情報を受信する段階とを含み得る。

この方法は、端末装置により実行され得る。端末装置は、端末デバイス、またはモジュール、例えば、端末デバイス内のチップであってよい。

前述の解決手段に基づいて、端末装置は、取得した補助認証情報と、第１の一時認証情報とに基づいて第１のネットワークのアクセス情報を決定して、第１のネットワークのアクセス情報に基づき第１のネットワークとの相互一時認証をトリガし得る。端末装置と第１のネットワークとの間の相互一時認証が成功した後に、端末装置は、第１のネットワークにアクセスするための構成情報を第１のネットワークから取得し得る。その結果、端末装置は、構成情報に基づいて、第１のネットワークにアクセスできる。このようにして、端末装置は、ネットワーク側情報が端末装置上で構成されなかった場合、第１のネットワークのサブスクリプション情報をセキュアに取得できる。

さらに、第１のネットワークの構成情報は、ネットワーク選択サブスクリプション情報を含み、ネットワーク選択サブスクリプション情報は、端末装置により、第１のネットワークにアクセスすることを選ぶために用いられる。

端末装置は、第１のネットワークの取得したネットワーク選択サブスクリプション情報を用いることにより、第１のネットワークに自動的にアクセスでき、手動オンボーディングが必要とされないことにより、オンボーディング効率の向上に役立つ。

可能な実装において、ネットワーク選択サブスクリプション情報は、サブスクリプション永続識別子（ｓｕｂｓｃｒｉｐｔｉｏｎ ｐｅｒｍａｎｅｎｔ ｉｄｅｎｔｉｆｉｅｒ、ＳＵＰＩ）、公衆陸上移動体ネットワーク識別子（ｐｕｂｌｉｃ ｌａｎｄ ｍｏｂｉｌｅ ｎｅｔｗｏｒｋ ｉｄｅｎｔｉｆｉｅｒ、ＰＬＭＮ ＩＤ）、ネットワーク識別子（ｎｅｔｗｏｒｋ ｉｄｅｎｔｉｆｉｅｒ、ＮＩＤ）、ルーティングインジケータ（ルーティングＩＤ）、単一ネットワークスライス選択支援情報（ｓｉｎｇｌｅ ｎｅｔｗｏｒｋ ｓｌｉｃｅ ｓｅｌｅｃｔｉｏｎ ａｓｓｉｓｔａｎｃｅ ｉｎｆｏｒｍａｔｉｏｎ、ＮＳＳＡＩ）およびデータネットワーク名（ｄａｔａ ｎｅｔｗｏｒｋ ｎａｍｅ、ＤＮＮ） のうちの１つまたは複数を含む。

可能な実装において、第１のネットワークの構成情報は、長期認証資格情報をさらに含み、長期認証資格情報は、第１のネットワークにより第１のネットワークへのアクセスを端末装置に許可するために用いられる資格情報であってよい。

相互一時認証が成功した場合、端末装置は、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報を決定し、データネットワークの識別情報をセッション管理機能ネットワークエレメントへ送信し、ユーザプレーントンネルを通じて、オンラインサブスクリプションサーバから長期認証資格情報を取得する。

任意選択的に、補助認証情報は、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報をさらに含む。端末装置は、補助認証情報からデータネットワークの識別情報を取得する。

可能な実装において、第１のネットワークのアクセス情報は、第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、第３の一時認証資格情報の識別子および第１のネットワークの識別情報、第３の一時認証資格情報の識別子、およびアクセス情報が一時認証のために用いられることを示す、第１のネットワークのアクセス情報のタイプ、第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、第１のネットワークの識別情報およびアクセス情報のタイプ、第３の一時認証資格情報の識別子、第１のネットワークの識別情報ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、アクセス情報のタイプならびに認証、許可および課金機能ネットワークエレメントの識別情報、または、第３の一時認証資格情報の識別子、第１のネットワークの識別情報、認証、許可および課金機能ネットワークエレメントの識別情報ならびに第１のネットワークのアクセス情報のタイプのいずれか１つを含み得る。

第１のネットワークのアクセス情報が第１のネットワークのアクセス情報のタイプを含む場合、第３の一時認証資格情報の識別子が端末装置の製造者により予め構成されているので、この識別子は、第１のネットワークに格納されているＳＵＰＩ（第１のネットワークにより割り当てられる）で複製されてよく、特定のタイプのアクセス情報を導入することにより、複製ユーザアイデンティティに起因して不正確なＩＤが見つかるという問題を回避できる。

第１のネットワークの識別情報は、ＰＬＭＮ ＩＤを含む。認証、許可および課金機能ネットワークエレメントの識別情報は、ルーティングインジケータ（ルーティングＩＤ）を含む。第１の一時認証資格情報の識別子は、永久機器識別子（ｐｅｒｍａｎｅｎｔ ｅｑｕｉｐｍｅｎｔ ｉｄｅｎｔｉｆｉｅｒ、ＰＥＩ）または国際移動体機器識別（ｉｎｔｅｒｎａｔｉｏｎａｌ ｍｏｂｉｌｅ ｅｑｕｉｐｍｅｎｔ ｉｄｅｎｔｉｔｙ、ＩＭＥＩ）を含む。

可能な実装において、端末装置は、認証アンカーを通じて第１のネットワークのアクセス情報を認証、許可および課金機能ネットワークエレメントへ送信し、認証アンカーから認証要求メッセージを受信する。認証要求メッセージは、第１の検証情報を含む。端末装置は、第１の一時認証情報に基づいて、第１の検証情報に対して一時認証を実行する。

さらに、第１の検証情報は、第１のメッセージ認証コードを含む。端末装置は、第１の一時認証情報に基づいて第２の一時対称鍵を取得し、第２の一時対称鍵に基づいて第２のメッセージ認証コードを生成し、第２のメッセージ認証コードに基づいて第１のメッセージ認証コードを検証し得る。

可能な実装において、第１のメッセージ認証コードが第２のメッセージ認証コードと同じである場合、第３のチャレンジ値は、第２の一時対称鍵に基づいて生成される。第３のチャレンジ値は、認証アンカーにより、端末装置に対して一時認証を実行するために用いられる。端末装置は、認証応答メッセージを認証アンカーへ送信する。認証応答メッセージは、第３のチャレンジ値を含む。

可能な実装において、第１の一時認証情報は、端末装置の第１の秘密鍵を含み、第１の検証情報は、認証、許可および課金機能ネットワークエレメントの第２の公開鍵を含む。端末装置は、第１の秘密鍵および第２の公開鍵に基づいて、第２の一時対称鍵を生成する。

可能な実装において、第１の一時認証情報は、第１の一時認証資格情報をさらに含み、第１の一時認証資格情報は、検証パラメータと、端末装置の証明書の秘密鍵とを含み、第１の検証情報は、認証、許可および課金機能ネットワークエレメントの証明書の署名と、第３のメッセージ認証コードとを含む。端末装置は、検証パラメータに基づいて、認証、許可および課金機能ネットワークエレメントの証明書の署名を検証する。認証、許可および課金機能ネットワークエレメントの証明書の署名に対する検証が成功した場合、端末装置は、認証、許可および課金機能ネットワークエレメントの証明書の公開鍵に基づいて、第３のメッセージ認証コードを検証する。

さらに、端末装置は、第３のメッセージ認証コードを正常に検証した場合、端末装置の証明書の秘密鍵に基づいて、第４のメッセージ認証コードを生成する。端末装置は、認証応答メッセージを認証アンカーへ送信する。認証応答メッセージは、第４のメッセージ認証コードおよび第１の証明書を含む。

可能な実装において、相互一時認証は、第５世代認証および鍵共有（５Ｇ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ｋｅｙ ａｇｒｅｅｍｅｎｔ、ＡＫＡ）または拡張可能認証プロトコル（ｅｘｔｅｎｓｉｂｌｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ、ＥＡＰ）認証および鍵共有ＡＫＡ'を含む。

相互一時認証が失敗した場合、端末装置は、第１の一時認証情報と、第２のネットワークの識別情報とに基づいて、第２のネットワークのアクセス情報を決定する。第２のネットワークは、第１のネットワークとは異なる１つまたは複数のネットワークのいずれか１つである。端末装置は、第２のネットワークのアクセス情報に基づいて、第２のネットワークとの相互一時認証をトリガする。

端末装置の補助認証情報は、１つまたは複数のネットワークの識別情報を含み、端末装置は、特定のルールに従って、これらのネットワークのうちの１つまたは複数へのアクセスを試み得る。端末装置は、ネットワークＸの構成情報を取得する前に、補助認証情報に基づいて、ネットワークＸへのアクセスを試み得る。端末装置は、ネットワークＸとの相互一時認証を完了できなかった場合、別のネットワークへのアクセスを試みる。端末装置がネットワークＸとの相互一時認証を完了できた場合、ネットワークＸは、ネットワークＸの構成情報を端末装置へ配信する。その後、端末装置は、ネットワークＸの構成情報に基づいて、ネットワークＸに直接アクセスし得る。

このようにして、端末装置は、正しいネットワークを自動的に選択し、正しいネットワークの構成情報を取得して、オンボーディングを正常に実装できる。

さらに、端末装置は、第１のネットワークからアクセス拒否メッセージを受信してよく、および／または、第１のネットワークの認証に失敗する。アクセス拒否メッセージは、アクセスを拒否するための原因情報を含み得る。

可能な実装において、補助認証情報は、１つまたは複数のネットワークに対応するオンボーディングインジケーション情報をさらに含む。端末装置は、オンボーディングインジケーション情報を含むネットワークから、１つのネットワークを第１のネットワークとして選択する。

第１のネットワークがオンボーディングインジケーション情報を含む補助認証情報から選択され、アクセスされることで、オンボーディング手順をサポートしていないネットワークの選択が回避される。これにより、オンボーディング効率が向上する。

可能な実装において、端末装置は、アクセスネットワークデバイスによりブロードキャストされる補助認証情報を受信する。

オンボーディングが端末装置に対して実行されていない場合、端末装置は、構成情報をローカルに有さず、構成情報に基づいてネットワークを選択してこのネットワークにアクセスすることができない。したがって、端末装置がサブスクリプション情報を有しない場合、ブロードキャスト補助認証情報は、ネットワークアクセスに必要とされるパラメータを端末装置が取得するのに役立ち得る。その結果、端末装置は、ネットワークへのアクセスを試みることができる。

可能な実装において、第３の一時認証資格情報の識別子は、第１の一時認証資格情報の混同値である。

第１の一時認証資格情報の混同値を第３の一時認証資格情報の識別子として決定することは、端末装置のプライバシを保護するのに役立つ。

第２の態様によれば、本願は、通信方法を提供する。この方法は、認証、許可および課金機能ネットワークエレメントが、端末装置から第１のネットワークのアクセス情報を受信する段階と、第１のネットワークのアクセス情報に基づいて、第２の一時認証情報を決定する段階と、第２の一時認証情報に基づいて、端末装置との相互一時認証を実行する段階とを含む。第１のネットワークのアクセス情報は、端末装置により、第１の一時認証情報と、第１のネットワークの識別情報とに基づいて決定される。

前述の解決手段に基づいて、認証、許可および課金機能ネットワークエレメントは、第２の一時認証情報に基づいて、端末装置との相互一時認証を実行する。相互一時認証が成功した場合、端末装置は、第１のネットワークにアクセスするための構成情報を第１のネットワークから取得し得る。その結果、端末装置は、構成情報に基づいて、第１のネットワークにアクセスできる。このようにして、端末装置は、ネットワーク側情報が端末装置上で構成されなかった場合、第１のネットワークのサブスクリプション情報をセキュアに取得できる。

可能な実装において、第１のネットワークのアクセス情報は、第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、第３の一時認証資格情報の識別子および第１のネットワークの識別情報、第３の一時認証資格情報の識別子、およびアクセス情報が一時認証のために用いられることを示す、アクセス情報のタイプ、第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、第１のネットワークの識別情報およびアクセス情報のタイプ、第３の一時認証資格情報の識別子、第１のネットワークの識別情報ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、アクセス情報のタイプならびに認証、許可および課金機能ネットワークエレメントの識別情報、または、第３の一時認証資格情報の識別子、第１のネットワークの識別情報、認証、許可および課金機能ネットワークエレメントの識別情報ならびに第１のネットワークのアクセス情報のタイプのいずれか１つを含み得る。

第１のネットワークの識別情報は、ＰＬＭＮ ＩＤを含む。認証、許可および課金機能ネットワークエレメントの識別情報は、ルーティングＩＤを含む。第１の一時認証資格情報の識別子は、ＰＥＩまたはＩＭＥＩを含む。

可能な実装において、認証、許可および課金機能ネットワークエレメントは、第１のネットワークのアクセス情報に基づいて、第１の検証情報を生成する。認証、許可および課金機能ネットワークエレメントは、第１の検証情報を認証アンカーへ送信する。

可能な実装において、第１の検証情報は、第１のメッセージ認証コードおよび第１のチャレンジ値を含む。認証、許可および課金機能ネットワークエレメントは、第１のネットワークのアクセス情報に基づいて、第２の一時認証情報を決定する。認証、許可および課金機能ネットワークエレメントは、第２の一時認証情報に基づいて第１の一時対称鍵を取得する。認証、許可および課金機能ネットワークエレメントは、第１の一時対称鍵に基づいて、第１のメッセージ認証コードおよび第１のチャレンジ値を別個に生成する。認証、許可および課金機能ネットワークエレメントは、第１のメッセージ認証コードおよび第１のチャレンジ値を認証アンカーへ送信する。

可能な実装において、第２の一時認証情報は、一時アルゴリズムをさらに含む。認証、許可および課金機能ネットワークエレメントは、一時アルゴリズムに従って、第１の一時対称鍵を生成する。

可能な実装において、第２の一時認証情報は、端末装置の第１の公開鍵を含む。認証、許可および課金機能ネットワークエレメントは、認証、許可および課金機能ネットワークエレメントの第２の公開鍵と、認証、許可および課金機能ネットワークエレメントの第２の秘密鍵とを生成する。認証、許可および課金機能ネットワークエレメントは、第１の公開鍵および第２の秘密鍵に基づいて、第１の一時対称鍵を生成する。

可能な実装において、第２の一時認証情報は、一時アルゴリズムをさらに含み、一時アルゴリズムは、鍵共有アルゴリズムおよび一時認証アルゴリズムを含む。認証、許可および課金機能ネットワークエレメントは、鍵共有アルゴリズムに従って、認証、許可および課金機能ネットワークエレメントの第２の公開鍵および第２の秘密鍵を生成する。認証、許可および課金機能ネットワークエレメントは、一時認証アルゴリズム、第２の秘密鍵および第１の公開鍵に基づいて、第１の一時対称鍵を生成する。

可能な実装において、第１の検証情報は、認証、許可および課金機能ネットワークエレメントの第２の公開鍵をさらに含む。認証、許可および課金機能ネットワークエレメントは、第２の公開鍵を認証アンカーへ送信する。

可能な実装において、認証、許可および課金機能ネットワークエレメントは、オンボーディングデバイスから第２の一時認証情報を受信する。

可能な実装において、第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子を含む。認証、許可および課金機能ネットワークエレメントは、第３の一時認証資格情報の識別子と同じ第２の一時認証資格情報の識別子を求めて検索し、第２の一時認証資格情報の識別子に対応する一時認証情報を第２の一時認証情報として決定する。

可能な実装において、第１のネットワークのアクセス情報は、第１のネットワークのアクセス情報のタイプをさらに含む。認証、許可および課金機能ネットワークエレメントは、一時認証情報が検索される必要があると、第１のネットワークのアクセス情報のタイプに基づいて決定する。認証、許可および課金機能ネットワークエレメントは、第３の一時認証資格情報の識別子と同じ第２の一時認証資格情報の識別子を求めて検索し、第２の一時認証資格情報の識別子に対応する一時認証情報を第２の一時認証情報として決定する。

可能な実装において、第３の一時認証資格情報の識別子は、第１の一時認証資格情報の混同値である。

第３の態様によれば、本願は、通信方法を提供する。この方法は、認証アンカーが端末装置からの第１のネットワークのアクセス情報を第１のネットワーク内の認証、許可および課金機能ネットワークエレメントへ送信する段階であって、第１のネットワークのアクセス情報は、相互一時認証を実行するよう端末装置および認証、許可および課金機能ネットワークエレメントをトリガするために用いられる、送信する段階を含む。認証アンカーは、端末装置と第１のネットワークとの間の相互一時認証が成功していると判定した場合、第１のネットワークのネットワーク選択サブスクリプション情報を端末装置へ送信するようデータ管理ネットワークエレメントをトリガする。

この解決手段に基づいて、端末装置と第１のネットワークとの間の相互一時認証が成功していると認証アンカーが判定した後に、第１のネットワークは、ネットワーク選択サブスクリプション情報を取得している端末装置が正しいと判定でき、端末は、ネットワーク選択サブスクリプション情報を送信している第１のネットワークが正しいと判定できる。

可能な実装において、認証アンカーは、サブスクリプション要求インジケーションをデータ管理ネットワークエレメントへ送信する。サブスクリプション要求インジケーションは、ネットワーク選択サブスクリプション情報を端末装置へ送信するようデータ管理ネットワークエレメントに指示する。

可能な実装において、ネットワーク選択サブスクリプション情報は、第１のネットワークの識別子、長期認証資格情報のアーカイブアドレス、端末装置のサービスパラメータまたは端末装置の長期識別情報のうちの１つまたは複数を含む。

可能な実装において、第１のネットワークのアクセス情報は、第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、第３の一時認証資格情報の識別子および第１のネットワークの識別情報、第３の一時認証資格情報の識別子、およびアクセス情報が一時認証のために用いられることを示す、第１のネットワークのアクセス情報のタイプ、第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、第１のネットワークの識別情報およびアクセス情報のタイプ、第３の一時認証資格情報の識別子、第１のネットワークの識別情報ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、アクセス情報のタイプならびに認証、許可および課金機能ネットワークエレメントの識別情報、または、第３の一時認証資格情報の識別子、第１のネットワークの識別情報、認証、許可および課金機能ネットワークエレメントの識別情報ならびに第１のネットワークのアクセス情報のタイプのいずれか１つを含み得る。

第１のネットワークのアクセス情報が第１のネットワークのアクセス情報のタイプを含む場合、第３の一時認証資格情報の識別子が端末装置の製造者により予め構成されているので、この識別子は、第１のネットワークに格納されているＳＵＰＩ（第１のネットワークにより割り当てられる）で複製されてよく、特定のタイプのアクセス情報を導入することにより、複製ユーザアイデンティティに起因して不正確なＩＤが見つかるという問題を回避できる。

第１のネットワークのアクセス情報が第１のネットワークの識別情報を含む場合、ＡＭＦは、このネットワークの識別情報（例えば、ＰＬＭＮ ＩＤ）およびＡＡＡの識別情報（例えば、ルーティングインジケータ（ｒｏｕｔｉｎｇ ｉｎｄｉｃａｔｏｒ、ＲＩ））に基づいて、ＡＵＳＦを選択し得る。さらに、ＡＵＳＦは、ネットワークの識別情報（ＰＬＭＮ ＩＤ）およびＡＡＡの識別情報（例えば、ＲＩ）に基づいて、ＡＡＡを選択し得る。

第１のネットワークのアクセス情報がＳＵＰＩタイプを含み、ＳＵＰＩタイプが、０ではない値または１ではない値であり、第１のネットワークのアクセス情報が一時認証のために用いられること、第１のネットワークのアクセス情報が、製造者により予め構成されているか、現在のネットワークにより所有されていないこと、または、ＲＩがデフォルト値であることを示し得る場合、ＡＭＦは、ローカル構成から特定のＡＵＳＦを選択し得る。

可能な実装において、認証アンカーは、認証、許可および課金機能ネットワークエレメントから第１の検証情報を受信する。認証アンカーは、認証要求メッセージを端末装置へ送信する。認証要求メッセージは、第１の検証情報を含む。認証アンカーは、端末装置から認証応答メッセージを受信する。認証応答メッセージは、第２の検証情報を含む。認証アンカーは、第１の検証情報が第２の検証情報と同じであると判定した場合、端末装置と第１のネットワークとの間の相互一時認証が成功していると判定する。

可能な実装において、認証アンカーは、認証サーバネットワークエレメントおよびモビリティ管理ネットワークエレメントを含み、第１の検証情報は、第１のチャレンジ値または第２のチャレンジ値を含み、第２の検証情報は、第３のチャレンジ値を含む。認証サーバネットワークエレメントは、認証、許可および課金機能ネットワークエレメントから第１のチャレンジ値を受信する。認証サーバネットワークエレメントは、第１のチャレンジ値に基づいて第２のチャレンジ値を生成する。認証サーバネットワークエレメントは、第２のチャレンジ値をモビリティ管理ネットワークエレメントへ送信する。モビリティ管理ネットワークエレメントは、端末装置から第３のチャレンジ値を受信する。モビリティ管理ネットワークエレメントは、第２のチャレンジ値が第３のチャレンジ値と同じであると判定した場合、第３のチャレンジ値を認証サーバネットワークエレメントへ送信する。認証サーバネットワークエレメントは、第１のチャレンジ値が第３のチャレンジ値と同じであると判定した場合、端末装置と第１のネットワークとの間の相互一時認証が成功していると判定する。

可能な実装において、認証アンカーは、認証サーバネットワークエレメントおよびモビリティ管理ネットワークエレメントを含み、第１の検証情報は、第４のチャレンジ値を含み、第２の検証情報は、第５のチャレンジ値を含む。認証サーバネットワークエレメントは、認証、許可および課金機能ネットワークエレメントから第４のチャレンジ値を受信する。認証サーバネットワークエレメントは、第４のチャレンジ値をモビリティ管理ネットワークエレメントへ送信する。モビリティ管理ネットワークエレメントは、端末装置から第５のチャレンジ値を受信する。モビリティ管理ネットワークエレメントは、第５のチャレンジ値を認証サーバネットワークエレメントへ送信する。認証サーバネットワークエレメントは、第４のチャレンジ値が第５のチャレンジ値と同じであると判定した場合、端末装置と第１のネットワークとの間の相互一時認証が成功していると判定する。

可能な実装において、第１のネットワークのアクセス情報は、認証、許可および課金機能ネットワークエレメントの識別情報を含む。認証アンカーは、端末装置から第１のネットワークのアクセス情報を受信する。認証アンカーは、第１のネットワークのアクセス情報における認証、許可および課金機能ネットワークエレメントの識別情報に基づいて、認証、許可および課金機能ネットワークエレメントを決定する。認証アンカーは、第１のネットワークのアクセス情報を認証、許可および課金機能ネットワークエレメントへ送信する。

第４の態様によれば、本願は、通信装置を提供する。通信装置は、第１の態様における端末装置、第２の態様における認証、許可および課金機能ネットワークエレメントまたは第３の態様における認証アンカーを実装する機能を有する。この機能は、ハードウェアにより実装されてもよく、対応するソフトウェアを実行するハードウェアにより実装されてもよい。ハードウェアまたはソフトウェアは、前述の機能に対応する１つまたは複数のユニットまたはモジュールを含む。

可能な実装において、通信装置は、端末デバイスであってもよく、モジュール、例えば、端末デバイスにおいて用いられ得るチップ、チップシステムまたは回路であってもよい。有益な効果については、第１の態様における説明を参照されたい。詳細については、ここで再び説明しない。通信装置は、トランシーバおよびプロセッサを含み得る。プロセッサは、上述の端末デバイスの対応する機能を実行するために通信装置をサポートするように構成され得る。トランシーバは、アクセスネットワークデバイスおよび認証アンカー等と通信するために通信装置をサポートするように構成されている。トランシーバは、独立のレシーバ、独立のトランスミッタ、受信機能と送信機能とを統合したトランシーバ、またはインタフェース回路であってよい。
任意選択的に、通信装置は、メモリをさらに含み得る。メモリは、プロセッサに連結されてよく、通信装置に必要なプログラム命令およびデータを格納する。

トランシーバは、補助認証情報を取得するように構成されている。補助認証情報は、１つまたは複数のネットワークの識別情報を含む。プロセッサは、第１の一時認証情報と、第１のネットワークの識別情報とに基づいて、第１のネットワークのアクセス情報を決定し、第１のネットワークのアクセス情報に基づいて、第１のネットワークとの相互一時認証をトリガするように構成されている。第１のネットワークは、１つまたは複数のネットワークのいずれか１つである。

可能な実装において、トランシーバはさらに、相互一時認証が成功した、場合、第１のネットワークから第１のネットワークの構成情報を受信するように構成されている。

可能な実装において、第１のネットワークのアクセス情報は、第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、第３の一時認証資格情報の識別子および第１のネットワークの識別情報、第３の一時認証資格情報の識別子、およびアクセス情報が一時認証のために用いられることを示す、第１のネットワークのアクセス情報のタイプ、第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、第１のネットワークの識別情報およびアクセス情報のタイプ、第３の一時認証資格情報の識別子、第１のネットワークの識別情報ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、アクセス情報のタイプならびに認証、許可および課金機能ネットワークエレメントの識別情報、または、第３の一時認証資格情報の識別子、第１のネットワークの識別情報、認証、許可および課金機能ネットワークエレメントの識別情報ならびに第１のネットワークのアクセス情報のタイプのいずれか１つを含む。

可能な実装において、第１のネットワークの識別情報は、ＰＬＭＮ ＩＤを含む。認証、許可および課金機能ネットワークエレメントの識別情報は、ルーティングＩＤを含む。第１の一時認証資格情報の識別子は、ＰＥＩまたはＩＭＥＩを含む。

可能な実装において、プロセッサは、具体的には、認証アンカーを通じて、第１のネットワークのアクセス情報を認証、許可および課金機能ネットワークエレメントへ送信するように構成されている。トランシーバは、具体的には、認証アンカーから認証要求メッセージを受信するように構成されている。認証要求メッセージは、第１の検証情報を含む。プロセッサは、具体的には、第１の一時認証情報に基づいて、第１の検証情報に対して一時認証を実行するように構成されている。

可能な実装において、第１の検証情報は、第１のメッセージ認証コードを含む。プロセッサは、具体的には、第１の一時認証情報に基づいて第２の一時対称鍵を取得し、第２の一時対称鍵に基づいて第２のメッセージ認証コードを生成し、第２のメッセージ認証コードに基づいて第１のメッセージ認証コードを検証するように構成されている。

可能な実装において、第１のメッセージ認証コードが第２のメッセージ認証コードと同じである場合、プロセッサはさらに、第２の一時対称鍵に基づいて第３のチャレンジ値を生成するように構成されている。第３のチャレンジ値は、認証アンカーにより、通信装置に対して一時認証を実行するために用いられる。トランシーバはさらに、認証応答メッセージを認証アンカーへ送信するように構成されている。認証応答メッセージは、第３のチャレンジ値を含む。

