CN100466835C - 鉴权设备的识别方法和鉴权方法、通信系统以及设备 - Google Patents

Abstract

本发明公开一种通信系统鉴权设备的识别方法和鉴权方法、通信系统以及设备。所述鉴权设备的识别方法包括步骤：在HLR/AUC产生鉴权参数信息时，在所述鉴权参数信息中加入HLR/AUC标识信息；鉴权时，终端从接收到的所述鉴权参数信息中解析出所述HLR/AUC标识。本发明可以让终端在鉴权时识别鉴权设备，以利于基于该识别而进行的各种通信处理，防止不必要的网络负荷产生。

Description

鉴权设备的识别方法和鉴权方法、通信系统以及设备

技术领域

本发明涉及无线通信领域，特别是涉及通信系统在鉴权的同时识别鉴权设备的的方法、以及一种鉴权方法、通信系统以及设备。

背景技术

现有的第三代(3G)移动通信系统中，在移动终端(MS)中保存有国际移动用户标识(IMSI)、鉴权密钥(KI)和序列号(SQNMS)。网络侧的归属位置寄存器/鉴权中心(HLR/AUC，Home Loc ation Register/AUthenticationCenter)中针对该移动终端对应保存有IMSI、KI和序列号SQNHE，以用于移动终端和网络相互鉴权。

参阅图1，3G通信系统的现有鉴权技术主要包括以下设置和流程：

101、HLR/AUC产生随机数(RAND，Random Challenge)，根据随机数和KI产生期望响应(XRES，Expected Response)、加密密钥(CK，Cipher Key)、完整性密钥(IK，Integrity Key)；根据随机数、序列号、鉴权密钥和鉴权管理域(AMF)产生出消息鉴权编码(MAC-A)，根据MAC-A，SQNHE、AK和AMF得到鉴权标记AUTN(Authentication Token)。由RAND和XRES、CK、IK和AUTN组成鉴权五元组参数；

102、在移动终端移动到HLR/AUC所在网络并进行连接时，开始鉴权流程；VLR/SGSN请求HLR/AUC提供鉴权参数，即五元组；

103、HLR/AUC应VLR/SGSN的请求将产生的相应的一个或多个五元组发送给VLR/SGSN保存；

另外，可以在VLR/SGSN请求HLR/AUC提供五元组时HLR/AUC才产生五元组；

104、VLR/SGSN将对应五元组中RAND和AUTN发送给终端；

105、终端根据自己保存的KI验证AUTN的一致性，如果一致性验证不通过，则转向步骤106；若一致性验证通过，则转向步骤107；

106、向VLR/SGSN返回鉴权失败信息；

107、判断SQNHE是否属于可接受的范围：若属于，则转向步骤108；若判断出SQNHE不属于可接受范围，则转向步骤109；

108、终端判断出对网络鉴权通过，终端向VLR/SGSN返回终端自己产生的鉴权响应，并根据AUTN中的SQNHE更新SQNMS，VLR/SGSN比较终端返回的鉴权响应和对应五元组中的XRES是否一致来判断终端的合法性；

109、根据SQNMS产生再同步标记AUTS(Resynchronisation Token)；

110、向网络侧VLR/SGSN返回再同步请求或同步失败(Synchronisationfailure)消息，同时附上产生的再同步标记AUTS，也即消息中包含AUTS；

111、网络侧VLR/SGSN接收到再同步标记AUTS时，将AUTS和对应五元组中的RAND发送给HLR/AUC；

112、HLR/AUC根据对应保存的KI和接收到的RAND，判断AUTS的合法性，如果不合法，则转向步骤113；如果判断出AUTS合法，则转向步骤114；

113、HLR/AUC向VLR/SGSN返回AUTS不合法信息；

114、HLR/AUC根据AUTS中的SQNMS更新SQNHE，并产生一个新的鉴权五元组；

115、将新的五元组发送给VLR/SGSN，VLR/SGSN接收到新的五元组后，删除对应的旧的五元组。

关于上述鉴权流程，可以参照3GPP规范。

现有网络中，网络侧拥有互为备份的HLR/AUC资源池。一般地，HLR/AUC资源池只有主备两个HLR/AUC。处于维护的目的或者是某个HLR/AUC故障，所述主备两个HLR/AUC会发生HLR/AUC倒换或切换。例如，主HLR/AUC故障，网络切换到备HLR/AUC，将备HLR/AUC作为当前运行HLR/AUC；或者反之，由备HLR/AUC切换到主HLR/AUC。

从上述鉴权与密钥协商协议(AKA)可以看出，在鉴权时，终端的USIM卡无法识别出当前鉴权的鉴权元组所对应的HLR/AUC是互为备份的HLR/AUC资源池中的哪一个HLR/AUC。这样，终端不能对网络倒换的事件进行跟踪，以及记录相关的日志。而且，在发生了HLR/AUC倒换时，就可能会由于两个HLR/AUC的SQNHE不一致而发生大规模的SQN同步现象。HLR/AUC倒换后会引起规模的USIM卡发起同步SQN流程的现象，会给网络造成很大的压力。

发明内容

本发明目的是解决在鉴权过程中终端无法识别HLR/AUC的技术问题，为了到达所述目的：

本发明提供一种可以在鉴权中让终端识别HLR/AUC的方法。

本发明还提供一种在鉴权中让终端识别HLR/AUC的通信系统的鉴权方法。

本发明还提供一种在鉴权中让终端识别HLR/AUC的通信设备。

本发明还提供一种在鉴权中让终端识别HLR/AUC的通信系统。

为解决上述第一技术问题，本发明的目的是通过以下技术方案实现的：

提供一种在鉴权中识别HLR/AUC的方法，包括步骤：在HLR/AUC产生鉴权参数信息时，在所述鉴权参数信息中加入HLR/AUC标识信息；鉴权时，终端从接收到的所述鉴权参数信息中解析出所述HLR/AUC标识。

