特許 6017610 セキュリティゲートウェイを介したローカルネットワークへのリモートアクセス

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6017610

(24)【登録日】2016年10月7日

(45)【発行日】2016年11月2日

(54)【発明の名称】セキュリティゲートウェイを介したローカルネットワークへのリモートアクセス

(51)【国際特許分類】

   H04L 12/66 20060101AFI20161020BHJP

【ＦＩ】

   H04L12/66 B

【請求項の数】26

【外国語出願】

【全頁数】36

(21)【出願番号】特願2015-46058(P2015-46058)

(22)【出願日】2015年3月9日

(62)【分割の表示】特願2013-41675(P2013-41675)の分割

【原出願日】2009年11月16日

(65)【公開番号】特開2015-159545(P2015-159545A)

(43)【公開日】2015年9月3日

【審査請求日】2015年4月8日

(31)【優先権主張番号】61/115,520

(32)【優先日】2008年11月17日

(33)【優先権主張国】US

(31)【優先権主張番号】61/145,424

(32)【優先日】2009年1月16日

(33)【優先権主張国】US

(31)【優先権主張番号】61/150,624

(32)【優先日】2009年2月6日

(33)【優先権主張国】US

(31)【優先権主張番号】61/164,292

(32)【優先日】2009年3月27日

(33)【優先権主張国】US

(31)【優先権主張番号】12/619,174

(32)【優先日】2009年11月16日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】595020643

【氏名又は名称】クゥアルコム・インコーポレイテッド

【氏名又は名称原語表記】ＱＵＡＬＣＯＭＭ ＩＮＣＯＲＰＯＲＡＴＥＤ

(74)【代理人】

【識別番号】100108855

【弁理士】

【氏名又は名称】蔵田 昌俊

(74)【代理人】

【識別番号】100109830

【弁理士】

【氏名又は名称】福原 淑弘

(74)【代理人】

【識別番号】100158805

【弁理士】

【氏名又は名称】井関 守三

(74)【代理人】

【識別番号】100194814

【弁理士】

【氏名又は名称】奥村 元宏

(72)【発明者】

【氏名】ピーラポル・ティンナコルンスリスプハプ

(72)【発明者】

【氏名】アナンド・パラニガウンダー

(72)【発明者】

【氏名】ランジス・エス．・ジャヤラム

(72)【発明者】

【氏名】ラクシュミナス・アール．・ドンデティ

(72)【発明者】

【氏名】ジュン・ワン

【審査官】 大石 博見

(56)【参考文献】

【文献】 国際公開第２００８／０４７１４０（ＷＯ，Ａ１）

【文献】 国際公開第２００７／０１５０６８（ＷＯ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／６６

(57)【特許請求の範囲】

【請求項1】

通信コントローラが、ローカルネットワークにおけるアクセスポイントの識別子を取得すること、
セキュリティゲートウェイに結合された認証サーバが、データベースに、加入者のために維持される予約情報の中の前記識別子を格納すること、
前記認証サーバが、アクセス端末に関連する認証情報を受信することと、
前記認証サーバが、前記アクセス端末が前記ローカルネットワーク又は事業者のネットワークと共有する既存の認証情報のうちの１つを使用して導出する前記認証情報に基づいて、前記アクセス端末を認証することと、
前記認証サーバが、前記アクセス端末が、前記アクセスポイントを介して前記ローカルネットワークに遠隔でアクセスすることを可能にするために、前記セキュリティゲートウェイに、前記アクセスポイントの前記識別子を提供することと
備える、通信の方法。

【請求項2】

前記認証情報が、セキュリティゲートウェイと前記アクセスポイントとの間に第１のプロトコルトンネルを確立した前記セキュリティゲートウェイの位置を特定するために、前記アクセス端末による探索の結果として受信される、請求項１の方法。

【請求項3】

前記アクセスポイントの前記識別子が、前記セキュリティゲートウェイが、前記セキュリティゲートウェイと前記アクセスポイントとの間に前記第１のプロトコルトンネルを確立したとの決定に基づいて、前記アクセス端末へ、前記セキュリティゲートウェイによって提供される、請求項２の方法。

【請求項4】

前記セキュリティゲートウェイと前記アクセス端末の各々は、前記セキュリティゲートウェイが前記第１のプロトコルトンネルを確立したとの前記決定に基づいて、前記セキュリティゲートウェイと前記アクセス端末との間に第２のプロトコルトンネルを確立するために、対応する動作を実行する、
請求項３の方法。

【請求項5】

前記第２のプロトコルトンネルを確立するための前記対応する動作は、前記第２のプロトコルトンネルを介して送信される情報を暗号化するおよび解読するための暗号鍵を割り振るために、前記セキュリティゲートウェイと前記アクセス端末との間でメッセージを交換することを含む、請求項４の方法。

【請求項6】

前記セキュリティゲートウェイがプロトコルトンネルを確立した複数のアクセスポイントのうちのいくつかのアクセスポイントに対応する複数の識別子のうちのいくつかの識別子だけを提供することを更に備える、請求項１の方法。

【請求項7】

前記アクセスポイントが、小カバレージアクセスポイントである、請求項１の方法。

【請求項8】

他のノードとの通信を管理するように構成された通信コントローラと、
セキュリティゲートウェイに結合された認証サーバで加入者のために維持される予約情報の中の識別子を格納するように構成されるデータベースと、を備え、
ここにおいて、前記通信コントローラは、
アクセス端末に関連する認証情報を受信し、
前記アクセス端末がローカルネットワーク又は事業者のネットワークと共有する既存の認証情報のうちの１つを使用して導出する前記認証情報に基づいて、前記アクセス端末を認証し、
前記アクセス端末が、アクセスポイントを介して前記ローカルネットワークに遠隔でアクセスすることを可能にするために、前記セキュリティゲートウェイに、前記アクセスポイントの識別子を提供するように、更に構成される、
通信のための認証サーバ。

【請求項9】

前記認証情報が、セキュリティゲートウェイと前記アクセスポイントとの間に第１のプロトコルトンネルを確立した前記セキュリティゲートウェイの位置を特定するために、前記アクセス端末による探索の結果として受信される、請求項８の装置。

【請求項10】

前記アクセスポイントの前記識別子が、前記セキュリティゲートウェイが、前記セキュリティゲートウェイと前記アクセスポイントとの間に前記第１のプロトコルトンネルを確立したとの決定に基づいて、前記アクセス端末へ、前記セキュリティゲートウェイによって提供される、請求項９の装置。

【請求項11】

前記セキュリティゲートウェイと前記アクセス端末の各々は、前記セキュリティゲートウェイが前記第１のプロトコルトンネルを確立したとの前記決定に基づいて、前記セキュリティゲートウェイと前記アクセス端末との間に第２のプロトコルトンネルを確立するために、対応する動作を実行する、
請求項１０の装置。

【請求項12】

前記第２のプロトコルトンネルを確立するための前記対応する動作は、前記第２のプロトコルトンネルを介して送信される情報を暗号化するおよび解読するための暗号鍵を割り振るために、前記セキュリティゲートウェイと前記アクセス端末との間でメッセージを交換することを含む、請求項１１の装置。

【請求項13】

前記通信コントローラが、前記セキュリティゲートウェイがプロトコルトンネルを確立した複数のアクセスポイントのうちのいくつかのアクセスポイントに対応する複数の識別子のうちのいくつかの識別子だけを提供するように更に構成される、請求項８の装置。

【請求項14】

前記アクセスポイントが、小カバレージアクセスポイントである、請求項８の装置。

【請求項15】

ローカルネットワークにおけるアクセスポイントの識別子を取得するための手段と、ここにおいて、前記アクセスポイントは、加入者に関連する、
セキュリティゲートウェイに結合された認証サーバで前記加入者のために維持される予約情報の中の前記識別子を格納するための手段と、
アクセス端末に関連する認証情報を受信するための手段と、
前記アクセス端末が前記ローカルネットワーク又は事業者のネットワークと共有する既存の認証情報のうちの１つを使用して導出する前記認証情報に基づいて、前記アクセス端末を認証するための手段と、
前記アクセス端末が、前記アクセスポイントを介して前記ローカルネットワークに遠隔でアクセスすることを可能にするために、前記セキュリティゲートウェイに、前記アクセスポイントの前記識別子を提供するための手段と、
を備える、通信のための装置。

【請求項16】

前記認証情報が、セキュリティゲートウェイと前記アクセスポイントとの間に第１のプロトコルトンネルを確立した前記セキュリティゲートウェイの位置を特定するために、前記アクセス端末による探索の結果として受信される、請求項１５の装置。

【請求項17】

前記アクセスポイントの前記識別子が、前記セキュリティゲートウェイが、前記セキュリティゲートウェイと前記アクセスポイントとの間に前記第１のプロトコルトンネルを確立したとの決定に基づいて、前記アクセス端末へ、前記セキュリティゲートウェイによって提供される、請求項１６の装置。

【請求項18】

前記セキュリティゲートウェイと前記アクセス端末の各々は、前記セキュリティゲートウェイが前記第１のプロトコルトンネルを確立したとの前記決定に基づいて、前記セキュリティゲートウェイと前記アクセス端末との間に第２のプロトコルトンネルを確立するために、対応する動作を実行する、
請求項１７の装置。

【請求項19】

前記第２のプロトコルトンネルを確立するための前記対応する動作は、前記第２のプロトコルトンネルを介して送信される情報を暗号化するおよび解読するための暗号鍵を割り振るために、前記セキュリティゲートウェイと前記アクセス端末との間でメッセージを交換することを含む、請求項１８の装置。

【請求項20】

前記セキュリティゲートウェイがプロトコルトンネルを確立した複数のアクセスポイントのうちのいくつかのアクセスポイントに対応する複数の識別子のうちのいくつかの識別子だけを提供するための手段をさらに備える、請求項１５の装置。

【請求項21】

コンピュータに、
ローカルネットワークにおけるアクセスポイントの識別子を取得することと、ここにおいて、前記アクセスポイントは、加入者に関連する、
セキュリティゲートウェイに結合された認証サーバで前記加入者のために維持される予約情報の中の前記識別子を格納することと、
アクセス端末に関連する認証情報を受信することと、
前記アクセス端末が前記ローカルネットワーク又は事業者のネットワークと共有する既存の認証情報のうちの１つを使用して導出する前記認証情報に基づいて、前記アクセス端末を認証することと、
前記アクセス端末が、前記アクセスポイントを介して前記ローカルネットワークに遠隔でアクセスすることを可能にするために、前記セキュリティゲートウェイに、前記アクセスポイントの前記識別子を提供することと、
を行わせるためのコードを格納する、コンピュータ可読記録媒体。

【請求項22】

前記認証情報が、セキュリティゲートウェイと前記アクセスポイントとの間に第１のプロトコルトンネルを確立した前記セキュリティゲートウェイの位置を特定するために、前記アクセス端末による探索の結果として受信される、請求項２１のコンピュータ可読記録媒体。

【請求項23】

前記アクセスポイントの前記識別子が、前記セキュリティゲートウェイが、前記セキュリティゲートウェイと前記アクセスポイントとの間に前記第１のプロトコルトンネルを確立したとの決定に基づいて、前記アクセス端末へ、前記セキュリティゲートウェイによって提供される、請求項２２のコンピュータ可読記録媒体。

【請求項24】

前記セキュリティゲートウェイと前記アクセス端末の各々は、前記セキュリティゲートウェイが前記第１のプロトコルトンネルを確立したとの前記決定に基づいて、前記セキュリティゲートウェイと前記アクセス端末との間に第２のプロトコルトンネルを確立するために、対応する動作を実行する、
請求項２３のコンピュータ可読記録媒体。

【請求項25】

前記第２のプロトコルトンネルを確立するための前記対応する動作は、前記第２のプロトコルトンネルを介して送信される情報を暗号化するおよび解読するための暗号鍵を割り振るために、前記セキュリティゲートウェイと前記アクセス端末との間でメッセージを交換することを含む、請求項２４のコンピュータ可読記録媒体。

【請求項26】

前記セキュリティゲートウェイがプロトコルトンネルを確立した複数のアクセスポイントのうちのいくつかのアクセスポイントに対応する複数の識別子のうちのいくつかの識別子だけを提供するためのコードをさらに格納する、請求項２１のコンピュータ可読記録媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本出願は、一般にワイヤレス通信に関し、より詳細には、限定はしないが、通信性能を改善することに関する。

【背景技術】

【0002】

ワイヤレス通信システムは、様々なタイプの通信（例えば、ボイス、データ、マルチメディアサービスなど）を複数のユーザに提供するために広く展開されている。高速なマルチメディアデータサービスの需要が急速に増大するにつれて、向上した性能をもつ効率的でロバストな通信システムを実装することが課題となっている。

【0003】

従来の移動電話ネットワークアクセスポイントを補うために、小カバレージアクセスポイントを展開（例えば、ユーザの家庭に設置）して、よりロバストな屋内ワイヤレスカバレージをモバイルアクセス端末に与えることができる。そのような小カバレージアクセスポイントは、フェムトアクセスポイント、アクセスポイント基地局、ホームｅＮｏｄｅＢ（「ＨｅＮＢ」）、ホームノードＢ、又はホームフェムトと呼ばれることがある。一般に、そのような小カバレージアクセスポイントは、ＤＳＬルータ又はケーブルモデムを介してインターネット及びモバイル事業者のネットワークに接続される。

【0004】

場合によっては、１つ以上のローカルサービスを小カバレージアクセスポイントと同じロケーションに展開することができる。例えば、ユーザは、ローカルコンピュータ、ローカルプリンタ、サーバ、及び他のコンポーネントをサポートするホームネットワークを有することがある。そのような場合、小カバレージアクセスポイントを介してこれらのローカルサービスへのアクセスを提供することが望ましい。例えば、ユーザが自宅にいるとき、ユーザが、ユーザのセルフォンを使用してローカルプリンタにアクセスすることを望むことがある。

【0005】

一般に、ホームネットワーク上の機器はホームルータ内のファイアウォールとネットワークアドレストランスレータ（ＮＡＴ）とによって保護されているので、パブリックインターネット上のノードはこの機器との通信を開始することができないことがある。従って、ローカルネットワークにリモートでアクセスするための効率的で有効な方法が必要である。

