JPWO2004045173A1 - ネットワークアクセス制御システム - Google Patents

Abstract

ネットワークアクセス制御システムは、主要アクセス網と少なくとも１つの副次アクセス網とを含む種別の異なる複数のアクセス網をそれぞれ用いてコア網を利用可能な移動ホストから送信され主要アクセス網を経由してコア網に到達する副次アクセス網の利用に対する認証要求を含む認証要求メッセージを受信する受信部と、副次アクセス網の認証要求に対する認証処理を行う認証部と、主要アクセス網を経由して移動ホストに到達する副次アクセス網の認証応答メッセージを送信する送信部とを含む。

Description

本発明は、複数種別のアクセス網をそれぞれ用いてコア網を利用した通信を実施可能な端末についてネットワークに対するアクセス制御を行うネットワークアクセス制御システムに関する。

インターネットの急速な発展により、ＩＰパケットトラヒックが急増している。さらに、携帯電話の普及に伴って、第３世代携帯電話網（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ ２０００（ＩＭＴ−２０００））でのＩＰパケットトラヒックの標準化、実用化の動きもある。モバイル環境での高速ＩＰ通信が普及すると考えられている。
また、公共性が高い地域（例えば、駅、商店等）において、公衆無線ＬＡＮ接続サービスの導入が急速に進んでいる。また、固定又は移動ホスト（端末）のインターネットアクセス手段として、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）に代表される安価で高速なアクセス手段が急速に普及している。
公共地域におけるアクセス手段の大半は、回線交換又はパケット通信の携帯電話（もしくはデータ通信カード）によるアクセス手段であった。これらは、ネットワークの性格上の通信速度の制限を有していた。いわゆる第２世代携帯電話網（ＰＤＣ等）の通信速度は９．６〜６４ｋｂｐｓ程度であり、第３世代携帯電話網の通信速度は、移動状態で３８４ｋｂｐｓ、静止状態で２Ｍｂｐｓ程度であった。この速度の制限は、移動ホストの通信環境に対する通信速度面での制約となる。
一方で、高速かつ安価にネットワーク（インターネット等）へアクセスするためのアクセス手段が出現しようとしている。例えば、通信速度面において携帯電話よりも優れるＩＥＥＥ ８０２．１１ｂ、ＩＥＥＥ ８０２．１１ａ、Ｂｌｕｅｔｏｏｔｈ等の各種の無線ＬＡＮ技術を利用する無線公衆アクセス手段が提供されようとしており、この種のアクセス手段の提供をビジネスとする事業者も出現している。即ち、ＩＥＥＥ８０２．１１ａ／ｂ／ｇをはじめとした各種の無線ＬＡＮ技術を利用した無線公衆アクセスを導入する動きが急速に進んでいる。現在、無線ＬＡＮアクセス事業者は実運用に入っているが、ローミング・認証等に課題を抱えている。
さらに、近年盛んに「ユビキタス」がキーワードとなっており、今後はこれに適したこれまでにない方式を用いたアクセス網が現れることが予想される。
このような流れの中で、携帯電話事業者が無線ＬＡＮアクセス網を提供するための動きがある。例えば、既存の携帯電話機能と無線ＬＡＮ機能とを統合したチップが開発されている。このチップは移動体キャリアに対して提供され、携帯電話と無線ＬＡＮ機能とが統合されたデュアル移動ホストとして登場することが予測される。無線ＬＡＮと携帯電話とは、回線速度、安定性等で個々に特徴を持つ。このため、携帯電話のトラヒックの増加を狙う目的で無線ＬＡＮの導入が進むことが予想される。
携帯電話事業者が無線ＬＡＮ事業に参入するにあたって、解決すべき以下の問題がある。
（１）セキュリティ
一般的な無線ＬＡＮ（ＩＥＥＥ ８０２．１１シリーズ等）の弱点として、アクセス認証および通信中の秘匿性に係る問題が指摘されている。この問題は、これまでに高い通信安全性を提供してきたいわゆる「キャリアグレード」によるサービスを提供する場合に大きな問題である。この問題の解決手段として、携帯電話事業者が専用のアクセス認証、課金機能を構築する方法が考えられる。携帯電話事業者は、携帯電話網について専用のアクセス認証、課金機能を構築している。これらの機能は、無線ＬＡＮに比べて高いセキュリティを有している。
しかしながら、認証機能は商用通信網を構築する上で最も費用のかかる機能の一つである。また、無線ＬＡＮ等の標準に基づくアクセス方式は、技術進展が早く製品寿命が短い。従って、事業の採算性を考慮した場合、認証機能に対して高いコストをかけることは難しい。
また、複数の単体では安全でないアクセス回線（携帯電話等と異なりそれ自身は安全でない回線）を持ち、それぞれが異なったプロトコルで認証や暗号化通信を行おうとする場合では、ホストの正当性を証明するための証明書が複数枚必要となり、且つそれらを認証する認証サーバも証明書の数に応じて必要となる。このことは、上記と同様に、高いコストが発生することが明らかである。
（２）既存携帯電話網との連携
無線ＬＡＮ等の新規アクセス網を構築して単独で事業展開する新規事業体と異なり、既存の携帯電話キャリアは既存の携帯電話網を有している。携帯電話キャリアの有望な一つの手段として、既存の携帯電話網と無線ＬＡＮの連携機能とを独自の付加価値サービスとして提供することが考えられる。例えば、今後のサービスの成熟期には双方のサービスエリアの重複部分が生じることが考えられる。このため、双方の通信手段の効果的な「使い分け」の機能をユーザに提供することが望ましい。
ところで、この出願の発明に関連する先行技術文献情報としては次のものがある。
・エリア内の移動局がセキュリティ等のアソシエーションを開始する前に認証手順を行おうとする場合にＬＡＮを管理するネットワーク管理者に対し、認証手順の最終的な許可を得るために、認証を求めている移動局がいることを通知する通知手段と、ネットワーク管理者による、移動局に対しての認証の許可または拒否の指示が入力される入力手段とを備えるアクセスポイント装置（例えば、特許文献１）。
・移動ノード，外部エージェント（ＦＡ），ホームエージェント（ＨＡ），サーバシステムを含む移動通信サービス提供システムであって、ＨＡおよびＦＡがパケットの転送先を決定するための制御手段を備える。サーバシステムは、移動ノードが要求するサービスを提供するための情報を含むサービスプロファイルを管理するデータベースから移動ノードに対応するサービスプロファイルを抽出する抽出手段と、抽出されたサービスプロファイルを制御手段が使用できる形式に編集するサービス管理手段と、編集されたサービスプロファイルをＨＡおよびＦＡに配布する配布手段とを備える。ＨＡおよびＦＡは配布されたサービスプロファイルに従って制御手段を利用することによってサービスを提供する（例えば、特許文献２）。
また、本願に関連する先行技術文献として、下記の特許文献３および４に開示される技術がある。
特開２００１−３４５８１９号公報（段落００１５、図１、図３） 特開２００１−２３７８７８号公報（段落００２２、図３） 特開２００１−１６６３４号公報 特開平１１−２０５３４２号公報

本発明の目的の一つは、無線ＬＡＮ等のアクセス網をコア網に対するアクセス手段として導入しやすくするネットワークアクセス制御技術を提供することである。
また、本発明の他の目的は、端末の無線ＬＡＮ等のアクセス網の利用に対する認証を高いセキュリティで実施可能なネットワークアクセス制御技術を提供することである。
また、本発明の他の目的は、端末の無線ＬＡＮ網等のアクセス網の利用に対する課金を容易に行うことができるネットワークアクセス制御技術を提供することである。
また、本発明の他の目的は、アクセス網間の連携を図ることができるネットワークアクセス制御技術を提供することである。
本発明は、ネットワークアクセス制御システムであり、
即ち、本発明は、主要アクセス網と少なくとも１つの副次アクセス網とを含む種別の異なる複数のアクセス網をそれぞれ用いてコア網を利用可能な端末から送信され前記主要アクセス網を経由して前記コア網に到達する前記副次アクセス網の利用に対する認証要求を含む認証要求メッセージを受信する受信手段と、
前記副次アクセス網の認証要求に対する認証処理を行う認証手段と、
前記主要アクセス網を経由して前記端末に到達する前記副次アクセス網の認証応答メッセージを送信する送信手段と
を含む。
本発明によるネットワークアクセス制御システムによれば、主要アクセス網の認証システムを用いて副次アクセス網の認証が行われる。このため、副次アクセス網が独自の認証システムを持つ必要がない。このため、副次アクセス網の導入が容易となる。また、運用コストを抑えることもできる。
主要アクセス網は、端末が利用可能な複数のアクセス網の中から規定される代表的なアクセス網であり、認証機能を備えている。これに対し、副次アクセス網は、主要アクセス網に対する相対的な概念であり、複数のアクセス網のうち、主要アクセス網に規定されなかった残りのアクセス網がこれに該当する。副次アクセス網は、認証機能をもたないか、或いは主要アクセス網の認証機能よりもセキュリティの低い認証機能を持つ。これより、本発明によれば、副次アクセス網の認証が主要アクセス網の認証機能により認証されるので、副次アクセス網の認証を高いセキュリティで実施することが可能となる。また、主要アクセス網は、課金機能をさらに備えることができる。
また、本発明によるネットワークアクセス制御システムは、前記認証要求メッセージが、前記主要アクセス網の利用に対する認証要求をさらに含み、前記認証手段は、前記主要アクセス網および前記副次アクセス網の利用に対する認証要求に対する認証処理を行い、前記送信手段は、前記主要アクセス網および前記副次アクセス網に対する前記認証応答メッセージを前記端末に送信する、ように構成することができる。
このようにすれば、主要アクセス網の認証手順と同時に副次アクセス網の認証を行うことができる。
また、本発明によるシステムにおける前記送信手段は、前記認証手段が副次アクセス網の利用を認証する場合に、認証された副次アクセス網の利用許可情報を含む前記認証応答メッセージを送信するとともに、前記端末が前記認証された副次アクセス網を利用するための情報を前記認証された副次アクセス網に通知する、ように構成することができる。
これによって、端末が副次アクセス網に接続して、副次アクセス網を用いた通信を行うことが可能となる。
また、本発明によるネットワークアクセス制御システムは、前記端末のユーザが前記認証手段により認証された副次アクセス網について事前に契約した利用条件に従ってこの副次アクセス網および前記コア網を利用した通信サービスが提供されるように前記コア網を制御する網制御手段をさらに備えるように構成するのが好ましい。
このようにすれば、利用条件に従った副次アクセス網を用いた通信サービスを端末のユーザに提供することが可能となる。
前記網制御手段は、例えば、前記移動ホストによって使用される前記認証された副次アクセス網のアクセス回線を収容するエッジノードに対し、前記端末について前記利用条件に従った通信サービスを実施するための制御情報を通知するように構成するのが好ましい。
また、本発明によるネットワークアクセス制御システムは、前記端末が前記主要アクセス網を用いてコア網を利用する場合の従量課金と、前記端末が前記副次アクセス網を用いてコア網を利用する場合の従量課金との双方に係る処理を行う課金手段をさらに含むように構成するのが好ましい。
このようにすれば、主要および副次アクセス網の利用に対するそれぞれの従量課金が共通の課金システムにより行われるので、副次アクセス網の導入が容易となり、その運用コストを抑えることができる。この場合、主要アクセス網に対して既存の課金システムを副次アクセス網に適用するように構成するのが、コストを抑える点で好ましい。
前記課金手段は、前記端末によって使用される前記認証された副次アクセス網のアクセス回線を収容するエッジノードに対し、端末の副次アクセス網の利用に対する従量課金を行うための課金単位を通知する課金単位通知手段と、このエッジノードが前記課金単位に従って計測した前記端末に係る課金単位の量に基づいて課金額を算出する算出手段とを含むように構成するのが好ましい。
また、本発明によるネットワークアクセス制御システムは、前記認証手段が、ローミングユーザの端末からの前記副次アクセス網の認証要求を含む認証要求メッセージを前記主要アクセス網を介して前記受信手段が受信した場合に、前記ローミングユーザに対する前記副次アクセス網の認証処理をローミング元の認証システムとの連携において行い、前記送信手段は、前記ローミングユーザの認証処理に対する認証応答メッセージを前記主要アクセス網を経由してローミングユーザの端末に送信するように構成するのが好ましい。
このようにすれば、ローミングユーザに対しても、本発明によるネットワークアクセス制御システムを通じた主要および副次アクセス網の利用を提供することができる。
この場合、前記網制御手段は、前記認証手段がローミングユーザを認証する場合に、前記ローミングユーザの端末が使用する前記認証された副次アクセス網のアクセス回線を収容するエッジノードに対し、ローミングユーザの当該副次アクセス網の利用条件に従った通信サービスを提供するための制御情報を通知する、ように構成するのが好ましい。
また、本発明によるネットワーク制御システムは、前記認証要求メッセージが、前記端末が前記主要アクセス網を利用可能な範囲で移動することによりこの端末が利用可能なアクセス網の数が変化した場合に前記移動ホストから送信され、且つ利用可能となったアクセス網の認証要求を少なくとも含み、前記網制御手段は、前記認証要求メッセージを前記受信手段が受信したことを契機として、前記端末が利用するアクセス網を切り替えるか否かを判断し、前記認証手段は、切替先のアクセス網について認証処理を行い、前記送信手段は、前記認証手段により認証された切替先のアクセス網の認証応答メッセージを前記主要アクセス網を経由して前記端末に送信する、ように構成するのが好ましい。
このようにすれば、端末の移動によって他のアクセス網（副次アクセス網）を利用可能な状態になった場合において、アクセス網を切り替えることが可能となる。
この場合、前記網制御手段が、前記端末のユーザの契約内容，現在の網状態のうちの少なくとも１つに従ってアクセス網を切り替えるか否かを判断するように構成するのが好ましい。
このようにすれば、アクセス網を切り替えることが望ましくない場合における切り替えを回避することが可能となる。
また、前記網制御手段が、切替先として選択可能な複数の副次アクセス網がある場合には、前記移動ホストのユーザの契約内容および／または現在の網状態に基づいて切替先のアクセス網を決定するように構成するのが好ましい。
このようにすれば、最も適正な切替先のアクセス網を以て切り替えを実施することが可能となる。
また、前記送信手段が、前記認証手段による前記切替先のアクセス網の認証に応じて、この切替先のアクセス網の利用許可情報を含む前記認証応答メッセージを前記端末へ送信するとともに、前記端末が前記切替先のアクセス網を利用するための情報をこのアクセス網に通知し、前記網制御手段が、前記端末のユーザが前記切替先のアクセス網について事前に契約した利用条件に従ってこのアクセス網および前記コア網を利用した通信サービスが提供されるように、前記端末によって使用される前記切替先の副次アクセス網のアクセス回線を収容するエッジノードに対し、前記端末について前記利用条件に従った通信サービスを実施するための制御情報を通知するように構成するのが好ましい。
