JP7415799B2 - 無線基地局装置、無線基地局プログラム、及び無線通信システム - Google Patents

Description

本発明は、無線基地局装置、無線基地局プログラム、及び無線通信システムに関する。

特許文献１には、携帯端末と、前記携帯端末と無線通信を行う基地局と、前記基地局をコアネットワークに接続するゲートウェイ装置と、前記コアネットワークに設置され、前記携帯端末の移動管理を行うコアネットワーク装置と、を有する移動通信システムにおいて、前記コアネットワーク装置は、ＳＩＰＴＯを起動するか否かを判断するための情報を前記ゲートウェイ装置に送信し、前記ゲートウェイ装置は、前記コアネットワーク装置から前記情報を受信する移動通信システムが開示されている。

国際公開第２０１５／０６８４５７号

“５Ｇ”と呼ばれる第５世代移動通信では、第４世代移動通信以前で使用していた周波数帯よりも高い周波数帯を用いて通信が行われる。通信に用いられる周波数帯が高くなるにつれて電波の到達距離は短くなるため、例えば第４世代移動通信のサービス提供エリアと同じ範囲に５Ｇのサービスを提供しようとする場合、第４世代移動通信の無線基地局装置よりも多くの無線基地局装置を設置する必要がある。

したがって、採算性の問題から郊外になるほど５Ｇサービスの提供が遅れ、状況によっては５Ｇサービスが提供されない地域が広がる恐れがある。

５Ｇサービスが提供されない地域では、通信事業者以外の企業や自治体といった組織が構築及び運営を行い、組織内のユーザだけが利用することができるローカル５Ｇネットワークを導入することも考えられる。しかしながら、ローカル５Ｇネットワークの導入には通信に関する専門知識が必要になるため、５Ｇサービスを利用したい者が気軽にローカル５Ｇネットワークを導入することは困難である。

一方、都市部でも第４世代移動通信以前の無線基地局装置よりも多くの無線基地局装置が必要となるが、都市部では無線基地局装置の設置場所を確保することが難しい。

また、５Ｇサービスではスライスネットワークの制御が必要となるため、通信回線を自前で構築して５Ｇサービスを提供する通信事業者(Mobile Network Operator:ＭＮＯ)から通信回線を借り受け、ＭＮＯよりも安い価格で５Ｇサービスを提供する通信事業者(Virtual Mobile Network Operator:ＶＭＮＯ)では、ＭＮＯとの接続に第４世代移動通信以前の接続形態であるＬ２接続を用いることが困難となり、ＭＮＯが提供するＡＰＩ(Application Programming Interface)を通じてネットワークスライスを制御することになる。ＡＰＩの開示範囲はＭＮＯによって決定されることから、ＶＭＮＯが提供する５Ｇサービスに対してＭＮＯの影響力が強まるのでないかという懸念事項が生じる。

以上のような状況から、今後商社のようにＭＮＯでもＶＭＮＯでもないサードパーティーが無線基地局装置を構築し、構築した無線基地局装置をＭＮＯやＶＭＮＯに共有して利用してもらう無線基地局装置のシェアリング事業が活発になることが予想される。

このように、無線基地局装置を複数の通信事業者で共有する場合、不正なアクセスによって無線基地局装置に障害が発生しないようセキュリティを確保することが大切になってくる。

本発明は、無線通信設備を複数の通信事業者が共有して利用し、無線通信サービスを提供する場合に、通信事業者の認証を行うことなく無線通信サービスを提供する場合と比較して、無線通信サービスのセキュリティ性能を向上させることができる無線基地局装置、無線基地局プログラム、及び無線通信システムを提供することを目的とする。

第１態様に係る無線基地局装置はプロセッサを備え、前記プロセッサは、自装置の利用を要求する通信事業者毎に、通信事業者に対する電子証明書と電子証明書の認証に用いる鍵ペアを保持し、通信事業者から接続要求を受け付けた場合、接続要求を行った通信事業者である利用通信事業者に対する電子証明書と鍵ペアを用いて、前記利用通信事業者が自装置への接続が許可された通信事業者であるか否かの認証を行い、前記認証に成功した場合、前記利用通信事業者の通信設備において自装置とのインターフェースとして機能する接続装置と、自装置を接続する仮想専用線を構築し、前記接続装置を通じて行われる前記利用通信事業者の通信設備からの制御に応じたデータの転送を行う。

第２態様に係る無線基地局装置は、第１態様に係る無線基地局装置において、自装置に、自装置が管轄する通信回線と異なる外部回線にデータを転送するデータ転送部が存在する場合、前記プロセッサが、前記データ転送部と前記接続装置を接続する仮想専用線を更に構築する。

第３態様に係る無線基地局装置は、第１態様または第２態様に係る無線基地局装置において、前記利用通信事業者の認証、自装置の制御、及びデータの転送をソフトウェアで構成された仮想化基盤上で実現する一方、通信事業者毎の電子証明書と鍵ペアを、前記仮想化基盤とは分離された、電子証明書と鍵ペアを保管する専用のハードウェアで保持する。

第４態様に係る無線基地局装置は、第１態様～第３態様の何れかの態様に係る無線基地局装置において、前記プロセッサが、複数の通信事業者から接続要求を受け付けた場合、通信事業者毎に前記認証を行い、前記認証に成功した各々の通信事業者の前記接続装置と自装置をそれぞれ接続する仮想専用線を構築し、前記接続装置の各々を通じて行われる複数の通信事業者の通信設備からの制御に応じたデータの転送を行う。

第５態様に係る無線基地局装置は、第１態様～第４態様の何れかの態様に係る無線基地局装置において、前記プロセッサが、自装置に起因する障害によって前記接続装置との接続が切断された場合、接続を切断した前記接続装置に対して自装置から接続要求を行う。