【発明の概要】

【0006】

優先権の主張
本出願は、各々の開示が参照により本明細書に組み込まれる、２００８年１１月１７日に出願され、代理人整理番号０９０３３１Ｐ１を付与された、同一出願人が所有する米国特許仮出願第６１／１１５，５２０号、２００９年１月１６日に出願され、代理人整理番号０９０３３１Ｐ１を付与された米国特許仮出願第６１／１４５，４２４号、２００９年２月６日に出願され、代理人整理番号０９０３３１Ｐ２を付与された米国特許仮出願第６１／１５０，６２４号、２００９年３月２７日に出願され、代理人整理番号０９０３３１Ｐ４を付与された米国特許仮出願第６１／１６４，２９２号の利益及び優先権を主張する。

【0007】

本開示の例示的な態様の概要について以下で説明する。本明細書の説明では、態様という用語への言及は、本開示の１つ以上の態様を指すことがある。

【0008】

本開示は、幾つかの態様では、ネットワーク（例えば、事業者のネットワーク、インターネットなど）に接続されたアクセス端末がフェムトアクセスポイントに関連するローカルネットワークにアクセスすることを可能にするために、複数のプロトコルトンネル（例えば、ＩＰｓｅｃトンネル）を使用することに関する。セキュリティゲートウェイとフェムトアクセスポイントとの間に第１のプロトコルトンネルを確立する。次いで、２つの方法のいずれかで第２のプロトコルトンネルを確立する。幾つかの実施形態では、アクセス端末とセキュリティゲートウェイとの間に第２のプロトコルトンネルを確立する。他の実施形態では、アクセス端末とフェムトアクセスポイントとの間に第２のプロトコルトンネルを確立し、それによってトンネルの一部分を第１のトンネルを通してルーティングする。

【0009】

これらの方式を使用することによって、アクセス端末は、アクセス端末がフェムトアクセスポイントと無線で接続されていないときでも、フェムトアクセスポイントと同じ領域中にあるローカルインターネットプロトコル（ＩＰ）ネットワーク又はサーバに到達することができる。従って、遠隔に位置するアクセス端末には、アクセス端末がフェムトアクセスポイントに無線で接続されているときと同じローカルＩＰ機能が与えられ得る。

【0010】

本開示のこれら及び他の例示的な態様について、以下の詳細な説明及び添付の特許請求の範囲、ならびに添付の図面において説明する。

【図面の簡単な説明】

【0011】

【図1】アクセス端末が、セキュリティゲートウェイにおいて終了するプロトコルトンネルを介してローカルネットワークにリモートでアクセスする、通信システムの幾つかの例示的な態様の簡略ブロック図。

【図2】セキュリティゲートウェイにおいて終了するプロトコルトンネルを介したローカルネットワークへのリモートアクセスを提供するために実行され得る動作の幾つかの例示的な態様のフローチャート。

【図3】セキュリティゲートウェイを発見するために実行され得る動作の幾つかの例示的な態様のフローチャート。

【図4】アクセス端末が階層プロトコルトンネルを介してローカルネットワークにリモートでアクセスする、通信システムの幾つかの例示的な態様の簡略ブロック図。

【図5】階層プロトコルトンネルを介したローカルネットワークへのリモートアクセスを提供するために実行され得る動作の幾つかの例示的な態様のフローチャート。

【図6】通信ノードにおいて採用され得るコンポーネントの幾つかの例示的な態様の簡略ブロック図。

【図7】ワイヤレス通信システムの簡略図。

【図8】フェムトアクセスポイントを含むワイヤレス通信システムの簡略図。

【図9】ワイヤレス通信のためのサービスエリアを示す簡略図。

【図10】通信コンポーネントの幾つかの例示的な態様の簡略ブロック図。

【図11】本明細書で教示する、ローカルネットワークへのリモートアクセスを可能にするように構成された装置の幾つかの例示的な態様の簡略ブロック図。

【図12】本明細書で教示する、ローカルネットワークへのリモートアクセスを可能にするように構成された装置の幾つかの例示的な態様の簡略ブロック図。

【図13】本明細書で教示する、ローカルネットワークへのリモートアクセスを可能にするように構成された装置の幾つかの例示的な態様の簡略ブロック図。

【図14】本明細書で教示する、ローカルネットワークへのリモートアクセスを可能にするように構成された装置の幾つかの例示的な態様の簡略ブロック図。

【図15】本明細書で教示する、ローカルネットワークへのリモートアクセスを可能にするように構成された装置の幾つかの例示的な態様の簡略ブロック図。

【図16】本明細書で教示する、ローカルネットワークへのリモートアクセスを可能にするように構成された装置の幾つかの例示的な態様の簡略ブロック図。

【発明を実施するための形態】

【0012】

慣例により、図面中に示された様々な特徴は一定の縮尺で描かれていないことがある。従って、様々な特徴の寸法は、分かりやすいように任意に拡大又は縮小されることがある。更に、図面のいくつかは、分かりやすいように簡略化されることがある。従って、図面は、所定の装置（例えば、機器）又は方法のコンポーネントの全てを示しているわけではない。最後に、明細書及び図の全体にわたって同じ特徴を示すために同じ参照番号が使用されることがある。

【0013】

本開示の様々な態様について以下で説明する。本明細書の教示は多種多様な形態で実施でき、本明細書で開示されている特定の構造、機能、又はその両方は代表的なものにすぎないことは明らかであろう。本明細書の教示に基づいて、本明細書で開示される態様は他の態様とは独立に実装できること、及びこれらの態様のうちの２つ以上を様々な方法で組み合わせることができることを、当業者なら諒解されたい。例えば、本明細書に記載の態様をいくつ使用しても、装置を実現し、又は方法を実施することができる。更に、本明細書に記載の態様のうちの１つ又は複数に加えて、或いはそれら以外の他の構造、機能、又は構造及び機能を使用して、そのような装置を実現し、又はそのような方法を実施することができる。更に、態様は、請求項の少なくとも１つの要素を備えることができる。

【0014】

図１に、例示的な通信システム１００（例えば、通信ネットワークの一部）の幾つかのノードを示す。説明のために、本開示の様々な態様について、互いに通信する１つ以上のアクセス端末、アクセスポイント、及びネットワークノードの文脈で説明する。但し、本明細書の教示は、他のタイプの装置、又は他の用語を使用して参照される他の同様の装置に適用可能であることを諒解されたい。例えば、様々な実施形態では、アクセスポイントを基地局又はｅノードＢと呼ぶこと、或いは基地局又はｅノードＢとして実装することができ得、アクセス端末をユーザ機器又はモバイルなどと呼ぶこと、或いはユーザ機器又は移動局などとして実装することができ得る。

【0015】

システム１００中のアクセスポイントは、１つ以上のサービス（例えば、ネットワーク接続性）を、システム１００のサービスエリア内に設置されるか、又はシステム１００のサービスエリア全体にわたってローミングする１つ以上のワイヤレス端末（例えば、アクセス端末１０２）に提供する。例えば、様々な時点で、アクセス端末１０２は、アクセスポイント１０６（例えば、ローカルネットワークに関連するフェムトアクセスポイント）又は他のアクセスポイント（例えば、図１に示されていないマクロアクセスポイント）に接続することができる。アクセスポイントの各々は、ワイドエリアネットワーク接続性を可能にするために１つ以上のネットワークノードと通信することができる。

【0016】

これらのネットワークノードは、例えば、１つ以上の無線及び／又はコアネットワークエンティティなどの様々な形態をとることができる。従って、様々な実施形態では、ネットワークノードは、（例えば、運用(operation)、管理(administration)、運営(management)、及びプロビジョニングエンティティ(provisioning entity)を介した）ネットワーク管理、呼制御、セッション管理、モビリティ管理、ゲートウェイ機能、インターワーキング機能、又は何らかの他の好適なネットワーク機能のうちの少なくとも１つなどの機能を提供することができる。図１の例では、例示的なネットワークノードが、公衆交換データネットワーク（ＰＳＤＮ）１０８、事業者コアネットワーククラウド１１０、セキュリティゲートウェイ１１２（例えば、フェムトセキュリティゲートウェイ）、及び認証サーバ１１４（例えば、認証、許可、及び課金（ＡＡＡ）エンティティ、ビジティングロケーションレジスタ（ＶＬＲ）、又はホームロケーションレジスタ（ＨＬＲ））によって表される。

【0017】

システム１００中のノードは、互いに通信するために様々な手段を採用することができる。そのロケーションに応じて、アクセス端末１０２は、ＩＰネットワーク１１０又はアクセスポイント１０６と（例えば、図示されていない、ＩＰネットワーク１１０のアクセスポイントに）通信することができる。図１の例では、アクセス端末１０２は、通信リンク１１８によって表されるように、（例えば、ワイヤレス接続又はワイヤード接続を介して）ＩＰネットワーク１１０に接続される。アクセスポイント１０６は、通信リンク１２２によって表されるようにルータ１２０に接続することができ、ルータ１２０は、通信リンク１２６によって表されるようにインターネット１２４に接続することができ、セキュリティゲートウェイ１１２は、通信リンク１２８によって表されるようにインターネット１２４に接続することができ、セキュリティゲートウェイ１１２は、通信リンク１３０によって表されるようにＩＰネットワーク１１０に接続することができる。

【0018】

これらの通信リンクを使用することによって、アクセス端末１０２は、システム１００中の様々なノードと通信することができる。アクセス端末１０２がＩＰネットワークに接続されると、アクセス端末１０２は、例えば、事業者コアネットワーク（例えば、セルラーネットワークのコアネットワーク）又は何らかの他のネットワークを介してサービスにアクセスすることができる。従って、アクセス端末１０２は他のアクセス端末及び他のネットワークと通信することができる。

【0019】

アクセス端末１０２がアクセスポイント１０６に接続されると、アクセス端末は、アクセスポイント１０６が常駐するローカルネットワーク上のノード、及び（ローカルノード１３４によって表される）１つ以上のローカルノードにアクセスすることができる。ローカルノード１３４は、アクセスポイント１０６と同じＩＰサブネットワーク（例えば、ルータ１２０によってサービスされるローカルエリアネットワーク）上に常駐する機器を表すことができる。この場合、ローカルネットワークにアクセスすることには、ＩＰサブネットワーク上のローカルプリンタ、ローカルサーバ、ローカルコンピュータ、別のアクセス端末、器具（例えば、防犯カメラ、空調装置など）、又は何らかの他のエンティティにアクセスすることが含まれる。アクセスポイント１０６に接続されると、アクセス端末１０２は、事業者コアネットワーク１１０を通過することなしにローカルネットワークにアクセスすることができる。このようにして、アクセス端末１０２が、例えば、ホームネットワーク又は何らかの他のローカルネットワークにあるとき、アクセス端末は、幾つかのサービスに効率的にアクセスすることができる。

【0020】

アクセス端末１０２が何らかの他のアクセスポイントに接続されている（例えば、アクセス端末１０２が別のネットワークにおいてリモートで動作している）とき、アクセス端末１０２は、ルータ１２０にあるファイアウォールにより、ローカルネットワークに容易にアクセスすることができないことがある。以下の説明では、アクセス端末がローカルネットワークにリモートでアクセスすることを可能にするための２つのアーキテクチャについて説明する。

【0021】

図１及び図２には、両方ともセキュリティゲートウェイ１１２で終了する２つのプロトコルトンネルを採用するアーキテクチャが記載されている。セキュリティゲートウェイ１１２とアクセスポイント１０６との間に第１のプロトコルトンネルを確立する。セキュリティゲートウェイ１１２とアクセス端末１０２との間に第２のプロトコルトンネルを確立する。

【0022】

図４及び図５には、両方ともアクセスポイント１０６で終了する２つのプロトコルトンネルを採用するアーキテクチャが記載されている。セキュリティゲートウェイ１１２とアクセスポイント１０６との間に第１のプロトコルトンネルを確立する。アクセスポイント１０６とアクセス端末１０２との間に第２のプロトコルトンネルを確立し、それによって第２のプロトコルトンネルの一部分を第１のプロトコルトンネル内に確立する。

【0023】

幾つかの態様では、これらのアーキテクチャは、リモートアクセスを可能にするためにセキュリティゲートウェイ１１２とアクセスポイント１０６との間に確立されたプロトコルトンネルによって開かれたＩＰポートを利用することができる。図１のアーキテクチャでは、セキュリティゲートウェイ１１２は、アクセス端末１０２からトンネルを介して受信されたパケットを検査し、これらのパケットをアクセスポイント１０６へのトンネルに転送する。図４のアーキテクチャでは、セキュリティゲートウェイは、単に、アクセス端末１０２からトンネリングされた着信パケットをアクセスポイント１０６へのトンネルにルーティングし、その逆も同様である。

【0024】

有利には、これらのアーキテクチャは、従来のフェムトアクセスポイント実施形態との良好な相乗効果を有することができる。例えば、ローカルＩＰアクセスをサポートするフェムトアクセスポイントは、アクセス端末のローカルＩＰアドレスを割り当てることと、プロキシアドレス解決プロトコル（ＡＲＰ）機能を実行することとをすでにサポートすることができる。更に、フェムトアクセスポイントは、任意のネットワークアドレス変換（ＮＡＴ）を介してフェムトアクセスポイントとそのフェムトセキュリティゲートウェイとの間を移動する、フェムトセキュリティゲートウェイとの永続的ＩＰｓｅｃトンネルをすでに有することができる。また、リモートアクセス端末アクセスのための（例えば、認証、許可、及びセキュアなＩＰｓｅｃトンネルのための）追加の認証情報（例えば、認証情報）をプロビジョニングする必要がないことがある。リモートアクセスのための認証情報は、アクセス端末がローカル（例えば、ホーム）ネットワーク又は事業者のネットワークと共有する既存の認証情報のうちの１つを使用して導出できる。

【0025】

以下の実施形態の詳細は、説明するアーキテクチャに関連して使用され得る。事業者は、リモートＩＰアクセスを予約ベースのアドオンサービスとして提供することができる。リモートＩＰアクセスをサポートするために、フェムトアクセスポイントにおいてＤＨＣＰ／ＡＲＰなどの機能が利用可能である。所定のアクセス端末が到達することができるフェムトアクセスポイントは、ホーム認証サーバにおいてアクセス端末（予約）プロファイルの一部として構成できる。フェムトアクセスポイントは、フェムト識別子によって、又は（例えば、企業展開中のフェムトアクセスポイントのグループに有用な）領域によって識別できる。ユーザは、アクセス端末において、（例えば、「Ｍｙ Ｈｏｍｅ」をクリックすることによって）要求に応じてサービスを呼び出すことができる。

