以下、図面を参照して本発明の実施形態� ��説明する。実施形態の構成は例示であり、� ��発明は実施形態の構成に限定されない。

 〔概要〕
 上述したように、現状の無線ネットワーク� ��ステムでは、重複した暗号化が実施されて� ��た。このような状況に鑑み、本発明の実施� ��態として、例えば、図1に示したような無線 LANシステムにおけるアクセスポイント(AP)や� �無線ネットワークゲートウェイ(GW)が、RTSP(Re al Time Streaming Protocol)に従って、エンド-ト� �-エンド(End-to-End:例えば、メディアサーバと� ��動端末)でのSRTPネゴシエーションを観測す� �ことができる装置を備える。このとき、SRTP� ��よる暗号化処理が或るRTPセッションについ� ��実施される場合には、無線LAN(無線区間)で� �暗号化処理をそのRTPセッションについて実� �しない。

 但し、当該処理は、上記したRTPセッショ� ��と同時に発生している他のセッションやそ� ��他のメディアに関する通信から独立して実� ��される。例えば、移動端末(端末装置)が、� �トリーミング配信と並列にWebアクセスを行� �場合がある。このとき、このWebアクセスに� �するセッションについて無線区間での暗号� �処理が要求される場合には、無線区間での� �号化処理が実施される。

 また、実施形態では、或るRTPセッション� ��係る通信についてIPsecが実施されるかどう� �を監視し、実施される場合には、無線区間� �の暗号化処理を回避する。

 図5は、図1に示したような無線LANシステ� �において、無線区間の暗号化処理が回避さ� �た状態を示し、図6は、図3に示したようなセ ルラ網システムにおいて、無線区間の暗号化 処理が回避された状態を示す。

 図7は、本実施形態におけるネットワーク システム(暗号化処理制御システム)の構成例� ��示す図である。図7に示すネットワークシス テムは、送受信装置10と、第2中継装置として の通信装置20と、第1中継装置としての通信装 置30と、端末装置40とを備える。

 端末装置40は、データの送受信機能を有� �ており、端末装置40と送受信装置10との間で� ��受信されるデータは、所定の通信経路を通� ��。この通信経路の一方の端点が端末装置40� �あり、他方が送受信装置10である。通信装置 20及び通信装置30は、通信経路上に配置され� �送受信装置10と端末装置40との間で送受信さ� ��るデータの中継装置として機能する。

 このような通信経路に関して、端末装置4 0と通信装置30との間の区間は、この区間で送 受信されるデータが暗号化される第1の暗号� �区間(第1区間に相当)として定義されている� �一方、端末装置40と通信装置20との間の区間� ��、この区間でデータが暗号化される第2の暗 号化区間(第2区間に相当)として定義されてい る。

 このように、第1の暗号化区間は、第2の� �号化区間に含まれている(重なっている)。従 って、第1の暗号化区間と第2の暗号化区間と� ��双方で並列に暗号化通信が実施される場合� ��は、第1の暗号化区間を流れるデータは、第 2の暗号化区間について適用される暗号化方� �で暗号化された暗号化データが、さらに第1� ��暗号化区間について適用される暗号化方式� ��暗号化された状態となる。すなわち、第1の 暗号化区間では、冗長な暗号化処理が実施さ れる。

 通常、第1の暗号化区間及び第2の暗号化� �間の夫々には、異なるタイプの暗号化方式� �適用される。但し、第1及び第2の暗号化区間 に関して、同種類の暗号化方式が適用される ことは妨げられない。

 端末装置40は、第1の暗号化区間で暗号化� ��信を実施するための第1暗号化処理部41と、� ��2の暗号化区間で暗号化通信を実施するため の第2暗号化処理部42とを備えている。

 通信装置30は、第1暗号化区間で暗号化通� ��を行うための暗号化処理部31を備える。暗� �化処理部31は、端末装置40の第1暗号化処理部 41との間で、第1の暗号化区間について適用さ れる暗号化方式(第1の暗号化方式)に関するネ ゴシエーション及び初期設定を行い、通信装 置30を端末装置40との間(第1の暗号化区間)で� �1の暗号化方式に基づく暗号化通信を実施可� ��な状態にする。

