特表 2023-553496 第５世代（５Ｇ）通信ネットワークにおいてメッセージ検証を実行するための方法、システムおよびコンピュータ可読媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-12-21

(54)【発明の名称】第５世代（５Ｇ）通信ネットワークにおいてメッセージ検証を実行するための方法、システムおよびコンピュータ可読媒体

(51)【国際特許分類】

   H04W 12/06 20210101AFI20231214BHJP

   H04W 12/40 20210101ALI20231214BHJP

【ＦＩ】

H04W12/06

H04W12/40

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023536111

(86)(22)【出願日】2021-10-28

(85)【翻訳文提出日】2023-08-09

(86)【国際出願番号】 US2021057157

(87)【国際公開番号】W WO2022132316

(87)【国際公開日】2022-06-23

(31)【優先権主張番号】17/123,038

(32)【優先日】2020-12-15

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】ラジプット，ジャイ

(72)【発明者】

【氏名】マハランク，シャシキラン・バラチャンドラ

(72)【発明者】

【氏名】ダス，コーシック

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067DD17

5K067EE02

5K067EE10

5K067HH23

(57)【要約】

第５世代（５Ｇ）通信ネットワークにおいてメッセージ検証を実行するための方法、システムおよびコンピュータ可読媒体が開示される。第１のネットワークの第１のネットワークノードにおいて実行される１つの方法は、第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つの認証および鍵合意（ＡＫＡ）プロシージャ関連メッセージから、ユーザ機器を識別するための認証情報を取得することと、後続のメッセージを検証するために、認証情報をデータストアに記憶することと、ユーザ機器に関連する要求メッセージを受信することと、認証情報を用いて、要求メッセージが無効であると判断することと、要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行することとを含む。

【特許請求の範囲】

【請求項1】

第５世代（５Ｇ）通信ネットワークにおいてメッセージ検証を実行するための方法であって、前記方法は、
第１のネットワークの第１のネットワークノードにおいて、
第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つの認証および鍵合意（ＡＫＡ）プロシージャ関連メッセージから、前記ユーザ機器を識別するための認証情報を取得することと、
後続のメッセージを検証するために、前記認証情報をデータストアに記憶することと、
前記ユーザ機器に関連する要求メッセージを受信することと、
前記認証情報を用いて、前記要求メッセージが無効であると判断することと、
前記要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行することとを含む、方法。

【請求項2】

前記認証情報を用いて、前記要求メッセージが無効であると判断することは、
前記要求メッセージ内のユーザ機器識別子を用いて、前記データストアから前記認証情報を取得することと、
前記認証情報を用いて、前記ユーザ機器が前記要求メッセージの発信元である前記ネットワークにローミングしていることを確認できないと判断することとを含む、請求項１に記載の方法。

【請求項3】

前記要求メッセージは、５Ｇコア要求メッセージを含む、請求項１または請求項２に記載の方法。

【請求項4】

前記少なくとも１つのＡＫＡプロシージャ関連メッセージは、前記認証情報を含む１つ以上のデータタイプを含む、先行する請求項のいずれかに記載の方法。

【請求項5】

前記認証情報は、認証ステータス、ネットワーク識別子、ネットワークノード識別子、加入永続識別子（ＳＵＰＩ）、サービングネットワーク名、または公衆陸上移動体ネットワーク（ＰＬＭＮ）識別子を含む、先行する請求項のいずれかに記載の方法。

【請求項6】

前記第１のネットワークノードは、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）、５Ｇコアネットワーク機能、ネットワークプロキシ、またはネットワークゲートウェイを含む、先行する請求項のいずれかに記載の方法。

【請求項7】

前記少なくとも１つのＡＫＡプロシージャ関連メッセージは、前記第２のネットワークの第２のネットワークノードを介して送信され、
前記第２のネットワークノードは、コンシューマネットワーク機能（ＮＦ）、ポリシー制御機能（ＰＣＦ）、アクセスおよびモビリティ管理機能（ＡＭＦ）、セッション管理機能（ＳＭＦ）、ネットワークリポジトリ機能（ＮＲＦ）、ネットワークスライス選択機能（ＮＳＳＦ）、または５Ｇコアネットワーク機能を含む、先行する請求項のいずれかに記載の方法。

【請求項8】

前記無効メッセージ動作は、前記要求メッセージを破棄すること、またはネットワーク管理者もしくは管理システムに通知することを含む、先行する請求項のいずれかに記載の方法。

【請求項9】

前記第１のネットワークは、ホーム公衆陸上移動体ネットワーク（ＰＬＭＮ）であり、
前記第２のネットワークは、訪問先ＰＬＭＮである、先行する請求項のいずれかに記載の方法。

【請求項10】

第５世代（５Ｇ）通信ネットワークにおいてメッセージ検証を実行するためのシステムであって、前記システムは、第１のネットワークの第１のネットワークノードを備え、
前記第１のネットワークノードは、少なくとも１つのプロセッサと、メモリとを含み、
前記第１のネットワークノードは、
第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つの認証および鍵合意（ＡＫＡ）プロシージャ関連メッセージから、前記ユーザ機器を識別するための認証情報を取得し、
後続のメッセージを検証するために、前記認証情報をデータストアに記憶し、
前記ユーザ機器に関連する要求メッセージを受信し、
前記認証情報を用いて、前記要求メッセージが無効であると判断し、
前記要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行するように構成されている、システム。

【請求項11】

前記第１のネットワークノードは、前記要求メッセージ内のユーザ機器識別子を用いて、前記データストアから前記認証情報を取得し、前記認証情報を用いて、前記ユーザ機器が前記要求メッセージの発信元である前記ネットワークにローミングしていることを確認できないと判断することによって、前記認証情報を用いて前記要求メッセージが無効であると判断するように構成されている、請求項１０に記載のシステム。

【請求項12】

前記要求メッセージは、５Ｇコア要求メッセージを含む、請求項１０または請求項１１に記載のシステム。

【請求項13】

前記少なくとも１つのＡＫＡプロシージャ関連メッセージは、前記認証情報を含む１つ以上のデータタイプを含む、請求項１０から請求項１２のいずれかに記載のシステム。

【請求項14】

前記認証情報は、認証ステータス、ネットワーク識別子、ネットワークノード識別子、加入永続識別子（ＳＵＰＩ）、サービングネットワーク名、または公衆陸上移動体ネットワーク（ＰＬＭＮ）識別子を含む、請求項１０から１３のいずれかに記載のシステム。

【請求項15】

前記第１のネットワークノードは、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）、５Ｇコアネットワーク機能、ネットワークプロキシ、またはネットワークゲートウェイを含む、請求項１０から１４のいずれかに記載のシステム。

【請求項16】

前記少なくとも１つのＡＫＡプロシージャ関連メッセージは、前記第２のネットワークの第２のネットワークノードを介して送信され、
前記第２のネットワークノードは、コンシューマネットワーク機能（ＮＦ）、ポリシー制御機能（ＰＣＦ）、アクセスおよびモビリティ管理機能（ＡＭＦ）、セッション管理機能（ＳＭＦ）、ネットワークリポジトリ機能（ＮＲＦ）、ネットワークスライス選択機能（ＮＳＳＦ）、または５Ｇコアネットワーク機能を含む、請求項１０から１５のいずれかに記載のシステム。

【請求項17】

前記無効メッセージ動作は、前記要求メッセージを破棄すること、またはネットワーク管理者もしくは管理システムに通知することを含む、請求項１０から１６のいずれかに記載のシステム。

【請求項18】

前記第１のネットワークは、ホーム公衆陸上移動体ネットワーク（ＰＬＭＮ）であり、
前記第２のネットワークは、訪問先ＰＬＭＮである、請求項１０から１７のいずれかに記載のシステム。

【請求項19】

コンピュータの少なくとも１つのプロセッサによって実行されると、コンピュータに以下のステップを実行させる実行可能な命令を記憶する非一時的コンピュータ可読媒体であって、
前記ステップは、第１のネットワークの第１のネットワークノードにおいて、
第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つの認証および鍵合意（ＡＫＡ）プロシージャ関連メッセージから、前記ユーザ機器を識別するための認証情報を取得するステップと、
後続のメッセージを検証するために、前記認証情報をデータストアに記憶するステップと、
前記ユーザ機器に関連する要求メッセージを受信するステップと、
前記認証情報を用いて、前記要求メッセージが無効であると判断するステップと、
前記要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行するステップとを含む、非一時的コンピュータ可読媒体。

【請求項20】

前記認証情報を用いて、前記要求メッセージが無効であると判断するステップは、
前記要求メッセージ内のユーザ機器識別子を用いて、前記データストアから前記認証情報を取得することと、
前記認証情報を用いて、前記ユーザ機器が前記要求メッセージの発信元である前記ネットワークにローミングしていることを確認できないと判断することとを含む、請求項１９に記載の非一時的コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

優先権主張
本願は、２０２０年１２月１５日に提出された米国特許出願第１７／１２３０３８号の優先権利益を主張する。その開示の全体は、参照により本明細書に組み込まれる。