【0026】

次に、再び図１を参照しながら、このアーキテクチャの例示的な態様についてより詳細に説明する。セキュリティゲートウェイ１１２は、アクセス端末１０２との確立されたプロトコルトンネルのバーチャルプライベートネットワーク（ＶＰＮ）ゲートウェイとして働く。図１では、アクセス端末１０２とセキュリティゲートウェイ１１２との間の（例えば、リンク１１８及び１３０を介した）トラフィックフローは、１対の線１３８によって表されるプロトコルトンネル（例えば、ＩＰｓｅｃトンネル）を介してルーティングされた点線１３６によって表される。ここで、アクセス端末によって送信されたパケットの内部ソースアドレス及び内部宛先アドレスは（例えば、ルータ１２０によって割り当てられる）ローカルネットワークアドレスを有し、外部ソースアドレス及び外部宛先アドレスは、例えば、それぞれ、アクセス端末１０２のマクロＩＰアドレス及びセキュリティゲートウェイ１１２のＩＰアドレスである。

【0027】

セキュリティゲートウェイ１１２は、アクセスポイント１０６との確立されたプロトコルトンネルを介して、アクセス端末１０２から受信された任意のパケットをアクセスポイント１０６に転送する。図１では、（例えば、リンク１２８、１２６、及び１２０を介した）セキュリティゲートウェイ１１２とフェムトアクセスポイント１０６との間のトラフィックフローは、１対の線１４２によって表されるプロトコルトンネル（例えば、ＩＰｓｅｃトンネル）内の点線１４０によって表される。このトンネルでは、アクセス端末によって送信されたパケットの内部ソースアドレス及び内部宛先アドレスは、同じく前のパラグラフで説明したローカルネットワークアドレスであり、外部ソースアドレス及び外部宛先アドレスは、例えば、トンネル１４２によって定義される。

【0028】

アクセス端末認証は、認証サーバ１１４（例えば、ホームＡＡＡ）で好適なアルゴリズムを使用して実行される。例えば、幾つかの実施形態は、ＥＡＰ−ＡＫＡ ＩＫＥｖ２又はＩＫＥｖ２ ＰＳＫを採用することができる（例えば、例えば事業者によって構成された、アクセス端末の既存のＩＰ予約認証情報を再利用する）。フェムトアクセスポイントは、セキュリティゲートウェイ１１２が、アクセス端末にＩＫＥｖ２の一部として割り当てるローカルＩＰを要求することができるＤＨＣＰサーバ機能を提供することができる。

【0029】

セキュリティゲートウェイ１１２は、（例えば、転送ポリシー又はターゲットアドレスに基づいて）選択されたパケットをアクセスポイント１０６からアクセス端末１０２に転送する。セキュリティゲートウェイ１１２は、アクセス端末１０２のマクロＩＰアドレスを介して到達可能である。上記の方式を使用することによって、アクセス端末１０２は、リモートＩＰアクセスのための任意の利用可能なＩＰ接続性を使用することができる。

【0030】

（例えば、アクセス端末１０２が、アクセスポイント１０２の事業者ネットワークとは異なるリモートネットワーク上にある）幾つかの実施形態では、アクセスポイント１０６からアクセス端末１０２にパケットをルーティングするときにアドレス競合が起こり得る。この問題に対処するために、トンネル１４２のために別個のチャイルドセキュリティアソシエーション（ＣＳＡ）を定義することができる。例えば、第１のＣＳＡは、アクセスポイント１０６からの、アクセス端末１０２に宛てられたトラフィック（例えば、リモートＩＰアクセストラフィック）をルーティングするために使用できる。更に、第２のＣＳＡは、アクセスポイント１０６からの、事業者コアネットワーク１１０に宛てられたトラフィックをルーティングするために使用できる。セキュリティゲートウェイ１１２は、パケットがどちらのＣＳＡ上で受信されたかに基づいて、アクセスポイント１０６から受信されたパケットをどこにルーティングすべきかを決定することができる。別の一意のプロトコルトンネルを定義する必要がなく、トンネル１４２の認証情報を再利用することができるので、ここではＣＳＡを有利に採用することができる。

【0031】

次に、システム１００の例示的な動作について、図２のフローチャートに関連してより詳細に説明する。便宜上、図２の動作（又は本明細書で説明又は教示する他の動作）については、特定のコンポーネント（例えば、システム１００のコンポーネント）によって実行されるものとして説明する。但し、これらの動作は、他のタイプのコンポーネントによって実行でき、異なる個数のコンポーネントを使用して実行できることを諒解されたい。また、本明細書で説明する動作の１つ又は複数は、所定の実施形態では採用されない場合があることを諒解されたい。

【0032】

ブロック２０２によって表されるように、ある時点において（例えば、アクセスポイント１０６が展開されるとき）、セキュリティゲートウェイ１１２とアクセスポイント１０６との間に第１のプロトコルトンネルを確立する。ここで、セキュリティゲートウェイ１１２及びアクセスポイント１０６はそれぞれ、プロトコルトンネルを確立するために対応する動作を実行する。これは、例えば、プロトコルトンネル１４２を介して送信された情報を暗号化し、解読するための暗号鍵を割り振るために、メッセージを交換することを含むことができる。更に、上述のように、このプロトコルトンネルのためにＣＳＡを確立することができる。

【0033】

ブロック２０４によって表されるように、ある時点において、アクセス端末１０２は認証情報を取得する。例えば、アクセス端末１０２のワイヤレス事業者は、アクセス端末が最初にプロビジョニングされるときに認証情報を割り当てることができる。

【0034】

ブロック２０６によって表されるように、ある時点において、アクセス端末１０２はローカルネットワーク上のアクセスポイント（例えば、アクセスポイント１０６）を識別する。例えば、これらの機器のどちらかがプロビジョニングされるとき、アクセス端末１０２をホームフェムトアクセスポイントに関連付けることができる。

【0035】

ブロック２０８によって表されるように、ある時点において、アクセス端末１０２は、アクセスポイント１０６に関連するセキュリティゲートウェイを発見する。例えば、アクセス端末１０２は、アクセスポイント１０６のワイヤレスカバレージの外にあるロケーションに存在し得るが、何らかの他のネットワーク（例えば、ワイヤレス事業者のマクロネットワーク）に接続することが可能である。この場合、アクセス端末１０２は、アクセス端末１０２がアクセスポイント１０６のローカルネットワークにアクセスできるように、アクセスポイント１０６に関連するセキュリティゲートウェイの位置を特定しようと試みることができる。図３に関連してより詳細に説明するように、これは、例えば、アクセスポイント１０６へのトンネルを確立したセキュリティゲートウェイを発見するために、１つ以上のセキュリティゲートウェイにメッセージを送信するアクセス端末１０２を含むことができる。このメッセージに関連して、アクセス端末１０２は、セキュリティゲートウェイにその認証情報を送信する。次いで、セキュリティゲートウェイは、（例えば、認証サーバ１１４と通信することによって）認証情報を認証するために適切なアクションをとる。例えば、セキュリティゲートウェイは、アクセス端末１０２の予約情報を認証サーバ１１４に送信することができる。認証サーバ１１４は、アクセス端末１０２の予約プロファイルの一部としてアクセスできるフェムトアクセスポイントのリストを維持する（即ち、アクセス端末予約プロファイルは、所定のユーザが所定のフェムトアクセスポイントを使用することを許可されるかどうかを決定する）。認証中に受信された識別子（例えば、ＮＡＩ）（例えば、アクセス端末１０２によってセキュリティゲートウェイ１１２に送信されたメッセージの結果として取得された識別子）に基づいて、認証サーバ１１４は、例えば、（アクセス端末１０２が正常に認証された場合）アクセス端末１０２がアクセスすることを許可されるフェムトアクセスポイントを識別する１つ以上のフェムト識別子をセキュリティゲートウェイに返す。受信された識別子はまた、アクセス端末がアクセスすることを希望するフェムトアクセスポイントの識別情報を更に備える（例えば、暗示するか又は中に埋め込む）ことができる（例えば、ＮＡＩの一部として含まれる）。複数のフェムト識別子が返される場合、セキュリティゲートウェイは、（例えば、フェムトアクセスポイントへのＩＰｓｅｃトンネルの可用性と、アクセス端末１０２によって示される任意の選好とに基づいて）フェムト識別子を選択する。セキュリティゲートウェイがアクセスポイント１０６へのトンネルを確立し（例えば、アクセス端末１０２がセキュリティゲートウェイ１１２に問い合わせ）、アクセス端末１０２の認証情報が認証された場合、セキュリティゲートウェイはアクセス端末に応答を送信し、エンティティはプロトコルトンネル１３８のセットアップを開始する。

【0036】

ブロック２１０によって表されるように、プロトコルトンネル１３８のセットアップに関連して、アクセス端末１０２のローカルネットワーク上のアドレスを取得する。例えば、セキュリティゲートウェイ１１２は、アクセス端末１０２に代わってローカルアドレスを要求しているアクセスポイント１０６にメッセージを送信することができる。一例として、リモートＩＰアクセス専用のＣＳＡにおいて、セキュリティゲートウェイ１１２は、アクセス端末１０２のリモートＩＰアドレスを要求するために、トンネル１４２を介してＤＨＣＰ要求又はルータ要請をアクセスポイント１０６に送信する。次いで、アクセスポイント１０６はローカルアドレスの要求をルータ１２０に送信する。アクセスポイント１０６がローカルアドレスを取得すると、アクセスポイント１０６はローカルアドレスをセキュリティゲートウェイ１１２に送信する。次いで、（例えば、プロトコルトンネル１３８が確立されると）セキュリティゲートウェイ１１２はローカルアドレスをアクセス端末１０２に転送する。例えば、割り当てられたアドレスを、ＩＫＥ＿ＡＵＴＨメッセージを介してアクセス端末１０２に送信することができる。

【0037】

ブロック２１２によって表されるように、セキュリティゲートウェイ１１２及びアクセス端末１０２はそれぞれ、プロトコルトンネル１３８を確立するために対応する動作を実行する。これは、例えば、プロトコルトンネル１３８を介して送信された情報を暗号化し、解読するための暗号鍵を割り振るために、メッセージを交換することを含むことができる。

【0038】

ブロック２１４によって表されるように、プロトコルトンネル１３８が確立されると、プロトコルトンネル１３８及び１４２を介してアクセス端末１０２とアクセスポイント１０６との間でパケットをルーティングする。ここで、セキュリティゲートウェイ１１２は、１つのトンネルを介して受信したパケットを他のトンネルにルーティングする。これは様々な方法で達成できる。場合によっては、プロトコルトンネルをセットアップするときに転送ポリシーが確立される。従って、パケットが所定のトンネルを介して受信されると、そのパケットはポリシーに基づいて転送される。ここで、セキュリティゲートウェイ１１２は、例えば、パケットをカプセル化するＩＰｓｅｃプロトコルヘッダに基づいて、所定のトンネルからのパケットを識別することができる。場合によっては、セキュリティゲートウェイ１１２は、パケットのソース（例えば、アクセス端末１０２）及び／又は宛先（例えば、アクセスポイント１０６）の識別子を取得するために、パケットを検査する。次いで、セキュリティゲートウェイ１１２は、この抽出された識別子情報に基づいて、パケットを転送するための適切なトンネルを決定する。

【0039】

アクセスポイント１０６は、トンネル１４２とローカルネットワークとの間でパケットをルーティングする。例えば、パケットがトンネル１４２を介してアクセスポイント１０６において受信されると、アクセスポイント１０６はローカルネットワーク上でのパケットの宛先を識別するためにパケットを検査する。アクセスポイント１０６は、識別された宛先にパケットを転送する。図１に、アクセスポイント１０６とローカルネットワークのローカルノード１３４との間の（例えば、ルータ１２０を介した）パケットフローのための例示的なデータ経路１４４を示す。

【0040】

上述のように、アクセスポイントに関連するローカルネットワークにリモートでアクセスするために、アクセス端末は、アクセスポイントによって使用されているセキュリティゲートウェイを発見する必要があり得る。ここで、セキュリティゲートウェイは公に到達可能である（例えば、ノードがパブリックＩＰを介してセキュリティゲートウェイに到達することができる）と仮定することができる。図３には、セキュリティゲートウェイを発見するために採用され得る２つの技法が記載されている。１つの技法は、ドメインネームサーバ（ＤＮＳ）解決及び複数の再試行を含む。他の技法は、例えば、予約情報に基づくセキュリティゲートウェイリダイレクションを含む。

【0041】

ブロック３０２によって表されるように、アクセス端末１０２は、アクセス端末１０２がアクセスすることを望む、ローカルネットワーク上のアクセスポイントを識別する。例えば、ブロック２０６に関連して上述したように、アクセス端末１０２は、アクセス端末１０２がアクセスすることを許可される、ホームネットワーク上のフェムトアクセスポイントのフェムト識別子を取得することができる。

【0042】

ブロック３０４によって表されるように、ＤＮＳ技法を採用する実施形態では、アクセス端末１０２は、システム中の１つ以上のセキュリティゲートウェイの指定されたドメインネームを含むＤＮＳクエリを送信する。このクエリに応答して、アクセス端末１０２は、１つ以上のセキュリティゲートウェイアドレスのリストを受信する。この技法を使用して、アクセス端末１０２は、各ＩＰアドレスへの接続を連続的に試みることができる。ここで、正しいセキュリティゲートウェイのみが成功することになる。正しいセキュリティゲートウェイが発見された場合、アクセス端末は、以下で説明するように、そのセキュリティゲートウェイのアドレス情報をキャッシュすることができる。実際には、ＤＮＳサーバから返されたアドレスは、通常、負荷分散のためにラウンドロビン方式でランダム化される。従って、この技法を使用した場合、単一のセキュリティゲートウェイが常に「ヒット」する可能性は低くなる。

【0043】

ブロック３０６によって表されるように、アクセス端末１０２は、セキュリティゲートウェイの発見を開始する。ＤＮＳ技法を使用する場合、アクセス端末は、この時点でＤＮＳクエリから取得されたアドレスを使用することができる。使用している技法にかかわらず、アクセス端末１０２は、そのセキュリティゲートウェイがアクセスポイント１０６へのトンネルを確立したかどうかを決定するために、選択されたセキュリティゲートウェイにメッセージを送信する。ブロック３０８によって表されるように、選択されたセキュリティゲートウェイはアクセス端末１０２からこのメッセージを受信する。

【0044】

ブロック３１０によって表されるように、セキュリティゲートウェイは、アクセスポイント１０６へのトンネルを確立したかどうかを決定する。例えば、（例えば、上記で説明したように）認証サーバ１１４から受信された１つ以上のフェムト識別子に基づいて、セキュリティゲートウェイは、対応するフェムトアクセスポイントへの事前セットアップＩＰｓｅｃトンネルがすでにあるかどうかを決定する。

