JP7076050B1

JP7076050B1 - Ｉｐネットワークにアクセスするための通信サービスを提供するための装置、方法及びそのためのプログラム

Info

Publication number: JP7076050B1
Application number: JP2022018384A
Authority: JP
Inventors: 大喜川上; 基勝松井
Original assignee: Soracom Inc
Current assignee: Soracom Inc
Priority date: 2021-06-22
Filing date: 2022-02-09
Publication date: 2022-05-26
Anticipated expiration: 2041-06-22
Also published as: JP2023002448A

Abstract

【課題】ＭＮＯの通信インフラに接続される通信インフラを用いて、セルラー通信のための無線アクセスネットワークを介さずにアクセスを可能とする方法及び装置を提供する。【解決手段】装置２００は、ＩｏＴ機器２３０から、通信サービスの加入者識別子２３２を含むセッション生成要求を受信し、ＭＮＯの通信インフラ２１０に接続されるクラウド上の通信インフラ２２０に含まれる第１、第２のインスタンスの間のＧＴＰトンネルのためのプロビジョニングコールを送信する。いずれかのインスタンスから、加入者識別子に関連付けられたＩＤ及びＧＴＰ－Ｕセッションの送信元となる送信元アドレスを受信する。第１のインスタンスにＩｏＴ機器と第１のインスタンスとの間のＶＰＮトンネルのための、送信元アドレス及び公開鍵を含むプロビジョニングコール送信する。公開鍵に対応する秘密鍵を記憶したＩｏＴ機器に接続情報を送信する。【選択図】図２

Description

本発明は、IPネットワークにアクセスするための通信サービスを提供するための装置、方法及びそのためのプログラムに関する。

セルラーネットワークを用いた無線通信サービスは、従来MNO（移動体通信事業者）により提供され、利用者はMNOと契約して当該MNOからSIMカードを受け取り、それを機器に装着することで利用を開始することができる。

近年、MVNO（仮想移動体通信事業者）の登場により無線通信回線の小売が進んでおり、この場合、利用者はMNOではなくMVNOからSIMカードを受け取る。MVNOには、自社で一切通信インフラを有しない形態と、自社でも通信インフラを有し、その通信インフラをMNOの通信インフラに接続して無線通信サービスを提供する形態に大別することができる。後者（図１参照）は前者と比較して、自社でも通信インフラを有することから、一例として、通信速度、通信容量等の通信品質に応じた価格設定が可能であり、さまざまなニーズに応えることが試みられている。

無線通信サービスに対するニーズとして近年顕著に増加しているのが、あらゆるモノに通信機能を加えてインターネットにつなげるIoTの動きである。以下、インターネットを含めてコンピュータネットワークに接続可能な機器を「IoT機器」と呼ぶ。SIMカードを装着することによって、IoT機器はセルラー通信を用いてIPネットワークにアクセス可能となる。

なお、MNOとMVNOの間に、MVNOが円滑な事業を行うための支援サービスを提供するMVNE（仮想移動体通信サービス提供者）が介在し、MVNEがMNOからSIMカードの提供を受けて、それをさらにMVNOに提供する場合もある。たとえば、MVNEの通信インフラをMNOの通信インフラに接続して無線通信サービスを実現し、自社の通信インフラを有しないMVNOが小売を担うことが考えられる。

しかしながら、セルラー通信を用いずに、より具体的にはセルラー通信のための無線アクセスネットワークを用いずにIoT機器にIPネットワークへのアクセスを可能とすることも併用したい場合に、上述のようなMVNO又はMVNEにより提供される無線通信サービスとは別個の通信サービスを利用して各々を管理するか、複数の通信サービスを管理するための通信システムを自社で開発することが必要となり、これは管理コスト、開発コスト等のコスト増大を招く。

本発明は、このような問題点に鑑みてなされたものであり、その目的は、MNOの通信インフラに接続される通信インフラを用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための装置、方法及びそのためのプログラムにおいて、セルラー通信のための無線アクセスネットワークを介さずに当該アクセスを可能とすることにある。

また、本発明のより一般的な目的は、IoT機器がIPネットワークにアクセスするための通信サービスにおいて、MNOの通信インフラに接続される通信インフラを用いて、セルラー通信のための無線アクセスネットワークを介さずに当該アクセスを可能とすることにある。