この場合、前記通信サービスが切替元のエッジノードと切替先のエッジノードとの連携により実施される場合には、前記網制御手段は、切替元および切替先のエッジノードに連携サービスを実施するための制御情報をそれぞれ通知する、ように構成するのが好ましい。
これによって、端末のユーザに対し、連携サービスを提供することが可能となる。
また、前記網制御手段は、アクセス網が切り替えられても切替前における通信品質が維持されるような通信サービスを実施するための制御情報を前記切替先のアクセス回線を収容するエッジノードに送信する、ように構成するのが好ましい。
これによって、切替による通信品質の劣化を抑えることができる。
また、前記網制御手段は、前記端末の同一のアクセス網の利用において、この端末が使用するアクセス網のアクセス回線を収容するエッジノードを切り替える際に、切替元のエッジノードに通知した制御情報と同様の制御情報を切替先のエッジノードに送信する、ように構成するのが好ましい。
これによって、端末のユーザは、エッジノードの切替によっても切替前と同様のサービスを受けることができる。
また、前記網制御手段が、前記端末が使用しているアクセス回線を収容しているエッジノードからトラフィック情報を受け取り、トラフィックが所定の閾値を越えている場合には、前記端末にアクセス網の切替を依頼するように構成するのが好ましい。
このようにすれば、アクセス網の切替により、トラフィックの輻輳等による影響を回避することができる。
また、前記網制御手段が、前記端末の位置を監視し、この端末が所定の副次アクセス網を利用可能な位置に移動した場合に、その旨を端末に通知するように構成するのが好ましい。
このようにすれば、端末が副次アクセス網の利用可能位置を探さなくても、適正に副次アクセス網への切り替え（移行）を行うことが可能となる。
また、前記受信手段が、前記端末からその状態情報を含む前記認証要求メッセージを受信し、前記網制御手段は、前記状態情報に基づいて前記端末が利用するアクセス回線を切り替えるか否かを判断する、ように構成するのが好ましい。
また、前記受信手段が、前記移動ホストから切り替え先のアクセス網を指定する指定情報を含む前記認証要求メッセージを受信し、前記網制御手段は、前記指定情報で指定されたアクセス網を切り替え先のアクセス網として決定するように構成するのが好ましい。
このようにすれば、端末のユーザの所望するアクセス網への切り替えを行うことが可能となる。
さらに、本発明は、上述したネットワークアクセス制御システムを構成する受信手段，認証手段，および送信手段としての機能を持つ認証サーバ，網制御手段としての機能を持つアクセス制御サーバとして特定することができる。また、ネットワークアクセス制御システムを通じて複数種別のアクセス網を利用する端末として特定することもできる。また、本発明は、上述したような特徴を持つネットワークアクセス制御方法として特定することも可能である。

図１は、実施形態のネットワーク構成例を示す図であり、
図２は、アクセス制御プロファイルの構造を示す図であり、
図３は、アクセス制御プロファイル（共通プロファイル，ＡＣＰ−Ｃ）の例を示す図であり、
図４は、アクセス制御プロファイル（個別プロファイル，ＡＣＰ−Ｖ）の例を示す図であり、
図５は、アクセス認証方式に係る動作例の説明図であり、
図６は、アクセス制御手順の例を示すシーケンス図であり、
図７は、主要アクセス回線の認証と連携した場合の認証要求メッセージのフォーマット例を示す図であり、
図８は、主用アクセス回線の認証と連携しない場合の認証要求メッセージ（独自メッセージ）のフォーマット例を示す図であり、
図９（Ａ）は、認証サーバＡＡＡおよびアクセス制御サーバＡＣＳの機能構成例を示す図であり、図９（Ｂ）は、アクセス制御装置ＡＡＡ／ＡＣＳの機能構成例を示す図であり、
図１０は、異種アクセス回線連携情報データベースの要素例を示す表であり、
図１１は、認証サーバＡＡＡおよびアクセス制御サーバＡＣＳでの副次アクセス回線の認証処理の例を示すシーケンス図であり、
図１２は、課金対象情報収集機能の共通化の動作例を示す図であり、
図１３は、エッジノード装置（ＥＮ）の構成例を示す図であり、
図１４は、エッジノード装置でのアクセス制御プロファイルの受信処理を示すシーケンス図であり、
図１５は、他ネットワーク業者（他キャリア）からのローミングに対するアクセス制御の例を示す図であり、
図１６は、アクセス回線選択基本方式における動作例を示す図であり、
図１７は、アクセス網選択機構を示すフローチャートであり、
図１８は、アクセス網選択機構を示すフローチャートであり、
図１９は、アクセス許容手順の動作例を示す図であり、
図２０は、アクセス回線間移動自のサービス継続連携に係る動作例の説明図であり、
図２１は、エッジノードからアクセス制御サーバへの切り替え発生依頼メッセージの例を示す表であり、
図２２は、周辺の網リソース状態によるアクセス回線の切替に係る動作例を示す図であり、
図２３は、ユーザの契約条件によるアクセス回線の自動捕捉に係る動作例を示す図であり、
図２４は、移動ホスト情報の例を示す表であり、
図２５は、ユーザ端末要件に基づくアクセス回線の捕捉に係る動作例を示す図であり、
図２６は、アプリケーション／機能種別の例を示す表であり、
図２７は、利用中のアプリケーション種別に依存したアクセス回線の自動切替に係る動作例を示す図であり、
図２８は、ネットワークアクセス端末（移動ホスト）の構成例を示す図であり、
図２９は、ネットワークアクセス端末での副次アクセス回線の認証手順例を示す図であり、
図３０は、課金情報の例を示す表であり、
図３１は、主要アクセス回線の認証と連携した場合の認証応答メッセージのフォーマット例を示す図であり、
図３２は、主要アクセス回線の認証と連携しない場合の認証応答メッセージのフォーマット例を示す図であり、
図３３は、認証完了・アクセス許可要求メッセージのフォーマット例を示す図であり、
図３４は、アクセス回線変更要求メッセージのフォーマット例を示す図であり、
図３５は、アクセス制御装置（ＡＡＡ／ＡＣＳ）の動作例を示すシーケンス図である。

以下、図面を参照して本発明の実施の形態を説明する。実施の形態の構成は例示であり、本発明は、実施の形態の構成に限定されない。
〈１〉ネットワークアクセス制御システムの概要（図１）
図１は、本発明によるネットワークアクセス制御システムの実施形態を示す図である。図１に示す実施形態は、大略して次のように構成されている。或るネットワーク運用者（キャリア（ＮＯＰ（Ｎｅｔｗｏｒｋ Ｏｐｅｒａｔｏｒ）ともいう））のコアネットワーク（ＣＮ：例えば、ＢＢ（ＢａｃｋＢｏｎｅ ｎｅｔｗｏｒｋ））に対し、複数の移動アクセス網（Ｗｉｒｅｌｅｓｓ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ）が収容される。ＣＮは、図１に示すように、１以上の他のキャリアのＣＮ（他キャリアのＢＢ）に接続される。ＣＮおよび複数の移動アクセス網からなるネットワークシステムは、ユーザ（加入者）に対し、移動アクセス網を介したコア網の利用による通信サービスを提供する。
移動アクセス網として、各種のワイヤレスアクセス網を適用することができる。例えば、第３世代携帯電話規格（ＩＭＴ−２０００（Ｗ−ＣＤＭＡ，ｃｄｍａ２０００等））や第２世代携帯電話規格（ＰＤＣ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ｃｅｌｌｕｌａｒ），ｃｄｍａＯｎｅ等）に基づく無線アクセス網（ＲＡＮ：Ｒａｄｉｏ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ），ＩＥＥＥ８０２．１１ａ／ｂ／ｇやＨｉＳＷＡＮ等の無線ＬＡＮ網，ＰＨＳ網，Ｂｌｕｅｔｏｏｔｈ等を適用することができる。
ＣＮに接続される複数の移動アクセス網のうちの１つは、主要アクセス網（「ＰＡＮ：Ｐｒｉｍａｒｙ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ」と称する）として規定され、その他の移動アクセス網は副次アクセス網（「ＳＡＮ：Ｓｅｃｏｎｄａｒｙ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ」と称する）として位置づけられる。ＰＡＮは、少なくともユーザの当該移動アクセス網に対するアクセス認証システムが構築されているアクセス網である。もっとも、構築されている認証システムが商用サービスを提供するにあたって十分なセキュリティを確保しているアクセス網がＰＡＮとして選択されることが望ましい。例えば、ＰＡＮとして選択することが望ましいアクセス網として、既存の商用サービスにおいて提供され、一定のセキュリティが確保されたアクセス認証および課金システムを備える第２又は第３世代携帯電話網（ＰＤＣ、ＦＯＭＡ（商標）等）を例示することができる。ＰＡＮは、例えばＣＮのキャリアによって決定される。
一方、ＳＡＮは、アクセス認証システムをその網内に有しない、あるいはアクセス認証システムを有していてもそのセキュリティレベルがＰＡＮとして規定されるアクセス網よりも低いアクセス網である。さらに、ＳＡＮは、ユーザがＰＡＮと同時に利用可能な１以上の領域（サービスエリア）を有している。ＳＡＮのサービスエリアの全てがＰＡＮのサービスエリアに入っていることが望ましい。
なお、ＣＮに対するアクセス網（ＰＡＮ及びＳＡＮ）には、ｘＤＳＬ網のような固定アクセス網を含むこともできる。
ユーザ（加入者）が通信サービスの提供にあたって使用する端末（固定又は移動端末）として、例えば移動ホスト（ＭＨ（Ｍｏｂｉｌｅ Ｈｏｓｔ）；「移動ノード（ＭＮ：Ｍｏｂｉｌｅ Ｎｏｄｅ）」，「ユーザ端末」，または「加入者端末」とも呼ばれる）が適用される。移動ホストは、ＰＡＮを含む様々な種別のアクセス網にそれぞれ接続可能であり、さらにそれぞれのアクセス網を介してＣＮを利用した通信サービスを利用可能な携帯端末（移動機：Ｍｏｂｉｌｅ Ｓｔａｔｉｏｎ）が適用される。即ち、端末は複数のアクセス方式を選択利用可能である。
ネットワークアクセス制御システムは、網側において、例えば、ＣＮに収容されている認証サーバ（ＡＡＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ ａｎｄ Ａｃｃｏｕｎｔｉｎｇ）と、アクセス制御サーバ（ＡＣＳ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｅｒｖｅｒ）とから構成することができ、各移動アクセス網にそれぞれ対応する複数のエッジノード装置（ＥＮ：Ｅｄｇｅ Ｎｏｄｅ）を制御する。
図１に示す例では、ＡＣＳ及び複数のＥＮはＡＡＡに接続されている。ＡＡＡとＡＣＳとは、これらの機能を併せ持つ１以上のコンピュータにより構成することができる。即ち、１以上のコンピュータが、記憶装置に記憶された各種のプログラムを実行することによって、ＡＡＡおよびＡＣＳの機能が実現されるようにしても良い。言い換えれば、ＡＡＡ及びＡＣＳは、両者の機能をまとめてアクセス制御装置（ＡＡＡ／ＡＣＳ）として構成することも可能である。
なお、ＡＡＡは本発明における受信手段，認証手段，送信手段に相当し、ＡＣＳは本発明における網制御手段に相当する。但し、本発明による受信手段，認証手段，送信手段，網制御手段は、ＡＡＡとＡＣＳとの連携により実現されるようにしても良い。
各移動アクセス網に対応するＥＮは、ＣＮの周辺部（境界）に配備されるルータ又はレイヤ３スイッチに、ユーザに対するアクセス制御を行うための機能を付加することで構成される。アクセス制御を行うための機能は、例えば、ルータやレイヤ３スイッチに搭載されたプロセッサ（ＣＰＵ等）が、その記憶装置に格納された機能実現のためのプログラムを実行することによって実現される。
各ＥＮは、対応する移動アクセス網の１以上のアクセス回線をそれぞれ収容し、アクセス回線を通じて各移動アクセス網に設置されているアクセスポイント（Ａｃｃｅｓｓ Ｐｏｉｎｔ：ＡＰ）に接続されている。
即ち、ＰＡＮに接続されるＥＮ（ＥＮ−１）は、少なくとも１つのＰＡＮのアクセス回線（主要アクセス回線（ＰＡＬ：Ｐｒｉｍａｒｙ Ａｃｃｅｓｓ Ｌｉｎｅ）を収容し、ＳＡＮに接続されるＥＮ（ＥＮ−２）は、少なくとも１つのＳＡＮのアクセス回線（副次アクセス回線（ＳＡＬ：Ｓｕｂ Ａｃｃｅｓｓ Ｌｉｎｅ）を収容している。
ＰＡＮ及びＳＡＮにそれぞれ相当する移動アクセス網は、基地局を兼ねる１以上のアクセスポイントＡＰを夫々具備している。ＰＡＮに接続されるＥＮ（ＥＮ−１）は、ＰＡＮのＡＰ（ＡＰ−１）に接続されており、ＳＡＮに接続されるＥＮ（ＥＮ−２）は、ＳＡＮのＡＰ（ＡＰ−２）に接続されている。
端末（ＭＨ）は、次の機能を具備することができる。下記の機能は、例えば、ＭＨに搭載されたプロセッサが記憶装置に格納された各機能実現のためのプログラムを実行することによって実現される。
（ａ）ＣＮに接続するための複数のアクセス方式（アクセス網に応じた接続方式）に応じたアクセス回線制御機能。
（ｂ）ユーザ又は網側の指示によって利用すべきアクセス回線（アクセス方式）を選択する機能。
（ｃ）ＭＨが利用可能な複数のアクセス回線の種別（アクセス方式）のうち、網側で規定された代表的な移動アクセス網（ＰＡＮ）のアクセス回線（ＰＡＬ）への接続認証を行う際に、ＰＡＬに対する認証要求に、他のアクセス回線（ＳＡＮのアクセス回線（ＳＡＬ））に関する認証情報を含めて送出する機能（認証要求制御部）。
（ｄ）ＭＨの内部において、個々のアクセス回線制御機能間（ＰＡＬのアクセス回線制御機能とＳＡＬのアクセス回線制御機能との間）で、ＰＡＬに対するアクセス認証手続きにより、網側から受領するＳＡＬに対するアクセス認証情報（利用許可情報）を対応するアクセス回線制御機能に受け渡すメッセージ処理機能（メッセージ処理部）、および認証情報管理機能（認証情報管理部）。
一方、網側において、ＡＡＡは、少なくとも以下の機能を備える。
（ｅ）ＭＨから送信された認証要求を受領及び分析し、当該ＭＨが利用可能なアクセス回線に関する認証情報を抽出する機能（認証情報抽出部）。
また、ＡＣＳは、少なくとも以下の機能を備える。
（ｆ）ユーザの利用条件（例えば、契約上で優先的に接続すべきアクセス回線種別），或いは現在の網状態に基づいて、最も適した切替先のアクセス回線種別を選択するアクセス網選択機能（アクセス回線種別選択部）。
（ｇ）切替先のアクセス回線を認識した場合に、そのアクセス回線に対する個別のアクセス制御情報が記載されたアクセス制御プロファイル（ＡＣＰ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｐｒｏｆｉｌｅ）を、当該アクセス回線を収容するＥＮに付与する機能（アクセス制御プロファイル配信部）。
（ｈ）ユーザ単位のＡＣＰ（サービスの利用契約時に生成されるアクセス回線の利用条件が記載されている）を、ＡＣＳが利用可能なアクセス制御プロファイルデータベース（ＡＣＰ−ＤＢ）に保存する機能（アクセス制御プロファイル登録部）。