第６態様に係る無線基地局プログラムは、コンピュータに、自装置の利用を要求する通信事業者毎に、通信事業者に対する電子証明書と電子証明書の認証に用いる鍵ペアを保持し、通信事業者から接続要求を受け付けた場合、接続要求を行った通信事業者である利用通信事業者に対する電子証明書と鍵ペアを用いて、前記利用通信事業者が自装置への接続が許可された通信事業者であるか否かの認証を行い、前記認証に成功した場合、前記利用通信事業者の通信設備において自装置とのインターフェースとして機能する接続装置と、自装置を接続する仮想専用線を構築し、前記接続装置を通じて行われる前記利用通信事業者の通信設備からの制御に応じたデータの転送を行う処理を実行させる。

第７態様に係る無線通信システムは、自装置の利用を要求する通信事業者毎に、通信事業者に対する電子証明書と電子証明書の認証に用いる鍵ペアを保持し、通信事業者から接続要求を受け付けた場合、接続要求を行った通信事業者である利用通信事業者に対する電子証明書と鍵ペアを用いて、前記利用通信事業者が自装置への接続が許可された通信事業者であるか否かの認証を行い、前記認証に成功した場合、前記利用通信事業者の通信設備において自装置とのインターフェースとして機能する接続装置と、自装置を接続する仮想専用線を構築し、前記接続装置を通じて行われる前記利用通信事業者の通信設備からの制御に応じたデータの転送を行う無線基地局装置と、前記無線基地局装置と仮想専用線によって接続される前記接続装置を含む通信事業者の通信設備と、を備える。

第１態様、第６態様、及び第７態様によれば、無線通信設備を複数の通信事業者が共有して利用し、無線通信サービスを提供する場合に、通信事業者の認証を行うことなく無線通信サービスを提供する場合と比較して、無線通信サービスのセキュリティ性能を向上させることができる、という効果を有する。

第２態様によれば、自装置が管轄する通信回線だけでなく外部回線にもデータを転送することができる、という効果を有する。

第３態様によれば、電子証明書と鍵ペアも仮想化基盤上に保持する場合と比較して、電子証明書と鍵ペアの秘匿性を高めることができる、という効果を有する。

第４態様によれば、１台の無線基地局装置を複数の通信事業者の通信設備で共有することができる、という効果を有する。

第５態様によれば、接続装置が無線基地局装置の障害が復旧したか否か監視して、障害が復旧した後に再度接続要求を無線基地局装置に送信することなく、無線基地局装置との通信回線の接続を復旧させることができる、という効果を有する。

無線通信システムのシステム構成例を示す図である。 ＲＡＮの構成例を示す図である。 無線基地局装置及びオペレータ通信設備の各機能構成例を示す図である。 無線基地局装置における電気系統の要部構成例を示す図である。 オペレータ通信設備の登録処理の一例を示すフローチャートである。 オペレータ通信設備の接続処理の一例を示すフローチャートである。

以下、本実施の形態について図面を参照しながら説明する。なお、同じ構成要素及び同じ処理には全図面を通して同じ符号を付与し、重複する説明を省略する。

図１は、本実施の形態に係る無線通信システム１のシステム構成例を示す図である。無線通信システム１は、第５世代移動通信システム（以降、「５Ｇシステム」という）を構成する共有型無線基地局装置１０、ＭＥＣサーバ１５、オペレータ通信設備２０、及びオーケストレータ３０を含む。ＭＥＣサーバ１５及びオペレータ通信設備２０にはそれぞれインターネット５が接続され、共有型無線基地局装置１０にはユーザが利用する端末（以降、“ＵＥ２”という）が少なくとも１台接続される。

共有型無線基地局装置１０は、ＭＮＯでもＶＭＮＯでもないサードパーティーが構築した５Ｇの通信規格に対応する無線基地局装置であり、無線を用いてＵＥ２を接続する無線ネットワーク(Radio Access Network：ＲＡＮ)を構成する。すなわち、ＲＡＮは共有型無線基地局装置１０によって管轄される通信回線である。

図１に示す無線通信システム１の例には２つの共有型無線基地局装置１０Ａ、１０Ｂが含まれているが、無線通信システム１に含まれる共有型無線基地局装置１０の数に制約はなく、少なくとも１つの共有型無線基地局装置１０が含まれていればよい。各々の共有型無線基地局装置１０Ａ、１０Ｂを区別して説明する必要がない場合、「共有型無線基地局装置１０」と表すと共に、共有型無線基地局装置１０を「無線基地局装置１０」ということにする。

無線基地局装置１０には、無線基地局装置１０が提供するＲＡＮを共有して無線基地局装置１０の電波到達範囲（サービスエリア）に存在するＵＥ２に５Ｇサービスを提供する、少なくとも１つのＭＮＯ及びＶＭＮＯの通信設備が接続される。以降では説明の便宜上、ＭＮＯ及びＶＭＮＯを「オペレータ」という。すなわち、オペレータ通信設備２０とは、共有型無線基地局装置１０に接続するオペレータの通信設備のことである。

図１に示す無線通信システム１の例には２つのオペレータ通信設備２０Ａ、２０Ｂが含まれ、オペレータ通信設備２０Ａは無線基地局装置１０Ａ及び無線基地局装置１０Ｂと接続され、オペレータ通信設備２０Ｂは無線基地局装置１０Ｂと接続されている。以降では、無線基地局装置１０と同様に各々のオペレータ通信設備２０Ａ、２０Ｂを区別して説明する必要がない場合、「オペレータ通信設備２０」と表す。

オペレータ通信設備２０は、５Ｇシステムにおけるコアネットワーク(Core Network:ＣＮ)を構成し、５Ｇシステムにおけるユーザ管理や通信制御を担う通信設備である。オペレータ通信設備２０は、例えば各種交換機や加入者情報管理装置といった５Ｇサービスの提供に用いられる装置によって構成される。