【0002】

技術分野
本明細書に記載された主題は、第５世代（５Ｇ）通信ネットワークのセキュリティ強化に関する。より具体的には、本明細書に記載された主題は、５Ｇ通信ネットワークにおいてメッセージ検証を実行するための方法、システム、およびコンピュータ可読媒体に関する。

【背景技術】

【0003】

背景
第５世代（５Ｇ）通信ネットワークにおいて、サービスを提供するネットワークノードは、プロデューサ（producer）ネットワーク機能（ＮＦ）と呼ばれている。サービスを消費するネットワークノードは、コンシューマ（consumer）ＮＦと呼ばれている。ネットワーク機能は、それがサービスを消費しているかまたは提供しているかに応じて、プロデューサＮＦおよびコンシューマＮＦの両方であり得る。

【0004】

特定のプロデューサＮＦは、多くのサービスエンドポイントを有することができる。サービスエンドポイントは、プロデューサＮＦによってホストされている１つ以上のＮＦインスタンスの接点である。サービスエンドポイントは、インターネットプロトコル（ＩＰ）アドレスおよびポート番号の組み合わせ、またはプロデューサＮＦをホストするネットワークノードのＩＰアドレスおよびポート番号に分解した完全修飾ドメイン名によって識別されている。ＮＦインスタンスは、サービスを提供するプロデューサＮＦのインスタンスである。特定のプロデューサＮＦは、複数のＮＦインスタンスを含み得る。なお、複数のＮＦインスタンスは、同じサービスエンドポイントを共有することもできる。

【0005】

プロデューサＮＦは、ネットワーク機能リポジトリ機能（ＮＲＦ）に登録する。ＮＲＦは、各ＮＦインスタンスによってサポートされているサービスを識別するための利用可能なＮＦインスタンスのサービスプロファイルを保持する。コンシューマＮＦは、ＮＲＦに登録したプロデューサＮＦインスタンスに関する情報を受信するように加入することができる。コンシューマＮＦに加えて、ＮＦサービスインスタンスに関する情報を受信するように加入することができる別のタイプのネットワークノードは、サービス通信プロキシ（ＳＣＰ）である。ＳＣＰは、ＮＲＦに加入し、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦは、サービス通信プロキシに接続し、サービス通信プロキシは、必要なサービスを提供するプロデューサＮＦサービスインスタンスの間でトラフィックを負荷分散するか、またはトラフィックを宛先のプロデューサＮＦインスタンスに直接にルーティングする。

【0006】

ＳＣＰに加えて、プロデューサＮＦとコンシューマＮＦとの間でトラフィックをルーティングする一組の中間プロキシノードまたはネットワークノードの他の例は、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）、サービスゲートウェイ、および５Ｇサービスメッシュのノードを含む。ＳＥＰＰは、異なる５Ｇ公衆陸上移動体ネットワーク（ＰＬＭＮ）の間に交換される制御プレーントラフィックを保護するために使用されているネットワークノードである。したがって、ＳＥＰＰは、全てのアプリケーションプログラミングインターフェイス（ＡＰＩ）メッセージに対して、メッセージフィルタリング、ポリシング、およびトポロジ隠蔽を実行する。

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、１つ以上のＮＦのセキュリティ対策を改善する必要がある。

【課題を解決するための手段】

【0008】

概要
第５世代（５Ｇ）通信ネットワークにおいてメッセージ検証を実行するための方法、システムおよびコンピュータ可読媒体が開示される。５Ｇ通信ネットワークにおいてメッセージ検証を実行するための１つの例示的な方法は、第１のネットワークの第１のネットワークノードにおいて、第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つの認証および鍵合意（ＡＫＡ）プロシージャ関連メッセージから、ユーザ機器を識別するための認証情報を取得することと、後続のメッセージを検証するために、認証情報をデータストアに記憶することと、ユーザ機器に関連する要求メッセージを受信することと、認証情報を用いて、要求メッセージが無効であると判断することと、要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行することとを含む。

【0009】

５Ｇ通信ネットワークにおいてメッセージ検証を実行するための１つの例示的なシステムは、少なくとも１つのプロセッサとメモリとを含む第１のネットワークの第１のネットワークノードを備える。第１のノードは、第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つの認証および鍵合意（ＡＫＡ）プロシージャ関連メッセージから、ユーザ機器を識別するための認証情報を取得し、後続のメッセージを検証するために、認証情報をデータストアに記憶し、ユーザ機器に関連する要求メッセージを受信し、認証情報を用いて、要求メッセージが無効であると判断し、要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行するように構成されている。

【0010】

１つの例示的な非一時的コンピュータ可読媒体は、コンピュータ実行可能な命令を含み、当該命令は、非一時的コンピュータ可読媒体に具現化され、少なくとも１つのコンピュータの少なくとも１つのプロセッサによって実行されると、少なくとも１つのコンピュータに、以下のステップを実行させる。当該ステップは、第１のネットワークの第１のネットワークノードにおいて、第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つの認証および鍵合意（ＡＫＡ）プロシージャ関連メッセージから、ユーザ機器を識別するための認証情報を取得するステップと、後続のメッセージを検証するために、認証情報をデータストアに記憶するステップと、ユーザ機器に関連する要求メッセージを受信するステップと、認証情報を用いて、要求メッセージが無効であると判断するステップと、要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行するステップとを含む。

【0011】

本明細書に記載された主題の一態様によれば、認証情報を用いて、要求メッセージが無効であると判断することは、要求メッセージ内のユーザ機器識別子を用いて、データストアから認証情報を取得することと、認証情報を用いて、ユーザ機器が要求メッセージの発信元であるネットワークにローミングしていることを確認できないと判断することとを含み得る。

【0012】

本明細書に記載された主題の一態様によれば、メッセージ検証を実行するための要求メッセージは、nudm-sdmサービスメッセージ、nudm-uecmサービスメッセージ、npcf-ueポリシサービスメッセージ、nsmf-pduセッションサービスメッセージ、nnrf-discサービスメッセージ、またはnnrf-nfmサービスメッセージを含み得る。

【0013】

本明細書に記載された主題の一態様によれば、ＡＫＡプロシージャ関連メッセージは、AuthenticationInfoデータタイプ、UEAuthenticationCtxデータタイプ、ConfirmationDataデータタイプ、またはConfirmationDataResponseデータタイプを含むメッセージを含み得る。

【0014】

本明細書に記載された主題の一態様によれば、ユーザ機器またはネットワークを識別するために使用可能な認証情報は、ネットワーク識別子、ユーザ機器識別子、ネットワークノード識別子、加入永続識別子（ＳＵＰＩ）、加入隠蔽識別子（ＳＵＣＩ）、または公衆陸上移動体ネットワーク（ＰＬＭＮ）識別子を含み得る。

【0015】

本明細書に記載された主題の一態様によれば、第１のネットワークノードは、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）、５Ｇコアネットワーク機能、ネットワークプロキシ、またはネットワークゲートウェイを含む。

【0016】

本明細書に記載された主題の一態様によれば、少なくとも１つのＡＫＡプロシージャ関連メッセージは、第２のネットワークの第２のネットワークノードを介して送信され、第２のネットワークノードは、コンシューマネットワーク機能（ＮＦ）、ポリシー制御機能（ＰＣＦ）、アクセスおよびモビリティ管理機能（ＡＭＦ）、セッション管理機能（ＳＭＦ）、ネットワークリポジトリ機能（ＮＲＦ）、ネットワークスライス選択機能（ＮＳＳＦ）、または５Ｇコアネットワーク機能を含む。

【0017】

本明細書に記載された主題の一態様によれば、無効メッセージ動作は、要求メッセージを破棄すること、またはネットワーク管理者もしくは管理システムに通知することを含み得る。

【0018】

本明細書に記載された主題の一態様によれば、第１のネットワークは、ホームＰＬＭＮであってもよく、第２のネットワークは、訪問先ＰＬＭＮであってもよい。

【0019】

本明細書に記載された主題は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組み合わせで実現されてもよい。したがって、本明細書に使用されている「機能」、「ノード」または「モジュール」という用語は、ソフトウェアおよび／またはファームウェアコンポーネントを含んでもよく、記載された特徴を実装するためのハードウェアを指す。１つの例示的な実装形態において、本明細書に記載された主題は、コンピュータのプロセッサによって実行されると、ステップを実行するようにコンピュータを制御するためのコンピュータ実行可能な命令を記憶するコンピュータ可読媒体を用いて実装されてもよい。本明細書に記載された主題を実装するのに適した例示的なコンピュータ可読媒体は、ディスクメモリ装置、チップメモリ装置、プログラマブル論理装置、および特定用途向け集積回路などの非一時的コンピュータ可読媒体を含む。さらに、本明細書に記載された主題を実装するコンピュータ可読媒体は、１つの装置またはコンピューティングプラットフォーム上に配置されてもよく、複数の装置またはコンピューティングプラットフォームにわたって分散されてもよい。