可能な実装において、第１の一時認証情報は、端末装置の第１の秘密鍵を含み、第１の検証情報は、認証、許可および課金機能ネットワークエレメントの第２の公開鍵を含む。

可能な実装において、プロセッサは、具体的には、第１の秘密鍵および第２の公開鍵に基づいて第２の一時対称鍵を生成するように構成されている。

可能な実装において、第１の一時認証情報は、第１の一時認証資格情報をさらに含み、第１の一時認証資格情報は、検証パラメータと、通信装置の証明書の秘密鍵とを含み、第１の検証情報は、認証、許可および課金機能ネットワークエレメントの証明書の署名と、第３のメッセージ認証コードとを含む。プロセッサは、具体的には、検証パラメータに基づいて、認証、許可および課金機能ネットワークエレメントの証明書の署名を検証し、認証、許可および課金機能ネットワークエレメントの証明書の署名に対する検証が成功した場合、認証、許可および課金機能ネットワークエレメントの証明書の公開鍵に基づいて第３のメッセージ認証コードを検証するように構成されている。

可能な実装において、第３のメッセージ認証コードに対する検証が成功した場合、プロセッサはさらに、通信装置の証明書の秘密鍵に基づいて、第４のメッセージ認証コードを生成するように構成されている。トランシーバはさらに、認証応答メッセージを認証アンカーへ送信するように構成されている。認証応答メッセージは、第４のメッセージ認証コードおよび第１の証明書を含む。

可能な実装において、相互一時認証は、５Ｇ ＡＫＡまたはＥＡＰ－ＡＫＡ'を含む。

可能な実装において、第１のネットワークの構成情報は、ネットワーク選択サブスクリプション情報を含み、ネットワーク選択サブスクリプション情報は、通信装置により、第１のネットワークにアクセスすることを選ぶために用いられる。

可能な実装において、ネットワーク選択サブスクリプション情報は、ＳＵＰＩ、ＰＬＭＮ ＩＤ、ＮＩＤ、ルーティングＩＤ、ＮＳＳＡＩおよびＤＮＮのうちの１つまたは複数を含む。

可能な実装において、第１のネットワークの構成情報は、長期認証資格情報をさらに含み、長期認証資格情報は、第１のネットワークにより第１のネットワークへのアクセスを端末装置に許可するために用いられる資格情報であってよい。トランシーバはさらに、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報を決定し、データネットワークの識別情報をセッション管理機能ネットワークエレメントへ送信し、ユーザプレーントンネルを通じて、オンラインサブスクリプションサーバから長期認証資格情報を取得するように構成されている。

可能な実装において、補助認証情報は、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報をさらに含む。トランシーバはさらに、補助認証情報からデータネットワークの識別情報を取得するように構成されている。

可能な実装において、プロセッサはさらに、相互一時認証が失敗した場合、第１の一時認証情報と。第２のネットワークの識別情報とに基づいて、第１のネットワークとは異なる１つまたは複数のネットワークのいずれか１つである第２のネットワークのアクセス情報を決定し、第２のネットワークのアクセス情報に基づいて、第２のネットワークとの相互一時認証をトリガするように構成されている。

可能な実装において、補助認証情報は、１つまたは複数のネットワークに対応するオンボーディングインジケーション情報をさらに含む。プロセッサはさらに、オンボーディングインジケーション情報を含むネットワークから、１つのネットワークを第１のネットワークとして選択するように構成されている。

可能な実装において、トランシーバは、具体的には、アクセスネットワークデバイスによりブロードキャストされる補助認証情報を受信するように構成されている。

可能な実装において、第３の一時認証資格情報の識別子は、第１の一時認証資格情報の混同値である。

別の可能な実装において、通信装置は、認証、許可および課金機能ネットワークエレメントであってよい。有益な効果については、第２の態様における説明を参照されたい。詳細については、ここで再び説明しない。通信装置は、トランシーバおよびプロセッサを含み得る。プロセッサは、上述の認証、許可および課金機能ネットワークエレメントの対応する機能を実行するために通信装置をサポートするように構成され得る。トランシーバは、別の認証アンカー等と通信するために通信装置をサポートするように構成されている。トランシーバは、独立のレシーバ、独立のトランスミッタ、受信機能と送信機能とを統合したトランシーバ、またはインタフェース回路であってよい。
任意選択的に、通信装置は、メモリをさらに含み得る。メモリは、プロセッサに連結されてよく、通信装置に必要なプログラム命令およびデータを格納する。

可能な実装において、トランシーバは、端末装置から第１のネットワークのアクセス情報を受信するように構成されている。プロセッサは、第１のネットワークのアクセス情報に基づいて、通信装置との相互一時認証をトリガするように構成されている。

可能な実装において、第１のネットワークのアクセス情報は、第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、第３の一時認証資格情報の識別子および第１のネットワークの識別情報、第３の一時認証資格情報の識別子、およびアクセス情報が一時認証のために用いられることを示す、アクセス情報のタイプ、第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、第１のネットワークの識別情報およびアクセス情報のタイプ、第３の一時認証資格情報の識別子、第１のネットワークの識別情報ならびに認証、許可および課金機能ネットワークエレメントの識別情報、第３の一時認証資格情報の識別子、アクセス情報のタイプならびに認証、許可および課金機能ネットワークエレメントの識別情報、または、第３の一時認証資格情報の識別子、第１のネットワークの識別情報、認証、許可および課金機能ネットワークエレメントの識別情報ならびに第１のネットワークのアクセス情報のタイプのいずれか１つを含む。

可能な実装において、第１のネットワークの識別情報は、ＰＬＭＮ ＩＤを含む。認証、許可および課金機能ネットワークエレメントの識別情報は、ルーティングＩＤを含む。第１の一時認証資格情報の識別子は、ＰＥＩまたはＩＭＥＩを含む。

可能な実装において、プロセッサは、具体的には、第１のネットワークのアクセス情報に基づいて第１の検証情報を生成するように構成されている。トランシーバは、具体的には、第１の検証情報を認証アンカーへ送信するように構成されている。

可能な実装において、第１の検証情報は、第１のメッセージ認証コードおよび第１のチャレンジ値を含む。プロセッサは、具体的には、第１のネットワークのアクセス情報に基づいて第２の一時認証情報を決定し、第２の一時認証情報に基づいて第１の一時対称鍵を取得し、第１の一時対称鍵に基づいて第１のメッセージ認証コードおよび第１のチャレンジ値を別個に生成するように構成されている。トランシーバは、具体的には、第１のメッセージ認証コードおよび第１のチャレンジ値を認証アンカーへ送信するように構成されている。

可能な実装において、第２の一時認証情報は、一時アルゴリズムをさらに含む。プロセッサは、具体的には、一時アルゴリズムに従って、第１の一時対称鍵を生成するように構成されている。

可能な実装において、第２の一時認証情報は、端末装置の第１の公開鍵を含む。プロセッサは、具体的には、認証、許可および課金機能ネットワークエレメントの第２の公開鍵と、認証、許可および課金機能ネットワークエレメントの第２の秘密鍵とを生成し、第２の秘密鍵および第１の公開鍵に基づいて、第１の一時対称鍵を生成するように構成されている。

可能な実装において、第２の一時認証情報は、一時アルゴリズムをさらに含み、一時アルゴリズムは、鍵共有アルゴリズムおよび一時認証アルゴリズムを含む。プロセッサは、具体的には、鍵共有アルゴリズムに従って、認証、許可および課金機能ネットワークエレメントの第２の公開鍵および第２の秘密鍵を生成し、一時認証アルゴリズム、第２の秘密鍵および第１の公開鍵に基づいて、第１の一時対称鍵を生成するように構成されている。

可能な実装において、第１の検証情報は、認証、許可および課金機能ネットワークエレメントの第２の公開鍵をさらに含む。トランシーバはさらに、第２の公開鍵を認証アンカーへ送信するように構成されている。

可能な実装において、トランシーバはさらに、オンボーディングデバイスから第２の一時認証情報を受信するように構成されている。

可能な実装において、第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子を含む。プロセッサは、具体的には、第３の一時認証資格情報の識別子と同じ第２の一時認証資格情報の識別子を求めて検索し、第２の一時認証資格情報の識別子に対応する一時認証情報を第２の一時認証情報として決定するように構成されている。

可能な実装において、第１のネットワークのアクセス情報は、第１のネットワークのアクセス情報のタイプをさらに含む。プロセッサは、具体的には、一時認証情報が検索される必要があると第１のネットワークのアクセス情報のタイプに基づいて判定し、第３の一時認証資格情報の識別子と同じ第２の一時認証資格情報の識別子を求めて検索し、第２の一時認証資格情報の識別子に対応する一時認証情報を第２の一時認証情報として決定するように構成されている。

可能な実装において、第３の一時認証資格情報の識別子は、第１の一時認証資格情報の混同値である。

さらに別の可能な実装において、通信装置は、認証アンカーであってよい。有益な効果については、第３の態様における説明を参照されたい。詳細については、ここで再び説明しない。通信装置は、トランシーバおよびプロセッサを含み得る。プロセッサは、上述の認証アンカーの対応する機能を実行するために通信装置をサポートするように構成され得る。トランシーバは、端末デバイスならびに認証、許可および課金機能ネットワークエレメント等と通信するために通信装置をサポートするように構成されている。トランシーバは、独立のレシーバ、独立のトランスミッタ、トランシーバ、受信機能と送信機能とを統合したトランシーバ、またはインタフェース回路であってよい。
任意選択的に、通信装置は、メモリをさらに含み得る。メモリは、プロセッサに連結されてよく、通信装置に必要なプログラム命令およびデータを格納する。

トランシーバは、端末装置からの第１のネットワークのアクセス情報を第１のネットワーク内の認証、許可および課金機能ネットワークエレメントへ送信するように構成されている。第１のネットワークのアクセス情報は、相互一時認証を実行するよう通信装置と認証、許可および課金機能ネットワークエレメントとをトリガするために用いられる。プロセッサは、通信装置と第１のネットワークとの間の相互一時認証が成功していると判定された場合、第１のネットワークのネットワーク選択サブスクリプション情報を通信装置へ送信するようデータ管理ネットワークエレメントをトリガするように構成されている。

可能な実装において、通信装置と第１のネットワークとの間の相互一時認証が成功していると判定された場合、プロセッサは、トランシーバと協働して、サブスクリプション要求インジケーションをデータ管理ネットワークエレメントへ送信する。サブスクリプション要求インジケーションは、ネットワーク選択サブスクリプション情報を通信装置へ送信するようデータ管理ネットワークエレメントに指示する。

可能な実装において、ネットワーク選択サブスクリプション情報は、第１のネットワークの識別子、長期認証資格情報のアーカイブアドレス、通信装置のサービスパラメータまたは通信装置の長期識別情報のうちの１つまたは複数を含む。

可能な実装において、トランシーバは、具体的には、認証、許可および課金機能ネットワークエレメントから第１の検証情報を受信し、第１の検証情報を含む認証要求メッセージを通信装置へ送信し、第２の検証情報を含む認証応答メッセージを通信装置から受信するように構成されている。プロセッサは、具体的には、第１の検証情報が第２の検証情報と同じであると判定された場合、通信装置と第１のネットワークとの間の相互一時認証が成功していると判定するように構成されている。

可能な実装において、第１のネットワークのアクセス情報は、認証、許可および課金機能ネットワークエレメントの識別情報を含む。トランシーバは、具体的には、通信装置から第１のネットワークのアクセス情報を受信するように構成されている。プロセッサは、具体的には、第１のネットワークのアクセス情報における認証、許可および課金機能ネットワークエレメントの識別情報に基づいて、認証、許可および課金機能ネットワークエレメントを決定するように構成されている。トランシーバは、具体的には、第１のネットワークのアクセス情報を認証、許可および課金機能ネットワークエレメントへ送信するように構成されている。

第５の態様によれば、本願は、第１の態様もしくは第１の態様の可能な実装のいずれか１つによる方法、第２の態様もしくは第２の態様の可能な実装のいずれか１つによる方法、または第３の態様もしくは第３の態様の可能な実装のいずれか１つによる方法を実装するように構成された通信装置を提供する。通信装置は、前述の方法における段階を実装するようにそれぞれ構成された対応する機能モジュールを含む。この機能は、ハードウェアにより実装されてもよく、対応するソフトウェアを実行するハードウェアにより実装されてもよい。ハードウェアまたはソフトウェアは、前述の機能に対応する１つまたは複数のモジュールを含む。

可能な実装において、通信装置は、端末デバイスであってよく、処理モジュールおよびトランシーバモジュールを含んでよい。これらのモジュールは、前述の方法例における端末デバイスの対応する機能を実行し得る。詳細については、方法例の詳細な説明を参照されたい。詳細については、ここで再び説明しない。

別の可能な実装において、通信装置は、認証、許可および課金機能ネットワークエレメントであってよく、通信装置は、トランシーバモジュールおよび処理モジュールを含んでよい。これらのモジュールは、前述の方法例における認証、許可および課金機能ネットワークエレメントの対応する機能を実行し得る。詳細については、方法例の詳細な説明を参照されたい。詳細については、ここで再び説明しない。

さらに別の可能な実装において、通信装置は、認証アンカーであってよく、トランシーバモジュールおよび処理モジュールを含んでよい。これらのモジュールは、前述の方法例における認証アンカーの対応する機能を実行し得る。詳細については、方法例の詳細な説明を参照されたい。詳細については、ここで再び説明しない。

第６の態様によれば、本願は、通信システムを提供する。通信システムは、認証アンカーと、認証、許可および課金機能ネットワークエレメントとを含む。認証、許可および課金機能ネットワークエレメントは、認証アンカーを通じて、通信装置から第１のネットワークのアクセス情報を受信し、第１のネットワークのアクセス情報に基づいて、通信装置との相互一時認証をトリガするように構成されている。認証アンカーは、相互一時認証が成功した場合、第１のネットワークのネットワーク選択サブスクリプション情報を通信装置へ送信するようデータ管理ネットワークエレメントをトリガするように構成されている。

可能な実装において、システムは、データ管理ネットワークエレメントをさらに含む。認証アンカーは、具体的には、相互一時認証が成功した場合、サブスクリプション要求インジケーションをデータ管理ネットワークエレメントへ送信するように構成されている。サブスクリプション要求インジケーションは、ネットワーク選択サブスクリプション情報を通信装置へ送信するようデータ管理ネットワークエレメントに指示する。データ管理ネットワークエレメントは、認証アンカーからサブスクリプション要求インジケーションを受信し、サブスクリプション要求インジケーションに基づいてネットワーク選択サブスクリプション情報を通信装置へ送信するように構成されている。

可能な実装において、ネットワーク選択サブスクリプション情報は、第１のネットワークの識別子、長期認証資格情報のアーカイブアドレス、通信装置のサービスパラメータまたは通信装置の長期識別情報のうちの１つまたは複数を含む。

可能な実装において、第１のネットワークのアクセス情報は、第１のネットワークのアクセス情報のタイプを含み、第１のネットワークのアクセス情報のタイプは、第１のネットワークのアクセス情報が一時認証のために用いられることを示す。

認証、許可および課金機能ネットワークエレメントはさらに、通信装置との相互一時認証がトリガされる必要があると第１のネットワークのアクセス情報におけるアクセス情報タイプに基づいて判定するように構成されている。

可能な実装において、相互一時認証は、５Ｇ ＡＫＡまたはＥＡＰ－ＡＫＡ'を含む。

可能な実装において、認証、許可および課金機能ネットワークエレメントは、具体的には、第１のネットワークのアクセス情報に基づいて第２の一時認証情報を決定し、第２の一時認証情報に基づいて第１の一時対称鍵を取得し、第１の一時対称鍵に基づいて第１のメッセージ認証コードおよび第１のチャレンジ値を別個に生成し、第１のメッセージ認証コードおよび第１のチャレンジ値を認証アンカーへ送信するように構成されている。

可能な実装において、第２の一時認証情報は、一時アルゴリズムをさらに含む。認証、許可および課金機能ネットワークエレメントはさらに、第２の一時認証情報における一時アルゴリズムに従って、第１の一時対称鍵を生成するように構成されている。

可能な実装において、一時アルゴリズムは、鍵共有アルゴリズムおよび一時認証アルゴリズムを含む。認証、許可および課金機能ネットワークエレメントは、具体的には、鍵共有アルゴリズムに従って、認証、許可および課金機能ネットワークエレメントの第２の公開鍵および第２の秘密鍵を生成し、一時認証アルゴリズム、第２の秘密鍵および第１の公開鍵に基づいて、第１の一時対称鍵を生成するように構成されている。

可能な実装において、認証、許可および課金機能ネットワークエレメントはさらに、第２の公開鍵を認証アンカーへ送信するように構成されている。

第７の態様によれば、本願は、コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体は、コンピュータプログラムまたは命令を格納する。コンピュータプログラムまたは命令が通信装置により実行された場合、通信装置は、第１の態様もしくは第１の態様の可能な実装のいずれか１つによる方法、第２の態様もしくは第２の態様の可能な実装のいずれか１つによる方法、または第３の態様もしくは第３の態様の可能な実装のいずれか１つによる方法を実行することが可能になる。

第８の態様によれば、本願は、コンピュータプログラム製品を提供する。コンピュータプログラム製品は、コンピュータプログラムまたは命令を含む。コンピュータプログラムまたは命令が通信装置により実行された場合、第１の態様もしくは第１の態様の可能な実装のいずれか１つによる方法、第２の態様もしくは第２の態様の可能な実装のいずれか１つによる方法、または第３の態様もしくは第３の態様の可能な実装のいずれか１つによる方法が実装される。

本願による通信システムのアーキテクチャの概略図である。

本願による通信方法の概略フローチャートである。

本願によるＵＥが第１のネットワークのアクセス情報をＡＡＡへ送信する方法の概略フローチャートである。

本願によるＵＥと第１のネットワークとの間の相互一時認証を実行する方法の概略フローチャートである。 本願によるＵＥと第１のネットワークとの間の相互一時認証を実行する方法の概略フローチャートである。

本願によるＵＥと第１のネットワークとの間の相互一時認証を実行する方法の別の概略フローチャートである。

本願によるＵＥと第１のネットワークとの間の相互一時認証を実行する方法のさらに別の概略フローチャートである。

本願によるネットワーク選択サブスクリプション情報を取得する方法の概略フローチャートである。

本願によるネットワーク選択サブスクリプション情報を取得する方法の別の概略フローチャートである。

本願による長期認証資格情報を取得する方法の概略フローチャートである。

本願による通信装置の構造の概略図である。

本願による通信装置の構造の概略図である。

本願による端末デバイスの構造の概略図である。

以下では、添付図面を参照して、本願の実施形態を詳細に説明する。

図１は、本願が適用可能である通信システムのアーキテクチャの概略図である。図１に示されるように、通信システムは、ネットワーク露出ネットワークエレメントと、ポリシー制御ネットワークエレメントと、データ管理ネットワークエレメントと、認証、許可および課金機能ネットワークエレメントと、セキュリティアンカーネットワークエレメントと、モビリティ管理機能ネットワークエレメントと、セッション管理ネットワークエレメントと、認証サーバネットワークエレメントと、オンラインサブスクリプションサーバと、ユーザプレーンネットワークエレメントと、アクセスネットワークデバイスと、端末デバイスと、オンボーディングデバイスとを含み得る。ネットワーク露出ネットワークエレメントと、ポリシー制御ネットワークエレメントと、データ管理ネットワークエレメントと、認証、許可および課金機能ネットワークエレメントと、認証サーバネットワークエレメントと、モビリティ管理機能ネットワークエレメントと、セッション管理ネットワークエレメントとは、バスを通じて接続され得る。本明細書におけるバスは、通信システム内のネットワークエレメント間の接続および通信を論理的に実装できる。通信システム内のネットワークエレメント間の接続および通信は、インタフェースまたはネットワークを通じて実装され得る。セッション管理ネットワークエレメントは、ユーザプレーンネットワークエレメントに接続されている。セッション管理ネットワークエレメントは、ユーザプレーン関連ポリシーを実行するようユーザプレーンネットワークエレメントを制御するように構成されてもよく、セッション関連ポリシーを実行するようモビリティ管理ネットワークエレメントを通じて端末デバイスまたは無線アクセスネットワーク（ｒａｄｉｏ ａｃｃｅｓｓ ｎｅｔｗｏｒｋ、ＲＡＮ）を制御するように構成されてもよい。

データ管理ネットワークエレメントは主に、サブスクリプション情報および認証／許可情報など、ユーザデータを管理および格納するように構成されている。第５世代（５ｔｈ ｇｅｎｅｒａｔｉｏｎ、５Ｇ）において、データ管理ネットワークエレメントは、統合データ管理（ｕｎｉｆｉｅｄ ｄａｔａ ｍａｎａｇｅｍｅｎｔ、ＵＤＭ）ネットワークエレメント、または統合データレポジトリ（ｕｎｉｆｉｅｄ ｄａｔａ ｒｅｐｏｓｉｔｏｒｙ、ＵＤＲ）ネットワークエレメントであってよい。第６世代（６ｔｈ ｇｅｎｅｒａｔｉｏｎ、６Ｇ）など、将来の通信において、データ管理ネットワークエレメントは、依然としてＵＤＭネットワークエレメントまたはＵＤＲネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

認証、許可および課金機能ネットワークエレメントは主に、アクセスしている端末デバイスに対して一時認証を実行するように構成されており、ＵＤＭの機能であってもよく、独立のネットワークエレメントであってもよい。５Ｇにおいて、認証、許可および課金機能ネットワークエレメントは、認証、許可および課金（ａｕｔｈｅｎｔｉｃａｔｉｏｎ， ａｕｔｈｏｒｉｚａｔｉｏｎ， ａｎｄ ａｃｃｏｕｎｔｉｎｇ、ＡＡＡ）サーバであってよい。６Ｇなど、将来の通信において、認証、許可および課金機能ネットワークエレメントは、依然としてＡＡＡサーバであってもよく、別の名称を有してもよい。これは、本願において限定されない。

ポリシー制御ネットワークエレメントは主に、ユーザサブスクリプションデータ管理、課金ポリシー制御およびサービス品質（ｑｕａｌｉｔｙ ｏｆ ｓｅｒｖｉｃｅ、ＱｏＳ）制御等のために用いられる。５Ｇにおいて、ポリシー制御ネットワークエレメントは、ポリシー制御機能（ｐｏｌｉｃｙ ｃｏｎｔｒｏｌ ｆｕｎｃｔｉｏｎ、ＰＣＦ）ネットワークエレメントであってよい。６Ｇなど、将来の通信において、ポリシー制御ネットワークエレメントは、依然としてＰＣＦネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

ネットワーク露出ネットワークエレメントは主に、事業者ネットワークにより外部に露出されるアプリケーションプログラミングインタフェース（ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｇｒａｍｍｉｎｇ ｉｎｔｅｒｆａｃｅ、ＡＰＩ）を提供するように構成されている。具体的には、外部サーバが、ＡＰＩを呼び出して、事業者ネットワークとインタラクトし得る。例えば、ＰＳは、ネットワーク露出ネットワークエレメントにより露出されるＡＰＩを呼び出して、認証、許可および課金機能ネットワークエレメントに対し端末デバイスのオンボーディング情報を構成し得る。５Ｇにおいて、ネットワーク露出ネットワークエレメントは、ネットワーク露出機能（ｎｅｔｗｏｒｋ ｅｘｐｏｓｕｒｅ ｆｕｎｃｔｉｏｎ、ＮＥＦ）ネットワークエレメントであってよい。６Ｇなど、将来の通信において、ネットワーク露出ネットワークエレメントは、依然としてＮＥＦネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

セッション管理ネットワークエレメントは主に、モバイルネットワーク内のセッション管理ならびにユーザプレーンネットワークエレメントの選択および制御のために用いられる。セッション管理は、例えば、セッションの作成、修正およびリリースである。特定の機能は、例えば、ユーザへのインターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ、ＩＰ）アドレスの割り当てと、パケット転送機能を提供するユーザプレーンネットワークエレメントの選択とを含む。５Ｇにおいて、セッション管理ネットワークエレメントは、セッション管理機能（ｓｅｓｓｉｏｎ ｍａｎａｇｅｍｅｎｔ ｆｕｎｃｔｉｏｎ、ＳＭＦ）ネットワークエレメントであってよい。６Ｇなど、将来の通信において、セッション管理ネットワークエレメントは、依然としてＳＭＦネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

モビリティ管理ネットワークエレメントは主に、モバイルネットワーク内の端末デバイスについての登録、モビリティ管理およびトラッキングエリア更新手順のために用いられる。モビリティ管理ネットワークエレメントは、非アクセス層（ｎｏｎ－ａｃｃｅｓｓ ｓｔｒａｔｕｍ、ＮＡＳ）メッセージを終了し、登録管理、接続管理、信頼性管理、追跡エリアリスト（ｔｒａｃｋｉｎｇ ａｒｅａ ｌｉｓｔ、ＴＡリスト）割り当ておよびモビリティ管理等を完了し、セッション管理（ｓｅｓｓｉｏｎ ｍａｎａｇｅｍｅｎｔ、ＳＭ）メッセージをセッション管理ネットワークエレメントへ透過的にルーティングする。５Ｇ通信において、モビリティ管理ネットワークエレメントは、アクセスおよびモビリティ管理機能（ａｃｃｅｓｓ ａｎｄ ｍｏｂｉｌｉｔｙ ｍａｎａｇｅｍｅｎｔ ｆｕｎｃｔｉｏｎ、ＡＭＦ）ネットワークエレメントであってよい。６Ｇなど、将来の通信において、モビリティ管理ネットワークエレメントは、依然としてＡＭＦネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

認証サーバネットワークエレメントは主に、拡張認証プロトコル（ｅｘｔｅｎｓｉｂｌｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ、ＥＡＰ）認証サービス機能を提供し、鍵を格納して、ユーザに対する認証を実装するように構成されている。５Ｇにおいて、認証サーバネットワークエレメントは、認証サーバ機能（ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｅｒｖｅｒ ｆｕｎｃｔｉｏｎ、ＡＵＳＦ）ネットワークエレメントであってよい。６Ｇなど、将来の通信において、認証サーバネットワークエレメントは、依然としてＡＵＳＦネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