また、網側において、ＰＡＮのＡＰ−１に接続されるＥＮ（ＥＮ−１），及びＳＡＮのＡＰ−２に接続されるＥＮ（ＥＮ−２）の夫々は、次の機能を具備することができる。
（ｉ）ＡＡＡ又はＡＣＳから送達される個別サービス情報（ＡＣＰ−Ｖ）を一定の有効期間だけ格納する、アクセス制御プロファイル管理機能（アクセス制御プロファイル管理部）。
なお、ＣＮは、ＭＨに対するアクセス回線の認証手続きの後、そのユーザ（ＭＨ）に関するパケット疎通、サービス制御等を実施する。
ネットワークアクセス制御システムは、ユーザのＭＨに対し、所定のアクセス回線に接続してＣＮを利用した通信サービスを提供する。この通信サービスは、網側でユーザが利用する移動アクセス網を認証することを条件に提供され、また、ユーザが利用する移動アクセス網に対するアクセス制御の内容（利用条件）に従って行われる。
ネットワークアクセス制御システムは、主な特徴として、ＳＡＬに対する認証をＰＡＬの認証手順を用いて行うことで、ＳＡＮが独自の認証システムを持たなくても済むように構成されている。また、ユーザのＳＡＬの利用に対する課金をＰＡＬ用の課金システムを用いて行うことを特徴とする。
また、ネットワークアクセス制御システムは、特徴の一つとして、ユーザとの契約条件，又はキャリア自身の判断によって、ユーザ（ＭＨ）のネットワーク接続状況等を考慮しながらユーザが利用すべきアクセス回線を選択するための手段を提供する。
ＡＣＰの原本は、ユーザとキャリアとの通信サービスの加入契約（サービスの利用条件）が締結された後に、ＡＣＳ−ＤＢに登録され、ＭＨがＣＮを利用するときに実行される認証手順を契機として制御対象のアクセス回線を収容するＥＮに配信される。ＡＣＰの配信手法として、例えば、特開２００１−２３７８７８号公報に開示された手法を適用することができる。
なお、本実施形態において、移動アクセス網のキャリアは、ＣＮのキャリア，移動アクセス網の設備を所有するキャリアの他、自身では特定のアクセス手段（移動アクセス網）を所有せず、キャリアから移動アクセス網を借り上げた上で加入者にサービス提供を行うＭＶＮＯ（Ｍｏｂｉｌｅ Ｖｉｒｔｕａｌ Ｎｅｔｗｏｒｋ Ｏｐｅｒａｔｏｒ）も想定している。
〈２〉アクセス制御プロファイル（図２，３，４）
次に、ネットワークアクセス制御システムにおいて、網制御のために利用されるアクセス制御プロファイル（ＡＣＰ）について説明する。ネットワークアクセス制御システムでは、ＭＨのユーザ単位で利用可能なアクセス回線の種別，優先順位等の選択論理等のユーザの利用要件を記述したＡＣＰをユーザーキャリア間の加入契約において規定し、キャリア側（網側）で保持・管理する。そして、ネットワークアクセス制御システムは、ユーザ毎のアクセス回線の利用条件に基づいたアクセス回線の接続制御を実施可能にするデータセット（即ちＡＣＰ）を介して、ユーザが利用すべきアクセス回線を選択する。
ＡＣＰは、ユーザ単位でアクセス制御の内容を規定している。ＡＣＰに規定される情報には、例えば以下のような要素がある。
（１）１以上の利用可能なアクセス回線の種別
（２）前項に記載されたアクセス回線間での優先順位
（３）アクセス回線自動選択の有無
（４）ハンドオーバレベル
また、ＡＣＰは、次の２つのサブセット（サブカテゴリ）から構成することができる。
（ｉ）ＡＣＰ共通部（ＡＣＰ−Ｃ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｐｒｏｆｉｌｅ Ｃｏｍｍｏｎ−ｐａｒｔ）ＡＣＰ−Ｃには、ユーザが利用可能なすべてのアクセス回線の種別、および、これらのアクセス回線に共通なユーザの契約情報等が規定される。ＡＣＰ−Ｃは、ＡＣＳ−ＤＢ内に保管され、ＡＡＡおよび／またはＡＣＳによって参照される。
（ｉｉ）ＡＣＰ個別部（ＡＣＰ−Ｖ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｐｒｏｆｉｌｅ Ｖａｒｉａｎｔ−ｐａｒｔ）ＡＣＰ−Ｖには、ユーザが利用可能なアクセス回線毎に、個々のアクセス回線の利用条件，及び契約範囲内で利用可能な他のアクセス回線との関係（優先順序、連携内容等）が規定される。ＡＣＰ−Ｖは、ＡＣＰ−Ｃと関連づけてＡＣＰ−ＤＢに格納される。或いは、ＡＣＰ−Ｖは、必要に応じてＡＣＰ−Ｃの規定内容や網状態等に基づいて生成される。ＡＣＰ−Ｖは、ＭＨのアクセス回線に対する認証要求等を契機として、当該ＭＨが利用するアクセス回線を収容しているＥＮに配信され格納および保持される。ＥＮは、受信したＡＣＰ−Ｖを参照し、これに従ってＭＨに対するアクセス制御を行う。このとき、ＥＮは、ＡＣＰ−Ｖを参照することで、他のアクセス回線との連携の関係を認識し、必要な連携処理を行うことができる。
上述したように、ＡＣＰ（ＡＣＰ−Ｃ及びＡＣＰ−Ｖ）は、ユーザ単位に規定され、ＡＣＰ−ＤＢに格納される。ＡＣＰ−Ｖは、ＭＨのアクセス回線に対する接続認証時に追加データとしてＡＣＳによって引き出され、対応するＥＮに配信・保持される。ＥＮは、アクセス制御機能を具備しており、ＥＮのアクセス制御機能は、ＡＣＰ−Ｖに規定された規則に準じてアクセス制御を実施する。
図２は、ＡＣＰの構造を示す図であり、図３は、ＡＣＰ−Ｃの例を示す図であり、図４は、ＡＣＰ−Ｖの例を示す図である。図２に示すように、ＡＣＰは、ＡＣＰ−ＣとＡＣＰ−Ｖとからなり、ＡＣＰ−Ｃは、図３に示すように、少なくとも加入者識別情報（ＮＡＩ等）と、利用可能な１以上のアクセス回線の種別とを含み、さらに、アクセス回線間の選択優先順位，アクセス回線の自動選択の有無，ハンドオーバレベル，外部事業者間ローミング，認証セッションの有効期間，及び利用権限に係る情報を含むことができる。
一方、ＡＣＰ−Ｖは、アクセス回線種別毎に用意され、図４に示すように、加入者識別情報，動作状態（現在使用中（パケット導通）／転送／閉塞の別），移行（転送）先エッジ装置，認証周期，最大帯域，及び課金条件に係る情報を含むことができる。ＡＣＰ−Ｃ及びＡＣＰ−Ｖのデータ構造は、各情報要素のフィールドと、その採り得る値とで構成することができる。
〈３〉第１のアクセス認証方式（図５，６）
次に、ネットワークアクセス制御システムにおけるユーザのアクセス認証方式として、複数のアクセス回線に対する認証を１つの認証手順に統合して行う処理（第１のアクセス認証方式）について説明する。
第１のアクセス認証方式（以下、「第１の方式」という）は、複数のアクセス回線を利用可能なＭＨにおいて、或るアクセス回線に対する接続認証手順により網側からそのアクセス回線及び他のアクセス回線に対する接続許可を受ける為の手順である。例えば、ＰＡＬへの接続時に利用する認証手順を利用して、ＳＡＬの接続認証をＰＡＬの接続認証と同時に実施可能とする。
このため、移動ホストＭＨは、ＰＡＬに対する認証要求メッセージの中に、所定のＳＡＬの認証に必要な情報を含めてＣＮへ送信する。これに対し、ネットワークアクセス制御システムは、ＰＡＬ及びＳＡＬの双方のアクセス回線に対する認証手順を統合して実施する。
複数のアクセス回線への接続手段を持つＭＨは、個々のアクセス回線を動的に使い分ける（或るアクセス回線から他のアクセス回線に移行する）場合には、移行先の回線に接続する際に、移行前の回線とは別途用意されている認証システムを用いて認証手順を実行しなければならなかった。第１の方式は、このような課題を解決する。
第１の方式では、或るＭＨが契約に基づいて複数のアクセス回線を利用可能である場合に、複数のアクセス回線に対する認証手順を何れか１つの認証手順に統合する。このため、ネットワークアクセス制御システムに係るユーザ側（ＭＨ側）及び網側の夫々の装置は、以下の機能を持つ。
ＭＨは、認証要求メッセージ送出機能（認証要求メッセージ送出部）と、認証応答メッセージ処理機能（認証応答メッセージ処理部）とを備える。
認証要求メッセージ送出機能は、或るアクセス回線（第１のアクセス回線；例えばＰＡＬ）に関する認証プロトコル制御機能（アクセス回線制御機能に含まれている）と関連して、当該アクセス回線だけでなく共存する他のアクセス回線（第２のアクセス回線；例えばＳＡＬ）に関する認証情報を、当該アクセス回線についての認証要求メッセージに含めて送出する。ＭＨは、ユーザが利用可能な各アクセス回線に応じた認証情報を記憶した記憶装置を具備している。
認証応答メッセージ処理機能は、或るアクセス回線に関する認証プロトコル制御機能に関連して、ＡＡＡからの認証応答メッセージの受信処理と、この認証応答メッセージに含まれている他のアクセス回線の利用許可情報（例えば、パケット暗号化鍵）を抽出し、これをＭＨ内部の記憶装置上に保持（キャッシュ）する。
一方、網側において、ＡＡＡは、認証要求メッセージ処理機能（認証要求メッセージ処理部）を持つ。
認証要求メッセージ処理機能は、ＡＡＡが備える認証プロトコル制御機能の一部である。認証要求メッセージ処理機能は、ＭＨからの第１のアクセス回線に対する認証要求メッセージから、第２のアクセス回線用の認証情報を取り出して認証動作を行い、さらに、第１のアクセス回線に対する認証応答メッセージ（認証確認メッセージ）に第２のアクセス回線の認証応答（利用許可情報）を付加し、ＭＨに返却する。
さらに、網側は、ＳＡＬを収容するＡＰに対して、第１及び第２のアクセス回線について認証された（利用が許可された）ＭＨがアクセス回線を利用可能にする機能を持つ。
図５は、第１のアクセス認証方式の例を示す図である。図５には、ＰＡＬの認証手順を用いてＳＡＬの認証を行う場合の動作例が示されている。但し、図５には、ＡＡＡの機能とＡＣＳの機能とが統合されたアクセス制御装置（ＡＡＡ／ＡＣＳ）が示されている。
図５において、最初に、ＭＨは、自身がＰＡＬ及びＳＡＬに接続可能であることを感知し、ＳＡＬ用の認証情報を含むＰＡＬ用の認証要求メッセージを生成し、送信する（図５；（１））。ＭＨは、例えば、ＰＡＮ及びＳＡＮからの電波を受信することにより、これらに接続可能であることを感知できる。
ＡＡＡ／ＡＣＳは、認証要求メッセージを、ＰＡＮに対応するＡＰ−１及びＥＮ−１を介して受信し、認証要求メッセージを解析してＰＡＬ及びＳＡＬに係る認証動作を行う。このとき、ＡＡＡ／ＡＣＳは、ＭＨがＳＡＬにもアクセス可能であることを検出する（図５；（２））。この検出処理は、ＭＨのユーザのＡＣＰにおける規定内容（利用条件），現在の網状態（ＭＨの状態を含む）等に基づいて検出することができる。
次に、ＡＡＡ／ＡＣＳは、ＰＡＬおよびＳＡＬの認証結果が正当である場合には、ＳＡＬに対応するＡＰ（ＡＰ−２）宛に、当該ＭＨのアクセス許可を命じるメッセージを送信する（図５；（３））。このメッセージは、ＡＰがＭＨからのアクセスを許容するための利用許可情報を含み、ＳＡＬに対応するＥＮ（ＥＮ−２）を介してＡＰ−２に伝達され、ＡＰ−２で管理される。
一方、ＡＡＡ／ＡＣＳは、ＰＡＬ及びＳＡＬの双方について認証結果が正当であることを応答するために、ＰＡＬ及びＳＡＬの利用許可情報を含むＰＡＬ用の認証応答メッセージを生成し、ＭＨ宛に送信する（図５；（４））。この認証応答メッセージは、ＰＡＬを介してＭＨに着信する。これにより、ＭＨは、ＰＡＬ及びＳＡＬの利用許可情報を取得し、キャッシュする。その後、ＭＨは、キャッシュされた利用許可情報を用いてＳＡＬに接続し、ＣＮを利用した通信サービス（例えば、ＣＮを介したパケット通信）の提供を受けることが可能となる（図５；（５））。
図６は、ネットワークアクセス制御システムによる第１のアクセス認証方式の他の動作例を示すシーケンス図である。但し、図６では、第１の方式に係る動作をＡＡＡとＡＣＳとが連携して行う動作例を示している。図６における動作例は、次の通りである。
ＭＨの電源が、在圏位置（ＰＡＮの利用可能範囲（サービスエリア）内）で投入される（ステップＳ１）。すると、ＭＨ内でＰＡＬ用の認証要求メッセージが生成される。このとき、ＭＨの在圏位置で利用可能な全ての他のアクセス回線（１以上のＳＡＬ）用の認証情報が、ＭＨ内の記憶装置から抽出され、ＰＡＬ用の認証要求メッセージに付加される（ステップＳ２）。次に、ＭＨは、ＰＡＬ用の認証要求メッセージを送出する（ステップＳ３）。認証要求メッセージは、ＰＡＮを介してＣＮのエッジノードＥＮ−１に転送される。
エッジノードＥＮ−１は、ＰＡＬの認証要求メッセージを受領すると、この認証要求メッセージの要求元に相当するＭＨの認証が可能なＡＡＡを判別し、そのＡＡＡに認証要求メッセージを転送する（ステップＳ４）。
ＡＡＡは、認証要求メッセージを受信すると、認証要求に基づく認証処理を行い、要求元のＭＨの正当性を認証することでＰＡＬおよび認証対象のＳＡＬに対するアクセス可否を判断する（ステップＳ５）。
ＡＡＡは、認証処理においてＭＨが正当であると判断すると、ＡＣＳに対し、ＭＨ（ユーザ）に対応するＡＣＰを要求するメッセージ（ＡＣＳ要求メッセージ）を送出する（ステップＳ６）。
アクセス制御サーバＡＣＳは、ＡＣＳ要求メッセージを受領すると、当該ＭＨの在圏位置で利用可能なＳＡＬについてアクセスを許可する。このため、アクセス制御サーバＡＣＳは、ＡＣＰ−ＤＢから当該ユーザのＡＣＰ−Ｃを抽出するとともに、異種アクセス回線情報データベース（後述）から、当該ＭＨの在圏位置において利用可能なアクセス回線種別情報（在圏位置を示すエリアコードに対応する適用アクセス回線情報）を抽出する。なお、在圏位置の検出は、既存の携帯電話網で適用されている手法（位置登録手順）を採用することができる。
そして、ＡＣＳは、ＡＣＰ−Ｃに記載されたＳＡＬのアクセス回線種別と、異種アクセス回線データベースから抽出されたアクセス回線種別とを照合することで、ＭＨの在圏位置でＭＨが利用可能なアクセス回線種別を選定する（ステップＳ７）。
なお、ＡＣＰ−Ｃがアクセス回線間の優先順位等の付帯条件を含んでいる場合には、付帯条件に従って、少なくとも１つのＳＡＬのアクセス回線種別が選択されるように構成することができる。例えば、データベース間で合致する複数のアクセス回線種別がある場合に、優先順位が最も高いアクセス回線が選出されるように構成することができる。
その後、ＡＣＳは、ＡＣＳ要求メッセージで特定されたＭＨに関するＡＣＰ（ＡＣＰ−Ｃ及びＡＣＰ−Ｖ）を含むＡＣＳ応答メッセージを生成し、ＡＡＡに返す（ステップＳ８）。ＡＣＳ応答メッセージに含まれるＡＣＰは、ＡＣＰ−Ｃと、ＰＡＬに対応するＡＣＰ−Ｖと、選定されたアクセス回線種別（ＳＡＬ）に対応するＡＣＰ−Ｖとを含んでいる。ここでは、例として、ＡＣＳ応答メッセージは、ＰＡＬと１つのＳＡＬのそれぞれに対応するＡＣＰ−Ｖを含んでいるものと仮定する。
ＡＡＡは、ＡＣＳ応答メッセージを受信すると、ＡＣＳ応答メッセージに含まれたＡＣＰのうち、ＡＣＰ−Ｃを自身が保有する記憶装置上の管理テーブルに格納する（ステップＳ９）。
続いて、ＡＡＡは、ＡＣＳ応答メッセージ中の複数のＡＣＰ−Ｖを、このＡＣＰ−Ｖと関連付けられたアクセス回線（ＰＡＬ及びＳＡＬのそれぞれに相当するアクセス回線）を収容するＥＮにそれぞれ送達する。即ち、ＡＡＡは、ＳＡＬのＡＣＰ−Ｖを対応するＥＮ（ＥＮ−２）に送信する（ステップＳ１０）。
ＥＮ−２は、ＳＡＬのＡＣＰ−Ｖを受信すると、ＥＮ−２内の記憶装置上に用意された管理テーブルの管理エントリにＡＣＰ−Ｖを格納するとともに、ＥＮ−２に対応するＡＰ−２で参照すべき情報（ＡＣＰ−Ｖのサブ情報；例えば、無線区間の（ＭＨ−ＡＰ２間）で使用されるパケットの暗号化鍵）を抽出し、ＡＰ−２に送達する（ステップＳ１１）。