 第1の暗号化区間での暗号化通信が実施さ れる場合には、通信装置30と端末装置40との� �方からは、第1の暗号化方式で暗号化された� ��号化データが送信され、他方で暗号化デー� ��の復号化が実施される。

 このように、暗号化処理部31及び第1暗号� ��処理部41は、第1の暗号化区間を流れるデー� ��の暗号化を行う第1暗号化手段として機能す る。

 通信装置20は、第2暗号化区間で暗号化通� ��を実施するための暗号化処理部21を備えて� �る。暗号化処理部21は、端末装置40の第2暗号 化処理部42との間で、第2の暗号化方式に関す るネゴシエーション及び初期設定を行い、第 2の暗号化区間で適用される暗号化方式(第2の 暗号化方式)に基づく暗号化通信を実施可能� �状態にする。

 第2の暗号化区間での暗号化通信が実施さ れる場合には、通信装置20と端末装置40との� �方からは、第2の暗号化方式で暗号化された� ��号化データが送信され、他方で暗号化デー� ��の復号化が実施される。

 また、暗号化処理部21及び第2暗号化処理� ��42は、第2の暗号化区間を対象とする暗号化� ��び復号化処理を行う第2暗号化/復号化手段� �して機能する。

 通信装置30は、第2暗号化区間の暗号化実� ��有無の判断部32をさらに備える。判断部32は 、第2の暗号化区間での暗号化の実施の有無� �応じて第1の暗号化区間での暗号化の実施を� ��御する制御手段として機能する。

 判断部32は、通信装置20と端末装置40との� ��(第2の暗号化区間)の通信(トラフィック)を� �視し、第2の暗号化区間での暗号化が実施さ� ��るか否かを決定(判定)する。

 第2の暗号化区間で暗号化が実施されない 場合には、暗号化処理部31に対して特になに� ��しない。この場合、暗号化処理部31では、� �1の暗号化区間の暗号化に関するネゴシエー� ��ョン及び初期設定が実施され、第1の暗号化 区間を送受信されるデータの暗号化/復号化� �理が実施される。

 これに対し、第2の暗号化方式による暗号 化が実施される場合には、判断部32は、暗号� ��処理部31による暗号化処理(データの暗号化/ 復号化)を停止(中止)させることができる。

 また、判断部32は、第2の暗号化区間の監� ��において、第2の暗号化区間の暗号化が停止 されたことを検知したときに、暗号化処理部 31による第1の暗号化区間の暗号化が中止状態 であれば、暗号化処理部31に対して暗号化処� ��を開始させることができる。

 このように、第1の暗号化区間に対する暗 号化は、第2の暗号化区間の暗号化が実施さ� �るか否かの判断結果に基づいて実施される� �このため、通信装置30の判断部32にて、第2の 暗号化区間に対する暗号化が行われるか否か がチェックされる。

 第2の暗号化区間に対する暗号化が行われ る場合には、第1の暗号化区間に対する暗号� �を実施せず、第2の暗号化区間の暗号化が実� ��されない場合には、第1の暗号化区間の暗号 化が実施される。さらに、第1の暗号化区間� �対する暗号化が停止された後、第2の暗号化� ��間の暗号化が行われなくなったことが検知( 検出)された場合には、第1の暗号化区間に対� ��る暗号化が開始(再開)される。

 ここで、第1の暗号化区間に対する暗号化 に関して、第2の暗号化区間に対する暗号化� �行われるか否かに関わらず、第1の暗号化区� ��の暗号化に関して必要な設定のすべてが実� ��され、第1の暗号化区間に対する暗号化の開 始を保留させる。

 また、第1の暗号化区間が、第2の暗号化� �間から独立した通信路を持つ場合、例えば3G PPシステムにおいて、ユーザデータを取り扱� ��DTCH(Dedicated Traffic CHannel)とは独立した制御� ��ャネルとしてのDCCH(Dedicated Control CHannel)が� ��在するような場合には、DTCHのみが暗号化を 実施するか否かの制御対象とされ、DCCHは制� �対象に含まれない(第2の暗号化区間とは無関 係に暗号化が行われる)ようにすることがで� �る。