無線基地局装置１０はオペレータ通信設備２０の制御に従い、ＵＥ２から受け付けたデータの転送を行う。データの転送先が同じ無線基地局装置１０に接続される他のＵＥ２である場合、オペレータ通信設備２０はＵＥ２から受け付けたデータを無線基地局装置１０で折り返して、他のＵＥ２に転送するようにデータの転送制御を行う。また、データの転送先が他の無線基地局装置１０に接続される他のＵＥ２である場合、オペレータ通信設備２０は無線基地局装置１０からデータを受け付け、転送先のＵＥ２が接続されている他の無線基地局装置１０にデータを転送する。データの転送先が、インターネット５や図示しない広域ネットワーク(Wide Area Network:ＷＡＮ)といった外部回線に接続されている外部装置である場合、オペレータ通信設備２０は無線基地局装置１０からデータを受け付け、指定された外部装置にデータを転送する。後述するように、外部回線と接続し、外部回線にデータを転送するデータ転送部が無線基地局装置１０に含まれる場合には、オペレータ通信設備２０はデータ転送部を通じて、無線基地局装置１０から外部装置にデータを直接転送する。

オーケストレータ３０は無線基地局装置１０と接続し、無線基地局装置１０における各種設定項目の設定等を行う。

ＭＥＣ(Mobile Edge Computing)サーバ１５は、インターネット５に構築されるクラウドサーバよりも物理的にＵＥ２に近い場所（エッジ）に設置されるサーバのことである。ＭＥＣサーバ１５がクラウドサーバよりもＵＥ２に近い場所に設置されることで、クラウドサーバの代わりにＭＥＣサーバ１５からユーザが必要とする情報を提供できるようになる。したがって、５Ｇサービスの特徴である１ミリ秒以下の超低遅延、及び１０Ｇｂｐｓといった超広帯域のデータ通信が実現される。

図１に示す無線通信システム１にはＭＥＣサーバ１５及びオーケストレータ３０が含まれるが、ＭＥＣサーバ１５及びオーケストレータ３０は必ずしも無線通信システム１に必要な装置ではなく、状況に応じて設置される。

次に、無線基地局装置１０が提供するＲＡＮの構成について詳細に説明する。

図２は、ＲＡＮの構成例を示す図である。ＲＡＮは、無線アンテナのように実際にデータの送受信を行う無線部分と、無線部分におけるデータの信号処理とデータの送受信を制御する制御部分に分離される。ＲＡＮの制御部分はｖＢＢＵ(Virtual Base Band Unit)とも呼ばれる。

より少ないアンテナの数で広範囲に５Ｇサービスを提供するためには大型の無線アンテナを設置することが好ましく、一方で既に５Ｇのサービスエリアであっても電波が届きにくい場所やＵＥ２が密集しやすい場所には、小型の無線アンテナを数多く配置することが好ましい。このように好ましい無線アンテナの設置形態は場所毎に異なるため、ＲＡＮの無線部分と制御部分を独立することで、無線アンテナの設置形態の自由度を確保している。

ＲＡＮの無線部分はＲＲＨ(Remote Radio Head)３によって構成され、ｖＢＢＵはＤＵ(Distributed Unit)４及びＣＵ(Centralized Unit)６によって構成される。ｖＢＢＵはＲＲＨ３と接続し、例えば無線リソース割り当てやデータマッピング等を行うＭＡＣレイヤ処理、再送制御等を行うＲＬＣレイヤ処理、並びに、データのヘッダ圧縮や順序整列等を行うＰＤＣＰレイヤ処理を行う。

ＣＵ６は少なくとも１つのＤＵ４と接続され、ＵＥ２との通信はＤＵ４を経由して行われることから、ＤＵ４を分散ノード、ＣＵ６を集約ノードということがある。ＲＡＮはＣＵ６を介してオペレータ通信設備２０と接続される。また、ＭＥＣサーバ１５及びオーケストレータ３０もＣＵ６と接続される。なお、無線基地局装置１０は複数のＲＡＮを含んでもよい。

次に無線基地局装置１０及びオペレータ通信設備２０の各機能構成例について説明する。

図３は、無線基地局装置１０及びオペレータ通信設備２０の各機能構成例を示す図である。無線基地局装置１０は、少なくとも１つのＲＲＨ３と、ｖＢＢＵとして機能する仮想基地局１４と、外部回線にデータを転送する仮想基幹回線網１６と、鍵管理部１８を含む。

このうち、仮想基地局１４及び仮想基幹回線網１６は共に仮想化基盤１２上に構築される。仮想化基盤１２とは、仮想化ソフトウェアによって１台の物理サーバ上に生成された複数台の仮想サーバの各々が提供するソフトウェアの動作環境のことである。すなわち、仮想基地局１４及び仮想基幹回線網１６はソフトウェア処理によって実現される。

仮想基地局１４及び仮想基幹回線網１６を仮想化基盤１２上に構築することで、例えば特定の仮想化基盤１２上に構築された仮想基地局１４や仮想基幹回線網１６に障害が発生したとしても、障害が発生していない他の仮想化基盤１２上に構築された仮想基地局１４や仮想基幹回線網１６の運用に影響を与えることなく、障害が発生した仮想基地局１４や仮想基幹回線網１６が含まれる仮想化基盤１２だけを停止して復旧作業を行うことが可能になる。

仮想基地局１４には、ＲＲＨ３、仮想基幹回線網１６、及び鍵管理部１８が接続され、仮想基地局１４はオペレータ通信設備２０から接続要求を受け付けた場合、鍵管理部１８と連携して接続要求を行ったオペレータ通信設備２０の認証を行う。認証の結果、接続要求を行ったオペレータ通信設備２０が予め無線基地局装置１０への接続が許可されたオペレータ通信設備２０（以降、「登録済みのオペレータ通信設備２０」という）であると判定された場合、仮想基地局１４は、仮想基地局１４と接続要求を行ったオペレータ通信設備２０とを接続する仮想ネットワークを構築する。その上で、仮想基地局１４は、仮想ネットワークを通じて行われるオペレータ通信設備２０からの制御に応じて、ＵＥ２から受信したデータの転送処理を行う。

このように、無線基地局装置１０は、オペレータ通信設備２０の認証、無線基地局装置１０、すなわち自装置の制御、及びデータの転送をソフトウェアで構成された仮想化基盤１２上で実現する。なお、複数のオペレータのうち、無線基地局装置１０へ接続要求を行ったオペレータは、本実施の形態に係る利用通信事業者の一例である。