优选地，所述鉴权参数包括随机数、序列号、鉴权管理域和消息鉴权编码中至少一种。

优选地，在所述鉴权参数信息中加入HLR/AUC标识信息的步骤是指：使用至少一个所述参数中的至少一个位作为表示HLR/AUC的HLR/AUC标识信息；所述终端从接收到的所述鉴权参数信息中解析出所述HLR/AUC标识的步骤是指：终端根据接收到的所述鉴权参数信息中对应参数的HLR/AUC标识位解析出所述HLR/AUC标识；或者，在所述鉴权参数信息中加入HLR/AUC标识信息的步骤是指：对至少一个所述参数进行分类，使用对应参数的类别作为表示HLR/AUC的HLR/AUC标识信息；所述终端从接收到的所述鉴权参数信息中解析出所述HLR/AUC标识的步骤是指：终端根据接收到的所述鉴权参数信息中对应参数的类别解析出所述HLR/AUC标识。

为解决上述第二技术问题，本发明的目的是通过以下技术方案实现的：

提供一种鉴权方法，包括步骤：HLR/AUC向终端传送携带有HLR/AUC标识信息的鉴权参数信息；终端取得所述HLR/AUC标识，并基于所述HLR/AUC进行鉴权进程。

优选地，所述携带有HLR/AUC标识信息的鉴权参数信息是鉴权管理域序列号、随机数或消息鉴权编码。

优选地，所述HLR/AUC标识信息采用所述鉴权管理域、序列号、随机数或消息鉴权编码中至少一个参数的特定位表示；或者对所述鉴权管理域、序列号、随机数或消息鉴权编码中至少一个参数进行分类，所述HLR/AUC标识信息采用对应参数的类别表示。

优选地，所述HLR/AUC标识信息是通过先生成所述鉴权管理域、序列号、随机数或消息鉴权编码，再调整其中特定位的值的方法表示，或通过先生成所述鉴权管理域、序列号、随机数或消息鉴权编码的特定位的值的方法表示；或者所述HLR/AUC标识信息是通过先生成所述鉴权管理域、序列号、随机数或消息鉴权编码，再调整对应参数的类别的方法表示，或通过直接生成对应于该HLR/AUC标识的所述鉴权管理域、序列号、随机数或消息鉴权编码的方法表示。

优选地，所述进行鉴权进程的步骤具体是：进行AUTN一致性验证，并在判断SQNHE不属于可接受的范围情况下，产生再同步标记，并将再同步标记发送到HLR/AUC，所述HLR/AUC根据再同步标记中的SQNMS更新SQNHE，产生新的鉴权参数。

为解决上述第三技术问题，本发明的目的是通过以下技术方案实现的：

提供一种通信设备，包括HLR/AUC和鉴权参数信息生成单元，所述鉴权参数信息生成单元用于生成携带有HLR/AUC标识信息的鉴权参数信息，在收到鉴权参数请求时，所述HLR/AUC用于返回携带有HLR/AUC标识信息的鉴权参数信息。

优选地，所述鉴权参数信息生成单元在所述鉴权管理域、序列号、随机数或消息鉴权编码中生成特定位，作为鉴权参数信息中的HLR/AUC标识信息；或者所述鉴权参数信息生成单元生成特定类别的所述鉴权管理域、序列号、随机数或消息鉴权编码，使用所述特定类别作为HLR/AUC标识信息。

优选地，所述鉴权参数信息生成单元具体通过先生成所述鉴权管理域、序列号、随机数或消息鉴权编码，再调整其中特定位的值的方法，或通过先生成所述鉴权管理域、序列号、随机数或消息鉴权编码的特定位的值的方法表示所述HLR/AUC标识信息，或者，所述鉴权参数信息生成单元通过先生成所述鉴权管理域、序列号、随机数或消息鉴权编码，再调整对应参数的类别的方法表示所述HLR/AUC标识信息，或通过直接生成对应于该HLR/AUC标识的所述鉴权管理域、序列号、随机数或消息鉴权编码的方法表示所述HLR/AUC标识信息。

为解决上述第四技术问题，本发明的目的是通过以下技术方案实现的：

提供一种通信系统，包括HLR/AUC和终端，所述HLR/AUC包括鉴权参数信息生成单元，用于生成携带有HLR/AUC标识信息的鉴权参数信息，在收到鉴权参数请求时，所述HLR/AUC用于返回携带有HLR/AUC标识信息的鉴权参数信息到所述终端，终端用于根据对应特定HLR/AUC的鉴权参数信息处理鉴权进程。

优选地，所述终端具体用于在得到携带有HLR/AUC标识信息的鉴权参数信息时，进行AUTN一致性验证，并在判断SQNHE不属于可接受的范围情况下，将再同步标记发送到HLR/AUC，所述HLR/AUC根据再同步标记中的SQNMS更新SQNHE，产生新的鉴权参数。

以上第一技术方案可以看出，由于在发送到终端的鉴权参数信息中加入HLR/AUC标识信息，可以让终端识别HLR/AUC并知道它得到的鉴权参数如AUTN和RANID是来自哪个HLR/AUC，这样，终端在需要时可以统计出主备HLR/AUC切换次数，以及各个HLR/AUC使用率，或者使终端能够根据使用自己保存的对应该HLR/AUC的参数信息对该HLR/AUC进行鉴权。这样，在发生HLR/AUC倒换时，可以避免发生大规模的SQN同步现象，避免给网络造成压力。

以上第二技术方案可以看出，由于在收到鉴权参数请求时，返回携带有HLR/AUC标识信息的鉴权参数信息到终端，可以让终端识别HLR/AUC并知道它得到的鉴权参数如AUTN和RAND是来自哪个HLR/AUC，从而使终端在需要时可以统计出主备HLR/AUC切换次数，以及各个HLR/AUC使用率，在步骤二中，终端可以根据此HLR/AUC信息进行鉴权进程，由于终端识别HLR/AUC，这样，终端在需要时可以统计出主备HLR/AUC切换次数，以及各个HLR/AUC使用率，并且在出现HLR/AUC资源池中各HLR/AUC的序列号不一致的情况下又发生HLR/AUC倒换时，终端可以识别出所述不一致是倒换引起的，可以有助于避免发生大规模的SQN同步现象，避免给网络造成压力。