 なお、図7では、暗号化処理部31と判断部3 2とを通信装置30が備える例が示されている。 但し、判断部32は、暗号化処理部31と物理的� �離れた位置(例えば、通信装置30と異なる装� �)に位置していても良い。すなわち、暗号化� ��理部31には、判断部32における判断結果に基 づく暗号化処理の開始/停止指示が伝達され� �暗号化処理部31が開始/停止指示に従って、� �御対象の通信に係るデータに対する暗号化� �理を実施するように構成されていれば良い� �

 〔具体例〕
 〈IPsecの概要〉
 図8は、IPsecの概要を示す。IPsecでは、通信� �始前に暗号化方法に関するネゴシエーショ� �がIKE(Internet Key Exchange:RFC2409)の手順で実施� �れる。

 フェーズ1では、通信を行うホスト(装置)� ��で、フェーズ2で利用する暗号方式を決定す るとともに、暗号化のための暗号鍵を生成す る。フェーズ1で生成された暗号鍵は装置間� �共有される。

 フェーズ2では、共有された鍵を用いてIPs ecで使用する暗号方式や暗号鍵など(SA:security� �association)を決定する。この手順は特定のパ� �ットを用いて行われる。例えば、ISAKMP(Interne t Security Association and Key Management Protocol:RFC 2408)のパケットがこのフェーズ2で利用される 。

 このため、図7に示したネットワークシス テムにおいて、例えば、通信装置20と端末装� ��40との間で実施されるISAKMPパケットを用い� �IKEシーケンスを確認することは、これらの� �間に位置する通信装置30(の判断部32)で可能� �ある。

 ISAKMPは、IANA(Internet Assigned Number Authority) によってTCP/UDP(Transfer Control Protocol/User Datagr am Protocol)のポート番号“500”が割り当てら� �ている。

 図9は、ESPブロックのデータ構造を示す。 IKEによるネゴシエーションが完了したら、IPs ecでは、ESP(Encapsulating Security Payload)と呼ばれ るブロックに転送対象のデータブロック(図9� ��例では、TCP/UDPパケット)がカプセル化され� �。すなわち、カプセル化されるデータブロ� �クがESP中のペイロードデータ格納領域にマ� �ピングされる。

 ESPブロックはIPヘッダが付与されて転送� �れる(IPヘッダが付与されたESPブロックを「ES Pパケット」と称する)。ESPパケットのペイロ� ��ド、すなわちESPブロックはIPsecに基づき暗� �化される。このため、ESPパケットは、セキ� �アな環境で転送される。なお、ESPブロック� �付与されるIPヘッダの“Next Header field”に� �、ESP用に割り当てられた番号“50”が格納さ れる。

 IPsecには、トランスポート・モードと、� �ンネル・モードとがある。トランスポート� �モードでは、送信ホストが送信対象の元デ� �タを暗号鍵で暗号化し、IPヘッダを付与して 送信する。このIPパケットは、受信ホストで� ��信される。受信ホストは、IPパケットから� �ッダを除去し、残ったデータ部分に対する� �号化処理を行うことで、元データを得る。

 このように、トランスポート・モードで� ��、送信ホストと受信ホストとの間で、暗号� ��されたデータ(ESPブロック)を有するIPパケッ トが送受信される。

 トンネル・モードでは、送信ホストから� ��信側ゲートウェイにIPパケットが転送され� �。送信側ゲートウェイ(IPsec処理ゲートウェ� �)は、送信ホストからのIPパケットを暗号化� �、IPパケット中にカプセル化し、受信側ゲー トウェイ(IPsec処理ゲートウェイ)へ転送する� �受信側ゲートウェイでは、IPパケットからIP� ��ッダを除去し、残りのデータ部分を復号化� ��て、元のIPパケットを得る。受信側ゲート� �ェイは、このIPパケットを暗号化することな く受信ホストへ転送する。このように、トン ネル・モードでは、ゲートウェイ間の通信の みに暗号化が施される。