無線基地局装置１０では、無線基地局装置１０とオペレータ通信設備２０の接続に伴うセキュリティを担保するため、無線基地局装置１０とオペレータ通信設備２０の間で相互に電子証明書を用いた認証を行う。

鍵管理部１８は、無線基地局装置１０とオペレータ通信設備２０の間で相互に認証を行う場合に用いられる認証情報を保持する。認証情報には例えばＰＬＭＮ(Public Land Mobile Network)、電子証明書、並びに、電子証明書の秘密鍵及び公開鍵が含まれ、認証情報は、無線基地局装置１０への接続を許可したオペレータ毎に鍵管理部１８で保持される。すなわち、鍵管理部１８は、オペレータ毎にＰＬＭＮ、電子証明書、並びに、電子証明書の秘密鍵及び公開鍵をそれぞれ対応付け、対応付けされた情報群を認証情報として保持する。

ここで、ＰＬＭＮとは、オペレータを一意に識別する事業者コードであり、オペレータ毎に国から割り当てられる。ＰＬＭＮは、ＭＭＣ(Mobile Country Code)とＭＮＣ(Mobile Network Code)で構成される。ＭＭＣが移動体通信サービスを提供しているオペレータの登録先の国を表し、ＭＮＣがオペレータを表す。以降では、電子証明書の秘密鍵と、当該電子証明書の秘密鍵と対になる公開鍵をあわせて「鍵ペア」という。

鍵管理部１８は、仮想基地局１４や仮想基幹回線網１６と異なり、仮想化基盤１２と分離された専用のハードウェアに構築され、認証情報を保持する。認証情報を保持する記憶装置は、認証情報が無線基地局装置１０の外部に漏えいしないような堅牢な安全性を有していることが好ましい。したがって、無線基地局装置１０では、後述するハードウェア暗号モジュール(Hardware Security Module:ＨＳＭ)５０に認証情報を保持する。

仮想基幹回線網１６は外部回線の一例であるインターネット５と接続され、オペレータ通信設備２０からの制御に応じて、ＵＥ２から受け付けたデータをインターネット５に接続された外部装置に転送するデータ転送部の一例である。仮想基幹回線網１６は必ずしもすべての無線基地局装置１０に含まれるわけではなく、無線基地局装置１０から直接インターネット５にデータを転送するような構成を備えた無線基地局装置１０だけに設けられる。

また、仮想基幹回線網１６におけるデータの転送制御は、オペレータ通信設備２０からオペレータ通信設備２０と仮想基地局１４を接続する仮想ネットワークを通じて行われるのではなく、オペレータ通信設備２０と仮想基幹回線網１６を接続する仮想ネットワークを通じて行われる。すなわち、無線基地局装置１０に仮想基幹回線網１６が含まれる場合には、無線基地局装置１０とオペレータ通信設備２０との間で、オペレータ通信設備２０と仮想基地局１４、及びオペレータ通信設備２０と仮想基幹回線網１６を接続する２つの仮想ネットワークが構築される。

なお、仮想基幹回線網１６はインターネット５の他、外部回線の一例であるＳＤＷＡＮ(Software Defined Wide Area Network)に接続される場合もある。ＳＤＷＡＮは、ソフトウェアを通じた一元管理が可能で、転送ポリシーに従って拠点間でセキュアなデータの転送を行う広域ネットワークのことである。

一方、オペレータ通信設備２０は、仮想セキュリティゲートウェイ２１、共有型無線基地局装置ゲートウェイ２２、及び仮想化されたＣＮである仮想コアネットワーク(Virtual Core Network:ｖＣＮ)２３を含む。

仮想セキュリティゲートウェイ２１は接続先となる無線基地局装置１０毎に設置され、無線基地局装置１０に対するオペレータ通信設備２０のインターフェースとして機能する。そのため、仮想セキュリティゲートウェイ２１は電子証明書を用いて無線基地局装置１０の認証を行い、認証に成功した場合、無線基地局装置１０との間に仮想ネットワークが構築される。したがって、仮想セキュリティゲートウェイ２１は、無線基地局装置１０とオペレータ通信設備２０を接続する接続装置の一例である。

電子証明書を用いた認証を行うため、仮想セキュリティゲートウェイ２１も無線基地局装置１０と同様に無線基地局装置１０毎の認証情報を保持する。ただし、オペレータ通信設備２０が保持する認証情報では、ＰＬＭＮの代わりに、無線基地局装置１０を一意に識別する無線基地局装置ＩＤが電子証明書、及び電子証明書の鍵ペアとそれぞれ対応付けられている。

共有型無線基地局装置ゲートウェイ２２は、各仮想セキュリティゲートウェイ２１とｖＣＮ２３に接続され、無線基地局装置１０のＲＡＮとｖＣＮ２３とのデータ中継を行う。

ｖＣＮ２３は、例えば５Ｇサービスを利用するＵＥ２の位置や課金情報等、ＵＥ２を利用するユーザに関する情報を管理するユーザ管理やデータの通信制御を行う。ｖＣＮ２３は、ＣＮ－Ｃ２４とネットワークスライス(Network Slice:ＮＳ)２５によって構成される。

ＣＮ－Ｃ２４は５Ｇネットワークの通信制御を担う機能部であり、ＵＥ２の認証やＵＥ２の位置管理といったモビリティ管理を行うＡＭＦ(Access and Mobility Management Function)２６を含む。

ＮＳ２５は、メモリ及びルータといった５Ｇサービスの提供に用いられる設備の処理能力やネットワークの帯域といったリソースを仮想的に分割し、分割した仮想リソースを組み合わせてＵＥ２とｖＣＮ２３との間の５Ｇネットワーク上に構築された分割ネットワーク（スライス）のことである。各々のＮＳ２５にはＳＭＦ(Session Management Function)２７が含まれる。

ＳＭＦ２７は、ＡＭＦ２６の指示に従ってＮＳ２５のセッション管理とＵＥ２へのＩＰアドレスの割り当てを行う機能部である。また、ＳＭＦ２７はＵＰＦ(User Plane Function)２８の選択とＵＰＦ２８の制御を行ってＮＳ２５を用いたデータの転送を行い、データの転送先が外部装置の場合、ＵＰＦ２８を通じてデータをインターネット５に転送する。