【0045】

ブロック３１２によって表されるように、セキュリティゲートウェイは、ブロック３１０の決定に基づいてアクセス端末１０２に適切な応答を送信する。

【0046】

トンネルがセットアップされている場合は、トンネル１３８を確立する。ここで、トンネル１４２がリモートＩＰアクセスに関連するＣＳＡを有していない場合、セキュリティゲートウェイ１１２は、アクセスポイント１０６に別のＣＳＡを作成するように要求する。次いで、セキュリティゲートウェイ１１２は、トンネル１４２をもつ新しいＣＳＡをアクセス端末１０２に接続する。次いで、ブロック３１４によって表されるように、アクセス端末１０２が将来そのセキュリティゲートウェイの探索を回避することができるように、アクセス端末１０２は、（例えば、アクセスポイント１０６へのマッピングとともに）セキュリティゲートウェイ１１２のアドレスを維持する。

【0047】

トンネルがセットアップされていない場合、セキュリティゲートウェイは適切な応答をアクセス端末１０２に送信する。例えば、幾つかの実施形態では、セキュリティゲートウェイは、（例えば、ＩＫＥｖ２を使用した適切なエラーコードを介して）アクセス端末からの要求を拒否する。

【0048】

代替的に、リダイレクション技法を採用する実施形態では、セキュリティゲートウェイは、アクセス端末１０２を正しいセキュリティゲートウェイにリダイレクトする。ここで、事業者は、アクセスポイント識別子（例えば、フェムト識別子）をセキュリティゲートウェイアドレスにマッピングするデータベース（例えば、リダイレクションデータベース１４６）を維持する。次いで、このデータベースは、ネットワーク中のセキュリティゲートウェイのためにアクセス可能にされる。従って、セキュリティゲートウェイは、指定されたアクセスポイントに関連する正しいセキュリティゲートウェイのアドレスを決定することができ、そのアドレス情報を応答中でアクセス端末１０２に送信する。

【0049】

フェムトがセキュリティゲートウェイにおいて認証されているとき、認証サーバ１１４はセキュリティアドレスを後のために記憶することができる。ここで、ネットワーク中の様々な認証サーバ（例えば、ホームＡＡＡ）は、ネットワーク中の他の認証サーバ（例えば、フェムトＡＡＡ）からのフェムト識別子に関連するセキュリティゲートウェイアドレスを検索するための何らかの手段を有することができる。例えば、これらの様々なタイプの認証サーバは、同じエンティティ中に実装され得るか、又は同じデータベースを共有し得る。

【0050】

ブロック３１６によって表されるように、拒否応答又はリダイレクション応答の結果として、アクセス端末１０２は別のセキュリティゲートウェイの発見を開始する。例えば、リダイレクション技法を使用する実施形態では、アクセス端末１０２は、次に、応答中で与えられたアドレスに対応するセキュリティゲートウェイにアクセスする。ＤＮＳ技法を使用する実施形態では、アクセス端末１０２は、ブロック３０４において取得されたアドレスのリスト中で次のアドレスを選択する。

【0051】

以上のことから、異なる発見技法を独立して採用することができること、又は複数の発見技法を組み合わせて採用することができることを諒解されたい。例えば、アクセス端末は、セキュリティゲートウェイがリダイレクトすることができるか否かについて知っている必要がないので、ＤＮＳ技法とリダイレクション技法とを組み合わせて採用することができる。更に、セキュリティゲートウェイがアクセス端末をリダイレクトしない場合、アクセス端末は、依然として単独で次のセキュリティゲートウェイＩＰアドレスを試みる。

【0052】

次に、図４を参照しながら、システム４００によって示されるアーキテクチャの例示的な態様についてより詳細に説明する。システム４００は、図１のコンポーネントと同様であるコンポーネントを含む。詳細には、アクセス端末４０２、アクセスポイント４０６、セキュリティゲートウェイ４１２、通信リンク４１８、４２２、４２６、４２８、及び４３０、ルータ４２０、及びインターネット４２４は、図１の同様の名称を付けられたコンポーネントと同様である。図４はまた、アクセスポイント４０４が、通信リンク４１６によって表されるようにＰＳＤＮ４０８に接続することができ、ＰＳＤＮ４０８が、通信リンク４１８によって表されるように事業者ネットワーク４１０に接続することができる例を示す。（例えば、図１で説明したように）他の実施形態では、他のタイプのネットワーク接続も使用され得る。

【0053】

図１のシステム１００の場合のように、システム４００は、遠隔に位置するアクセス端末４０２が、アクセスポイント４０６が常駐するローカルネットワークにアクセスすることを可能にする。この場合も、典型的なシナリオでは、アクセスポイント４０６は、アクセス端末４０２のホームフェムトアクセスポイント、又はアクセス端末４０２によってアクセスを可能にする何らかの他のアクセスポイントである。

【0054】

このアーキテクチャでは、アクセスポイント４０６は、アクセス端末４０２との確立されたプロトコルトンネルのバーチャルプライベートネットワークゲートウェイとして働く。図４では、アクセス端末４０２とアクセスポイント４０６との間のトラフィックフローは、１対の線４３８によって表されるプロトコルトンネル（例えば、ＩＰｓｅｃトンネル）を介してルーティングされる点線４３６によって表される。ここで、アクセス端末４０２によって送信されたパケットの内部ソースアドレス及び内部宛先アドレスは、（例えば、ルータ４２０によって、アクセス端末４０２のプロキシＡＲＰとして働いているアクセスポイント４０６を通して割り当てられた）ローカルネットワークアドレスを有し、外部ソースアドレス及び外部宛先アドレスは、それぞれ、例えば、アクセス端末４０２及びアクセスポイント４０６のマクロＩＰアドレスである。

【0055】

セキュリティゲートウェイ４１２及びアクセスポイント４０６との間のトラフィックフローは、１対の線４４８によって表されるプロトコルトンネル（例えば、ＩＰｓｅｃトンネル）を介して与えられる。ここで、トンネル４３８はトンネル４４８内で搬送される（例えば、カプセル化又は階層化される）ことがわかる。従って、アクセスポイント４０２からセキュリティゲートウェイ４１２に到着するパケットは、トンネル４４８に挿入される。従って、先行するパラグラフで説明する外部ソースアドレスと外部宛先アドレスとを含むトンネル４３８の外部ヘッダは、このアーキテクチャにおいて除去されない。むしろ、外部ソースアドレス及び外部宛先アドレスの別のセットがパケットに追加され、例えば、トンネル４４８によって定義される。従って、パケットがアクセスポイント４０６に到着すると、トンネルヘッダの２つの層は、ローカルネットワークに関連するソースアドレスと宛先アドレスとをもつパケットを取得するためにパケットから除去される。

【0056】

逆に、ローカルネットワークからアクセス端末４０２にパケットを送信するとき、アクセスポイント４０６は、トンネル４３８を介して送信するためにパケットをカプセル化し、得られたパケットを、トンネル４４８を介して送信するためにカプセル化する。次いで、セキュリティゲートウェイ４１２は、トンネル４４８のヘッダを除去し、パケットをアクセス端末４０２にルーティングする。上記を念頭において、システム４００の動作に関係する追加の詳細について、図５のフローチャートを参照しながら説明する。

【0057】

ブロック５０２によって表されるように、ある時点において、セキュリティゲートウェイ４１２とアクセスポイント４０６との間に第１のプロトコルトンネルを確立する。セキュリティゲートウェイ４１２及びアクセスポイント４０６はそれぞれ、プロトコルトンネルを確立するために対応する動作を実行する。これは、例えば、プロトコルトンネル４４８を介して送信された情報を暗号化し、解読するための暗号鍵を割り振るために、メッセージを交換することを含むことができる。

【0058】

ブロック５０４によって表されるように、ある時点において、アクセス端末４０２とアクセスポイントとは認証情報（例えば、ＩＫＥｖ２ ＳＡ認証のための共有認証情報）を交換する。有利には、アクセス端末４０２においてトンネルの認証情報を事前プロビジョニングする必要がない。

【0059】

例えば、認証情報は、アクセス端末がアクセスポイント４０６を通して無線で接続されている間にローカルに導出できる。ここで、アクセスポイント４０６に無線で接続されているとき、アクセス端末がアクセスポイント４０６を介してローカルネットワークにアクセスすることが可能である場合、アクセス端末４０２はすでにローカルドメイン上の任意のＩＰホストにアクセスできる。従って、この機能は、アクセス端末がリモートロケーションにあるときに保持できる。

【0060】

ここで様々な技法が採用できる。例えば、第１の代替では、アクセス端末４０２が無線でローカルに接続している間に、事前共有鍵（ＰＳＫ）を生成するためにディフィーへルマン（Diffie-Hellman）鍵交換を実行することができる。第２の代替では、アクセス端末４０２が無線でローカルに接続している間に、事前共有鍵（ＰＳＫ）を生成するために、認証されたディフィーへルマン鍵交換を実行することができる。この場合、ユーザのサービスの予約中に、認証のために使用される秘密（例えば、パスワード）をユーザに提供することができる。ディフィーへルマン交換中に、ユーザはアクセス端末４０２上でこの秘密を入力することができる。アクセスポイント４０６は、今度は、ＰＰＰ認証及び許可中にネットワークから（例えば、ＡＡＡエンティティから）秘密を取得することができる。鍵は、ＡＡＡ交換を使用してネットワークにおいて生成することもできる（アクセスポイントはそのディフィーへルマン値をネットワークに送信する）。ディフィーへルマン交換の後、アクセス端末４０２とアクセスポイントとはＰＳＫを共有する。第３の代替では、ＭＳＫを生成するためにＥＡＰ−ＡＫＡ（ｏｖｅｒ ＰＰＰ）を使用することができ、次いでＭＳＫをＰＳＫとして使用することができる。第４の代替では、アクセス端末４０２とアクセスポイント４０６との間でＰＳＫを生成するためにＧＢＡを使用することができる。ここで、アクセスポイント４０６は、ＮＡＦの役割を果たし、ブートストラッピングのためにＢＳＦと交信することができる。ブートストラッピングの終了時に、アクセス端末４０２とアクセスポイント４０６とはＰＳＫを共有する。

【0061】

認証情報はまた、アクセス端末が（例えば、マクロアクセスポイント又はフェムトアクセスポイントを通して）リモートで接続されているときに導出できる。例えば、アクセス端末がマクロカバレージ中にある（例えば、マクロアクセスポイント４０４に接続されている）間、認証情報は、アクセス端末４０２とアクセスポイント４０６との間のＩＫＥｖ２ ＳＡ確立中に導出できる。共有鍵は、上記の代替において説明したのと同様の技法を使用して導出できる。第１及び第２の代替では、ＰＳＫは、ＩＫＥｖ２ ＩＮＩＴ＿ＳＡディフィーへルマン交換中に生成できる。第３の代替では、ＥＡＰ−ＡＫＡがＩＫＥｖ２中に実行される。第４の代替では、標準化されたＩＫＥｖ２ベースのＵａ（ＮＡＦ−ＵＥ）プロトコルとともに、ＧＢＡを使用することができる。

【0062】

アクセス端末４０２は、様々な方法でアクセスポイント４０６のＩＰアドレスを取得することができる。幾つかの実施形態では、アクセスポイント４０６がネットワークに登録されると、事業者に属するプライベートＤＮＳ中の完全修飾ドメイン名（ＦＱＤＮ）をアクセスポイント４０６に割り当てることができる。この場合、アクセス端末は、アクセスポイント４０６に到達するためにこのＦＱＤＮを使用することができる。幾つかの実施形態では、アクセス端末４０２がアクセスポイント４０６に無線で接続したときに、アクセス端末４０２はアクセスポイント４０６のＩＰアドレスを学習することができる。

【0063】

図５を再び参照すると、ブロック５０６によって表されるように、アクセス端末は、所望のローカルネットワークにアクセスするために使用すべきアクセスポイント４０６を発見する。これらの動作は、上記で説明した発見動作と同様であり得る。

【0064】

ブロック５０８によって表されるように、第２のプロトコルトンネル（トンネル４３８）の確立に関連して、アクセス端末４０２のローカルネットワーク上のアドレスを取得する。前述のように、アクセスポイント４０６はローカルアドレスの要求をルータ４２０に送信する。場合によっては、次いで、アクセスポイント４０６がローカルアドレスをセキュリティゲートウェイ４１２に送信し、今度は、セキュリティゲートウェイ４１２がローカルアドレスをアクセス端末４０２に転送する。

【0065】

ブロック５１０によって表されるように、アクセスポイント４０６及びアクセス端末４０２はそれぞれ、第２のプロトコルトンネルを確立するために対応する動作を実行する。これは、例えば、プロトコルトンネル４３８を介して送信された情報を暗号化し、解読するための暗号鍵を割り振るために、メッセージを交換することを含むことができる。

【0066】

ブロック５１２によって表されるように、プロトコルトンネル４３８が確立されると、プロトコルトンネル４３８及び４４８を介してアクセス端末４０２とアクセスポイント４０６との間でパケットをルーティングする。アクセス端末４０２から受信された、トンネリングされたパケットの場合、セキュリティゲートウェイ４１２は、トンネル４４８を介して送信するためにパケットをカプセル化した。アクセスポイント４０６から受信されたパケットの場合、セキュリティゲートウェイ４１２は、トンネル４４８のためのカプセル化を除去し、トンネリングされたパケットをアクセスポイント４０６に送信する。上記のように、これは、転送ポリシー又は何らかの他の好適な技法を使用して達成できる。

【0067】

また上記のように、アクセスポイント４０６は、トンネル４４８及び４３８とローカルネットワークとの間でパケットをルーティングする。例えば、パケットがトンネルを介してアクセスポイント４０６において受信されると、アクセスポイント４０６はローカルネットワーク上のパケットの宛先を識別するためにパケットを検査する。アクセスポイント４０６は、識別された宛先にパケットを転送する。図４に、アクセスポイント４０６とローカルネットワークのローカルノード４３４との間の（例えば、ルータ４２０を介した）パケットフローのための例示的なデータ経路４４４を示す。