 本実施形態では、IPsecのトランスポート� �モードが使用される場合を想定する。

 図10は、具体例に係るネットワークシス� �ム構成を示すとともに、網側の判断による� �1の暗号化区間の暗号化処理制御の説明を示� ��。

 図10に示すように、具体例に係るシステ� �として、セルラ網システム(3GPP)が示されて� �る。セルラ網システムは、データ要求に応� �てストリーミングデータのようなデータ配� �を行うサーバ50と、サーバにリンクを介して 接続されたゲートウェイ(GW)60と、GW60にIP網(� �:インターネット)を介して接続される交換機 (xGSN)70と、xGSN70にリンクを介して接続される� ��地局制御装置(RNC)80と、RNC80にリンクを介し� ��接続される基地局装置(Node B)90とを備え、� �地局装置90に対して端末装置(UE)100が無線リ� �ク(無線伝送路)を介して接続される。

 図10において、サーバ50とUE100とが通信経� ��の二つの端点となる。この通信経路上にお� ��て、UE100とRNC80との間の区間が、図7を用い� �説明した第1の暗号化区間に相当し、UE100とGW 80との間の区間が、第1の暗号化区間を含む第 2の暗号化区間に相当する。

 UE100は、図7に示したような、第1暗号化処 理部41及び第2暗号化処理部42を備えた端末装� ��40に相当する。また、RNC80が、暗号化処理部 31及び判断部32を備えた通信装置30に相当する 。また、GW60が、暗号化処理部21を備えた通信 装置20に相当する。そして、サーバ50が、図7� ��おける送信装置10に相当する。

 第1の暗号化区間では、RNC80とUE100との間� �、例えば、KASUMIアルゴリズムF8モード(KASUMI� �号化:第1の暗号化方式)による暗号化通信を� �施可能である。このため、第1の暗号化区間� ��は、RNC80とUE100との間で通信コネクション(� �線リンクを含む)の確立処理が行われる。さ� ��に、第1の暗号化区間での暗号化を行うため に、RNC80の暗号化処理部31とUE100の第1暗号化� �理部41との間で行われるネゴシエーション(� �ッセージ交換)が実施され、このネゴシエー� ��ョンの結果に応じた暗号化の初期設定がRNC8 0の暗号化処理部31及びUE100の第1暗号化処理部 41の夫々において行われる。これによって、� ��1の暗号化区間において、暗号化通信が可能 な状態となる(図10(1))。

 第2の暗号化区間では、GW60とUE100との間で 、IPsec(トランスポート・モード:第2の暗号化� ��式)による暗号化通信を実施可能である。こ の第2の暗号化方式による暗号化通信を開始� �るために事前に実行される初期設定は、GW60� ��暗号化処理部21とUE100の第2暗号化処理部42と の間で行われるネゴシエーション(メッセー� �交換:IKE)を通じて実施される。

 RNC80における判断部32は、第2の暗号化区� �の暗号化に関わるネゴシエーションを実施� �ているトラフィックを観測することができ� �。この観測結果を元に、第2の暗号化区間に� ��する暗号化が行われるか否かを判断するこ� ��ができる。

 例えば、判断部32は、RNC80を通過するIPパ� ��ットのIPアドレス及びポート番号から、GW60� ��UE100との間の暗号化ネゴシエーションに関� �るトラフィックを検出することができる。� �ラフィックを識別するための情報(IPアドレ� �等)に関して、GW80のIPアドレスが予めRNC80の� �断部32に設定される。また、RNC80は、例えば� ��UE100とのコネクション確立手順の際に、UE100 からそのIPアドレスを取得することができる� ��

 上述したように、ISAKMPには、IANAによって TCP/UDPのポート番号“500”が割り当てられて� �る。このため、判断部32は、ポート番号“500 ”を有するGW60とUE100との間のトラフィック(� �ケット)の有無をチェックすることで、IPsec� �ネゴシエーションが行われているか否かを� �断することができる。

 また、IPsecによって暗号化されたパケッ� �には、IPヘッダの“Next Header Field”に“50番 ”が割り当てられる。このため、判断部32は� ��GW60とUE100との間を転送されるIPパケットが� �記した“50番”を有するか否かを判断するこ とで、両者間で通信中のパケットが暗号化さ れているか否かを確認することができる。

