JP5603526B2 - セキュアな電気通信ネットワークにおける高可用性を向上させる方法、及び複数のリモートノードを備える電気通信ネットワーク - Google Patents

Description

本発明は、特に、セキュアな電気通信ネットワークにおける可用性を向上させる方法であって、この電気通信ネットワークは、複数のリモートノードと、１つ以上の更なるネットワークノードと、少なくとも１つのセキュリティゲートウェイとを備え、上記複数のリモートノードのそれぞれは、上記１つ以上の更なるネットワークノードに通信し、上記複数のリモートノードの第１の動作モードにおいて、上記少なくとも１つのセキュリティゲートウェイの通常動作の間、上記複数のリモートノードのそれぞれは、セキュアな通信トンネルによって上記少なくとも１つのセキュリティゲートウェイと通信する、方法に関する。さらに、本発明は、複数のリモートノードと、１つ以上の更なるネットワークノードと、少なくとも１つのセキュリティゲートウェイとを備える電気通信ネットワークであって、上記少なくとも１つのセキュリティゲートウェイと上記１つ以上の更なるネットワークノードとの間のセキュアな通信機能の高可用性を向上させるように構成されている、電気通信ネットワークに関する。

特にアクセスネットワークにおけるイーサネット（登録商標）上のインターネットプロトコル（ＩＰ：Internet Protocol）に向けた移行に伴って、ますます多くのネットワークノード（又はネットワークサイト）、特にリモートネットワークノードが、インターネットプロトコルセキュリティトンネル（ＩＰｓｅｃトンネル：Internet Protocol Security tunnels）等のセキュアな通信トンネルによって、すなわち、基地局から、セキュリティゲートウェイ、例えばインターネットプロトコルセキュリティゲートウェイ（ＩＰｓｅｃＧＷ：Internet Protocol Security Gateways）が配置されている或る集中型ノード又は集中型サイトまで保護されている。より大きなネットワークでは、最大で２０００個〜３０００個までの数百個の基地局又は他のネットワークノードが、一対のＩＰｓｅｃＧＷに接続されている場合がある。これは、セキュリティゲートウェイの深刻な障害（例えば、ＩＰｓｅｃＧＷ障害）又は証明書ハンドリングに関連する問題が無線サービスの大きな衝撃につながる可能性があることも意味している。

ＩＰｓｅｃＧＷの冗長性等のセキュリティゲートウェイの冗長性が設けられるとともに、スマート切り替えメカニズム又はステートフル切り替えメカニズムが設けられる場合であっても、セキュリティゲートウェイのクラスタ、例えば冗長ＩＰｓｅｃクラスタの深刻な障害の適度なリスクが存在する。また、証明書ハンドリングに関する問題であっても、全ての無線ノードが、ＩＰｓｅｃトンネル等のセキュリティゲートウェイへのセキュアな通信トンネルをセットアップすることがもはや可能でない状況につながる場合がある。

無線ノードの管理プレーンも、セキュリティメカニズム、特にＩＰｓｅｃによって保護されるので、セキュリティメカニズム（例えば、ＩＰｓｅｃ）の機能の喪失は、無線サービスの喪失だけでなく、無線ノードへのリモート管理アクセスの喪失をも意味する。それは、事業者がサイトに訪問することなく無線ノードを非セキュリティ通信（例えば、非ＩＰｓｅｃ通信）にスイッチバックすることができないことを意味する。

非セキュリティ通信（例えば、非ＩＰｓｅｃ）への無線ノードの自動スイッチバック（すなわち、ＩＰｓｅｃトンネル等のセキュアな通信トンネルを確立することができない場合）は、セキュリティの観点から許容することができない。なぜならば、これは、セキュリティ対策を無効にする機会を「中間者（man in the middle）」に与えるおそれがあるからである。

本発明の目的は、セキュアな通信トンネル又はチャネルが、ネットワークノード、特にセキュリティゲートウェイの深刻な障害に起因して遮断されると、単純で容易で更にセキュアでもあるメカニズムを提供して通信を復旧することによって、通常はセキュアな通信トンネルを用いる電気通信ネットワークにおける高可用性を向上させる方法を提供することである。

本発明は、そのような深刻な障害の場合に、通常はセキュアな通信トンネルによって接続されたノード、特に、接続された（リモートの）無線ノードを非セキュリティ通信動作モード、特に非ＩＰｓｅｃ通信に、事業者が制御する方法で、どのようにして切り替えることができるのかの解決策を提案する。これによって、たとえＩＰｓｅｃ保護が一時的に中断されても、事業者は、無線サービスを維持することが可能になる。さらに、これによって、電気通信ネットワークのノード間の通信のセキュリティレベルの持続する減少を回避することが可能になる。加えて、（リモートノードと更なるネットワークノードとの間のインターネットプロトコルセキュリティ接続性に関する）追加の帯域外通信チャネルが必要とされないような自己回復機能が提供される。