セキュリティアンカーネットワークエレメントは主に、端末デバイスに対して認証を実行するように構成されており、ＡＭＦの機能であってよい。５Ｇにおいて、セキュリティアンカーネットワークエレメントは、セキュリティアンカー機能（ｓｅｃｕｒｉｔｙ ａｎｃｈｏｒ ｆｕｎｃｔｉｏｎ、ＳＥＡＦ）ネットワークエレメントであってよい。６Ｇなど、将来の通信において、セキュリティアンカーネットワークエレメントは、依然としてＳＥＡＦネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

ユーザプレーンネットワークエレメントは主に、ユーザプレーンサービス処理、例えば、データパケットのルーティングおよび伝送、パケット検出、サービス使用率報告、サービス品質（ｑｕａｌｉｔｙ ｏｆ ｓｅｒｖｉｃｅ、ＱｏＳ）処理、合法的傍受、アップリンクパケット検出およびダウンリンクデータパケット格納のために用いられる。５Ｇにおいて、ユーザプレーンネットワークエレメントは、ユーザプレーン機能（ｕｓｅｒ ｐｌａｎｅ ｆｕｎｃｔｉｏｎ、ＵＰＦ）ネットワークエレメントであってよい。６Ｇなど、将来の通信において、ユーザプレーンネットワークエレメントは、依然としてＵＰＦネットワークエレメントであってもよく、別の名称を有してもよい。これは、本願において限定されない。

オンラインサブスクリプションサーバ（プロビジョニングサーバ、ＰＳ）は主に、端末デバイスにネットワークアクセスのための認証資格情報を提供するように構成されている。ＰＳは、データネットワーク（ｄａｔａ ｎｅｔｗｏｒｋ、ＤＮ）内のオンラインサブスクリプションサービスを提供する１つまたは複数のサーバであってよい。

アクセスネットワークデバイス（無線アクセスネットワーク（ｒａｄｉｏ ａｃｃｅｓｓ ｎｅｔｗｏｒｋ、ＲＡＮ）デバイスとも称される）は、端末のための無線通信機能を提供するデバイスである。アクセスネットワークデバイスは、限定されるわけではないが、５Ｇにおける次世代ＮｏｄｅＢ（ｇＮｏｄｅＢ、ｇＮＢ）、進化型ＮｏｄｅＢ（ｅｖｏｌｖｅｄ ＮｏｄｅＢ、ｅＮＢ）、無線ネットワークコントローラ（ｒａｄｉｏ ｎｅｔｗｏｒｋ ｃｏｎｔｒｏｌｌｅｒ、ＲＮＣ）、ＮｏｄｅＢ（ＮｏｄｅＢ、ＮＢ）、基地局コントローラ（ｂａｓｅ ｓｔａｔｉｏｎ ｃｏｎｔｒｏｌｌｅｒ、ＢＳＣ）、ベーストランシーバ基地局（ｂａｓｅ ｔｒａｎｓｃｅｉｖｅｒ ｓｔａｔｉｏｎ、ＢＴＳ）、ホーム基地局（例えば、ホーム進化型ＮｏｄｅＢまたはホームＮｏｄｅＢ、ＨＮＢ）、ベースバンドユニット（ｂａｓｅＢａｎｄ ｕｎｉｔ、ＢＢＵ）、送受信ポイント（ｔｒａｎｓｍｉｓｓｉｏｎ ｒｅｃｅｐｔｉｏｎ ｐｏｉｎｔ、ＴＲＰ）、送信ポイント（ｔｒａｎｓｍｉｓｓｉｏｎ ｐｏｉｎｔ、ＴＰ）および移動交換局等を含む。

端末デバイス（ユーザ機器（ｕｓｅｒ ｅｑｕｉｐｍｅｎｔ、ＵＥ）とも称され得る）は、無線トランシーバ機能を有するデバイスであり、例えば、屋内または屋外デバイス、ハンドヘルドデバイスまたは車載デバイスなど、陸上に展開されてもよく、水上に（例えば、船上に）展開されてもよく、空中に（例えば、飛行機、気球および衛星に）展開されてもよい。端末は、携帯電話（ｍｏｂｉｌｅ ｐｈｏｎｅ）、タブレットコンピュータ（パッド）、無線トランシーバ機能を有するコンピュータ、仮想現実（ｖｉｒｔｕａｌ ｒｅａｌｉｔｙ、ＶＲ）端末、拡張現実（ａｕｇｍｅｎｔｅｄ ｒｅａｌｉｔｙ、ＡＲ）端末、産業用制御（ｉｎｄｕｓｔｒｉａｌ ｃｏｎｔｒｏｌ）における無線端末、自動運転（ｓｅｌｆ ｄｒｉｖｉｎｇ）における無線端末、遠隔医療（ｔｅｌｅｍｅｄｉｃｉｎｅ）における無線端末、スマートグリッド（ｓｍａｒｔ ｇｒｉｄ）における無線端末、輸送安全性（ｔｒａｎｓｐｏｒｔａｔｉｏｎ ｓａｆｅｔｙ）における無線端末、スマートシティ（ｓｍａｒｔ ｃｉｔｙ）における無線端末またはスマートホーム（ｓｍａｒｔ ｈｏｍｅ）における無線端末等であってよい。端末デバイスは、表示画面を有してもよく、表示画面を有しなくてもよい。

オンボーディングデバイスは主に、端末デバイスの一時認証情報（例えば、第２の一時認証情報）を取得するように構成されており、Ｎ５８インタフェースを直接または間接的に呼び出し得る。本願において、オンボーディングデバイスは、ＰＬＭＮもしくはワイヤレスフィデリティ（ｗｉｒｅｌｅｓｓ ｆｉｄｅｌｉｔｙ、Ｗｉ－Ｆｉ（登録商標））を通じて、または有線方式等でネットワークにアクセスしており、Ｎ５８インタフェースを呼び出すことによりネットワーク露出ネットワークエレメントにアクセスして、ネットワーク露出ネットワークエレメントのＡＰＩを呼び出し得るとデフォルトでみなされる。

前述のネットワークエレメントにおいて、セッション管理ネットワークエレメント、モビリティ管理ネットワークエレメント、認証サーバネットワークエレメントおよびセキュリティアンカーネットワークエレメントの全てが認証アンカーであってよいことに留意されたい。加えて、図１に示されるネットワークエレメントの形態および数は、一例として用いられているに過ぎず、本願に関する限定を構成しない。

本願における方法を説明する前に、この解決手段の理解に役立つよう、まず、前述の内容に基づいて、本願における適用シナリオをさらに説明する。内容のこの部分は、代替的に、本願の発明の概要における任意選択的な内容の一部として用いられ得る。本願において説明されるシステムアーキテクチャおよび適用シナリオは、本願における技術的解決手段をより明確に説明するように意図されているが、本願において提供される技術的解決手段を限定するようには意図されていないことに留意されたい。当業者であれば、システムアーキテクチャが進化し、新しいシナリオが出現しているので、本願において提供される技術的解決手段が同様の技術課題にも適用可能であることを認識し得る。

新たに配信されたネットワーク側情報は、ＵＥ上で構成されず、新たに配信された、ＵＥについての情報は、ネットワーク側で構成されない。ＰＬＭＮにおいて、ユーザは通常、新たに配信されたＵＥのオンボーディングのためにモバイルサービスセンタに行く必要があり、オンボーディングが実行されているＵＥのみが、ＰＬＭＮにアクセスできる。この方式は、手動での介入を必要とし、十分に自動的ではなく、非効率的である。

この問題を考慮して、本願は、通信方法を提供する。この方法は、図１に示される通信システムに適用され得る。この方法における端末装置は、端末デバイスであってもよく、モジュール、例えば、端末デバイス内で用いられ得るチップであってもよい。説明しやすくするために、データ管理ネットワークエレメントがＵＤＭネットワークエレメントであり、認証、許可および課金機能ネットワークエレメントがＡＡＡであり、ネットワーク露出ネットワークエレメントがＮＥＦネットワークエレメントであり、セッション管理ネットワークエレメントがＳＭＦネットワークエレメントであり、モビリティ管理ネットワークエレメントがＡＭＦネットワークエレメントであり、認証サーバネットワークエレメントがＡＵＳＦネットワークエレメントであり、セキュリティアンカーネットワークエレメントがＳＥＡＦネットワークエレメントであり、ユーザプレーンネットワークエレメントがＵＰＦネットワークエレメントであり、端末デバイスがＵＥであり、アクセスネットワークデバイスが基地局である一例を用いることにより、本願を以下で説明する。さらに、ＵＤＭネットワークエレメントは略して、ＵＤＭであり、認証、許可および課金機能ネットワークエレメントは略して、ＡＡＡであり、ＰＣＦネットワークエレメントは略して、ＰＣＦであり、ＮＥＦネットワークエレメントは略して、ＮＥＦであり、ＳＭＦネットワークエレメントは略して、ＳＭＦであり、ＡＭＦネットワークエレメントは略して、ＡＭＦであり、ＵＰＦネットワークエレメントは略して、ＵＰＦであり、端末デバイスは略して、ＵＥである。言い換えると、本願の以下の説明において、全てのＵＤＭがデータ管理ネットワークエレメントに置き換えられてよく、全てのＡＡＡが認証、許可および課金機能ネットワークエレメントに置き換えられてよく、全てのＮＥＦがネットワーク露出ネットワークエレメントに置き換えられてよく、全てのＳＭＦがセッション管理ネットワークエレメントに置き換えられてよく、全てのＡＭＦがモビリティ管理ネットワークエレメントに置き換えられてよく、全てのＵＰＦがユーザプレーンネットワークエレメントに置き換えられてよく、全てのＵＥが端末デバイスに置き換えられてよく、全ての基地局がアクセスネットワークデバイスに置き換えられてよい。

図１から図９を参照して、以下では、前述の技術課題を解決するために用いられる、本願において提供される通信方法を詳細に説明する。

方法手順を説明する前に、ＵＥ上で予め構成された第１の一時認証情報と、ＡＡＡ上で予め構成された第２の一時認証情報とを、まず別個に説明する。

１． ＵＥが第１の一時認証情報を予め構成する。

第１の一時認証情報は、ＵＥにより、ネットワーク（例えば、以下の方法における第１のネットワーク）との一時認証手順を実行するために用いられる。言い換えると、第１の一時認証情報は、ネットワーク側により、ＵＥに対して一時認証を実行するために用いられる。

可能な実装において、第１の一時認証情報は、第１の一時認証資格情報の識別子と、第１の一時認証資格情報とを含み得る。第１の一時認証資格情報は、対称鍵であってもよく、非対称鍵（例えば、秘密鍵）であってもよい。第１の一時認証資格情報の識別子は、ネットワークにより、第１の一時認証資格情報の識別子に基づいて第２の一時認証資格情報を取得するために用いられる。第１の一時認証資格情報の識別子は、例えば、ＵＥの識別子であってよい。ＵＥの識別子は、例えば、ＰＥＩ、ＩＭＥＩまたは一時識別子（ｉｄｅｎｔｉｆｉｅｒ、ＩＤ）である。別の例では、第１の一時認証資格情報の識別子は、代替的に、ＵＥの識別子の混同値、例えば、ＰＥＩの混同値またはＩＭＥＩの混同値であってよい。ＵＥの識別子の混同値は、ＵＥにより、ＵＥの識別子に対してハッシュ演算を実行することにより取得され得る。別の例では、第１の一時認証資格情報の識別子は、代替的に、鍵識別子、例えば、無鍵署名インフラストラクチャ（ｋｅｙｌｅｓｓ ｓｉｇｎａｔｕｒｅ ｉｎｆｒａｓｔｒｕｃｔｕｒｅ、ＫＳＩ）であってよい。第１の一時認証資格情報の識別子がＵＥの識別子の混同値である場合、ＵＥのプライバシが保護され得る。

２． ＡＡＡが第２の一時認証情報を予め構成する。

第２の一時認証情報は、ネットワーク（例えば、以下の方法における第１のネットワーク）により、ＵＥとの一時認証手順を実行するために用いられる。言い換えると、第２の一時認証情報は、ＵＥにより、ネットワークに対して一時認証を実行するために用いられる。

図１を参照すると、ＡＡＡにより予め構成された第２の一時認証情報は、オンボーディングデバイスによりＡＡＡへ送信され得る。例えば、オンボーディングデバイスは、第２の一時認証情報を以下の２つの方式で取得し得る。方式１：ユーザが第２の一時認証情報をオンボーディングデバイスに入力する。方式２：オンボーディングデバイスが、ＵＥにペーストされた、第２の一時認証情報を含むＱＲコード（登録商標）をスキャンする。オンボーディングデバイスは、第２の一時認証情報を取得した後に、Ｎ５８インタフェースを呼び出すことによりＮＥＦにアクセスし、次に、ＮＥＦのＡＰＩを呼び出して、アプリケーション層メッセージを用いることにより、取得した第２の一時認証情報をＡＡＡへ送信し得る。それに応じて、第２の一時認証情報は、ＡＡＡ上で予め構成される。複数のＵＥの第２の一時認証情報がＡＡＡ上で予め構成され得ることを理解されたい。

可能な実装において、第２の一時認証情報は、第２の一時認証資格情報の識別子と、第２の一時認証資格情報とを含む。第２の一時認証情報は、第１の一時認証情報と同じであってもよく、異なっていてもよい。以下では、それぞれの事例における詳細な説明を提供する。

事例１：第２の一時認証情報が、第１の一時認証情報と同じである。

可能な実装において、第１の一時認証情報は、ＵＥの識別子と、第１の一時対称鍵とを含み得る。具体的には、第１の一時認証資格情報の識別子は、ＵＥの識別子であり、第１の一時認証資格情報は、第１の一時対称鍵である。第２の一時認証情報は、ＵＥの識別子と、第２の一時対称鍵とを含み得る。具体的には、第２の一時認証資格情報の識別子は、ＵＥの識別子であり、第２の一時認証資格情報は、第２の一時対称鍵である。第１の一時対称鍵および第２の一時対称鍵は、対称鍵である。このことは、第１の一時認証資格情報および第２の一時認証資格情報が対称鍵であり、第１の一時認証資格情報の識別子および第２の一時認証資格情報の識別子の両方がＵＥの識別子である、とも理解され得る。

事例２：第２の一時認証情報が、第１の一時認証情報とは異なる。

可能な実装において、第１の一時認証情報は、ＵＥの識別子およびＵＥの第１の秘密鍵（ｐｒｉｖａｔｅ ｋｅｙ）を含み得る。以下、第１の秘密鍵は略して、ＰｒＵＥである。具体的には、第１の一時認証資格情報の識別子は、ＵＥの識別子であり、第１の一時認証資格情報は、ＵＥの第１の秘密鍵ＰｒＵＥである。第２の一時認証情報は、ＵＥの識別子の混同値およびＵＥの第１の公開鍵を含む。以下、第１の公開鍵は略して、公開鍵ＰｋＵＥである。具体的には、第２の一時認証資格情報の識別子は、ＵＥの識別子の混同値であり、第２の一時認証資格情報は、ＵＥの第１の公開鍵ＰｋＵＥである。ＵＥの第１の秘密鍵およびＵＥの第１の公開鍵は、非対称鍵のペアである。言い換えると、第１の一時認証資格情報は、ＵＥの第１の秘密鍵ＰｒＵＥであり、第２の一時認証資格情報は、ＵＥの第１の公開鍵ＰｋＵＥであり、第１の一時認証資格情報の識別子は、ＵＥの識別子であり、第２の一時認証資格情報の識別子は、ＵＥの識別子の混同値である。

別の可能な実装において、第１の一時認証情報は、検証パラメータの識別子と、第１の証明書（第１の証明書は、第１の証明書の識別子および第１の証明書の署名を含む）と、第１の証明書の秘密鍵ＰｒＵＥとを含む。具体的には、第１の一時認証資格情報の識別子は、検証パラメータの識別子であり、第１の一時認証資格情報は、第１の証明書と、第１の証明書の秘密鍵ＰｒＵＥとである。第２の一時認証情報は、検証パラメータの識別子と、検証パラメータとを含む。検証パラメータは、第１の証明書の有効性を検証するために用いられ、サードパーティの公開鍵であってよい。検証パラメータの識別子は、検証パラメータを決定するために用いられ、第１の証明書の識別子と同じであってよい。第１の証明書の識別子は、ユーザの識別子、または鍵識別子等を含む。具体的には、証明書が３ＧＰＰネットワーク内で用いられるので、第１の証明書の識別子は、ＵＥについての情報、例えば、ＰＥＩまたはＩＭＥＩを含んでよく、第１の証明書の署名は、サードパーティにより、サードパーティの秘密鍵を用いることで第１の証明書に署名することにより取得されてよい。

さらに別の可能な実装において、第１の一時認証情報は、検証パラメータの識別子と、検証パラメータと、第１の証明書と、第１の証明書の秘密鍵ＰｒＵＥとを含む。具体的には、第１の一時認証資格情報の識別子は、検証パラメータの識別子であり、第１の一時認証資格情報は、第１の証明書と、第１の証明書の秘密鍵ＰｒＵＥとである。第２の一時認証情報は、検証パラメータの識別子と、検証パラメータと、第２の証明書と、第２の証明書の秘密鍵ＰｒＡＡＡとを含み、第２の一時認証資格情報は、検証パラメータと、第２の証明書（第２の証明書は、第２の証明書の識別子および第２の証明書の署名を含む）と、第２の証明書の秘密鍵ＰｒＡＡＡとを含む。検証パラメータの識別子と、検証パラメータとの関連する説明については、前述の説明を参照されたい。第２の証明書の署名は、サードパーティにより、サードパーティの秘密鍵を用いることにより第２の証明書に署名することにより取得され得る。

さらに、第２の一時認証情報は、一時アルゴリズムをさらに含んでよく、一時アルゴリズムは、第１のネットワークおよびＵＥが一時認証手順を実行する場合に必要とされるアルゴリズムを示す。一時アルゴリズムは、一時認証アルゴリズムおよび／または鍵共有アルゴリズムを含む。一時認証アルゴリズムは、５Ｇ認証および鍵共有（ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ｋｅｙ ａｇｒｅｅｍｅｎｔ、ＡＫＡ）、拡張可能認証プロトコル（ｅｘｔｅｎｓｉｂｌｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ、ＥＡＰ）ＡＫＡ'またはＥＡＰトランスポート層セキュリティ（ｔｒａｎｓｐｏｒｔ ｌａｙｅｒ ｓｅｃｕｒｉｔｙ、ＴＬＳ）を含む。鍵共有アルゴリズムは、ディフィー・ヘルマン（Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ、ＤＨ）アルゴリズム、楕円曲線ディフィー－ヘルマン（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ）アルゴリズム等を含む。第２の一時認証情報は、一時アルゴリズムを含む。その結果、ＡＡＡは、含まれる一時アルゴリズムに従って、対応する一時認証手順を実行できる。このようにして、一時アルゴリズムは、異なる認証アルゴリズムをサポートする複数のＵＥにより構成情報を取得するために用いられ得る。構成情報は、ＵＥにより、ネットワークの選択とネットワークへのアクセスとのために用いられる。

前述の内容に基づいて、図２は、本願による通信方法の概略フローチャートである。この方法は、以下の段階を含む。

段階２０１：ＵＥが補助認証情報を取得する。

可能な実装において、アクセスネットワークデバイス（例えば、基地局）が、補助認証情報をブロードキャストし得る。それに応じて、ＵＥは、基地局によりブロードキャストされる補助認証情報を取得する。オンボーディングが端末装置に対して実行されていない場合、端末装置は、構成情報をローカルに有さず、構成情報に基づいてネットワークを選択してこのネットワークにアクセスすることができない。したがって、端末装置がサブスクリプション情報を有しない場合、ブロードキャスト補助認証情報は、ネットワークアクセスに必要とされるパラメータを端末装置が取得するのに役立ち得る。その結果、端末装置は、ネットワークへのアクセスを試みることができる。

補助認証情報は、１つまたは複数のネットワークの識別情報を含んでよく、ネットワークの識別情報は、ネットワークのアドレス指定をするために用いられる。ネットワークの識別情報は、例えば、公衆陸上移動体ネットワーク識別子（ｐｕｂｌｉｃ ｌａｎｄ ｍｏｂｉｌｅ ｎｅｔｗｏｒｋ ｉｄｅｎｔｉｆｉｅｒ、ＰＬＭＮ ＩＤ）、ネットワーク識別子（ｎｅｔｗｏｒｋ ｉｄｅｎｔｉｆｉｅｒ、ＮＩＤ）またはネットワーク名であってよい。

さらに、補助認証情報は、オンボーディングインジケーション情報をさらに含み得る。オンボーディングインジケーション情報は、ネットワークがオンボーディング手順をサポートしていることを示す。

ここで、補助認証情報は、ネットワーク（第１のネットワークと称される）を一時的に選択し、選択されたネットワークとの相互一時認証手順を実行する際にＵＥを支援するために用いられる。基地局は複数の補助認証情報を同時にブロードキャストしてよく、各補助認証情報はネットワークの識別情報を含むことを理解されたい。例えば、１つのブロードキャストが、１個の補助認証情報に対応し、ＵＥは、複数のブロードキャストを受信することにより、複数の補助認証情報を取得し得る。別の例では、１つのブロードキャストが、複数の補助認証情報に対応し、ＵＥは、１つのブロードキャストを受信することにより、複数の補助認証情報を取得し得る。

段階２０２：ＵＥが、受信した補助認証情報に基づいて、第１のネットワークにアクセスすることを選び得る。

段階２０２は、任意選択的な段階である。

ここで、第１のネットワークは、１つまたは複数のネットワークのいずれか１つである。同じ期間内に、ＵＥは、取得した複数の補助認証情報の各々に含まれるネットワークの識別情報から、１つのネットワークを第１のネットワークとして選択し得る。さらに、ＵＥにより選択される第１のネットワークは、オンボーディング手順をサポートする。

以下では、ＵＥが第１のネットワークにアクセスすることを選ぶ２つの方式（手動方式および自動方式）の例を提供する。

手動方式では、ＵＥは、補助認証情報に基づいて取得される全てのネットワークの識別情報を表示画面に表示し、ユーザは、ＵＥに表示されている全てのネットワークの識別情報から、１つのネットワークを第１のネットワークとして選択し得る。さらに、補助認証情報がオンボーディングインジケーション情報をさらに含む場合、ＵＥは、オンボーディング手順をサポートしている１つまたは複数のネットワークのみの識別情報を表示画面に表示し得る。

自動方式では、ＵＥは、全てのネットワークの取得した識別情報、および信号強度または予め設定された順序等に基づいて、１つのネットワークを第１のネットワークとして選択し得る。さらに、補助認証情報がプライベートネットワーク識別子（例えば、ＮＩＤ）をさらに含む場合、ＵＥは、信号強度または予め設定された順序等に基づいて、プライベートネットワーク識別子に対応するネットワークから、１つのネットワークを第１のネットワークとして選択し得る。第１のネットワークにアクセスすることを、プライベートネットワーク識別子を含む補助認証情報のみに基づいてＵＥが選ぶ理由は、プライベートネットワークのみがオンボーディング手順をサポートしており、ＵＥが、オンボーディング手順をサポートしていないパブリックネットワークの選択を回避してオンボーディング効率を向上させ得ることである。

さらに、補助認証情報がオンボーディングインジケーション情報をさらに含む場合、ＵＥは、信号強度または予め設定された順序等に基づいて、オンボーディング手順をサポートしているネットワークから、１つのネットワークを第１のネットワークとして選択し得る。ＵＥは、オンボーディングインジケーション情報を含む補助認証情報のみに基づいて、第１のネットワークにアクセスすることを選び、オンボーディング手順をサポートしていないネットワークの選択を回避する。これにより、オンボーディング効率が向上する。

可能な実装において、ＵＥは、第１のネットワークにアクセスすることを選んだ後に、第１のネットワークの識別情報を取得し得る。第１のネットワークの識別情報は、ＰＬＭＮ ＩＤおよび／またはＮＩＤを含む。

段階２０３：ＵＥが、第１の一時認証情報と、第１のネットワークの識別情報とに基づいて、第１のネットワークのアクセス情報を決定し得る。

ここで、第１のネットワークのアクセス情報は、第１のネットワークにより、第２の一時認証情報を決定するために用いられる。

可能な実装において、ＵＥは、第１の一時認証情報に基づいて、第１のネットワークのアクセス情報を決定し得る。この実装に基づいて、第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子を含んでよく、第３の一時認証資格情報の識別子は、ＡＡＡにより、第２の一時認証資格情報を決定するために用いられる。その結果、ＡＡＡは、第２の一時認証情報を決定できる。第３の一時認証資格情報の識別子は、ＵＥにより、第１の一時認証資格情報の識別子に基づいて決定され得る。例えば、第１の一時認証資格情報の識別子は、ＵＥの識別子であり、第３の一時認証資格情報の識別子は、ＵＥの識別子の混同値であってよく、具体的には、ＵＥの識別子の、ＵＥによりＵＥの識別子に対してハッシュ演算を実行することにより取得される混同値であってよい。別の例では、第１の一時認証資格情報の識別子は、ＵＥの識別子であり、第３の一時認証資格情報の識別子は、ＵＥの識別子であってよい。別の例では、第１の一時認証資格情報の識別子が検証パラメータの識別子である場合、第３の一時認証資格情報の識別子も、検証パラメータの識別子であってよい。さらに、ＵＥは、第１の一時認証情報および補助認証情報に基づいて、第１のネットワークのアクセス情報を決定し得る。この実装に基づいて、第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子およびＡＡＡの識別情報を含み得る。ＡＡＡの識別情報は、ＡＡＡのアドレス指定をするために用いられる。ＡＡＡの識別情報は、例えば、ルーティングインジケータ（ＲＩ）、ＡＡＡのインターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ、ＩＰ）アドレス、またはデフォルト値（例えば、全て「１」）であってよい。具体的には、ＵＥは、第１の一時認証資格情報の識別子に基づいて、第３の一時認証資格情報の識別子を決定してよく、取得した補助認証情報に基づいて、ＡＡＡの識別情報を決定してよい。ＡＡＡの識別情報は、段階２０１における補助認証情報において保持され得る。この場合、ＵＥは、補助認証情報からＡＡＡの識別情報を直接取得し得る。代替的に、補助認証情報は、ネットワークの識別情報のみを含み、ＵＥは、第１のネットワークの識別情報を第１のネットワークへ送信して、ＡＡＡの識別情報の取得を要求し得る。