【0068】

図６に、本明細書で教示するアクセス動作を実行するために、（例えば、それぞれ、アクセス端末１０２又は４０２、アクセスポイント１０６又は４０６、セキュリティゲートウェイ１１２又は４１２、及び認証サーバ１１４に対応する）アクセス端末６０２、アクセスポイント６０４、セキュリティゲートウェイ６０６、及び認証サーバ６４２などのノードに組み込むことができる幾つかの例示的なコンポーネントを示す。説明するコンポーネントは、通信システム中の他のノードに組み込むこともできる。例えば、システム中の他のノードは、同様の機能を提供するために、アクセス端末６０２と、アクセスポイント６０４と、セキュリティゲートウェイ６０６とに関して記載するコンポーネントと同様のコンポーネントを含むことができる。所定のノードは、説明するコンポーネントのうちの１つ又は複数を含むことができる。例えば、アクセス端末は、アクセス端末が複数の周波数上で動作し、及び／又は様々な技術によって通信できるようにする、複数のトランシーバコンポーネントを含むことができ得る。

【0069】

図６に示すように、アクセス端末６０２及びアクセスポイント６０４は、それぞれ、他のノードと通信するためのトランシーバ６０８及び６１０を含むことができる。トランシーバ６０８は、信号を（例えば、アクセスポイントに）送信するための送信機６１２と、（例えば、アクセスポイントから）信号を受信するための受信機６１４とを含む。同様に、トランシーバ６１０は、信号を送信するための送信機６１６と、信号を受信するための受信機６１８とを含む。

【0070】

アクセスポイント６０４及びネットワークノード６０６はまた、それぞれ、互いに又は他のネットワークノードと通信するためのネットワークインターフェース６２０及び６２２を含む。例えば、ネットワークインターフェース６２０及び６２２は、ワイヤード又はワイヤレスバックホールを介して１つ以上のネットワークノードと通信するように構成できる。

【0071】

アクセス端末６０２、アクセスポイント６０４、及びセキュリティゲートウェイ６０６は、本明細書で教示するアクセス動作と連携して使用される他のコンポーネントをも含む。例えば、アクセス端末６０２、アクセスポイント６０４、セキュリティゲートウェイ６０６、及び認証サーバ１１４は、それぞれ、他のノードとの通信を管理する（例えば、パケットを処理し、検査する、認証情報を取得する、識別子を取得する、或いはパケット、メッセージ、要求、アドレス、認証情報、応答、又はクエリを送信及び受信する）ための、及び本明細書で教示する他の関連する機能を与えるための通信コントローラ６２４、６２６、６２８、及び６４４を含むことができる。更に、アクセス端末６０２、アクセスポイント６０４、及びセキュリティゲートウェイ６０６は、それぞれ、トンネルを確立するための、及び本明細書で教示する他の関連する機能（例えば、トンネルへのアクセス端末アクセスを受け付けるか又は拒否する）を提供するためのトンネルコントローラ６２０、６３２、及び６３４を含む。アクセス端末６０２は、アクセスすべきアクセスポイントを識別するための、及び本明細書で教示する他の関連する機能を提供するためのモビリティコントローラ６３６を含む。アクセス端末６０２は、セキュリティゲートウェイアドレスを維持するための、及び本明細書で教示する他の関連する機能を提供するためのデータメモリ６３８を含む。アクセスポイント６０４は、ローカルアドレスを取得するための、及び本明細書で教示する他の関連する機能を提供するためのアドレスコントローラ６４０を含む。認証サーバ６４２は、予約情報を記憶するための、及び本明細書で教示する他の関連する機能を提供するためのデータベース６４６を含む。

【0072】

便宜のために、アクセス端末６０２及びアクセスポイント６０４を、本明細書で説明する様々な例において使用されるコンポーネントを含むものとして図６に示す。実際問題として、図示のコンポーネントのうちの１つ以上は様々な例において様々な方法で実装できる。一例として、トンネルコントローラ６３０、６３２、及び６３４は、図１の実施形態において図４の実施形態に比較して異なる機能を有することができ、及び／又は異なる方法で動作する（例えば、異なる方法でトンネルを確立する）ことができる。

【0073】

また、幾つかの実施形態では、図６のコンポーネントは、（例えば、データメモリを使用し、及び／又は組み込む）１つ以上のプロセッサ中に実装できる。例えば、ブロック６２４、６３０、６３６、及び６３８の機能はアクセス端末の１つ以上のプロセッサによって実施でき、ブロック６２０、６２６、６３２、及び６４０の機能はアクセスポイント中の１つ以上のプロセッサによって実施でき、及びブロック６２２、６２８、及び６２４の機能はネットワークノード中の１つ以上のプロセッサによって実施できる。

【0074】

上記で説明したように、幾つかの態様では、マクロスケールのカバレージ（例えば、一般にマクロセルネットワーク又はワイドエリアネットワークと呼ばれる、３Ｇネットワークなどの広域セルラーネットワーク）、及びより小さいスケールのカバレージ（例えば、住居ベース又は建築物ベースのネットワーク環境）を含むネットワーク中で、本明細書の教示を採用することができる。アクセス端末がそのようなネットワーク中を移動するとき、アクセス端末は、幾つかのロケーションでは、マクロカバレージを与えるアクセスポイントによってサービスされ、他のロケーションでは、より小規模のカバレージを与えるアクセスポイントによってサービスされることがある。幾つかの態様では、より小さいカバレージアクセスポイントを使用して、増分キャパシティの増大と、屋内カバレージと、（例えば、よりロバストなユーザ経験のための）様々なサービスとを与えることができる。

【0075】

本明細書の説明では、相対的に広いエリアにわたるカバレージを与えるノードをマクロアクセスポイントと呼び、比較的小さいエリア（例えば、住居）にわたるカバレージを与えるノードをフェムトアクセスポイントと呼ぶことがある。本明細書の教示は、他のタイプのサービスエリアに関連付けられたノードに適用できる場合があることを諒解されたい。例えば、ピコアクセスポイントは、マクロエリアよりも小さく、フェムトエリアよりも大きいエリアにわたるカバレージ（例えば、商業建築物内のカバレージ）を与えることができる。様々な適用例では、マクロアクセスポイント、フェムトアクセスポイント、又は他のアクセスポイントタイプのノードを指すために他の用語を使用することができる。例えば、マクロアクセスポイントを、アクセスノード、基地局、アクセスポイント、ｅノードＢ、マクロセルなどとして構成し、又はそのように呼ぶことがある。また、フェムトアクセスポイントを、ホームノードＢ、ホームｅノードＢ、アクセスポイント基地局、フェムトセルなどとして構成し、又はそのように呼ぶことがある。幾つかの実施形態では、ノードを１つ以上のセル又はセクタに関連付ける（例えば、分割する）ことができる。マクロアクセスポイント、フェムトアクセスポイント、又はピコアクセスポイントに関連付けられたセル又はセクタを、それぞれ、マクロセル、フェムトセル、又はピコセルと呼ぶことがある。

【0076】

図７に、本明細書の教示を実装することができ得る、幾つかのユーザをサポートするように構成されたワイヤレス通信システム７００を示す。システム７００は、例えば、マクロセル７０２Ａ〜７０２Ｇなど、複数のセル７０２の通信を可能にし、各セルは、対応するアクセスポイント７０４（例えば、アクセスポイント７０４Ａ〜７０４Ｇ）によってサービスされる。図７に示すように、アクセス端末７０６（例えば、アクセス端末７０６Ａ〜７０６Ｌ）は、時間とともにシステム全体にわたって様々な位置に分散できる。各アクセス端末７０６は、例えば、アクセス端末７０６がアクティブかどうか、及びアクセス端末７０６がソフトハンドオフ中かどうかに応じて、所定の瞬間に順方向リンク（ＦＬ）及び／又は逆方向リンク（ＲＬ）上で１つ以上のアクセスポイント７０４と通信することができ得る。ワイヤレス通信システム７００は広い地理的領域にわたってサービスを提供することができ得る。例えば、マクロセル７０２Ａ〜７０２Ｇは、近隣内の数ブロック又は地方環境の数マイルをカバーすることができる。

【0077】

図８に、１つ以上のフェムトアクセスポイントがネットワーク環境内に展開された例示的な通信システム８００を示す。特に、システム８００は、比較的小規模のネットワーク環境中に（例えば、１つ以上のユーザレジデンス８３０中に）設置された複数のフェムトアクセスポイント８１０（例えば、フェムトアクセスポイント８１０Ａ及び８１０Ｂ）を含む。各フェムトアクセスポイント８１０は、ＤＳＬルータ、ケーブルモデム、ワイヤレスリンク、又は他の接続手段（図示せず）を介して、ワイドエリアネットワーク８４０（例えば、インターネット）とモバイル事業者コアネットワーク８５０とに結合できる。以下で説明するように、各フェムトアクセスポイント８１０は、関連するアクセス端末８２０（例えば、アクセス端末８２０Ａ）、及び、随意に、他の（例えば、ハイブリッド又は外来）アクセス端末８２０（例えば、アクセス端末８２０Ｂ）にサービスするように構成できる。言い換えれば、フェムトアクセスポイント８１０へのアクセスを制限することができ、それによって、所定のアクセス端末８２０を、指定された（１つ以上の）（例えば、ホーム）フェムトアクセスポイント８１０のセットがサービスすることはできるが、指定されていないフェムトアクセスポイント８１０（例えば、ネイバーのフェムトアクセスポイント８１０）がサービスすることはできない。

【0078】

図９に、幾つかの追跡エリア９００（又はルーティングエリア又は位置登録エリア）が画定されたカバレージマップ９０２の例を示し、そのエリアの各々は幾つかのマクロサービスエリア９０４を含む。ここで、追跡エリア９０２Ａ、９０２Ｂ、及び９０２Ｃに関連付けられたカバレージのエリアは太線によって示され、マクロサービスエリア９０４は大きい六角形によって表される。追跡エリア９０２はフェムトサービスエリア９０６をも含む。この例では、フェムトサービスエリア９０６の各々（例えば、フェムトサービスエリア９０６Ｃ）を１つ以上のマクロサービスエリア９０４（例えば、マクロサービスエリア９０４Ｂ）内に示してある。但し、フェムトサービスエリア９０６の一部又は全部がマクロサービスエリア９０４内にない場合があることを諒解されたい。実際問題として、多数のフェムトサービスエリア９０６を所定のトラッキングエリア９０２又はマクロサービスエリア９０４とともに画定することができる。また、１つ以上のピコサービスエリア（図示せず）を所定の追跡エリア９０２又はマクロサービスエリア９０４内に画定することができ得る。

【0079】

再び図８を参照すると、フェムトアクセスポイント８１０の所有者は、例えば、３Ｇモバイルサービスなど、モバイル事業者コアネットワーク８５０を介して提供されるモバイルサービスに加入することができる。更に、アクセス端末８２０は、マクロ環境と、より小規模の（例えば、宅内）ネットワーク環境の両方で動作することが可能であり得る。言い換えれば、アクセス端末８２０の現在位置に応じて、アクセス端末８２０は、モバイル事業者コアネットワーク８５０に関連付けられたマクロセルアクセスポイント８６０によって、又は、フェムトアクセスポイント８１０のセットのいずれか１つ（例えば、対応するユーザレジデンス８３０内に常駐するフェムトアクセスポイント８１０Ａ及び８１０Ｂ）によってサービスされることがある。例えば、加入者は、自宅の外にいるときは標準のマクロアクセスポイント（例えば、アクセスポイント８６０）によってサービスされ、自宅の中にいるときはフェムトアクセスポイント（例えば、アクセスポイント８１０Ａ）によってサービスされる。ここで、フェムトアクセスポイント８１０は、レガシーアクセス端末８２０と後方互換性があることがある。

【0080】

フェムトアクセスポイント８１０は、単一の周波数上に展開でき、又は代替として、複数の周波数上に展開できる。特定の構成に応じて、単一の周波数、或いは複数の周波数のうちの１つ以上は、マクロアクセスポイント（例えば、アクセスポイント８６０）によって使用される１つ以上の周波数と重なることがある。

【0081】

幾つかの態様では、アクセス端末８２０は、そのような接続性が可能であるときはいつでも、好適なフェムトアクセスポイント（例えば、アクセス端末８２０のホームフェムトアクセスポイント）に接続するように構成できる。例えば、アクセス端末８２０Ａがユーザのレジデンス８３０内にあるときはいつでも、アクセス端末８２０Ａがホームフェムトアクセスポイント８１０Ａ又は８１０Ｂのみと通信することが望ましい。

【0082】

幾つかの態様では、アクセス端末８２０がマクロセルラーネットワーク８５０内で動作しているが、（例えば、好適ローミングリスト中で定義された）その最も好適なネットワーク上に常駐していない場合、アクセス端末８２０は、ベターシステムリセレクション（ＢＳＲ）プロシージャを使用して、最も好適なネットワーク（例えば、好適なフェムトアクセスポイント８１０）を探索し続け、ベターシステムリセレクションでは、より良好なシステムが現在利用可能であるかどうかを決定するために利用可能なシステムの周期的スキャニングを行い、その後、そのような好適なシステムを収集することができ得る。アクセス端末８２０は、特定の帯域及びチャネルの探索を制限することができる。例えば、１つ以上のフェムトチャネルが定義され、それにより、領域中の全てのフェムトアクセスポイント（又は全ての制限付きフェムトアクセスポイント）は（１つ以上の）フェムトチャネル上で動作することができる。最も好適なシステムの探索を周期的に繰り返すことができる。好適なフェムトアクセスポイント８１０が発見されると、アクセス端末８２０は、フェムトアクセスポイント８１０を選択し、そのサービスエリア内にあるときに使用するために登録する。

【0083】

フェムトアクセスポイントへのアクセスは、幾つかの態様では、制限されることがある。例えば、所定のフェムトアクセスポイントは、幾つかのサービスを幾つかのアクセス端末のみに提供することができる。いわゆる制限（又は限定）されたアクセスを用いた展開では、所定のアクセス端末は、マクロセルモバイルネットワークと、フェムトアクセスポイントの定義されたセット（例えば、対応するユーザレジデンス８３０内に常駐するフェムトアクセスポイント８１０）とによってのみサービスされ得る。幾つかの実施形態では、アクセスポイントは、少なくとも１つのアクセスポイントにシグナリング、データアクセス、登録、ページング、又はサービスのうちの少なくとも１つを与えないように制限され得る。

【0084】

幾つかの態様では、（限定加入者グループホームノードＢと呼ばれることもある）制限付きフェムトアクセスポイントは、制限されたプロビジョニングされたアクセス端末のセットにサービスを提供するアクセスポイントである。このセットは、必要に応じて、一時的に又は永続的に拡大できる。幾つかの態様では、限定加入者グループ（ＣＳＧ）は、アクセス端末の共通のアクセス制御リストを共有するアクセスポイント（例えば、フェムトアクセスポイント）のセットとして定義できる。