以上第三技术方案可以看出，由于本发明通过鉴权参数信息生成单元在鉴权参数中生成HLR/AUC标识信息，因此HLR/AUC在收到鉴权参数请求时，可以返回携带有HLR/AUC标识的鉴权参数信息到终端，可以让终端识别知道它得到的鉴权参数是来自哪个HLR/AUC，终端可以根据此HLR/AUC信息进行鉴权进程，由于终端识别HLR/AUC，这样，终端在需要时可以统计出主备HLR/AUC切换次数，以及各个HLR/AUC使用率，并且在出现HLR/AUC资源池中各HLR/AUC的序列号不一致情况下又发生HLR/AUC倒换时，终端可以识别出所述不一致是倒换引起的，可以有助于避免发生大规模的SQN同步现象，避免给网络造成压力。

以上第四技术方案可以看出，由于本发明通过鉴权参数信息生成单元在鉴权参数中生成HLR/AUC标识，因此HLR/AUC在收到鉴权参数请求时，可以返回携带有HLR/AUC标识的鉴权参数信息到请求方，请求方知道它得到的鉴权参数是来自哪个HLR/AUC，因此请求方可以利用该标识进行各种通信处理。

附图说明

图1是现有技术通信系统的鉴权方法时序图；

图2是本发明通信系统在鉴权时识别HLR/AUC的主要实现方法时序图；

图3是本发明通信系统的鉴权方法时序图；

图4是本发明通信系统的原理框图；

图5是本发明通信设备的原理框图。

具体实施方式

当每次用户终端与移动网络之间建立连接时，以及所有业务请求以及位置更新请求、附着请求、分离请求、以及重新建立连接等等操作，当需要进行鉴权操作，以便验证用户身份的合法性时，在网络侧的HLR/AUC下发携带有HLR/AUC标识信息的鉴权参数信息到用户终端，终端方面则按照预先与HLR/AUC约定好的HLR/AUC标识识别方法，得到HLR/AUC标识，并在后续鉴权流程中基于该标识进行操作。例如，统计得到的该HLR/AUC鉴权参数次数。统计HLR/AUC切换频率。

本发明提供一种通信系统在鉴权时识别HLR/AUC的基本实现方法，包括步骤：

一、在HLR/AUC产生鉴权参数信息时，在所述鉴权参数信息中加入HLR/AUC标识信息；

二、鉴权时，终端接收HLR/AUC产生的所述鉴权参数信息，从中解析出所述HLR/AUC标识。

现有3GPP规范中，HLR/AUC产生鉴权元组时，首先产生随机数，根据随机数和KI产生期望响应、加密密钥、完整性密钥；根据随机数、序列号、鉴权密钥和鉴权管理域产生出消息鉴权编码，根据MAC-A，SQNHE、AK和AMF得到鉴权标记AUTN。由RAND和XRES、CK、IK和AUTN组成鉴权五元组参数。HLR/AUC传送给终端的鉴权参数包括RAND和AUTN。

HLR/AUC可以先产生鉴权元组，也可以在接收到VLR/SGSN的鉴权元组请求消息后才产生鉴权元组。HLR/AUC在接收到VLR/SGSN的鉴权元组请求后，将产生的鉴权元组发送给VLR/SGSN。

所述HLR/AUC将鉴权参数传送给终端是通过VLR/SGSN来完成的。鉴权时，VLR/SGSN将取自HLR/AUC的鉴权元组中参数信息RAND和AUTN发送给终端。

步骤一中，是HLR/AUC在收到鉴权参数请求时，返回携带有HLR/AUC标识的鉴权参数信息到终端，以便让终端知道它得到的鉴权参数如AUTN和RAND是来自哪个HLR/AUC，从而在步骤二中，终端可以根据此HLR/AUC标识进行后续的鉴权进程，例如，在后续鉴权过程中统计哪个HLR/AUC引起的同步流程最多，哪个HLR/AUC利用率较高，等等。

以下结合实施方式和附图，对本发明进行详细描述。

本发明提供一种通信系统在鉴权时识别HLR/AUC的主要实现方法，参阅图2，包括步骤：

步骤201、HLR/AUC产生鉴权参数信息，并在所述鉴权参数信息中加入HLR/AUC标识信息。

HLR/AUC终端产生的鉴权参数称为鉴权元组。

步骤202、HLR/AUC将产生的鉴权参数信息发送给VLR/SGSN。

HLR/AUC可以是在接收到VLR/SGSN的请求鉴权元组的请求后将产生的所述鉴权元组中至少一个鉴权元组发送给VLR/SGSN。

步骤203、VLR/SGSN将所述鉴权参数中的相关参数信息发送给终端。

鉴权元组中可以包括多个鉴权参数，VLR/SGSN将鉴权元组部分与终端相关的鉴权参数发送给终端。

步骤204、终端从接收到的所述鉴权参数信息中解析出所述HLR/AUC标识。

步骤205、终端在获取HLR/AUC标识后执行后续的鉴权流程。

所述鉴权元组中包括的鉴权参数可以是随机数、序列号、鉴权管理域和消息鉴权编码中至少一种。

现有的3GPP规范中的鉴权规范规定鉴权元组包括随机数RAND、期望响应XRES、加密密钥CK、完整性IK和鉴权标记AUTN，其中AUTN由序列号SQNHE、鉴权管理域AMF、消息鉴权编码MAC-A组成，在SQNHE被要求加密时，SQNHE被由RAND和KI产生的密钥AK所加密。本发明可以应用在WCDMA系统中，也可以应用到其他通信系统中。