別の可能な実装において、ＵＥは、第１の一時認証情報および補助認証情報に基づいて、第１のネットワークのアクセス情報を決定し得る。具体的には、ＵＥは、第１の一時認証資格情報の識別子に基づいて、第３の一時認証資格情報の識別子を決定し、取得した補助認証情報に基づいて、第１のネットワークの識別情報およびＡＡＡの識別情報を決定してよい。第１のネットワークの識別情報が段階２０１における補助認証情報において保持される場合、ＵＥは、補助認証情報から第１のネットワークの識別情報を直接取得し得る。第１のネットワーク内のＡＡＡの識別情報は、段階２０１における補助認証情報において保持され得る。この場合、ＵＥは、補助認証情報からＡＡＡの識別情報を直接取得し得る。代替的に、補助認証情報は、第１のネットワークの識別情報のみを含み、ＵＥは、第１のネットワークの識別情報を第１のネットワークへ送信して、ＡＡＡの識別情報の取得を要求し得る。この実装に基づいて、第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子と、第１のネットワークの識別情報と、ＡＡＡの識別情報とを含み得る。

別の可能な実装において、ＵＥは、第１の一時認証情報と、ＡＡＡの識別情報に対応するデフォルト値とに基づいて、第１のネットワークのアクセス情報を決定し得る。ＡＡＡの識別情報に対応するデフォルト値は、ＵＥにより、予め設定され方式で生成され得る。具体的には、ＵＥは、第１の一時認証資格情報の識別子に基づいて、第３の一時認証資格情報の識別子を決定し得る。前述の説明を参照されたい。ＡＡＡの識別情報は、デフォルト値に基づいて決定され得る。この実装に基づいて、第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子と、第１のネットワークの識別情報と、ＡＡＡの識別情報とを含み得る。

さらに、任意選択的に、第１のネットワークのアクセス情報は、第１のネットワークのアクセス情報のタイプをさらに含み得る。第１のネットワークのアクセス情報のタイプは、特定のタイプであってよい。第１のネットワークのアクセス情報のタイプは、第２の一時認証情報の決定においてＡＡＡを支援するために用いられ、第１のネットワークのアクセス情報が一時認証のために用いられること、第１のネットワークのアクセス情報が製造者により予め構成されていること、または、第１のネットワークのアクセス情報が現在のネットワークにより所有されていないことを示し得る。第１のネットワークのアクセス情報のタイプは、例えば、サブスクリプション永続識別子（ｓｕｂｓｃｒｉｐｔｉｏｎ ｐｅｒｍａｎｅｎｔ ｉｄｅｎｔｉｆｉｅｒ、ＳＵＰＩ）タイプを含む。ＳＵＰＩタイプは、ゼロではない値（ＩＭＳＩの場合）または１ではない値（ＮＡＩの場合）であってよく、２から７までの範囲の任意の値である。

第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子、第３の一時認証資格情報の識別子および第１のネットワークの識別情報、第３の一時認証資格情報の識別子および第１のネットワークのアクセス情報のタイプ、第３の一時認証資格情報の識別子、ＡＡＡの識別情報、第３の一時認証資格情報の識別子および第１のネットワークの識別情報、第１のネットワークのアクセス情報のタイプ、第３の一時認証資格情報の識別子、第１のネットワークの識別情報およびＡＡＡの識別情報、第３の一時認証資格情報の識別子、第１のネットワークのアクセス情報のタイプおよびＡＡＡの識別情報、第３の一時認証資格情報の識別子、第１のネットワークの識別情報、ＡＡＡの識別情報および第１のネットワークのアクセス情報のタイプ、第３の一時認証資格情報の識別およびデフォルト値、第３の一時認証資格情報の識別子、第１のネットワークの識別情報およびデフォルト値、第３の一時認証資格情報の識別子、第１のネットワークのアクセス情報のタイプおよびＡＡＡの識別情報、または、第３の一時認証資格情報の識別子、第１のネットワークの識別情報、デフォルト値および第１のネットワークのアクセス情報のタイプのいずれか１つを含み得ることを理解されたい。

本願において、第１のネットワークのアクセス情報は、サブスクリプションコンシールド識別子（ｓｕｂｓｃｒｉｐｔｉｏｎ ｃｏｎｃｅａｌｅｄ ｉｄｅｎｔｉｆｉｅｒ、ＳＵＣＩ）であってよい。ＳＵＣＩの構築については、３ＧＰＰ ＴＳ２３．００３を参照されたい。ＳＵＣＩは、ＳＵＰＩタイプ、ホームネットワーク識別子、ルーティングインジケータ、保護スキーム識別子、ホームネットワーク公開鍵識別子および／またはスキーム出力というパラメータを含む。例えば、ＳＵＰＩタイプは、ゼロではない値または１ではない値に設定されてよく、ホームネットワーク識別子は、第１のネットワークのＰＬＭＮ ＩＤに設定されてよく、ルーティングインジケータは、第１のネットワークのＲＩに設定されてよく、保護スキーム識別子およびホームネットワーク公開鍵識別子は、０に設定されてよく、スキーム出力は、第３の一時認証資格情報の識別子に設定されてよい。

段階２０４：ＵＥが、第１のネットワークのアクセス情報に基づいて、第１のネットワークとの相互一時認証をトリガし得る。

可能な実装において、ＵＥは、第１のネットワークのアクセス情報を第１のネットワーク内のＡＡＡへ送信し得る。それに応じて、ＡＡＡは、ＵＥから第１のネットワークのアクセス情報を受信する。

ここで、ＵＥがまず、第１のネットワークのアクセス情報を認証アンカーへ送信してよく、次に、認証アンカーが、第１のネットワークのアクセス情報をＡＡＡへ送信する。

可能な実装において、第１のネットワークのアクセス情報はさらに、第１のネットワーク内の認証アンカーにより、ＡＡＡを選択するために用いられ得る。図３における以下の説明を参照されたい。

図１を参照すると、認証アンカーは、ＡＭＦ、ＳＥＡＦ、ＳＭＦまたはＡＵＳＦであってよく、認証アンカーは、ＵＥが第１のネットワークとの認証手順を実行した後に、取得された一時認証結果を認識し得る。

さらに、ＡＡＡは、第１のネットワークのアクセス情報に基づいて、第２の一時認証情報を決定し得る。

段階２０３における第１のネットワークの異なるアクセス情報に基づいて、以下では、ＡＡＡが第１のネットワークのアクセス情報に基づいて第２の一時認証情報を決定する処理を別個に説明する。

第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子を含み、ＡＡＡは、第３の一時認証資格情報の識別子に基づいて、第２の一時認証資格情報を取得し得る。さらに、第３の一時認証資格情報の識別子に対応する一時アルゴリズムが取得され得る。

第１のネットワークのアクセス情報がアクセス情報のタイプをさらに含み、アクセス情報のタイプが、特定のタイプであり、第１のネットワークのアクセス情報が一時認証のために用いられること、第１のネットワークのアクセス情報が製造者により予め構成されていること、または、第１のネットワークのアクセス情報が現在のネットワークにより所有されていないことを示し得る場合、ＡＡＡは、一時認証情報が検索される必要があることを特定のタイプに基づいて決定し得る。第３の一時認証資格情報の識別子がＵＥの製造者により予め構成されているので、この識別子は、第１のネットワークに格納されているＳＵＰＩ（第１のネットワークにより割り当てられる）で複製されてよく、特定のタイプのアクセス情報を導入することにより、複製ユーザアイデンティティに起因して不正確なＩＤが見つかるという問題を回避できる。

可能な実装において、第１のネットワークのアクセス情報は、第３の一時認証資格情報の識別子（例えば、ＵＥの識別子の混同値）を含み、ＡＡＡは、第３の一時認証資格情報の識別子に基づき、第３の一時認証資格情報の識別子と同じ第２の一時認証資格情報の識別子を求めて複数の格納された第２の一時認証情報を検索して、第２の一時認証資格情報を取得し得る。

別の可能な実装において、第１のネットワークのアクセス情報は、ＡＡＡの識別情報（例えば、ＲＩ）および第３の一時認証資格情報の識別子（例えば、ＵＥの識別子の混同値）を含む。認証アンカーは、ＡＡＡの識別情報に基づいてＡＡＡを決定し、次に、決定したＡＡＡへ第１のネットワークのアクセス情報を送信し得る。ＡＡＡは、ＵＥの識別子の混同値に基づき、ＵＥの識別子の混同値と同じＵＥの識別子の混同値を求めて複数の格納された第２の一時認証情報を検索して、ＵＥの第２の一時認証情報を取得し得る。言い換えると、ＡＡＡは、第３の一時認証資格情報の識別子に基づいて、第２の一時認証情報を決定し得る。ＡＡＡは、ＵＥの識別子の混同値に対応する第２の一時認証資格情報を第２の一時認証情報から取得し得る。さらに、ＵＥの識別子の混同値に対応する一時アルゴリズムが取得され得る。

さらに別の可能な実装において、第１のネットワークのアクセス情報は、ＡＡＡの識別情報（例えば、ＲＩ）および第３の一時認証資格情報の識別子（例えば、検証パラメータの識別子）を含む。認証アンカーは、ＡＡＡの識別情報に基づいてＡＡＡを決定し、次に、決定したＡＡＡへ第１のネットワークのアクセス情報を送信し得る。ＡＡＡは、検証パラメータの識別子に基づき、検証パラメータの識別子と同じ検証パラメータの識別子を求めて複数の格納された第２の一時認証情報を検索して、ＵＥの第２の一時認証情報を取得し得る。ＡＡＡは、第２の一時認証情報から、検証パラメータの識別子に対応する検証パラメータを取得し得る。さらに、検証パラメータの識別子に対応する第２の証明書と、第２の証明書の秘密鍵ＰｒＡＡＡとが取得され得る。さらに、検証パラメータの識別子に対応する一時アルゴリズムが取得され得る。

さらに別の可能な実装において、第１のネットワークのアクセス情報は、ＡＡＡの識別情報（例えば、デフォルト値）および第３の一時認証資格情報の識別子（例えば、ＵＥの識別子の混同値）を含む。認証アンカーのローカル構成は、ＡＡＡのデフォルト値を含み得る。認証アンカーは、ローカル構成に基づいて、ＡＡＡを決定し得る。具体的には、認証アンカーのローカル構成は、デフォルト値に対応するＡＡＡを含み、次に、第１のネットワークのアクセス情報は、決定されたＡＡＡへ送信される。ＡＡＡは、ＵＥの識別子の混同値に基づき、ＵＥの識別子の混同値と同じＵＥの識別子の混同値を求めて複数の格納された第２の一時認証情報を検索して、ＵＥの第２の一時認証情報を取得し得る。言い換えると、ＡＡＡは、第３の一時認証資格情報の識別子に基づいて、第２の一時認証情報を決定し得る。ＡＡＡは、ＵＥの識別子の混同値に対応する第２の一時認証資格情報を第２の一時認証情報から取得し得る。さらに、ＵＥの識別子の混同値に対応する一時アルゴリズムが取得され得る。

さらに別の可能な実装において、第１のネットワークのアクセス情報は、ＡＡＡの識別情報（例えば、ＲＩ）と、第３の一時認証資格情報の識別子（例えば、ＵＥの識別子の混同値）と、第１のネットワークのアクセス情報のタイプ（例えば、ＳＵＰＩタイプ）とを含む。認証アンカーは、ＡＡＡの識別情報に基づいてＡＡＡを決定し、次に、決定したＡＡＡへ第１のネットワークのアクセス情報を送信し得る。ＡＡＡは、一時認証情報が検索される必要がある、と第１のネットワークのアクセス情報のタイプに基づいて判定し、次に、ＵＥの識別子の混同値と同じＵＥの識別子の混同値を求めて複数の格納された第２の一時認証情報を検索して、ＵＥの第２の一時認証情報を取得し得る。言い換えると、ＡＡＡは、第３の一時認証資格情報の識別子に基づいて、第２の一時認証情報を決定し得る。このようにして、ＡＡＡは、ＵＥの識別子の混同値に対応する第２の一時認証資格情報を第２の一時認証情報から取得し得る。さらに、ＵＥの識別子の混同値に対応する一時アルゴリズムが取得され得る。

本願において、ＵＥおよびＡＡＡはそれぞれ、第１の一時認証情報および第２の一時認証情報に基づいて、相互一時認証を実行し得る。

可能な実装において、相互一時認証手順は、５Ｇ ＡＫＡ、ＥＡＰ－ＡＫＡ'またはＥＡＰ ＴＬＳを通じて、ＵＥとＡＡＡとの間で実行され得る。用いられる具体的な一時認証手順は、ＡＡＡにより、第２の一時認証情報に含まれる一時アルゴリズムに従って決定されてもよく、ＵＥおよび第１のネットワークにより前もってネゴシエートされてもよく、プロトコルにおいて予め定義されてもよい。これは、本願において限定されない。

段階２０５：相互一時認証が成功した場合、ＵＥが第１のネットワークの構成情報を取得する。

この段階は、任意選択的な段階である。

ここで、第１のネットワークの構成情報は、端末装置により、第１のネットワークの選択と第１のネットワークへのアクセスとのために用いられる。可能な実装において、第１のネットワークの構成情報は、ネットワーク選択サブスクリプション情報および／または長期認証資格情報を含む。ネットワーク選択サブスクリプション情報は、ＵＥにより、第１のネットワークにアクセスすることを選ぶために用いられる。言い換えると、ＵＥは、第１のネットワークのネットワーク選択サブスクリプション情報を用いることにより、第１のネットワークにアクセスすることを選び得る。例えば、ＵＥは、第１のネットワークお構成情報を取得した後に、最高優先度を有する第１のネットワークを順に（例えば、優先順序で）選択し、第１のネットワークに対する登録要求を開始し得る。ＵＥが第１のネットワークに登録する処理において、第１のネットワークは、認証を開始する。長期認証資格情報は、第１のネットワークにより第１のネットワークへのアクセスを端末装置に許可するために用いられる資格情報であってよい。その結果、端末装置は、第１のネットワークにアクセスし、第１のネットワークにより提供されるサービスを取得する。

可能な実装において、ネットワーク選択サブスクリプション情報は、第１のネットワークの識別情報（例えば、ＰＬＭＮ ＩＤまたはＮＩＤ）と、ルーティングインジケータ（ｒｏｕｔｉｎｇ ｉｎｄｉｃａｔｏｒ、ＲＩ）と、端末のサービスパラメータ（例えば、ＱｏＳパラメータ）と、第１のネットワークのスライス情報（例えば、ＮＳＳＡＩ）と、第１のネットワークのデータネットワーク名（例えば、ＤＮＮ）と、ＵＥの長期識別情報（例えば、ＳＵＰＩ）とを含み得る。ＳＵＰＩは、一時的に用いられない。ＲＩの定義については、３ＧＰＰ ＴＳ２３．００３を参照されたい。

可能な実装において、長期認証資格情報は、第１のネットワークにより第１のネットワークへのアクセスを端末装置に許可するために用いられる資格情報であってよい。さらに、任意選択的に、端末装置は、長期認証資格情報に基づいて第１のネットワークにアクセスした後に、第１のネットワークにより提供されるサービスを取得し得る。例えば、第１のネットワークは、公開鍵および秘密鍵のペアを生成し、このペアのうちの公開鍵（すなわち、長期認証資格情報）を端末装置へ送信し得る。端末装置は、受信した公開鍵（すなわち、長期認証資格情報）に基づき第１のネットワークとの認証を実行して、第１のネットワークにアクセスし得る。別の例では、第１のネットワークは、対称鍵（すなわち、長期認証資格情報）を端末装置へ送信し、端末装置は、対称鍵（すなわち、長期認証資格情報）に基づき第１のネットワークとの認証を実行して、第１のネットワークにアクセスし得る。言い換えると、長期認証資格情報は、公開鍵または証明書であってもよく、第１のネットワーク内のものと同じ端末装置により受信される対称鍵であってもよい。

例えば、ＵＥにより取得されるネットワーク選択サブスクリプション情報は、ＰＬＭＮ ＩＤ、ＮＩＤ、ＲＩおよびＳＵＰＩを含み、ＵＥにより取得される長期認証資格情報は、証明書である。ＵＥは、ネットワーク選択サブスクリプション情報および長期認証資格情報を取得した後に、ＰＬＭＮ ＩＤおよびＮＩＤに基づいて、基地局のブロードキャストからの同じＰＬＭＮ ＩＤおよびＮＩＤを有する第１のネットワークを選択し得る。ＵＥは、ＰＬＭＮ ＩＤ、ＲＩおよびＳＵＰＩに基づきＳＵＣＩを構築して第１のネットワークへのアクセスを試み、証明書を用いることにより第１のネットワークとの認証を実行して第１のネットワークのサービスを取得する。

前述の解決手段に基づいて、ＵＥは、取得した補助認証情報と、第１の一時認証情報とに基づいて第１のネットワークのアクセス情報を決定して、第１のネットワークのアクセス情報に基づき第１のネットワークとの相互一時認証をトリガし得る。ＵＥと第１のネットワークとの間の相互一時認証が成功した場合、ＵＥは、第１のネットワークにアクセスするための構成情報を第１のネットワークから取得し得る。その結果、ＵＥは、構成情報に基づいて、第１のネットワークにアクセスできる。このようにして、ＵＥは、ネットワーク側情報がＵＥ上で構成されなかった場合、第１のネットワークのサブスクリプション情報をセキュアに取得できる。

段階２０４について、図３は、本願によるＵＥが第１のネットワークのアクセス情報をＡＡＡへ送信する方法の概略フローチャートである。この方法は、以下の段階を含み得る。

段階３０１：ＵＥが第１のネットワークのアクセス情報をＡＭＦへ送信する。

第１のネットワークのアクセス情報は、登録要求メッセージにおいて保持され得る。具体的には、ＵＥは、登録要求メッセージをＡＭＦへ送信してよく、登録要求メッセージは、第１のネットワークのアクセス情報を含む。第１のネットワークのアクセス情報の可能な実装については、段階２０３における関連する説明を参照されたい。詳細については、ここで再び説明しない。

段階３０２：ＡＭＦが、第１のネットワークのアクセス情報に基づいて、ＡＵＳＦを選択し得る。

ここで、第１のネットワークのアクセス情報がＡＡＡの識別情報（例えば、ＲＩ）を含む場合、ＡＭＦは、ＡＡＡの識別情報（例えば、ＲＩ）に基づいて、ＡＵＳＦを選択し得る。第１のネットワークのアクセス情報が第１のネットワークの識別情報（ＰＬＭＮ ＩＤ）をさらに含む場合、ＡＭＦは、このネットワークの識別情報（ＰＬＭＮ ＩＤ）およびＡＡＡの識別情報（例えば、ＲＩ）に基づいて、ＡＵＳＦを選択し得る。第１のネットワークのアクセス情報がＳＵＰＩタイプを含み、ＳＵＰＩタイプが、０ではない値または１ではない値であり、第１のネットワークのアクセス情報が一時認証のために用いられること、第１のネットワークのアクセス情報が、製造者により予め構成されているか、現在のネットワークにより所有されていないこと、または、ＲＩがデフォルト値であることを示し得る場合、ＡＭＦは、ローカル構成から特定のＡＵＳＦを選択し得る。言い換えると、特定のＡＵＳＦの識別情報は、ＡＭＦ上でローカルに構成され、第１のネットワークのアクセス情報が特定のＡＵＳＦの識別情報を含むか、特定のＳＵＰＩタイプを示す場合、ＡＭＦは、ローカル構成からＡＵＳＦを決定し得る。特定のＡＵＳＦは、具体的には、一時認証手順を実行するように構成されている。

段階３０３：ＡＭＦが、決定したＡＵＳＦへ第１のネットワークのアクセス情報を送信する。

段階３０４：ＡＵＳＦが、第１のネットワークのアクセス情報に基づいて、ＡＡＡを選択する。

可能な実装において、第１のネットワークのアクセス情報は、ＡＡＡの識別情報を含んでよく、ＡＵＳＦは、ＡＡＡの識別情報に基づいて、ＡＡＡを直接決定してよい。このネットワークのアクセス情報が第１のネットワークの識別情報（ＰＬＭＮ ＩＤ）をさらに含む場合、ＡＵＳＦは、このネットワークの識別情報（ＰＬＭＮ ＩＤ）およびＡＡＡの識別情報（例えば、ＲＩ）に基づいて、ＡＡＡを選択し得る。例えば、ＡＵＳＦは、第１のネットワークのアクセス情報におけるＲＩに基づいて、ＡＡＡを直接選択し得る。別の可能な実装において、第１のネットワークのアクセス情報がＳＵＰＩタイプを含み、ＳＵＰＩタイプが、０ではない値または１ではない値であり、第１のネットワークのアクセス情報が一時認証のために用いられること、第１のネットワークのアクセス情報が、製造者により予め構成されているか、現在のネットワークにより所有されていないこと、または、ＲＩがデフォルト値であることを示し得る場合、ＡＵＳＦは、ローカル構成においてＡＡＡを決定し得る。言い換えると、特定のＡＡＡの識別情報は、ＡＵＳＦ上でローカルに構成され、第１のネットワークのアクセス情報が特定のＡＡＡの識別情報（すなわち、デフォルト値）を含むか、特定のＳＵＰＩタイプを示す場合、ＡＵＳＦは、ローカル構成においてＡＡＡを決定し得る。

さらに、ＡＵＳＦのローカル構成は、このネットワークの識別情報とＡＡＡの識別情報との間のマッピング関係をさらに含み得る。第１のネットワークのアクセス情報がこのネットワークの識別情報のみを含む場合、ＡＵＳＦは、このネットワークの識別情報に基づいて、ＡＡＡの識別情報を取得し得る。

段階３０５：ＡＵＳＦが第１のネットワークのアクセス情報をＡＡＡへ送信する。それに応じて、ＡＡＡは、ＡＵＳＦから第１のネットワークのアクセス情報を受信する。

以下では、ＵＥと第１のネットワークとの間の相互一時認証の実行の３つの可能な例を提供する。ＵＥと第１のネットワークとの間で実行される相互一時認証手順は、限定されるわけではないが、以下の３つの例を含み、以下の３つの例は、説明のための例に過ぎないことに留意されたい。

例１：ＵＥ上で予め構成された第１の一時認証資格情報は、ＵＥの第１の秘密鍵ＰｒＵＥであり、ＡＡＡ上で予め構成された第２の一時認証資格情報は、ＵＥの第１の公開鍵ＰｋＵＥである。

例１に基づいて、図４Ａおよび図４Ｂは、本願によるＵＥと第１のネットワークとの間の相互一時認証を実行する方法の概略フローチャートである。この方法は、以下の段階を含み得る。

段階４０１：ＡＡＡが第１の一時対称鍵Ｋｔ１を生成する。

ここで、ＡＡＡは、非対称鍵のペア、すなわち、第２の公開鍵ＰｋＡＡＡおよび第２の秘密鍵ＰｒＡＡＡを生成する。

可能な実装において、第２の一時認証情報は一時アルゴリズムを含んでよく、ＡＡＡは、第２の一時認証情報における一時アルゴリズムに従って、Ｋｔ１を生成してよい。さらに、一時アルゴリズムは、鍵共有アルゴリズムを含み得る。例えば、ＡＡＡは、鍵共有アルゴリズムに従ってＰｋＡＡＡおよびＰｒＡＡＡを生成し、次に、第２の秘密鍵ＰｒＡＡＡおよび第２の一時認証資格情報（すなわち、公開鍵ＰｋＵＥ）に基づいてＫｔ１を生成し得る。

段階４０２：ＡＡＡが、Ｋｔ１および第１のアルゴリズムに基づいて、第１のチャレンジ値ＸＲＥＳ＊を生成し得る。

ここで、ＸＲＥＳ＊は、ＡＵＳＦにより、ＵＥに対して認証を実行するために用いられる。

可能な実装において、一時アルゴリズムは、第１の一時認証アルゴリズムを含み得る。具体的には、ＡＡＡは、第２の一時認証情報における第１の一時認証アルゴリズム（すなわち、第１のアルゴリズム）と、Ｋｔ１とに基づいて、ＸＲＥＳ＊を生成し得る。さらに、第１の一時認証アルゴリズムが５Ｇ ＡＫＡである場合、具体的には、ＡＡＡは、乱数ＲＡＮＤを生成し、次に、Ｋｔ１、ＲＡＮＤおよびｆ２アルゴリズム（すなわち、第１のアルゴリズム）に基づいてＸＲＥＳを生成し、ＸＲＥＳおよびＲＡＮＤに基づいてＸＲＥＳ＊を生成し得る。

段階４０３：ＡＡＡが、Ｋｔ１および第２のアルゴリズムに基づいて、第１のメッセージ認証コードＭＡＣ１を生成し得る。

ここで、ＭＡＣ１は、ＵＥにより、第１のネットワークに対して認証を実行するために用いられる。

可能な実装において、一時アルゴリズムは、第２の一時認証アルゴリズムを含み得る。例えば、ＡＡＡは、第２の一時認証情報における第２の一時認証アルゴリズム（すなわち、第２のアルゴリズム）と、Ｋｔ１とに基づいて、ＭＡＣ１を生成し得る。さらに、一時認証アルゴリズムが５Ｇ ＡＫＡまたはＥＡＰ－ＡＫＡ'である場合、具体的には、ＡＡＡは、乱数ＲＡＮＤを生成し、次に、Ｋｔ１、ＲＡＮＤおよびｆ１アルゴリズム（すなわち、第２のアルゴリズム）に基づいてＭＡＣ１を生成し得る。

段階４０２と段階４０３との間には順序がないことに留意されたい。段階４０２が段階４０３の前に実行されてもよく、段階４０３が段階４０２の前に実行されてもよく、段階４０２および段階４０３が同時に実行されてもよい。これは、本願において限定されない。

段階４０４：ＡＡＡがＰｋＡＡＡ、ＸＲＥＳ＊、ＭＡＣ１およびＲＡＮＤをＡＵＳＦへ送信する。それに応じて、ＡＵＳＦは、ＡＡＡからＰｋＡＡＡ、ＸＲＥＳ＊、ＭＡＣ１およびＲＡＮＤを受信する。

段階４０５：ＡＵＳＦが、ＸＲＥＳ＊に基づいて、第２のチャレンジ値ＨＸＲＥＳ＊を生成する。

可能な実装において、ＡＵＳＦは、ＸＲＥＳ＊およびＲＡＮＤに基づいて、ＨＸＲＥＳ＊を生成し得る。ＨＸＲＥＳ＊は、ＡＭＦにより、ＵＥに対して認証を実行するために用いられる。

ＸＲＥＳ＊は、ＡＵＳＦにより、ＵＥに対して認証を実行するために用いられる。したがって、ＡＵＳＦは、ＸＲＥＳ＊を格納する必要がある。

段階４０６：ＡＵＳＦがＰｋＡＡＡ、ＨＸＲＥＳ＊、ＭＡＣ１およびＲＡＮＤをＡＭＦへ送信する。それに応じて、ＡＭＦは、ＡＵＳＦからＰｋＡＡＡ、ＨＸＲＥＳ＊、ＭＡＣ１およびＲＡＮＤを受信する。