【0085】

従って、所定のフェムトアクセスポイントと所定のアクセス端末との間には様々な関係が存在する。例えば、アクセス端末の観点から、オープンなフェムトアクセスポイントは、無制限アクセスをもつフェムトアクセスポイントを指す（例えば、そのフェムトアクセスポイントは全てのアクセス端末へのアクセスを許す）。制限されたフェムトアクセスポイントは、何らかの形で制限された（例えば、アクセス及び／又は登録について制限された）フェムトアクセスポイントを指す。ホームフェムトアクセスポイントは、アクセス端末がアクセスし、その上で動作することを許可される（例えば、永続的なアクセスが、１つ以上のアクセス端末の定義されたセットに与えられる）フェムトアクセスポイントを指す。ゲスト（又はハイブリッド）フェムトアクセスポイントは、アクセス端末がアクセスし、又はその上で動作することを一時的に許可されるフェムトアクセスポイントを指す。外来フェムトアクセスポイントは、おそらく非常事態（例えば、９１１番）を除いて、アクセス端末がアクセスし、又はその上で動作することを許可されないフェムトアクセスポイントを指す。

【0086】

制限付きフェムトアクセスポイントの観点から、ホームアクセス端末は、そのアクセス端末の所有者のレジデンス中に設置された制限付きフェムトアクセスポイントへのアクセスを許可されるアクセス端末を指す（通常、ホームアクセス端末は、そのフェムトアクセスポイントへの永続的なアクセスを有する）。ゲストアクセス端末は、（例えば、デッドライン、使用時間、バイト、接続回数、又は何らかの他の１つ以上の基準に基づいて制限された）制限付きフェムトアクセスポイントへの一時的アクセスをもつアクセス端末を指す。外来アクセス端末は、例えば、おそらく９１１番などの非常事態を除いて、制限付きフェムトアクセスポイントにアクセスする許可を有していないアクセス端末（例えば、制限付きフェムトアクセスポイントに登録する認証情報又は許可を有していないアクセス端末）を指す。

【0087】

便宜上、本明細書の開示では、フェムトアクセスポイントの文脈で様々な機能について説明する。但し、ピコアクセスポイントは、より大きいサービスエリアに同じ又は同様の機能を提供することができ得ることを諒解されたい。例えば、所定のアクセス端末に対して、ピコアクセスポイントを制限すること、ホームピコアクセスポイントを定義することなどが可能である。

【0088】

本明細書の教示は、複数のワイヤレスアクセス端末のための通信を同時にサポートするワイヤレス多重アクセス通信システムにおいて採用できる。ここで、各端末は、順方向リンク及び逆方向リンク上の送信を介して１つ以上のアクセスポイントと通信することができる。順方向リンク（即ち、ダウンリンク）は、アクセスポイントから端末への通信リンクを指し、逆方向リンク（即ち、アップリンク）は、端末からアクセスポイントへの通信リンクを指す。この通信リンクは、単入力単出力システム、多入力多出力（ＭＩＭＯ）システム、又は何らかの他のタイプのシステムを介して確立できる。

【0089】

ＭＩＭＯシステムは、データ送信用の複数（Ｎ_T）個の送信アンテナ及び複数（Ｎ_R）個の受信アンテナを使用する。Ｎ_T個の送信アンテナとＮ_R個の受信アンテナとによって形成されるＭＩＭＯチャネルは、空間チャネルと呼ばれることもあるＮ_S個の独立チャネルに分解でき、ここで、Ｎ_S≦ｍｉｎ｛Ｎ_T，Ｎ_R｝である。Ｎ_S個の独立チャネルの各々は１つの次元に対応する。複数の送信アンテナ及び受信アンテナによって生成された追加の複数の次元が利用された場合、ＭＩＭＯシステムは改善された性能（例えば、より高いスループット及び／又はより大きい信頼性）を与えることができる。

【0090】

ＭＩＭＯシステムは時分割複信（ＴＤＤ）及び周波数分割複信（ＦＤＤ）をサポートすることができる。ＴＤＤシステムでは、順方向及び逆方向リンク伝送が同一周波数領域上で行われるので、相反定理による逆方向リンクチャネルからの順方向リンクチャネルの推定が可能である。これにより、複数のアンテナがアクセスポイントで利用可能なとき、アクセスポイントは順方向リンク上で送信ビーム形成利得を抽出することが可能になる。

【0091】

図１０に、例示的なＭＩＭＯシステム１０００のワイヤレス機器１０１０（例えば、アクセスポイント）及びワイヤレス機器１０５０（例えば、アクセス端末）を示す。機器１０１０では、幾つかのデータストリームのトラフィックデータが、データソース１０１２から送信（ＴＸ）データプロセッサ１０１４に供給される。各データストリームは、次いで、それぞれの送信アンテナを介して送信できる。

【0092】

ＴＸデータプロセッサ１０１４は、符号化データを与えるために、そのデータストリーム用に選択された特定の符号化方式に基づいて、データストリームごとにトラフィックデータをフォーマッティングし、符号化し、インターリーブする。各データストリームの符号化データは、ＯＦＤＭ技法を使用してパイロットデータで多重化できる。パイロットデータは、典型的には、既知の方法で処理され、チャネル応答を推定するために受信機システムにおいて使用できる既知のデータパターンである。次いで、各データストリームの多重化されたパイロットデータ及び符号化データは、変調シンボルを供給するために、そのデータストリーム用に選択された特定の変調方式（例えば、ＢＰＳＫ、ＱＳＰＫ、Ｍ−ＰＳＫ、又はＭ−ＱＡＭ）に基づいて変調（即ち、シンボルマッピング）される。各データストリームのデータレート、符号化、及び変調は、プロセッサ１０３０によって実行される命令によって決定できる。データメモリ１０３２は、プロセッサ１０３０又は機器１０１０の他のコンポーネントによって使用されるプログラムコード、データ、及び他の情報を記憶することができる。

【0093】

次いで、全てのデータストリームの変調シンボルがＴＸ ＭＩＭＯプロセッサ１０２０に供給され、ＴＸ ＭＩＭＯプロセッサ１０２０は更に（例えば、ＯＦＤＭ用に）その変調シンボルを処理することができる。次いで、ＴＸ ＭＩＭＯプロセッサ１０２０は、Ｎ_T個の変調シンボルストリームをＮ_T個のトランシーバ（ＸＣＶＲ）１０２２Ａ〜１０２２Ｔに供給する。幾つかの態様では、ＴＸ ＭＩＭＯプロセッサ１０２０は、データストリームのシンボルと、シンボルの送信元のアンテナとにビームフォーミング重みを付加する。

【0094】

各トランシーバ１０２２は、それぞれのシンボルストリームを受信し、処理して、１つ以上のアナログ信号を与え、更に、それらのアナログ信号を調整（例えば、増幅、フィルタ処理、及びアップコンバート）して、ＭＩＭＯチャネルを介して送信するのに適した変調信号を与える。次いで、トランシーバ１０２２Ａ〜１０２２ＴからのＮ_T個の変調信号は、それぞれ、Ｎ_T個のアンテナ１０２４Ａ〜１０２４Ｔから送信される。

【0095】

機器１０５０では、送信された変調信号はＮ_R個のアンテナ１０５２Ａ〜１０５２Ｒによって受信され、各アンテナ１０５２からの受信信号は、それぞれのトランシーバ（ＸＣＶＲ）１０５４Ａ〜１０５４Ｒに供給される。各トランシーバ１０５４は、それぞれの受信信号を調整（例えば、フィルタ処理、増幅、及びダウンコンバート）し、調整された信号をデジタル化して、サンプルを与え、更にそれらのサンプルを処理して、対応する「受信」シンボルストリームを与える。

【0096】

次いで、受信（ＲＸ）データプロセッサ１０６０は、特定の受信機処理技法に基づいてＮ_R個のトランシーバ１０５４からＮ_R個の受信シンボルストリームを受信し、処理して、Ｎ_T個の「検出」シンボルストリームを与える。次いで、ＲＸデータプロセッサ１０６０は、各検出シンボルストリームを復調し、デインターリーブし、復号して、データストリームに対するトラフィックデータを復元する。ＲＸデータプロセッサ１０６０による処理は、機器１０１０におけるＴＸ ＭＩＭＯプロセッサ１０２０及びＴＸデータプロセッサ１０１４によって実行される処理を補足するものである。

【0097】

プロセッサ１０７０は、どのプリコーディング行列（以下で論じる）を使用すべきかを定期的に決定する。プロセッサ１０７０は、行列インデックス部とランク値部とを備える逆方向リンクメッセージを作成する。データメモリ１０７２は、プロセッサ１０７０又は機器１０５０の他のコンポーネントによって使用されるプログラムコード、データ、及び他の情報を記憶することができる。

【0098】

逆方向リンクメッセージは、通信リンク及び／又は受信データストリームに関する様々なタイプの情報を備えることができる。次いで、逆方向リンクメッセージは、データソース１０３６から幾つかのデータストリームのトラフィックデータをも受信するＴＸデータプロセッサ１０３８によって処理され、変調器１０８０によって変調され、トランシーバ１０５４Ａ〜１０５４Ｒによって調整され、機器１０１０に戻される。

【0099】

機器１０１０では、機器１０５０からの変調信号は、アンテナ１０２４によって受信され、トランシーバ１０２２によって調整され、復調器（ＤＥＭＯＤ）１０４０によって復調され、ＲＸデータプロセッサ１０４２によって処理されて、機器１０５０によって送信された逆方向リンクメッセージが抽出される。次いで、プロセッサ１０３０は、ビームフォーミング重みを決定するためにどのプリコーディング行列を使用すべきかを決定し、次いで、抽出されたメッセージを処理する。

【0100】

図１０はまた、通信コンポーネントが、本明細書で教示するアクセス制御動作を実行する１つ以上のコンポーネントを含むことができることを示す。例えば、アクセス制御コンポーネント１０９０は、機器１０１０のプロセッサ１０３０及び／又は他のコンポーネントと協働して、本明細書で教示する別の機器（例えば、機器１０５０）との間で信号を送信／受信することができる。同様に、アクセス制御コンポーネント１０９２は、プロセッサ１０７０及び／又は機器１０５０の他のコンポーネントと協働して、別の機器（例えば、機器１０１０）との間で信号を送信／受信することができ得る。各機器１０１０及び１０５０について、説明するコンポーネントの２つ以上の機能が単一のコンポーネントによって提供できることを諒解されたい。例えば、単一の処理コンポーネントがアクセス制御コンポーネント１０９０及びプロセッサ１０３０の機能を提供し、単一の処理コンポーネントがアクセス制御コンポーネント１０９２及びプロセッサ１０７０の機能を提供することができる。幾つかの実施形態では、プロセッサ１０３０及びメモリ１０３２は、機器１０１０について本明細書で教示するアクセス関連機能及び他の機能を集合的に提供することができ、プロセッサ１０７０及びメモリ１０７２は、機器１０５０について本明細書で教示するアクセス関連機能及び他の機能を集合的に提供することができる。

【0101】

本明細書の教示は、様々なタイプの通信システム及び／又はシステムコンポーネントに組み込むことができる。幾つかの態様では、本明細書の教示は、利用可能なシステムリソースを共有することによって（例えば、帯域幅、送信電力、符号化、インターリーブなどのうちの１つ又は複数を指定することによって）、複数のユーザとの通信をサポートすることが可能な多重アクセスシステムにおいて採用できる。例えば、本明細書の教示は、符号分割多重アクセス（ＣＤＭＡ）システム、多重キャリアＣＤＭＡ（ＭＣＣＤＭＡ）、広帯域ＣＤＭＡ（Ｗ−ＣＤＭＡ）、高速パケットアクセス（ＨＳＰＡ、ＨＳＰＡ＋）システム、時間分割多重アクセス（ＴＤＭＡ）システム、周波数分割多重アクセス（ＦＤＭＡ）システム、シングルキャリアＦＤＭＡ（ＳＣ−ＦＤＭＡ）システム、直交周波数分割多重アクセス（ＯＦＤＭＡ）システム、又は他の多重アクセス技法の技術のいずれか１つ又は組合せに適用できる。本明細書の教示を採用するワイヤレス通信システムは、ＩＳ−９５、ｃｄｍａ２０００、ＩＳ−８５６、Ｗ−ＣＤＭＡ、ＴＤＳＣＤＭＡ、及び他の規格など、１つ以上の規格を実装するように設計できる。ＣＤＭＡネットワークは、国際地球無線アクセス（Universal Terrestrial Radio Access（ＵＴＲＡ））、ｃｄｍａ２０００、又は何らかの他の技術などの無線技術を実装することができる。ＵＴＲＡは、Ｗ−ＣＤＭＡ及び低チップレート（ＬＣＲ）を含む。ｃｄｍａ２０００技術は、ＩＳ−２０００、ＩＳ−９５、及びＩＳ−８５６規格をカバーする。ＴＤＭＡネットワークは、グローバルシステムフォーモバイルコミュニケーションズ（Global System for Mobile Communications（ＧＳＭ）（登録商標））などの無線技術を実装することができる。ＯＦＤＭＡネットワークは、Ｅｖｏｌｖｅｄ ＵＴＲＡ（Ｅ−ＵＴＲＡ）、ＩＥＥＥ８０２．１１、ＩＥＥＥ８０２．１６、ＩＥＥＥ８０２．２０、Ｆｌａｓｈ−ＯＦＤＭ（登録商標）などの無線技術を実装することができ得る。ＵＴＲＡ、Ｅ−ＵＴＲＡ、及びＧＳＭは、ユニバーサルモバイルテレコミュニケーションシステム（Universal Mobile Telecommunication System（ＵＭＴＳ））の一部である。本明細書の教示は、3GPP Long Term Evolution（ＬＴＥ）システム、Ultra Mobile Broadband（ＵＭＢ）システム、及び他のタイプのシステムで実装できる。ＬＴＥは、Ｅ−ＵＴＲＡを使用するＵＭＴＳのリリースである。ＵＴＲＡ、Ｅ−ＵＴＲＡ、ＧＳＭ、ＵＭＴＳ及びＬＴＥは、「3rd Generation Partnership Project」（３ＧＰＰ）と呼ばれる組織からの文書に記載されており、ｃｄｍａ２０００は、「3rd Generation Partnership Project 2」（３ＧＰＰ２）と呼ばれる組織からの文書に記載されている。本開示の幾つかの態様については、３ＧＰＰ用語を使用して説明するが、本明細書の教示は、３ＧＰＰ（例えば、Ｒｅｌ９９、Ｒｅｌ５、Ｒｅｌ６、Ｒｅｌ７）技術、ならびに３ＧＰＰ２（例えば、１ｘＲＴＴ、１ｘＥＶ−ＤＯ Ｒｅｌ０、ＲｅｖＡ、ＲｅｖＢ）技術及び他の技術に適用できることを理解されたい。