ＥＮ−２の配下のＡＰ−２（ＭＨに対するパケット送信可否の制御を行う）は、ＭＨに関するＡＣＰ−Ｖに含まれたサブ情報を利用許可情報として受領し、格納する。これによって、ＡＰ−２は、ＭＨからのＳＡＬに対するアクセスを許可できる状態となる。
また、ＡＡＡは、ＰＡＬに対応するＡＣＰ−Ｖを、ＥＮ−１に送信する（ステップＳ１２）。ＥＮ−１は、ＰＡＬのＡＣＰ−Ｖを受信すると、ＥＮ−２と同様の動作を行い、ＥＮ−１に対応するＡＰ−１で参照すべき情報（ＡＣＰ−Ｖのサブ情報：例えば、無線区間の暗号化鍵）をＡＰ−１に送信する（ステップＳ１３）。ＥＮ−１配下のＡＰ−１（ＭＨとの間でパケット送信可否の制御を行う）は、ＭＨに関するＡＣＰ−Ｖのサブ情報を受領し格納する。これによって、ＡＰ−１は、ＭＨからのＰＡＬに対するアクセスを許可できる状態となる。
なお、ステップＳ１０及びＳ１１の動作と、ステップＳ１２及びＳ１３の動作とは、夫々一組の動作である。また、ＡＣＰ−Ｖの送信先の数は、ＡＣＳの判定条件（アクセス回線の選出数）に依存する。また、ＡＣＰ−Ｖは、ＡＣＳから直接対応する各ＥＮへ送信されるようにしても良い。また、ＥＮからＡＰへ送信されるサブ情報（アクセス許可メッセージ）は、ＥＮが予め保持していても良く、ＥＮがＡＡＡから送信されるサブ情報をＡＰへ転送するようにしても良い。
ところで、ＡＡＡは、認証処理を行うと、ＰＡＬ及びＳＡＬに対する利用許可情報（例えばパケット暗号化鍵）を含む認証応答（認証確認）メッセージを生成し、ＭＨへ送信する。認証応答メッセージは、ＥＮ−１及びＡＰ−１（ＰＡＬ）を介してＭＨへ転送され、ＭＨに受信される。
ＭＨは、認証応答メッセージを受信すると、これから利用許可情報を取り出し、保持および管理する。そして、ＭＨ内のＳＡＬのアクセス回線制御機能は、ＳＡＬの利用許可情報を利用して、ＳＡＬを利用した通信を行うことができる。
図７は、ＭＨから送出される認証要求メッセージのパケット（認証要求パケット）の例を示す図である。図７において、認証要求パケットは、ペイロードとして、ＰＡＬ用の認証情報に加えて、ＳＡＬ用の認証情報を含んでいる。
ＳＡＬ用認証情報は、ユーザ識別情報（例えば、ユーザ名，パスワード等；図示せず）の他、ＳＡＬのアクセスポイント番号と、ＳＡＬ用アドレスとを含むことができる。ここで、在圏位置で利用可能な複数のＳＡＬがある場合には、各ＳＡＬに応じたＳＡＬ用認証情報がペイロードとしてセットされる。
ＳＡＬのＡＰ番号は、ＳＡＬのアクセスポイントを識別するための番号である。ＳＡＬ用アドレスは、ＳＡＬ経由のパケットの宛先アドレスに相当するＭＨのアドレス（例えば、Ｍｏｂｉｌｅ ＩＰであれば気付アドレス）である。ＰＡＬ用認証情報の内容は、ＳＡＬ用認証情報とほぼ同様である。
なお、第１のアクセス認証方式では、ＰＡＬの認証要求メッセージにＳＡＬの認証用情報が付加されれば良い。このため、ＰＡＬの種別（タイプ）は問わない。
このように、ネットワークアクセス制御システムによれば、特定のアクセス回線に対する認証を他のアクセス回線の認証手順と統合し、双方のアクセス回線の認証を実質的に同時に行う。
これによって、特定のアクセス網が独自の認証システムを持たない場合であっても、既存の他のアクセス回線の認証システムを利用して認証を行うことができる。従って、網側では、アクセス網（アクセス回線）を異種間で切り替える場合に、切替先のアクセス網についての認証手順を独自の認証システムを使用しなくても切替を行うことができる。また、特定のアクセス網をコアネットワークのアクセス網として導入する場合に必要なコストの低減を図ることができる。
〈４〉第２のアクセス認証方式（図５，図８）
次に、本発明によるネットワークアクセス制御システムによる第２のアクセス認証方式（以下、「第２の方式」という）について説明する。
第２の方式は、ＰＡＬの認証と連携しないＳＡＬの認証に係る処理である。即ち、第２の方式は、複数のアクセス回線を利用可能なＭＨに対する、ＭＨが利用可能な複数のアクセス回線の接続認証手段である。第２の方式では、或るアクセス回線（例えばＰＡＬ）用の接続認証手順を１以上の他のアクセス回線（例えばＳＡＬ）との間で共通に利用可能とする統合された認証手順（第１の方式）において、他のアクセス回線の認証要求を送出可能な契機として、或るアクセス回線の認証手順を利用しながらもこのアクセス回線の認証契機から独立して他のアクセス回線に係る認証要求をネットワークへ送信する。これによって、或るアクセス回線の接続認証と他のアクセス回線の接続認証とを各々必要に応じて独立に実行することを可能にする。
第１のアクセス認証方式は、ＰＡＬ及びＳＡＬの接続認証を例えばＰＡＬの認証契機（認証セッションの開始タイミング）に統合してＰＡＬ用の認証手順（ＰＡＬの認証プロトコル）で実行する。この第１のアクセス認証方式は、主に、ＭＨの電源投入時等、ＭＨが新規にＰＡＬ及びＳＡＬの接続認証（登録要求）を必要とする場合の動作形態である。
ところで、個々のアクセス回線についての認証セッションの有効期間が互いに異なる場合が想定される。例えば、ＰＡＬの認証セッションの有効期間が１０分であるのに対し、ＳＡＬの認証セッションの有効期間が５分である場合のように、ＳＡＬの認証セッションの有効期間がＰＡＬの認証セッションの有効期間よりも短い場合がある。この場合、第１のアクセス認証方式によりＰＡＬ及びＳＡＬの認証が実質的に同時に行われ、その後、ＭＨが第１のアクセス認証方式に依って次のＰＡＬ及びＳＡＬの認証要求メッセージを送出するまでの間に、ＳＡＬの認証セッションの有効期間が満了し、ＳＡＬを用いた通信が途絶えてしまう可能性がある。
上記した問題を回避するために、ＭＨは、次回のＰＡＬに対する認証要求メッセージ送出処理を待たずに、独自にＳＡＬの認証要求メッセージを生成し送出する。ＳＡＬの認証は、第１の方式と同様に、ＰＡＬの認証手順において行われる。
ＭＨがＰＡＬ及びＳＡＬの双方を利用可能である場合において、以下の機能により第２の方式を実現することができる。
ＭＨ側（ユーザ側）の能力として、ＭＨは、認証要求メッセージ送出機能と、認証応答メッセージ処理機能とを持つ。第２の方式における認証要求メッセージ送出機能は、ＰＡＬのプロトコル制御機能として、ＰＡＬだけでなく共存する他のＳＡＬに関する認証情報（ＭＨ内に保持されている）を含むＰＡＬの認証要求メッセージとは別のメッセージ（「独自メッセージ」と称する）をＰＡＬの認証手順に従って送出する機能を持つ。
認証応答メッセージ処理機能は、ＰＡＬの認証プロトコル制御機能として、独自メッセージに対するＳＡＬの認証応答を含むメッセージをＰＡＬの認証手順に従って受信し、これに含まれるＳＡＬの利用に関する情報（例えば、パケット暗号化鍵）を抽出し、これをＭＨの内部に保持（キャッシュ）する。
一方、網側の能力として、次の機能を持つ。
・ＡＡＡが持つ認証プロトコル制御機能において受信するＭＨからの独自メッセージに含まれたＳＡＬの認証情報を用いて認証処理を行い、認証結果が正当であれば、ＭＨにＳＡＬ用の認証情報（利用許可情報）を含む認証確認メッセージをＰＡＬの認証手順に従って送信する機能。
・ＳＡＬを収容するアクセスポイントＡＰ（ＡＰ−２）に対して、認証されたＭＨのアクセスを可能にする機能。
第２のアクセス認証方式を図５を用いて説明する。
ＭＨは、自身がＳＡＬに接続可能であることを感知すると、ＰＡＬの認証プロトコル制御機能により、ＳＡＬ用の認証情報を含む認証要求メッセージ（独自メッセージ）をＡＡＡ／ＡＣＳへ送信する（図５；（１））。
ＡＡＡ／ＡＣＳは、ＭＨからの独自メッセージを受信し、ＳＡＬの認証動作を行う。このとき、ＭＨがＳＡＬにもアクセス可能であることを感知する（図５；（２））。
ＡＡＡ／ＡＣＳは、ＳＡＬの認証結果が正当である場合、ＳＡＬのアクセスポイントＡＰ−２に対して、ＭＨのアクセス許可を命じるメッセージをＥＮ−２を介して送信する（図５；（３））。
ＡＡＡ／ＡＣＳは、ＰＡＬ経由で、ＳＡＬの認証が行われたことを応答する（図５；（４））。これ以降、ＭＨは、ＳＡＬを用いて通信を行うことができる（図５；（５））。
図８は、第２の方式において使用される認証要求パケット（独自メッセージ）の例を示す図である。図８において、ＳＡＬ用認証情報として、ユーザ識別情報（図示せず）の他、アクセスポイント番号として、加入者が認証を行うＳＡＬのＡＰを識別する番号が記載される。また、ＳＡＬ用アドレスとして、ＳＡＬを経由するパケットの宛先アドレスに等しいアドレス（例えば、Ｍｏｂｉｌｅ ＩＰであれば気付アドレス）が記載される。
一方、ＰＡＬの識別情報として、通常のＰＡＬを識別する情報（例えば、ＰＳＴＮ（Ｐｕｂｌｉｃ Ｓｗｉｔｃｈｅｄ Ｔｅｌｅｐｈｏｎｅ Ｎｅｔｗｏｒｋ：加入者電話網）であればＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ：個人認証用の数字列），或いはＮＡＩ等）が記載される。
なお、第２の方式はＰＡＬの認証メッセージのフォーマットにＳＡＬ用の認証情報を記載すれば良い。このため、ＰＡＬの種類は問わない。
第２の方式により、ＰＡＬとＳＡＬとで認証セッションの有効期間が異なる場合であっても、ＰＡＬの認証周期から独立してＳＡＬの認証セッションを更新し、ＳＡＬの利用を継続することができる。
〈５〉認証サーバおよびアクセス制御サーバ（図９，１０，１１）
次に、上述した認証サーバ（ＡＡＡ），アクセス制御装置（アクセス制御サーバ：（ＡＣＳ）、並びにＡＡＡおよびＡＣＳの連携による複数のアクセス回線の連携について説明する。
ＡＡＡおよびＡＣＳは、個々のユーザ（ＭＨ）の在圏位置において、現在利用中のアクセス回線、および、ＭＨに関する一定の条件が満たされる場合に移行可能なアクセス回線との関連を認識し、アクセス回線間の移行を起動する。これらは、移行条件が整った場合に、移行先のアクセス回線をＣＮ側で収容しているＥＮに対して、当該ＭＨに関するアクセス制御プロファイル（ＡＣＰ−Ｖ）を自動生成し、これを配布する。
図９（Ａ）および（Ｂ）は、認証サーバＡＡＡおよびアクセス制御サーバＡＣＳの構成例を示す機能ブロック図であり、図１０は、異種アクセス回線間連携情報データベースの内容例を示すテーブルである。
図９（Ａ）に示すように、ＡＡＡは、認証サーバ機能として、ユーザ認証機能（ユーザ認証部）１１と、アクセス回線情報抽出部１２と、ＡＣＳメッセージ制御部１３とを備えている。ユーザ認証機能１１は、認証サーバとしての一般的な機能（ユーザ認証機能）を司る。アクセス回線情報抽出部１２は、ＰＡＬの認証要求メッセージ（又は独自メッセージ）に含まれる、認証対象のアクセス回線に係る情報（アクセス回線情報；加入者識別情報，アクセス回線種別，ＭＨの在圏位置（エリアコード）等を含む）を抽出する。ＡＣＳメッセージ制御部１３は、抽出されたアクセス回線情報をＡＣＳに通知する為のメッセージ（ＡＣＳ要求メッセージ）を構成し、これをアクセス制御サーバ（ＡＣＳ）に向けて送出する。また、ＡＣＳメッセージ制御部１３は、ＡＣＳからのＡＣＳ応答メッセージを受信する。
一方、ＡＣＳは、アクセス制御サーバ機能として、ＡＣＳメッセージ処理部（プロトコル制御）１４と、アクセス制御プロファイル（ＡＣＰ）生成部１５と、アクセス制御プロファイル（ＡＣＰ）送出部１６と、アクセス制御情報データベース（ＡＣＰ−ＤＢ）１７と、異種アクセス回線間連携情報データベース１８とを備える。
ＡＣＳメッセージ処理部１４は、ＡＡＡとの間で、ＡＣＰ要求メッセージ受信，ＡＣＰ応答メッセージ送信に使用するメッセージおよびプロトコル制御を行う。ＡＣＰ生成部１５は、ＭＨが利用（認証）を要求するアクセス種別に対して、現在利用可能な条件を決定する。ＡＣＰ送出部１６は、ＡＣＰのメッセージ変換（ＡＣＰの生成）を行う。ＡＣＰ−ＤＢ１７は、ＭＨ単位のＡＣＰを格納・管理しているデータベース機能である。異種アクセス回線間連携情報データベース１８は、キャリアが規定している管理対象の単位エリアで利用可能なアクセス回線に関する情報セットをデータベースとして管理している。
図１０に示すように、異種アクセス回線連携情報データベース１８は、例えば、ＰＡＬのエリアコードと、対応するエリアコード内で利用可能な他のアクセス回線を示す適用アクセス回線と、収容加入者数とを要素とするエリアコード毎の１以上のレコードから構成することができる。
なお、図９（Ａ）に示すＡＡＡおよびＡＣＳの機能は、図９（Ｂ）に示すような構成例により特定することもできる。図９（Ｂ）は、ＡＡＡおよびＡＣＳの機能を備えるアクセス制御装置（ＡＡＡ／ＡＣＳ）を示しており、ＡＡＡ／ＡＣＳは、ユーザ認証機能１９と、メッセージ処理部２０と、プロトコル制御部２１と、アクセス制御部２２と、ユーザ・端末データベース２３とを備える装置として特定されている。
メッセージ処理部２０は、図９（Ａ）に示すＡＣＳメッセージ処理部１４およびＡＣＰ送出部１６に相当する。また、プロトコル制御部２１およびアクセス制御部２２は、図９（Ａ）に示すＡＣＰ生成部１５およびＡＣＰ送出部１６に相当する。そして、ユーザ・端末データベース２３は、図９（Ａ）に示すＡＣＰ−ＤＢ１７および異種アクセス回線間連携情報データベース１８に相当する。
次に、ＰＡＬが第３世代携帯電話網（例えば、Ｗ−ＣＤＭＡ網）であり、ＳＡＬがＩＥＥＥ８０２．１１ｂ網である場合を仮定し、さらに、ユーザがＰＡＬにアクセス可能な地域からＰＡＬとＳＡＬとの双方にアクセス可能な地域に移動した場合におけるＡＡＡおよびＡＣＳの動作例を説明する。
図１１は、ＡＡＡおよびＡＣＳの処理を示すフローチャートである。図１１において、最初に、ＡＡＡは、ＭＨからの認証要求メッセージ（ＳＡＬの認証情報を含んでいる）を受信する（ステップＳ００１）。すると、ＡＡＡのユーザ認証部は、認証要求メッセージから認証情報を抽出して認証処理を行う（Ｓ００２）。また、アクセス回線情報抽出部は、認証要求メッセージから認証対象のアクセス回線情報を抽出し（Ｓ００３）、ＡＣＳメッセージ制御部は抽出されたアクセス回線情報を含むＡＣＳ要求メッセージを生成してＡＣＳへ送信する。
ＡＣＳ要求メッセージは、ＡＣＳのＡＣＳメッセージ処理部で受信され、ＡＣＰ生成部に渡される。ＡＣＰ生成部は、ＡＣＳ要求メッセージに含まれたアクセス回線情報を用いてＡＣＰ−ＤＢおよび異種アクセス回線間連携情報データベースを参照し、ユーザの在圏位置やユーザの加入契約における利用条件（ＡＣＰにおける規定内容）等の所定の条件に基づいて、ユーザのＳＡＬへのアクセスの可または不可（ＳＡＬの利用可否）を判定する（Ｓ００４）。
ＡＣＰ生成部がＭＨに対しＳＡＬの利用を許可できる場合には、ＡＣＰ送出部は、ＰＡＬおよびＳＡＬに対する各ＡＣＰ−Ｖを生成し（Ｓ００５）、これを含むＡＣＳ応答メッセージを生成する。このとき、ＡＣＰ−Ｖに規定されるサービス内容に応じたアクセス回線の選択基準もＡＣＰ−Ｖに記載することができる。ＡＣＳ応答メッセージは、ＡＣＳメッセージ処理部からＡＡＡへ送信される。
ＡＡＡのＡＣＳメッセージ制御部がＡＣＳ応答メッセージを受信すると、アクセス回線情報抽出部は、この応答メッセージに含まれた各ＡＣＰ−Ｖを抽出する。ＡＡＡは各ＡＣＰ−Ｖを対応するＥＮへそれぞれ送信する（Ｓ００６）。また、ユーザ認証機能は、ＰＡＬおよびＳＡＬの利用許可情報を含む認証応答メッセージをＰＡＬを介してＭＨへ送信する（Ｓ００７）。また、ＡＡＡは、ＭＨに対するＰＡＬおよびＳＡＬの利用を許可するための情報を含むメッセージをこれらに対応する各ＡＰへ送信する（Ｓ００８）。