【0020】

添付の図面を参照して、本明細書に記載された主題を説明する。

【図面の簡単な説明】

【0021】

【図1】例示的な第５世代（５Ｇ）ネットワークアーキテクチャを示すネットワーク図である。

【図2】５Ｇ通信ネットワークにおいてメッセージ検証を実行するための例示的なノードを示す図である。

【図3】コンシューマネットワーク機能（ＮＦ）および認証サーバ機能（ＡＵＳＦ）が関与する例示的な認証および鍵合意（ＡＫＡ）プロシージャを示すメッセージフロー図である。

【図4】様々な５Ｇサービスメッセージに関連する例示的な識別データを示す図である。

【図5A】認証プロシージャに関連するメッセージから、ユーザ機器（ＵＥ）識別子を取得することを示すメッセージフロー図である。

【図5B】認証プロシージャに関連するメッセージから、ユーザ機器（ＵＥ）識別子を取得することを示すメッセージフロー図である。

【図6】５Ｇ通信ネットワークにおいて例示的なメッセージ検証を示すメッセージフロー図である。

【図7】５Ｇ通信ネットワークにおいてメッセージ検証を実行するための例示的なプロセスを示すフローチャートである。

【発明を実施するための形態】

【0022】

詳細な説明
本明細書に記載された主題は、第５世代（５Ｇ）通信ネットワークにおいてメッセージ検証を実行するための方法、システム、およびコンピュータ可読媒体に関する。本明細書に記載された主題のいくつかの態様によれば、ユーザ機器（ＵＥ）認証プロシージャ（例えば、５Ｇ認証および鍵合意（ＡＫＡ）プロシージャ）から取得または導出され、記憶されている認証情報を用いて、メッセージ検証を実行するための方法、システム、メカニズムおよび／または技術が提供される。例えば、本明細書に記載された様々な態様に従って、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）は、ＵＥを認証するための５Ｇ ＡＫＡプロシージャに関連するメッセージを監視することによって、ＵＥに関連する認証情報（例えば、ＵＥ識別子、サービングＰＬＭＮ識別子、およびＵＥ認証ステータス）を取得または導出することができる。この例において、ＳＥＰＰは、同じ認証情報を用いて、ＵＥに関連する後続のＰＬＭＮ間メッセージを検証することによって、セキュリティ攻撃および他の問題を回避または軽減することができる。有利なことに、本明細書に記載の１つ以上の技術および／または方法を利用することによって、ＳＥＰＰまたは別のネットワークノードは、ＰＬＭＮ間トラフィックを使用するＤＯＳ攻撃を防止し、ホームネットワークからの加入者データの盗難を防止し、および／または加入者レベルの認証を実現することができる。

【0023】

次に、本明細書に記載された主題の様々な実施形態を詳細に説明する。主題の例示は、添付の図面に示されている。可能な限り、図面の全体において、同じ参照番号を用いて、同じまたは同様の部品を示す。

【0024】

図１は、例示的な５Ｇシステムネットワークアーキテクチャ、例えば、ホーム５Ｇコア（５ＧＣ）ネットワークを示すブロック図である。図１のアーキテクチャは、同じホーム公衆陸上移動体ネットワーク（ＰＬＭＮ）に配置され得るＮＲＦ１００とＳＣＰ１０１とを含む。上述したように、ＮＲＦ１００は、利用可能なプロデューサＮＦサービスインスタンスおよびサポートされているサービスのプロファイルを保持し、コンシューマＮＦまたはＳＣＰが新しい／更新されたプロデューサＮＦサービスインスタンスの登録に加入し、その登録を通知されることを可能にすることができる。また、ＳＣＰ１０１は、プロデューサＮＦインスタンスのサービス発見および選択をサポートすることができる。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの間の接続の負荷分散を実行することができる。さらに、ＳＣＰ１０１は、本明細書に記載された方法を用いて、好ましいＮＦ場所に基づいた選択およびルーティングを行うことができる。

【0025】

ＮＲＦ１００は、プロデューサＮＦインスタンスのＮＦまたはサービスプロファイルのリポジトリである。コンシューマＮＦまたはＳＣＰは、プロデューサＮＦインスタンスと通信するために、ＮＲＦ１００から、ＮＦもしくはサービスプロファイルまたはプロデューサＮＦインスタンスを取得しなければならない。ＮＦまたはサービスプロファイルは、第３世代パートナーシッププロジェクト（３ＧＰＰ（登録商標））技術仕様書（ＴＳ）２９．５１０に定義されているJavaScript（登録商標）オブジェクト表記法（ＪＳＯＮ）データ構造である。ＮＦまたはサービスプロファイル定義は、完全修飾ドメイン名（ＦＱＤＮ）、インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）アドレスまたはＩＰバージョン６（ＩＰｖ６）アドレスのうち、少なくとも１つを含む。図１において、（ＮＲＦ１００以外の）任意のノードは、サービスを要求しているかまたは提供しているかに応じて、コンシューマＮＦまたはプロデューサＮＦのいずれかであってもよい。図示の例において、ノードは、ネットワークにおいてポリシーに関連する動作を実行するポリシー制御機能（ＰＣＦ）１０２と、ユーザデータを管理するユーザデータ管理（ＵＤＭ）機能１０４と、アプリケーションサービスを提供するアプリケーション機能（ＡＦ）１０６とを含む。図１に示されたノードは、アクセスおよびモビリティ管理機能（ＡＭＦ）１１０とＰＣＦ１０２との間のセッションを管理するセッション管理機能（ＳＭＦ）１０８をさらに含む。ＡＭＦ１１０は、モビリティ管理エンティティ（ＭＭＥ）が４Ｇネットワークにおいて実行している動作と同様のモビリティ管理動作を実行する。認証サーバ機能（ＡＵＳＦ）１１２は、ネットワークへのアクセスを求めるユーザ機器（ＵＥ）１１４などのユーザ機器の認証サービスを実行する。

【0026】

ネットワークスライス選択機能（ＮＳＳＦ）１１６は、ネットワークスライスに関連する特定のネットワーク能力および特性にアクセスしようとする装置に、ネットワークスライスサービスを提供する。ネットワーク露出機能（ＮＥＦ）１１８は、ネットワークに接続されたＩｏＴ（Internet of things）装置および他のＵＥに関する情報を取得しようとするアプリケーション機能に対して、アプリケーションプログラミングインターフェイス（ＡＰＩ）を提供する。ＮＥＦ１１８は、４Ｇネットワークのサービス能力露出機能（ＳＣＥＦ）と同様の機能を実行する。

【0027】

無線アクセスネットワーク（ＲＡＮ）１２０は、無線リンクを介して、ＵＥ１１４をネットワークに接続する。g-Node B（ｇＮＢ）（図１に図示せず）または他の無線アクセスポイントを用いて、無線アクセスネットワーク１２０にアクセスすることができる。ユーザプレーン機能（ＵＰＦ）１２２は、ユーザプレーンサービスの様々なプロキシ機能をサポートすることができる。このようなプロキシ機能の一例は、マルチパス伝送制御プロトコル（ＭＰＴＣＰ）プロキシ機能である。また、ＵＰＦ１２２は、性能測定機能をサポートすることができる。ＵＥ１１４は、性能測定機能を用いて、ネットワーク性能測定値を取得することができる。また、図１は、データネットワーク（ＤＮ）１２４を示しており、ＵＥは、ＤＮ１２４を介して、インターネットサービスなどのデータネットワークサービスを利用する。

【0028】

セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）１２６は、別のＰＬＭＮから着信するトラフィックをフィルタリングし、ホームＰＬＭＮから発信するトラフィックのトポロジ隠蔽を実行する。ＳＥＰＰ１２６は、外部ＰＬＭＮに配置され、外部ＰＬＭＮのセキュリティを管理するためのＳＥＰＰと通信することができる。したがって、異なるＰＬＭＮに配置されたＮＦ間のトラフィックは、ホームＰＬＭＮ用および外部ＰＬＭＮ用の２つのＳＥＰＰ機能をトラバースすることができる。

【0029】

ＳＥＰＰ１２６は、Ｎ３２－ｃインターフェイスとＮ３２－ｆインターフェイスとを利用することができる。Ｎ３２－ｃインターフェイスは、初期ハンドシェイク（例えば、ＴＬＳハンドシェイク）を実行し、Ｎ３２－ｆインターフェイス接続および関連メッセージ転送のための様々なパラメータをネゴシエートするために使用可能な２つのＳＥＰＰ間の制御プレーンインターフェイスである。Ｎ３２－ｆインターフェイスは、アプリケーションレベルのセキュリティ保護を適用した後に、コンシューマＮＦとプロデューサＮＦとの間の様々な通信（例えば、５ＧＣ要求）を転送するために使用可能な２つのＳＥＰＰ間の転送インターフェイスである。