なお、MNO、MVNO及びMVNEという用語は、その定義が異なることがある。本明細書においては、MNOは3GのSGSN、LTEのS-GWを通信インフラとして保有し、MVNO又はMVNEについては区別せず、MNOの通信インフラに接続される通信インフラを有する事業者と包括的に呼称することがある。当該事業者が保有する通信インフラとしては、3GのGGSN、LTEのP-GWが例として挙げられる。

また、上述の説明ではSIMカードがIoT機器に装着されることを例としているが、物理的なSIMカードに限らず、IoT機器に組み込まれた半導体チップ、IoT機器のモジュール内のセキュアなエリアに搭載されたソフトウェア等により実装してよく、以下ではこれらを包含して「SIM」と呼ぶ。SIMは、当該SIMを識別するSIM識別子を記憶している。SIM識別子の例としては、IMSI、ICCID、MSISDN等が挙げられる。

本発明は、このような問題点に鑑みてなされたものであり、その目的は、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法であって、前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、前記加入者識別子に関連づけてIDを記憶するステップと、前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び前記第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップとを含む。

また、本発明の第２の態様は、第１の態様の方法であって、前記接続情報は、前記第１のインスタンスのポート番号を含む。

また、本発明の第３の態様は、第１又は第２の態様の方法であって、前記第１のクレデンシャルは、公開鍵であり、前記第２のクレデンシャルは、前記公開鍵に対応する秘密鍵である。

また、本発明の第４の態様は、第１から第３のいずれかの態様の方法であって、前記第１のインスタンス及び前記第２のインスタンスは、クラウド又はパブリッククラウド上のインスタンスである。

また、本発明の第５の態様は、第１から第４のいずれかの態様の方法であって、前記セッション生成要求は、前記IoT機器から受信する。

また、本発明の第６の態様は、装置に、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法を実行させるためのプログラムであって、前記方法は、前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、前記加入者識別子に関連づけてIDを記憶するステップと、前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び前記第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップとを含む。

また、本発明の第７の態様は、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための装置であって、前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信して、前記加入者識別子に関連づけてIDを記憶し、前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信して、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信し、前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び前記第１のクレデンシャルを含む第２のプロビジョニングコールを送信し、前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信する。

また、本発明の第８の態様は、その間にGTP-Uセッションが生成された第１のインスタンス及び第２のインスタンスを有するクラウド上の通信インフラを用いて、IoT機器がIPネットワークにアクセスするための通信サービスを提供する方法であって、前記第１のインスタンスが、前記IoT機器から、前記IoT機器に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをカプセル化したVPNパケットを受信するステップと、前記第１のインスタンスが、前記VPNパケットに含まれる送信元アドレス又は一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化された前記IPパケットを復号化するステップと、前記第１のインスタンスが、復号化された前記IPパケットのヘッダに含まれる送信元アドレスに基づいて、前記第１のインスタンスに保持された、１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、前記第２のインスタンスを判定するステップと、前記第１のインスタンスが、前記第２のインスタンスに対して、復号化された前記IPパケットをGTPペイロードとするGTPパケットを送信するステップと、前記第２のインスタンスが、前記GTPパケットからGTPヘッダを取り除いて、前記GTPペイロードであるIPパケットを前記設備の外部又は内部のIPネットワークに送信するステップとを含む。

また、本発明の第９の態様は、その間にGTP-Uセッションが生成された、クラウド上の通信インフラが有する第１のインスタンス及び第２のインスタンスに、IoT機器がIPネットワークにアクセスするための通信サービスを提供する方法を実行させるためのプログラムであって、前記方法は、前記第１のインスタンスが、前記IoT機器から、前記IoT機器に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをカプセル化したVPNパケットを受信するステップと、前記第１のインスタンスが、前記VPNパケットに含まれる送信元アドレス又は一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化された前記IPパケットを復号化するステップと、前記第１のインスタンスが、復号化された前記IPパケットのヘッダに含まれる送信元アドレスに基づいて、前記第１のインスタンスに保持された、１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、前記第２のインスタンスを判定するステップと、前記第１のインスタンスが、前記第２のインスタンスに対して、復号化された前記IPパケットをGTPペイロードとするGTPパケットを送信するステップと、前記第２のインスタンスが、前記GTPパケットからGTPヘッダを取り除いて、前記GTPペイロードであるIPパケットを前記設備の外部又は内部のIPネットワークに送信するステップとを含む。