次に、無線基地局装置１０における電気系統の要部構成例について説明する。

図４は、無線基地局装置１０における電気系統の要部構成例を示す図である。無線基地局装置１０は例えばブレードサーバのようなコンピュータ４０を用いて構成され、コンピュータ４０上に少なくとも１つの仮想化基盤１２が構築される。

コンピュータ４０は、図３に示した無線基地局装置１０の各機能部の処理を担うＣＰＵ(Central Processing Unit)４１、コンピュータ４０を無線基地局装置１０として機能させる無線基地局プログラムを記憶するＲＯＭ(Read Only Memory)４２、ＣＰＵ４１の一時的な作業領域として使用されるＲＡＭ(Random Access Memory)４３、不揮発性メモリ４４、及び入出力インターフェース(Ｉ／Ｏ)４５を備える。そして、ＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、不揮発性メモリ４４、及びＩ／Ｏ４５がバス４６を介して各々接続されている。

不揮発性メモリ４４は、不揮発性メモリ４４に供給される電力が遮断されても、記憶した情報が維持される記憶装置の一例であり、例えば半導体メモリが用いられるがハードディスクを用いてもよい。無線基地局装置１０の電源が遮断されても記憶し続ける必要のある情報は不揮発性メモリ４４に記憶される。

不揮発性メモリ４４は必ずしもコンピュータ４０に内蔵されている必要はなく、例えばコンピュータ４０に着脱可能な可搬型の記憶装置であってもよい。

Ｉ／Ｏ４５には、例えば通信ユニット４７、入力ユニット４８、表示ユニット４９、及びＨＳＭ５０といったデバイスが接続される。

通信ユニット４７はＲＲＨ３に接続されると共に、仮想基幹回線網１６が存在する場合にはインターネット５にも接続され、ＵＥ２及びインターネット５に接続された外部装置とデータ通信を行う通信プロトコルを備える。

入力ユニット４８は、ユーザの指示を受け付けてＣＰＵ４１に通知する装置であり、例えばボタン、タッチパネル、キーボード、及びマウス等が用いられる。音声によって指示を受け付ける場合には、入力ユニット４８としてマイクが用いられることがある。

表示ユニット４９は、ＣＰＵ４１によって処理された情報を視覚的に表示する装置の一例であり、例えば液晶ディスプレイや有機ＥＬ(Electro Luminescence)ディスプレイ等が用いられる。

ＨＳＭ５０は、認証情報を記憶する半導体チップを含み、外部からの不正なアクセスを拒否することで認証情報の漏えいを防止する専用のハードウェアである。ＨＳＭ５０のパッケージは一体成型され、例えば認証情報を不正に取得しようとしてＨＳＭ５０を無理やりこじ開けて半導体チップを取り出そうとしても、認証情報の読み出しに必要となる部品が破壊されることで、認証情報の漏えいを防ぐ工夫が施されている。また、ＨＳＭ５０は、真正乱数生成機能を備え、電子証明書の秘密鍵及び公開鍵の生成を行う。

なお、仮想化基盤１２毎に異なる通信ユニット４７、入力ユニット４８、表示ユニット４９、及びＨＳＭ５０を備えるようにしてもよいが、同じ通信ユニット４７、入力ユニット４８、表示ユニット４９、及びＨＳＭ５０を各々の仮想化基盤１２に対して共通に割り当ててもよい。

また、Ｉ／Ｏ４５に接続されるデバイスは一例であり、例えば画像を用紙等の記録媒体に形成する画像形成ユニットのように、必要に応じて図４に示したデバイスとは異なるデバイスをＩ／Ｏ４５に接続してもよい。無線基地局装置１０が無人の場所に設置されているような場合には、入力ユニット４８及び表示ユニット４９は必ずしも必要ではない。この場合、無線基地局装置１０は通信ユニット４７を通じてユーザの指示を受け付けると共に、無線基地局装置１０が表示ユニット４９に表示しようとした情報を、通信ユニット４７を通じてオーケストレータ３０のような外部装置に送信し、外部装置で表示するようにしてもよい。

次に、無線基地局装置１０におけるオペレータ通信設備２０の登録処理について説明する。オペレータ通信設備２０が無線基地局装置１０を利用するためには、事前に利用先の無線基地局装置１０に対してオペレータ通信設備２０を登録しておく必要がある。こうした無線基地局装置１０に対するオペレータ通信設備２０の登録は、オペレータ通信設備２０からの登録要求によって行われる。

図５は、オペレータ通信設備２０から登録要求を受け付けた場合に、無線基地局装置１０のＣＰＵ４１によって実行されるオペレータ通信設備２０の登録処理の一例を示すフローチャートである。

オペレータ通信設備２０の登録処理を規定する無線基地局プログラムは、例えば無線基地局装置１０のＲＯＭ４２に予め記憶されている。無線基地局装置１０のＣＰＵ４１は、ＲＯＭ４２に記憶される無線基地局プログラムを読み込んでオペレータ通信設備２０の登録処理を実行する。

ステップＳ１０において、ＣＰＵ４１は、受け付けた登録要求に含まれるＰＬＭＮが正しいＰＬＭＮであるか否かを判定する。正しいＰＬＭＮとは、ＰＬＭＮが国によって割り当てられた正式なＰＬＭＮであることを意味するが、正しいＰＬＭＮであるか否かの判定方法は、ＰＬＭＮが国によって割り当てられた正式なＰＬＭＮであるか否かの判定に限らない。例えば、無線基地局装置１０の利用を許可するオペレータのＰＬＭＮを予め不揮発性メモリ４４に設定しておき、登録要求に含まれるＰＬＭＮが、無線基地局装置１０の利用を許可する何れかのオペレータのＰＬＭＮと一致する場合に、登録要求に含まれるＰＬＭＮが正しいＰＬＭＮであると判定してもよい。

登録要求に含まれるＰＬＭＮが正しいＰＬＭＮでなければ、登録要求は不正な要求であると考えられるため、図５に示すオペレータ通信設備２０の登録処理を終了し、オペレータ通信設備２０の登録を行わないようにする。