【0030】

既存の５Ｇアーキテクチャに関する１つの課題は、既存の５Ｇアーキテクチャがリソースまたはオブジェクトレベルの認証を利用しないことである。代わりに、既存の５Ｇアーキテクチャは、ＡＰＩアクセスに基づく認証モデルを利用する。例えば、信頼できる（ただし、侵害またはハッキングされた）訪問先ＰＬＭＮ（Ｖ－ＰＬＭＮ）内の侵害されたＡＭＦがｎｕｄｍ－ｓｄｍサービスにアクセスできる場合、ＡＭＦは、ホームネットワークまたはその中のネットワークノードが関連するＵＥが実際にローミングしているかを確認することなく、ホームネットワークのＵＤＭからＵＥ加入データを要求し、受信することができる。別の例において、信頼できるＶ－ＰＬＭＮ内の侵害されたＳＥＰＰは、相当な数のＰＬＭＮ間メッセージをホームＰＬＭＮ内のＳＥＰＰに送信することによって、シグナリングストームをトリガするまたはサービス拒否（ＤＯＳ）攻撃を開始することができる。したがって、ホームＰＬＭＮ内のＳＥＰＰは、信頼されたが侵害されたＶ－ＰＬＭＮを殆ど保護できない。

【0031】

図２は、５Ｇ通信ネットワークにおいてメッセージ検証を実行するための例示的なノード２００を示す図である。ノード２００は、メッセージ検証を実行するための任意の適切なエンティティを表すことができる。いくつかの実施形態において、ノード２００は、１つ以上の５ＧＣ ＮＦ、例えば、ＳＥＰＰ、ＮＲＦ、ＰＣＦ、ＮＳＳＦ、ＮＥＦ、ＵＤＭ、ＡＵＳＦ、ＵＤＲ、バインディングサポート機能（ＢＳＦ）、または非構造化データ記憶機能（ＵＤＳＦ）を表し、または含み得る。いくつかの実施形態において、ノード２００は、ネットワークゲートウェイ、ネットワークプロキシ、エッジセキュリティ装置、または関連する機能を表し、または含み得る。

【0032】

いくつかの実施形態において、ノード２００または関連するモジュールは、ＡＫＡプロシージャ中に取得されたＵＥ関連認証情報を用いて、（例えば、プログラミング論理を介して）ＰＬＭＮ間メッセージのメッセージ検証を実行することによって、５Ｇホームネットワーク内のネットワークノードと相互作用する未承認エンティティおよび／または悪質なエンティティの影響を低減または軽減するように構成されてもよい。例えば、ノード２００または関連するモジュールは、ＵＥ１１４がホームネットワークによって認証される場合に認証情報（例えば、ＵＥ１１４に関連する１つ以上のＵＥ識別子およびサービングネットワーク名）を識別および記憶し、その後、例えば、記憶されている認証情報を用いて、ＵＥ１１４がＰＬＭＮ間メッセージの発信元であるネットワークにローミングしていることを確認することによって、ＵＥ１１４に関連するように見えるＰＬＭＮ間メッセージ（例えば、ＵＤＭ情報要求）が有効であるか否かを判断するように構成されてもよい。

【0033】

図２を参照して、ノード２００は、通信環境、例えば、ホーム５ＧＣネットワークを介してメッセージを通信するための１つ以上の通信インターフェイス２０２を含み得る。いくつかの実施形態において、通信インターフェイス２０２は、第１のネットワーク内の１つ以上のＳＥＰＰ１２６と通信するための第１の通信インターフェイスと、第２のネットワーク内の１つ以上のＳＥＰＰ１２６と通信するための第２の通信インターフェイスと、ホームネットワーク、例えば、ホーム５ＧＣネットワーク内の１つ以上のＳＥＰＰ１２６と通信するための第３の通信インターフェイスとを含み得る。

【0034】

ノード２００は、メッセージ検証ツール（ＭＶ）２０４を含み得る。ＭＶ２０４は、１つ以上のメッセージ検証を実行するための任意の適切なエンティティ（例えば、少なくとも１つのプロセッサ上で実行されるソフトウェア）であってもよい。いくつかの実施形態において、ＭＶ２０４は、第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つのＡＫＡプロシージャ関連メッセージから、ユーザ機器を識別するための認証情報を取得し、認証情報を用いてユーザ機器に関連する（または関連するように見える）後続メッセージを検証するための機能を含み得る。いくつかの実施形態において、少なくとも１つのＡＫＡプロシージャ関連メッセージから認証情報を取得することは、ノード２００をトラバースするＡＫＡプロシージャ関連メッセージを監視または検査することを含み得る。別の例において、少なくとも１つのＡＫＡプロシージャ関連メッセージから認証情報を取得することは、ＭＶ２０４に送信したＡＫＡプロシージャ関連メッセージのコピーを検査することを含み得る。いくつかの実施形態において、ＭＶ２０４は、第１のＡＫＡプロシージャ関連メッセージ（例えば、ｎａｕｓｆ－ｕｅ認証要求）から１つ以上の識別子（例えば、ＳＵＰＩまたはＳＵＣＩおよびサービングネットワーク名）を取得し、第２のＡＫＡプロシージャ関連メッセージ（例えば、ｎａｕｓｆ－ｕｅ認証応答）から追加の情報（例えば、認証コンテキスト識別子）を取得することができる。

【0035】

いくつかの実施形態において、ＭＶ２０４は、ＰＬＭＮ間メッセージ（例えば、ＨＴＴＰ／２メッセージ）用のＮ３２－ｆインターフェイス接続を監視するように構成されてもよい。例えば、受信したＰＬＭＮ間メッセージに対して、ＭＶ２０４は、記憶されている関連する認証情報を用いて、ＰＬＭＮ間メッセージが有効であるか否かを判断することができる。この例において、ＭＶ２０４は、ＰＬＭＮ間メッセージ内のＵＥ識別情報を識別することができ、その情報を用いて、データ記憶装置２０６に照会し、関連する認証情報を取得することができる。この例を続けると、ＭＶ２０４は、記憶されている認証情報を解析することによって、認証情報を用いて、ＵＥ１１４がＰＬＭＮ間メッセージの発信元であるネットワークにローミングしていることを確認するまたは裏付けるか否かを判断することができる。認証情報を用いて、ＵＥ１１４がＰＬＭＮ間メッセージの発信元であるネットワークにローミングしていることを確認するまたは裏付ける場合、ＰＬＭＮ間メッセージは、有効であると見なされてもよい。認証情報を用いて、ＵＥ１１４がＰＬＭＮ間メッセージの発信元であるネットワークにローミングしていることを確認または裏付けできない場合、ＰＬＭＮ間メッセージは、無効であると見なされてもよい。

【0036】

いくつかの実施形態において、ＭＶ２０４は、記憶されている使用可能な関連認証情報がない場合に、ＵＥ１１４に関連する着信ＰＬＭＮ間メッセージが無効であると判断するように構成されてもよい。例えば、ＵＥ１１４がＨ－ＰＬＭＮ４９０によって認証されていない場合および／または記憶されている認証情報が利用できない場合、ＭＶ２０４は、ＵＥ１１４に関連する任意のＰＬＭＮ間メッセージが無効であると見なすことができる。

【0037】

ノード２００は、データ記憶装置２０６にアクセスする（例えば、情報を読み取るおよび／または書き込む）ことができる。データ記憶装置２０６は、様々なデータを記憶するための任意の適切なエンティティ（例えば、コンピュータ可読媒体またはメモリ）であってもよい。いくつかの実施形態において、データ記憶装置２０６は、ユーザ機器の認証情報および／またはメッセージ検証を実行する際に使用される関連情報を含み得る。例えば、データストア２０６は、様々な種類の認証情報（例えば、ＵＥを識別および／または認証するために使用可能な情報）を含み、１つ以上の鍵、例えば、固有のＵＥ識別子、固有の認証コンテキスト識別子、または固有の識別子の組み合わせを用いてインデックスされるデータレコードまたはエントリを含み得る。この例において、各データレコードまたはエントリは、ローミング加入者または関連するＵＥに関連してもよく、１つ以上のＵＥ識別子および他の認証情報（例えば、サービングネットワーク名または識別子、認証コンテキスト識別子、認証が成功したことを示す認証結果）を含んでもよい。例示的な認証情報は、認証ステータス、ネットワーク識別子、ユーザ機器識別子、ネットワークノード識別子、加入永続識別子（ＳＵＰＩ）、加入隠蔽識別子（ＳＵＣＩ）、またはＰＬＭＮ識別子を含み得る。

【0038】

いくつかの実施形態において、データ記憶装置２０６は、様々なＡＫＡプロシージャ関連メッセージから認証情報を取得するためのロジック、様々なＰＬＭＮ間メッセージからＵＥ識別情報を取得するためのロジック、記憶されている認証情報を用いてメッセージ検証を実行するためのロジック、無効メッセージ動作または有効メッセージ動作を実行またはトリガするためのロジックを含み得る。

【0039】

理解すべきことは、図２および関連する説明は、例示の目的であり、ノード２００は、追加のおよび／または異なるモジュール、コンポーネント、または機能を含み得ることである。