ＨＸＲＥＳ＊は、ＡＭＦにより、ＵＥに対して認証を実行するために用いられる。したがって、ＡＭＦは、ＨＸＲＥＳ＊を格納する必要がある。

段階４０７：ＡＭＦが認証要求メッセージをＵＥへ送信する。それに応じて、ＵＥは、ＡＭＦから認証要求メッセージを受信する。

認証要求メッセージは、ＰｋＡＡＡ、ＭＡＣ１おＲＡＮＤを含む。

段階４０８：ＵＥが第２の一時対称鍵Ｋｔ２を生成する。

ここで、ＵＥは、ＰｋＡＡＡを含む認証要求メッセージを受信した後に、第２の公開鍵ＰｋＡＡＡと、第１の一時認証情報における第１の一時認証資格情報（すなわち、秘密鍵ＰｒＵＥ）とに基づいて、Ｋｔ２を生成し得る。

ＵＥは、第２の公開鍵、ＰｋＡＡＡおよび秘密鍵ＰｒＵＥを用いることによりＫｔ２を生成し、ＡＡＡは、第２の秘密鍵ＰｒＡＡＡおよび公開鍵ＰｋＵＥを用いることによりＫｔ１を生成し、Ｋｔ１およびＫｔ２は同じであることを理解されたい。ＵＥおよびＡＡＡは、鍵共有アルゴリズム（すなわち、公開／秘密鍵メカニズム）を用いることにより、同じ一時対称鍵についてネゴシエートし、次に、同じ一時対称鍵に基づいて、相互一時認証を実行する。このようにして、既存の認証手順に対する修正を低減するために、既存の手順が可能な限り用いられ得る。

段階４０９：ＵＥがＫｔ２に基づいてＭＡＣ１を検証する。

可能な実装において、ＵＥは、Ｋｔ２ＲＡＮＤおよび第２の一時認証アルゴリズム（ｆ１アルゴリズム）に基づいて、ＸＭＡＣ１を生成する。受信したＭＡＣ１がＸＭＡＣ１と同じであると判定された場合、これは、ＵＥがＭＡＣ１を正常に検証していることを示す。つまり、ＵＥにより第１のネットワークに対して実行された一時認証は成功している。次に、段階４１０が実行される。受信したＭＡＣ１が、ＡＡＡにより、Ｋｔ１、ＲＡＮＤおよびｆ１アルゴリズムに基づいて生成されていることに留意されたい。

段階４１０：ＵＥが、Ｋｔ２に基づいて、第３のチャレンジ値ＲＥＳ＊を生成し得る。

ここで、ＲＥＳ＊は、第１のネットワークにより、ＵＥに対して認証を実行するために用いられる。具体的には、ＵＥは、Ｋｔ２、ＲＡＮＤおよびｆ２アルゴリズムに基づいてＲＥＳを生成し、次に、ＲＥＳおよびＲＡＮＤに基づいてＲＥＳ＊を生成し得る。

段階４１１：ＵＥが認証応答メッセージをＡＭＦへ送信する。それに応じて、ＡＭＦは、ＵＥから認証応答メッセージを受信する。

認証応答メッセージは、第３のチャレンジ値ＲＥＳ＊を含む。

段階４１２：ＡＭＦが、ＨＸＲＥＳ＊に基づいて、認証応答メッセージにおける第３のチャレンジ値ＲＥＳ＊を検証し得る。

段階４０６において、ＡＭＦは、ＨＸＲＥＳ＊を格納し、ＡＭＦは、ＲＥＳ＊およびＲＡＮＤに基づいて、ＨＲＥＳ＊を生成し得る。ＨＸＲＥＳ＊が、生成されたＨＲＥＳ＊と同じであるとＡＭＦが判定した場合、ＡＭＦは、ＲＥＳ＊を正常に検証している。これは、ＡＭＦによりＵＥに対して実行された一時認証が成功していることを示し、次に、段階４１３が実行される。

段階４１３：検証が成功した場合、ＡＭＦは、ＲＥＳ＊をＡＵＳＦへ送信する。

段階４１４：ＡＵＳＦが、ＸＲＥＳ＊に基づいて、ＲＥＳ＊を検証する。

ここで、ＡＵＳＦは、ＲＥＳ＊およびＸＲＥＳ＊を比較する。ＲＥＳ＊およびＸＲＥＳ＊が同じである場合、ＲＥＳ＊に対する検証は成功している。これは、ＡＵＳＦがＵＥを認証していることを示す。ＲＥＳ＊は、ＵＥによりＲＥＳおよびＲＡＮＤに基づいて生成されることに留意されたい。ＲＥＳは、ＵＥにより、Ｋｔ２、ＲＡＮＤおよびｆ２アルゴリズムに基づいて生成されてよく、ＸＲＥＳ＊は、ＡＡＡにより、ＸＲＥＳおよびＲＡＮＤに基づいて生成され、ＸＲＥＳは、ＡＡＡにより、Ｋｔ１、ＲＡＮＤおよびｆ２アルゴリズムに基づいて生成される。ＡＡＡが正しいＰｋＵＥを取得し、ＵＥおよびＡＡＡがそれぞれ、ネゴシエーションを通じて同じＫｔ１およびＫｔ２を生成している場合にのみ、ＲＥＳ＊およびＸＲＥＳ＊は同じである。

ＡＭＦおよびＡＵＳＦの両方がＵＥとＡＡＡとの間で実行される相互一時認証手順に参加し、両方が認証成功結果を取得できることが、例１から認識され得る。したがって、例１における認証アンカーは、ＡＭＦまたはＡＵＳＦであってよい。加えて、ＵＥおよび第１のネットワークは、公開／秘密鍵メカニズムを用いることにより、既存の５Ｇ ＡＫＡ認証方法に基づいて対称鍵ネゴシエーションを実行する。その結果、５Ｇ ＡＫＡを実装するために対称鍵が再使用され、システムの複雑性が低減し得る。さらに、公開／秘密鍵メカニズムが用いられ、公開鍵が公開されているので、公開鍵が端末デバイスにおいてＱＲコード形式でペーストされて露出されている場合でさえ、ＵＥと第１のネットワークとの間で実行される一時認証手順のセキュリティは影響を受けない。

例２：ＵＥ上で予め構成された第１の一時認証資格情報は、ＵＥの第１の秘密鍵ＰｒＵＥであり、ＡＡＡ上で予め構成された第２の一時認証資格情報は、ＵＥの第１の公開鍵ＰｋＵＥである。

例２に基づいて、図５は、本願によるＵＥと第１のネットワークとの間の相互一時認証を実行する方法の概略フローチャートである。この方法は、以下の段階を含み得る。

段階５０１：ＡＡＡが第１の一時対称鍵Ｋｔ１を生成する。

段階５０１については、段階４０１の説明を参照されたい。詳細については、ここで再び説明しない。

段階５０２：ＡＡＡが、Ｋｔ１および第３のアルゴリズムに基づいて、第４のチャレンジ値ＸＲＥＳを生成し得る。

ここで、ＸＲＥＳは、ＡＵＳＦにより、ＵＥに対して認証を実行するために用いられる。

可能な実装において、一時アルゴリズムは、第３の一時認証アルゴリズムを含み得る。例えば、ＡＡＡは、第２の一時認証情報における第３の一時認証アルゴリズムと、Ｋｔ１とに基づいて、ＸＲＥＳを生成し得る。さらに、第３の一時認証アルゴリズムがＥＡＰ－ＡＫＡ'である場合、ＡＡＡは、乱数ＲＡＮＤを生成し、次に、Ｋｔ１、ＲＡＮＤおよびｆ２アルゴリズム（すなわち、第３のアルゴリズム）に基づいてＸＲＥＳを生成し得る。

段階５０３：ＡＡＡが、Ｋｔ１および第４のアルゴリズムに基づいて、第３のメッセージ認証コードＭＡＣ３を生成し得る。

可能な実装において、一時アルゴリズムは、第４の一時認証アルゴリズムを含み得る。例えば、ＡＡＡは、第２の一時認証情報における第４の一時認証アルゴリズム（すなわち、第４のアルゴリズム）と、Ｋｔ１とに基づいて、ＭＡＣ３を生成し得る。さらに、一時認証アルゴリズムがＥＡＰ－ＡＫＡ'である場合、具体的には、ＡＡＡは、乱数ＲＡＮＤを生成し、次に、Ｋｔ１、ＲＡＮＤおよびｆ１アルゴリズム（すなわち、第４のアルゴリズム）に基づいてＭＡＣ３を生成し得る。

段階５０３については、段階４０３の説明を参照されたい。詳細については、ここで再び説明しない。

段階５０２と段階５０３との間には順序がないことに留意されたい。段階５０２が段階５０３の前に実行されてもよく、段階５０３が段階５０２の前に実行されてもよく、段階５０２および段階５０３が同時に実行されてもよい。これは、本願において限定されない。

段階５０４：ＡＡＡがＰｋＡＡＡ、ＸＲＥＳ、ＭＡＣ１およびＲＡＮＤをＡＵＳＦへ送信する。それに応じて、ＡＵＳＦは、ＡＡＡからＰｋＡＡＡ、ＸＲＥＳ、ＭＡＣ１およびＲＡＮＤを受信する。

段階５０４については、段階４０４の説明を参照されたい。詳細については、ここで再び説明しない。

段階５０５：ＡＵＳＦがＰｋＡＡＡ、ＸＲＥＳ、ＭＡＣ１およびＲＡＮＤをＡＭＦへ送信する。それに応じて、ＡＭＦは、ＡＵＳＦからＰｋＡＡＡ、ＸＲＥＳ、ＭＡＣ１およびＲＡＮＤを受信する。

ＸＲＥＳは、ＡＭＦにより、ＵＥに対して認証を実行するために用いられる。したがって、ＡＭＦは、ＸＲＥＳを格納する必要がある。

段階５０６：ＡＭＦが認証要求メッセージをＵＥへ送信する。それに応じて、ＵＥは、ＡＭＦから認証要求メッセージを受信する。

段階５０６については、段階４０７の説明を参照されたい。詳細については、ここで再び説明しない。

段階５０７：ＵＥが第２の一時対称鍵Ｋｔ２を生成する。

段階５０７については、段階４０８の説明を参照されたい。詳細については、ここで再び説明しない。

段階５０８：ＵＥがＫｔ２に基づいてＭＡＣ３を検証する。

段階５０８については、段階４０９の説明を参照されたい。詳細については、ここで再び説明しない。

段階５０９：ＵＥがＫｔ２に基づいて第５のチャレンジ値ＲＥＳを生成する。

ここで、ＲＥＳは、第１のネットワークにより、ＵＥに対して認証を実行するために用いられる。具体的には、ＵＥは、Ｋｔ２、ＲＡＮＤおよびｆ２アルゴリズムに基づいてＲＥＳを生成し得る。

段階５１０：ＵＥが認証応答メッセージをＡＭＦへ送信する。それに応じて、ＡＭＦは、ＵＥから認証応答メッセージを受信する。

認証応答メッセージは、第５のチャレンジ値ＲＥＳを含む。

段階５１１：ＡＭＦがＲＥＳをＡＵＳＦへ送信する。

段階５１２：ＡＵＳＦがＸＲＥＳに基づいてＲＥＳを検証する。

ここで、ＡＵＳＦは、ＲＥＳおよびＸＲＥＳを比較し得る。ＲＥＳおよびＸＲＥＳが同じである場合、ＲＥＳに対する検証は成功している。これは、ＡＵＳＦがＵＥを認証していることを示す。ＸＲＥＳは、ＡＡＡによりＫｔ１、ＲＡＮＤおよびｆ２アルゴリズムに基づいて生成され、ＲＥＳは、ＵＥによりＫｔ２、ＲＡＮＤおよびｆ２アルゴリズムに基づいて生成され得ることに留意されたい。ＡＡＡが正しいＰｋＵＥを取得し、ＵＥおよびＡＡＡがそれぞれ、ネゴシエーションを通じて同じＫｔ１およびＫｔ２を生成している場合にのみ、ＲＥＳ＊およびＸＲＥＳ＊は同じであることを理解されたい。

ＡＭＦはＵＥに対して一時認証を直接実行せず、認証はＡＵＳＦにより実行されることが、例２から認識され得る。したがって、例２における認証アンカーは、ＡＵＳＦである。加えて、ＵＥおよび第１のネットワークは、公開／秘密鍵メカニズムを用いることにより、既存のＥＡＰ－ＡＫＡ'認証方法に基づいて対称鍵ネゴシエーションを実行する。その結果、ＥＡＰ－ＡＫＡ'を実装するために対称鍵が再使用され、システムの複雑性が低減し得る。さらに、例２において、公開／秘密鍵メカニズムが用いられ、公開鍵が公開されているので、公開鍵が端末デバイスにおいてＱＲコード形式でペーストされて露出されている場合でさえ、ＵＥと第１のネットワークとの間で実行される一時認証手順のセキュリティは影響を受けない。

例３：ＵＥ上で予め構成された第１の一時認証資格情報は、第１の証明書と、第１の証明書の秘密鍵ＰｒＵＥと、検証パラメータとを含み、ＡＡＡ上で予め構成された第２の一時認証資格情報は、検証パラメータと、第２の証明書と、第２の証明書の第２の秘密鍵ＰｒＡＡＡとを含む。

図６は、本願によるＵＥと第１のネットワークとの間の相互一時認証を実行する方法のさらに別の概略フローチャートである。この方法は、以下の段階を含み得る。

段階６０１：ＡＡＡが第２の一時認証資格情報をＡＵＳＦへ送信する。それに応じて、ＡＵＳＦは、ＡＡＡから第２の一時認証資格情報を受信する。

ここで、第２の一時認証資格情報は、検証パラメータを含む。任意選択的に、第２の一時認証資格情報は、第２の証明書と、第２の証明書の第２の秘密鍵ＰｒＡＡＡとをさらに含む。検証パラメータは、第１の証明書の署名を検証するために用いられ、信頼されているサードパーティの公開鍵であってよい。第２の証明書と、第２の証明書の第２の秘密鍵ＰｒＡＡＡとは、ＵＥによりＡＵＳＦを検証するために用いられる。

段階６０２：ＡＵＳＦが拡張可能認証プロトコル（ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＥＡＰ）要求メッセージをＵＥへ送信する。それに応じて、ＵＥは、ＡＵＳＦからＥＡＰ要求メッセージを受信する。

ここで、ＥＡＰ要求メッセージは、ＥＡＰ認証手順を実行するようＵＥに要求するために用いられる。任意選択的に、ＥＡＰ要求メッセージは、第２の証明書を含み得る。ＵＥは、検証パラメータに基づいて第２の証明書を検証する。検証パラメータは、ＵＥにより第１の一時認証情報から取得される。

任意選択的に、ＥＡＰ要求メッセージは、ＭＡＣ１をさらに含んでよく、ＭＡＣ１は、ＡＵＳＦにより、第２の証明書の第２の秘密鍵ＰｒＡＡＡに基づいて生成される。ＵＥは、第２の証明書における公開鍵に基づいて、ＭＡＣ１を検証する。検証が成功した場合、これは、ＵＥがＡＵＳＦを認証していることを示す。

段階６０３：ＵＥがＥＡＰ応答メッセージをＡＵＳＦへ送信する。

ここで、ＥＡＰ応答メッセージは、第１の証明書およびＭＡＣ２を含む。ＭＡＣ２は、ＵＥにより、第１の証明書の秘密鍵ＰｒＵＥに基づいて生成される。ＰｒＵＥは、ＵＥにより第１の一時認証情報から取得される。

段階６０４：ＡＵＳＦが検証パラメータに基づいて第１の証明書を検証する。

可能な実装において、ＡＵＳＦは、検証パラメータと、検証パラメータの識別子とに基づいて、第１の証明書を検証する。例えば、ＡＵＳＦは、サードパーティの公開鍵に基づいて、第１の証明書の署名を検証する。さらに、ＡＵＳＦは、第１の証明書の公開鍵に基づいて、ＭＡＣ２を検証する。任意選択的に、ＡＵＳＦは、検証パラメータの識別子が、第１の証明書の受信した識別子と同じであるかどうかを比較する。これら２つの識別子が同じである場合、これは、第１の証明書に対する検証が成功していることを示す。ＡＵＳＦは、第１のネットワークのアクセス情報から第１の証明書の識別子を取得してもよく、ＡＡＡから第１の証明書の識別子を取得してもよい。検証が成功した場合、これは、ＡＵＳＦがＵＥを認証していることを示す。

ＡＭＦはＵＥに対して一時認証を直接実行せず、認証はＡＵＳＦにより実行されることが、例３から認識され得る。したがって、例３における認証アンカーは、ＡＵＳＦである。その後、ＡＵＳＦおよびＵＥは、ＥＡＰ－ＴＬＳ手順の実行を続ける。認証手順については、ＴＳ３３．６０１ Ｂ．２．１．１を参照されたい。詳細については、ここで再び説明しない。このようにして、ＵＥはおよび第１のネットワークは、証明書メカニズムを用いることにより、既存のＥＡＰ ＴＬＳ認証方法を拡張する。その結果、既存のＥＡＰ ＴＬＳ認証方法が再使用され、システムの複雑性が低減し得る。

本願において、相互一時認証が成功した場合、ＵＥが第１のネットワークの構成情報を取得し得る。以下では、第１のネットワークの構成情報がネットワーク選択サブスクリプション情報および長期認証資格情報を含む一例を用いることにより、説明を提供する。

第１のネットワークとＵＥとの間の相互一時認証が成功していると判定した後に、認証アンカーは、第１のネットワークのネットワーク選択サブスクリプション情報を端末装置へ送信するようデータ管理ネットワークエレメントをトリガし得る。相互一時認証が完了した後に、認証アンカーは、サブスクリプション要求インジケーションをＵＤＭへ送信して、ＵＥのネットワーク選択サブスクリプション情報を端末装置へ送信するようＵＤＭをトリガし得る。以下では、ＵＥがネットワーク選択サブスクリプション情報を取得する３つの実装の例を提供する。

実装１：ＵＥが取得する必要があるネットワーク選択サブスクリプション情報は、ＵＤＭ上で予め構成される。例えば、管理者が、各ＵＥ用のネットワーク選択サブスクリプション情報、例えば、ＵＥデバイス内のネットワーク選択サブスクリプション情報をＵＤＭに対して予め構成し得る。

図７は、本願によるネットワーク選択サブスクリプション情報を取得する方法の概略フローチャートである。この方法は、以下の段階を含む。

段階７０１：認証アンカーがサブスクリプション要求インジケーションをＵＤＭへ送信する。それに応じて、ＵＤＭは、認証アンカーからサブスクリプション要求インジケーションを受信する。

具体的には、一時認証が成功した後に、認証アンカーは、サブスクリプション要求インジケーションをＵＤＭへ送信する。

認証アンカーは、ＡＭＦまたはＡＵＳＦであてよく、サブスクリプション要求インジケーションは、第１のネットワークのネットワーク選択サブスクリプション情報をＵＥへ送信するようＵＤＭに指示する。これは、ＡＭＦまたはＡＵＳＦがサブスクリプション要求メッセージをＵＤＭへ送信するとも理解され得る。

可能な実装において、認証アンカーはさらに、ＵＥの第２の一時認証資格情報の識別子またはＵＥの第３の一時認証資格情報の識別子をＵＤＭへ送信する。ＵＥの第３の一時認証資格情報の識別子は、ＵＥから取得され、ＵＥの第２の一時認証資格情報の識別子は、ＡＡＡから取得される。

任意選択的に、サブスクリプション要求インジケーションは、特別なインジケーションであってもよく、メッセージ、例えばサブスクリプション要求メッセージであってもよい。サブスクリプション要求メッセージは、第１のネットワークのネットワーク選択サブスクリプション情報をＵＥへ送信するようＵＤＭに指示する。

段階７０２：ＵＤＭが、サブスクリプション要求インジケーションに基づいて、ＵＥのネットワーク選択サブスクリプション情報を決定する。

可能な実装において、ＵＤＭは、サブスクリプション要求インジケーションに基づいて、ＵＥのネットワーク選択サブスクリプション情報を決定する。例えば、ＵＤＭは、サブスクリプション要求インジケーションに基づいて、予め構成されたネットワーク選択サブスクリプション情報を求めて検索する。この場合、異なるＵＥのネットワーク選択サブスクリプション情報は、同じであってよい。

可能な実装において、ＵＤＭは、サブスクリプション要求インジケーションと、ＵＥの第２の一時認証資格情報の識別子またはＵＥの第３の一時認証資格情報の識別子とに基づいて、ＵＥのネットワーク選択サブスクリプション情報を決定する。

例えば、ＵＤＭは、サブスクリプション要求インジケーションと、ＵＥの第２の一時認証資格情報の識別子またはＵＥの第３の一時認証資格情報の識別子とに基づき、ＵＥについて予め構成されたネットワーク選択サブスクリプション情報を求めて検索する。第２の一時認証情報が予め構成される場合、ネットワーク選択サブスクリプション情報は、ＵＥについて同時に予め構成され得る。この場合、異なるＵＥのネットワーク選択サブスクリプション情報は、異なっていてよい。

段階７０３：ＵＤＭが、認証アンカーを通じて、ＵＥのネットワーク選択サブスクリプション情報をＵＥへ送信する。

可能な実装において、ＵＤＭは、サブスクリプションデータ更新通知をＡＭＦへ送信する。任意選択的に、サブスクリプションデータ更新通知メッセージは、ネットワーク選択サブスクリプション情報と、ＵＥの第２の一時認証資格情報の識別子とを含むか、ネットワーク選択サブスクリプション情報と、ＵＥの第３の一時認証資格情報の識別子とを含む。

さらに、ＡＭＦは、構成更新メッセージをＵＥへ送信し得る。このメッセージは、ＵＥのネットワーク選択サブスクリプション情報を含む。

段階７０４：ＵＥがＵＥのネットワーク選択サブスクリプション情報を構成する。

可能な実装において、ＵＥは、ＡＭＦにより送信される構成更新メッセージを受信する。このメッセージは、ＵＥのネットワーク選択サブスクリプション情報を含み、ＵＥは、ＵＥのネットワーク選択サブスクリプション情報に基づいて、ＵＥデバイスに対して構成を実行する。

相互一時認証が成功した後に、認証アンカーは、ＵＥのネットワーク選択サブスクリプション情報を送信するようＵＤＭに要求し、その結果、第１のネットワークは、ネットワーク選択サブスクリプション情報を取得している端末装置が正しいと判定でき、端末装置は、ネットワーク選択サブスクリプション情報を送信している第１のネットワークが正しいと判定できることが、段階７０１～段階７０４から認識され得る。

実装２：ＵＥが取得する必要があるネットワーク選択サブスクリプション情報は、ＵＤＭ上で予め構成される。例えば、管理者が、各ＵＥ用のネットワーク選択サブスクリプション情報、例えば、ＳＩＭカード内のネットワーク選択サブスクリプション情報をＵＤＭに対して予め構成し得る。

図８は、本願によるネットワーク選択サブスクリプション情報を取得する方法の別の概略フローチャートである。この方法は、以下の段階を含む。

段階８０１：認証アンカーがサブスクリプション要求インジケーションをＵＤＭへ送信する。それに応じて、ＵＤＭは、認証アンカーからサブスクリプション要求インジケーションを受信する。

段階８０１については、段階７０１の説明を参照されたい。詳細については、ここで再び説明しない。

段階８０２：ＵＤＭが、サブスクリプション要求インジケーションに基づいて、ＵＥのネットワーク選択サブスクリプション情報を決定する。

段階８０２については、段階７０２の説明を参照されたい。詳細については、ここで再び説明しない。

段階８０３：ＵＤＭが、ＵＥのネットワーク選択サブスクリプション情報を保護するようＡＵＳＦに要求する。

可能な実装において、ＵＤＭは、ＡＵＳＦ保護要求をＡＵＳＦへ送信する。この保護要求は、ＵＥのネットワーク選択サブスクリプション情報を含む。

段階８０４：ＡＵＳＦがＵＥのネットワーク選択サブスクリプション情報を保護する。

ここで、ＡＵＳＦは、Ｋａｕｓｆを用いることにより、ＵＥのネットワーク選択サブスクリプション情報に対して完全性保護を実行し得る。

段階８０５：ＡＵＳＦがＵＥの保護されたネットワーク選択サブスクリプション情報をＵＤＭへ送信する。

段階８０６：ＵＤＭが、ＡＭＦを通じて、ＵＥの保護されたネットワーク選択サブスクリプション情報をＵＥへ送信する。

可能な実装において、ＡＭＦは、ダウンリンクＮＡＳトランスポートメッセージをＵＥへ送信する。このメッセージは、ＵＥの保護されたネットワーク選択サブスクリプション情報を含む。

段階８０７：ＵＥが、ＵＥの保護されたネットワーク選択サブスクリプション情報に基づいて、ＵＥのネットワーク選択サブスクリプション情報を構成する。

ここで、ＵＥは、Ｋａｕｓｆを用いることにより、ＵＥの保護されたネットワーク選択サブスクリプション情報に対して完全性検証を実行すると共に、チェックが成功した後に、ＵＥのネットワーク選択サブスクリプション情報を取得し得る。

可能な実装において、ＵＥは、ＡＭＦにより送信されるダウンリンクＮＡＳトランスポートメッセージを受信する。ＮＡＳトランスポートメッセージは、ＵＥの保護されたネットワーク選択サブスクリプション情報を含む。ＵＥは、Ｋａｕｓｆを用いることにより、ＵＥの保護されたネットワーク選択サブスクリプション情報に対して完全性チェックを実行する。検証が成功した場合、ＵＥのネットワーク選択サブスクリプション情報が取得され得る。ＵＥは、ＵＥのネットワーク選択サブスクリプション情報に基づき、ＳＩＭカードに対して構成を実行する。

相互一時認証が成功した後に、認証アンカーが、ＵＰＵ手順を通じてネットワーク選択サブスクリプション情報をＵＥへ送信するようＵＤＭをトリガして、ネットワーク選択サブスクリプション情報が悪意を持って改ざんされるのを防止することが、段階８０１～段階８０７から認識され得る。

代替的に、段階７０３および段階７０４については、３ＧＰＰ ＴＳ２３．５０２の４．２．４における関連する説明を参照すべきであり、段階８０３から段階８０７については、３ＧＰＰ ＴＳ２３．５０２の４．２０における説明を参照すべきであることに留意されたい。詳細については、ここで再び説明しない。