 判断部32は、上記トラフィック観測を通� �て、GW60の暗号化処理部21とUE100の第2暗号化� �理部42との間で実施されるIPsecネゴシエーシ� ��ン(図10(2))を確認した場合には、第1の暗号� �区間の暗号化は不要と判断する(図10(3))。こ� ��ような判断時における、第1の暗号化区間の 状況に応じて、判断部32は以下のような処理� ��行う。

 すなわち、第1の暗号化区間に関する暗号 化が不要と判断した場合において、暗号化処 理の初期設定が完了済みであるが、暗号化処 理が開始されていない状況(暗号化開始待機� �態)の下では、判断部32は、暗号化処理部31に 対してその待機状態を維持するための指示を 与える。暗号化処理部31は、指示に従って待� ��状態を維持する。

 これに対し、暗号化処理部31が既に暗号� �を開始していた場合には、判断部32は、暗号 化処理部31に対して暗号化の停止指示を与え� ��。暗号化処理部31は、停止指示に従って、� �号化/復号化処理を停止(中止)する。

 また、暗号化処理部31における暗号化の� �期設定が完了していない場合には、判断部32 は、暗号化処理部31に対して初期設定完了後� ��おける暗号化開始を停止するための指示を� ��える。この場合、暗号化処理部31は、指示� �従って、暗号化開始の停止状態(開始指示待� ��状態)となる。

 上記したいずれの場合においても、判断� ��32は、暗号化処理部31に対して、暗号化処理 部31が暗号化の開始待機状態となるための指� ��(待機指示と呼ぶ)を与える。これによって� �第1の暗号化区間に関する暗号化が中止され� ��状態となる(図10(4))。暗号化処理部31で暗号� ��が中止される場合には、この中止がUE100に� �知され、UE100の第1暗号化処理部41でも、暗号 化/復号化処理が中止される。

 これに対し、第2の暗号化区間では、この 区間に関する初期設定完了後、GW60の暗号化� �理部21とUE100の第2暗号化処理部42との間で、I Psecによる暗号化通信が実施される。例えば� �UE100がサーバ50からダウンロードするストリ� ��ミングデータ(図10(5))に対し、IPsecによる暗� ��化処理が施される(図10(6))。暗号化処理部21� ��実施された暗号化は、UE100の第2暗号化処理� ��42で復号される。このため、無線リンクを� �む第1の暗号化区間でも、IPsecによるセキュ� �ティが確保される。このようにして、第1の� ��号化区間で冗長な暗号化が実施されないよ� ��にすることができる。

 その後、判断部32は、第2の暗号化区間の� ��号化を監視し、暗号化が停止されたと判断� ��ると(図10(7))、暗号化処理部31に暗号化の開� ��指示を与え、第1の暗号化区間の暗号化を開 始(再開を含む)させることができる。このと� ��、暗号化の開始がUE100の第1暗号化処理部41� �通知される。これによって、無線リンクを� �む第1の暗号化区間でのセキュリティが確保� ��れる。

 第2の暗号化区間における暗号化の停止は 、例えば、UE100と網(GW60)との間における仮想� ��域網(VPN)接続の終了に伴って行われる。判� �部32は、GW60とUE100とのトラフィックから両者 間のネゴシエーションを監視し、仮想閉域網 (VPN)の解除を認識することが可能である。或� ��は、固定であるVPN接続に関して宛先が変更� ��れた場合でも認識が可能である。

 図11は、RNC80の暗号化処理部31による処理� ��を示すフローチャートであり、図12は、RNC80 の判断部32による処理例を示すフローチャー� ��である。

 図11に示す処理は、RNC80とUE100との間で、� ��地局90を介したコネクションの確立を契機� �開始される。暗号化処理部31は、UE100の第1暗 号化処理部41との間で、第1の暗号化区間に対 する暗号化に関するネゴシエーション及び初 期設定を行う(OP01)。