【0040】

図３は、コンシューマＮＦ３００およびＡＵＳＦ１１２が関与する例示的なＡＫＡプロシージャを示すメッセージフロー図である。いくつかの実施形態において、コンシューマＮＦ３００は、ＡＵＳＦ１１２と対話するＶ－ＰＬＭＮ内のネットワークノードを表すことができる。例えば、コンシューマＮＦ３００（例えば、Ｖ－ＰＬＭＮ内のＡＭＦ（Ｖ－ＡＭＦ））は、ＵＥに関連する情報およびサービングネットワーク名をＡＵＳＦ１１２に提供することによって、ＵＥ１１４の認証を要求し、ＡＵＳＦ１１２は、ＵＤＭ１０４からＵＥに関連する情報および認証方法を取得することができる。この例において、５Ｇ ＡＫＡプロシージャに含まれる様々なメッセージを受信および転送する中間ノード（例えば、コンシューマＮＦ３００とＡＵＳＦ１１２との間のＨ－ＳＥＰＰ１２６）は、ＵＥ１１４に関連する後続のＰＬＭＮ間メッセージを検証するために、ＵＥ１１４に関連する認証情報を取得および記憶するように構成されてもよい。

【0041】

５Ｇ ＡＫＡプロシージャおよび他のセキュリティプロシージャは、３ＧＰＰ（Third Generation Partnership Project）技術仕様書（ＴＳ）３３．５０１に定義されている。Ｎａｕｓｆ＿ＵＥ認証サービスに関連する５Ｇ ＡＫＡプロシージャは、ＴＳ２９．５０９にさらに定義されている。ＴＳ２９．５０９に定義されるように、種々のメッセージは、５Ｇ ＡＫＡプロシージャに使用され、本明細書に記載されたように、メッセージ検証を行うために使用可能な認証情報を含む様々な構造化データタイプを含んでもよい。例えば、いくつかの構造化データタイプは、ＵＥ識別子（例えば、ＳＵＰＩ、ＳＵＣＩなど）、サービングネットワーク識別子（例えば、サービングネットワーク名）、認証タイプ（例えば、authType）、認証結果（例えば、authResult）、および／または他の情報を含み得る。

【0042】

ＴＳ２９．５０９に定義され、認証情報を含み得るいくつかの例示的な構造化データタイプの一例を以下に示す。例示的な構造化データタイプは、AuthenticationInfoデータタイプ、UEAuthenticationCtxデータタイプ、ConfirmationDataデータタイプ、およびConfirmationDataResponseデータタイプを含む。

【0043】

【数1】

【0044】

図３を参照して、ステップ３０１において、コンシューマＮＦ３００は、ＰＯＳＴ要求をＡＵＳＦ１１２に送信することができる。このＰＯＳＴ要求のペイロードは、ＵＥ識別子（例えば、ＳＵＰＩまたはＳＵＣＩ）と、ＵＥ１１４に関連するサービングネットワーク識別子（例えば、サービングネットワーク名）とを含むAuthenticationInfoデータタイプを含み得る。

【0045】

ステップ３０２Ａにおいて、成功した場合、「２０１作成済み」メッセージが返される。このメッセージは、様々な認証に関連する情報を含むUEAuthenticationCtxデータタイプを含み得る。

【0046】

ステップ３０２Ｂにおいて、失敗した場合、ＨＴＴＰステータスコードを示す「４ＸＸまたは５ＸＸ」メッセージが返される。このメッセージは、「原因」属性セットを有する問題詳細構造を含む。

【0047】

ステップ３０３において、コンシューマＮＦ３００は、ＰＵＴ要求をＡＵＳＦ１１２に送信することができる。このＰＵＴ要求は、ＵＥ１１４によって提供された「ＲＥＳ＊」情報を含むまたは「ＲＥＳ＊」情報が提供されていない場合にヌル値を含むConfirmationDataデータタイプを含み得る。

【0048】

ステップ３０４Ａにおいて、成功した場合、「２００ ＯＫ」メッセージが返される。このメッセージは、ＵＥ１１４が認証されているか否かを示すことができる。例えば、ＡＵＳＦ１１２による「ＲＥＳ＊」情報の検証が成功しなかったため、ＵＥ１１４が認証されていない場合、メッセージ内の認証結果値は、「認証失敗」に設定されてもよい。

【0049】

ステップ３０４Ｂにおいて、失敗した場合、ＨＴＴＰステータスコードを示す「４ＸＸまたは５ＸＸ」メッセージが返される。このメッセージは、「原因」属性セットを有する問題詳細構造を含む。

【0050】

理解すべきことは、図３は、例示の目的であり、異なるおよび／または追加のメッセージおよび／または動作を使用してもよいことである。また、理解すべきことは、本明細書に記載された様々なメッセージおよび／または動作は、異なる順序またはシーケンスで発生してもよいことである。

【0051】

図４は、様々な５Ｇサービスメッセージに関連する例示的な識別データ４００を示す図である。いくつかの実施形態において、データ４００は、５Ｇサービスに関連するＰＬＭＮ間メッセージ、５Ｇサービスを使用するコンシューマＮＦ、およびＵＥまたは関連するサービングネットワーク（例えば、ＵＥがローミングしているネットワーク）を識別するためのＰＬＭＮ間メッセージに見られるメッセージ入力を示すことができる。例えば、ＵＥ１１４が訪問先ＰＬＭＮ（Ｖ－ＰＬＭＮ）にローミングしている場合、ＵＥ１１４に関連する情報を取得または提供するために、ＵＥ１１４のホームＰＬＭＮ（Ｈ－ＰＬＭＮ）とＶ－ＰＬＭＮとの間に様々な通信を必要とする。上記で開示したように、ＰＬＭＮ間メッセージは、それぞれのネットワーク内のＳＥＰＰ１２６を介して、Ｈ－ＰＬＭＮとＶ－ＰＬＭＮとの間に送信される。しかしながら、ＰＬＭＮ間メッセージは、異なる５Ｇインターフェイスまたはサービスに関連付けられ、異なるネットワークノードから発信される様々なタイプのメッセージを表す（以下の表１参照）。したがって、異なるＰＬＭＮ間メッセージは、異なるタイプのＵＥ識別情報またはネットワーク識別情報を含み得る。

【0052】

表１は、Ｈ－ＳＥＰＰ１２６をトラバースすることができる様々なＰＬＭＮ間メッセージを示す。表１に示すように、異なる５Ｇサービスまたは関連するインターフェイスは、異なるメッセージ入力および／またはメッセージフォーマットを含むメッセージを利用することができる。

【0053】

表１ 例示的なＰＬＭＮ間メッセージ

【0054】

【表1】

【0055】

いくつかの実施形態において、ノード２００、Ｈ－ＳＥＰＰ１２６、またはＭＶ２０４は、メッセージ検証を実行するときに、（表１のような）様々なＰＬＭＮ間メッセージに関連するメッセージ入力または値を識別するように構成されてもよい。例えば、ノード２００またはＭＶ２０４は、どのタイプのＰＬＭＮ間メッセージを受信したか、および受信したＰＬＭＮ間メッセージにおいてどのタイプのＵＥ識別情報が利用可能であるかに応じて、異なるタイプのＵＥ識別情報（例えば、ＳＵＰＩまたはＳＵＣＩ）を解析することができる。

【0056】

図４を参照して、データ４００を示す表は、サービス名、Ｖ－ＰＬＭＮコンシューマＮＦ、およびメッセージ入力の列および／またはフィールドを含む。サービス名フィールドは、特定のサービスまたは関連のインターフェイスに関連する一組のＰＬＭＮ間メッセージを表す情報を格納することができる。例えば、図４の表の第１のデータ行は、サービス名フィールド値「npcf-uepolicycontrol」を示す。この例において、サービス名フィールド値「npcf-uepolicycontrol」は、ＵＥポリシー制御サービスに関連する一組のメッセージを表すことができる。別の例において、図４の表の第２のデータ行は、サービス名フィールド値「nudm-sdm」を示す。この例において、サービス名フィールド値「nudm-sdm」は、ＵＤＭからＵＥ加入データを取得するためのサービスに関連する一組のメッセージを表すことができる。例示的なサービス名は、npcf-uepolicycontrol、nudm-sdm、nudm-uecm、nausf-ueauthentication、nsmf-pdusession、nssf-nsselection、nnrf-disc、またはnnrf-nfmを含み得る。

【0057】

Ｖ－ＰＬＭＮコンシューマＮＦフィールドは、特定のタイプまたはグループ（例えば、サービス関連）のＰＬＭＮ間メッセージを送信または発信している特定のコンシューマＮＦを表す情報を格納することができる。例えば、図４の表の第１のデータ行は、Ｖ－ＰＬＭＮコンシューマＮＦフィールド値「ＰＣＦ」を示す。この例において、Ｖ－ＰＬＭＮコンシューマＮＦフィールド値「ＰＣＦ」は、Ｖ－ＰＬＭＮに位置するＰＣＦがnpcf-uepolicycontrolサービスメッセージを送信することができることを示す。別の例において、図４の表の第５のデータ行は、Ｖ－ＰＬＭＮコンシューマＮＦフィールド値「ＳＭＦ」を示す。この例において、Ｖ－ＰＬＭＮコンシューマＮＦフィールド値「ＳＭＦ」は、Ｖ－ＰＬＭＮに位置するＳＭＦがnsmf-pdusessionサービスメッセージを送信できることを示す。例示的なＶ－ＰＬＭＮコンシューマＮＦは、ＡＭＦ（例えば、Ｖ－ＰＬＭＮ内のＡＭＦ）、ＳＭＦ（例えば、Ｖ－ＰＬＭＮ内のＳＭＦ）、ＮＳＳＦ（例えば、Ｖ－ＰＬＭＮ内のＮＳＳＦ）、またはＮＲＦ（例えば、Ｖ－ＰＬＭＮ内のＮＦＲ）を含み得る。