なお、上述した処理において、ＥＮへのＡＣＰ−Ｖの送信処理およびＡＰへの利用許可情報の送信処理はＡＣＳ側で行うようにしても良い。また、ＡＡＡは、ＡＣＳでアクセスが許可されたアクセス網（アクセス回線）についてのみ認証処理を行うようにしても良い。また、ＡＣＳでアクセスの不可が判断された場合には、ＡＡＡがそのアクセス回線についての認証否認メッセージをＭＨに送信するようにしても良い。
図３５は、図９（Ｂ）に示すような、アクセス制御装置（ＡＡＡ／ＡＣＳ）の動作を示すシーケンス図である。
図３５において、最初に、メッセージ処理部（メッセージ受信部）２０が、ＭＨからの認証要求メッセージ（図７参照）を受信する（Ｓ１１１）。すると、メッセージ処理部１１１は、アクセス制御部２２に対し、当該認証要求メッセージを渡す（Ｓ１１２）。
すると、アクセス制御部２２は、認証要求メッセージをユーザ認証機能（認証サーバ機能）１９に渡す（Ｓ１１３）。すると、ユーザ認証機能１９は、ユーザ・端末データベース２３を参照し（Ｓ１１４）、ユーザ認証処理を行う（Ｓ１１５）。ユーザ認証機能１９は、ユーザ認証処理の結果を、ユーザ認証応答として、アクセス制御部２２に返す（Ｓ１１６）。
すると、アクセス制御部２２は、ユーザ・端末データベース２３に保持されている、認証要求メッセージの要求元のユーザについてのＡＣＰ（ＡＣＰ−Ｃ，ＡＣＰ−Ｖ）を参照する（Ｓ１１７）。そして、アクセス制御部２２は、当該ユーザのアクセス回線に対するアクセスの可／不可を判断する（Ｓ１１８）。
当該ユーザに対し、アクセス回線の利用を許可できる場合、アクセス制御部２２は、その旨をプロトコル制御部２１に通知する（Ｓ１１９）。すると、プロトコル制御部２１は、対応するＥＮに通知すべきアクセス制御プロファイル（ＡＣＰ−Ｖ）と、アクセス回線の使用に際して使用する（パケットの）暗号化／復号化鍵を生成する（Ｓ１２０）。そして、プロトコル制御部２１は、生成されたＡＣＰ−Ｖ及び暗号化／復号化鍵をメッセージ処理部２０に渡す（Ｓ１２１）。
すると、メッセージ処理部２０は、ＡＣＰ−Ｖ及び暗号化／復号化鍵を、利用が許可されたアクセス回線を収容するＥＮへ向けて送信する（Ｓ１２２）。続いて、メッセージ処理部２０は、暗号化／復号化鍵を含む認証応答メッセージ（図３１参照）を生成し、当該ユーザの端末（ＭＨ）へ向けて送信する（Ｓ１２３）。認証応答メッセージは、主要アクセス回線（ＰＡＬ）経由で、当該ＭＨに到着する。
上述した手順におけるＳ１１７〜Ｓ１２３の詳細（回線選択手順の例）は、次の通りである。
〈手順１〉 Ｓ１１８において、アクセス制御部２２は、データベース２３中のＡＣＰ−Ｃ（図３参照）の項番１の「加入者識別情報」を参照し、当該ＡＣＰ−Ｃが、認証要求メッセージの要求元のユーザ（端末）のプロファイルであることを確認する。
〈手順２〉 Ｓ１１８において、手順１の確認が正常に終了（プロファイルと端末の識別情報とが合致）したら、アクセス制御部２２は、当該ＡＣＰ−Ｃの項番２の「利用可能アクセス回線」を参照する。ここでは、例えば、主要アクセス回線として“ＰＨＳ（Ｐｅｒｓｏｎａｌ Ｈａｎｄｙ ｐｈｏｎｅ Ｓｙｓｔｅｍ）”が利用可能であり、且つ副次アクセス回線として“公衆無線ＬＡＮ”が利用可能であることを認識したと仮定する。
〈手順３〉 Ｓ１１８において、アクセス制御部２２は、次に、ＡＣＰ−Ｃの項番３の「選択優先順位」を参照し、当該ユーザが接続を希望する回線の優先順位として、例えば、第１候補として公衆無線ＬＡＮを使用し、第２候補としてＰＨＳを使用する契約内容であることを認識する。但し、ユーザに接続（アクセス）を許可する回線の最終的な決定にあたっては、ネットワーク運用者は、公衆無線ＬＡＮのアクセス回線に空きがあることを確認しておく必要がある。
〈手順４〉 手順３において、例えば、当該ユーザに対して公衆無線ＬＡＮの提供（使用）が可能と判断する条件が揃った場合、当該ユーザに対し、網側から無線ＬＡＮのパケット暗号化／復号化鍵が配布されることで、アクセスが許可される（Ｓ１１９〜Ｓ１２３）。このとき、Ｓ１２０において、当該許可の時点から所定のアクセス有効期間の終了する時刻がプロファイル（ＡＣＰ−Ｖ）内に設定される。
〈６〉課金対象情報収集機能の共通化（図１２）
次に、キャリアがＳＡＬとして導入するアクセス回線（例えば、公衆無線ＬＡＮサービス）における利用量に対して課金する方法（ＳＡＬの従量課金方法）について説明する。
定額制以外の課金方法として、所定の計測単位（アクセス認証時間、パケット送受信量等）を測定し、認証時間やパケット量に応じた従量課金を行うことができる。このとき、ＳＡＬ毎に専用の課金機構を用意することなく、キャリアがＰＡＬについて既に構築している課金システムをＳＡＬの課金に利用する。これによって、ＣＮに対する新規のアクセス網を導入しやすくし、運用コストの低減を図ることができる。
本実施形態では、網側に次の機能を付加することによって、ＰＡＬとＳＡＬの課金情報を共通化する。即ち、ＡＡＡは、認証サーバおよび課金サーバとして機能し、ＳＡＬの認証時にＳＡＬを収容するＥＮにＭＨの識別情報と課金条件とを送信する機能を持つ。課金条件は、課金対象，課金単位，課金単価を含むことができる。
課金条件として、たとえば、ＳＡＬを用いたＭＨのパケット通信が課金対象として指定され、パケットの送受信量が課金単位として指定され、単位パケット量あたりの料金が課金単価として指定される。ＥＮには、少なくとも課金条件中の課金単位が通知される。なお、課金対象として、特定のプロトコルによるパケットを課金対象として指定することもできる。
一方、ＳＡＬを収容するＥＮは、ＡＡＡから受信するＭＨの識別情報及び課金条件（少なくとも課金単位）に基づいて、課金単位に応じた量（例えば、パケット送受信量）を計測する機能を持つ。さらに、ＳＡＬを収容するＥＮは、計測した課金単位に応じた量を課金情報としてを定期的にＡＡＡに送信する機能を持つ。
図１２は、ＳＡＬの従量課金に係る動作例を示す図である。図１２を用いて動作例を説明する。
ＡＡＡは、ＳＡＬの認証時において、ＳＡＬを収容するＥＮ（ＥＮ−２）に対し、対応するＭＨの識別情報および課金単位（パケット送受信量）を示す情報を送信する（図１２；（１））。これらの情報は、ＡＣＰ−Ｖに含めることができる（図４，「６．課金条件」参照）。
その後、ＭＨがＳＡＬを用いてパケット通信を行うと、ＥＮ−２は、ＡＡＡから受け取ったＭＨの識別情報を用いてＭＨを特定し、このＭＨに係る課金単位の情報に基づいて、当該ＭＨのパケット通信におけるパケット送受信量を計測する（図１２；（２））。このように、エッジルータは、パケット送受量等の課金単位に基づく量をカウントする。カウントするパケットの条件は、ＡＣＰ−Ｖによって設定された内容によって決定することができる。
そして、ＥＮ−２は、ＡＡＡに対し、定期的にパケット送受信量を含む課金情報（計測されたパケット送受信量）を送信する（図１２；（３））。ここで送信される課金情報の例を図３０に示す。図３０に示すように、課金情報は、例えば、ユーザの識別情報（例えばＮＡＩ），適用アクセス回線の種別，パケット送受信量（例えばパケット数）を含むレコードとして構成される。
ＡＡＡは、当該ＭＨに対する課金条件の情報（課金対象、課金単位および課金単価）を有しており、ＥＮ−２から課金情報を受け取ると、課金単価の情報を用いて、ＭＨに対するＳＡＬの利用に係る料金を算出する。図３０に示す例では、ＡＡＡは、パケット数に課金単価を乗じて、課金額を算出する。
このようにして、ＳＡＬとして規定されたアクセス回線の使用に対し、ＰＡＬに対して用意されている既存の課金システム（ＡＡＡおよびＥＮ）が課金処理を行う。従って、ＳＡＬ用の課金システムをＰＡＬとは別個に予め用意する必要がない。
なお、上述したように、識別情報および課金条件の送信処理は、ＡＡＡが識別情報および課金条件を含むＭＨのユーザに対するＳＡＬ用のＡＣＰ−ＶをＥＮ−２に送信することで行うようにしても良い。
〈７〉エッジノード装置（図１３，１４）
次に、エッジノード装置（ＥＮ）について説明する。エッジノード装置は、ＣＮのエッジ部分に配備され、一般的なルータ機能に加えて、ＭＨ単位のアクセス制御を実施する。エッジノード装置は、アクセス回線種別毎に少なくとも１つ配備される。但し、地理的又は収容人口密度的に規定される一範囲の加入者地域ごとに配備することもできる。
エッジノード装置は、大略して、エッジルータ機能と、アクセス制御プロファイル送達メッセージプロトコル制御機能（ＡＣＳ送達メッセージ制御機能）と、アクセス制御プロファイル保持格納機能（ＡＣＳ保持格納機能）と、アクセス認証情報管理機能と、アクセスフィルタ機能と、個別条件パケット転送機能とを備える。
エッジノード機能は、ルータが一般的に持つ機能（パケットのルーティング，フォワーディング等）を司る機能である。
ＡＣＳ送達メッセージプロトコル制御機能は、ＡＣＳ又はＡＡＡから送達される、個々のＭＨのＡＣＳを含むメッセージ（ＡＣＳ送達メッセージ）に係る処理を制御する機能であり、ＡＣＳ送達メッセージを受信し、これを解析し、ＡＣＳを抽出する。
ＡＣＳ保持格納機能は、ＡＣＳ送達メッセージプロトコル制御機能によって抽出されたＡＣＳをＥＮ内に一定の有効期間だけ保有するための記憶手段およびその管理機能である。ＡＣＳの管理機能は、例えば、有効期限等の条件に従って各ＡＣＳを管理（例えば、有効期限を過ぎたＡＣＳを削除）する。
アクセス認証情報管理機能は、ＡＡＡから送信される認証情報（認証結果等）に基づいて、ＭＨに対するアクセスの可・不可をＭＨ毎に管理する機能である。
アクセスフィルタ機能は、アクセス認証情報管理機能と連携し、ＭＨのアクセスが不可であればそのＭＨに係るパケットを棄却（破棄）する機能である。
個別条件パケット転送機能は、ＡＣＳ保持格納機能と連携し、ＡＣＳに記載されたパケットの転送条件（移行条件）に従って該当ＭＨのパケットを所定の宛先に転送する機能である。
図１３は、エッジノード装置の構成例を示す図である。図１３において、エッジノード装置（ＥＮ）は、メッセージ送受信部２４と、プロトコル制御部２５と、アクセス制御部２６と、サービス情報管理部２７とを備える。これらは、エッジノード装置に搭載されるプロセッサ（メモリを含む）が所定のプログラムを実行することによって実現することができる。
メッセージ送受信部２４は、エッジノード機能を実現する。また、メッセージ送受信部２４は、サービス情報管理部２７からの情報を元に、個別条件パケット転送機能を司る。プロトコル制御部２５は、ＡＣＳ送達メッセージプロトコル制御機能を実現する。アクセス制御部２６は、アクセスフィルタ機能を実現する。サービス情報管理部２７は、ＡＣＳ保持格納機能、アクセス認証情報管理機能を実現する。
図１４は、図１３に示した構成を持つエッジノード装置でのＡＣＳの受信処理を示すシーケンス図である。図１４を用いて、或るＭＨのユーザがＰＡＬ（例えばＷ−ＣＤＭＡ網）にアクセス可能な地域からＰＡＬおよびＳＡＬ（例えばＩＥＥＥ８０２．１１ｂ網）にアクセス可能な地域に移動してきた場合におけるエッジノード装置の動作例を説明する。
ＭＨがＰＡＬおよびＳＡＬの認証手順を行い、双方について認証許可を受けると、ＡＡＡ又はＡＣＳは、ＰＡＬおよびＳＡＬをそれぞれ収容する各エッジノード装置に、当該ＭＨおよびアクセス回線種別に応じたＡＣＰ（ＡＣＰ−Ｖ）を含むメッセージ（ＡＣＰ送達メッセージ）を送信する。
ＰＡＬおよびＳＡＬをそれぞれ収容する各エッジノード装置では、ＡＣＰ送達メッセージをメッセージ送受信部２４が受信し（Ｓ０１１）、プロトコル制御部２５に渡す（Ｓ０１２）。プロトコル制御部２５は、メッセージを解析し、ＡＣＰ−Ｖをメッセージから抽出し、ＡＣＰ−Ｖに記述されたアクセス制御の内容（サービス情報）をアクセス制御部２６およびサービス情報管理部２７に設定（格納）する（Ｓ０１３）。例えば、アクセス制御の内容がＰＡＬのＥＮが受信したＭＨ宛のパケットをＳＡＬのＥＮに転送する場合には、プロトコル制御部２５は、そのような設定をアクセス制御部２６およびサービス情報管理部２７に設定する。
その後、メッセージ送受信部２４は、ＭＨ宛のパケットを受信すると（Ｓ０１４）、アクセス制御部２６および／またはサービス情報管理部２７に設定されたアクセス制御の内容を参照して、適切な処理を行う（Ｓ０１５）。例えば、ＭＨ宛のパケットをＰＡＬのＥＮが受信した場合には、メッセージ送受信部２４は、アクセス制御部２６によるアクセス制御内容及びサービス情報管理部２７で管理されるサービス情報を参照し、これらに基づいて、そのパケットをＳＡＬのＥＮに転送し、ＳＡＬのＥＮがＳＡＬを介してパケットをＭＨへ転送する。また、ＰＡＬおよびＳＡＬの各ＥＮに設定されるアクセス制御の内容により、例えば、パスワードの入力時はＰＡＬを通じて通信を行い、それ以外のパケットはＰＡＬのＥＮからＳＡＬのＥＮにパケットを転送するような制御を行うことができる。
〈８〉他ネットワーク業者からのローミングに対するアクセス制御（図１５）
他事業者の無線ホストを契約し利用するユーザに対して、ローミングユーザとして、無線通信方式に互換性のある自網のアクセス回線を利用させる場合がある。この場合のアクセス認証方式として、当該ローミング移動ホストのアクセス認証を他キャリア網から自キャリア網の認証装置に転送させ、ローミングユーザ専用の一時的なアクセス制御プロファイルを発行することで、一時的に自ネットワークのアクセス回線の利用を許容する。
ＭＨがＰＡＬおよびＳＡＬの双方を双方利用可能である場合に、以下の機能により本項の認証方式が可能となる。
ＭＨの能力として、ＭＨは次の機能を持つ。
・ＰＡＬのプロトコル制御機能として、自身だけでなく共存する他のＳＡＬに関する認証情報（ＭＨ内に保持されている）を送出する機能。
・ＰＡＬの認証プロトコル制御機能として、ＳＡＬ用の認証応答メッセージの受信とこれに含まれるＳＡＬの利用に関する情報（例えば、パケット暗号化鍵）を抽出して、これをＭＨ内部に保持（キャッシュ）する機能。
網側能力（ローミング元）は、次の機能を持つ。
・ＡＡＡが持つ「認証プロトコル制御機能」によって受信した、ＳＡＬの認証要求メッセージで認証を行い、ローミング先にＳＡＬ用の認証結果を送信する機能。さらにローミング元から受信した、ＭＨへのアクセス可能通知をＭＨに転送する機能。
また、網側能力（ローミング先）は、ローミング元から受信したＳＡＬ用の認証結果を元に、ＳＡＬを収容するＡＰに対して、認証されたＭＨを利用可能にする機能を持つ。
図１５は、他のＮＯＰからのローミングに対するアクセス制御の動作例を示す図である。図１５に示された動作例の内容は次の通りである。
ＭＨは、他のキャリアのネットワーク（ローミング元ネットワーク）に加入契約しているユーザのＭＨである。ＭＨは、ローミングによりＰＡＬおよびＳＡＬを利用可能な場所において、ＳＡＬに接続可能であることを既存の手法により感知すると、ＳＡＬの認証要求メッセージをＰＡＬ経由でローミング元のネットワークにおける認証サーバに送信する（図１５；（１））。このとき、認証要求メッセージとして、上述した第１および第２の手法において適用される認証メッセージ（図７，図８参照）のフォーマットを適用することができる。
ローミング元の認証サーバは、ＳＡＬの認証要求に対する認証時に、ＭＨがＳＡＬにもアクセス可能であることを感知する（図１５；（２））。