【0102】

本明細書の教示は、様々な装置（例えば、ノード）に組み込む（例えば、装置内に実装する、又は装置によって実行する）ことができる。幾つかの態様では、本明細書の教示に従って実装されるノード（例えば、ワイヤレスノード）はアクセスポイント又はアクセス端末を備えることができる。

【0103】

例えば、アクセス端末は、ユーザ機器、加入者局、加入者ユニット、移動局、モバイル、モバイルノード、リモート局、リモート端末、ユーザ端末、ユーザエージェント、ユーザ機器、又は何らかの他の用語を備えるか、それらのいずれかとして実装されるか、或いはそれらのいずれかとして知られる。幾つかの実施形態では、アクセス端末は、セルラー電話、コードレス電話、セッション開始プロトコル（ＳＩＰ）電話、ワイヤレスローカルループ（ＷＬＬ）局、携帯情報端末（ＰＤＡ）、ワイヤレス接続能力を有するハンドヘルド機器、又はワイヤレスモデムに接続された何らかの他の好適な処理機器を備えることができる。従って、本明細書で教示する１つ以上の態様は、電話（例えば、セルラー電話又はスマートフォン）、コンピュータ（例えば、ラップトップ）、携帯型通信機器、携帯型コンピューティング機器（例えば、個人情報端末）、娯楽機器（例えば、音楽機器又はビデオ機器、或いは衛星ラジオ）、全地球測位システム機器、或いはワイヤレス媒体を介して通信するように構成された他の好適機器に組み込むことができる。

【0104】

アクセスポイントは、ノードＢ、ｅノードＢ、無線ネットワークコントローラ（ＲＮＣ）、基地局（ＢＳ）、無線基地局（ＲＢＳ）、基地局コントローラ（ＢＳＣ）、送受信基地局（ＢＴＳ）、トランシーバ機能（ＴＦ）、無線トランシーバ、無線ルータ、基本サービスセット（ＢＳＳ）、拡張サービスセット（ＥＳＳ）、マクロセル、マクロノード、ホームｅＮＢ（ＨｅＮＢ）、フェムトセル、フェムトノード、ピコノード、又は何らかの他の同様の用語を備えるか、それらのいずれかとして実装されるか、或いはそれらのいずれかとして知られる。

【0105】

幾つかの態様では、ノード（例えば、アクセスポイント）は、通信システムのためのアクセスノードを備えることができる。そのようなアクセスノードは、例えば、ネットワークへのワイヤード又はワイヤレス通信リンクを介した、ネットワーク（例えば、インターネット又はセルラーネットワークなどワイドエリアネットワーク）のための、又はネットワークへの接続性を与えることができる。従って、アクセスノードは、別のノード（例えば、アクセス端末）がネットワーク又は何らかの他の機能にアクセスできるようにすることができる。更に、一方又は両方のノードはポータブルでも、場合によっては比較的非ポータブルでもよいことを諒解されたい。

【0106】

また、ワイヤレスノードは、非ワイヤレス方式で（例えば、ワイヤード接続を介して）情報を送信及び／又は受信することができることを諒解されたい。従って、本明細書で説明する受信機及び送信機は、非ワイヤレス媒体を介して通信するために適切な通信インターフェースコンポーネント（例えば、電気的又は光学的インターフェースコンポーネント）を含むことができる。

【0107】

ワイヤレスノードは、好適なワイヤレス通信技術に基づく或いはサポートする１つ以上のワイヤレス通信リンクを介して通信することができる。例えば、幾つかの態様では、ワイヤレスノードはネットワークに関連付けることができる。幾つかの態様では、ネットワークはローカルエリアネットワーク又はワイドエリアネットワークを備えることができる。ワイヤレス機器は、本明細書で説明する様々なワイヤレス通信技術、プロトコル、又は規格（例えば、ＣＤＭＡ、ＴＤＭＡ、ＯＦＤＭ、ＯＦＤＭＡ、ＷｉＭＡＸ、Ｗｉ−Ｆｉなど）のうちの１つ又は複数をサポート又は使用することができる。同様に、ワイヤレスノードは、様々な対応する変調方式又は多重化方式のうちの１つ又は複数をサポート又は使用することができる。従って、ワイヤレスノードは、上記又は他のワイヤレス通信技術を使用して１つ以上のワイヤレス通信リンクを確立し、それを介して通信するために適切なコンポーネント（例えば、エアインターフェース）を含むことができる。例えば、ワイヤレスノードは、ワイヤレス媒体上の通信を可能にする様々なコンポーネント（例えば、信号発生器及び信号処理器）を含むことができる関連する送信機コンポーネント及び受信機コンポーネントをもつワイヤレストランシーバを備えることができる。

【0108】

（例えば、添付の図の１つ又は複数に関して）本明細書で説明した機能は、幾つかの態様では、添付の特許請求の範囲において同様に指定された「手段」機能に対応することがある。図１１〜図１４を参照すると、装置１１００、１２００、１３００、及び１４００は一連の相互に関連する機能モジュールとして表される。ここで、第１のトンネル確立モジュール１１０２、第２のトンネル確立モジュール１１０４、チャイルドセキュリティアソシエーション確立モジュール１１１８、トンネルアクセス要求受信モジュール１１２０、確立されたトンネル決定モジュール１１２２、及びアクセス端末リダイレクトモジュール１１２４は、少なくとも幾つかの態様では、例えば、本明細書で説明するトンネルコントローラに対応することがある。パケット決定モジュール１１０６、受信パケット転送モジュール１１０８、アドレス要求送信モジュール１１１０、アドレス受信モジュール１１１２、アドレス送信モジュール１１１４、認証情報受信モジュール１１１６は、少なくとも幾つかの態様では、例えば、本明細書で説明する通信コントローラに対応することがある。アクセスポイント識別モジュール１２０２は、少なくとも幾つかの態様では、例えば、本明細書で説明するモビリティコントローラに対応することがある。セキュリティゲートウェイメッセージ送信モジュール１２０４、メッセージ応答受信モジュール１２０６、ＤＮＳクエリ送信モジュール１２０８、及びセキュリティゲートウェイアドレス受信モジュール１２１０は、少なくとも幾つかの態様では、例えば、本明細書で説明する通信コントローラに対応することがある。セキュリティゲートウェイアドレス維持モジュール１２１２は、少なくとも幾つかの態様では、例えば、本明細書で説明するデータメモリに対応することがある。トンネル確立モジュール１２１４は、少なくとも幾つかの態様では、例えば、本明細書で説明するトンネルコントローラに対応することがある。セキュリティゲートウェイトンネル確立モジュール１３０２、チャイルドセキュリティアソシエーション確立モジュール１３１６、及びアクセス端末トンネル確立モジュール１３１８は、少なくとも幾つかの態様では、例えば、本明細書で説明するトンネルコントローラに対応することがある。ローカルネットワークアドレス取得モジュール１３０４は、少なくとも幾つかの態様では、例えば、本明細書で説明するアドレスコントローラに対応することがある。アドレスメッセージ送信モジュール１３０６、パケット転送モジュール１３０８、アドレス要求受信モジュール１３１０、パケット検査モジュール１３１２、及びパケット転送モジュール１３１４は、少なくとも幾つかの態様では、例えば、本明細書で説明する通信コントローラに対応することがある。第１のトンネル確立モジュール１４０２及び第２のトンネル確立モジュール１４０６は、少なくとも幾つかの態様では、例えば、本明細書で説明するトンネルコントローラに対応することがある。認証情報取得モジュール１４０４、パケット受信モジュール１４１２、パケット検査モジュール１４１４、及びパケット転送モジュール１４１６は、少なくとも幾つかの態様では、例えば、本明細書で説明する通信コントローラに対応することがある。ローカルネットワークアドレス取得モジュール１４０８及びアドレス送信モジュール１４１０は、少なくとも幾つかの態様では、例えば、本明細書で説明するアドレスコントローラに対応することがある。アクセスポイント識別モジュール１５０２は、少なくとも幾つかの態様では、例えば、本明細書で説明するモビリティコントローラに対応することがある。メッセージ送信モジュール１５０４は、少なくとも幾つかの態様では、例えば、本明細書で論じる通信コントローラに対応することがある。アクセスポイント識別モジュール１６０２は、少なくとも幾つかの態様では、例えば、本明細書で説明する通信コントローラに対応することがある。識別子記憶モジュール１６０４は、少なくとも幾つかの態様では、例えば、本明細書で説明するデータベースに対応することがある。予約情報使用モジュール１６０６は、少なくとも幾つかの態様では、例えば、本明細書で説明するデータベースに対応することがある。

【0109】

図１１〜図１４のモジュールの機能は、本明細書の教示に合致する様々な方法で実装できる。幾つかの態様では、これらのモジュールの機能は、１つ以上の電気コンポーネントとして実装できる。幾つかの態様では、これらのブロックの機能は、１つ以上のプロセッサコンポーネントを含む処理システムとして実装できる。幾つかの態様では、これらのモジュールの機能は、例えば、１つ以上の集積回路（例えば、ＡＳＩＣ）の少なくとも一部を使用して実装できる。本明細書で説明するように、集積回路は、プロセッサ、ソフトウェア、他の関連したコンポーネント、又はそれらの何らかの組合せを含むことができる。これらのモジュールの機能は、本明細書で教示する方法とは別の何らかの方法で実装することもできる。幾つかの態様では、図１１〜図１４中の破線ブロックのうちの１つ又は複数は随意である。

【0110】

本明細書における「第１の」、「第２の」などの名称を使用した要素への言及は、それらの要素の数量又は順序を概括的に限定するものでないことを理解されたい。むしろ、これらの名称は、本明細書において２つ以上の要素又はある要素の複数の例を区別する便利な方法として使用できる。従って、第１及び第２の要素への言及は、そこで２つの要素のみが使用できること、又は第１の要素が何らかの方法で第２の要素に先行しなければならないことを意味するものではない。また、別段の規定がない限り、要素のセットは１つ以上の要素を備えることがある。更に、明細書又は特許請求の範囲において使用される「Ａ、Ｂ、又はＣのうちの少なくとも１つ」という形式の用語は、「Ａ又はＢ又はＣ、或いはこれらの要素の任意の組合せ」を意味する。

【0111】

情報及び信号は様々な異なる技術及び技法のいずれかを使用して表すことができることを、当業者は理解されよう。例えば、上記の説明全体にわたって言及されるデータ、命令、コマンド、情報、信号、ビット、シンボル、及びチップは、電圧、電流、電磁波、磁界又は磁性粒子、光場又は光学粒子、或いはそれらの任意の組合せによって表すことができる。

【0112】

更に、本明細書で開示した態様に関して説明した様々な例示的な論理ブロック、モジュール、プロセッサ、手段、回路、及びアルゴリズムステップのいずれかは、電子ハードウェア（例えば、ソースコーディング又は何らかの他の技法を使用して設計できる、デジタル実施形態、アナログ実施形態、又はそれら２つの組合せ）、命令を組み込んだ様々な形態のプログラム又は設計コード（便宜上、本明細書では「ソフトウェア」又は「ソフトウェアモジュール」と呼ぶことがある）、或いは両方の組合せとして実装できることを当業者は諒解されよう。ハードウェアとソフトウェアのこの互換性を明確に示すために、様々な例示的なコンポーネント、ブロック、モジュール、回路、及びステップを、上記では概してそれらの機能に関して説明した。そのような機能をハードウェアとして実装するか、ソフトウェアとして実装するかは、特定の適用例及び全体的なシステムに課される設計制約に依存する。当業者は、説明した機能を特定の適用例ごとに様々な方法で実装することができるが、そのような実装の決定は、本開示の範囲からの逸脱を生じるものと解釈すべきではない。

【0113】

本明細書で開示した態様に関して説明した様々な例示的な論理ブロック、モジュール、及び回路は、集積回路（ＩＣ）、アクセス端末、又はアクセスポイント内に実装できるか、又はそれらによって実行できる。ＩＣは、汎用プロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）又は他のプログラマブル論理機器、個別ゲート又はトランジスタロジック、個別ハードウェアコンポーネント、電子的コンポーネント、光学的コンポーネント、機械的コンポーネント、若しくは本明細書に記載の機能を実行するように設計されたそれらの任意の組合せを備えることができ、ＩＣの内部に、ＩＣの外側に、又はその両方に常駐するコード又は命令を実行することができる。汎用プロセッサはマイクロプロセッサとすることができるが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、又は状態機械とすることができる。プロセッサは、コンピューティング機器の組合せ、例えば、ＤＳＰとマイクロプロセッサとの組合せ、複数のマイクロプロセッサ、ＤＳＰコアと連携する１つ以上のマイクロプロセッサ、又は任意の他のそのような構成として実装することもできる。

【0114】

開示されたプロセス中のステップの特定の順序又は階層は例示的な手法の一例であることを理解されたい。設計の選好に基づいて、プロセス中のステップの特定の順序又は階層は本開示の範囲内のまま再構成できることを理解されたい。添付の方法クレームは、様々なステップの要素を例示的な順序で提示したものであり、提示された特定の順序又は階層に限定されるものではない。