【0058】

メッセージ入力フィールドは、ＵＥまたは関連するサービングネットワーク（例えば、ＵＥがローミングしているネットワーク）を識別するために使用可能な特定のタイプまたはグループ（例えば、サービス関連）のＰＬＭＮ間メッセージの情報を格納することができる。例えば、図４の表の第１のデータ行は、メッセージ入力フィールド値「ＳＵＰＩ」を示す。この例において、メッセージ入力フィールド値「ＳＵＰＩ」は、npcf-uepolicycontrolサービスメッセージがローミングしているＵＥ、例えば、ＵＥ１１４を識別するために使用可能なＳＵＰＩを含み得ることを示す。別の例において、図４の表の第４のデータ行は、メッセージ入力フィールド値「ＳＵＣＩ」を示す。この例において、メッセージ入力フィールド値「ＳＵＣＩ」は、nausf-ueauthenticationサービスメッセージがローミングしているＵＥ、例えば、ＵＥ１１４を識別するために使用可能なＳＵＣＩを含み得ることを示す。様々なＰＬＭＮ間メッセージの例示的なメッセージ入力は、ＳＵＰＩ、ＳＵＣＩ、ＳＵＰＩのＰＬＭＮ ＩＤ、またはオプションのＳＵＰＩを含み得る。

【0059】

理解すべきことは、データ４００は、例示の目的であり、図４に示されたデータとは異なるおよび／または追加のデータは、特定のデータ部分または他の情報のデフォルト値を示すために使用可能であることである。また、データ４００は、様々なデータ構造および／またはコンピュータ可読媒体を用いて（例えば、データ記憶装置２０６内に）記憶され、管理されてもよい。

【0060】

図５Ａ～５Ｂは、認証プロシージャに関連するメッセージから認証情報を取得することを示すメッセージフロー図である。図５Ａ～５Ｂを参照して、ＵＥ１１４は、Ｖ－ＰＬＭＮ１ ４８８内のＡＭＦ１１０がＨ－ＰＬＭＮ４９０内のＡＵＳＦ１１２と通信することを含むＡＫＡプロシージャをトリガすることができる。図５Ａ～５Ｂに示すように、ＡＫＡプロシージャの間に、様々なＡＫＡ関連メッセージは、Ｖ－ＳＥＰＰ１２６およびＨ－ＳＥＰＰ１２６をトラバースすることができる。

【0061】

いくつかの実施形態において、Ｈ－ＳＥＰＰ１２６またはノード２００（例えば、ＡＫＡプロシージャに関与するネットワークノード）は、ＡＫＡプロシージャ関連メッセージを監視し、これらのメッセージから認証情報（例えば、ＵＥ識別子およびサービングネットワーク名）を取得および記憶するために、ＭＶ２０４または同様の機能を含み得る。例えば、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、nausf-ueauthentication要求から認証情報（例えば、ＳＵＰＩまたはＳＵＣＩおよびサービングネットワーク名）を取得し、記憶することができる。この例において、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、nausf-ueauthentication応答から認証セッション識別情報（例えば、認証コンテキスト識別子）を取得し、このセッション識別情報と以前に記憶された認証情報とを関連付けることもできる。この例を続けると、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、別のnausf-ueauthentication応答から追加の認証関連情報（例えば、オプションのＳＵＰＩおよび認証結果）を取得することもできる。

【0062】

図５Ａを参照して、ステップ５０１において、ＡＭＦ１１０は、Ｖ－ＳＥＰＰ１２６を介してＡＵＳＦ１１２に向けて、ＵＥ１１４を認証するためのＳＵＰＩまたはＳＵＣＩおよびサービングネットワーク名情報を示す認証要求メッセージ（例えば、nausf-ueauthenticationメッセージ）を送信することができる。

【0063】

ステップ５０２において、Ｖ－ＳＥＰＰ１２６は、認証要求メッセージを受信し、Ｎ－３２インターフェイスを介して認証要求メッセージまたはそのバージョンをＨ－ＳＥＰＰ１２６に送信することができる。

【0064】

ステップ５０３において、Ｈ－ＳＥＰＰ１２６および／またはＭＶ２０４は、認証要求メッセージを受信し、ＵＥ１１４に関連する識別情報（例えば、ＳＵＰＩまたはＳＵＣＩおよびサービングネットワーク名情報）を記憶することができる。

【0065】

ステップ５０４において、Ｈ－ＳＥＰＰ１２６は、認証要求メッセージまたはそのバージョンをＨ－ＰＬＭＮ４９０内のＡＵＳＦ１１２に送信することができる。

【0066】

ステップ５０５において、認証要求メッセージを受信した後、ＡＵＳＦ１１２は、取得した（例えば、nudm-ueauthentication要求メッセージ中の）識別情報をＨ－ＰＬＭＮ４９０内のＵＤＭ１０４に送信することができる。

【0067】

ステップ５０６において、ＵＤＭ１０４は、識別情報を受信し、応答として、５Ｇホーム環境（ＨＥ）認証ベクトル（ＡＶ）および任意選択で（例えばnudm-ueauthentication応答メッセージ中の）ＳＵＰＩを含む認証応答情報をＡＵＳＦ１１２に送信することができる。

【0068】

ステップ５０７において、ＡＵＳＦ１１２は、認証応答情報を受信し、Ｈ－ＳＥＰＰ１２６を介して認証関連情報（例えば、５Ｇ ＨＥ ＡＶおよび認証コンテキスト識別子）を含む認証応答メッセージ（例えば、nausf-ueauthentication応答メッセージ）をＡＭＦ１１０に向けて送信することができる。

【0069】

ステップ５０８において、Ｈ－ＳＥＰＰ１２６および／またはＭＶ２０４は、認証応答メッセージを受信し、その中の認証関連情報（例えば、認証コンテキスト識別子）を取得し、この認証関連情報を記憶し、記憶されているＵＥ１１４に関連する識別情報と関連付けることができる。

【0070】

ステップ５０９において、Ｈ－ＳＥＰＰ１２６は、Ｎ－３２インターフェイスを介して、認証応答メッセージまたはそのバージョンをＶ－ＳＥＰＰ１２６に送信することができる。

【0071】

ステップ５１０において、Ｖ－ＳＥＰＰ１２６は、認証応答メッセージを受信し、認証応答メッセージまたはそのバージョンをＡＭＦ１１０に送信することができる。

【0072】

図５Ｂを参照して、ステップ５１１において、ＡＭＦ１１０は、ＵＥ１１４からの認証コンテキスト識別子および応答データを示す認証確認メッセージ（例えば、nausf-ueauthenticationメッセージ）を、ＡＵＳＦ１１２に向けて送信することができる。

【0073】

ステップ５１２において、Ｖ－ＳＥＰＰ１２６は、認証確認メッセージを受信し、Ｎ－３２インターフェイスを介して認証確認メッセージまたはそのバージョンをＨ－ＳＥＰＰ１２６に送信することができる。

【0074】

ステップ５１３において、Ｈ－ＳＥＰＰ１２６は、認証確認メッセージを受信し、認証確認メッセージまたはそのバージョンをＨ－ＰＬＭＮ４９０内のＡＵＳＦ１１２に送信することができる。

【0075】

ステップ５１４において、認証確認メッセージを受信した後、ＡＵＳＦ１１２は、取得した（例えば、nudm-ueauthentication確認メッセージ中の）認証確認情報をＨ－ＰＬＭＮ４９０内のＵＤＭ１０４に送信することができる。

【0076】

ステップ５１５において、ＵＤＭ１０４は、認証確認情報を受信し、応答として、認証結果および任意選択で（例えば、nudm-ueauthentication確認応答メッセージ中の）ＳＵＰＩをＡＵＳＦ１１２に送信することができる。

【0077】

ステップ５１６において、ＡＵＳＦ１１２は、認証確認応答情報を受信し、Ｈ－ＳＥＰＰ１２６を介して認証確認応答メッセージ（例えば、nausf-ueauthentication応答メッセージ）をＡＭＦ１１０に向けて送信することができる。

【0078】

ステップ５１７において、Ｈ－ＳＥＰＰ１２６および／またはＭＶ２０４は、認証確認応答メッセージを受信し、記憶されているＵＥ１１４に関連する他の情報と共に、認証確認応答情報（例えば、認証結果およびＳＵＰＩ）を記憶することができる。

【0079】

ステップ５１８において、Ｈ－ＳＥＰＰ１２６は、Ｎ－３２インターフェイスを介して、応答メッセージまたはそのバージョンをＶ－ＳＥＰＰ１２６に送信することができる。

【0080】

ステップ５１９において、Ｖ－ＳＥＰＰ１２６は、認証確認応答メッセージを受信し、認証確認応答メッセージまたはそのバージョンをＡＭＦ１１０に送信することができる。

【0081】

理解すべきことは、図５Ａ～５Ｂは、例示の目的であり、異なるおよび／または追加のメッセージおよび／または動作を使用してもよいことである。また、理解すべきことは、本明細書に記載された様々なメッセージおよび／または動作は、異なる順序またはシーケンスで発生してもよいことである。