ローミング元の認証サーバは、ローミング先のネットワーク（ＣＮ）における認証サーバ（ＡＡＡ）に対して認証完了メッセージを送信する（図１５；（３））。なお、アクセス許可を命じる（要求する）メッセージとして、図３１に示すようなメッセージフォーマットを適用することができる。当該メッセージには、端末とアクセスポイント等の間の暗号化／復号化鍵が含まれる場合もある。
ローミング先のＡＡＡは、ＳＡＬを収容するＥＮおよびＡＰに対して、該当ＭＨのアクセス許可を命じるメッセージを送信する（図１５；（４））。
ローミング先のＡＡＡは、ローミング元の認証サーバにＳＡＬの認証が行われたことを応答し（図１５；（５））、ローミング元の認証サーバはＰＡＬ経由でＳＡＬの認証が行われたことを認証応答メッセージの送信によりＭＨに応答する（図１５；（６））。これ以降、ＭＨは、ＳＡＬを用いて通信を行うことができる（図１５；（７））。
〈９〉アクセス回線選択基本方式（図１６）
ネットワークアクセス制御システムは、認証・サービス制御装置において、認証対象ユーザに関するアクセス制御プロファイルの内容および網状態から接続先アクセス回線を判定、許可し、ユーザにこれを通知する。具体的には、複数アクセス回線の連携優先順位（時刻、場所等によって可変）に基づいて、接続すべきアクセス回線を選択する。
本項では、アクセス制御サーバ（ＡＣＳ）における、アクセス回線選択の基本手順について説明する。ＡＣＳは、認証サーバの一部、もしくはこれと連携する装置であり、ユーザ（ＭＨ）に割当てるべきアクセス回線を選定する機能をもつ。
ＡＣＳで実行されるアクセス回線選択論理について説明する。
（９−１）初期登録時：
本ケースは、ＭＨが認証要求メッセージを送出した時点（移動ホストに関して登録要求送出時点）で、認証セッションが存在しない（直近の認証セッションが満了している）場合に相当する。
１．ユーザ（ＭＨ）の認証がＡＡＡによって正常に完了すると、ＡＡＡはＡＣＳにアクセス回線選択依頼（ＡＣＳ要求メッセージ）を送信する。
２．ＡＣＳは、ＭＨの認証手順と連動してＡＣＰ−ＤＢから引き出される、当該ユーザに関するＡＣＰを参照する。
３．このとき、オプション機能として、認証手順においてＭＨから送達される、ＭＨの受信電波強度等の通信状況（通信パラメタ）を合わせてＡＣＳに送達することで、通信状況（網状態）をＡＣＳにおけるアクセス回線の選択論理のパラメタとして利用することができる。
４．ＡＣＳは、ＡＣＰ（および通信パラメタ）に基づいて移行先のアクセス回線を選択する。
５．通信パラメタが選択論理のパラメタとして使用される場合には、ＡＣＳは、移行先のアクセス回線をまず決定して、次に必要に応じて通信パラメタを参照する。
６．選定された移行先のアクセス回線に関して、この通信パラメタを含むアクセス制御個別プロファイル（ＡＣＰ−Ｖ）を生成する。
７．生成されたＡＣＰ−Ｖは、プロファイル送達メッセージにより、該当するエッジノード（ＥＮ）に送達されて、アクセス制御に使用される。
８．もし、選択された回線がＳＡＬである場合には、ＡＣＳはＰＡＬを収容するＥＮに対しても、対応するＡＣＰ−Ｖを送達する。ただし、このときのＡＣＰ−Ｖにおける制御状態（動作状態）は「閉塞状態」、すなわち、現時点においてＰＡＬのＥＮは当該ＭＨのデータ転送に提供されないことを示す。
９．他方、移行元のアクセス回線を収容するＥＮに対して、ＡＣＰ−Ｖをプロファイル送達メッセージにより配布する。ただし、同ＡＣＰ−Ｖの「動作状態」は、移行元送達分は「転送（Ｆｏｒｗａｒｄｉｎｇ）」状態となっている。これは、移行前に当該エッジノードを経由していた移動ホストへのパケットを、移行先のエッジノードに転送することで、移行先のアクセス回線に現在収容されている当該移動ホストにパケットを送達させるものである。
（９−２）回線移行時
本ケースは、ＭＨに有効期間満了前の認証セッションがあり、すでに何らかのアクセス回線を利用中である場合が該当する。
１．ＣＮ内のＡＣＳは、当該ＭＨに関して一定条件下でのアクセス回線の移行を検出（選定）する。これはＡＣＳ内の周期的な監視プログラムとして動作している。ただし、この時点では、ＭＨの最新の状況を把握していないため、ＡＣＳは検出する移行先のアクセス回線をあくまで移行先の候補として検出する。
２．移行先アクセス回線の候補が決定した場合、ＡＣＳは当該ＭＨの周期的な認証要求メッセージのうち、次回の認証要求メッセージの到着を待つ。
３．ＭＨが周期的な認証メッセージを送出すると、このときのＭＨに関するＰＡＬおよびＳＡＬ双方の通信状況（受信電波強度等）が認証要求メッセージ内にパラメタとして組み込まれ、ＡＡＡに到達する。
４．ＡＡＡは、ＭＨの通信状態パラメタを抽出して、これをＡＣＳに送達する。
５．ＭＨの通信状態パラメタを受信したＡＣＳは、この通信状態パラメタを用いて、以前に検出した移行先の候補が利用可能であるか判断する。もし移行が可能であれば（選定した移行先アクセス回線のエリアコードとＭＨの在圏情報が一致するなど）、ＡＡＡは、アクセス回線の移行指示（移行先のアクセス回線種別を含む）を認証応答メッセージに含めてＭＨに通知する。
６．周期登録に対する認証応答メッセージを受信したＭＨは、アクセス回線の移行が指示されたことを認識する。このため、ＭＨ内のプロトコル制御機能は、認証応答メッセージに含まれた移行先のアクセス回線へ、有効なアクセス回線を切り替える。これによって、以後、移行先のアクセス回線での通信が可能になる。
７．一方、ＣＮ内では、ＡＣＳによって選定された移行先のアクセス回線を収容するＥＮ、および移行元のアクセス回線を収容するＥＮに対してそれぞれ対応するＡＣＰ−Ｖをプロファイル送達メッセージにより配布する。ただし、移行元のＥＮへ送達されるＡＣＰ−Ｖの「動作状態」は、「転送（Ｆｏｒｗａｒｄｉｎｇ）」状態となっている。これは、アクセス回線の移行前に当該ＥＮを経由していたＭＨへのパケットを、移行先のＥＮに転送することで、移行先のアクセス回線に現在収容されている当該ＭＨに到達させるためである。
図１６は、本項における制御手順の例を示す図であり、図１７および図１８は、アクセス網の選択機構を示すフローチャートである。
図１７および１８において、ＡＡＡは、ＭＨからの認証要求メッセージを受信し（Ｓ０２１）、通常の認証処理（ユーザ認証メッセージ処理；Ｓ０２２）を行う過程で、利用を許可すべきアクセス網（アクセス回線種別）を判定するために、ＡＣＳに対してアクセス回線種別の決定を依頼する。
具体的には、ＡＡＡは、ＭＨ単位に用意されるＡＣＰ−ＣをＡＣＰ−ＤＢから引き出す（Ｓ０２３）。このとき、ＡＣＰ−Ｃが得られれば（Ｓ０２４；ＹＥＳ）、引き出したＡＣＰ−ＣにＭＨから送達された認証要求メッセージに含まれる移動ホスト情報（通信状態パラメタ；電波状態等）を加えてＡＣＳに通知する。即ち、ＡＡＡは、ＡＣＰ−Ｃ，認証セッションの状態，端末の電波状況等を含むアクセス回線選択依頼をＡＣＳに与える。なお、ＡＣＰ−Ｃがない場合（Ｓ０２４；ＮＯ）には、処理がＳ０２５に進む。
その後、ＡＡＡは、ＡＣＳからのアクセス回線選択依頼に対する応答を待つ。ＡＡＡは、ＡＣＳから、応答メッセージを受信すると、認証セッション管理情報を更新し（Ｓ０２５）、認証応答メッセージを生成する（Ｓ０２６）。即ち、ＡＡＡは、この応答メッセージに含まれるアクセス網情報（当該ＭＨに割当てられたアクセス網（アクセス回線種別）を含むアクセス制御情報）を、認証応答メッセージに含めて端末へ送付する（Ｓ０２７）。その後、ＡＡＡはメッセージ待ち状態に戻る。
一方、ＡＣＳは、ＡＡＡからアクセス網の決定依頼（アクセス回線選択依頼；アクセス制御要求メッセージ）を受けつけると、当該ＭＨの認証セッションの有無を依頼メッセージに含まれた通信状態パラメタから判定する（Ｓ０３２）。このとき、認証セッションが存在する（周期的な更新）場合（Ｓ０３２；ＮＯ）、ＡＣＳは、このＭＨに関するアクセス認証情報を以前に生成済であり、認証セッションと連動して保持していることになる。このため、移動ホストの認証セッションが有効であれば、ＡＣＳは現在使用中のアクセス回線種別を、ＡＣＳ内の管理テーブル（アクセス制御管理テーブル）から引き出し（Ｓ０３４）、最新の移動ホスト状況（利用中のアクセス回線）と対比して（Ｓ０３５）、アクセス網を決定する（Ｓ０３６）。このとき、ＡＡＡは、必要があれば利用中のアクセス回線種別を変更する。
他方、認証セッションが存在しない場合（Ｓ０３２；ＹＥＳ）、すなわち初回登録の場合は単にＭＨから送信されたＭＨの通信状況パラメタ（電波状況等）を参照のうえ、ＡＡＡから送達されたＡＣＰ−Ｃに記載された判定ルールに基づき、アクセス回線種別（アクセス網）を選定又は決定する（Ｓ０３３）。
アクセス網が決定された場合、Ｓ０３７の判定処理を行い、この判定結果に基づいて、決定されたアクセス網側のＥＮに、アクセス網固有の制御情報（ＡＣＰ−Ｖ）を送達する。即ち、ＡＣＳは、Ｓ０３７にてＮＯの判定（選定候補が副次アクセス回線でない場合）を行った場合には、主要アクセス回線用プロファイル配信処理として、ＰＡＬに対するＡＣＰ−Ｖを生成し（Ｓ０４１）、アクセス制御プロファイル送達メッセージを生成し（Ｓ０４２）、対応するＥＮへ向けて送出する（Ｓ０４３）。これに対し、選択されたアクセス網がＳＡＮ（ＳＡＬ）である場合（Ｓ０３７；ＹＥＳ）には、副次アクセス回線用プロファイル配信処理として、ＳＡＬに対するＡＣＰ−Ｖを生成し（Ｓ０３８）、アクセス制御プロファイル送達メッセージを生成し（Ｓ０３９）、対応するＥＮへ向けて送出する（Ｓ０４０）。この場合、続いて主要アクセス回線用プロファイル配信処理（Ｓ０４１〜Ｓ０４３）が行われ、ＰＡＮ（ＰＡＬ）側のＥＮに対してもＡＣＰ−Ｖが送達される。ただし、このＡＣＰ−Ｖにおける動作状態の指示内容は「当該回線の閉塞（非使用）」である。
Ｓ０４３の処理の後、アクセス回線選択応答（確定アクセス網）がＡＡＡに返される。その後、ＡＣＳはＡＣＰ−Ｃを、ＡＣＰ−ＤＢに格納し、メッセージ待ち状態に戻る。
なお、図１７および１８に示す動作に代えて、ＡＣＰ−Ｖは、ＡＡＡを経由して対応するＥＮへ送信されるようにしても良い。
ＭＨの利用するアクセス回線種別がＰＡＬからＳＡＬへ移行する場合には、図１７および１８に示した動作例の後の動作は、例えば、図１６に示すようになる。すなわち、図１６に示すように、ＡＡＡによる認証終了後、ＡＣＰ−ＶはＰＡＬおよびＳＡＬに対応する各ＥＮに送達される（図１６；（１））。
ＰＡＬおよびＳＡＬをそれぞれ収容するＥＮは、ＭＨ宛のパケットを受信すると、そのパケットに対する動作状態をＡＣＰ−Ｖを参照して解釈する。このとき、ＥＮは、自身が収容するアクセス回線が当該パケットの送信に適切なアクセス回線でない場合には、そのパケットをもう一方のＥＮに転送する。転送先のＥＮは転送元のＥＮから受信したパケットを自身が収容するアクセス回線経由でＭＨに送信する（図１６；（２））。
一方、ＭＨは、認証応答メッセージに含まれた移行指示に従い、移行先に相当するアクセス回線経由で、ＣＮへパケット（ＣＮに接続された他キャリアのＢＢが収容するホストを宛先とするパケット）を送信する（図１６；（３））。
〈１０〉アクセス許容手順（図１９）
次に、ネットワークアクセス制御システムにおけるアクセス許容手順について説明する。認証兼用アクセス回線を経由してＭＨのネットワーク接続に利用するアクセス回線種別を決定した後にＭＨのアクセスを許容する手段として以下の手順を利用する。
ＡＣＰ−ＶがＳＡＬを収容するＥＮに送達されると、当該ＥＮは、収容しているアクセス回線に関して、ＭＨと網との間で事前にＰＡＬ用の認証手順によって交換された認証情報に基づいて、ＳＡＬ経由でのデータ通信を許容する。
すなわち、認証情報に基づいてＳＡＬを収容するＥＮに対して、当該ＭＨの認証情報を送信する。この認証情報はＡＣＰ−Ｖに含まれる。認証情報を受信したＥＮはこのＡＣＰ−Ｖの内容を認識して、当該ＭＨに関して、アクセス許容の操作を行う。この許容手順は、例えば、無線ＬＡＮアクセスポイントでいえば、登録済みＭＨのＭＡＣアドレスを登録する操作に該当する。
ＭＨ側においては、受信した認証情報をＳＡＬのプロトコル制御装置に通知して、受理された時点で、通常のアクセス回線における各種認証手順の完了と同一状態になる。
本項におけるアクセス許容手順に必要な機能と手順は次の通りである。即ち、ＡＡＡは、認証情報生成機能を持つ。認証情報生成機能は、当該ＭＨのＰＡＬを使用する認証手順において、ＳＡＬについてのＭＨ自体の正当性が保証された後、ＳＡＬの認証情報を生成する機能である。
また、ＡＣＳは、認証情報の送達機能を持つ。この送達機能は、新たに利用を開始（移行元から移行）しようとするＳＡＬの認証情報を、ＰＡＬを使った認証手順（ＰＡＬを経由する認証応答メッセージの送信）によって、ＭＨへ送達する機能である。
また、ＭＨは、認証情報の抽出機能を持つ。認証情報を受信したＭＨは、認証応答メッセージに含まれるＳＡＬに関する認証情報（例えば、パケット暗号化鍵）を抽出して、ＭＨ内部のＳＡＬのプロトコル制御機能にこれを通知する。また、認証情報の通知を受けたＭＨ内のＳＡＬのプロトコル制御機能は、認証情報を保存し、以後のデータ通信において利用する。
また、ＥＮは、網側のアクセス制限を解除する機能を持つ。網側では、ＡＣＳが生成した認証情報が、当該ＭＨが通信開始しようとするＳＡＬを収容するＥＮへ、アクセス制御情報送達メッセージ（ＡＣＰ−Ｖの送達用メッセージ）によって配付される。このメッセージを受領したＥＮは、このメッセージに含まれるＳＡＬの認証情報を抽出し、これを保持するとともに、この認証情報に基づいて、当該ＭＨからＳＡＬへ送出されたパケットを通過させるようにパケットのフォワーディング制御を行う。
図１９は、アクセス許容手順に係る動作例を示す図である。図１９に示すアクセス許容手順の内容は次の通りである。
ＳＡＬにおけるアクセス権を認証対象のＭＨが持っていることが認証された場合には、ＡＡＡはＭＨを収容するＡＰに対し、認証完了メッセージ（認証確認メッセージ）を送信する。この認証完了メッセージ中には、ＳＡＬの利用許可情報（例えば、ＭＨとＡＰとの間の暗号化鍵等の情報）が含められる（図１９；（１））。このとき、図３３に示すようなフォーマットを持つ認証完了メッセージを適用することができる。
ＡＡＡは該当ＭＨに対し、ＰＡＬ経由で認証確認（認証応答）メッセージを送信する。この認証確認メッセージ中には、ＳＡＬの利用許可情報（例えば、移動ホスト・アクセスポイント間の暗号化鍵等の情報）が含められる（図１９；（２））。このとき、図３１や図３２に示すようなフォーマットを持つ認証応答メッセージを適用することができる。
これ以降、ＭＨは、ＭＨおよびＡＰにそれぞれ配布された利用許可情報（暗号化鍵等）を用いて、ＳＡＬ経由で安全な通信を行うことが可能になる（図１９；（３））。
〈１１〉アクセス回線間移動時の「異種」アクセス回線間のサービス継続連携（図２０）
次に、ネットワークアクセス制御システムにおける、ＭＨの移動を網側で検知して移動先への接続設定を可能とするための構成について説明する。
ＣＮ内のＡＣＳの判断によって、異種アクセス回線間をＭＨが移行する際に、移行前と移行後のアクセス網の特性（例えば回線速度）の差異が生じることがある。例えば、公衆無線ＬＡＮサービスを利用していたＭＨが、物理的な移動により当該公衆無線ＬＡＮサービスが提供される領域を出て、ＰＤＣのみが提供される地域に移ったとする。