また、本発明の第１０の態様は、IoT機器がIPネットワークにアクセスするための通信サービスを提供するためのクラウド上の通信インフラであって、その間にGTP-Uセッションが生成された第１のインスタンス及び第２のインスタンスを有し、前記第１のインスタンスが、前記IoT機器から、前記IoT機器に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをカプセル化したVPNパケットを受信し、前記VPNパケットに含まれる送信元アドレス又は一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化された前記IPパケットを復号化し、前記第１のインスタンスが、復号化された前記IPパケットのヘッダに含まれる送信元アドレスに基づいて、前記第１のインスタンスに保持された、１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、前記第２のインスタンスを判定して、前記第２のインスタンスに対して、復号化された前記IPパケットをGTPペイロードとするGTPパケットを送信し、前記第２のインスタンスが、前記GTPパケットからGTPヘッダを取り除いて、前記GTPペイロードであるIPパケットを前記設備の外部又は内部のIPネットワークに送信する。

本発明の一態様によれば、VPNトンネルによってインターネット等のIPネットワーク上で秘匿回線が与えられ、ＩoＴ機器は、当該秘匿回線を通じて、MNOの通信インフラに接続される通信インフラであって、GTPトンネルを通じてIPネットワークにデータを送信し、IPネットワークからデータを受信することのできる通信インフラに、無線アクセスネットワークを介さずに接続可能となる。

自社の通信インフラをMNOの通信インフラに接続して無線通信サービスを提供するMVNOを模式的に示す図である。本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための装置を示す図である。本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための方法の流れを示す図である。本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための方法の流れを示す図である。本発明の一実施形態にかかるIoT機器がIPネットワークにアクセスするための通信サービスにおけるデータ送信の流れを示す図である。

以下、図面を参照して本発明の実施形態を詳細に説明する。

図２に、本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための装置を示す。装置２００は、MNOの通信インフラ２１０に接続されるMVNOの通信インフラ２２０及びIoT機器２３０とIPネットワーク上で通信する。装置２００は、IoT機器２３０がIPネットワークにアクセスするための接続を確立するためのものであるため、接続装置とも呼ぶ。MVNOの通信インフラ２２０は、クラウド又はパブリッククラウド上の複数のインスタンスにより構成される。

ここで、本明細書において「クラウド」とは、ネットワーク上で需要に応じてCPU、メモリ、ストレージ、ネットワーク帯域などのコンピューティングリソースを動的にプロビジョニングし、提供できるシステムを言う。たとえば、AWS等によりクラウドを利用することができる。また、本明細書において「パブリッククラウド」とは、複数のテナントがコンピューティングリソースの提供を受けることが可能なクラウドを言う。

装置２００は、通信インターフェースなどの通信部２０１と、プロセッサ、CPU等の処理部２０２と、メモリ、ハードディスク等の記憶装置又は記憶媒体を含む記憶部２０３とを備え、各処理を行うためのプログラムを実行することによって構成することができる。装置２００は、１又は複数の装置、コンピュータないしサーバを含むことがある。また、当該プログラムは、１又は複数のプログラムを含むことがあり、また、コンピュータ読み取り可能な記憶媒体に記録して非一過性のプログラムプロダクトとすることができる。当該プログラムは、記憶部２０３又は装置２００からＩＰネットワークを介してアクセス可能なデータベース２０４等の記憶装置又は記憶媒体に記憶しておき、処理部２０２において実行することができる。以下で記憶部２０３に記憶されるものとして記述されるデータはデータベース２０４に記憶してもよく、またその逆も同様である。

装置２００は、クラウド又はパブリッククラウド上の１又は複数のインスタンスとすることができ、MVNOの通信インフラ２２０と同一のクラウド上の１又は複数のインスタンスとしてもよい。MVNOの通信インフラ２２０が有する各インスタンスは、図示していないが、接続装置２００と同様のハードウェア構成とすることができる。

以下では、まず、通信サービスに必要なセッションの生成につき説明し、その後に、生成されたセッションを用いたIPネットワークへのデータの送信について説明する。

セッションの生成
図３Ａ及び３Ｂに、本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための方法の流れを示す。まず、装置２００は、IoT機器２３０から、当該通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信する（Ｓ３０１）。当該セッション生成要求は、セルラー回線以外のインターネット通信回線によって送信可能であり、一例として、固定インターネット回線によって送信してもよく、セルラー回線を経て送信してもよい。