实际当中，HLR/AUC可以使用RAND、或AUTN中至少一个所述参数中的至少一个位作为表示HLR/AUC的HLR/AUC标识信息；对应地，终端根据接收到的所述鉴权参数信息中对应参数的HLR/AUC标识位解析出所述HLR/AUC标识。例如，使用AMF中的最高位标识主备HLR/AUC标识，该位为0时，标识主HLR/AUC；该位为1时标识备HLR/AUC。同样，可以使用RAND的最低位来标识主备HLR/AUC。当然，也可以使用SQNHE或MAC-A的某个位来标识主备HLR/AUC。

当需要标识的HLR/AUC多于2个时，则需要更多的位来标识不同的HLR/AUC。

需要说明的是，现有3GPP规范中，HLR/AUC产生鉴权元组时，首先产生RAND，根据RAND和KI产生XRES、CK、IK；根据RAND、SQNHE、KI和AMF产生出MAC-A，根据MAC-A，SQNHE、AK和AMF得到AUTN。由RAND和XRES、CK、IK和AUTN组成鉴权五元组参数。因此，如果通过RAND来标识HLR/AUC，那么，要求产生RAND之后，并在根据RAND产生其它参数之前，例如产生MAC-A之前，就要完成这种标识HLR/AUC的操作。本发明实际应用当中，可以按照现有技术产生一个RAND，而后将该RAND的某个bit位，例如最低位设置为0或1来标识主备HLR/AUC。或者在产生RAND时，将所述最低位设置为与主备标识一致的值，而对RAND的其它位采用随机方法来产生即可。如果用AMF来标识HLR/AUC，那么，要求设定AMF值之后，并在根据AMF产生其它参数，例如产生MAC-A等之前，就要完成这种标识HLR/AUC的操作。同样，可以用SNQHE的一个位来标识主备HLR/AUC。并且要求在产生SQNHE后，根据SQNHE产生其它参数前，例如产生MAC-A前，就完成所述标识工作。例如，产生SQNHE时，将某个位的值设置为0，标识主HLR/AUC；如果将该位设置为1，则标识备HLR/AUC。在使用MAC-A来标识主备HLR/AUC时，要求在产生MAC-A时，或者产生MAC-A之后，将该MAC-A的某个位的值，例如是最高位的值设置为0或1来分别标识主备HLR/AUC。

当然，还可以采用如下办法来对HLR/AUC进行标识：

对所述参数RAND或AUTN中至少一个进行分类，或者说对所述参数RAND、或SQNHE、或AMF、或MAC-A进行分类，使用对应参数的类别作为表示HLR/AUC的HLR/AUC标识信息；对应地，终端根据接收到的所述鉴权参数信息中对应参数的类别解析出所述HLR/AUC标识。例如，如果互为备份的HLR/AUC资源池中有三HLR/AUC，标识分别为1、2、3，则可以用随机数是被3除的余数分别标识这三个HLR/AUC，余数为0标识HLR/AUC标识1，余数为1标识HLR/AUC标识2，余数为2标识HLR/AUC标识3。其中，随机数的分类是按照除以3的余数进行分类的。当然，也可以将随机数的范围进行分段，分成三段，用每一段的值标识不同的HLR/AUC标识。

本发明以第三代移动通信系统为例具体介绍本发明内容。在第三代移动通信系统的移动终端中保存有IMSI、KI和SQNMS。网络侧的HLR/AUC中针对该移动终端对应保存有IMSI、KI和序列号SQNHE，以用于移动终端和网络相互鉴权。

参阅图3，本发明鉴权方法以及在鉴权中识别HLR/AUC的方法具体实施方式包括以下设置和流程：

设置：

一、在通信系统的HLR/AUC中设置有该HLR/AUC在互为备份的HLR/AUC资源池中的编号，在当互为备份的HLR/AUC资源池中只有两个HLR/AUC时，该编号可以是“0”和“1”，当互为备份的HLR/AUC资源池中有三个HLR/AUC时，该编号可以是“0”、“1”和“2”，当互为备份的HLR/AUC资源池中有四个HLR/AUC时，该编号可以是“0”、“1”、“2”，和“3”。本实施方式中，在互为备份的HLR/AUC资源池中有两个HLR/AUC，将主HLR/AUC的HLR/AUC资源池编号设置位“0”，备用HLR/AUC的资源池编号为“1”；

二、终端预先与HLR/AUC约定好HLR/AUC标识识别方法，即终端上有解析HLR/AUC标识的软硬件单元。

流程：

301、HLR/AUC产生随机数RAND，根据RAND和KI产生XRES、CK、IK；根据RAND、SQNHE、KI和AMF产生出MAC-A，根据MAC-A，SQNHE、AK和AMF得到AUTN。由RAND和XRES、CK、IK和AUTN组成鉴权五元组参数。

其中，在所述AMF中特定的位，被设置表示为此HLR/AUC的标识。具体是将AMF中的某一位或某几位设置为特殊值来标识该HLR/AUC的HLR/AUC资源池编号。在本实施例中更具体地是将AMF的最高位设置为表示该HLR/AUC是主HLR/AUC还是备HLR/AUC。在该HLR/AUC是主HLR/AUC情况下，该AMF的最高位设置为“0”。这样，在产生鉴权元组时，首先，AMF的最高位被设置为“0”，而后采用现有的流程产生鉴权元组。例如，产生鉴权元组时，HLR/AUC用随机数发生器产生的RAND和自身保存的鉴权密钥KI分别计算出XRES，根据RAND、KI、序列号SQNHE、鉴权管理域AMF产生AUTN，也可以进一步根据RAND和自身保存的鉴权密钥KI分别计算出CK和IK。

302、在移动终端移动到HLR/AUC所在网络并进行连接时，开始鉴权流程；VLR/SGSN请求HLR/AUC提供鉴权参数，即五元组；

303、HLR/AUC应VLR/SGSN的请求将产生的相应的一个或多个五元组发送给VLR/SGSN保存，保存在所述五元组中AMF的HLR/AUC标识也一并发送给VLR/SGSN；