【0082】

図６は、５Ｇ通信ネットワークにおいて例示的なメッセージ検証を示すメッセージフロー図である。いくつかの実施形態において、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、ＡＫＡプロシージャまたは関連メッセージから導出または取得した１つ以上の識別子を用いて、メッセージ検証を実行するように構成されてもよい。例えば、ＵＥ１１４に関連するＡＫＡプロシージャから１つ以上のＵＥ関連識別子（例えば、ＳＵＰＩ、ＳＵＣＩ、サービングネットワーク名など）を識別した後、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、ＵＥ１１４に関連する着信ＰＬＭＮ間メッセージ（例えば、ＨＴＴＰ／２メッセージ）を監視し、ＰＬＭＮ間メッセージを処理、転送および／または応答する前に、記憶されているＵＥ１１４に関連する認証情報に基づいて、ＰＬＭＮ間メッセージの各々が有効であるか否かを判断することができる。Ｈ－ＳＥＰＰ１２６またはＭＶ２０４は、認証情報を用いて、ＵＥ１１４がＰＬＭＮ間メッセージの発信元であるネットワークにローミングしていることを確認または支持できないと判断した場合、メッセージが無効であると見なし、無効メッセージ動作、例えば、１つ以上のＰＬＭＮ間を破棄することおよび／またはイベントをネットワーク管理者もしくはネットワーク管理システムに報告することを実行することができる。Ｈ－ＳＥＰＰ１２６またはＭＶ２０４は、認証情報を用いて、ＵＥ１１４がＰＬＭＮ間メッセージの発信元であるネットワークにローミングしていることを確認または支持すると判断した場合、メッセージが有効であると見なし、有効メッセージ動作、例えば、意図した宛先でＰＬＭＮ間メッセージを受信し、処理することを可能にする動作を実行することができる。

【0083】

図６を参照して、例えば、ステップ６０１～６０５の前に、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、ＡＫＡ関連プロシージャから認証情報を導出または取得することができる。例えば、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、ＵＥ１１４が５Ｇホームネットワークまたは関連ネットワークに接続しようとするとき（例えば、ＵＥ１１４の電源を投入した後）に、ＵＥ１１４を認証する際に使用されるＡＫＡ関連メッセージから、ＵＥに関連する識別子およびサービングネットワーク名を導出または取得することができる。この例において、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、Ｈ－ＳＥＰＰ１２６をトラバースするＵＥ１１４に関連する後続のＰＬＭＮ間メッセージ（例えば、ＨＴＴＰ／２メッセージ）を検証するために、ＵＥに関連する識別子およびサービングネットワーク名を記憶することができる。

【0084】

ステップ６０１において、例えば、関連するＡＫＡプロシージャの後、ＵＥ１１４に関連する（または関連するように見える）５ＧＣ要求は、Ｈ－ＰＬＭＮ４９０内のＨ－ＳＥＰＰ１２６に転送されるために、Ｖ－ＰＬＭＮ１ ４８８内のコンシューマＮＦ３００からＶ－ＳＥＰＰ１２６に送信されてもよい。例えば、Ｖ－ＰＬＭＮ１ ４８８内のコンシューマＮＦ３００は、Ｈ－ＰＬＭＮ４９０内のＵＤＭ１０４、ＰＣＦ１０２、またはＳＭＦ１０８から情報を要求するネットワークノードを表すことができる。

【0085】

ステップ６０２において、５ＧＣ要求は、Ｎ３２－ｆインターフェイスを介して、（例えば、ＨＴＴＰ／２メッセージとして）Ｖ－ＳＥＰＰ１２６からＨ－ＳＥＰＰ１２６に転送されてもよい。

【0086】

ステップ６０３において、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、５ＧＣ要求を受信し、メッセージ検証プロシージャを実行することができる。例えば、Ｈ－ＳＥＰＰ１２６またはＭＶ２０４は、受信した５ＧＣ要求に関連するＵＥ識別子（例えば、ＳＵＰＩ）および発信するネットワーク識別子を識別し、その後、５ＧＣ要求に関連するＵＥ識別子およびネットワーク識別子を記憶されているＵＥ１１４に関連する認証情報（例えば、ＵＥ１１４の最近のＡＫＡプロシージャに関連するメッセージから導出または取得したもの）と比較することができる。この例において、Ｈ－ＳＥＰＰ１２６またはＭＶ２０４は、記憶されているＵＥ１１４に関連する認証情報を用いて、ＵＥ１１４が５ＧＣ要求の発信元であるネットワークにローミングしていることを支持または確認できる場合、５ＧＣ要求が有効であると見なすことができる。この例を続けると、Ｈ－ＳＥＰＰ１２６またはＭＶ２０４は、記憶されているＵＥ１１４に関連する認証情報を用いて、ＵＥ１１４が５ＧＣ要求の発信元であるネットワークにローミングしていることを支持または確認できない場合、例えば、記憶されている認証情報を用いて、ＵＥ１１４がローミングしていないまたは異なるネットワークにローミングしていることを示す場合、５ＧＣ要求が無効であると見なすことができる。

【0087】

ステップ６０４において、例えば、５ＧＣ要求が有効であると判断した後、さらなる処理のために、５ＧＣ要求またはそのバージョンをプロデューサＮＦ４９８に送信することができる。例えば、プロデューサＮＦ４９８は、情報の要求を受信し、要求した情報を用いてそれらの要求に応答するネットワークノード（例えば、ＵＤＭ１０４、ＰＣＦ１０２、またはＳＭＦ１０８）であってもよい。

【0088】

ステップ６０５において、ＵＥ１１４に関連する（または関連するように見える）別の５ＧＣ要求は、（例えば、ＨＴＴＰ／２メッセージとして）Ｖ－ＰＬＭＮ２ ６００内のコンシューマＮＦ３００からＨ－ＰＬＭＮ４９０内のＨ－ＳＥＰＰ１２６に送信されてもよい。例えば、Ｖ－ＰＬＭＮ２ ６００内のコンシューマＮＦ３００は、実際のＰＬＭＮ内のＶ－ＳＥＰＰまたは別のエンティティなどのネットワークノードであるか、またはそのように見える場合がある。この例において、Ｖ－ＰＬＭＮ２ ６００内のコンシューマＮＦ３００は、ＰＬＭＮ間トラフィックを用いてサービス拒否（ＤＯＳ）攻撃を開始する、またはＨ－ＰＬＭＮ４９０から加入者情報を盗むなど、悪質なまたは不適切な動作を実行するまたは実行しようとするように、侵害またはハッキングされるか、または別様に構成されてもよい。

【0089】

ステップ６０６において、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、５ＧＣ要求を受信すると、メッセージ検証プロシージャを実行し、５ＧＣ要求が無効であると判断し、無効メッセージ動作、例えば５ＧＣ要求を破棄することを実行することができる。例えば、Ｈ－ＳＥＰＰ１２６またはＭＶ２０４は、受信した５ＧＣ要求に関連するＵＥ識別子（例えば、ＳＵＣＩ）および発信するネットワーク識別子を識別し、その後、５ＧＣ要求に関連するＵＥ識別子およびネットワーク識別子を、記憶されているＵＥ１１４に関連する認証情報と比較することができる。この例において、記憶されている認証情報は、ＵＥ１１４がローミングしていないことを示すため、５ＧＣ要求が無効（例えば、不正）であり、応答すべきではないことを示す。

【0090】

理解すべきことは、図６は、例示の目的であり、異なるおよび／または追加のメッセージおよび／または動作を使用してもよいことである。また、理解すべきことは、本明細書に記載された様々なメッセージおよび／または動作は、異なる順序またはシーケンスで発生してもよいことである。

【0091】

図７は、５Ｇ通信ネットワークにおいてメッセージ検証を実行するための例示的なプロセス７００を示す図である。いくつかの実施形態において、本明細書に記載された例示的なプロセス７００またはその一部は、ノード２００、ＭＶ２０４、および／または別のモジュールもしくはノードにおいて実行されてもよく、またはそれらによって実行されてもよい。

【0092】

例示的なプロセス７００を参照して、態様（例えば、処理ステップまたは動作）は、第１のネットワーク（例えば、ホーム５ＧＣネットワーク内のＭＶ２０４を含むＳＥＰＰ１２６またはノード２００）のネットワークノードにおいて発生してもよい。

【0093】

ステップ７０２において、第２のネットワークを介して通信するユーザ機器に関連する少なくとも１つのＡＫＡプロシージャ関連メッセージから、認証情報を取得することができる。この認証情報は、加入者、ユーザ機器または第２のネットワークを識別するために使用可能である。

【0094】

いくつかの実施形態において、少なくとも１つのＡＫＡプロシージャ関連メッセージから認証情報を取得することは、第１のＡＫＡプロシージャ関連メッセージから第１の識別子を取得することと、第２のＡＫＡプロシージャ関連メッセージから第１の識別子とは異なる第２の識別子を取得することとを含む。