図２では、IoT機器２３０には、MVNOの通信インフラ２２０を用いて、無線アクセスネットワークを介して提供されるIPネットワークにアクセスするための通信サービスを利用するためのSIMを識別するSIM識別子２３１が格納されていることに加えて、無線アクセスネットワークを介さずに提供されるIPネットワークにアクセスするための通信サービスを利用するための加入者識別子２３２が格納されている。図２において、加入者識別子２３２はこれを用いて接続が確立された際に仮想的なSIM識別子と考えられることから、「V-SIM (Virtual SIM)」と便宜上示している。また、IoT機器２３０には、セッション生成要求を正当に行うためのトークンが格納されていてもよい。IoT機器２３０には、必ずしもSIM識別子２３１が格納されていなくてもよい。

接続装置２００は、受信したセッション生成要求に含まれるトークンを必要に応じて検証した後に、当該セッション生成要求に含まれる加入者識別子２３２に関連づけてIDを生成して記憶する（Ｓ３０２）。なお、セッション生成要求は、IoT機器２３０のために、加入者識別子２３２に正当にアクセス可能なIoT機器２３０以外の装置から接続装置２００に送信することも考えられる。

IoT機器２３０以外の装置としては、一例として、IoT機器２３０を管理する管理者が用いるコンピュータが挙げられる。当該管理者は、加入者識別子２３２にアクセス可能であり、接続装置２００に対してセッション生成要求を行うために必要なトークンが付与されていれば、当該トークンを用いて、加入者識別子２３２を含むセッション生成要求を、IoT機器２３０のために行うことができる。また、別の例として、IoT機器２３０以外の装置としては、IoT機器２３０に格納されたSIM識別子２３１を用いてIoT機器２３０を認証してIoT機器２３０との間で秘匿回線を確立可能な認証サーバが挙げられる。確立された秘匿回線を通じてIoT機器２３０から加入者識別子２３２を受信した当該認証サーバは、加入者識別子２３２に正当にアクセスしていると言える。SIM識別子２３１により識別されるSIMが、MNOの通信インフラ２１０に接続される通信インフラ２２０を有する事業者により発行されている場合、当該認証サーバは通信インフラ２２０が有する設備に含まれる１又は複数のインスタンスとすることができる。

次に、接続装置２００は、通信インフラ２２０が有する第１のインスタンス及び第２のインスタンスを採択し（Ｓ３０３）、当該第２のインスタンスに対して、当該第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するためのプロビジョニングコールを送信する（Ｓ３０４）。このプロビジョニングコールは、接続装置２００に記憶された当該ID及び接続装置２００が採択した当該第１のインスタンスのIPアドレス、ホスト名等の第１の宛先アドレスを含むことができる。

当該第１のインスタンスは、第１のノード群から採択し、当該第２のインスタンスは、第２のノード群から採択することができる。MVNOの通信インフラ２２０がIoT機器２３０に無線アクセスネットワークを介したIPネットワークへのアクセスを提供する際には、MNOの通信インフラ２１０に接続される第１のサーバ群から採択された第１のサーバと、当該第１のサーバと接続される、第２のサーバ群から採択された第２のサーバが用いられ、第２のノード群の少なくとも一部を第２のサーバ群の少なくとも一部と同一とすることができる。

当該第２のインスタンスは、当該第２のインスタンスに対するプロビジョニングコールの応答を接続装置２００に送信する（Ｓ３０５）。そして、当該第２のインスタンスは、GTP-Uセッションの待ち受け状態となる（Ｓ３０６）。当該応答には、当該ID及び当該GTP-Uセッションに対する送信元となるIPアドレス等の送信元アドレスを含むことができ、当該送信元アドレスは、当該第２のインスタンスが採択することができる。また、ここでは、応答を送信した後に待ち受け状態となるものとして記述したが、この順序は逆でもよい。送信元アドレスは、当該第２のインスタンスではなく、接続装置２００において割り当ててもよい。この場合には、第２のインスタンスへのプロビジョニングコールに送信元アドレスを含めてもよい。いずれにしても、当該第２のインスタンスは、当該IDに関連づけて当該送信元アドレスを記憶することができる。また、装置２００においては、加入者識別子２３２に関連づけて当該送信元アドレスを記憶することができる。

次いで、接続装置２００は、当該第１のインスタンスに対して、当該第１のインスタンスと当該第２のインスタンスとの間のGTP-Uセッションを生成するためのプロビジョニングコールを送信する（Ｓ３０７）。このプロビジョニングコールは、接続装置２００に記憶された当該ID、送信元アドレス及び接続装置２００が採択した当該第２のインスタンスの第２の宛先アドレスを含むことができる。