304、VLR/SGSN将对应五元组中的RAND和AUTN发送给终端，其中AUTN内的AMF携带有所述HLR/AUC标识；

305、终端取得对应特定HLR/AUC的鉴权参数信息RAND和AUTN，进行鉴权进程。

因为终端预先与HLR/AUC约定好HLR/AUC标识识别方法，终端上的解析HLR/AUC标识的软硬件单元。具体是USIM获取AMF中表示HLR/AUC编号的特定位值，将该值作为该HLR/AUC对应的HLR/AUC资源池编号。具体是在USIM判断出AMF的特定位的值为“0”时，即得知该鉴权元组对应的HLR/AUC是主HLR/AUC；在USIM判断出AMF的特定位的值为“1”时，即得知该鉴权元组对应的HLR/AUC是备HLR/AUC。

终端随后根据自己保存的KI验证AUTN的一致性，如果一致性验证不通过，则转向步骤306；若一致性验证通过，则转向步骤307；

306、向VLR/SGSN返回鉴权失败信息；

307、判断AUTN内的SQNHE是否属于可接受的范围：若属于，则转向步骤308；若判断出SQNHE不属于可接受范围，则转向步骤309；

308、终端判断出对网络鉴权通过，终端向VLR/SGSN返回终端自己产生的鉴权响应，并根据AUTN中的SQNHE更新SQNMS，VLR/SGSN比较终端返回的鉴权响应和对应五元组中的XRES是否一致来判断终端的合法性；

309、根据SQNMS产生再同步标记AUTS(Resynchronisation Token)，所述AUTS中也加入有HLR/AUC标识；

310、向网络侧VLR/SGSN返回再同步请求或同步失败(Synchronisationfailure)消息，同时附上产生的再同步标记AUTS，也即消息中包含AUTS；

311、网络侧VLR/SGSN接收到再同步标记AUTS时，将AUTS和对应五元组中的RAND发送给HLR/AUC；

312、HLR/AUC根据对应保存的KI和接收到的RAND，判断AUTS的合法性，如果不合法，则转向步骤313；如果判断出AUTS合法，则转向步骤314；

313、HLR/AUC向VLR/SGSN返回AUTS不合法信息；

314、HLR/AUC根据AUTS中的SQNMS更新SQNHE，并产生一个新的携带有所述HLR/AUC标识的鉴权五元组；

315、将新的五元组发送给VLR/SGSN，VLR/SGSN接收到新的五元组后，删除对应的旧的五元组。

从以上可以看出，由于在设置里对HLR/AUC资源池的HLR/AUC进行编号，在步骤301里采用HLR/AUC鉴权参数AMF特定位作为此HLR/AUC的标识，因此HLR/AUC在收到鉴权参数请求时，返回携带有HLR/AUC标识信息的鉴权参数信息到终端，可以让终端知道它得到的鉴权参数是来自哪个HLR/AUC。

终端识别出HLR/AUC的标识，可以进行HLR/AUC统计，比如统计每个HLR/AUC的鉴权次数，以作为通信管理用途；还可以根据不同HLR/AUC标识/编号使用不同的密钥对网络进行鉴权等。

在本发明其他实施方式中，可以在VLR/SGSN请求HLR/AUC提供五元组时HLR/AUC才产生携带HLR/AUC标识的五元组。

在步骤301中，对于互为备份的HLR/AUC资源池中有三个或者四个HLR/AUC时，可以用两个位来表示资源池编号，例如，分别用两个位的取值“00”表示编号0，用两个位的取值“01”表示编号1，用两个位的取值“10”表示编号2，用两个位的取值“11”表示编号3。

在步骤301中，对于互为备份的HLR/AUC资源池只有主备两个HLR/AUC的这种情况，还可以采用将AMF值按照模数来进行分类，例如，用AMF mod3，余数为0的为一类，对应资源池编号0；余数为1的为一类，对应资源池编号1；余数为2的为一类，对应资源池编号2。实际当中，可以将AMF的最低两个位预留下来，并通过调整这两个位来使AMF的值处于特定的类而又不影响到高14位的值。当然，如果是通过对RAND来进行分类并用不同的类标识不同的HLR/AUC标识时，可以直接通过对按照现有技术产生RAND进行加1或减1或不进行加减任何数等调整手段，使调整后的随机数属于指定类别，即控制RAND mod 3值恒等于0、或恒等于1、或恒等于2。

上述实施例流程通过AMF来携带HLR/AUC标识信息，下面通过SQNHE采携带所述HLR/AUC的标识信息，包括步骤：

401、HLR/AUC产生随机数RAND，根据RAND和KI产生XRES、CK、IK；根据RAND、SQNHE、KI和AMF产生出MAC-A，根据MAC-A，SQNHE、AK和AMF得到AUTN。由RAND和XRES、CK、IK和AUTN组成鉴权五元组参数。

其中，在所述SQNHE中特定的位，被设置表示为此HLR/AUC的标识。具体是将SQNHE中的某一位或某几位设置为特殊值来标识该HLR/AUC的HLR/AUC资源池编号。更具体地是在本实施例中将SQNHE的最低位设置为表示该HLR/AUC是主HLR/AUC还是备HLR/AUC。在该HLR/AUC是主HLR/AUC情况下，该SQNHE的最低位设置为“0”。这样，在产生鉴权元组时，首先，SQNHE的最低位被设置为“0”，而后采用现有的流程产生鉴权元组。例如，产生鉴权元组时，HLR/AUC用随机数发生器产生的RAND和自身保存的鉴权密钥KI分别计算出XRES，根据RAND、KI、序列号SQNHE、鉴权管理域AMF产生AUTN，也可以进一步根据RAND和自身保存的鉴权密钥KI分别计算出CK和IK。

402、在移动终端移动到HLR/AUC所在网络并进行连接时，开始鉴权流程；VLR/SGSN请求HLR/AUC提供鉴权参数，即五元组；

403、HLR/AUC应VLR/SGSN的请求将产生的相应的一个或多个五元组发送给VLR/SGSN保存，保存在所述五元组中SQNHE的HLR/AUC标识也一并发送给VLR/SGSN；

