CN101083783A - 一种局间传输加密信息的方法和系统 - Google Patents

Abstract

本发明提供一种局间传输加密信息的方法和系统。该方法包括根据局点间建立的呼叫，触发在呼叫路径上的任一局点利用ISUP标准消息发送加密信息；以及在呼叫路径上的另一局点判断需要处理加密业务时，根据该ISUP标准消息获得该加密信息。从而本发明通过利用ISUP APM机制传输加密信息，提供了一种呼叫过程中可以实时的传递业务加密信息的解决方案。其能对局间加密业务以及扩展电信业务提供广泛支持，并且能满足目前NGN发展过程中PSTN网与分组交换网的业务融合需求。

Description

一种局间传输加密信息的方法和系统

技术领域

本发明涉及通信领域，尤其涉及利用ISUP APM机制在电路交换网上局间传输加密信息的方法和设备。

背景技术

NGN(Next Generation Network)即下一代网络，它是电信史一块里程碑，标志着新一代电信网络时代的到来。从发展的角度来看，NGN是从传统的以电路交换为主的公共交换电话网络(PSTN)逐渐迈向以分组交换为主，它承载了原有PSTN网络的所有业务，把大量的数据传输卸载到IP网络中以减轻PSTN网络的重荷，同时以IP技术的新特性增加和增强了许多新老业务。从这个意义上讲，NGN是基于TDM(时分复用)的PSTN语音网络和基于IP/ATM(异步转移模式)的分组网络融合的产物，它使得在新一代网络上语音、视频、数据等综合业务成为了可能。

将现有网络演变成下一代网络并非一日之工，而原有网络与新网络并存需相当长的时间，所以新网络还需能够和原有网络互通，这就要求新的网络体系能够完成以下功能：采用TDM传输网和SS7信令网互通、与现有的业务(如智能网提供的业务)互通、以及与现有的PSTN网络体系融合。

随着电信网络技术的发展，新老网络正处于一个融合期，这使电信网络的环境更加复杂。网络安全对今天的电信运营商来说已是重中之重。随着电信网络从原来的信息传输通道走向今天的多元化网络平台，再加上运营商本身竞争的加大以及客户对服务质量的不断提升，电信网络的安全性、可靠性成了运营商必须面对的问题。

就目前快速发展的NGN网络，传统PSTN网络和分组交换网络的融合发展而言，很重要的一个方面就是业务的融合发展，在这个融合过程中体现出来的新业务特性，例如涉及到信息安全方面的电话银行等业务，一方面对NGN网络的业务处理能力提出要求，一方面对NGN网络的信息安全处理能力提出要求，以满足目前电信网络业务与信息安全的要求。

在PSTN网络和分组交换网络中处理电信业务发展中产生的涉及保密信息的新业务时，都需要保证其安全性和信息可传递性。对于全IP的分组网络，是利用我们已经熟悉的IP包+密钥等形式来保证信息安全；对于传统的电路交换网，由于其自身网络结构的特征，对密级较高的军网等才涉及到信息安全的处理，但对于NGN这种融合的网络，由于上层业务的需求，对于商用电信网络如何保证对上层业务安全性的支持是所要考虑的问题；同时，对于PSTN网络常见的保密措施是对局内用户的加密手段，但随着业务的发展，会涉及到两个局之间的业务加密需求，这就出现了如何在局间进行有效的传递这种业务的问题。这需要为电信业务提供在电路交换网上局间的加密信息传递机制。

电路交换网上局间信令使用最为广泛的就是ISDN用户部分(ISDN UserPart，ISUP)，其不但提供承载控制而且需要为其上层用户提供与承载无关的传输服务。基本的ISUP承载控制信令消息具有严格的顺序、状态以及消息结构，不能为上层用户提供灵活的信息交互服务，而ISUP APM(ApplicationTransport Mechanism)是一种能为上层用户提供一种与呼叫状态无关的传输机制。电信业务信息一般与一次呼叫相关，ISUP APM这种基于基本呼叫流程的应用传输机制可以保证业务加密信息传递的唯一有效安全性；同时，APM消息与呼叫状态无关，这就说明，在呼叫过程中可以实时的传递业务加密信息；同时，APM为其用户提供超长业务信息的传递，也满足加密业务的需求特点。