このようなアクセス網間移動が発生したとき、ＡＣＳはこれを認識し、移行前のアクセス網で利用していたアプリケーションの品質について、品質内容の優先事項をあらかじめ指定した上で、高優先の品質項目を極力維持する内容を含むＡＣＰ−Ｖを、移行先のＥＮに配信する。
例えば、無線ＬＡＮを利用してＷｅｂ閲覧をしていたユーザの移動により、利用アクセス回線が方式の異なる無線アクセス回線に移行し、通信速度の低下が避けられない状況であるとする。
このような場合における、ユーザ側の利用要件として、例えば、通信速度（応答時間）を移行前と同等に維持（回線の特性限界の範囲内で）することを希望する場合がある。これに対し、例えば、画像データへのアクセスにおいて、表示サイズを変更することなく、色数の減少や圧縮率向上等の方法で応答時間の低下を回避する方法がある。他のユーザ側の利用条件として、応答時間にはこだわらず、取得されるコンテンツの品質維持を希望する場合もある。
このような利用条件に対し、ＡＣＳは、アクセス回線切り替え手順において、移行先のアクセス回線種別と現状（移行元）のアクセス回線の制御内容の差分を比較し、この中でユーザに応じた品質維持を優先させる項目（契約条件に基づく）を抽出し、この項目について回線移行に拘わらず品質維持を図ることができるような内容（パラメタ）を持つ、移行先回線に関するＡＣＰ−Ｖを生成し、移行先のアクセス回線を収容するＥＮに配信する。
配信を受けた移行先のＥＮは、ＡＣＰ−Ｖの内容にしたがって、アクセス回線移行してくる当該ＭＨに対して、当該ＡＣＰ−Ｖに記載される所定の優先項目およびパラメタに基づいた品質制御を実施する。
図２０は、アクセス回線間のサービス継続連携の制御手順に係る動作例の説明図である。図２０に示す動作例の内容は次の通りである。
ＡＡＡによる移行先アクセス回線の認証完了後、ＡＣＳは移行元のアクセス回線を収容するＥＮ（旧ＥＮ）、および移行先のアクセス回線を収容するＥＮ（新ＥＮ）に対し、それぞれのアクセス制御内容が記載されたＡＣＰ−Ｖ（サービス情報）を送信する（図２０；（１））。このとき、ＡＡＡは、各ＥＮに対し、図３３に示すようなフォーマットを持つアクセス許可要求メッセージを送信することができる。
旧ＥＮに該当ＭＨ宛のパケットが到達した場合、旧ＥＮは、ＡＣＰ−Ｖ（サービス情報）の記載内容に従って、新ＥＮにパケットを転送する（図２０；（２））。
旧ＥＮは、該当ＭＨ宛のパケットのサービス内容がＡＰＣ−Ｖに記載された内容と異なっている場合、該当ＭＨに対してその旨を通知する（図２０；（３））。このとき、旧ＥＮは、図３３に示すようなメッセージフォーマットを用いて、ＭＨに対して通知を行うことができる。
該当ＭＨは、必要に応じて相手ノード（ＣＮ：Ｃｏｒｒｅｓｐｏｎｄｅｎｔ Ｎｏｄｅ）に対し、送信パケットについての設定変更を要求する（図２０；（４））。このとき、当該ＭＨは、相手ノードに対し、適用されるアプリケーション（例えば、ストリーミング）のプロトコルに応じた要求メッセージが送信されるように、アプリケーションに依存したメッセージを送信する。
〈１２〉アクセス回線間移動時の「同種」アクセス回線間のサービス継続連携
次に、ネットワークアクセス制御システムが、移動ホストの移動を網側で検知して移動先への接続設定を可能とするための構成を説明する。
ＣＮ内のＡＣＳの判断によって、収容するＥＮが異なる、同一種別のアクセス回線間をＭＨが移動する際に、ＣＮ内のＡＣＳは、当該ＭＨについて生成済みのＡＣＰ−Ｖを移行先のＥＮに配布する。これによって、初回のＡＣＰ−Ｖの生成時に比べて高速にＡＣＰ−Ｖを配信することができる。
〈１３〉切り替え方式１（周辺の網リソース状態によるアクセス回線の切り替え；図２１，２２）
次に、ネットワークアクセス制御システムにおける、現状利用中のアクセス回線が収容加入者数限度に近づき、性能劣化が予想される場合に、一定の契約条件に合致する加入者を、収容容量に余裕のある別アクセス回線へ再接続させることを可能とする構成について説明する。
ネットワークアクセス制御システムは、網内のトラヒック状況等に依存するリソース状態に基づいてアクセス回線の切り替え、移行を行うことができる。例えば、ＭＨがアクセス回線としてＰＤＣ網を用いてデータ通信を行っている状態で、ＰＤＣ網における音声の回線交換網が一時的に（年末などの特別なイベントによって）輻輳する場合がある。このような場合には、一般に、交換機側で発呼規制が行われる。これと同様に、各アクセス回線を収容するＥＮでは、トラヒック状態を監視しておき、収容トラヒックの条件が一定の閾値を超えることをトリガとして、ＥＮがＡＣＳに対して、自身が現在収容しているＭＨの全部又は一部に対する回線移行を起動するように依頼する。
この依頼を受けたＡＣＳは、回線移行論理により、移行可能なＭＨを選定して、このＭＨに関してアクセス回線の切り替えを行う。
図２１は、切り替え発生依頼メッセージの例を示す表である。図２１における項番１のメッセージは、ＥＮからＡＣＳへ送信される他アクセス網への移動を要求するための依頼メッセージであり、ＥＮが収容するアクセス網が輻輳しているため、他のアクセス網へＭＨを移行させることを要求する旨を含む。一方、項番２のメッセージは、ＥＮからＡＣＳへ送信される他アクセス網からの移動可能通知を伝達するための依頼メッセージであり、アクセス網（ＥＮが収容するトラフィック）に余裕があるため、他のアクセス網に収容されたＭＨを自アクセス網に移行可能である旨を含む。
図２２は、本項におけるアクセス回線の切替の制御手順に係る動作例を示す図である。図２２に示す動作例の内容は次の通りである。
ＳＡＬを介してＭＨを収容している（ＳＡＮに接続されている）ＥＮはＳＡＬの状態を監視し、ＳＡＬの状態がある閾値（例えばアクセス回線の収容数に対する閾値）を越えると、ＡＡＡ／ＡＣＳに対してその旨を通知する（図２２；（１））。このとき、ＥＮが図３４に示すようなフォーマットを持つメッセージを送信するように構成することができる。閾値を越えた旨は、例えばサービス情報等のフィールドに設定される。
ＡＡＡ／ＡＣＳは、そのＥＮが収容しているＭＨの中で他のＥＮにも収容されているＭＨ（図２２に示すようなＰＡＮに対応するＥＮに収容されているＭＨ）を検索し、該当ＭＨにアクセス回線を切替えるよう通知する（図２２；（２））。このときの通知は、例えば図３３に示すようなメッセージを適用することができる。
ＡＡＡ／ＡＣＳは、切り替え前のアクセス回線を収容するＥＮ（旧ＥＮ：図２２中のＥＮ−２）に対し、切り替え後のアクセス回線を収容するＥＮ（新ＥＮ：図２２中のＥＮ−３）に該当ＭＨ宛のパケットを転送するためのＡＣＰ−Ｖを通知する（図２２；（３））。このとき、図３３に示すようなメッセージを適用することができる。
ＭＨは、アクセス回線を切り替える。アクセス回線の切替手法は、上述した第１の方式を適用することができる。図２２に示す例では、ＳＡＮ−１のＳＡＬがＳＡＮ−２のＳＡＬに切り替えられている。これ以降は、ＭＨは、切り替え後のアクセス回線（ＳＡＮ−２のＳＡＬ）を使用する（図２２；（４））。
旧ＥＮは、アクセス回線を切り替えたＭＨ宛のパケットを受信した場合には、そのパケットを新ＥＮに転送する（図２２（５））。
〈１４〉切り替え方式２（ユーザの契約条件によるアクセス回線の自動捕捉；図２３）
或るアクセス回線を利用して通信中のユーザ（ＭＨ）について、このユーザのＡＣＰに規定された他のアクセス回線が所定の事情（電波状況の改善等）により利用できる状況になった場合には、ネットワークアクセス制御システムは、網側でこの他のアクセス回線の状態を検知し、自動的に回線捕捉（通信許可）し、これをユーザに通知し、接続可能とする。
例として、ＰＡＮが一般の携帯電話網（ＰＤＣ等）であり、ＳＡＮが公衆無線ＬＡＮサービスを構成する無線ＬＡＮ網であるものと仮定する。また、ＰＡＮはユーザの行動範囲のほぼ全域で利用可能であるのに対して、ＳＡＮの利用範囲は散在的であるとする。
ＰＡＮおよびＳＡＮの双方を利用可能なＭＨのユーザがＳＡＮを利用可能な場所を意識的に探すことは当然にある。さらに、ＰＡＮを利用しているユーザがＳＡＮを利用できる場所に移った場合に、網側がこの変化を認識してアクセス網をＰＡＮからＳＡＮに自動的に切替える機能を提供できることが望ましい。
ネットワークアクセス制御システムは、上記機能を実現するため、ＡＡＡ／ＡＣＳは、ＭＨの在圏位置を検出可能であり、且つＰＡＮのセル識別情報（エリアコード）と、ＳＡＮの利用可能位置（例えば公衆無線ＬＡＮサービスの利用可能位置）との対応表を有し、ＭＨの在圏位置がＰＡＮのみを利用可能な領域からＰＡＮおよびＳＡＮを利用可能な領域に移ったことを認識可能になっている。
図２３は、本項における切替方式の制御手順の例を示す図である。図２３に示される制御手順の内容は次の通りである。
ＭＨの在圏位置がＰＡＮのみを利用可能な領域からＰＡＮおよびＳＡＮを利用可能な領域に移動すると、ＡＡＡ／ＡＣＳは、ＭＨに対し、ＳＡＮが利用可能になったことを通知する。この通知には、例えば図３３に示すようなメッセージフォーマットを適用できる。ユーザはＳＡＮを利用したい場合、アクセス回線切り替え要求をＡＡＡ／ＡＣＳに送信する（図２３；（１））。この要求には、例えば図３４に示すようなメッセージフォーマットを適用できる。
ＡＡＡ／ＡＣＳは、ＭＨからのアクセス回線切替要求を受信することにより、ユーザがＳＡＮの利用を希望していることを認識すると、ＳＡＮのアクセス認証手順，ＡＣＰ−Ｖの生成処理を行い、生成したＡＣＰ−ＶをＰＡＬおよびＳＡＬにそれぞれ対応する各ＥＮ（ＥＮ−１およびＥＮ−２）に送信する（図２３；（２））。このとき、ＡＣＰ−Ｖは、例えば図３３に示すようなメッセージにより通知される。
その後、ＭＨ宛のパケットは、ＥＮ−１およびＥＮ−２でそれぞれ解釈される。このとき、ＥＮ−１は、ＰＡＮがパケットの転送に適切でないと判断し、パケットをＥＮ−２に転送する。一方、ＥＮ−２は、ＳＡＮがパケットの転送に適切であると判断し、ＭＨ宛のパケット（ＥＮ−１から転送されたパケットを含む）をＳＡＮ経由でＭＨに送信する。また、ＭＨは、相手ノード宛のパケットをＳＡＮを経由して送信する。
〈１５〉切り替え方式３（ユーザ移動ホスト要件に基づくアクセス回線の捕捉；図２４，２５）
ユーザ側のＭＨは、自身の状態、例えば受信電波状況等を網側にフィードバックする機能を持ち、ネットワークアクセス制御システムは、ＭＨの状態情報に依存してＭＨが利用可能なアクセス回線を選択し捕捉する。
一般に、無線ＬＡＮ装置の通信速度は、ＰＤＣ等の移動通信方式に比べて高速である。但し、同一アクセスポイント内のＭＨの数や、ＭＨのアクセスポイントからの距離により、同一種別の無線ＬＡＮ方式であっても通信速度の偏差が大きい。このように、変動範囲が大きいパラメタ（通信速度等）を持つ通信方式では、ＣＮのスループットに対して、ＭＨの通信速度が支配要因となり、ＭＨ上で実行されるアプリケーションの体感速度に影響する。
ネットワークアクセス制御システムは、アクセス回線間の移行動作において、移行先のアクセス回線の状態を考慮して移行可否を決定する。具体的には、移行先候補のアクセス回線が混雑している（収容数が多くスループットが低下している等）場合は移行を行わない。反対に、現在使用中のアクセス回線が混雑もしくは電波状況が劣化した場合に、移行先アクセス回線に移行する。
ネットワークアクセス制御システムは、ＭＨが要求した場合にはアクセス回線を切替える。このため、ＭＨは、ＭＨ自身が把握する、無線区間の電波強度等の受信品質データ（通信パラメタ）を、ＰＡＬの認証要求メッセージに載せる機能（通信パラメタ付加機能）を有する。これによって、受信品質データをＣＮのＡＡＡ／ＡＣＳに伝達することができる。一方、ＡＡＡ／ＡＣＳは、移行先のアクセス回線の選択決定において、ＭＨからの受信品質データを参照し、選択の判断に利用する。
図２４は、ＭＨ内で保持される通信パラメタ（移動ホスト情報）の例を示す表である。図２４に示すように、通信パラメタとして、電波強度，スループット，在圏地域（在圏位置）を適用することができる。
図２５は、本項における制御手順の例を示す図である。図２５に示す制御手順は次の通りである。ＭＨは、副次アクセス回線ＳＡＬが利用可能であることを感知し、認証サーバＡＡＡ／ＡＣＳに対して副次アクセス回線の認証要求を送信する（図２５；（１））。このときの認証要求に対し、例えば図７や図８に示すメッセージフォーマットを適用することができる。
ＡＡＡ／ＡＣＳは、認証終了後、ＰＡＬを収容するＥＮ−１およびＳＡＬを収容するＥＮ−２のそれぞれに対応するＡＣＰ−Ｖを送信する（図２５；（２））。このときのＡＣＰ−Ｖは、例えば図３３に示すようなメッセージフォーマットに従って送信することができる。
これ以降、ＭＨはＳＡＬを使用して通信することができる（図２５；（３））。
ＥＮ−１は、ＭＨ宛のパケットを受信すると、ＡＣＰ−Ｖの内容に従って、このパケットをＥＮ−２に転送する。
〈１６〉切り替え方式４（利用中のアプリケーション種別に依存したアクセス回線の自動切り替え；図２６，２７）
所定のアクセス回線を用いてネットワークに接続中のＭＨが新たに或るアプリケーションを利用する場合において、このアプリケーションがその利用条件として特定のアクセス回線の利用を要求する場合がある。ネットワークアクセス制御システムは、このようなアプリケーションの要求を検出し、アクセス回線の切替処理に際して、必要に応じてＭＨに通知確認を行う。
一般に、ＰＤＣ等の移動通信方式は、通信速度で無線ＬＡＮよりも劣るが、セキュリティに関しては高いと言われている。また、ＭＨ上で実行されるアプリケーションには、通信速度よりも高いセキュリティを要求するものがある。また、パスワードやクレジットカード番号の送信を、安全な通信路を用いて行いたいというユーザの要求がある。また、セキュリティ以外でも、アプリケーションが円滑な実行のために所定の網能力（帯域等）を要求する場合もある。
ネットワークアクセス制御システムは、アプリケーションからの要求に応じて、アプリケーションの要求に応じたアクセス回線にＭＨが利用するアクセス回線が切り替えられるように、アクセス回線の切替制御を行う。
このため、ＭＨは、ＭＨ自身が把握する、アプリケーションが要求するアクセス回線の種別を示す情報（アプリケーション要求情報）を、ＰＡＬの認証要求メッセージに載せる機能（アプリケーション要求情報付加機能）を有する。これによって、アプリケーション要求情報を、ＣＮのＡＡＡ／ＡＣＳへ伝達することができる。一方、ＡＡＡ／ＡＣＳは、移行先アクセス回線の選択決定時に、アプリケーション要求情報を参照し、アクセス回線の決定の判断に使用する。
図２６は、特定のアクセス回線の利用を所望するアプリケーションの種別の例を示す表である。図２６に示すように、アプリケーションとして、パスワード入力，クレジットカード番号入力，ストリーミング，ソフトウェアのダウンロードを例示することができる。
図２７は、本項における一連の制御手順の例を示す図である。図２７に示す制御手順は次の通りである。図２７に示す制御手順は、ＭＨがＳＡＮを利用している場合において、或るアプリケーションを利用するときに、このアプリケーションがＰＡＮの利用を要求する（アプリケーションがＰＡＬ経由を指示した）ケースである。