 このネゴシエーション及び初期設定中に� ��いて、暗号化処理部31は、判断部32から待機 指示を受信したか否かを判定する(OP02)。待機 指示が受信された場合には、暗号化処理部31� ��、ネゴシエーション及びネゴシエーション� ��果に基づく初期設定の終了後、暗号化開始� ��待機する状態となる(OP03)。

 これに対し、待機指示がない場合には、� ��号化処理部31は、ネゴシエーション及び初� �設定が終了したか否かを判定し(OP04)、ネゴ� �エーション及び初期設定が終了していない� �合には、処理をOP01に戻す。ネゴシエーショ� ��及び初期設定が終了している場合には、暗� ��化処理部31は、暗号化を開始するまでの間� �、待機指示を判断部32から受信したか否かを 判定する(OP05)。

 このとき、判断部32からの待機指示を受� �した場合には、暗号化処理部31は、暗号化開 始の待機状態となる(OP06)。暗号化開始までに 待機指示がない場合には、暗号化処理部31は� ��暗号化を開始する(OP07)。

 暗号化の開始後、暗号化処理(暗号化/復� �化)が行われている際に、判断部32から待機� �示が与えられた場合には(OP08;YES)、暗号化処� ��部31は、暗号化処理を停止して、暗号化の� �始を待機する状態となる(OP09)。 

 待機指示がない場合(OP08;NO)には、暗号化� ��理部31は、通信終了か否かを判定し(OP10)、� �信終了であれば、所定の終了処理を行い、� �11の処理を終了する。これに対し、通信終了 でなければ、処理をOP08に戻す。

 上述したOP03、OP06及びOP09の処理により、� ��号化処理部31は、待機指示に従って、暗号� �の開始を待機する状態(暗号化実施のサスペ� ��ド状態)となる。この場合、暗号化処理部31� ��、判断部32からの暗号化の開始(再開を含む) の指示を待ち受ける状態となる(OP12)。

 判断部32から開始指示が与えられた場合� �は、処理がOP07へ進み、サスペンド状態が解� ��され、暗号化処理が開始される。開始指示� ��ない場合には、通信終了か否かが判定され� ��(OP12)。このとき、通信終了でなければ、処� ��がOP11に戻り、通信終了であれば、所定の終 了処理が行われ、図11の処理が終了する。

 図12に示す処理は、例えば、RNC80とUE100と� ��間で、基地局90を介したコネクションの確� �を契機に開始される。判断部32は、GW60とUE100 との間のトラフィックを監視し(OP21)、第2の� �号化区間に関する暗号化処理が実施される� �否かを判定する(OP22)。

 第2の暗号化区間に関する暗号化処理が実 施される場合には、判断部32は、暗号化処理� ��31に対して待機指示を送信する(OP23)。これ� �より、暗号化処理部31が第1の暗号化区間の� �号化開始の待機状態となる。

 その後、判断部32は、トラフィックの監� �を継続し(OP24)、第2の暗号化区間の暗号化が� ��止されたか否かを判定する(OP25)。暗号化が� ��止された場合には、判断部32は、第1の暗号� ��区間に対する暗号化の開始(再開を含む)指� �を暗号化処理部31に送信する(OP26)。これによ って、第1の暗号化区間での暗号化処理が開� �される。このような暗号化の中止は、UE100の 第1暗号化処理部41にも通知される。

 その後、通信終了か否かが判定され(OP27)� ��通信終了でなければ、処理がOP21に戻る。通 信終了であれば、判断部32は、必要に応じて� ��了処理を行い、図12の処理を終了する。

 図10~図12に示した例では、RCE80が判断部32� ��備える。これに対し、判断部32は、端末装� �(UE)が備えるように構成することもできる。� ��ち、端末装置側で、IPsecによる網との通信� �実施する場合に、網側に対して第2の暗号化� ��間での暗号化を実施するため第1の暗号化区 間での暗号化は不要である旨を通知すること でも実現可能である。例えば、セルラ網シス テム(3GPP)の場合では、端末装置は、網側との 制御リンク(制御チャネル:DCCH)を有する。こ� �制御チャネルを用いて、第1の暗号化区間の� ��号化(例えばKASUMI暗号化)を停止することを� �知することが可能である。第1の暗号化処理� ��制御する網側装置(図7の通信装置30)に対し� �、第1の暗号化区間の暗号化処理を停止(中止 )することを通知する手段(機構)を別途設けて も良い。