【0095】

いくつかの実施形態において、少なくとも１つのＡＫＡプロシージャ関連メッセージは、認証情報を含む１つ以上のデータタイプを含み得る。例えば、ＡＫＡプロシージャ関連メッセージは、AuthenticationInfoデータタイプ、UEAuthenticationCtxデータタイプ、ConfirmationDataデータタイプ、またはConfirmationDataResponseデータタイプを含み得る。

【0096】

いくつかの実施形態において、ユーザ機器を識別するために使用可能な認証情報は、ネットワーク識別子、ユーザ機器識別子、ネットワークノード識別子、ＳＵＰＩ、ＳＵＣＩ、サービングネットワーク名、またはＰＬＭＮ識別子を含んでもよい。

【0097】

いくつかの実施形態において、第１のネットワークノードは、ＳＥＰＰ、５ＧＣネットワーク機能、ネットワークプロキシ、またはネットワークゲートウェイを含み得る。

【0098】

いくつかの実施形態において、少なくとも１つのＡＫＡプロシージャ関連メッセージは、第２のネットワーク内の第２のネットワークノードを介して、第１のネットワーク内の第１のネットワークノードに送信されてもよい。このような実施形態において、第２のネットワークノードは、コンシューマＮＦ、ＰＣＦ、ＡＭＦ、ＳＭＦ、ＮＲＦ、ＮＳＳＦ、または５ＧＣネットワーク機能を含み得る。

【0099】

ステップ７０４において、後続のメッセージを検証するために、認証情報をデータストアに記憶することができる。例えば、データストア２０６は、ＵＥ識別子（例えば、ＳＵＰＩまたはＳＵＣＩ）と他の認証情報（例えば、サービングネットワーク名もしくは識別子、認証コンテキスト識別子、および／または認証が成功したことを示す認証結果）とを関連付けるレコードまたはエントリを含み得る。別の例において、データストア２０６は、ユーザ機器またはＵＥを識別および／または認証するために使用可能な様々なタイプの情報に関連するレコードまたはエントリ、１つ以上の鍵、例えば、固有のＵＥ識別子、固有の認証コンテキスト識別子、または識別子の固有の組み合わせを用いてインデックスされるレコードまたはエントリを含み得る。

【0100】

ステップ７０６において、ユーザ機器に関連する要求メッセージを受信することができる。例えば、ＡＭＦ１１０であるように見えるエンティティは、ＵＤＭ１０４に向けて、ＵＥ１１４に関連するnudm-uecmサービス要求を送信し、Ｈ－ＳＥＰＰ１２６は、Ｎ３２－ｆインターフェイスを介してこれを受信することができる。

【0101】

いくつかの実施形態において、要求メッセージは、５ＧＣ要求メッセージを含み得る。例えば、要求メッセージは、nudm-sdmサービスメッセージ、nudm-uecmサービスメッセージ、npcf-uepolicyサービスメッセージ、nsmf-pdusessionサービスメッセージ、nnrf-discサービスメッセージ、またはnnrf-nfmサービスメッセージであってもよい。

【0102】

ステップ７０８において、認証情報を用いて、要求メッセージが無効であると判断することができる。例えば、Ｈ－ＳＥＰＰ１２６またはその中の機能（例えば、ＭＶ２０４）は、要求メッセージに関連するＵＥ識別子および発信元ネットワークを識別し、記憶されているＵＥ識別子に対応する認証情報と比較することができる。この例において、記憶されている認証情報を用いて、関連するＵＥが要求の発信元であるネットワークに現在ローミングしていることを確認または支持していない場合、メッセージは、無効であると見なされる。

【0103】

いくつかの実施形態において、認証情報を用いて、要求メッセージが無効であると判断することは、要求メッセージ内のユーザ機器識別子（例えば、ＳＵＰＩ）を用いて、データストア（例えば、データストア２０６）から認証情報を検索することと、認証情報を用いて、ユーザ機器が要求メッセージの発信元であるネットワークにローミングしていることを確認できないと判断することとを含み得る。

【0104】

ステップ７１０において、要求メッセージが無効であると判断したことに応答して、無効メッセージ動作を実行することができる。例えば、無効メッセージ動作は、要求メッセージを破棄すること、またはネットワーク管理者もしくは管理システムに通知することを含み得る。

【0105】

いくつかの実施形態において、第１のネットワークは、ホームＰＬＭＮ（例えば、Ｈ－ＰＬＭＮ４９０）であってもよく、第２のネットワークは、訪問先ＰＬＭＮ（例えば、Ｖ－ＰＬＭＮ２ ６００）であってもよい。

【0106】

理解すべきことは、プロセス７００は、例示の目的であり、異なるおよび／または追加のメッセージおよび／または動作を使用してもよいことである。また、理解すべきことは、本明細書に記載された様々なメッセージおよび／または動作は、異なる順序またはシーケンスで発生してもよいことである。

【0107】

理解すべきことは、５Ｇネットワークを参照して本明細書に記載された主題のいくつかの態様を説明したが、様々な他のネットワークが本明細書に記載された主題のいくつかの態様を利用できるである。例えば、５Ｇ ＡＫＡプロシージャまたは同様の認証プロシージャを利用する任意のネットワークは、本明細書に記載された特徴、メカニズムおよび技術を用いて、認証情報を取得または導出し、メッセージ検証を実行するときにその認証情報を使用することができる。

【0108】

なお、ノード２００、ＭＶ２０４、および／または本明細書に記載された機能は、専用のコンピューティング装置を構成することができる。また、本明細書に記載されたノード２００、ＭＶ２０４、および／または機能は、５Ｇネットワークにおいてネットワークセキュリティおよび／またはメッセージ検証の技術分野を改善することができる。例えば、Ｈ－ＳＥＰＰ１２６内のＵＥ認証情報（例えば、ＳＵＰＩ、ＰＬＭＮ識別子、およびＵＥ認証ステータス）に基づいてメッセージ検証を実行することによって、悪意のある行動およびその悪影響（例えば、収益詐欺、ネットワーク輻輳、サービス障害、および／またはユーザ体験の低下）を軽減および／または防止することができる。この例において、Ｈ－ＳＥＰＰ１２６またはその中のＭＶ２０４は、本明細書に記載された１つ以上の技術および／または方法を利用することによって、ＰＬＭＮ間トラフィックを使用するＤＯＳ攻撃を防止し、Ｈ－ＰＬＭＮ４９０から加入者データを盗難することを防止し、および／またはＳＵＰＩもしくは加入者レベルの承認（例えば、コンシューマＮＦが特定のＵＥデータのみにアクセスできるようにすること）を実装することができる。また、本明細書に記載された技術および／または方法は、例えば、nudm-sdm、nudm-uecm、npcf-uepolicy、nsmf-pdusession、nssf-nsselection、nnrf-disc、および／またはnnrf-nfmを含む複数のサービスまたは関連インターフェイスに適用可能である。

【0109】

以下の各参考文献の開示は、本明細書と矛盾しない範囲で、および本明細書に使用された方法、技術および／またはシステムを補足する、説明する、背景を提供する、または教示する範囲で、その全体が参照により本明細書に組み込まれる。

【0110】

理解すべきことは、本開示の主題の範囲から逸脱することなく、本開示の主題の様々な詳細を変更することができることである。さらに、前述の説明は、例示のみを目的としており、限定を目的としていない。

【0111】

参考文献
１． ３ＧＰＰ ＴＳ ２９．５１０；第３世代パートナーシッププロジェクト；技術仕様グループコアネットワークおよび端末；５Ｇシステム；ネットワーク機能リポジトリサービス；ステージ３（リリース１６）、Ｖ１６．５．０（２０２０－０９）。
２． ３ＧＰＰ ＴＳ ２３．００３；第３世代パートナーシッププロジェクト；技術仕様グループコアネットワークおよび端末；番号付け、アドレス指定および識別（リリース１６）、Ｖ１６．４．０（２０２０－０９）。
３． ３ＧＰＰ ＴＳ ２９．５７３；第３世代パートナーシッププロジェクト；技術仕様グループコアネットワークおよび端末；５Ｇシステム；公衆陸上移動体ネットワーク（ＰＬＭＮ）相互接続；ステージ３（リリース１６）Ｖ１６．４．０（２０２０－０９）。
４． ３ＧＰＰ ＴＳ ３３．５０１；第３世代パートナーシッププロジェクト；技術仕様グループサービスおよびシステム態様；５Ｇシステムのセキュリティアーキテクチャおよびプロシージャ；（リリース１６）、Ｖ１６．４．０（２０２０－０９）。
５． ３ＧＰＰ ＴＳ ２９．５０９；第３世代パートナーシッププロジェクト；技術仕様グループコアネットワークおよび端末；５Ｇシステム；認証サーバサービス；ステージ３（リリース１６）、Ｖ１６．５．０（２０２０－０９）。

【図1】

【図2】

【図3】

【図4】

【図5A】

【図5B】

【図6】

【図7】

【国際調査報告】