本発明の目的は、セキュアな電気通信ネットワークにおける高可用性を向上させる方法であって、前記電気通信ネットワークは、複数のリモートノードと、１つ以上の更なるネットワークノードと、少なくとも１つのセキュリティゲートウェイとを備え、前記複数のリモートノードのそれぞれは、前記１つ以上の更なるネットワークノードに通信し、前記少なくとも１つのセキュリティゲートウェイの通常動作中の前記複数のリモートノードの第１の動作モードでは、前記複数のリモートノードのそれぞれは、セキュアな通信トンネルによって前記少なくとも１つのセキュリティゲートウェイと通信し、前記セキュアな通信トンネルの障害中の前記複数のリモートノードの第２の動作モードでは、前記複数のリモートノードのうちの少なくとも１つの特定のリモートノードは、前記セキュリティゲートウェイをバイパスすることによって、前記１つ以上の更なるネットワークノードに接続され、前記第１の動作モードは、動的ホスト構成プロトコル（ＤＨＣＰ：Dynamic Host Configuration Protocol）プロトコルを用いた、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードと前記１つ以上の更なるネットワークノードとの間の少なくとも第１のメッセージ及び第２のメッセージの交換によって、前記第２の動作モードに切り替えられる、方法によって達成される。

本発明によれば、それによって、有利には、セキュリティゲートウェイクラスタの深刻な障害、例えばＩＰｓｅｃクラスタの障害の場合に、例えば、リモートノード（例えば、無線ノード又は基地局若しくはｅＮｏｄｅＢ）においてセキュアで事業者によって制御された方法でＩＰｓｅｃ機能をオフに切り替えることによって、セキュアな通信の機能のオフへの切り替えをできるようにすることが可能である。本発明によれば、このセキュリティバイパス機能（又はＩＰｓｅｃ緊急バイパス機能）のための労力は、最小に削減することができ、特に、上記リモートノード又は複数のリモートノードのサイトへのサイト訪問を何ら必要としない。さらに、本発明によれば、セキュリティゲートウェイの障害によって影響を受けるのが複数のリモートノードであっても（又は全てのリモートノードであっても）、非常に短い時間でセキュリティバイパス機能（又は「ＩＰｓｅｃ緊急バイパス」モード）に対応する第２の動作モードに切り替えることができるようにすることが可能である。

本発明によれば、前記第１のメッセージは、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードからの要求を含み、前記第２のメッセージは、ネットワーク管理ノードによる前記第１のメッセージに対する回答を含み、前記第２のメッセージは、ワンタイムパスワードを含むことが好ましい。

それによって、有利には、リモートネットワークノードのセキュアな通信に関係した動作モードを、ネットワーク事業者の許可がある場合を除いて変更することができないようにすることが可能である。特に、本発明によれば、ワンタイムパスワードを（第１の動作モードの障害の前に）複数のリモートノードのうちの少なくとも１つの特定のリモートノードに既に配信しておくことが可能であり、そのため、有利には、
複数のリモートノードのうちの少なくとも１つの特定のリモートノードの主導であるが、
ネットワーク管理ノードの制御の下で、
第２の動作モードをアクティブ化することが可能である。

本発明によれば、前記第１のメッセージは、例えば、ＤＨＣＰ発見メッセージ（すなわち、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードによって用いられるＩＰアドレスを要求するメッセージ）であり、前記第２のメッセージは、例えば、ＤＨＣＰオファーメッセージ（すなわち、用いられるＩＰアドレスを付与するメッセージ）である。本発明によれば、前記第１の動作モードでは、（第２のメッセージに類似した）ＤＨＣＰオファーメッセージは、例えば、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードによって用いられるＩＰアドレスのみを含むのに対して、前記第２の動作モードでは、前記第２のメッセージは、特にオプションのデータ、特に前記ワンタイムパスワード、及び（ＤＨＣＰ標準規格によれば）通常はＩＰアドレスを含むことが好ましい。

さらに、本発明によれば、前記ワンタイムパスワードは、前記リモートノードに最初に記憶される（又は、複数のワンタイムパスワードが前記リモートノードに最初に記憶される）ことが好ましい。これを達成するために、前記ワンタイムパスワード又は前記複数のワンタイムパスワードの配信は、前記コアネットワークのノード（例えば、ネットワーク管理システムノード）から実現される。したがって、本発明によれば、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードへの前記ワンタイムパスワードのこの配信は、前記複数のリモートノードのうちの前記特定のリモートノードが、前記第１の動作モードで動作している間にのみ、好ましくは、前記セキュアな通信トンネルを介して行われることが好ましい。

それによって、一方における複数のリモートノードと、他方における電気通信ネットワークのセキュリティゲートウェイ又は他のノードとの間の通信のセキュリティレベルの更なる向上が可能である。なぜならば、ワンタイムパスワードは、複数のリモートネットワークノードの第１の動作モードに従って、複数のリモートノードとセキュリティゲートウェイ又は更なるネットワークノードとの間のセキュアな通信チャネルの確立によって保護されるからである。