 図13は、第2の暗号化区間での暗号化処理� ��実施の有無を端末装置としてのUE100で判断� �る場合における第1の暗号化区間の暗号化処� ��制御の説明を示す。

 図13におけるセルラ網システムは、図10に 示したシステムとほぼ同様の構成を備える。 但し、この例では、UE100が、第2の暗号化区間 に関する暗号化の実施有無を判断する判断部 32を備えている。

 図13において、UE100は、第1の暗号化区間� �関する暗号化処理を行う網側装置であるRNC80 との間で、無線リンクを含むコネクションの 確立処理、及び第1の暗号化区間に対する暗� �化処理の初期設定が実施される(図13(1))。

 その後、GW60とUE100との間で、第2の暗号化 区間に対する暗号化処理(IPsec)のネゴシエー� �ョン及び初期設定が実施されたと仮定する(� ��13(2))。

 このような初期設定は、GW60の暗号化処理 部21とUE100の第2暗号化処理部42との間で実施� �れる。このため、判断部32は、例えば、第2� �号化処理部42から、第2の暗号化区間に対す� �暗号化初期設定の実施の通知を受け取るこ� �で、第2の暗号化区間の暗号化が実施される� ��とを認識(判断)することができる(図13(3))。

 すると、UE100は、RNC80に対して、第1の暗� �化区間に対する暗号化開始の待機指示(暗号� ��処理が不要である旨)を通知する。このとき 、例えば、両者間を接続する制御チャネル(DC CH)を用いることができる。これによって、第 1の暗号化区間の暗号化の開始が中止される(� ��13(4))。

 その後、例えば、UE100がサーバ50からスト リーミングデータのようなデータをダウンロ ードする場合には、サーバ50からUE100へ転送� �れるデータ(図13(5))に対し、GW60の暗号化処理 部21でIPsecに基づく暗号化処理が行われ、UE100 まで転送される。UE100では、第2暗号化処理部 42がデータの復号を行う。このような処理は� ��図10の例と同様である。

 その後、UE100が、例えばGW60との間でのVPN� ��除を行うことによって、UE100の判断部32は、 第2の暗号化区間に対する暗号化が停止され� �と認識(判断)することができる(図13(7))。

 この場合、UE100は、RNC80の暗号化処理部31� ��対して、第1の暗号化区間に対する暗号化の 開始(再開)指示を、例えば制御チャネルを介� ��て通知することができる。これによって、� ��1の暗号化区間での暗号化処理が開始される (図13(8))。

 このように、端末装置で第2の暗号化区間 の暗号化の実施の有無が判断される場合には 、端末装置(ここではUE100)は、第1の暗号化区� ��の暗号化処理を実施する装置(ここではRNC80) に対して、暗号化処理開始の待機指示(中止� �示)や、暗号化処理の開始(再開)指示を通知� �る通知手段を備えた装置として機能する。

 図13に示す例における、RNC80の暗号化処理 部31の処理は、図11に示した処理と同様であ� �。但し、待機指示や開始(再開)指示は、UE100� ��らRNC80へ通知されたものを受信する。

 一方、UE100における判断部32の処理は、図 12に示した処理と同様である。即ち、UE100に� �ける判断部32は、OP21やOP24において、第2暗号 化処理部42による第2の暗号化区間の暗号化に 関するネゴシエーション(トラフィック)を監� ��して、第2の暗号化区間の暗号化の実施及び 停止を判定することができる。

 判断部32は、第2の暗号化区間の暗号化の� ��施を判定(検知)した場合には、第1の暗号化� ��間の暗号化開始の待機指示をRNC80へ送信(通� ��)する(OP23)。また、第2の暗号化区間の暗号� �の停止を判定(検知)した場合には、第1の暗� �化区間に対する暗号化開始(再開)指示をRNC80� ��送信(通知)する(OP25)。これらの指示は、UE100 とRNC80との間を結ぶ制御リンクを用いて通知� ��ることができる。

