📙 モバイル網のHSSと固定網のHSS¶

2026/11/12公開 2026/11/12更新

質問者: Shigeru Morifuku
回答者: Claude Opus 5.5
回答日: 2026/11/12
免責: 回答者は AI であり、間違えることがあります。

🟩 Q: モバイル網用と固定網用でそれぞれHSSを運用してたのは、異文化すぎて融合できなかったから？5GのUDMで融合できた？¶

「異文化」も理由の一つですが、それより大きかったのは認証方式、識別子、組織と規制の違いです。5GのUDMで規格上は融合できるようになりました。ただし実際の運用ではまだ限られている、というのが私の理解です。

🟨 そもそも固定網側はHSS中心ではなかった¶

固定網のブロードバンドは昔からBRAS/BNG、RADIUS/AAA、LDAP系の加入者DBで動いていて、HSSは使っていません。固定網でHSSが出てくるのはIMSで固定電話を提供する場合、つまりTISPAN NGNやNTTのNGNのような世界だけです。なので「固定網用HSS」は、実態としては「固定網IMS用HSS」でした。

🟨 別々に運用された主な理由¶

認証方式が違う: モバイル網はSIMとAKAで、認証ベクタ（RAND/AUTN/XRES）の生成がHSSの中心的な仕事です。固定網IMSはSIMがないので、SIP Digest認証か、回線に紐付けた認証（TISPANのNASS-bundled）が基本でした。同じHSSでも、使う機能がかなり違います。
識別子が違う: モバイル網はIMSIとMSISDN、固定網は回線IDや固定電話番号です。データモデルも、番号の扱いも、番号ポータビリティの仕組みも別系統でした。
組織と規制: 日本ではこれが決定的です。NGNはNTT東西、モバイル網はドコモと会社が別で、NTT法や公正競争の観点からも設備を共用しにくい構造でした。海外でも、固定網部門とモバイル網部門で調達やベンダーが別というのはよくある話です。
障害の影響範囲とリスク: 加入者DBを一つにまとめると、障害が起きたときに固定網とモバイル網が同時に止まります。運用部門として、まとめる動機より避けたい理由のほうが強かった面があります。

🟨 5Gで何が変わったか¶

Rel-16の Wireless and Wireline Convergence（WWC。BBFのTR-456/TR-470と連携した仕様）で、固定網アクセスが正式に5GCにつながる形になりました。

アクセス側: W-5GAN（固定網アクセスを5GCにつなぐ仕組み）とW-AGF（その収容ゲートウェイ）が定義されました。5G NASを話すCPEが5G-RGです。NASを話せない従来のCPE（FN-RG）は、W-AGFが代理で5GCに登録します。
UDM/UDR側: SUPIの種類が広がり、固定網回線用のGLI（Global Line Identifier）とケーブル用のGCI（Global Cable Identifier）が追加されました。これで固定網の加入者も、モバイル網と同じUDM/UDRに加入者データを持てます。FN-RGの認証は、W-AGFが回線ベースで信頼する前提で、AKAを省略する扱いです。

実は、データ層の融合はもっと前から始まっていました。Rel-9のUDC（User Data Convergence）でフロントエンドとUDRを分ける構成になり、ベンダー製品では「HLR/HSS/AAA統合」がかなり前から一般的です。UDMはその流れの延長で、固定網まで識別子と手順を揃えたもの、と見るのが正確だと思います。

🟨 実際の展開状況¶

WWCは、欧州の固定網とモバイル網の両方を持つ事業者を中心に検証や一部導入が話題になってきました。ただ、固定網ブロードバンドの大半はいまもBNGとRADIUSで動いているはずです。既存のBNGが十分よく動いていて、5GCに載せ替える投資効果が見えにくいからです。日本はNTT東西とドコモの構造が変わらない限り、UDMで固定網とモバイル網を一体運用する形にはなりにくいでしょう。

まとめると、技術面の壁（AKAの有無、識別子、アクセスの手順）は5Gでほぼ取り除かれました。残っているのは経済性と組織・規制の壁、というのが今の状況だと思います。最新の導入事例が必要なら調べます。

🟩 Q: 固定網HSSの認証の位置づけがよく分からない。固定網端末の何を認証しているの？¶

固定網端末そのものを認証しているわけではありません。認証の対象はIMSの契約、つまりIMPI（プライベートID）とIMPU（公開ID、電話番号など）です。SIMがないので「誰が持っている端末か」をHSSが確かめる手段はなく、代わりに「その契約のパスワードを知っているか」か「契約どおりの回線から来ているか」を確認します。方式は大きく2つです。

🟨 1. SIP Digest認証：契約のパスワードを知っているか¶

HSSには、IMPIごとにパスワード（実際にはH(A1)などのハッシュ値）が格納されています。
REGISTERを受けたS-CSCFは、Cx（S-CSCFとHSS間のインターフェース）のMAR/MAAでHSSから認証情報を取得します。
そのうえでS-CSCFが端末にチャレンジを返し、端末は設定されたパスワードを使って応答します。

認証しているのは「その契約の資格情報を持っているか」です。資格情報が入っていれば、どの機器からでも通ってしまいます。HTTPのDigest認証と本質的には同じです。