またさらに、本発明によれば、以下の条件、すなわち、
前記セキュアな通信トンネルを確立することができないことと、
前記少なくとも１つのセキュリティゲートウェイとの通信用の物理インタフェースが動作していることと、
デフォルトゲートウェイが、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードによって到達可能であることと
が累積的に検証される場合、前記第１のメッセージは、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードから送信されることが好ましい。例えば、前記デフォルトゲートウェイの（前記少なくとも１つの特定のリモートノードによる）到達可能性は、双方向フォワーディング検出（ＢＦＤ：bidirectional forwarding detection）によって検出される。

それによって、本発明によれば、有利には、セキュリティゲートウェイ又はセキュリティゲートウェイのクラスタの故障の場合（セキュリティゲートウェイ又は複数のセキュリティゲートウェイがその機能を失っている場合）だけでなく、ネットワークコンポーネントがセキュアな通信トンネルを確立することができない場合にも、リモートネットワークノードの第２の動作モードでの切り替えをできるようにすることが可能である。

本発明の更に別の実施形態によれば、前記第１のメッセージは、以下の条件、すなわち、
前記セキュアな通信トンネルを確立することができないことと、
前記少なくとも１つのセキュリティゲートウェイとの通信用の物理インタフェースが動作していることと、
デフォルトゲートウェイが、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードによって到達可能であることと
が累積的に検証されることを確認した後の所定の第１の時間間隔後にのみ、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードから送信されることが好ましい。例えば、前記デフォルトゲートウェイの（前記少なくとも１つの特定のリモートノードによる）到達可能性は、双方向フォワーディング検出（ＢＦＤ）によって検出される。

それによって、有利には、ＤＨＣＰ（動的ホスト構成プロトコル）サーバ等の、第１のメッセージをハンドリングするように設けられたネットワークノードの通信負荷を低減することが可能である。

さらに、本発明によれば、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードから前記第１のメッセージを最初に送信した後、前記第２のメッセージが受信されない場合、前記第１のメッセージは、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードから繰り返されることが好ましい。

本発明のこの更なる実施形態によれば、有利には、電気通信ネットワークのノード間の通信が中断された場合に自己回復機能を提供することが可能である。

本発明の更なる実施形態によれば、前記第１のメッセージを繰り返すことは、前記第１のメッセージを最初に又は以前に送信した後、所定の第２の時間間隔を経て初めて行われることが好ましい。

それによって、有利には、ＤＨＣＰ（動的ホスト構成プロトコル）サーバ等の、第１のメッセージをハンドリングするように設けられたネットワークノードの通信負荷を低減することが可能である。

さらに、本発明によれば、
前記少なくとも１つのセキュリティゲートウェイは、ＩＰｓｅｃゲートウェイ（インターネットプロトコルセキュリティゲートウェイ）であり、前記セキュアな通信トンネルは、ＩＰｓｅｃトンネルであり、及び／又は
前記複数のリモートノードは、少なくとも部分的には、公衆陸上移動ネットワーク（ＰＬＭＮ：Public Land Mobile Network）における基地局機能、特にｅＮｏｄｅＢ機能を有するノードであることが好ましい。

また、本発明は、複数のリモートノードと、１つ以上の更なるネットワークノードと、少なくとも１つのセキュリティゲートウェイとを備える電気通信ネットワークであって、
該電気通信ネットワークは、前記少なくとも１つのセキュリティゲートウェイと前記１つ以上の更なるネットワークノードとの間のセキュアな通信機能の高可用性を向上させるように構成され、
前記複数のリモートノードのそれぞれは、前記１つ以上の更なるネットワークノードに通信するように設けられ、
前記少なくとも１つのセキュリティゲートウェイの通常動作中の前記複数のリモートノードの第１の動作モードでは、該電気通信ネットワークは、前記複数のリモートノードのそれぞれが、セキュアな通信トンネルによって前記少なくとも１つのセキュリティゲートウェイと通信するように構成され、
前記セキュアな通信トンネルの障害中の前記複数のリモートノードの第２の動作モードでは、該電気通信ネットワークは、前記複数のリモートノードのうちの少なくとも１つの特定のリモートノードが、前記セキュリティゲートウェイをバイパスすることによって、前記１つ以上の更なるネットワークノードに接続されるように構成され、
該電気通信ネットワークは、前記第１の動作モードが、ＤＨＣＰ（動的ホスト構成プロトコル）プロトコルを用いた、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードと前記１つ以上の更なるネットワークノードとの間の少なくとも第１のメッセージ及び第２のメッセージの交換によって、前記第２の動作モードに切り替えられるように構成される、電気通信ネットワークに関する。

それによって、本発明によれば、有利には、セキュリティゲートウェイノード又はセキュリティゲートウェイクラスタの深刻な障害の甚大な影響を少なくとも部分的に回避することが可能である。