実装３：取得される必要があるネットワーク選択サブスクリプション情報は、認証アンカー上で予め構成され、認証アンカーは、ネットワーク選択サブスクリプション情報を取得するようＵＥに直接通知し得る。

例１から例３を参照すると、ＵＥおよび第１のネットワークが例１を用いることにより相互一時認証を正常に実行した場合、ＡＭＦまたはＡＵＳＦは、サブスクリプション要求メッセージをＵＤＭへ送信し得る。ＵＥおよび第１のネットワークが例２を用いることにより相互一時認証を正常に実行した場合、ＡＵＳＦが、サブスクリプション要求メッセージを送信するようＵＤＭに直接通知してよい、または、ＡＵＳＦがまずＡＭＦに通知してよく、次に、ＡＭＦがサブスクリプション要求メッセージをＵＤＭへ送信する。例えば、ＡＵＳＦがサブスクリプション要求メッセージをＡＭＦへ送信し、次に、ＡＭＦがサブスクリプション要求メッセージをＵＤＭへ送信する。

前述の３つの実装のいずれか１つに基づいて、認証アンカーは、ＵＥと第１のネットワークとの間の相互一時認証が成功していることを示す結果を取得した後に、制御プレーンメッセージ（例えば、ＮＡＳメッセージ）をトリガすることによりＵＥのネットワーク選択サブスクリプション情報を取得し得る。つまり、第１のネットワークは、制御プレーン経路を通じて、ＵＥのネットワーク選択サブスクリプション情報を構成し得る。

上記では、ＵＥが第１のネットワークのネットワーク選択サブスクリプション情報を取得する実装を説明している。以下では、ＵＥが長期認証資格情報を取得する方法の一例の概略フローチャートを提供する。図９に示されるように、この方法は、以下の段階を含む。

段階９０１：ＵＥが、ＰＳが位置するデータネットワークの識別情報をＳＭＦへ送信する。

ここで、データネットワークの識別情報は、ＰＳが位置するデータネットワークを識別する。データネットワークの識別情報は、例えば、データネットワーク名（ｄａｔａ ｎｅｔｗｏｒｋ ｎａｍｅ、ＤＮＮ）または単一ネットワークスライス選択支援情報（ｓｉｎｇｌｅ ｎｅｔｗｏｒｋ ｓｌｉｃｅ ｓｅｌｅｃｔｉｏｎ ａｓｓｉｓｔａｎｃｅ ｉｎｆｏｒｍａｔｉｏｎ、ＮＳＳＡＩ）であってよい。

可能な実装において、ＵＥは、プロトコルデータユニット（ｐｒｏｔｏｃｏｌ ｄａｔａ ｕｎｉｔ、ＰＤＵ）セッション確立メッセージをＳＭＦへ送信し得る。ＰＤＵセッション確立メッセージは、ＰＳが位置するデータネットワークの識別子を含む。

以下では、ＵＥがデータネットワークの識別情報を取得する２つの実装の例を提供する。

実装１：段階２０１における補助認証情報は、データネットワークの識別情報をさらに含み得る。

実装１に基づいて、ＵＥは、取得した補助認証情報からデータネットワークの識別子を取得し得る。

実装２：データネットワークの識別情報は、代替的に、デフォルト値であってよい。

実装２に基づいて、ＵＥは、デフォルト値に基づいて、データネットワークの識別情報を決定し得る。

段階９０２：ＳＭＦが、データネットワークの識別情報に基づいて、ＰＳが位置するデータネットワークにアクセスするためのユーザプレーントンネルをＵＥのために確立する。

データネットワークの識別情報がデータネットワークのデフォルト識別子である場合、ＳＭＦは、ローカル構成に基づいて、データネットワークへの特定のユーザプレーントンネルをＵＥのために確立し得る。

任意選択的に、ＳＭＦは、ＵＥの第２の一時認証資格情報の識別子またはＵＥの第３の一時認証資格情報の識別子をＵＤＭへ送信して、ＵＥの一時認証結果を要求し得る。ＳＭＦは、ＵＥがデータネットワークへのアクセスを許可され得るかどうかを、一時認証結果に基づいて認識し得る。ＵＥの第２の一時認証資格情報の識別子またはＵＥの第３の一時認証資格情報の識別子は、ＵＥのＰＤＵセッション確立メッセージに基づいて、ＡＭＦから取得され得る。

可能な実装において、一時認証が完了した後に、認証アンカーは、一時認証結果を生成するようＵＤＭに通知し得る。一時認証結果は、成功インジケーションまたは失敗インジケーションであってもよく、データネットワークを許可するグループの識別子であってもよい。一時認証が成功していることを認証アンカーがＵＤＭに通知した場合、ＵＤＭは、ＵＥの第２の一時認証資格情報の識別子または第３の一時認証資格情報の識別子に対応する一時認証結果を更新する。

可能な実装において、ＳＭＦは、ＰＤＵセッション確立完了メッセージをＵＥへ送信して、セッションの確立が完了していることをＵＥに示す。具体的には、ＰＳが位置するデータネットワークにアクセスするためのユーザプレーントンネルは、ＵＥのために確立されている。

段階９０３：ＵＥが、ＰＳを通じて、ユーザプレーントンネルから長期認証資格情報を取得する。

ここで、ＵＥおよびＰＳは、プロトコル、例えば、証明書管理プロトコル（ｃｅｒｔｉｆｉｃａｔｅ ｍａｎａｇｅｍｅｎｔ ｐｒｏｔｏｃｏｌ、ＣＭＰ）または無線（ｏｖｅｒ ｔｈｅ ａｉｒ、ＯＴＡ）プロトコルを用いることにより、長期認証資格情報を取得し得る。

第１のネットワークは、ユーザプレーン経路を通じてＵＥの長期認証資格情報を構成してよく、ＵＥおよびＰＳは、既存のＣＭＰプロトコルまたはＯＴＡプロトコルを用いることにより長期認証資格情報を取得してよいことが、段階９０１～段階９０３から認識され得る。このようにして、この方法は、既存のＰＳとの互換性を有し得る。

本願において、ＵＥと第１のネットワークとの間の相互一時認証は、代替的に、失敗することがある。この場合、第１のネットワークは、アクセス拒否メッセージをＵＥへ送信し得る。以下では、ＵＥと第１のネットワークとんお間の相互一時認証が失敗する２つのシナリオの例を提供する。

シナリオ１：段階２０５において、ＡＡＡは、第１のネットワークのアクセス情報に基づいて、第２の一時認証資格情報を取得できない。例えば、ＡＡＡは、第１のネットワークのアクセス情報における第３の一時認証資格情報の識別子と同じ第２の一時認証資格情報の識別子を、格納された第２の一時認証情報から見つけない。これは、第１のネットワークがＵＥの第２の一時認証情報を取得しておらず、ＵＥにより選択された第１のネットワークが不正確であることを示す。

シナリオ２：第１のネットワークによりＵＥに対して実行される一時認証が失敗する。考えられる原因は、ＡＡＡにより取得された第２の一時認証情報が不正確であることである。例えば、段階４１２において、ＡＭＦにより第３のチャレンジ値ＲＥＳ＊に対して実行される検証が失敗する。別の例では、段階４１４において、ＡＵＳＦによりＲＥＳ＊に対して実行される検証が失敗する。別の例では、段階５１２において、ＡＵＳＦによりＲＥＳに対して実行される検証が失敗する。

シナリオ３：ＵＥにより第１のネットワークに対して実行される一時認証が失敗する。考えられる原因は、ＡＡＡにより取得された第２の一時認証情報が不正確であることである。例えば、段階４０９において、ＵＥによりＭＡＣ１に対して実行される検証が失敗する。別の例では、段階５０８において、ＵＥによりＭＡＣ１に対して実行される検証が失敗する。別の例では、段階６０４において、ＡＵＳＦにより第１の証明書に対して実行される検証が失敗する。

ＵＥは、第１のネットワークからアクセス拒否メッセージを受信した後に、段階２０２を再び実行し得る。具体的には、ＵＥは、補助認証情報に基づいて、新しいネットワークを再選択し得る。再選択されたネットワークは、第２のネットワークと称される。このようにして、ＵＥは、正しいネットワークを自動的に選択し、正しいネットワークの構成情報を取得して、オンボーディングを正常に実装できる。

可能な実装において、ＵＥは、信号強度または予め設定された順序等に基づいて、新しいネットワークを第１のネットワークとして再選択し得る。さらに、任意選択的に、ＵＥは、代替的に、補助認証情報がプライベートネットワーク識別子を保持しているかどうかに応じて、選択を実行し得る。補助認証情報がプライベートネットワーク識別子を保持していない場合、このネットワークはスキップされ、次のネットワークがプライベートネットワーク識別子を保持しているかどうかが判定される。さらに、任意選択的に、ＵＥは、代替的に、補助認証情報がオンボーディングインジケーション情報を保持しているかどうかに応じて、選択を実行し得る。補助認証情報がオンボーディングインジケーションを保持していない場合、このネットワークはスキップされ、次のネットワークがオンボーディングインジケーションを保持しているかどうかが判定される。

さらに、アクセス拒否メッセージは、アクセス失敗の原因値を含み得る。例えば、第２の一時認証資格情報を見つけることができないか、ＵＥに対する認証が失敗する。それに応じて、アクセス拒否メッセージにおいて保持される原因値が、第２の一時認証資格情報を見つけることができないということである場合、ＵＥは、受信した補助認証情報から、新しいネットワークを第２のネットワークとして再選択し得る。アクセス拒否メッセージにおいて保持される原因値が、ＵＥに対する認証が失敗しているということである場合、ＵＥが、受信した補助認証情報から、新しいネットワークを第２のネットワークとして再選択してもよく、第１のネットワークおよびＵＥが、相互一時認証手順を再び実行してもよい。

可能な実装において、ＵＥにより第１のネットワークに対して実行される認証が失敗した場合、ＵＥが、受信した補助認証情報から、新しいネットワークを第２のネットワークとして再選択してもよく、ＵＥおよび第１のネットワークが、相互一時認証手順を再び実行してもよい。

前述の実施形態における機能を実装するために、認証、許可および課金機能ネットワークエレメントと、認証アンカーと、端末デバイスとは、これらの機能を実行するための対応するハードウェア構造および／またはソフトウェアモジュールを含むことが理解され得る。当業者であれば、本願で開示される実施形態において説明される例におけるモジュールおよび方法の段階との組み合わせで、本願がハードウェアまたはハードウェアとコンピュータソフトウェアとの組み合わせにより実装され得ることを容易に認識するはずである。機能がハードウェアによって実行されるか、コンピュータソフトウェアにより駆動されるハードウェアによって実行されるかは、技術的解決手段の特定の適用シナリオおよび設計上の制約によって決まる。

前述の内容および同じ概念に基づいて、図１０および図１１は各々、本願による通信装置の可能な構造の概略図である。これらの通信装置は、前述の方法の実施形態における認証、許可および課金機能ネットワークエレメント、認証アンカーならびに端末デバイスの機能を実装するように構成されてよく、したがって、前述の方法の実施形態の有益な効果を実装してよい。本願において、通信装置は、図１に示されるユーザ機器、または端末デバイス（例えば、ユーザ機器）内で用いられるモジュール（例えば、チップ）であってもよく、図１に示される認証、許可および課金機能ネットワークエレメントであってもよく、図１に示される認証アンカー（すなわち、セッション管理ネットワークエレメント、モビリティ管理ネットワークエレメント、認証サーバネットワークエレメントまたはセキュリティアンカーネットワークエレメント）であってもよい。

図１０に示されるように、通信装置１０００は、処理モジュール１００１およびトランシーバモジュール１００２を含む。通信装置１０００は、図２から図９に示される方法の実施形態におけるＵＥ、認証、許可および課金機能ネットワークエレメントまたは認証アンカーの機能を実装するように構成されている。

通信装置１０００が、図２に示される方法の実施形態におけるＵＥの機能を実装するように構成されている場合、トランシーバモジュール１００２は、１つまたは複数のネットワークの識別情報を含む補助認証情報を取得するように構成されており、処理モジュール１００１は、第１のネットワークのアクセス情報を第１の一時認証情報と、第１のネットワークの識別情報とに基づいて決定し、１つまたは複数のネットワークのいずれか１つである第１のネットワークのアクセス情報に基づいて第１のネットワークとの相互一時認証をトリガするように構成されている。

通信装置１０００が、図２に示される方法の実施形態における認証、許可および課金機能ネットワークエレメントの機能を実装するように構成されている場合、トランシーバモジュール１００２は、端末装置から第１のネットワークのアクセス情報を受信するように構成されており、処理モジュール１００１は、第１のネットワークのアクセス情報に基づいて通信装置との相互一時認証をトリガするように構成されており、トランシーバモジュール１００２はさらに、相互一時認証が成功した場合に第１のネットワークから第１のネットワークの構成情報を受信するように構成されている。

通信装置１０００が、図２に示される方法の実施形態における認証アンカーの機能を実装するように構成されている場合、トランシーバモジュール１００２は、端末装置からの第１のネットワークのアクセス情報を第１のネットワーク内の認証、許可および課金機能ネットワークエレメントへ送信するように構成されている。第１のネットワークのアクセス情報は、相互一時認証を実行するよう通信装置と認証、許可および課金機能ネットワークエレメントとをトリガするために用いられ、処理モジュール１００１は、通信装置と第１のネットワークとの間の相互一時認証が成功していると判定された場合、第１のネットワークのネットワーク選択サブスクリプション情報を通信装置へ送信するようデータ管理ネットワークエレメントをトリガするように構成されている。

処理モジュール１００１およびトランシーバモジュール１００２のより詳細な説明については、図２に示される方法の実施形態における関連する説明を直接参照されたい。詳細については、ここで再び説明しない。

本願の本実施形態における処理モジュール１００１は、プロセッサまたはプロセッサ関連回路コンポーネントにより実装されてよく、トランシーバモジュール１００２は、トランシーバまたはトランシーバ関連回路コンポーネントにより実装されてよいことを理解されたい。

前述の内容および同じ概念に基づいて、図１１に示されるように、本願は、通信装置１１００をさらに提供する。通信装置１１００は、プロセッサ１１０１およびトランシーバ１１０２を含み得る。プロセッサ１１０１およびトランシーバ１１０２は、互いに連結されている。トランシーバ１１０２はインタフェース回路または入力／出力インタフェースであってよいことが理解され得る。任意選択的に、通信装置１１００は、メモリ１１０３をさらに含み得る。メモリ１１０３は、プロセッサ１１０１により実行される命令を格納するか、命令を実行するために、プロセッサ１１０１により必要とされる入力データを格納するか、プロセッサ１１０１が命令を実行した後に、生成されたデータを格納するように構成されている。

通信装置１１００が、図２に示される方法を実装するように構成されている場合、プロセッサ１１０１は、処理モジュール１００１の機能を実行するように構成されており、トランシーバ１１０２は、トランシーバモジュール１００２の機能を実行するように構成されている。

通信装置が、端末デバイス内で用いられるチップである場合、端末デバイスのチップは、前述の方法の実施形態における端末デバイスの機能を実装している。端末デバイスのチップは、端末デバイス内の別のモジュール（例えば、無線周波数モジュールまたはアンテナ）から情報を受信する。この情報は、アクセスネットワークデバイスにより端末デバイスへ送信される。代替的に、端末デバイスのチップは、端末デバイス内の別のモジュール（例えば、無線周波数モジュールまたはアンテナ）へ情報を送信する。この情報は、端末デバイスによりアクセスネットワークデバイスへ送信される。

通信装置が端末デバイスである場合、図１２は、端末デバイスの構造の簡略化された概略図である。理解および例示しやすくするために、図１２は、端末デバイスが携帯電話である一例を用いている。図１２に示されるように、端末デバイス１２００は、プロセッサ、メモリ、無線周波数回路、アンテナおよび入力／出力装置を含む。プロセッサは主に、通信プロトコルおよび通信データを処理し、端末デバイスの全体を制御し、ソフトウェアプログラムを実行し、ソフトウェアプログラムのデータを処理するように構成されており、例えば、前述の実施形態のいずれか１つにおける端末デバイスにより実行される方法を実行するために端末デバイス１２００をサポートするように構成されている。メモリは主に、ソフトウェアプログラムおよびデータを格納するように構成されている。無線周波数回路は主に、ベースバンド信号と無線周波数信号との間の変換を実行し、無線周波数信号を処理するように構成されている。アンテナは主に、無線周波数信号を電磁波の形態で送信および受信するように構成されている。タッチスクリーン、ディスプレイまたはキーボードなど、入力／出力装置は主に、ユーザにより入力されるデータを受信し、データをユーザに出力するように構成されている。いくつかのタイプの端末デバイスが入力／出力装置を有していなくてよいことに留意されたい。

端末デバイスの電源がオンにされた後に、プロセッサは、メモリ内のソフトウェアプログラムを読み取り、ソフトウェアプログラムの命令を解釈および実行し、ソフトウェアプログラムのデータを処理し得る。データを送信する必要がある場合、プロセッサは、送信対象データに対してベースバンド処理を実行し、ベースバンド信号を無線周波数回路に出力する。ベースバンド信号に対して無線周波数処理を実行した後に、無線周波数回路パスは、アンテナを通じて、無線周波数信号を電磁波の形態で送信する。データが端末デバイス１２００へ送信される場合、無線周波数回路は、アンテナを通じて無線周波数信号を受信し、無線周波数信号をベースバンド信号に変換し、ベースバンド信号をプロセッサに出力する。プロセッサは、ベースバンド信号をデータに変換し、このデータを処理する。

任意選択的な実装において、プロセッサは、ベースバンドプロセッサおよび中央処理装置を含み得る。ベースバンドプロセッサは主に、通信プロトコルおよび通信データを処理するように構成されている。中央処理装置は主に、端末デバイス１２００の全体を制御し、ソフトウェアプログラムを実行し、ソフトウェアプログラムのデータを処理するように構成されている。図１２におけるプロセッサは、ベースバンドプロセッサおよび中央処理装置の機能を統合している。ベースバンドプロセッサおよび中央処理装置は、代替的に、互いに独立したプロセッサであってよく、バスなどの技術を用いることにより相互接続されていることに留意されたい。加えて、端末デバイスは、異なるネットワーク規格に適合するために、複数のベースバンドプロセッサを含んでよく、端末デバイス１２００は、端末デバイス１２００の処理能力を向上させるために、複数の中央処理装置を含んでよい。端末デバイス１２００のコンポーネントは、様々なバスを用いることにより接続され得る。ベースバンドプロセッサは、代替的に、ベースバンド処理回路またはベースバンド処理チップとして表され得る。中央処理装置は、代替的に、中央処理回路または中央処理チップとして表され得る。通信プロトコルおよび通信データを処理する機能は、プロセッサ内に構築されてもよく、記憶モジュールにソフトウェアプログラムの形態で格納されてもよく、プロセッサは、ソフトウェアプログラムを実行して、ベースバンド処理機能を実装する。

本願において、送信機能および受信機能を有するアンテナおよび無線周波数回路は、端末デバイスのトランシーバモジュールとみなされてよく、処理機能を有するプロセッサは、端末デバイスの処理モジュールとみなされてよい。図１２に示されるように、端末デバイスは、処理モジュール１２０１およびトランシーバモジュール１２０２を含む。トランシーバモジュールは、トランシーバまたはトランシーバ装置等とも称され得る。処理モジュールは、プロセッサ、処理ボード、処理ユニットまたは処理装置等とも称され得る。任意選択的に、受信機能を実装するように構成されており、かつ、トランシーバモジュール内にあるコンポーネントは、受信モジュールとみなされてよく、送信機能を実装するように構成されており、かつ、トランシーバモジュール内になるコンポーネントは、送信モジュールとみなされてよい。言い換えると、トランシーバモジュールは、受信モジュールおよび送信モジュールを含む。例えば、受信モジュールは、レシーバまたは受信回路等とも称されてよく、送信モジュールは、トランスミッタまたは伝送回路等と称されてよい。

ダウンリンク上では、アクセスネットワークデバイスにより送信されるダウンリンク信号（データおよび／または制御情報を含む）が、アンテナを通じて受信される。アップリンク上では、アップリンク信号（データおよび／または制御情報を含む）が、アンテナを通じてアクセスネットワークデバイスまたは別の端末デバイスへ送信される。プロセッサにおいて、サービスデータおよびシグナリングメッセージが処理される。これらのモジュールは、無線アクセスネットワークにおいて用いられる無線アクセス技術（例えば、ＬＴＥシステム、ＮＲシステムおよび別の進化型システムにおけるアクセス技術）を用いることにより、処理を実行する。プロセッサは、端末デバイスの動作を制御および管理するようにさらに構成されており、前述の実施形態における端末デバイスにより実行される処理を実行するように構成されている。プロセッサはさらに、図２におけるＵＥにより実行される方法を実行するために端末デバイスをサポートするように構成されている。

図１２がただ１つのメモリ、１つのプロセッサおよび１つのアンテナを示していることに留意されたい。実際の端末デバイスでは、端末デバイスは、任意の数のアンテナ、メモリおよびプロセッサ等を含み得る。メモリは、記憶媒体または記憶デバイス等とも称され得る。加えて、メモリは、プロセッサから独立して配置されてもよく、プロセッサと統合されてもよい。これは、本願の本実施形態において限定されない。

トランシーバモジュール１２０２は、図２に示される方法の実施形態における端末デバイス側で送信動作および受信動作（または取得動作と称される）を実行するように構成されており、処理モジュール１２０１は、図２に示される方法の実施形態における端末デバイス側で送信動作および受信動作以外の動作を実行するように構成されていることを理解されたい。例えば、トランシーバモジュール１２０２は、図２に示される実施形態における端末デバイス側で送信段階および受信段階を実行するように構成されており、例えば、段階２０１を実行するように構成されている。処理モジュール１２０１は、図２に示される実施形態における端末デバイス側で送信動作および受信動作以外の動作を実行するように構成されており、例えば、段階２０２から段階２０４を実行するように構成されている。

通信装置がチップ型装置または回路である場合、通信装置は、トランシーバモジュールおよび処理モジュールを含み得る。トランシーバモジュールは、入力／出力回路および／またはインタフェース回路であってよい。処理モジュールは、チップ上に統合されたプロセッサ、マイクロプロセッサまたは集積回路であってよい。

前述の内容および同じ概念に基づいて、本願は、通信システムを提供する。通信システムは、前述の認証、許可および課金機能ネットワークエレメントおよび前述の認証アンカーを含み得る。認証、許可および課金機能ネットワークエレメントは、認証アンカーを通じて通信装置から第１のネットワークのアクセス情報を受信し、第１のネットワークのアクセス情報に基づいて通信装置との相互一時認証をトリガするように構成されている。認証アンカーは、相互一時認証が成功した場合、第１のネットワークのネットワーク選択サブスクリプション情報を通信装置へ送信するようデータ管理ネットワークエレメントをトリガするように構成されている。

さらに、このシステムは、データ管理ネットワークエレメントを含む。認証アンカーは、具体的には、相互一時認証が成功した場合、サブスクリプション要求インジケーションをデータ管理ネットワークエレメントへ送信するように構成されている。サブスクリプション要求インジケーションは、ネットワーク選択サブスクリプション情報を通信装置へ送信するようデータ管理ネットワークエレメントに指示する。データ管理ネットワークエレメントは、認証アンカーからサブスクリプション要求インジケーションを受信し、サブスクリプション要求インジケーションに基づいてネットワーク選択サブスクリプション情報を通信装置へ送信するように構成されている。

認証、許可および課金機能ネットワークエレメントのより詳細な説明については、ＡＡＡ側に関連する前述の方法の実施形態における関連する説明を直接参照されたい。認証アンカーのより詳細な説明については、認証アンカー側に関連する前述の方法の実施形態における関連する説明を直接参照されたい。データ管理ネットワークエレメントのより詳細な説明については、ＵＤＭ側に関連する前述の方法の実施形態における関連する説明を直接参照されたい。詳細については、ここで再び説明しない。

本願の実施形態におけるプロセッサは、中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ、ＣＰＵ）であってもよく、別の汎用プロセッサ、デジタル信号プロセッサ（ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ、ＤＳＰ）、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ－ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ、ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ、ＦＰＧＡ）もしくは別のプログラマブル論理デバイス、トランジスタロジックデバイス、ハードウェアコンポーネント、またはそれらの任意の組み合わせであってもよいことが理解され得る。汎用プロセッサは、マイクロプロセッサまたは任意の従来のプロセッサであってよい。

本願の実施形態における方法の段階は、ハードウェアにより実装されてもよく、ソフトウェア命令を実行するプロセッサにより実装されてもよい。ソフトウェア命令は、対応するソフトウェアモジュールを含み得る。ソフトウェアモジュールは、ランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）、フラッシュメモリ、リードオンリメモリ（ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）、プログラマブルリードオンリメモリ（ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ、ＰＲＯＭ）、消去可能プログラマブルリードオンリメモリ（ｅｒａｓａｂｌｅ ＰＲＯＭ、ＥＰＲＯＭ）、電気的消去可能プログラマブルリードオンリメモリ（ｅｌｅｃｔｒｉｃａｌｌｙ ＥＰＲＯＭ、ＥＥＰＲＯＭ）、レジスタ、ハードディスク、リムーバブルハードディスク、ＣＤ－ＲＯＭ、または当技術分野において周知である任意の他の形態の記憶媒体に格納され得る。例えば、記憶媒体がプロセッサに連結されることで、プロセッサは、情報を記憶媒体から読み取り、情報を記憶媒体に書き込むことができる。当然ながら、記憶媒体は、代替的に、プロセッサのコンポーネントであってよい。プロセッサおよび記憶媒体は、ＡＳＩＣにおいて構成され得る。加えて、ＡＳＩＣは、アクセスネットワークデバイスまたは端末デバイス内に位置し得る。当然ながら、プロセッサおよび記憶媒体は、代替的に、アクセスネットワークデバイスまたは端末デバイス内のディスクリートコンポーネントとして存在し得る。