一方、登録要求に含まれるＰＬＭＮが正しいＰＬＭＮである場合、ステップＳ２０に移行する。

ステップＳ２０において、ＣＰＵ４１は、登録要求を行ったオペレータ（登録オペレータ）に対する電子証明書と鍵ペアを生成する。具体的には、ＣＰＵ４１は、外部回線を通じて認証局に対して電子証明書の発行を依頼し、認証局から登録オペレータに対する電子証明書を取得する。また、ＣＰＵ４１は、ＨＳＭ５０の真正乱数生成機能を利用して、発行された電子証明書に対する鍵ペアを生成する。

ステップＳ３０において、ＣＰＵ４１は登録オペレータのＰＬＭＮと、ステップＳ２０で取得した電子証明書及び鍵ペアとを対応付けて認証情報を生成し、生成した登録オペレータの認証情報をＨＳＭ５０に記憶して、図５に示すオペレータ通信設備２０の登録処理を終了する。以上により、登録オペレータの認証情報がＨＳＭ５０に登録される。なお、オペレータ通信設備２０の登録処理は、無線基地局装置１０毎に行われる。

無線基地局装置１０のＲＡＮを利用してユーザに５Ｇサービスを提供したいオペレータは、オペレータ通信設備２０から利用したいＲＡＮを提供する無線基地局装置１０に対して接続要求を送信する。

図６は、オペレータ通信設備２０から接続要求を受け付けた場合に、無線基地局装置１０のＣＰＵ４１によって実行されるオペレータ通信設備２０の接続処理の一例を示すフローチャートである。

オペレータ通信設備２０の接続処理もオペレータ通信設備２０の登録処理と同じく無線基地局プログラムに規定されている。無線基地局装置１０のＣＰＵ４１は、ＲＯＭ４２に記憶される無線基地局プログラムを読み込んでオペレータ通信設備２０の接続処理を実行する。

なお、接続要求には、接続要求を行ったオペレータ（以降、「利用オペレータ」という）のＰＬＭＮと、利用オペレータが接続先の無線基地局装置１０毎に取得した、公開鍵を含んだ電子証明書と、電子署名が含まれる。電子署名とは、ハッシュ関数を用いて計算された接続要求のハッシュ値を、電子証明書と対応付けられた秘密鍵で暗号化した暗号データである。説明の便宜上、オペレータが取得した接続要求に含まれる電子証明書を「オペレータ電子証明書」と記載し、無線基地局装置１０に登録されているオペレータ毎の電子証明書と区別することにする。利用オペレータは、本実施の形態に係る利用通信事業者の一例である。

ステップＳ１００において、ＣＰＵ４１は、受け付けた接続要求が既にＨＳＭ５０に認証情報が登録されている登録済みオペレータからの正しい接続要求であるかを認証する。すなわち、ＣＰＵ４１は、接続要求に含まれるＰＬＭＮを含んだ認証情報がＨＳＭ５０に存在し、かつ、接続要求を行った利用オペレータがＰＬＭＮによって表されるオペレータと同じオペレータであるかを認証する。

利用オペレータが接続要求に含まれるＰＬＭＮによって表されるオペレータと同じオペレータであるか否かはオペレータ電子証明書を用いて確認する。具体的には、ＣＰＵ４１は、接続要求に付与された電子署名をオペレータ電子証明書の公開鍵で復号した復号ハッシュ値を算出し、復号ハッシュ値がハッシュ関数を用いて計算した接続要求のハッシュ値と一致するか判定する。復号ハッシュ値が接続要求から計算したハッシュ値と一致する場合、ＣＰＵ４１は、更にオペレータ電子証明書が正当な認証局で発行された電子証明書であるかをオペレータ電子証明書の認証パスを辿って確認し、なりすましがないことを確認する。

ステップＳ１１０において、ＣＰＵ４１は、接続要求の認証が成功したか否かを判定する。接続要求の認証に失敗した場合、受け付けた接続要求は、要求元がはっきりしない不正な接続要求であると考えられるため、接続を拒否して図６に示すオペレータ通信設備２０の接続処理を終了する。一方、接続要求の認証に成功した場合には、ステップＳ１２０に移行する。

今度はオペレータ通信設備２０側で、オペレータ通信設備２０が接続しようとしている無線基地局装置１０が正しい接続先であることを確認できるように、無線基地局装置１０が、電子署名を行った接続応答を接続要求の送信元であるオペレータ通信設備２０の仮想セキュリティゲートウェイ２１に送信する。

そのため、まずステップＳ１２０において、ＣＰＵ４１は、接続要求に含まれるＰＬＭＮを含んだ認証情報、すなわち、利用オペレータの認証情報をＨＳＭ５０から取得する。

ステップＳ１３０において、ＣＰＵ４１は、ハッシュ関数を用いて計算した接続応答のハッシュ値を、ステップＳ１２０で取得した認証情報の秘密鍵で暗号化して電子署名を生成する。その上で、ＣＰＵ４１は、利用オペレータの認証情報に含まれる電子証明書に当該電子証明書と対応付けられた公開鍵を付与し、生成した電子署名と、公開鍵を付与した電子証明書とを含む接続応答を生成する。ＣＰＵ４１は、このようにして生成した接続応答を、接続要求の送信元であるオペレータ通信設備２０の仮想セキュリティゲートウェイ２１に送信する。

ステップＳ１４０において、ＣＰＵ４１は、接続応答を送信したオペレータ通信設備２０の仮想セキュリティゲートウェイ２１で、接続応答に対する認証が成功したか否かを判定する。ＣＰＵ４１は、仮想セキュリティゲートウェイ２１で接続応答に対する認証が成功したか否かを、仮想セキュリティゲートウェイ２１からの認証結果、または、接続応答の送信に用いた通信セッションの状態によって検知する。仮想セキュリティゲートウェイ２１で接続応答の認証に失敗した場合、通信セッションが強制的に切断される。