本発明によれば、前記電気通信ネットワークに関しても、前記第１のメッセージは、前記複数のリモートノードのうちの前記少なくとも１つの特定のリモートノードからの要求を含み、前記第２のメッセージは、ネットワーク管理ノードによる前記第１のメッセージに対する回答を含み、前記第２のメッセージは、ワンタイムパスワードを含むことが好ましい。

それによって、有利には、リモートネットワークノードのセキュアな通信に関係した動作モードを、ネットワーク事業者の許可がある場合を除いて変更することができないようにすることが可能である。特に、本発明によれば、ワンタイムパスワードを（第１の動作モードの障害の前に）複数のリモートノードのうちの少なくとも１つの特定のリモートノードに既に配信しておくことが可能であり、そのため、有利には、
複数のリモートノードのうちの少なくとも１つの特定のリモートノードの主導であるが、
ネットワーク管理ノードの制御の下で、
第２の動作モードをアクティブ化することが可能である。

さらに、本発明は、コンピュータ上で実行されると、本発明による本発明の方法を前記コンピュータに実行させるコンピュータ可読プログラムコードを含むプログラムに関する。

また、本発明は、電気通信ネットワークにおける高可用性を向上させるコンピュータプログラム製品であって、該コンピュータプログラム製品は、記憶媒体に記憶されたコンピュータプログラムを含み、該コンピュータプログラムは、コンピュータ上で実行されると、本発明による本発明の方法を前記コンピュータに実行させるプログラムコードを含む、コンピュータプログラム製品に関する。

本発明のこれらの特性、特徴、及び利点、並びに他の特性、特徴、及び利点は、添付図面とともに取り入れられた以下の詳細な説明から明らかになる。添付図面は、本発明の原理を例として示している。説明は、本発明の範囲を限定するものではない例示のためにのみ与えられている。以下に引用される参照図は、添付図面を指す。

以下では、電気通信ネットワークの種々の（かつ通常は距離が離れた）ノード間のセキュアな通信プロトコル又は通信方法（及びセキュアな通信トンネル）のよく知られた例として、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）プロトコル及び／又はインターネットプロトコルセキュリティトンネル（ＩＰｓｅｃトンネル）について言及する。本発明によれば、ＩＰｓｅｃトンネルを確立することができない場合、リモートノード（特に、基地局又はｅＮｏｄｅＢ等の無線ノード）は、自身の現在のネットワーク条件を解析して、障害の原因を独自に識別する。リモートネットワークノードの第２の動作モード（すなわち、本発明によるＩＰｓｅｃ緊急バイパス機能）への切り替えは、ＩＰｓｅｃゲートウェイに到達不能な場合に限定されず、トンネルセットアップが拒否される（例えば、ＩＰｓｅｃゲートウェイが、証明書がまだ有効であっても、ソフトウェア内のエラーに起因して受け付けない）場合をカバーするのにも起動される。

本発明によれば、第２の動作モードは、リモートノードにおいて検出される以下の条件、すなわち、
ＩＰｓｅｃトンネルを確立することができない（ＩＰｓｅｃＧＷが到達可能でないか又はトンネルセットアップがＩＰｓｅｃＧＷによって拒否されるかのいずれか）ことと、
物理インタフェースが稼働中であることと、
デフォルトＧＷが到達可能であることと、
に基づいて起動される。そのような状況では、リモートノード（例えば、基地局）は、深刻なＩＰｓｅｃクラスタ障害を前提としている。

深刻なＩＰｓｅｃクラスタの障害が認識されると直ちに、リモートノード（特に基地局）は、事業者がこのリモートノードの第２の動作モード（すなわち、「ＩＰｓｅｃ緊急バイパス」）への切り替えを承認していることを検証しなければならない。これは、事業者のネットワーク、すなわち、更なるネットワークノード、例えば、ネットワーク管理システムノード（又はネットワーク管理システムの機能を提供するノード）にワンタイムパスワードを要求することによって行われる。

ワンタイムパスワードを要求するのに、リモートネットワークノード（特に無線ノード）は、自己組織化ネットワークプラグアンドプレイプロセス（ＳＯＮ ＰｎＰプロセス：Self Organizing Network Plug and Play process）中に用いられる構成仮想ローカルエリアネットワーク（ｃｏｎｆｉｇ ＶＬＡＮ：configuration virtual local area network）を介して、第１のメッセージ、特にＤＨＣＰ要求を送信する。ＩＰ構成を有する既存の計画された／動作中のＶＬＡＮは、本発明に従って維持される。オプションコード４３内の情報しか必要とされないので（第１のメッセージがＤＨＣＰメッセージである場合）、ＤＨＣＰによって送達される一時的なＩＰアドレスは、直ちに解除することができる。