その後、当該第１のインスタンスは、GTP-Uセッションの待ち受け状態となる（Ｓ３０８）。ここで、当該第１のインスタンスと当該第２のインスタンスとの間でGTP-Uセッションが生成され、いわゆるGTPトンネルが確立した状態となる。接続装置２００は、当該第１のインスタンスに対するプロビジョニングコールの応答を受信する（Ｓ３０９）。当該第１のインスタンスは、応答を送信した後に待ち受け状態となることも考えられるが、接続できない時間が発生しないように、待ち受け状態となった後に応答を送信することが好ましい。

そして、接続装置２００は、当該第１のインスタンスに対して、IoT機器２３０と当該第１のインスタンスとの間のVPNセッションを生成するためのプロビジョニングコールを送信する（Ｓ３１０）。このプロビジョニングコールは、当該送信元アドレス及びIoT機器２３０に関連づけられたクレデンシャルを含む。当該クレデンシャルは、データベース２０４に加入者識別子２３２と関連づけて記憶しておいてもよく、またはIoT機器２３０からのセッション生成要求に含まれていてもよい。

当該クレデンシャルは、たとえば、公開鍵とすることができる。この場合、IoT機器２３０には、当該公開鍵に対応する秘密鍵が格納されている。VPNセッションには、公開鍵暗号化方式以外の暗号化方式を用いてもよく、より一般的に、暗号化方式に合わせて必要な第１のクレデンシャルが当該第１のインスタンスに送信され、当該第１のクレデンシャル又はこれに対応する第２のクレデンシャルがIoT機器２３０に格納されていればよい。

VPNセッションを生成するためのプロビジョニングコールを受信した後に、当該第１のインスタンスは、当該送信元アドレス及び当該クレデンシャルを記憶して、VPNセッションの待ち受け状態となる（Ｓ３１１）。また、接続装置２００は、当該第１のインスタンスから、当該プロビジョニングコールに対する応答を受信する（Ｓ３１２）。当該応答には、一例において、当該送信元アドレス及び当該第１のインスタンスの第１の宛先アドレスを含むことができる。当該第１のインスタンスは、応答を送信した後に待ち受け状態となることも考えられるが、接続できない時間が発生しないように、待ち受け状態となった後に応答を送信することが好ましい。

当該応答を受信した接続装置２００は、当該応答に含まれる当該送信元アドレス及び当該第１の宛先アドレスにポート番号を必要に応じて加えた接続情報をIoT機器２３０に送信する（Ｓ３１３）。当該第１のインスタンスからの応答にポート番号が含まれる場合には、受信した接続情報をIoT機器２３０に送信すればよい。IoT機器２３０では、当該接続情報に基づいて、デバイスプロビジョニングが行われ、当該第１のインスタンスへの接続が試行される（Ｓ３１４）。当該第１のインスタンスからIoT機器２３０に対して成功の応答が送信されれば（Ｓ３１５）、ハンドシェイクに成功し、VPNトンネルが確立した状態になる。

上述の説明では、GTPトンネルの確立に当たって、第２のインスタンスに対してプロビジョニングコールをし、その後に第１のインスタンスに対してプロビジョニングコールをしたが、逆の順序とする実装も考えられる。より一般的には、MNOの通信インフラ２１０に接続されるクラウド上の通信インフラ２２０が備える設備に含まれる第１のインスタンス及び第２のインスタンスに、当該第１のインスタンスと当該第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールを送信して、当該第１及び第２のインスタンスを待ち受け状態にし、当該第１のインスタンス又は当該第２のインスタンスから、GTP-Uセッションの送信元アドレスを受信することができればよい。

セッション生成要求がIoT機器２３０以外の装置から接続装置２００に送信される場合、当該要求に対する応答は、IoT機器２３０以外の装置に対して送信される。IoT機器２３０以外の装置とIoT機器２３０との間に秘匿回線が確立されていれば、接続情報を当該秘匿回線を通じてIoT機器２３０に送信して、デバイスプロビジョニングを行うことができるので、接続情報が接続装置２００からIoT機器２３０に向けて送信されると言える。

また、ハンドシェイク時に、当該第１のインスタンスに記憶されたクレデンシャル又はこれに対応するクレデンシャルを用いて一時的なクレデンシャルを生成し、当該第１のインスタンスに記憶してもよい。この場合、当該第１のインスタンスにおいては、当該送信元アドレスに当該一時的なクレデンシャルを関連づけておく。同様に、IoT機器２３０にも一時的なクレデンシャルが記憶される。また、たとえば、初回ハンドシェイク時に、一時的なキーを生成してもよく、当該第１のインスタンスにおいては、当該送信元アドレスに当該キーを関連づけておくことに加えて、当該キーに当該一時的なクレデンシャルを関連づけておく。