このように、仮想セキュリティゲートウェイ２１にも無線基地局装置１０の認証を行わせることで、例えばＣＰＵ４１が不正な接続要求につられて、実際には接続要求を行っていないオペレータ通信設備２０に接続応答を行ってしまったというような不正な事象が検知されることがある。

したがって、仮想セキュリティゲートウェイ２１で無線基地局装置１０からの接続応答に対する認証に失敗したと判定される場合、図６に示すオペレータ通信設備２０の接続処理を終了する。

一方、仮想セキュリティゲートウェイ２１で無線基地局装置１０からの接続応答に対する認証に成功したと判定される場合、無線基地局装置１０とオペレータ通信設備２０との間で相互に接続先が正しいと認証されたことになるため、ステップＳ１５０に移行する。

ステップＳ１５０において、ＣＰＵ４１は、利用オペレータのオペレータ通信設備２０における仮想セキュリティゲートウェイ２１に対してＶＰＮ(Virtual Private Network)接続を行い、仮想基地局１４との間に暗号化とトンネリングによりデータの秘匿性を担保した仮想専用線の一例である仮想ネットワークを構築する。具体的には、ＣＰＵ４１は、例えばＶＰＮプロトコルにＩＫＥｖ２を用いると共に、データの暗号化プロトコルにＩＰｓｅｃ(IP Security)を用いて仮想セキュリティゲートウェイ２１との間にトンネルをはり、トンネル内に仮想ネットワークを構築する。仮想ネットワークは、例えばＶＸＬＡＮ(Virtual eXtensible Local Area Network)を用いたオーバレイネットワークとして実現される。

ステップＳ１６０において、ＣＰＵ４１は、ステップＳ１５０で仮想セキュリティゲートウェイ２１との間に仮想ネットワークを構築した仮想基地局１４に、仮想基幹回線網１６が接続されているか否かを判定する。仮想基幹回線網１６が接続されている場合にはステップＳ１７０に移行する。

仮想基地局１４に仮想基幹回線網１６が接続されている場合、ＵＥ２から受け付けたデータを、オペレータ通信設備２０を経由することなく無線基地局装置１０から直接インターネット５等の外部回線に転送するルーティングが可能となる。当該ルーティングはオペレータ通信設備２０の制御に従うことから、ステップＳ１７０において、ＣＰＵ４１はステップＳ１５０と同様の方法によって、利用オペレータのオペレータ通信設備２０における仮想セキュリティゲートウェイ２１に対してＶＰＮ接続を行い、仮想基幹回線網１６との間に仮想ネットワークを構築する。

一方、仮想基地局１４に仮想基幹回線網１６が接続されていない場合には、ステップＳ１７０の処理を実行することなくステップＳ１８０に移行する。

ステップＳ１８０において、ＣＰＵ４１は、利用オペレータのオペレータ通信設備２０における仮想セキュリティゲートウェイ２１との間で通信を開始し、仮想セキュリティゲートウェイ２１から仮想ネットワークを通じて行われる制御に応じて、ＵＥ２から受け付けたデータの転送を行う。以上により図６に示したオペレータ通信設備２０の接続処理を終了する。

なお、１つの無線基地局装置１０が同時に接続を許可するオペレータは１つに限られない。複数のオペレータから接続要求を受け付けた場合、オペレータ毎に図６に示したオペレータ通信設備２０の接続処理を行い、仮想ネットワークで接続される各々のオペレータ通信設備２０からの制御に応じて、ＵＥ２から受け付けたデータの転送を行う。すなわち、複数のオペレータが同じ無線基地局装置１０を共有して、５Ｇサービスの提供を行う。

図６に示したオペレータ通信設備２０の接続処理では、無線基地局装置１０はオペレータ通信設備２０から接続要求を受け付けた場合に、オペレータ通信設備２０との間に仮想ネットワークを構築する。

一方で、無線基地局装置１０で何らの障害が発生したため、無線基地局装置１０が主体となってオペレータ通信設備２０との仮想ネットワークを切断した場合、オペレータ通信設備２０は、無線基地局装置１０に再接続しようとして、例えば無線基地局装置１０が復旧するまで接続要求を送信し続けることになる。

したがって、無線基地局装置１０は、自装置に起因する障害によって、オペレータ通信設備２０における仮想セキュリティゲートウェイ２１との接続を切断した場合、障害が復旧した後に、無線基地局装置１０から仮想ネットワークを切断したオペレータ通信設備２０に対して接続要求を行うようにする。その上で、無線基地局装置１０は、オペレータ通信設備２０から送信された接続応答に対して電子証明書を用いた認証を行い、無線基地局装置１０とオペレータ通信設備２０との間で相互に接続先が正しいと認証された場合に仮想ネットワークを再構築する。

以上では、５Ｇシステムを提供する無線通信システム１を例にして、無線基地局装置１０を共有する場合の無線基地局装置１０とオペレータ通信設備２０の接続処理について説明したが、本実施の形態に係る無線基地局装置１０とオペレータ通信設備２０の接続処理は、例えば第４世代移動通信システムや、今後導入が検討されている第６世代移動通信システム以降の通信システムのように５Ｇシステム以外の通信システムに適用してもよいことは言うまでもない。

以上、実施の形態を用いて本発明について説明したが、本発明は実施の形態に記載の範囲に限定されない。本発明の要旨を逸脱しない範囲で実施の形態に多様な変更または改良を加えることができ、当該変更または改良を加えた形態も本発明の技術的範囲に含まれる。例えば、本発明の要旨を逸脱しない範囲で処理の順序を変更してもよい。

また、実施の形態では、一例としてオペレータ通信設備２０の登録処理及び接続処理をソフトウェアで実現する形態について説明したが、図５及び図６に示したフローチャートと同等の処理を、例えばＡＳＩＣ(Application Specific Integrated Circuit)、ＦＰＧＡ(Field Programmable Gate Array)、またはＰＬＤ(Programmable Logic Device)に実装し、ハードウェアで処理させるようにしてもよい。この場合、オペレータ通信設備２０の登録処理及び接続処理をソフトウェアで実現した場合と比較して処理の高速化が図られる。