ＤＨＣＰ応答が、オプションコード４３内に、１つの英数字文字列のみを有する所定のサブオプション、例えば、英数字文字列のみを有するサブオプション８０を含む場合、リモートノード（例えば、無線ノード）は、その文字列を、事業者が構成可能なパラメータフィールドである「ＩＰｓｅｃ緊急バイパスパスワード」と比較する。第２のメッセージの所定のサブオプション（例えば、サブオプション８０）内の値が、（リモートノードにおける）このパラメータフィールド内の値と等しい場合、リモートノード（例えば、無線ノード）は、ＩＰｓｅｃ機能をオフに切り替え、すなわち、第１の動作モードをオフに切り替え、第２の動作モードをオンに切り替える。

ＩＰｓｅｃ緊急バイパスモード（すなわち、本発明による第２の動作モード）では、リモートノード（特に無線ノード）は、ＩＰｓｅｃモード（本発明による第１の動作モード）と同じＶＬＡＮ ＩＤ、インタフェースＩＰアドレス、サービスＩＰアドレス（ループバックアドレス）、デフォルトＧＷ（ゲートウェイ）、及びファイアウォール設定／アクセス制御リスト（ＡＣＬ：Access Control List）ルール（リモートノード（例えば、無線ノード）通信マトリックスに従って、ＩＰｓｅｃトンネル内に入って行くトラフィック及びＩＰｓｅｃトンネルから出て来るトラフィックをフィルタリングする、ＩＰｓｅｃトンネルの前面にあるファイアウォール／ＡＣＬ）を用いる。それは、リモートノード（特に無線ノード）が、追加の構成データを何ら必要とせず、ＩＰｓｅｃ機能を、自律的にではあるが、事業者によって制御された（又はワンタイムパスワードの検証によって許可された）方法でのみオフに切り替えることができることを意味する。

ＩＰｓｅｃクラスタの障害が解決され、全てのリモートノード（例えば、無線ノード）が、ＩＰｓｅｃ（すなわち、第１の動作モード）に再び切り替えられると、本発明によれば、全てのアタッチされたリモートノード（例えば、無線ノード）に単一のコマンドによって新たなワンタイムパスワードを設定することが可能である。

特に、
（複数のリモートノードによって送信された）多数の第１のメッセージをハンドリングするノード、特にＤＨＣＰサーバにおける過負荷状況を回避するのに、及び
切り替えプロセスを制御するのに、
本発明によれば、事業者が構成可能な（すなわち、所定の）タイマ（又は時間間隔）、すなわち、タイマ「ＩＰｓｅｃ緊急バイパス遅延」を所定の第１の時間間隔として、及びタイマ「ＩＰｓｅｃ緊急バイパス再試行」を所定の第２の時間間隔として用いることが好ましい。

本発明によるＩＰＳｅｃ緊急バイパス方法を実施することによって、ＩＰｓｅｃを用いてリモートノード（例えば、無線ノード）の全てのトラフィックを保護することができ、事業者は、ＩＰＳｅｃ障害の場合であっても依然として完全なネットワーク制御を有する。これによって、ネットワークの機能停止のリスクが大幅に削減され、それでもなお、ネットワークセキュリティが高められる。

本発明による電気通信ネットワークを概略的に示す図である。 本発明の方法を概略的に示す図である。 本発明の方法を表すタイムラインを概略的に示す図である。

本発明は、特定の実施形態に関して或る特定の図面を参照して説明されるが、本発明は、これらの実施形態及び図面に限定されるものではなく、特許請求の範囲によってのみ限定される。説明する図面は、概略的なものにすぎず、非限定的である。図面において、要素のうちの幾つかのもののサイズは、誇張されている場合があり、例示の目的で一律の縮尺で描かれていない。

数量が特定されていない名詞は、特に別段の指定がない限り、その名詞の単数及び複数を含む。

さらに、本明細書及び特許請求の範囲における第１、第２、第３等の用語は、同様の要素を区別するために用いられており、必ずしも、連続した順序又は時間順を説明するために用いられているとは限らない。そのように用いられる用語は、適切な状況下では交換可能であり、本明細書において説明する本発明の実施形態は、本明細書において説明又は図示するもの以外の順序で動作することができることが理解されるべきである。

図１には、本発明による電気通信ネットワーク１０が概略的に示されている。この電気通信ネットワーク１０は、リモートノード２０と呼ばれる複数のノードを備える。これらの複数のネットワークノード２０又はリモートノード２０のうちの１つの特定のノード又はリモートノードが、参照符号２１によって示されている。ネットワークノード又はリモートノード２０は、特に、基地局機能を有するいわゆる無線ノード、例えば、ＵＴＲＡＮ公衆陸上移動ネットワーク及び／又はＥ−ＵＴＲＡＮ公衆陸上移動ネットワークにおけるＮｏｄｅＢノード又はｅＮｏｄｅＢノードである。