前述の実施形態の全部または一部は、ソフトウェア、ハードウェア、ファームウェア、またはそれらの任意の組み合わせにより実装され得る。実施形態を実装するためにソフトウェアが用いられる場合、実施形態の全てまたは一部は、コンピュータプログラム製品の形態で実装され得る。コンピュータプログラム製品は、１つまたは複数のコンピュータプログラムまたは命令を含む。コンピュータプログラムまたは命令がロードされ、コンピュータ上で実行された場合、本願の実施形態による手順または機能が全てまたは部分的に実装される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、アクセスネットワークデバイス、ユーザ機器または別のプログラマブル装置であってよい。コンピュータプログラムまたは命令は、コンピュータ可読記憶媒体に格納されてもよく、あるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体へ伝送されてもよい。例えば、コンピュータプログラムまたは命令は、あるウェブサイト、コンピュータ、サーバまたはデータセンタから別のウェブサイト、コンピュータ、サーバまたはデータセンタへ、有線または無線方式で伝送されてよい。コンピュータ可読記憶媒体は、コンピュータによりアクセス可能である任意の使用可能な媒体であってもよく、サーバまたはデータセンタなど、１つまたは複数の使用可能な媒体を統合したデータ記憶デバイスであってもよい。使用可能な媒体は、磁気媒体、例えば、フロッピディスク、ハードディスクまたは磁気テープであってもよく、光媒体、例えば、デジタルビデオディスク（ｄｉｇｉｔａｌ ｖｉｄｅｏ ｄｉｓｃ、ＤＶＤ）であってもよく、半導体媒体、例えば、ソリッドステートドライブ（ｓｏｌｉｄ－ｓｔａｔｅ ｄｒｉｖｅ、ＳＳＤ）であってもよい。

本願の実施形態では、別段の記載がない限り、または論理矛盾がない限り、異なる実施形態における用語および／または記載は、一貫しており、相互に参照されてよく、異なる実施形態における技術的特徴をそれらの内部論理関係に基づいて組み合わせて、新しい実施形態を形成し得る。

本願において、「および／または」は、関連する対象の間の対応関係を説明しており、３つの関係が存在し得ることを示している。例えば、Ａおよび／またはＢは、Ａのみが存在する、ＡとＢの両方が存在する、およびＢのみが存在する、という３つの事例を示し得る。ＡおよびＢは、単数であっても複数であってもよい。

本願の実施形態における様々な数は、説明しやすくするために区別に用いられているに過ぎず、本願の実施形態の範囲を限定するためには用いられていないことが理解され得る。前述の処理のシーケンス番号は、実行順序を意味しておらず、処理の実行順序は、処理の機能および内部論理に基づいて決定されるべきである。「第１の」および「第２の」等の用語は、同様の対象を区別するために用いられており、特定の順番または順序を説明するために用いられる必要はない。加えて、「含む（ｉｎｃｌｕｄｅ）」、「有する（ｈａｖｅ）」という用語、およびそれらのあらゆる変形は、非排他的包含を範囲に含むように、例えば、一連の段階またはモジュールを含むように意図されている。方法、システム、製品またはデバイスは、文字通りに記載された段階またはモジュールに必ずしも限定されず、文字通りに記載されていないか、そのような処理、方法、製品またはデバイスに固有である他の段階またはモジュールを含み得る。

当業者であれば、本願の保護範囲から逸脱することなく、本願に対する様々な修正および変更を行い得ることは明らかである。本願は、本願のこれらの修正および変更を、本願の特許請求の範囲および均等技術に含まれることを条件として、包含するように意図されている。
［他の考えられる項目］
（項目１）
通信方法であって、
端末装置が補助認証情報を取得する段階であって、前記補助認証情報は、１つまたは複数のネットワークの識別情報を含む、取得する段階と、
前記端末装置が、第１の一時認証情報と、第１のネットワークの識別情報とに基づいて、前記第１のネットワークのアクセス情報を決定する段階であって、前記第１のネットワークは、前記１つまたは複数のネットワークのいずれか１つである、決定する段階と、
前記端末装置が、前記第１のネットワークの前記アクセス情報に基づいて、前記第１のネットワークとの相互一時認証をトリガする段階と、
前記相互一時認証が成功した場合、前記端末装置が、前記第１のネットワークから前記第１のネットワークの構成情報を受信する段階と
を備える、方法。
（項目２）
前記第１のネットワークの前記アクセス情報は、
前記第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、
第３の一時認証資格情報の識別子および前記第１のネットワークの前記識別情報、
第３の一時認証資格情報の識別子、および前記第１のネットワークの前記アクセス情報が一時認証のために用いられることを示す、前記第１のネットワークの前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報および前記第１のネットワークの前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報ならびに認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記アクセス情報のタイプならびに認証、許可および課金機能ネットワークエレメントの識別情報、または、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報、認証、許可および課金機能ネットワークエレメントの識別情報ならびに前記第１のネットワークの前記アクセス情報のタイプ
のいずれか１つを含む、
項目１に記載の方法。
（項目３）
前記第１のネットワークの前記識別情報は、公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤを含み、
前記認証、許可および課金機能ネットワークエレメントの前記識別情報は、ルーティングインジケータルーティングＩＤを含み、
前記第１の一時認証資格情報の前記識別子は、永久機器識別子ＰＥＩまたは国際移動体機器識別番号ＩＭＥＩを含む、
項目２に記載の方法。
（項目４）
前記第３の一時認証資格情報の前記識別子は、前記第１の一時認証資格情報の前記識別子の混同値である、項目１から３のいずれか１つに記載の方法。
（項目５）
前記端末装置が、前記第１のネットワークの前記アクセス情報に基づいて前記第１のネットワークとの前記相互一時認証をトリガする前記段階は、
前記端末装置が、認証アンカーを通じて、前記第１のネットワークの前記アクセス情報を前記認証、許可および課金機能ネットワークエレメントへ送信する段階と、
前記端末装置が、前記認証アンカーから認証要求メッセージを受信する段階であって、前記認証要求メッセージは、第１の検証情報を含む、受信する段階と、
前記端末装置が、前記第１の一時認証情報に基づいて、前記第１の検証情報に対して前記一時認証を実行する段階と
を有する、
項目１から４のいずれか１つに記載の方法。
（項目６）
前記第１の検証情報は、第１のメッセージ認証コードを含み、
前記端末装置が、前記第１の一時認証情報に基づいて、前記第１の検証情報に対して一時認証を実行する前記段階は、
前記端末装置が、前記第１の一時認証情報に基づいて、第２の一時対称鍵を取得する段階と、
前記端末装置が、前記第２の一時対称鍵に基づいて、第２のメッセージ認証コードを生成する段階と、
前記端末装置が、前記第２のメッセージ認証コードに基づいて、前記第１のメッセージ認証コードを検証する段階と
を含む、
項目５に記載の方法。
（項目７）
前記第１のメッセージ認証コードが前記第２のメッセージ認証コードと同じである場合、前記第２の一時対称鍵に基づいて第３のチャレンジ値を生成する段階であって、前記第３のチャレンジ値は、前記認証アンカーにより、前記端末装置に対して一時認証を実行するために用いられる、生成する段階と、
前記端末装置が認証応答メッセージを前記認証アンカーへ送信する段階であって、前記認証応答メッセージは、前記第３のチャレンジ値を含む、送信する段階と
をさらに備える、項目６に記載の方法。
（項目８）
前記第１の一時認証情報は、前記端末装置の第１の秘密鍵を含み、前記第１の検証情報は、前記認証、許可および課金機能ネットワークエレメントの第２の公開鍵を含み、
前記端末装置が第２の一時対称鍵を取得する前記段階は、
前記端末装置が、前記第１の秘密鍵および前記第２の公開鍵に基づいて、前記第２の一時対称鍵を生成する段階
を含む、
項目６または７に記載の方法。
（項目９）
前記第１の一時認証情報は、前記第１の一時認証資格情報をさらに含み、前記第１の一時認証資格情報は、検証パラメータと、前記端末装置の証明書の秘密鍵とを含み、前記第１の検証情報は、前記認証、許可および課金機能ネットワークエレメントの証明書の署名と、第３のメッセージ認証コードとを含み、
前記端末装置が、前記第１の一時認証情報に基づいて、前記第１の検証情報に対して一時認証を実行する前記段階は、
前記端末装置が、前記検証パラメータに基づいて、前記認証、許可および課金機能ネットワークエレメントの前記証明書の前記署名を検証する段階と、
前記認証、許可および課金機能ネットワークエレメントの前記証明書の前記署名に対する前記検証が成功した場合、前記端末装置が、前記認証、許可および課金機能ネットワークエレメントの前記証明書の公開鍵に基づいて、前記第３のメッセージ認証コードを検証する段階と
を含む、
項目６に記載の方法。
（項目１０）
前記端末装置が前記第３のメッセージ認証コードを正常に検証した場合、前記端末装置が、前記端末装置の前記証明書の前記秘密鍵に基づいて、第４のメッセージ認証コードを生成する段階と、
前記端末装置が認証応答メッセージを前記認証アンカーへ送信する段階であって、前記認証応答メッセージは、前記第４のメッセージ認証コードおよび第１の証明書を含む、送信する段階と
をさらに備える、項目９に記載の方法。
（項目１１）
前記相互一時認証は、第５世代認証および鍵共有５Ｇ ＡＫＡまたは拡張可能認証プロトコル認証および鍵共有ＥＡＰ－ＡＫＡ'を含む、項目１から１０のいずれか１つに記載の方法。
（項目１２）
前記第１のネットワークの前記構成情報は、ネットワーク選択サブスクリプション情報を含み、前記ネットワーク選択サブスクリプション情報は、前記第１のネットワークにアクセスすることを選ぶために前記端末装置により用いられる、項目１から１１のいずれか１つに記載の方法。
（項目１３）
前記ネットワーク選択サブスクリプション情報は、サブスクリプション永続識別子、ＳＵＰＩ、前記公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤ、ネットワーク識別子、ＮＩＤ、前記ルーティングインジケータルーティングＩＤ、単一ネットワークスライス選択支援情報、ＮＳＳＡＩおよびデータネットワーク名、ＤＮＮのうちの１つまたは複数を含む、項目１２に記載の方法。
（項目１４）
前記第１のネットワークの前記構成情報は、長期認証資格情報をさらに含み、前記長期認証資格情報は、前記第１のネットワークにアクセスすることを前記端末装置に許可するために前記第１のネットワークにより用いられる資格情報であり、
前記相互一時認証が成功した場合、前記端末装置が前記第１のネットワークから前記第１のネットワークの構成情報を受信する前記段階は、
前記端末装置が、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報を決定する段階と、
前記端末装置が前記データネットワークの前記識別情報をセッション管理機能ネットワークエレメントへ送信する段階と、
前記端末装置が、ユーザプレーントンネルを通じて、前記オンラインサブスクリプションサーバから前記長期認証資格情報を取得する段階と
を有する、
項目１から１３のいずれか１つに記載の方法。
（項目１５）
前記補助認証情報は、前記オンラインサブスクリプションサーバが位置する前記データネットワークの前記識別情報をさらに含み、
前記端末装置が、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報を決定する前記段階は、
前記端末装置が前記補助認証情報から前記データネットワークの前記識別情報を取得する段階
を含む、
項目１４に記載の方法。
（項目１６）
前記相互一時認証が失敗した場合、前記端末装置が、前記第１の一時認証情報と、前記第２のネットワークの識別情報とに基づいて、第２のネットワークの前記アクセス情報を決定する段階であって、前記第２のネットワークは、前記第１のネットワークとは異なる前記１つまたは複数のネットワークのいずれか１つである、決定する段階と、
前記端末装置が、前記第２のネットワークの前記アクセス情報に基づいて、前記第２のネットワークとの前記相互一時認証をトリガする段階と
をさらに備える、項目１に記載の方法。
（項目１７）
前記補助認証情報は、前記１つまたは複数のネットワークに対応するオンボーディングインジケーション情報をさらに含み、
前記方法は、
前記端末装置が、前記オンボーディングインジケーション情報を含む前記ネットワークから、１つのネットワークを前記第１のネットワークとして選択する段階
をさらに備える、項目１から１６のいずれか１つに記載の方法。
（項目１８）
端末装置が補助認証情報を取得する前記段階は、
前記端末装置が、アクセスネットワークデバイスによりブロードキャストされる前記補助認証情報を受信する段階
を有する、
項目１から１７のいずれか１つに記載の方法。
（項目１９）
通信方法であって、
認証アンカーが、端末装置からの第１のネットワークのアクセス情報を前記第１のネットワーク内の認証、許可および課金機能ネットワークエレメントへ送信する段階であって、前記第１のネットワークの前記アクセス情報は、相互一時認証を実行するよう前記端末装置と前記認証、許可および課金機能ネットワークエレメントとをトリガするために用いられる、送信する段階と、
前記端末装置と前記第１のネットワークとの間の前記相互一時認証が成功していると判定した場合、前記認証アンカーが、前記第１のネットワークのネットワーク選択サブスクリプション情報を前記端末装置へ送信するようデータ管理ネットワークエレメントをトリガする段階と
を備える、方法。
（項目２０）
前記認証アンカーが、前記第１のネットワークのネットワーク選択サブスクリプション情報を前記端末装置へ送信するようデータ管理ネットワークエレメントをトリガする前記段階は、
前記認証アンカーがサブスクリプション要求インジケーションを前記データ管理ネットワークエレメントへ送信する段階であって、前記サブスクリプション要求インジケーションは、前記ネットワーク選択サブスクリプション情報を前記端末装置へ送信するよう前記データ管理ネットワークエレメントに指示する、送信する段階
を有する、
項目１９に記載の方法。
（項目２１）
前記ネットワーク選択サブスクリプション情報は、サブスクリプション永続識別子、ＳＵＰＩ、公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤ、ネットワーク識別子、ＮＩＤ、ルーティングインジケータルーティングＩＤ、単一ネットワークスライス選択支援情報、ＮＳＳＡＩおよびデータネットワーク名、ＤＮＮのうちの１つまたは複数を含む、項目２０に記載の方法。
（項目２２）
前記端末装置と前記第１のネットワークとの間の前記相互一時認証が成功していると前記認証アンカーが判定する前記段階は、
前記認証アンカーが前記認証、許可および課金機能ネットワークエレメントから第１の検証情報を受信する段階と、
前記認証アンカーが認証要求メッセージを前記端末装置へ送信する段階であって、前記認証要求メッセージは、前記第１の検証情報を含む、送信する段階と、
前記認証アンカーが前記端末装置から認証応答メッセージを受信する段階であって、前記認証応答メッセージは、第２の検証情報を含む、受信する段階と、
前記第１の検証情報が前記第２の検証情報と同じであると判定した場合、前記端末装置と前記第１のネットワークとの間の前記相互一時認証が成功していると認証アンカーが判定する段階と
を有する、
項目１９に記載の方法。
（項目２３）
前記認証アンカーは、認証サーバネットワークエレメントおよびモビリティ管理ネットワークエレメントを含み、前記第１の検証情報は、第１のチャレンジ値または第２のチャレンジ値を含み、前記第２の検証情報は、第３のチャレンジ値を含み、
前記認証アンカーが前記認証、許可および課金機能ネットワークエレメントから第１の検証情報を受信する前記段階は、
前記認証サーバネットワークエレメントが前記認証、許可および課金機能ネットワークエレメントから前記第１のチャレンジ値を受信する段階と、
前記認証サーバネットワークエレメントが、前記第１のチャレンジ値に基づいて、前記第２のチャレンジ値を生成する段階と
を含み、
前記認証アンカーが認証要求メッセージを前記端末装置へ送信する前記段階は、
前記認証サーバネットワークエレメントが前記第２のチャレンジ値を前記モビリティ管理ネットワークエレメントへ送信する段階
を含み、
前記認証アンカーが前記端末装置から認証応答メッセージを受信する前記段階は、
前記モビリティ管理ネットワークエレメントが前記端末装置から前記第３のチャレンジ値を受信する段階
を含み、
前記第１の検証情報が前記第２の検証情報と同じであると判定した場合、前記端末装置と前記第１のネットワークとの間の前記相互一時認証が成功していると前記認証アンカーが判定する前記段階は、
前記第２のチャレンジ値が前記第３のチャレンジ値と同じであると判定した場合、前記モビリティ管理ネットワークエレメントが前記第３のチャレンジ値を前記認証サーバネットワークエレメントへ送信する段階と、
前記第１のチャレンジ値が前記第３のチャレンジ値と同じであると判定した場合、前記端末装置と前記第１のネットワークとの間の前記相互一時認証が成功していると前記認証サーバネットワークエレメントが判定する段階と
を含む、
項目１９から２２のいずれか１つに記載の方法。
（項目２４）
前記認証アンカーは、認証サーバネットワークエレメントおよびモビリティ管理ネットワークエレメントを含み、前記第１の検証情報は、第４のチャレンジ値を含み、前記第２の検証情報は、第５のチャレンジ値を含み、
前記認証アンカーが前記認証、許可および課金機能ネットワークエレメントから第１の検証情報を受信する前記段階は、
前記認証サーバネットワークエレメントが前記認証、許可および課金機能ネットワークエレメントから前記第４のチャレンジ値を受信する段階
を含み、
前記認証アンカーが認証要求メッセージを前記端末装置へ送信する前記段階は、
前記認証サーバネットワークエレメントが前記第４のチャレンジ値を前記モビリティ管理ネットワークエレメントへ送信する段階
を含み、
前記認証アンカーが前記端末装置から認証応答メッセージを受信する前記段階は、
前記モビリティ管理ネットワークエレメントが前記端末装置から前記第５のチャレンジ値を受信する段階
を含み、
前記第１の検証情報が前記第２の検証情報と同じであると判定した場合、前記端末装置と前記第１のネットワークとの間の前記相互一時認証が成功していると前記認証アンカーが判定する前記段階は、
前記モビリティ管理ネットワークエレメントが前記第５のチャレンジ値を前記認証サーバネットワークエレメントへ送信する段階と、
前記第４のチャレンジ値が前記第５のチャレンジ値と同じであると判定した場合、前記端末装置と前記第１のネットワークとの間の前記相互一時認証が成功していると前記認証サーバネットワークエレメントが判定する段階と
を含む、
項目１９から２２のいずれか１つに記載の方法。
（項目２５）
前記第１のネットワークの前記アクセス情報は、前記認証、許可および課金機能ネットワークエレメントの識別情報を含み、
認証アンカーが、端末装置からの第１のネットワークのアクセス情報を前記第１のネットワーク内の認証、許可および課金機能ネットワークエレメントへ送信する前記段階は、
前記認証アンカーが前記端末装置から前記第１のネットワークの前記アクセス情報を受信する段階と、
前記認証アンカーが、前記第１のネットワークの前記アクセス情報における前記認証、許可および課金機能ネットワークエレメントの前記識別情報に基づいて、前記認証、許可および課金機能ネットワークエレメントを決定する段階と、
前記認証アンカーが前記第１のネットワークの前記アクセス情報を前記認証、許可および課金機能ネットワークエレメントへ送信する段階と
を有する、
項目１９から２４のいずれか１つに記載の方法。
（項目２６）
通信方法であって、
認証、許可および課金機能ネットワークエレメントが端末装置から第１のネットワークのアクセス情報を受信する段階であって、前記第１のネットワークの前記アクセス情報は、前記端末装置により、第１の一時認証情報と、前記第１のネットワークの識別情報とに基づいて決定される、受信する段階と、
前記認証、許可および課金機能ネットワークエレメントが、前記第１のネットワークの前記アクセス情報に基づいて、第２の一時認証情報を決定する段階と、
前記認証、許可および課金機能ネットワークエレメントが、前記第２の一時認証情報に基づいて、前記端末装置との相互一時認証を実行する段階と
を備える、方法。
（項目２７）
前記第１のネットワークの前記アクセス情報は、
前記第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、
第３の一時認証資格情報の識別子および前記第１のネットワークの前記識別情報、
第３の一時認証資格情報の識別子、および前記アクセス情報が一時認証のために用いられることを示す、前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報および前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報ならびに前記認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記アクセス情報のタイプならびに前記認証、許可および課金機能ネットワークエレメントの識別情報、または、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報、前記認証、許可および課金機能ネットワークエレメントの識別情報ならびに前記第１のネットワークの前記アクセス情報のタイプ
のいずれか１つを含む、
項目２６に記載の方法。
（項目２８）
前記第１のネットワークの前記識別情報は、公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤを含み、
前記認証、許可および課金機能ネットワークエレメントの前記識別情報は、ルーティングインジケータルーティングＩＤを含み、
前記第１の一時認証資格情報の前記識別子は、永久機器識別子ＰＥＩまたは国際移動体機器識別番号ＩＭＥＩを含む、
項目２７に記載の方法。
（項目２９）
前記第３の一時認証資格情報の前記識別子は、前記第１の一時認証資格情報の前記識別子の混同値である、項目２７または２８に記載の方法。
（項目３０）
前記認証、許可および課金機能ネットワークエレメントが、前記第１のネットワークの前記アクセス情報に基づいて、前記端末装置との前記相互一時認証をトリガする前記段階は、
段階と、認証、許可および課金機能ネットワークエレメントが、前記第１のネットワークの前記アクセス情報に基づいて、第１の検証情報を生成する段階と、
前記認証、許可および課金機能ネットワークエレメントが前記第１の検証情報を認証アンカーへ送信する段階と
を有する、
項目２６から２９のいずれか１つに記載の方法。
（項目３１）
前記第１の検証情報は、第１のメッセージ認証コードおよび第１のチャレンジ値を含み、
前記認証、許可および課金機能ネットワークエレメントが、前記第１のネットワークの前記アクセス情報に基づいて、第１の検証情報を生成する前記段階は、
前記認証、許可および課金機能ネットワークエレメントが、前記第１のネットワークの前記アクセス情報に基づいて、前記第２の一時認証情報を決定する段階と、
前記認証、許可および課金機能ネットワークエレメントが、前記第２の一時認証情報に基づいて前記第１の一時対称鍵を取得する段階と、
前記認証、許可および課金機能ネットワークエレメントが、前記第１の一時対称鍵に基づいて、前記第１のメッセージ認証コードおよび前記第１のチャレンジ値を別個に生成する段階と、
前記認証、許可および課金機能ネットワークエレメントが前記第１のメッセージ認証コードおよび前記第１のチャレンジ値を前記認証アンカーへ送信する段階と
を含む、
項目３０に記載の方法。
（項目３２）
前記第２の一時認証情報は、一時アルゴリズムをさらに含み、
前記認証、許可および課金機能ネットワークエレメントが、前記第２の一時認証情報に基づいて第１の一時対称鍵を取得する前記段階は、
前記認証、許可および課金機能ネットワークエレメントが、前記一時アルゴリズムに従って前記第１の一時対称鍵を生成する段階
を含む、
項目３１に記載の方法。
（項目３３）
前記第２の一時認証情報は、前記端末装置の第１の公開鍵を含み、
前記認証、許可および課金機能ネットワークエレメントが、前記第２の一時認証情報に基づいて第１の一時対称鍵を取得する前記段階は、
前記認証、許可および課金機能ネットワークエレメントが前記認証、許可および課金機能ネットワークエレメントの第２の公開鍵と、前記認証、許可および課金機能ネットワークエレメントの第２の秘密鍵とを生成する段階と、
前記認証、許可および課金機能ネットワークエレメントが、前記第２の秘密鍵および前記第１の公開鍵に基づいて、前記第１の一時対称鍵を生成する段階と
を含む、
項目３１に記載の方法。
（項目３４）
前記第２の一時認証情報は、前記一時アルゴリズムをさらに含み、前記一時アルゴリズムは、鍵共有アルゴリズムおよび一時認証アルゴリズムを含み、
前記認証、許可および課金機能ネットワークエレメントが、前記第２の一時認証情報に基づいて第１の一時対称鍵を取得する前記段階は、
前記認証、許可および課金機能ネットワークエレメントが、前記鍵共有アルゴリズムに従って、前記認証、許可および課金機能ネットワークエレメントの前記第２の公開鍵および前記第２の秘密鍵を生成する段階と、
前記認証、許可および課金機能ネットワークエレメントが、前記一時認証アルゴリズム、前記第２の秘密鍵および前記第１の公開鍵に基づいて、前記第１の一時対称鍵を生成する段階と
を含む、
項目３１から３３のいずれか１つに記載の方法。
（項目３５）
前記第１の検証情報は、前記認証、許可および課金機能ネットワークエレメントの前記第２の公開鍵をさらに含み、
前記方法は、
前記認証、許可および課金機能ネットワークエレメントが前記第２の公開鍵を前記認証アンカーへ送信する段階
をさらに備える、項目３３または３４に記載の方法。
（項目３６）
前記認証、許可および課金機能ネットワークエレメントがオンボーディングデバイスから前記第２の一時認証情報を受信する段階
をさらに備える、項目２６から３５のいずれか１つに記載の方法。
（項目３７）
前記第１のネットワークの前記アクセス情報は、前記第３の一時認証資格情報の前記識別子を含み、
前記認証、許可および課金機能ネットワークエレメントが、前記第１のネットワークの前記アクセス情報に基づいて、第２の一時認証情報を決定する前記段階は、
前記認証、許可および課金機能ネットワークエレメントが、前記第３の一時認証資格情報の前記識別子と同じ第２の一時認証資格情報の識別子を求めて検索し、前記第２の一時認証資格情報の前記識別子に対応する一時認証情報を前記第２の一時認証情報として決定する段階
を含む、
項目２７から３６のいずれか１つに記載の方法。
（項目３８）
前記第１のネットワークの前記アクセス情報は、前記第１のネットワークの前記アクセス情報の前記タイプをさらに含み、
前記認証、許可および課金機能ネットワークエレメントが、前記アクセス情報に基づいて、第２の一時認証情報を決定する前記段階は、
一時認証情報が検索される必要があると前記認証、許可および課金機能ネットワークエレメントが前記第１のネットワークの前記アクセス情報の前記タイプに基づいて判定する段階と、
前記認証、許可および課金機能ネットワークエレメントが、前記第３の一時認証資格情報の前記識別子と同じ前記第２の一時認証資格情報の前記識別子を求めて検索し、前記第２の一時認証資格情報の前記識別子に対応する前記一時認証情報を前記第２の一時認証情報として決定する段階と
を含む、
項目３７に記載の方法。
（項目３９）
認証アンカーと、認証、許可および課金機能ネットワークエレメントとを備え、
前記認証、許可および課金機能ネットワークエレメントは、前記認証アンカーを通じて、端末装置から第１のネットワークのアクセス情報を受信し、前記第１のネットワークの前記アクセス情報に基づいて、前記端末装置との相互一時認証をトリガするように構成されており、
前記認証アンカーは、前記相互一時認証が成功した場合、前記第１のネットワークのネットワーク選択サブスクリプション情報を前記端末装置へ送信するようデータ管理ネットワークエレメントをトリガするように構成されている、
通信システム。
（項目４０）
前記システムは、前記データ管理ネットワークエレメントをさらに備え、
前記認証アンカーは、具体的には、前記相互一時認証が成功した場合、サブスクリプション要求インジケーションを前記データ管理ネットワークエレメントへ送信するように構成されており、前記サブスクリプション要求インジケーションは、前記ネットワーク選択サブスクリプション情報を前記端末装置へ送信するよう前記データ管理ネットワークエレメントに指示し、
前記データ管理ネットワークエレメントは、前記認証アンカーから前記サブスクリプション要求インジケーションを受信し、前記サブスクリプション要求インジケーションに基づいて、前記ネットワーク選択サブスクリプション情報を前記端末装置へ送信するように構成されている、
項目３９に記載のシステム。
（項目４１）
前記ネットワーク選択サブスクリプション情報は、サブスクリプション永続識別子、ＳＵＰＩ、公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤ、ネットワーク識別子、ＮＩＤ、ルーティングインジケータルーティングＩＤ、単一ネットワークスライス選択支援情報、ＮＳＳＡＩおよびデータネットワーク名、ＤＮＮのうちの１つまたは複数を含む、項目３９または４０に記載のシステム。
（項目４２）
前記第１のネットワークの前記アクセス情報は、前記第１のネットワークの前記アクセス情報のタイプを含み、前記第１のネットワークの前記アクセス情報の前記タイプは、前記第１のネットワークの前記アクセス情報が一時認証のために用いられることを示し、
前記認証、許可および課金機能ネットワークエレメントはさらに、前記端末装置との前記相互一時認証がトリガされる必要があると前記第１のネットワークの前記アクセス情報における前記アクセス情報タイプに基づいて判定するように構成されている、
項目３９から４１のいずれか１つに記載のシステム。
（項目４３）
前記相互一時認証は、第５世代認証および鍵共有５Ｇ ＡＫＡまたは拡張可能認証プロトコル認証および鍵共有ＥＡＰ－ＡＫＡ'を含む、項目３９から４１のいずれか１つに記載のシステム。
（項目４４）
前記認証、許可および課金機能ネットワークエレメントは、具体的には、前記第１のネットワークの前記アクセス情報に基づいて第２の一時認証情報を決定し、前記第２の一時認証情報に基づいて第１の一時対称鍵を取得し、前記第１の一時対称鍵に基づいて第１のメッセージ認証コードおよび第１のチャレンジ値を別個に生成し、前記第１のメッセージ認証コードおよび前記第１のチャレンジ値を前記認証アンカーへ送信するように構成されている、項目３９から４３のいずれか１つに記載のシステム。
（項目４５）
前記第２の一時認証情報は、一時アルゴリズムをさらに含み、
前記認証、許可および課金機能ネットワークエレメントはさらに、前記第２の一時認証情報における前記一時アルゴリズムに従って前記第１の一時対称鍵を生成するように構成されている、
項目４４に記載のシステム。
（項目４６）
前記一時アルゴリズムは、鍵共有アルゴリズムおよび一時認証アルゴリズムを含み、
前記認証、許可および課金機能ネットワークエレメントは、具体的には、前記鍵共有アルゴリズムに従って前記認証、許可および課金機能ネットワークエレメントの第２の公開鍵および第２の秘密鍵を生成し、前記一時認証アルゴリズム、前記第２の秘密鍵および第１の公開鍵に基づいて、前記第１の一時対称鍵を生成するように構成されている、
項目４５に記載のシステム。
（項目４７）
前記認証、許可および課金機能ネットワークエレメントはさらに、前記第２の公開鍵を前記認証アンカーへ送信するように構成されている、項目４６に記載のシステム。
（項目４８）
トランシーバモジュールと処理モジュールとを備える通信装置であって、
前記トランシーバモジュールは、１つまたは複数のネットワークの識別情報を含む補助認証情報を取得するように構成されており、
前記処理モジュールは、第１の一時認証情報と、前記１つまたは複数のネットワークのいずれか１つである第１のネットワークの識別情報とに基づいて、前記第１のネットワークのアクセス情報を決定し、前記第１のネットワークの前記アクセス情報に基づいて、前記第１のネットワークとの相互一時認証をトリガするように構成されており、
前記トランシーバモジュールはさらに、相互一時認証が成功した場合、前記第１のネットワークから前記第１のネットワークの構成情報を受信するように構成されている、
装置。
（項目４９）
前記第１のネットワークの前記アクセス情報は、
前記第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、
第３の一時認証資格情報の識別子および前記第１のネットワークの前記識別情報、
第３の一時認証資格情報の識別子、および前記第１のネットワークの前記アクセス情報が一時認証のために用いられることを示す、前記第１のネットワークの前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報および前記第１のネットワークの前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報ならびに認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記アクセス情報のタイプならびに認証、許可および課金機能ネットワークエレメントの識別情報、または、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報、認証、許可および課金機能ネットワークエレメントの識別情報ならびに前記第１のネットワークの前記アクセス情報のタイプ
のいずれか１つを含む、
項目４８に記載の装置。
（項目５０）
前記第１のネットワークの前記識別情報は、公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤを含み、
前記認証、許可および課金機能ネットワークエレメントの前記識別情報は、ルーティングインジケータルーティングＩＤを含み、
前記第１の一時認証資格情報の前記識別子は、永久機器識別子ＰＥＩまたは国際移動体機器識別番号ＩＭＥＩを含む、
項目４９に記載の装置。
（項目５１）
前記第３の一時認証資格情報の前記識別子は、前記第１の一時認証資格情報の前記識別子の混同値である、項目４９または５０に記載の装置。
（項目５２）
前記トランシーバモジュールは、具体的には、
前記認証アンカーを通じて、前記第１のネットワークの前記アクセス情報を前記認証、許可および課金機能ネットワークエレメントへ送信し、
第１の検証情報を含む認証要求メッセージを前記認証アンカーから受信する
ように構成されており、
前記処理モジュールは、具体的には、
前記第１の一時認証情報に基づいて、前記第１の検証情報に対して一時認証を実行する
ように構成されている、
項目４８から５１のいずれか１つに記載の装置。
（項目５３）
前記第１の検証情報は、第１のメッセージ認証コードを含み、
前記処理モジュールは、具体的には、
前記第１の一時認証情報に基づいて第２の一時対称鍵を取得し、
前記第２の一時対称鍵に基づいて第２のメッセージ認証コードを生成し、
前記第２のメッセージ認証コードに基づいて前記第１のメッセージ認証コードを検証する
ように構成されている、
項目５２に記載の装置。
（項目５４）
前記処理モジュールはさらに、前記第１のメッセージ認証コードが前記第２のメッセージ認証コードと同じである場合、前記第２の一時対称鍵に基づいて第３のチャレンジ値を生成するように構成されており、前記第３のチャレンジ値は、前記認証アンカーにより、前記通信装置に対して一時認証を実行するために用いられ、
前記トランシーバモジュールはさらに、認証応答メッセージを前記認証アンカーへ送信するように構成されており、前記認証応答メッセージは、前記第３のチャレンジ値を含む、
項目５３に記載の装置。
（項目５５）
前記第１の一時認証情報は、前記装置の第１の秘密鍵を含み、前記第１の検証情報は、前記認証、許可および課金機能ネットワークエレメントの第２の公開鍵を含み、
前記処理モジュールは具体的には、前記第１の秘密鍵および前記第２の公開鍵に基づいて、前記第２の一時対称鍵を生成するように構成されている、
項目５３または５４に記載の装置。
（項目５６）
前記第１の一時認証情報は、前記第１の一時認証資格情報をさらに含み、前記第１の一時認証資格情報は、検証パラメータと、前記通信装置の証明書の秘密鍵とを含み、前記第１の検証情報は、前記認証、許可および課金機能ネットワークエレメントの証明書の署名と、第３のメッセージ認証コードとを含み、
前記処理モジュールは、具体的には、前記検証パラメータに基づいて、前記認証、許可および課金機能ネットワークエレメントの前記証明書の前記署名を検証し、前記認証、許可および課金機能ネットワークエレメントの前記証明書の前記署名に対する前記検証が成功した場合、前記認証、許可および課金機能ネットワークエレメントの前記証明書の公開鍵に基づいて、第３のメッセージ認証コードを検証するように構成されている、
項目５２に記載の装置。
（項目５７）
前記処理モジュールはさらに、前記通信装置が前記第３のメッセージ認証コードを正常に検証した場合、前記通信装置の前記証明書の前記秘密鍵に基づいて、第４のメッセージ認証コードを生成するように構成されており、
前記トランシーバモジュールはさらに、認証応答メッセージを前記認証アンカーへ送信するように構成されており、前記認証応答メッセージは、前記第４のメッセージ認証コードおよび第１の証明書を含む、
項目５６に記載の装置。
（項目５８）
前記相互一時認証は、第５世代認証および鍵共有５Ｇ ＡＫＡまたは拡張可能認証プロトコル認証および鍵共有ＥＡＰ－ＡＫＡ'を含む、項目４８から５７のいずれか１つに記載の装置。
（項目５９）
前記第１のネットワークの前記構成情報は、ネットワーク選択サブスクリプション情報を含み、前記ネットワーク選択サブスクリプション情報は、前記第１のネットワークにアクセスすることを選ぶために前記通信装置により用いられる、項目４８から５８のいずれか１つに記載の装置。
（項目６０）
前記ネットワーク選択サブスクリプション情報は、サブスクリプション永続識別子、ＳＵＰＩ、前記公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤ、ネットワーク識別子、ＮＩＤ、前記ルーティングＩＤ、単一ネットワークスライス選択支援情報、ＮＳＳＡＩおよびデータネットワーク名、ＤＮＮのうちの１つまたは複数を含む、項目５９に記載の装置。
（項目６１）
前記第１のネットワークの前記構成情報は、長期認証資格情報をさらに含み、前記長期認証資格情報は、前記第１のネットワークにより、前記第１のネットワークへのアクセスを前記端末装置に許可するために用いられる資格情報であり、前記トランシーバモジュールはさらに、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報を決定し、前記データネットワークの前記識別情報をセッション管理機能ネットワークエレメントへ送信し、ユーザプレーントンネルを通じて、前記オンラインサブスクリプションサーバから前記長期認証資格情報を取得するように構成されている、項目４８から６０のいずれか１つに記載の装置。
（項目６２）
前記補助認証情報は、前記オンラインサブスクリプションサーバが位置する前記データネットワークの前記識別情報をさらに含み、前記トランシーバモジュールはさらに、前記補助認証情報から前記データネットワークの前記識別情報を取得するように構成されている、項目６１に記載の装置。
（項目６３）
前記処理モジュールはさらに、
前記相互一時認証が失敗した場合、前記第１の一時認証情報と、前記第１のネットワークとは異なる前記１つまたは複数のネットワークのいずれか１つである前記第２のネットワークの識別情報とに基づいて、第２のネットワークの前記アクセス情報を決定し、
前記第２のネットワークの前記アクセス情報に基づいて、前記第２のネットワークとの前記相互一時認証をトリガする
ように構成されている、
項目４８に記載の装置。
（項目６４）
前記補助認証情報は、前記１つまたは複数のネットワークに対応するオンボーディングインジケーション情報をさらに含み、
前記処理モジュールはさらに、前記オンボーディングインジケーション情報を含む前記ネットワークから、１つのネットワークを前記第１のネットワークとして選択するように構成されている、
項目４８から６３のいずれか１つに記載の装置。
（項目６５）
前記トランシーバモジュールは、具体的には、アクセスネットワークデバイスによりブロードキャストされる前記補助認証情報を受信するように構成されている、項目４８から６４のいずれか１つに記載の装置。
（項目６６）
トランシーバモジュールと処理モジュールとを備える通信装置であって、
前記トランシーバモジュールは、端末装置からの第１のネットワークのアクセス情報を前記第１のネットワーク内の認証、許可および課金機能ネットワークエレメントへ送信するように構成されており、前記第１のネットワークの前記アクセス情報は、相互一時認証を実行するよう前記通信装置と前記認証、許可および課金機能ネットワークエレメントとをトリガするために用いられ、
前記処理モジュールは、前記通信装置と前記第１のネットワークとの間の前記相互一時認証が成功していると判定された場合、前記第１のネットワークのネットワーク選択サブスクリプション情報を前記通信装置へ送信するようデータ管理ネットワークエレメントをトリガするように構成されている、
装置。
（項目６７）
前記処理モジュールは、前記トランシーバモジュールと協働すると共に、前記通信装置と前記第１のネットワークとの間の前記相互一時認証が成功していると判定された場合、サブスクリプション要求インジケーションを前記データ管理ネットワークエレメントへ送信するように構成されており、前記サブスクリプション要求インジケーションは、前記ネットワーク選択サブスクリプション情報を前記通信装置へ送信するよう前記データ管理ネットワークエレメントに指示する、項目６６に記載の装置。
（項目６８）
前記ネットワーク選択サブスクリプション情報は、サブスクリプション永続識別子、ＳＵＰＩ、公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤ、ネットワーク識別子、ＮＩＤ、ルーティングインジケータルーティングＩＤ、単一ネットワークスライス選択支援情報、ＮＳＳＡＩおよびデータネットワーク名、ＤＮＮのうちの１つまたは複数を含む、項目６７に記載の装置。
（項目６９）
前記トランシーバモジュールは、具体的には、
前記認証、許可および課金機能ネットワークエレメントから第１の検証情報を受信し、
前記第１の検証情報を含む前記認証要求メッセージを前記通信装置へ送信し、
第２の検証情報を含む認証応答メッセージを前記通信装置から受信する
ように構成されており、
前記処理モジュールは、具体的には、前記第１の検証情報が前記第２の検証情報と同じであると判定された場合、前記通信装置と前記第１のネットワークとの間の前記相互一時認証が成功していると判定するように構成されている、
項目６６に記載の装置。
（項目７０）
前記第１のネットワークの前記アクセス情報は、前記認証、許可および課金機能ネットワークエレメントの識別情報を含み、
前記トランシーバモジュールは、具体的には、前記通信装置から前記第１のネットワークの前記アクセス情報を受信するように構成されており、
前記処理モジュールは、具体的には、前記第１のネットワークの前記アクセス情報における前記認証、許可および課金機能ネットワークエレメントの前記識別情報に基づいて、前記認証、許可および課金機能ネットワークエレメントを決定するように構成されており、
前記トランシーバモジュールは、具体的には、前記第１のネットワークの前記アクセス情報を前記認証、許可および課金機能ネットワークエレメントへ送信するように構成されている、
項目６６から６９のいずれか１つに記載の装置。
（項目７１）
トランシーバモジュールと処理モジュールとを備える通信装置であって、
前記トランシーバモジュールは、端末装置から第１のネットワークのアクセス情報を受信するように構成されており、前記第１のネットワークの前記アクセス情報は、前記端末装置により、第１の一時認証情報と、前記第１のネットワークの識別情報とに基づいて決定され、
前記処理モジュールは、前記第１のネットワークの前記アクセス情報に基づいて、第２の一時認証情報を決定し、前記第２の一時認証情報に基づいて、前記通信装置との相互一時認証をトリガするように構成されている、
装置。
（項目７２）
前記第１のネットワークの前記アクセス情報は、
前記第１の一時認証情報における第１の一時認証資格情報の識別子に基づいて決定される、第３の一時認証資格情報の識別子、
第３の一時認証資格情報の識別子および前記第１のネットワークの前記識別情報、
第３の一時認証資格情報の識別子、および前記アクセス情報が一時認証のために用いられることを示す、前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子ならびに認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報および前記アクセス情報のタイプ、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報ならびに前記認証、許可および課金機能ネットワークエレメントの識別情報、
第３の一時認証資格情報の識別子、前記アクセス情報のタイプならびに前記認証、許可および課金機能ネットワークエレメントの識別情報、または、
第３の一時認証資格情報の識別子、前記第１のネットワークの前記識別情報、前記認証、許可および課金機能ネットワークエレメントの識別情報ならびに前記第１のネットワークの前記アクセス情報のタイプ
のいずれか１つを含む、
項目７１に記載の装置。
（項目７３）
前記第１のネットワークの前記識別情報は、公衆陸上移動体ネットワーク識別子ＰＬＭＮ ＩＤを含み、
前記認証、許可および課金機能ネットワークエレメントの前記識別情報は、ルーティングインジケータルーティングＩＤを含み、
前記第１の一時認証資格情報の前記識別子は、永久機器識別子ＰＥＩまたは国際移動体機器識別番号ＩＭＥＩを含む、
項目７２に記載の装置。
（項目７４）
前記第３の一時認証資格情報の前記識別子は、前記第１の一時認証資格情報の前記識別子の混同値である、項目７２または７３に記載の装置。
（項目７５）
前記処理モジュールは、具体的には、前記第１のネットワークの前記アクセス情報に基づいて、第１の検証情報を生成するように構成されており、
前記トランシーバモジュールは、具体的には、前記第１の検証情報を認証アンカーへ送信するように構成されている、
項目７１から７４のいずれか１つに記載の装置。
（項目７６）
前記第１の検証情報は、第１のメッセージ認証コードおよび第１のチャレンジ値を含み、
前記処理モジュールは、具体的には、
前記第１のネットワークの前記アクセス情報に基づいて第２の一時認証情報を決定し、
前記第２の一時認証情報に基づいて第１の一時対称鍵を取得し、
前記第１の一時対称鍵に基づいて前記第１のメッセージ認証コードおよび前記第１のチャレンジ値を別個に生成する
ように構成されており、
前記トランシーバモジュールは、具体的には、前記第１のメッセージ認証コードおよび前記第１のチャレンジ値を前記認証アンカーへ送信するように構成されている、
項目７５に記載の装置。
（項目７７）
前記第２の一時認証情報は、一時アルゴリズムをさらに含み、
前記処理モジュールは、具体的には、前記一時アルゴリズムに従って、前記第１の一時対称鍵を生成するように構成されている、
項目７６に記載の装置。
（項目７８）
前記第２の一時認証情報は、前記端末装置の第１の公開鍵を含み、
前記処理モジュールは、具体的には、
前記認証、許可および課金機能ネットワークエレメントの第２の公開鍵と、前記認証、許可および課金機能ネットワークエレメントの第２の秘密鍵とを生成し、
前記第２の秘密鍵および前記第１の公開鍵に基づいて、前記第１の一時対称鍵を生成する
ように構成されている、
項目７６に記載の装置。
（項目７９）
前記第２の一時認証情報は、前記一時アルゴリズムをさらに含み、前記一時アルゴリズムは、鍵共有アルゴリズムおよび一時認証アルゴリズムを含み、
前記処理モジュールは、具体的には、
前記鍵共有アルゴリズムに従って、前記認証、許可および課金機能ネットワークエレメントの前記第２の公開鍵および前記第２の秘密鍵を生成し、
前記一時認証アルゴリズム、前記第２の秘密鍵および前記第１の公開鍵に基づいて、前記第１の一時対称鍵を生成する
ように構成されている、
項目７７または７８に記載の装置。
（項目８０）
前記第１の検証情報は、前記認証、許可および課金機能ネットワークエレメントの前記第２の公開鍵をさらに含み、
前記トランシーバモジュールはさらに、前記第２の公開鍵を前記認証アンカーへ送信するように構成されている、
項目７８または７９に記載の装置。
（項目８１）
前記トランシーバモジュールはさらに、オンボーディングデバイスから前記第２の一時認証情報を受信するように構成されている、
項目７１から８０のいずれか１つに記載の装置。
（項目８２）
前記第１のネットワークの前記アクセス情報は、前記第３の一時認証資格情報の前記識別子を含み、
前記処理モジュールは、具体的には、
前記第３の一時認証資格情報の前記識別子と同じ第２の一時認証資格情報の識別子を求めて検索し、
前記第２の一時認証資格情報の前記識別子に対応する一時認証情報を前記第２の一時認証情報として決定する
ように構成されている、
項目７２から８１のいずれか１つに記載の装置。
（項目８３）
前記第１のネットワークの前記アクセス情報は、前記第１のネットワークの前記アクセス情報の前記タイプをさらに含み、
前記処理モジュールは、具体的には、
前記一時認証情報が検索される必要があると前記第１のネットワークの前記アクセス情報の前記タイプに基づいて判定し、
前記第３の一時認証資格情報の前記識別子と同じ前記第２の一時認証資格情報の前記識別子を求めて検索し、
前記第２の一時認証資格情報の前記識別子に対応する前記一時認証情報を前記第２の一時認証情報として決定する
ように構成されている、
項目７２から８２のいずれか１つに記載の装置。
（項目８４）
プロセッサとトランシーバとを備える通信装置であって、前記トランシーバは、前記通信装置以外の通信装置から信号を受信して前記信号を前記プロセッサへ伝送するように、または前記プロセッサからの信号を前記通信装置以外の通信装置へ送信するように構成されており、前記プロセッサは、論理回路を用いることにより、またはコード命令を実行することにより、項目１から１８のいずれか１つ、項目１９から２５のいずれか１つ、または項目２６から３８のいずれか１つに記載の方法を実装するように構成されている、通信装置。
（項目８５）
コンピュータプログラムまたは命令を格納したコンピュータ可読記憶媒体であって、前記コンピュータプログラムまたは前記命令は、通信装置により実行された場合、項目１から１８のいずれか１つ、項目１９から２５のいずれか１つ、または項目２６から３８のいずれか１つに記載の方法が実装される、コンピュータ可読記憶媒体。
（項目８６）
コンピュータプログラムまたは命令を備えるコンピュータプログラム製品であって、前記コンピュータプログラムまたは前記命令が通信装置により実行された場合、項目１から１８のいずれか１つ、項目１９から２５のいずれか１つ、または項目２６から３８のいずれか１つに記載の方法が実装される、コンピュータプログラム製品。

