Intercept related information forms the metadata backbone of every 合法的な傍受 operation. In lawful interception, two categories of data are fundamental to every interception operation: intercept-related information (IRI) and content of communication (CC). These two data types form the core of what an operator delivers to law enforcement when executing an interception order, and they are carried over separate handover interfaces — HI2 for IRI and HI3 for CC — in the ETSI framework. While most practitioners understand the basic distinction — IRI is metadata, CC is content — the practical implications of this distinction are more nuanced than they first appear.
この記事では、IRIとCCが実際に何を意味するのか、それぞれがどのようなデータ要素を包含するのか、それらがどのように生成され配信されるのか、そしてなぜこの区別が事業者、法執行機関、そしてより広範な合法的傍受のエコシステムにとって重要なのかを検証する。.
インターセプト関連情報の意味
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
IRIに含まれる具体的なデータ要素は、通信の種類や関係するネットワーク技術によって異なる。従来の音声通話の場合、IRIには通常、発信番号（A番号）、着信番号（B番号）、ターゲッ トのデバイスのIMSIおよびIMEI、通話開始時刻、応答時刻、通話時間、通話開始時お よび通話中のセル識別子（位置情報の提供）、および通話の処理（応答あり、通話中、無応答、 転送）が含まれる。IPデータ・セッションの場合、IRIには、ターゲットのIPアドレス、割り当てられたAPN（アクセス・ポイント名）、ベアラ・パラメータ、セッションの開始時刻と終了時刻、転送されたデータ量が含まれる。.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the 調停機能, which turns them into standard IRI records in ETSI format.
IRIの最も重要な特徴の一つは、その構造化された性質である。IRIは、明確に定義されたデータ構造に従ってASN.1形式で符号化されているため、法執行システムによって自動的に解析、処理、分析することができる。この構造化フォーマットにより、非構造化データでははるかに困難な自動相関、パターン分析、データマイニング操作が可能になる。多くの場合、IRIによって提供されるメタデータは、コンテンツそのものと同じか、それ以上に価値がある。.
CCの定義：コンテンツ・レイヤー
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
データ傍受は、音声傍受よりもはるかに多くのCC量を生成する。単一の音声通話は、連続的ではあるが比較的低帯域幅のオーディオストリームを生成するのに対し、データセッションは、ターゲットのアクティビティによってはギガバイト単位のトラフィックを生成することがあります。この格差は、LIシステムの寸法、HI3配信チャネルの帯域幅、LEMFに必要なストレージ容量に重要な影響を与えます。.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
なぜ区別が重要なのか
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
運用の観点からは、IRIとCCは、量、フォーマット、処理要件、配信メカニズムの点で異なる特徴を持つ。IRIは比較的コンパクトで構造化されているため、自動処理や分析に適している。CCは、潜在的に量が多く、フォーマットも多岐にわたるため、さまざまな処理、保管、分析アプローチが必要になる。オペレーターは、適切なバッファリング、フロー制御、サービス品質メカニズムを用いて、両方のデータタイプを効率的に扱えるようにLIシステムを設計しなければならない。.
From a strategic and investigative perspective, IRI and CC provide different types of intelligence. IRI enables pattern analysis, network mapping, location tracking, and the identification of communication patterns over time. CC provides direct insight into the substance of specific communications but may require significant effort to process and analyse — particularly for data interceptions that produce large volumes of mixed-media content. 法執行機関 increasingly recognise the strategic value of metadata, and in some investigations, IRI may be the primary focus of the interception effort.
現代のネットワークにおけるIRI
回線交換ネットワークからパケット交換ネットワークへの移行により、IRIの範囲と複雑性が大幅に拡大した。従来の電話通信ネットワークでは、IRIは比較的単純で、コールセットアップ信号が明確に定義されたメタデータ要素のセットを提供していた。最新のIPネットワークでは、シグナリングははるかに多様で複雑であり、SIP、Diameter、GTP-C、およびさまざまなアプリケーションレイヤープロトコルなどのプロトコルが関与している。.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
暗号化がCCに与える影響
最新のネットワークにおけるCC配信の最も重要な課題の1つは、暗号化の普及が進んでいることです。E2EEを使ったメッセージング・アプリケーションが提供するようなエンド・ツー・エンドの暗号化通信は、意味のある方法でネットワーク・レイヤで傍受することはできません。オペレータは暗号化されたパケットをキャプチャすることはできますが、暗号化キーがなければコンテンツは理解できません。このため、オペレータはIRI（ネットワーク信号から生成され、コンテンツへのアクセスに依存しない）を提供できるが、使用可能なCCを提供できないという状況が発生する。.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
オペレーターのための実践的考察
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
テストは、IRI と CC が正しく生成されることを検証するために不可欠である。オペレータは、ETSI IRI データ構造定義に照らした包括的なテストを実施し、各イベントタイプに必要なデータ要素がすべて存在し、正しく入力されていることを確認すべきである。CCの配信は、サポートされるすべてのメディアタイプにわたって、忠実性、タイミング、完全性 についてテストされるべきである。.
最後に、事業者はネットワークの進化に合わせてLIシステムを維持しなければならない。新しいサービス、新しいプロトコル、新しいネットワーク技術によって、IRIの生成やCCキャプチャ機能のアップデートが必要になります。導入時には完全に準拠していた合法的傍受システムも、ネットワークが変化するにつれて非準拠となる可能性があり、継続的なメンテナンスと開発がコンプライアンス・プログラムの重要な部分となる。.
結論
IRIとCCは、合法的な傍受データ配信の2本柱である。IRIは、パターン分析、位置追跡、通信マッピングを可能にする構造化されたメタデータを提供する。CCは、傍受された通信の実際の内容を提供し、ターゲットが通信している内容を直接把握することができます。これらを組み合わせることで、法執行機関の捜査をサポートする全体像が形成されます。通信事業者にとって、IRIとCCの技術的、法的、運用上の意味を理解し、両方を効果的に扱うLIシステムを構築することは、最新の通信ネットワークにおける合法的傍受の義務を果たすために不可欠です。.
正確な傍受関連情報の収集は、合法的な傍受運用の基本である。オペレータは、システムがすべての必要な傍受関連情報フィールドを捕捉することを保証しなければならない。.
関連記事
関連トピックについては、以下の記事を参照されたい：
- HI1対HI2対HI3：3つの合法的インターセプト・インターフェースを理解する
- 調停機能の仕組みネットワークと法執行機関との架け橋
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
外部リソース
以下の外部リソースは、さらなる背景と公式文書を提供している：