電気通信ネットワーク１０は、ネットワーク管理データベース及び／又は電気通信ネットワーク１０の他の部分若しくは他のプロバイダ若しくは事業者の電気通信ネットワークへのコンテンツ提供ノード若しくはゲートウェイ等の、通常は電気通信ネットワーク１０のコアネットワークの一部である更なるネットワークノード４０も更に備える。例示として、制御プレーンコンポーネント及び／又はユーザプレーンコンポーネントＸＸ（例えば、移動管理エンティティ（ＭＭＥ：Mobility Management Entity）、サービングゲートウェイ（ＳＧＷ：Serving Gateway）エンティティ、メディアゲートウェイ（ＭＧＷ：Media Gateway）、又は移動スイッチングセンタ（ＭＳＣ：Mobile Switching Center）サーバ（ＭＳＳ：MSC Server）、サービングＧＰＲＳサポートノード（ＳＧＳＮ：Serving GPRS Support Node）、ゲートウェイＧＰＲＳサポートノード（ＧＧＳＮ：Gateway GPRS support node）、並びにバックボーンネットワーク（例えば、ＩＰＭＢコンポーネント又はネットワークエンティティ（ＩＰ移動バックボーンコンポーネント））の種々のエッジノードＹＹ、ＺＺが図１に概略的に示されている。

リモートノード２０は、電気通信ネットワーク１０の一部でもあるアグリゲーションネットワーク１１によって更なるネットワークノード４０に接続されている。さらに、電気通信ネットワーク１０は、少なくとも１つのセキュリティゲートウェイ３１を備える。リモートノード２０と更なるネットワークノード４０との間の通信は、通常、セキュリティゲートウェイ３１がパスワード、セッションキーをハンドリングするように機能するとともに公開キー基盤の使用を管理するセキュアな通信として実現される。リモートノード２０は、セキュリティゲートウェイ３１に割り当てられた通常はルータデバイス３１’によってセキュリティゲートウェイ３１と通信する。

リモートノード２０と更なるノード４０との間のセキュアな通信の高可用性を実現するために、更なるセキュアなゲートウェイ３２（及び更なるルータデバイス３２’）が、通常、セキュアな通信を保証する際の冗長性を可能にするように追加される。セキュリティゲートウェイ３１及び更なるセキュリティゲートウェイ３２（及びそれぞれのルータ３１’、３２’）は、合わせてセキュリティクラスタとも呼ばれる。リモートノード２０は、セキュリティゲートウェイ３１及び／又は更なるセキュリティゲートウェイ３２と、セキュアな方法で、特にＩＰｓｅｃプロトコルの一変形形態を用いて通信する。これは、本発明による「第１の動作モード」という用語によっても参照される。

リモートノード２０が依拠するセキュリティゲートウェイが障害を起こした場合（又はセキュリティクラスタ全体が障害を起こした場合）、リモートノード２０は、ＩＰｓｅｃプロトコルを用いない通信に単に切り替わることはできない。リモートノード２０と更なるネットワークノード４０との間の通信のセキュリティレベルを向上させるために、本発明による「第２の動作モード」という用語によって参照される、セキュアな通信プロトコル（特に、ＩＰｓｅｃプロトコル）を用いない通信への遷移は、電気通信ネットワーク１０のコアネットワーク、特にネットワーク管理機能によって制御される。

特定のリモートノード２１の第２の動作モードへの遷移は、図２によって概略的に示されている。第１のステップ１００において、セキュリティクラスタ又は少なくとも関連したセキュリティゲートウェイ３１の障害が、リモートノード２０によって検出される。これによって、セキュアな通信緊急バイパス遅延（又はＩＰｓｅｃ緊急バイパス遅延）を表す所定の第１の時間間隔Ｔ１を規定する第１のタイマの始動がトリガされる。第２のステップ１０２において、第１の時間間隔Ｔ１が満了したか否かが判定される。満了していない場合、フローは、第３のステップ１０４に分岐し、満了している場合、フローは、第６のステップ１１０に分岐する。第３のステップ１０４において、セキュリティゲートウェイ３１又はセキュリティクラスタとのセキュアな通信の再確立が試行される。第４のステップ１０６において、セキュリティゲートウェイとのセキュアな通信トンネルの（再）確立が成功したか否かが調べられる。成功していない場合、フローは、第２のステップ１０２に分岐し、成功した場合、フローは、リモートノードがセキュリティゲートウェイとのセキュアな通信チャネル又は通信トンネルの確立に成功することができたことを示す第５のステップ１０８に分岐する。第６のステップにおいて、特定のリモートノード２１の第２の動作モードへの遷移を可能にするパスワード、特にワンタイムパスワードを要求する第１のメッセージが、リモートノード２０から更なるネットワークノード４０のうちの１つ、通常はＤＨＣＰ（動的ホスト構成プロトコル）サーバ又はＤＨＣＰノードに送信される。この第１のメッセージに応答して、第１のメッセージによってアドレス指定された更なるネットワークノード４０（又は別の更なるネットワークノード４０）は、特に、英数字文字列（ワンタイムパスワードとして）とともにＤＨＣＰオプションコード４３及びサブオプション８０を含む第２のメッセージを特定のリモートノード２１に送信する。第７のステップ１１２において、特定のリモートノード２１によって受信されたワンタイムパスワードが正しいか否かが調べられる。正しい場合、フローは、第１１のステップ１２０に分岐する。正しくない場合、フローは、第８のステップ１１４に分岐する。さらに、これによって、セキュアな通信緊急バイパス再試行遅延（又はＩＰｓｅｃ緊急バイパス再試行遅延）を表す所定の第２の時間間隔Ｔ２を規定する第２のタイマの始動がトリガされる。第８のステップ１１４において、セキュアなトンネルの再確立が、再び（第３のステップ１０４と類似して）試行される。第９のステップ１１６において、セキュリティゲートウェイとのセキュアな通信トンネルの（再）確立が成功したか否かが調べられる。成功していない場合、フローは、第１０のステップ１１８に分岐し、成功した場合、フローは、リモートノードがセキュリティゲートウェイとのセキュアな通信チャネル又は通信トンネルの確立に成功することができたことを示す第５のステップ１０８に分岐する。第１０のステップ１１８において、第２の時間間隔Ｔ２が満了したか否かが調べられる。満了していない場合、フローは、第８のステップ１１４に分岐し、満了した場合、フローは、第６のステップ１１０に分岐する。