【0115】

１つ以上の例示的な実施形態では、説明した機能はハードウェア、ソフトウェア、ファームウェア、又はそれらの任意の組合せで実装できる。ソフトウェアで実装する場合、機能は、１つ以上の命令又はコードとしてコンピュータ可読媒体上に記憶するか、或いはコンピュータ可読媒体を介して送信することができる。コンピュータ可読媒体は、ある場所から別の場所へのコンピュータプログラムの転送を可能にする任意の媒体を含む、コンピュータ記憶媒体と通信媒体の両方を含む。記憶媒体は、コンピュータによってアクセスできる任意の利用可能な媒体でよい。限定ではなく例として、そのようなコンピュータ可読媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、或いは他の光ディスクストレージ、磁気ディスクストレージ又は他の磁気記憶機器、若しくは命令又はデータ構造の形態の所望のプログラムコードを搬送又は記憶するために使用でき、コンピュータによってアクセスできる任意の他の媒体を備えることができる。また、いかなる接続もコンピュータ可読媒体と適切に呼ばれる。例えば、ソフトウェアが、同軸ケーブル、光ファイバケーブル、ツイストペア、デジタル加入者回線（ＤＳＬ）、又は赤外線、無線、及びマイクロ波などのワイヤレス技術を使用して、ウェブサイト、サーバ、又は他のリモートソースから送信される場合、同軸ケーブル、光ファイバケーブル、ツイストペア、ＤＳＬ、又は赤外線、無線、及びマイクロ波などのワイヤレス技術は、媒体の定義に含まれる。本明細書で使用するディスク（disk）及びディスク（disc）は、コンパクトディスク（disc）（ＣＤ）、レーザディスク(登録商標)（disc）、光ディスク（disc）、デジタル多用途ディスク（disc）（ＤＶＤ）、フロッピー（登録商標）ディスク（disk）及びブルーレイディスク（disc）を含み、ディスク（disk）は、通常、データを磁気的に再生し、ディスク（disc）は、データをレーザで光学的に再生する。上記の組合せもコンピュータ可読媒体の範囲内に含めるべきである。コンピュータ可読媒体は任意の好適なコンピュータプログラム製品に実装できることを諒解されたい。

【0116】

開示された態様の前述の説明は、当業者が本開示を実施又は使用できるようにするために提供されるものである。これらの態様への様々な変更は当業者にはすぐに明らかになり、本明細書で定義された包括的な原理は本開示の範囲から逸脱することなく他の態様に適用できる。従って、本開示は、本明細書で示した態様に限定されるものではなく、本明細書で開示した原理及び新規の特徴に一致する最も広い範囲を与えられるべきである。
以下に本件出願当初の特許請求の範囲に記載された発明を付記する。
［１］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間にプロトコルトンネルを確立すること、アクセス端末が遠隔でローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得すること、前記プロトコルトンネルを介して前記アドレスを含むメッセージを送信すること、前記プロトコルトンネルを介して前記ローカルネットワークと前記アクセス端末との間でパケットを転送すること、を含む、通信］の方法。
［２］ 前記アドレスを取得することはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することを含む、［１］の方法。
［３］ 前記メッセージは第１のプロトコルトンネルを介して前記セキュリティゲートウェイに送信される、［１］の方法。
［４］ 前記セキュリティゲートウェイからアドレスの要求を受信することを更に含み、前記アドレスが前記要求に応答して得られる、［３］の方法。
［５］ 前記ローカルネットワーク上の前記パケットの送信先を特定するために前記パケットを検査すること、前記特定された送信先に前記パケットを送付すること、を更に含む、［１］の方法。
［６］ 前記プロトコルトンネルに基づいて複数のチャイルドセキュリティアソシエーションを確立することを更に含み、前記チャイルドセキュリティアソシエーションの第１のものは前記アクセスポイントとオペレータコアネットワークとの間でトラフィックを搬送するためであり、前記チャイルドセキュリティアソシエーションの第２のものは前記アクセスポイントと前記アクセス端末との間にトラフィックを搬送するためである、［１］の方法。
［７］ 前記プロトコルトンネルを介して前記アクセスポイントと前記アクセス端末との間で他のプロトコルトンネルを確立することを更に含み、前記パケットは前記他のプロトコルトンネルを介して転送される、［１］の方法。
［８］ 前記アクセスポイントはフェムトアクセスポイントを含む、［１］の方法。
［９］ 前記プロトコルトンネルはＩＰｓｅｃトンネルを含む、［１］の方法。
［１０］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間にプロトコルトンネルを確立する要構成されるトンネルコントローラと、アクセス端末が遠隔でローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得するよう構成されるアクセスコントローラと、前記プロトコルトンネルを介して前記アドレスを含むメッセージを送信する要構成され、更に前記プロトコルトンネルを介して前記ローカルネットワークと前記アクセス端末との間でパケットを転送するよう構成される通信コントローラと、を具備する、通信のため］の装置。
［１１］ 前記アドレスを取得することはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することを含む、［１０］の装置。
［１２］ 前記通信コントローラは更に前記ローカルネットワーク上のパケットの送信先を特定するために前記パケットを検査し、前記特定された送信先に前記パケットを送信するように構成される［１０］の装置。
［１３］ 前記トンネルコントローラは、更に前記プロトコルトンネルに基づいて複数のチャイルドセキュリティアソシエーションを確立するように構成され、前記チャイルドセキュリティアソシエーションの第１のものは前記アクセスポイントとオペレータコアネットワークとの間でトラフィックを搬送するためであり、前記チャイルドセキュリティアソシエーションの第２のものは前記アクセスポイントと前記アクセス端末との間でトラフィックを搬送するためである、［１０］の装置。
［１４］ 前記トンネルコントローラは、更に前記プロトコルトンネルを介して前記アクセスポイントと前記アクセス端末との間に他のプロトコルトンネルを確立するように構成され、前記パケットは、前記他のプロトコルトンネルを介して転送される、［１０］の装置。
［１５］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間にプロトコルトンネルを確立する手段と、アクセス端末が遠隔でローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得する手段と、前記プロトコルトンネルを介して前記アドレスを含むメッセージを送信する手段と、前記プロトコルトンネルを介して前記ローカルネットワークと前記アクセス端末との間でパケットを転送する手段と、を具備する、通信のための装置。
［１６］ 前記アドレスを取得することはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することを含む、［１５］の装置。
［１７］ 前記ローカルネットワーク上の前記パケットの送信先を特定するために前記パケットを検査する手段と、前記特定された送信先に前記パケットを送付する手段と、を更に含む、［１５］の装置。
［１８］ 前記プロトコルトンネルに基づいて複数のチャイルドセキュリティアソシエーションを確立する手段を更に含み、前記チャイルドセキュリティ接続の第１のものは前記アクセスポイントとオペレータコアネットワークとの間でトラフィックを搬送するためであり、前記チャイルドセキュリティアソシエーションの第２のものは前記アクセスポイントと前記アクセス端末との間にトラフィックを搬送するためである、［１５］の装置。
［１９］ 前記プロトコルトンネルを介して前記アクセスポイントと前記アクセス端末との間に他のプロトコルトンネルを確立する手段を更に含み、前記パケットは、前記他のプロトコルトンネルを介して転送される、［１５］の装置。
［２０］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間にプロトコルトンネルを確立すること、アクセス端末が遠隔で前記ローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得すること、前記プロトコルトンネルを介して前記アドレスを含むメッセージを送信すること、前記プロトコルトンネルを介して前記ローカルネットワークと前記アクセス端末との間でパケットを転送すること、をコンピュータに実行させるためのコードを含むコンピュータ可読媒体を具備する、コンピュータプログラム製品。
［２１］ 前記アドレスを取得することはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することを含む、［２０］のコンピュータプログラム製品。
［２２］ 前記コンピュータ可読媒体は更に、前記コンピュータに、前記ローカルネットワーク上の前記パケットの送信先を特定するため前記パケットを検査させ、前記特定された送信先へ前記パケットを送信させるためのコードを更に含む、［２０］のコンピュータプログラム製品。
［２３］ コンピュータ可読媒体は更に、前記プロトコルトンネルに基づいて複数のチャイルドセキュリティアソシエーションを前記コンピュータに確立させるためのコードを含み、前記チャイルドセキュリティアソシエーションの第１のものは前記アクセスポイントとオペレータコアネットワークとの間でトラフィックを搬送するためであり、前記チャイルドセキュリティアソシエーションの第２のものは前記アクセスポイントと前記アクセス端末との間でトラフィックを搬送するためである、［２０］のコンピュータプログラム製品。
［２４］ 前記コンピュータ可読媒体は、更に前記プロトコルトンネルを介して前記アクセスポイントと前記アクセス端末との間に他のプロトコルトンネルを前記コンピュータに確立させるためのコードを含み、前記パケットは、前記他のプロトコルトンネルを介して転送される、［２０］のコンピュータプログラム製品。
［２５］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間に第１プロトコルトンネルを確立すること、前記アクセスポイントとアクセス端末との間に第２のプロトコルトンネルを確立するための認証情報を取得すること、前記第１のプロトコルトンネルを介して前記第２のプロトコルトンネルを確立すること、を含む、通信の方法。
［２６］ 前記認証情報がワイヤレス接続を介して前記アクセス端末と通信することによって取得される、［２５］の方法。
［２７］ 前記認証情報がインターネットキー交換手順を介して取得される、［２５］の方法。
［２８］ 前記アクセス端末が遠隔で前記ローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得すること、前記アドレスを前記第１のプロトコルトンネルを介して前記アクセス端末に送信すること、を更に含む、［２５］の方法。
［２９］ 前記アドレスはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することによって取得される、［２８］の方法。
［３０］ 前記第２のプロトコルトンネルを介して前記アクセス端末からパケットを受信すること、前記ローカルネットワーク上の前記パケットの送信先を特定するため前記パケットを検査すること、前記特定された送信先に前記パケットを送付すること、を更に含む、［２５］の方法。
［３１］ 前記アクセスポイントはフェムトアクセスポイントを含む、［２５］の方法。
［３２］ 前記第１及び第２のプロトコルトンネルはＩＰｓｅｃトンネルを含む、［２５］の方法。
［３３］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間にプロトコルトンネルを確立するよう構成されるトンネルコントローラと、前記アクセスポイントとアクセス端末との間に第２のプロトコルトンネルを確立するための認証情報を取得するように構成される通信コントローラと、を具備し、前記トンネルコントローラは、更に前記第１のプロトコルトンネルを介して前記第２のプロトコルトンネルを確立するように構成される、通信のための装置。
［３４］ 前記アクセス端末が遠隔で前記ローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得し、前記アドレスを前記第１のプロトコルトンネルを介して前記アクセス端末に送信するように構成されるアドレスコントローラを更に含む、［３３］の装置。
［３５］ 前記アドレスはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することによって取得される、［３４］の装置。
［３６］ 前記通信コントローラは更に、前記第２のプロトコルトンネルを介して前記アクセス端末からパケットを受信し、前記ローカルネットワーク上の前記パケットの送信先を特定するため前記パケットを検査し、前記特定された送信先に前記パケットを送付するように構成される、［３３］の装置。
［３７］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間にプロトコルトンネルを確立する手段と、前記アクセスポイントとアクセス端末との間に第２のプロトコルトンネルを確立するための認証情報を取得する手段と、前記第１のプロトコルトンネルを介して前記第２のプロトコルトンネルを確立する手段と、を具備する、通信のための装置。
［３８］ 前記アクセス端末が遠隔で前記ローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得する手段と、前記アドレスを前記第１のプロトコルトンネルを介して前記アクセス端末に送信する手段と、を更に含む、［３７］の装置。
［３９］ 前記アドレスはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することによって取得される、［３８］の装置。
［４０］ 前記第２のプロトコルトンネルを介して前記アクセス端末からパケットを受信する手段と、前記ローカルネットワーク上の前記パケットの送信先を特定するため前記パケットを検査する手段と、前記特定された送信先に前記パケットを送付する手段と、を更に含む、［３７］の装置。
［４１］ ローカルネットワーク上のアクセスポイントとセキュリティゲートウェイとの間にプロトコルトンネルを確立すること、前記アクセスポイントとアクセス端末との間に第２のプロトコルトンネルを確立するための認証情報を取得すること、前記第１のプロトコルトンネルを介して前記第２のプロトコルトンネルを確立すること、をコンピュータに実行させるためのコードを含むコンピュータ可読媒体を具備する、コンピュータプログラム製品。
［４２］ 前記アクセス端末が遠隔で前記ローカルネットワークをアクセスすることを可能にするために前記アクセス端末に対する前記ローカルネットワーク上のアドレスを取得すること、前記アドレスを前記第１のプロトコルトンネルを介して前記アクセス端末に送信すること、を前記コンピュータに実行させるためのコードを更に含む、［４１］のコンピュータプログラム製品。
［４３］ 前記アドレスはアドレスの要求を前記ローカルネットワーク上のローカルルータに送信することによって取得される、［４２］のコンピュータプログラム製品。
［４４］ 前記コンピュータ可読媒体は更に、前記第２のプロトコルトンネルを介して前記アクセス端末からパケットを受信すること、前記ローカルネットワーク上の前記パケットの送信先を特定するため前記パケットを検査すること、前記特定された送信先に前記パケットを送付することを前記コンピュータに実行させるためのコードを含む、［４１］のコンピュータプログラム製品。
［４５］ 加入者と関連する少なくとも一つのフェムトアクセスポイントの少なくとも一つの識別子を取得すること、認証サーバで加入者のために維持される加入情報に前記少なくとも１つの識別子を格納すること、を含む、通信の方法。
［４６］ アクセス端末が前記少なくとも一つのフェムトアクセスポイントをアクセスすることができるかどうかを決定するために前記加入情報を使用することを更に含む、［４５］の方法。
［４７］ 加入者と関連した少なくとも一つのフェムトアクセスポイントの少なくとも１つの識別子を取得するように構成される通信コントローラと、認証サーバで前記加入者に対して維持される加入情報に前記少なくとも１つの識別子を格納するように構成されるデータベースと、を具備する、通信のための装置。
［４８］ 前記データベースはアクセス端末が前記少なくとも一つのフェムトアクセスポイントをアクセスすることができるかどうかを決定するために前記加入情報を使用するように構成される、［４７］の装置。
［４９］ 加入者と関連する少なくとも一つのフェムトアクセスポイントの少なくとも一つの識別子を取得する手段と、認証サーバで加入者のために維持される加入情報に前記少なくとも１つの識別子を格納する手段と、を具備する、通信のための装置。
［５０］ アクセス端末が前記少なくとも一つのフェムトアクセスポイントアクセスすることができるかどうかを決定するために前記加入情報を使用する手段を更に含む、［４９］の装置。
［５１］ 加入者と関連した少なくとも一つのフェムトアクセスポイントの少なくとも１つの識別子をコンピュータに取得させ、認証サーバで前記加入者に対して維持される加入情報に前記少なくとも１つの識別子を前記コンピュータに格納させるコードを含むコンピュータ可読媒体を、具備するコンピュータプログラム製品。
［５２］ 前記コンピュータ可読媒体はアクセス端末が前記少なくとも１つのフェムトアクセスポイントをアクセスできるかどうかを決定するために前記加入情報を前記コンピュータに使用させるためのコードを更に含む、［５１］のコンピュータプログラム製品。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】