🟨 2. NASS-Bundled認証（TISPAN）：契約どおりの回線から来ているか¶

固定網ではこちらの考え方が中心です。

端末やHGW（ホームゲートウェイ）がネットワークにつながる時点で、アクセス網がその回線を認証し、IPアドレスを割り当てます。管理するのはNASS（TISPANのアタッチ管理機能）です。回線とIPアドレスの対応はCLF（位置情報を管理する機能）が保持します。
P-CSCFはREGISTERの送信元IPアドレスをキーにCLFへ問い合わせ、回線の位置情報を取得します。それをP-Access-Network-Infoヘッダ（DSLの場合は回線位置を示すdsl-location）としてREGISTERに付けます。
S-CSCFはHSSから、その契約に紐付いたLine-Identifierを取得します。
2と3の回線情報が一致すれば認証成功です。端末とのチャレンジ／レスポンスはありません。

HSSの役割は「認証ベクタを作ること」から「契約と回線の対応表を持つこと」に変わります。最終的に信頼しているのは物理回線で、その回線の加入者が契約者本人だという前提に立っています。3GPP側にも、IPアドレスとの結び付けで認証するGIBA（Early IMS）という似た方式があります。

🟨 モバイル網との対比¶

	認証の根拠	HSSの役割
モバイル網（AKA）	SIM内の鍵K。端末とネットワークが互いを認証する	認証ベクタの生成
固定網（Digest）	契約のパスワード	パスワード（ハッシュ）の保持
固定網（NASS-Bundled）	物理回線とアクセス網での認証	契約と回線の対応の保持

前回「HSSの中で使う機能がかなり違う」と書いたのはこの点です。モバイル網のHSSは鍵とアルゴリズムを持つ「暗号エンジン」、固定網IMSのHSSは「契約と回線の台帳」に近い存在です。

NTTのNGN（ひかり電話）も、HGWを経由した回線ベースの信頼モデルだと理解しています。ただ、内部で具体的にどの方式を使っているかは公開情報が少なく、断言はできません。

🟩 Q: 自分が所有している２つの台帳間でチェックする意味あるの？¶

意味があります。チェックしているのは2つの台帳どうしの整合性ではなく、端末が送ってきた「自分はこの契約者だ」という申告です。2つの台帳は、その申告を確かめるための材料として使っています。

🟨 何を照合しているか¶

REGISTERの中身（IMPIやIMPU）は端末が勝手に書けるので、信用できません。照合の流れはこうです。

端末の申告: 「私はIMPI=Aです」
CLF（動的な事実）: このREGISTERは送信元IP Xから届いた。IP Xは今、回線Lに割り当てられている。
HSS（静的な契約）: IMPI=Aは回線Lで契約されている。

この3つが噛み合って初めて「回線Lにいる人が、回線Lの契約を名乗っている」と言えます。照合しなければ、どの回線からでも他人の電話番号でREGISTERでき、発信者番号を簡単になりすませてしまいます。

役所の窓口にたとえると分かりやすいです。住民票の台帳も窓口の受付記録も役所のものですが、確かめたいのは目の前の人の名乗りです。

🟨 2つの台帳は性質が違う¶

HSS: 開通工事のときに登録される、ほぼ変わらない契約情報です。
CLF: アタッチやDHCPのリースのたびに変わる実行時の情報です。IPアドレスと回線の対応は毎回同じとは限りません。

なので、片方からもう片方を導くことはできません。「今このIPアドレスにいるのは誰か」は、その瞬間にしか分からない情報です。

🟨 同じ会社の台帳とは限らない¶

TISPANは、アクセス網の事業者とIMSサービスの事業者が別会社である構成（卸、オープンアクセス）も想定しています。その場合、CLFとHSSは文字どおり別会社の台帳で、P-CSCFとCLFの間のe2インターフェースは事業者間の境界になります。

🟨 前提：送信元IPアドレスが偽れないこと¶

この方式が成り立つのは、BNGなどのアクセス網側で送信元IPアドレスの詐称を防いでいる（anti-spoofing）からです。IPアドレスを偽れるなら、回線ベースの認証は崩れます。固定網で「回線を信頼する」というのは、正確には「アクセス網が保証する、IPアドレスと回線の結び付きを信頼する」という意味です。

ご指摘のとおり、照合する両方が静的な台帳で、端末からの入力が絡まないなら意味はありません。この照合に意味があるのは、端末が自由に書ける申告を、端末が偽れない情報（送信元IPと、アクセス網での回線認証）で裏付けているからです。

🟩 Q: モバイル網で音声通話サービスを利用するとき、4Gではモバイル網HSSとIMS-HSSは独立して動作しているの？5Gは？¶

4G（VoLTE）：3GPPの定義では、HSSは「EPSの加入者データ」と「IMSの加入者データ」を両方持つ1つの論理ノードです。実際の網では、EPC-HSSとIMS-HSSを別装置に分けることも、1台にまとめることもあります。ただ、どちらの構成でも完全に独立して動いているわけではありません。同じ加入者の情報として結び付けられていて、一部の処理では両者が連携します。
5G：HSSの役割はUDM/UDR/AUSFに引き継がれました。ただしIMSは今もHSSを使います。実際の網では、HSSとUDMが同じUDR（加入者DB）を共有して一体で動くのが一般的です。

ベンダーごとの具体的な構成（Ericsson、Nokia、Huaweiの統合HSS/UDM製品がどう分かれているかなど）は、事業者や製品によってかなり違います。