第１１のステップ１２０において、特定のリモートノード２１は、セキュアな通信バイパスモード、すなわち、本発明による第２の動作モードに切り替わる。これによって、第１２のステップ１２２において、特定のリモートノード２１を回復することが可能になり、リモートノード２１のサイトにおける手動の相互作用なしでコアネットワークとの通信（すなわち、１つ以上の更なるノード４０との通信）ができるようになる。

図３には、本発明の方法が、タイムラインを用いて再度概略的に示されている。点Ａにおいて、（特定のリモートノード２１の第１の動作モードにおける）セキュアな通信が中断される。参照符号Ｆによって示された時間の間、特定のリモートノード２１は、コアネットワークから見ると稼動していない。セキュアな通信トンネルの中断によって、第１の所定の時間間隔Ｔ１に関するタイマが始動される。点Ｂにおいて、第１のメッセージ（ＤＨＣＰサーバへの要求を含む）が特定のリモートノード２１から放出される。さらに、点Ｂにおいて、第１の回答がＤＨＣＰサーバから（特定のリモートノード２１によって）受信される。この第１の回答は、通常、ワンタイムパスワードを含まない。これによって、所定の第２の時間間隔Ｔ２が開始する。点Ｃにおいて、ＤＨＣＰサーバは、ネットワーク事業者によって再構成される。その結果、（特定のリモートノード２１からの第１のメッセージによってトリガされたＤＨＣＰサーバからの）更なる回答が、ワンタイムパスワードを含む。点Ｄにおいて、所定の第２の時間間隔Ｔ２が終了し、第１のメッセージの第２の試行を特定のリモートノード２１がＤＨＣＰサーバに送信することができる。点Ｅにおいて、（ワンタイム）パスワードを含む第２のメッセージが受信されると（すなわち、事業者がトリガしたＤＨＣＰサーバの再構成後）、特定のリモートノードは、第２の動作モードに切り替えられ、コアネットワークから見て再び見えるようになって稼動していることになる。すなわち、自己回復が、更なるネットワークノード４０と特定のリモートノード２１との間の通信リンクに適用されている。もちろん、そのような自己回復は、複数のリモートノード２０の全てに適用されることになり、第１の時間間隔及び第２の時間間隔は、好ましくは、ＤＨＣＰサーバに対するピーク負荷を低減するために異なる。

Claims (11)