Claims (15)

1. 通信方法であって、
   端末装置が補助認証情報を取得する段階であって、前記補助認証情報は、１つまたは複数のネットワークの識別情報を含む、取得する段階と、
   前記端末装置が、第１の一時認証情報と、第１のネットワークの識別情報とに基づいて、前記第１のネットワークのアクセス情報を決定する段階であって、前記第１のネットワークは、前記１つまたは複数のネットワークのいずれか１つである、決定する段階と、
   前記端末装置が、前記第１のネットワークの前記アクセス情報に基づいて、前記第１のネットワークとの相互一時認証をトリガする段階と、
   前記相互一時認証が失敗した場合、前記端末装置が、前記第１の一時認証情報と、第２のネットワークの識別情報とに基づいて、前記第２のネットワークのアクセス情報を決定する段階であって、前記第２のネットワークは、前記第１のネットワークとは異なる前記１つまたは複数のネットワークのいずれか１つである、決定する段階と、
   前記端末装置が、前記第２のネットワークの前記アクセス情報に基づいて、前記第２のネットワークとの相互一時認証をトリガする段階と
   を備える、方法。
2. 前記補助認証情報は、前記１つまたは複数のネットワークに対応するオンボーディングインジケーション情報をさらに含み、
   前記方法は、
   前記端末装置が、前記オンボーディングインジケーション情報を含む前記１つまたは複数のネットワークから、１つのネットワークを前記第１のネットワークとして選択する段階
   をさらに備える、請求項１に記載の方法。
3. 端末装置が補助認証情報を取得する前記段階は、
   前記端末装置が、アクセスネットワークデバイスによりブロードキャストされる前記補助認証情報を受信する段階
   を有する、
   請求項１または２に記載の方法。
4. 前記端末装置が、前記補助認証情報に含まれるオンボーディングインジケーション情報を含む前記１つまたは複数のネットワークから新しいネットワークを前記第２のネットワークとして選択する段階
   をさらに備える、請求項１から３のいずれか一項に記載の方法。
5. 前記端末装置がアクセス拒否メッセージを受信する段階と、
   前記端末装置が、前記アクセス拒否メッセージに応答して、前記補助認証情報に含まれるオンボーディングインジケーション情報を含む前記１つまたは複数のネットワークから新しいネットワークを前記第２のネットワークとして選択する段階と
   をさらに備える、請求項１から３のいずれか一項に記載の方法。
6. 前記アクセス拒否メッセージは、アクセスを拒否するための原因情報を含む、請求項５に記載の方法。
7. 前記アクセス拒否メッセージにおいて保持される前記原因情報は、前記端末装置の一時認証資格情報を見つけられないということである、請求項６に記載の方法。
8. 前記相互一時認証が成功した場合、前記端末装置が前記第１のネットワークから前記第１のネットワークの構成情報を受信する段階
   をさらに備える、請求項１に記載の方法。
9. 前記相互一時認証は、第５世代認証および鍵共有（５Ｇ ＡＫＡ）、または拡張可能認証プロトコル認証および鍵共有（ＥＡＰ－ＡＫＡ'）を含む、請求項１から８のいずれか一項に記載の方法。
10. 前記第１のネットワークの前記構成情報は、ネットワーク選択サブスクリプション情報を含み、前記ネットワーク選択サブスクリプション情報は、前記第１のネットワークにアクセスすることを選ぶために前記端末装置により用いられる、請求項８に記載の方法。
11. 前記ネットワーク選択サブスクリプション情報は、サブスクリプション永続識別子、ＳＵＰＩ、公衆陸上移動体ネットワーク識別子（ＰＬＭＮ ＩＤ）、ネットワーク識別子（ＮＩＤ）、ルーティングインジケータ、単一ネットワークスライス選択支援情報（ＮＳＳＡＩ）およびデータネットワーク名（ＤＮＮ）のうちの１つまたは複数を含む、請求項１０に記載の方法。
12. 前記第１のネットワークの前記構成情報は、長期認証資格情報をさらに含み、前記長期認証資格情報は、前記第１のネットワークにアクセスすることを前記端末装置に許可するために前記第１のネットワークにより用いられる資格情報であり、
    前記相互一時認証が成功した場合、前記端末装置が前記第１のネットワークから前記第１のネットワークの構成情報を受信する前記段階は、
    前記端末装置が、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報を決定する段階と、
    前記端末装置が前記データネットワークの前記識別情報をセッション管理機能ネットワークエレメントへ送信する段階と、
    前記端末装置が、ユーザプレーントンネルを通じて、前記オンラインサブスクリプションサーバから前記長期認証資格情報を取得する段階と
    を有する、
    請求項８に記載の方法。
13. 前記補助認証情報は、前記オンラインサブスクリプションサーバが位置する前記データネットワークの前記識別情報をさらに含み、
    前記端末装置が、オンラインサブスクリプションサーバが位置するデータネットワークの識別情報を決定する前記段階は、
    前記端末装置が前記補助認証情報から前記データネットワークの前記識別情報を取得する段階
    を含む、
    請求項１２に記載の方法。
14. 請求項１から１３のいずれか一項に記載の方法のいずれか１つの前記段階を実行するための手段を備える端末装置。
15. プロセッサに、請求項１から１３のいずれか一項に記載の方法を実行させる、コンピュータプログラム。

Images