404、VLR/SGSN将对应五元组中的RAND和AUTN发送给终端，其中AUTN内的SQNHE携带有所述HLR/AUC标识；

405、终端取得对应特定HLR/AUC的鉴权参数信息RAND和AUTN，进行鉴权进程。

因为终端预先与HLR/AUC约定好HLR/AUC标识识别方法，终端上配置有解析HLR/AUC标识信息的软硬件单元。具体是USIM获取SQNHE中表示HLR/AUC编号的特定位值，将该值作为该HLR/AUC对应的HLR/AUC资源池编号。具体是在USIM判断出SQNHE的特定位的值为“0”时，即得知该鉴权元组对应的HLR/AUC是主HLR/AUC；在USIM判断出SQNHE的特定位的值为“1”时，即得知该鉴权元组对应的HLR/AUC是备HLR/AUC。

终端随后根据自己保存的KI验证AUTN的一致性，如果一致性验证不通过，则转向步骤406；若一致性验证通过，则转向步骤407；

406、向VLR/SGSN返回鉴权失败信息；

407、判断AUTN内的SQNHE是否属于可接受的范围；若属于，则转向步骤408；若判断出SQNHE不属于可接受范围，则转向步骤409；

这里，终端在判断SQNHE是否属于可以接受范围的操作，可以忽略SQNHE的最低位的值，而仅仅判断其它位的值是否在可以接受的范围内即可。

408、终端判断出对网络鉴权通过，终端向VLR/SGSN返回终端自己产生的鉴权响应，并根据AUTN中的SQNHE更新SQNMS，VLR/SGSN比较终端返回的鉴权响应和对应五元组中的XRES是否一致来判断终端的合法性；

409、根据SQNMS产生再同步标记AUTS(Resynchronisation Token)，所述AUTS中携带有HLR/AUC标识；

410、向网络侧VLR/SGSN返回再同步请求或同步失败(Synchronisationfailure)消息，同时附上产生的再同步标记AUTS，也即消息中包含AUTTS；

411、网络侧VLR/SGSN接收到再同步标记AUTS时，将AUTS和对应五元组中的RAND发送给HLR/AUC；

412、HLR/AUC根据对应保存的KI和接收到的RAND，判断AUTS的合法性，如果不合法，则转向步骤413；如果判断出AUTS合法，则转向步骤414；

413、HLR/AUC向VLR/SGSN返回AUTS不合法信息；

414、HLR/AUC根据AUTS中的SQNMS更新SQNHE，并产生一个新的携带有所述HLR/AUC标识的鉴权五元组；

415、将新的五元组发送给VLR/SGSN，VLR/SGSN接收到新的五元组后，删除对应的旧的五元组。

上述同样可以用SQNHE的最高位来表示HLR/AUC标识信息；当然，也可以用SQNHE的其它位来表示HLR/AUC的标识信息。对应地，在步骤407中判断AUTN内的SQNHE是否属于可接受的范围时，同样可以忽略SQNHE的这些用于表示HLR/AUC标识信息的位的值，而仅仅判断其它位的值是否在可以接受的范围内即可。

根据现有3GPP规范中关于WCDMA的鉴权流程规范，在使用SQNHE的最高位来表示HLR/AUC标识信息时，对SQNHE的所述可接受性判断的操作可以在不考虑该最高位的情况下直接沿用现有判断的比较技术即可。

从以上可以看出，由于在设置一里对HLR/AUC资源池的HLR/AUC进行编号，在步骤401里采用鉴权参数SQNHE特定位作为此HLR/AUC的标识，因此HLR/AUC在收到鉴权参数请求时，返回携带有HLR/AUC标识信息的鉴权参数信息到终端，可以让终端知道它得到的鉴权参数是来自哪个HLR/AUC。

终端识别出HLR/AUC的标识，可以进行HLR/AUC统计，比如统计每个HLR/AUC的鉴权次数，以作为通信管理用途；还可以根据不同HLR/AUC标识/编号使用不同的密钥对网络进行鉴权等。

在本发明其他实施方式中，可以在VLR/SGSN请求HLR/AUC提供五元组时HLR/AUC才产生携带HLR/AUC标识的五元组。

在步骤401中，对于互为备份的HLR/AUC资源池中有三个或者四个HLR/AUC时，可以用两个位来表示资源池编号，例如，分别用两个位的取值“00”表示编号0，用两个位的取值“01”表示编号1，用两个位的取值“10”表示编号2，用两个位的取值“11”表示编号3。

在本发明其他实施方式中，携带HLR/AUC标识的鉴权参数不限于AMF或SQNHE，还可以是RAND或MAC-A。还可以是将AMF、SQNHE、RAND或MAC-A等中的两个或以上组合起来标识HLR/AUC。

对于采用RAND来标识一个HLR/AUC的HLR/AUC资源池编号情况，可以是先按现有技术产生随机数，而后调整该随机数的对应位使其能够标识该HLR/AUC的HLR/AUC资源池编号。当然，也可以是先用RAND的特定位标识HLR/AUC的HLR/AUC资源池编号，而后用随机方法产生RAND的其余位即可。

对应地，USIM获取RAND中对应位的值，将该值作为该HLR/AUC对应的HLR/AUC资源池编号。例如，USIM判断出RAND的特定位的值为“0”时，即得知该鉴权元组对应的HLR/AUC是主HLR/AUC；USIM判断出RAND的特定位的值为“1”时，即得知该鉴权元组对应的HLR/AUC是备HLR/AUC。

对于采用MAC-A来标识一个HLR/AUC的HLR/AUC资源池编号情况，可以是先按现有技术产生MAC-A，而后调整该MAC-A的特定位使其能够标识该HLR/AUC的HLR/AUC资源池编号。当然，也可以是先用MAC-A的特定位标识HLR/AUC的HLR/AUC资源池编号，而后产生MAC-A的其余位即可。