 なお、上記の説明では、サーバ50からUE100 へのデータ転送方向(下り方向)に関して説明� ��たが、UE100からサーバ50へのデータ転送方向 (上り方向)についても、同様の処理が行われ� ��。

 ところで、第1の暗号化区間における通信 経路として、ユーザデータ用の通信路(DTCHの� ��うなユーザチャネル)と制御データ用の通信 路(DCCHのような制御チャネル)とが独立に存在 する場合には、第1の暗号化区間に対する暗� �化の中止(開始の待機)は、ユーザデータ用の 通信路(DCCH)のみを対象とする。

 第1の暗号化区間の暗号化(例えばKASUMI暗� �化)は、DTCHとDCCHとの双方を対象として行わ� �る。これに対し、第2の暗号化区間に対して� ��施されるIPsecの暗号化は、ユーザデータの� �を対象とする。よって、DCCHに対する暗号化� ��停止されないようにすることで、DCCHのトラ フィックに対するセキュリティを確保するこ とができる。

 図14は、第1の暗号化区間であるRNC80とUE100 との間にユーザチャネルとしてのDTCHと制御� �ャネルとしてのDCCHとが設けられている場合� ��おける、暗号化処理の概要を示す。

 図14に示すように、第1の暗号化区間に対� ��る暗号化処理が実施される場合には、DTCH及 びDCCHの双方のトラフィックを対象とした暗� �化処理が実施される。これに対し、待機指� �によって第1の暗号化区間に対する暗号化処� ��が中止(停止)される場合には、DTCHのみが停� ��の対象となり、DCCHに対する暗号化処理は停 止されない。よって、図10(4)及び図13(4)の動� �、及び図11に示したOP、図11のOP03、OP06及びOP0 9の処理は、ユーザチャネルであるDTCHのみを� ��象として実施される。

 なお、上記した具体例では、第2の暗号化 区間で実施される暗号化方式がIPsecである場� ��について説明したが、他の暗号化方式(例え ばSRTP)であっても良い。また、第1の暗号化区 間で実施される暗号化方式もKASUMI暗号化に限 られない。

 また、無線網制御装置と第1の暗号化区間 に対する暗号化処理を行う装置とが物理的に 分離されている場合で、第2の暗号化処理が� �われているか否かを無線ネットワーク制御� �置が観測する態様も採用することができる� �例えば、RNC80が判定部32を有し、基地局装置9 0が暗号化処理部31を備える場合である。

 この場合、RNC80は、第2の暗号化区間のト� ��フィックを監視することによって第1の暗号 化区間の暗号化を行わないと判断した場合に 、基地局装置90に、暗号化を行わないことを� ��知する。この場合、基地局装置90は、第1の� ��号化区間の暗号化を行わないために、対向� ��る端末装置(UE100)に対して第1の暗号化区間� �暗号化を行わないように制御する。また、� �地局装置90が備える暗号化処理部31は、自ら� ��暗号化処理を実施しない。

 〈実施形態の効果〉
 本発明の実施形態によれば、第2の暗号化区 間の暗号化の実施に応じて、第2の暗号化区� �と重複する第1の暗号化区間での暗号化を中� ��することができる。また、第2の暗号化区間 の暗号化の停止に応じて、第1の暗号化区間� �おける暗号化を開始(再開)することもできる 。

 従って、第1の暗号化区間に対して不要な 暗号化処理を行わずにすむ。このため、ネッ トワークの処理能力に対する影響を抑えるこ とができ、システムの容量向上に繋がる。例 えばセルラ網(3GPP)システムの場合において、 暗号化処理を行わないことは、処理可能なコ ネクション数を倍増させることが可能である 。また、第1の暗号化区間中の無線区間に係� �暗号化処理上で暗号化の同期外れが発生し� �暗号化や復号化が失敗することや、この失� �に基づく通信障害を回避することが可能と� �る。さらに、暗号化処理を実施しないこと� �、暗号化処理を行う装置での消費電力低減� �図ることができる。