1. セキュアな電気通信ネットワーク（１０）における高可用性を向上させる方法であって、前記電気通信ネットワーク（１０）は、複数のリモートノード（２０）と、１つ以上の更なるネットワークノード（４０）と、少なくとも１つのセキュリティゲートウェイ（３１）とを備えており、
   前記複数のリモートノード（２０）のそれぞれは、前記１つ以上の更なるネットワークノード（４０）に通信し、
   前記少なくとも１つのセキュリティゲートウェイ（３１）の通常動作中の前記複数のリモートノード（２０）の第１の動作モードでは、前記複数のリモートノード（２０）のそれぞれは、セキュアな通信トンネルによって前記少なくとも１つのセキュリティゲートウェイ（３１）と通信し、
   前記セキュアな通信トンネルの障害中の前記複数のリモートノード（２０）の第２の動作モードでは、前記複数のリモートノード（２０）のうちの少なくとも１つの特定のリモートノード（２１）は、前記セキュリティゲートウェイ（３１）をバイパスすることによって、前記１つ以上の更なるネットワークノード（４０）に接続され、
   前記第１の動作モードは、動的ホスト構成プロトコルを用いた、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）と前記１つ以上の更なるネットワークノード（４０）との間の少なくとも第１のメッセージ及び第２のメッセージの交換によって、前記第２の動作モードに切り替えられ、前記第１のメッセージは、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）からの要求を含み、前記第２のメッセージは、ネットワーク管理ノードによる前記第１のメッセージに対する回答を含み、前記第２のメッセージは、ワンタイムパスワードを含む、セキュアな電気通信ネットワークにおける高可用性を向上させる方法。
2. 前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）への前記ワンタイムパスワードの配信は、前記複数のリモートノード（２０）のうちの前記特定のリモートノード（２１）が前記第１の動作モードで動作している間にのみ、前記セキュアな通信トンネルを介して行われる、請求項１に記載の方法。
3. 以下の条件、すなわち、
   前記セキュアな通信トンネルを確立することができないことと、
   前記少なくとも１つのセキュリティゲートウェイ（３１）との通信用の物理インタフェースが動作していることと、
   前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）によって到達可能なデフォルトゲートウェイが動作していることと
   が累積的に検証される場合、前記第１のメッセージは、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）から送信される、請求項１又は２に記載の方法。
4. 前記第１のメッセージは、以下の条件、すなわち、
   前記セキュアな通信トンネルを確立することができないことと、
   前記少なくとも１つのセキュリティゲートウェイ（３１）との通信用の物理インタフェースが動作していることと、
   デフォルトゲートウェイが、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）によって到達可能であることと、
   が累積的に検証されることを確認した後の所定の第１の時間間隔（Ｔ１）後にのみ、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）から送信される、請求項１〜３のいずれか１項に記載の方法。
5. 前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）から前記第１のメッセージを最初に送信した後、前記第２のメッセージが受信されない場合、前記第１のメッセージは、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）から繰り返される、請求項１〜４のいずれか１項に記載の方法。
6. 前記第１のメッセージを繰り返すことは、前記第１のメッセージを最初に又は以前に送信した後、所定の第２の時間間隔（Ｔ２）を経て初めて行われる、請求項５に記載の方法。
7. 前記少なくとも１つのセキュリティゲートウェイ（３１）は、インターネットプロトコルセキュリティゲートウェイであり、前記セキュアな通信トンネルは、インターネットプロトコルセキュリティトンネルである、請求項１〜６のいずれか１項に記載の方法。
8. 前記複数のリモートノード（２０）は、少なくとも部分的には、公衆陸上移動ネットワークにおける基地局機能、特にｅＮｏｄｅＢ機能を有するノードである、請求項１〜７のいずれか１項に記載の方法。
9. 複数のリモートノード（２０）と、１つ以上の更なるネットワークノード（４０）と、少なくとも１つのセキュリティゲートウェイ（３１）とを備える電気通信ネットワーク（１０）であって、
   該電気通信ネットワーク（１０）は、前記少なくとも１つのセキュリティゲートウェイ（３１）と前記１つ以上の更なるネットワークノード（４０）との間のセキュアな通信機能の高可用性を向上させるように構成され、
   前記複数のリモートノード（２０）のそれぞれは、前記１つ以上の更なるネットワークノード（４０）に通信するように設けられ、
   前記少なくとも１つのセキュリティゲートウェイ（３１）の通常動作中の前記複数のリモートノード（２０）の第１の動作モードでは、該電気通信ネットワーク（１０）は、前記複数のリモートノード（２０）のそれぞれが、セキュアな通信トンネルによって前記少なくとも１つのセキュリティゲートウェイ（３１）と通信するように構成され、
   前記セキュアな通信トンネルの障害中の前記複数のリモートノード（２０）の第２の動作モードでは、該電気通信ネットワーク（１０）は、前記複数のリモートノード（２０）のうちの少なくとも１つの特定のリモートノード（２１）が、前記セキュリティゲートウェイ（３１）をバイパスすることによって、前記１つ以上の更なるネットワークノード（４０）に接続されるように構成され、
   該電気通信ネットワーク（１０）は、前記第１の動作モードが、動的ホスト構成プロトコルを用いた、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）と前記１つ以上の更なるネットワークノード（４０）との間の少なくとも第１のメッセージ及び第２のメッセージの交換によって、前記第２の動作モードに切り替えられるように構成され、前記第１のメッセージは、前記複数のリモートノード（２０）のうちの前記少なくとも１つの特定のリモートノード（２１）からの要求を含み、前記第２のメッセージは、ネットワーク管理ノードによる前記第１のメッセージに対する回答を含み、前記第２のメッセージは、ワンタイムパスワードを含む、複数のリモートノードと、１つ以上の更なるネットワークノードと、少なくとも１つのセキュリティゲートウェイとを備える電気通信ネットワーク。
10. コンピュータ上で実行されると、請求項１〜８のいずれか１項に記載の方法を前記コンピュータに実行させるコンピュータ可読プログラムコードを含む、プログラム。
11. 電気通信ネットワーク（１０）における高可用性を向上させるコンピュータプログラムであって、記憶媒体に記憶されたコンピュータプログラムを含み、該コンピュータプログラムは、コンピュータ上で実行されると、請求項１〜８のいずれか１項に記載の方法を前記コンピュータに実行させるプログラムコードを含む、電気通信ネットワークにおける高可用性を向上させるコンピュータプログラム。

Images