对应地，USIM获取MAC-A中特定位的值，将该值作为该HLR/AUC对应的HLR/AUC资源池编号。例如，USIM判断出MAC-A的特定位的值为“0”时，即得知该鉴权元组对应的HLR/AUC是主HLR/AUC；USIM判断出MAC-A的特定位的值为“1”时，即得知该鉴权元组对应的HLR/AUC是备HLR/AUC。这种情况下，USIM在对MAC-A进行一致性验证时，只需要对MAC-A的其余位进行一致性验证即可。例如，USIM产生了与MAC-A对应的验证值后，判断MAC-A中的其余位是否和该验证值中的对应位相同，如果相同，则可以判断出一致性验证通过。

对于采用SQNHE来标识一个HLR/AUC的HLR/AUC资源池编号情况，可以是先按现有技术产生SQNHE，而后调整该SQNHE的特定位使其能够标识该HLR/AUC的HLR/AUC资源池编号。当然，也可以是先用SQN的特定位标识HLR/AUC的HLR/AUC资源池编号，而后产生SQN的其余位即可。

对应地，USIM获取SQN中对应位的值，将该值作为该HLR/AUC对应的HLR/AUC资源池也编号。例如，USIM判断出SQN的特定位的值为“0”时，即得知该鉴权元组对应的HLR/AUC是主HLR/AUC；USIM判断出SQN的特定位的值为“1”时，即得知该鉴权元组对应的HLR/AUC是备HLR/AUC。

HLR/AUC在鉴权五元组加入HLR/AUC标识信息的方法还可以是：对至少一个所述随机数、序列号、鉴权管理域和消息鉴权编码参数进行分类，使用对应参数的类别作为表示HLR/AUC的HLR/AUC标识信息。对应地，所述终端内的解析HLR/AUC标识信息的软硬件单元从接收到的所述鉴权参数信息中解析出所述HLR/AUC标识，具体是根据接收到的所述鉴权参数信息中对应参数的类别解析出所述HLR/AUC标识，也即根据鉴权参数与HLR/AUC对应关系来从得到的鉴权参数判断出所述对应的HLR/AUC。

所述携带HLR/AUC标识信息的鉴权五元组具体生成方法是；先生成所述鉴权管理域、序列号、随机数或消息鉴权编码，再调整对应参数的类别的方法表示所述HLR/AUC标识信息，或通过直接生成对应于该HLR/AUC标识的所述鉴权管理域、序列号、随机数或消息鉴权编码的方法表示所述HLR/AUC标识信息。

参阅图4，本发明还提供一种通信系统，包括HLR/AUC 410、VLR/SGSN420和终端430。所述HLR/AUC 410包括鉴权参数信息生成单元411，用于生成携带有HLR/AUC标识信息的鉴权参数信息。所述终端430包括HLR/AUC标识解析单元431。

当每次用户终端430与移动网络之间建立连接时，所有业务请求以及位置更新请求、附着请求、分离请求、以及重新建立连接等等，在需要进行鉴权操作，以便验正用户身份的合法性时，在网络侧的HLR/AUC 410下发携带有HLR/AUC标识信息的鉴权参数信息到VLR/SGSN 420。

所述携带有HLR/AUC标识信息的鉴权参数信息是AMF、SQNHE、RAND或MAC-A，其中AMF、SQNHE、MAC-A组成鉴权标记AUTN。所述鉴权参数信息生成单元411通过先生成所述AMF、SQN、RAND或MAC-A，再调整其中特定位的值的方法，或通过先生成所述AMF、SQN、RAND或MAC-A的特定位的值的方法表示所述HLR/AUC标识信息。

VLR/SGSN 420收到鉴权参数后，转发全部或部分鉴权参数到用户终端430。终端430方面则通过HLR/AUC标识解析单元431得到HLR/AUC标识，并在后续鉴权流程中与VLR/SGSN 420或HLR/AUC 410交互HLR/AUC。后续鉴权流程比如终端430进行AUTN一致性验证，并在判断SQNHE不属于可接受的范围情况下，产生再同步标记，并将再同步标记发送到HLR/AUC410，所述HLR/AUC 410根据再同步标记中的SQNMS更新SQNHE，产生新的鉴权参数。

从以上可以看出，由于本发明通过鉴权参数信息生成单元411在产生的鉴权参数AMF、SQN、RAND或MAC-A中包含了HLR/AUC标识信息，因此HLR/AUC 410在收到鉴权参数请求时，可以返回携带有HLR/AUC标识言息的鉴权参数信息到终端430，可以让终端430知道它得到的鉴权参数是来自明个HLR/AUC，在终端430判断出SQNHE不属于可接受范围时，通过VLR/SGSN 420将AUTS和对应五元组中的RAND发送给所述HLR/AUC 410。

所述鉴权参数信息生成单元411还可以采用对所述鉴权管理域、序列号、随机数或消息鉴权编码中至少一个参数进行分类，将所述HLR/AUC标识信息对应参数的类别的方法来表示HLR/AUC标识信息。具体是所述鉴权参数信息生成单元411通过先生成所述鉴权管理域、序列号、随机数或消息鉴权编码，再调整对应参数的类别的方法表示所述HLR/AUC标识信息，或通过直接生成对应于该HLR/AUC标识的所述鉴权管理域、序列号、随机数或消息鉴权编码的方法表示所述HLR/AUC标识信息。

参阅图5，本发明又提供一种通信设备，包括HLR/AUC 410和鉴权参数信息生成单元411。所述鉴权参数信息生成单元411用于生成携带有HLR/AUC标识信息的鉴权参数信息，在收到鉴权参数请求时，所述HLR/AUC410返回携带有HLR/AUC标识信息的鉴权参数信息，以便于终端基于所述HLR/AUC处理鉴权进程。在一个实施方式中，所述通信设备是HLR/AUC 410。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (13)

1.一种在鉴权中识别归属位置寄存器/鉴权中心HLR/AUC的方法，其特征在于，包括步骤:

在HLR/AUC产生鉴权参数信息时，在所述鉴权参数信息包括的随机数RAND和/或鉴权标记AUTN中加入HLR/AUC标识信息；

鉴权时，终端从接收到的所述携带有HLR/AUC标识信息的RAND和/或AUTN中解析出所述HLR/AUC标识。

2.根据权利要求1所述的在鉴权中识别HLR/AUC的方法，其特征在于，所述AUTN由序列号SQNHE、鉴权管理域AMF和消息鉴权编码MAC-A组成。

3.根据权利要求2所述的在鉴权中识别HLR/AUC的方法，其特征在于，在RAND和/或AUTN中加入HLR/AUC标识信息的步骤是指:使用RAND、SQNHE、AMF和MAC-A中至少一个参数中的至少一个位作为表示HLR/AUC的HLR/AUC标识信息；所述终端从接收到的所述RAND和/或AUTN中解析出所述HLR/AUC标识的步骤是指:终端根据接收到的所述RAND和/或AUTN中对应参数的HLR/AUC标识位解析出所述HLR/AUC标识；

或者，在RAND和/或AUTN中加入HLR/AUC标识信息的步骤是指:对RAND、SQNHE、AMF和MAC-A中至少一个参数进行分类，使用对应参数的类别作为表示HLR/AUC的HLR/AUC标识信息；所述终端从接收到的所述RAND和/或AUTN中解析出所述HLR/AUC标识的步骤是指:终端根据接收到的所述RAND和/或AUTN中对应参数的类别解析出所述HLR/AUC标识。

4.一种鉴权方法，其特征在于，包括步骤:

HLR/AUC向终端传送携带有HLR/AUC标识信息的随机数RAND和/或鉴权标记AUTN；

终端取得所述HLR/AUC标识，并基于所述HLR/AUC标识进行鉴权进程。

5.根据权利要求4所述的鉴权方法，其特征在于，所述AUTN由鉴权管理域AMF、序列号SQNHE、和消息鉴权编码MAC-A组成，所述AMF、SQNHE和MAC-A中其中至少一个携带有HLR/AUC标识信息。

6.根据权利要求5所述的鉴权方法，其特征在于，所述HLR/AUC标识信息采用所述AMF、SQNHE、RAND或MAC-A中至少一个参数的特定位表示；或者对所述AMF、SQNHE、RAND或MAC-A中至少一个参数进行分类，所述HLR/AUC标识信息采用对应参数的类别表示。

7.根据权利要求6所述的鉴权方法，其特征在于，所述HLR/AUC标识信息是通过先生成所述AMF、SQNHE、RAND或MAC-A，再调整其中特定位的值的方法表示，或通过先生成所述AMF、SQNHE、RAND或MAC-A的特定位的值的方法表示；或者所述HLR/AUC标识信息是通过先生成所述AMF、SQNHE、RAND或MAC-A，再调整对应参数的类别的方法表示，或通过直接生成对应于该HLR/AUC标识的所述AMF、SQNHE、RAND或MAC-A的方法表示。

8.根据权利要求4至7任一项所述的鉴权方法，其特征在于，所述进行鉴权进程的步骤具体是:进行鉴权标记AUTN一致性验证，并在AUTN一致性验证通过后，且判断出SQNHE不属于可接受的范围情况下，产生再同步标记，并将再同步标记发送到HLR/AUC，所述HLR/AUC根据再同步标记中的序列号SQNMS更新SQNHE，产生新的鉴权参数。

9.一种通信设备，包括HLR/AUC，其特征在于，还包括鉴权参数信息生成单元，用于生成鉴权参数信息，所述鉴权参数信息包括的随机数RAND和/或鉴权标记AUTN携带有HLR/AUC标识信息；所述HLR/AUC用于在收到鉴权参数请求时，返回携带有HLR/AUC标识信息的RAND和/或AUTN。

10.根据权利要求9所述的通信系统的通信设备，其特征在于，所述鉴权参数信息生成单元在AMF、SQNHE、RAND或MAC-A中生成特定位，作为鉴权参数信息RAND和AUTN中的HLR/AUC标识信息；或者所述鉴权参数信息生成单元生成特定类别的所述AMF、SQNHE、RAND或MAC-A，使用所述特定类别作为HLR/AUC标识信息。

11.根据权利要求10所述的通信系统的通信设备，其特征在于，所述鉴权参数信息生成单元具体通过先生成所述AMF、SQNHE、RAND或MAC-A，再调整其中特定位的值的方法，或通过先生成所述AMF、SQNHE、RAND或MAC-A的特定位的值的方法表示所述HLR/AUC标识信息，或者，所述鉴权参数信息生成单元通过先生成所述AMF、SQNHE、RAND或MAC-A，再调整对应参数的类别的方法表示所述HLR/AUC标识信息，或通过直接生成对应于该HLR/AUC标识的所述AMF、SQNHE、RAND或MAC-A的方法表示所述HLR/AUC标识信息。

12.一种通信系统，包括HLR/AUC和终端，其特征在于，所述HLR/AUC包括鉴权参数信息生成单元，用于生成鉴权参数信息，所述鉴权参数信息包括的随机数RAND和/或鉴权标记AUTN携带有HLR/AUC标识信息的鉴权参数信息，在收到鉴权参数请求时，所述HLR/AUC用于返回携带有HLR/AUC标识信息的RAND和/或AUTN到所述终端，终端用于根据对应特定HLR/AUC的RAND和/或AUTN处理鉴权进程。

13.根据权利要求12所述的通信系统，其特征在于，所述终端具体用于在得到携带有HLR/AUC标识信息的鉴权参数信息时，进行AUTN一致性验证，并在AUTN一致性验证通过后，且判断SQNHE出不属于可接受的范围情况下，将再同步标记发送到HLR/AUC，所述HLR/AUC根据再同步标记中的序列号SQNMS更新SQNHE，产生新的鉴权参数。

Images