アプリケーションが特定のアクセス網（ＰＡＮ）経由を指示した場合には、ＭＨは、アプリケーション要求情報（少なくともＰＡＬのアクセス回線種別を含む）を含むＰＡＬの認証要求メッセージをＡＡＡ／ＡＣＳに送信する（アクセス回線明示指定）（図２７；（１））。
ＡＡＡ／ＡＣＳは、認証要求メッセージに対する認証処理の後、アプリケーションからの指示に応じたパケットのみ、ＰＡＬを経由させることを指示するＡＣＰ−ＶをＰＡＬを収容するＥＮ−１およびＳＡＬを収容するＥＮ−２にそれぞれ送信する（図２７；（２））。
これ以降、アプリケーションからの指示に応じたパケットは、ＰＡＬを使用して送受信される（図２７；（３））。
なお、ＥＮ−２に、アプリケーションからの指示に応じたパケットが到達した場合、ＥＮ−２はＰＡＬを収容するＥＮ−１に該当パケットを転送し、転送されたパケットはＥＮ−１からＰＡＬを経由してＭＨに送信される。
〈１７〉ネットワークアクセス端末（図２８，２９）
次に、端末について説明する。ここでは、端末の例として、移動ホスト（ＭＨ）について説明する。
移動ホストは、上記した〈３〉項で説明した認証要求メッセージ送出機能，認証応答メッセージ処理機能，〈１５〉項で説明した通信パラメタ付加機能，〈１６〉項で説明したアプリケーション要求情報付加機能を備えることができる。
図２８は、ネットワークアクセス端末の例としての移動ホストＭＨの構成例を示す図である。移動ホストは、主要アクセス回線（ＰＡＬ）メッセージ送受信部２５と、副次アクセス回線（ＳＡＬ）メッセージ送受信部２６と、プロトコル制御部２７と、アクセス手段選択部２８とから構成することができる。また、移動ホストは、図７，図８に示したような認証要求メッセージを送信することができる（〈３〉項参照）。
図２９は、移動ホストの動作例を示すシーケンス図である。例として、ＰＡＮのみを利用可能な地域から、ＰＡＮおよびＳＡＮの双方が利用できる地域にＭＨが移動した場合について説明する。
１．ＰＡＬメッセージ送受信部２５およびＳＡＬメッセージ送受信部２６は、ＰＡＮおよびＳＡＮにアクセス可能であることをそれぞれ感知し、これをプロトコル制御部２７に通知する（Ｓ０５１，Ｓ０５２）。
２．プロトコル制御部２７はＳＡＬ用（又はＰＡＬ及びＳＡＬ用）の認証要求メッセージを作成し（Ｓ０５３）、ＰＡＬメッセージ送受信部２５に渡す（Ｓ０５４）。ＰＡＬメッセージ送受信部２５は、この認証要求メッセージをＰＡＮ経由でＣＮ内のＡＡＡに送信する（Ｓ０５５）。
３．その後、ＰＡＬメッセージ送受信部２５は、ＳＡＬ用の認証応答メッセージをＰＡＮ経由で受信し（Ｓ０５６）、プロトコル制御部２７に渡す（Ｓ０５７）。プロトコル制御部２７は、認証応答メッセージに含まれるパケット暗号鍵等のＭＨがＳＡＬの利用に必要な情報（利用許可情報）を抽出し（Ｓ０５８）、ＳＡＬメッセージ送受信部に渡す（Ｓ０６０）。ＳＡＬメッセージ送受信部２６は、ＳＡＬの利用許可情報を所定の保存領域に格納・管理する。また、プロトコル制御部２７はアクセス手段選択部２８に双方のアクセス手段（ＰＡＬ及びＳＡＬ）が利用可能であることを通知する（Ｓ０５９）。
４．その後、例えば、ＭＨのアプリケーションがパケット通信を行おうとする場合、アクセス手段選択部２８において適切なアクセス回線が選択され、保持している鍵等を使って暗号化等の適切な処理の後、パケット送信が行われる。
また、ＭＨのアプリケーションが使用するアクセス回線を指定した場合の動作は、以下のようになる。
１．プロトコル制御部２７は指定されたアクセス回線用の認証要求メッセージを作成し、ＰＡＬメッセージ送受信部２５からＰＡＮ経由で送信する。この認証手順により、網側はアプリケーションにより指定されたアクセス回線を使用することを感知する。
２．ＰＡＬメッセージ送受信部２５は、指定されたアクセス回線用の認証応答をメッセージをＰＡＮ経由で受信し、プロトコル制御部２７はアクセス手段選択部２８に指定したアクセス回線を使用するよう指示する。また認証応答メッセージに含まれる鍵等の利用許可情報を抽出し、指定されたアクセス回線に対応するメッセージ送受信部で保持する。
３．アプリケーションが通信を行おうとする場合、アクセス手段選択部２８において適切なアクセス回線が選択され、保持している鍵等を使って暗号化等の適切な処理の後送信が行われる。
本実施形態によれば、無線ＬＡＮ等のアクセス網をコア網に対するアクセス手段として導入しやすくすることができる。また、本発明によれば、アクセス網の切替等のアクセス網間の連携を図ることができる。
また、本実施形態によれば、移動キャリア及び既存のアクセス網を使用する全てのユーザが、新規のアクセス網について低コストでセキュリティを確保しつつ、既存の基盤ネットワークサービスと連動して網資源を有効利用することが可能となる。

Claims (24)

1. 主要アクセス網と少なくとも１つの副次アクセス網とを含む種別の異なる複数のアクセス網をそれぞれ用いてコア網を利用可能な端末から送信され前記主要アクセス網を経由して前記コア網に到達する前記副次アクセス網の利用に対する認証要求を含む認証要求メッセージを受信する受信手段と、
   前記副次アクセス網の認証要求に対する認証処理を行う認証手段と、
   前記主要アクセス網を経由して前記端末に到達する前記副次アクセス網の認証応答メッセージを送信する送信手段と
   を含むネットワークアクセス制御システム。
2. 前記認証要求メッセージは、前記主要アクセス網の利用に対する認証要求をさらに含み、
   前記認証手段は、前記主要および副次アクセス網の利用に対する認証要求に対する認証処理を行い、
   前記送信手段は、前記主要アクセス網および前記副次アクセス網に対する前記認証応答メッセージを前記端末へ送信する
   請求項１記載のネットワークアクセス制御システム。
3. 前記送信手段は、前記認証手段が副次アクセス網の利用を認証する場合に、認証された副次アクセス網の利用許可情報を含む前記認証応答メッセージを送信するとともに、前記端末が前記認証された副次アクセス網を利用するための情報を前記認証された副次アクセス網に通知する
   請求項１又は２記載のネットワークアクセス制御システム。
4. 前記端末のユーザが前記認証手段により認証された副次アクセス網について事前に契約した利用条件に従ってこの副次アクセス網および前記コア網を利用した通信サービスが提供されるように前記コア網を制御する網制御手段をさらに備える請求項１記載のネットワークアクセス制御システム。
5. 前記網制御手段は、前記端末によって使用される前記認証された副次アクセス網のアクセス回線を収容するエッジノードに対し、前記端末について前記利用条件に従った通信サービスを実施するための制御情報を通知する
   請求項４記載のネットワークアクセス制御システム。
6. 前記端末が前記主要アクセス網を用いてコア網を利用する場合の従量課金と、前記端末が前記副次アクセス網を用いてコア網を利用する場合の従量課金との双方に係る処理を行う課金手段をさらに含む
   請求項１〜５の何れかに記載のネットワークアクセス制御システム。
7. 前記課金手段は、前記端末によって使用される前記認証された副次アクセス網のアクセス回線を収容するエッジノードに対し、端末の副次アクセス網の利用に対する従量課金を行うための課金単位を通知する課金単位通知手段と、このエッジノードが前記課金単位に従って計測した前記端末に係る課金単位の量に基づいて課金額を算出する算出手段とを含む
   請求項６記載のネットワークアクセス制御システム。
8. 前記認証手段は、ローミングユーザの端末からの前記副次アクセス網の認証要求を含む認証要求メッセージを前記主要アクセス網を介して前記受信手段が受信した場合に、前記ローミングユーザに対する前記副次アクセス網の認証処理をローミング元の認証システムとの連携において行い、
   前記送信手段は、前記ローミングユーザの認証処理に対する認証応答メッセージを前記主要アクセス網を経由してローミングユーザの端末に送信する
   請求項１〜７の何れかに記載のネットワークアクセス制御システム。
9. 前記網制御手段は、前記認証手段がローミングユーザを認証する場合に、前記ローミングユーザの端末が使用する前記認証された副次アクセス網のアクセス回線を収容するエッジノードに対し、ローミングユーザの当該副次アクセス網の利用条件に従った通信サービスを提供するための制御情報を通知する
   請求項８記載のネットワークアクセス制御システム。
10. 前記認証要求メッセージは、前記端末が前記主要アクセス網を利用可能な範囲で移動することによりこの端末が利用可能なアクセス網の数が変化した場合に前記端末から送信され、且つ利用可能となったアクセス網の認証要求を少なくとも含み、
    前記網制御手段は、前記認証要求メッセージを前記受信手段が受信したことを契機として、前記端末が利用するアクセス網を切り替えるか否かを判断し、
    前記認証手段は、切替先のアクセス網について認証処理を行い、
    前記送信手段は、前記認証手段により認証された切替先のアクセス網の認証応答メッセージを前記主要アクセス網を経由して前記端末に送信する
    請求項４記載のネットワークアクセス制御システム。
11. 前記網制御手段は、前記端末のユーザの契約内容，現在の網状態のうちの少なくとも１つに従ってアクセス網を切り替えるか否かを判断する
    請求項１０記載のネットワークアクセス制御システム。
12. 前記網制御手段は、切替先として選択可能な複数の副次アクセス網がある場合には、前記端末のユーザの契約内容および／または現在の網状態に基づいて切替先のアクセス網を決定する
    請求項１０又は１１記載のネットワークアクセス制御システム。
13. 前記送信手段は、前記認証手段による前記切替先のアクセス網の認証に応じて、この切替先のアクセス網の利用許可情報を含む前記認証応答メッセージを前記端末へ送信するとともに、前記端末が前記切替先のアクセス網を利用するための情報をこのアクセス網に通知し、
    前記網制御手段は、前記端末のユーザが前記切替先のアクセス網について事前に契約した利用条件に従ってこのアクセス網および前記コア網を利用した通信サービスが提供されるように、前記端末によって使用される前記切替先の副次アクセス網のアクセス回線を収容するエッジノードに対し、前記端末について前記利用条件に従った通信サービスを実施するための制御情報を通知する
    請求項１０〜１２の何れかに記載のネットワークアクセス制御システム。
14. 前記通信サービスが切替元のエッジノードと切替先のエッジノードとの連携により実施される場合には、前記網制御手段は、切替元および切替先のエッジノードに連携サービスを実施するための制御情報をそれぞれ通知する
    請求項１３記載のネットワークアクセス制御システム。
15. 前記網制御手段は、アクセス網が切り替えられても切替前における通信品質が維持されるような通信サービスを実施するための制御情報を前記切替先のアクセス回線を収容するエッジノードに送信する
    請求項１３又は１４記載のネットワークアクセス制御システム。
16. 前記網制御手段は、前記端末の同一のアクセス網の利用において、この端末が使用するアクセス網のアクセス回線を収容するエッジノードを切り替える際に、切替元のエッジノードに通知した制御情報と同様の制御情報を切替先のエッジノードに送信する
    請求項１３〜１５の何れかに記載のネットワークアクセス制御システム。
17. 前記網制御手段は、前記端末が使用しているアクセス回線を収容しているエッジノードからトラフィック情報を受け取り、トラフィックが所定の閾値を越えている場合には、前記端末にアクセス網の切替を依頼する、
    請求項１３〜１６の何れかに記載のネットワークアクセス制御システム。
18. 前記網制御手段は、前記端末の位置を監視し、この端末が所定の副次アクセス網を利用可能な位置に移動した場合に、その旨をこの端末に通知する
    請求項１０〜１７の何れかに記載のネットワークアクセス制御システム。
19. 前記受信手段は、前記端末からその状態情報を含む前記認証要求メッセージを受信し、
    前記網制御手段は、前記状態情報に基づいて前記端末が利用するアクセス回線を切り替えるか否かを判断する
    請求項１０記載のネットワークアクセス制御システム。
20. 前記受信手段は、前記端末から切替先のアクセス網を指定する指定情報を含む前記認証要求メッセージを受信し、
    前記網制御手段は、前記指定情報で指定されたアクセス網を切替先のアクセス網として決定する
    請求項１０記載のネットワークアクセス制御システム。
21. 主要アクセス網と少なくとも１つの副次アクセス網とを含む種別の異なる複数のアクセス網をそれぞれ用いてコア網を利用可能な端末から送信され前記主要アクセス網を経由して前記コア網に到達する前記副次アクセス網の利用に対する認証要求を含む認証要求メッセージを受信する受信手段と、
    前記副次アクセス網の認証要求に対する認証処理を行う認証手段と、
    前記主要アクセス網を経由して前記端末に到達する前記副次アクセス網の認証応答メッセージを送信する送信手段と
    を含むアクセス網の認証サーバ。
22. 主要アクセス網と少なくとも１つの副次アクセス網とを含む種別の異なる複数のアクセス網をそれぞれ用いてコア網を利用可能な端末から送信され前記主要アクセス網を経由して前記コア網に到達する前記副次アクセス網の利用に対する認証要求を含む認証要求メッセージに対する認証処理に際し、前記端末のユーザに係る情報と認証対象の副次アクセス網に係る情報を受信する受信手段と、
    前記認証対象の副次アクセス網について認証が行われる場合に、前記端末のユーザが前記認証手段により認証された副次アクセス網について事前に契約した利用条件に従ってこの副次アクセス網および前記コア網を利用した通信サービスが提供されるように、前記端末によって使用される前記認証された副次アクセス網のアクセス回線を収容するエッジノードに対し、前記端末について前記利用条件に従った通信サービスを実施するための制御情報を通知する通知手段と
    を含むアクセス制御サーバ。
23. 主要アクセス網と少なくとも１つの副次アクセス網とを含む種別の異なる複数のアクセス網をそれぞれ用いてコア網を利用可能であり、
    自装置から前記主要アクセス網を経由して前記コア網に到達する自装置の前記副次アクセス網の利用に対する認証要求を含む認証要求メッセージを送信する認証要求送信手段と、
    前記コア網から前記認証要求に対する認証応答メッセージを前記主要アクセス網を経由して受信する認証応答受信手段と、
    前記認証応答メッセージに含まれた前記副次アクセス網の利用許可情報を用いて前記副次アクセス網を介して前記コア網を利用する手段と
    を含む端末。
24. 主要アクセス網と少なくとも１つの副次アクセス網とを含む種別の異なる複数のアクセス網をそれぞれ用いてコア網を利用可能な端末から送信され前記主要アクセス網を経由して前記コア網に到達する前記副次アクセス網の利用に対する認証要求を含む認証要求メッセージを受信し、
    前記副次アクセス網の認証要求に対する認証処理を行い、
    前記主要アクセス網を経由して前記端末に到達する前記副次アクセス網の認証応答メッセージを送信する
    ことを含むネットワークアクセス制御方法。

Images