このように、無線基地局装置１０のＣＰＵ４１を例えばＡＳＩＣ、ＦＰＧＡ、ＰＬＤ、ＧＰＵ(Graphics Processing Unit)、及びＦＰＵ(Floating Point Unit)といった特定の処理に特化した専用のプロセッサに置き換えてもよい。

実施の形態に係る無線基地局装置１０の処理は、１つのＣＰＵ４１によって実現される形態の他、複数のＣＰＵ４１によって実現される形態であってもよい。更に、実施の形態に係る無線基地局装置１０の処理は、物理的に離れた位置に存在するプロセッサの協働によって実現されるものであってもよい。

また、上述した実施の形態では、ＲＯＭ４２に無線基地局プログラムがインストールされている形態について説明したが、これに限定されるものではない。実施の形態に係る無線基地局プログラムは、コンピュータ４０で読み取り可能な記憶媒体に記録された形態で提供することも可能である。例えば無線基地局プログラムをＣＤ(Compact Disc)-ＲＯＭ、またはＤＶＤ(Digital Versatile Disc)-ＲＯＭ等の光ディスクに記録した形態で提供してもよい。また、実施の形態に係る無線基地局プログラムを、ＵＳＢ(Universal Serial Bus)メモリやメモリカード等の可搬型の半導体メモリに記録した形態で提供してもよい。

更に、無線基地局装置１０は、インターネット５等の外部回線を通じて外部装置から無線基地局プログラムを取得してもよい。

１ 無線通信システム、２ ＵＥ、３ ＲＲＨ、４ ＤＵ、５ インターネット、６ ＣＵ、１０（１０Ａ、１０Ｂ） （共有型）無線基地局装置、１２ 仮想化基盤、１４ 仮想基地局、１５ ＭＥＣサーバ、１６ 仮想基幹回線網、１８ 鍵管理部、２０（２０Ａ、２０Ｂ） オペレータ通信設備、２１ 仮想セキュリティゲートウェイ、２２ 共有型無線基地局装置ゲートウェイ、２３ ｖＣＮ、２４ ＣＮ－Ｃ、２５ ネットワークスライス（ＮＳ）、２６ ＡＭＦ、２７ ＳＭＦ、２８ ＵＰＦ、３０ オーケストレータ、４０ コンピュータ、４１ ＣＰＵ、４２ ＲＯＭ、４３ ＲＡＭ、４４ 不揮発性メモリ、４５ Ｉ／Ｏ、４６ バス、４７ 通信ユニット、４８ 入力ユニット、４９ 表示ユニット、５０ ＨＳＭ

Claims (7)

1. プロセッサを備え、
   前記プロセッサは、
   自装置の利用を要求する通信事業者毎に、通信事業者に対する電子証明書と電子証明書の認証に用いる鍵ペアを保持し、
   通信事業者から接続要求を受け付けた場合、接続要求を行った通信事業者である利用通信事業者に対する電子証明書と鍵ペアを用いて、前記利用通信事業者が自装置への接続が許可された通信事業者であるか否かの認証を行い、
   前記認証に成功した場合、前記利用通信事業者の通信設備において自装置とのインターフェースとして機能する接続装置と、自装置を接続する仮想専用線を構築し、前記接続装置を通じて行われる前記利用通信事業者の通信設備からの制御に応じたデータの転送を行う
   無線基地局装置。
2. 自装置に、自装置が管轄する通信回線と異なる外部回線にデータを転送するデータ転送部が存在する場合、
   前記プロセッサは、前記データ転送部と前記接続装置を接続する仮想専用線を更に構築する
   請求項１記載の無線基地局装置。
3. 前記利用通信事業者の認証、自装置の制御、及びデータの転送をソフトウェアで構成された仮想化基盤上で実現する一方、
   通信事業者毎の電子証明書と鍵ペアを、前記仮想化基盤とは分離された、電子証明書及び鍵ペアを保持する専用のハードウェアで保持する
   請求項１または請求項２記載の無線基地局装置。
4. 前記プロセッサは、複数の通信事業者から接続要求を受け付けた場合、通信事業者毎に前記認証を行い、
   前記認証に成功した各々の通信事業者の前記接続装置と自装置をそれぞれ接続する仮想専用線を構築し、前記接続装置の各々を通じて行われる複数の通信事業者の通信設備からの制御に応じたデータの転送を行う
   請求項１～請求項３の何れか１項に記載の無線基地局装置。
5. 前記プロセッサは、自装置に起因する障害によって前記接続装置との接続が切断された場合、接続を切断した前記接続装置に対して自装置から接続要求を行う
   請求項１～請求項４の何れか１項に記載の無線基地局装置。
6. コンピュータに、
   自装置の利用を要求する通信事業者毎に、通信事業者に対する電子証明書と電子証明書の認証に用いる鍵ペアを保持し、
   通信事業者から接続要求を受け付けた場合、接続要求を行った通信事業者である利用通信事業者に対する電子証明書と鍵ペアを用いて、前記利用通信事業者が自装置への接続が許可された通信事業者であるか否かの認証を行い、
   前記認証に成功した場合、前記利用通信事業者の通信設備において自装置とのインターフェースとして機能する接続装置と、自装置を接続する仮想専用線を構築し、前記接続装置を通じて行われる前記利用通信事業者の通信設備からの制御に応じたデータの転送を行う処理を実行させる
   無線基地局プログラム。
7. 自装置の利用を要求する通信事業者毎に、通信事業者に対する電子証明書と電子証明書の認証に用いる鍵ペアを保持し、通信事業者から接続要求を受け付けた場合、接続要求を行った通信事業者である利用通信事業者に対する電子証明書と鍵ペアを用いて、前記利用通信事業者が自装置への接続が許可された通信事業者であるか否かの認証を行い、前記認証に成功した場合、前記利用通信事業者の通信設備において自装置とのインターフェースとして機能する接続装置と、自装置を接続する仮想専用線を構築し、前記接続装置を通じて行われる前記利用通信事業者の通信設備からの制御に応じたデータの転送を行う無線基地局装置と、
   前記無線基地局装置と仮想専用線によって接続される前記接続装置を含む通信事業者の通信設備と、
   を備えた無線通信システム。