データの送受信
図４に、本発明の第１の実施形態にかかるIPネットワークにアクセスするための通信サービスにおけるデータ送信の流れを示す。

まず、IoT機器２３０は、第１のインスタンスに対して、IoT機器２３０に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをVPNパケットにカプセル化して送信する（Ｓ４０１）。当該VPNパケットは、暗号化されたIPパケットと、VPNセッションに関するVPNセッション情報とを含む。当該VPNセッション情報には、送信元アドレス又はこれに関連づけられた一時的なキーが含まれる。

当該VPNパケットを受信した当該第１のインスタンスは、VPNセッション情報に含まれる送信元アドレス又はこれに関連づけられた一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化されたIPパケットの復号化を試行する（Ｓ４０２）。

セッション生成過程のデバイスプロビジョニング時に、IoT機器２３０においてルーティング情報の設定がなされてもよい。より具体的には、IoT機器２３０から送出される暗号化されたIPパケットのGTPトンネル終端後の送信先アドレスに応じて、VPNトンネルを通すか否かをIoT機器２３０において判定するようにしてもよい。

次に、当該第１のインスタンスは、復号化されたIPパケットのヘッダに含まれる送信元アドレスに基づいて、当該第１のインスタンスに保持された１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、送信先となる第２のインスタンスを判定する（Ｓ４０３）。そして、当該第１のインスタンスは、判定された当該第２のインスタンスに対して、復号化されたIPパケットをGTPペイロードとするGTPパケットを送信する（Ｓ４０４）。これによって、VPNトンネルは終端される。

当該第２のインスタンスでは、受信したGTPパケットからGTPヘッダを取り除いて、GTPペイロードであるIPパケットをMVNOの通信インフラ２２０の外部又は内部のIPネットワークに送信する（Ｓ４０５）。GTPヘッダにはIDが含まれ、当該第２のインスタンスが記憶するIDと送信元アドレスとの対応づけを参照して、当該第２のインスタンスは送信元アドレスを同定することができ、さらに、装置２００が記憶する送信元アドレスと加入者識別子との対応づけを参照して、加入者識別子を推移的に同定可能である。

このように、VPNトンネルによってインターネット等のIPネットワーク上で秘匿回線が与えられ、ＩoＴ機器２３０は、GTPプロトコルによるデータ通信を行うMVNOの通信インフラ２２０に、無線アクセスネットワークを介さずにIPネットワークを介して接続可能となる。

図４においては、データの送信について示したが、MVNOの通信インフラ２２０は、IPネットワークからデータを受信する場合には以下のとおりである。第２のインスタンスに対して、IoT機器２３０宛のIPパケットが着信した際、送信先であるIoT機器２３０のアドレスに対応するGTP-Uセッションを特定し、当該IPパケットにGTPヘッダを付与して第１のインスタンスへと送信する。そして、第１のインスタンスでは、受信したGTPパケットからGTPヘッダを取り除き、IoT機器２３０宛のIPパケット情報を得る。当該IPパケットの送信先アドレスから対応するVPNセッションを特定して、VPNセッションに関連づけられた一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを用いて、IPパケットをVPNパケットにカプセル化し、VPNトンネルを経由してIoT機器２３０へと送信する。IoT機器２３０では、受信したVPNパケットをVPNセッション情報を元に関連づけられた一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化されたIPパケットの復号化を行い、IPパケットを処理する。

２００装置
２０１通信部
２０２処理部
２０３記憶部
２０４データベース
２１０ MNOの通信インフラ
２２０ MNOの通信インフラに接続される通信インフラ

Claims

MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法であって、
前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、
前記加入者識別子に関連づけてIDを記憶するステップと、
前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、
前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、
前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、
前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップと
を含む。
請求項１に記載の方法であって、
前記接続情報は、前記第１のインスタンスのポート番号を含む。
請求項１又は２に記載の方法であって、
前記第１のクレデンシャルは、公開鍵であり、
前記第２のクレデンシャルは、前記公開鍵に対応する秘密鍵である。
装置に、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法を実行させるためのプログラムであって、前記方法は、
前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、
前記加入者識別子に関連づけてIDを記憶するステップと、
前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、
前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、
前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、
前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップと
を含む。
MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための装置であって、
前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信して、前記加入者識別子に関連づけてIDを記憶し、
前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信して、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信し、
前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び第１のクレデンシャルを含む第２のプロビジョニングコールを送信し、
前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信する。