借此，本发明提供了基于ISUP APM机制来实现局间加密信息传输的方法和设备。

发明内容

本发明的第一目的是提供一种在呼叫过程中可以实时的传递业务加密信息的局间传输加密信息的方法。

本发明的第一目的是提供一种在呼叫过程中可以实时的传递业务加密信息的局间传输加密信息的系统。

根据本发明的第一目的，提供一种局间传输加密信息的方法，包括：根据局点间建立的呼叫，触发在呼叫路径上的任一局点利用ISUP标准消息发送加密信息；以及在呼叫路径上的另一局点判断需要处理加密业务时，根据该ISUP标准消息获得该加密信息。

根据本发明的第二目的，提供一种局间传输加密信息的系统，该系统的每一局点上具有业务加密信息设备，其中，根据局点间建立的呼叫，在呼叫路径上的任一局点上的该业务加密信息设备利用ISUP标准消息发送加密信息；以及在呼叫路径上的另一局点上的另一该业务加密信息设备判断需要处理加密业务时，根据该ISUP标准消息获得该加密信息。

本发明的有益效果是：本发明通过利用ISUP APM机制传输加密信息，提供了一种在呼叫过程中可以实时的传递业务加密信息的局间传输加密信息的解决方案。其能对局间加密业务以及扩展电信业务提供广泛支持，并且能满足目前NGN发展过程中PSTN网与分组交换网的业务融合需求。

附图说明

图1为ITU_T Q.765标准协议规定的APM网络模型的示意图；

图2为基于APM用户的整体基本网络的示意图；

图3为依照本发明的动态信令处理模型；

图4为呼叫路径上任意局点间传递加密信息的示意图；

图5为依照本发明的呼叫初始阶段传递加密信息的时序图；

图6为依照本发明的呼叫建立阶段传递加密信息的时序图；

图7为依照本发明的呼叫通话阶段传递加密信息的时序图；

图8为依照本发明的呼叫预释放阶段传递加密信息的时序图；以及

图9为依照本发明的利用APM传递加密信息的动态协商过程的具体时序图。

具体实施方式

以下将结合附图具体说明本发明基于ISUP APM机制来实现电路交换网上局间的加密信息传递的方法和设备。

由于在本发明中，ISUP APM机制涉及的可以传递APP(ADSL PortProtocol)参数的IAM/ACM/ANM/CPG/CON/PRI/APM等标准消息都可携带APM业务或可携带APM消息，且方法和流程相同，所以这里仅以APM(Application transport mechanism)消息为例说明本发明的传输局间业务加密信息的方法。

APM为上层用户层提供基于呼叫并与呼叫状态无关的承载服务，其基本的网络模型体现为如图1所示的ITU_T Q.765标准协议规定的APM网络模型。

基于图1所示的APM的这种基本网络模型，本发明实现加密信息局间传送机制的基本思路是：将业务加密信息(Encrypted Message)作为一种APM用户，业务加密信息用户部分负责加密信息的加密和解密处理，并将加密后的信息流传给加密业务传输控制层。加密业务传输控制层将该信息流封装到APM消息中后传输给对局。这种模型可以保证网络设计的层次性和安全性。

基于APM用户的整体基本网络如图2所示。

其中，基于APM用户的基本网络包括5个处理层，第一层为业务信息处理层，用于具体业务的信息收集/校验/逻辑处理等；第二层为业务信息加密处理层，用于根据不同的加密业务需求实施相应的加密算法，生成业务信息加密后的数据流，同等层的对端需要采用对应的解密算法对接收的数据流进行解密；第三层为业务加密信息适配层，用于对加密信息流进行报头处理，以满足不同的加密业务需求以及业务区分，其中加密报头可以包括业务类型、业务秘级等。这三层属于业务处理层。

第四层为加密业务传输控制层，属于中间层。加密业务传输控制层用于为加密业务提供一种传输控制机制，即从业务层获取加密信息从而触发APM传输倒对局，同时将从对局利用APM传输过来的加密信息解包后传递给业务传输控制层进行处理。由于APM只能作为一种业务传输承载，所以具体的业务触发由业务处理层控制APM传输。

第五层为LE/TE，即本地交换局/汇接交换局(发起局/目的局)，用于处理具体的信令过程。

如果将上述技术方案抽象为动态信令处理模型，则可以表示为图3所示。在该动态信令处理模型中，将业务加密信息处理作为一种APM用户的是业务加密信息设备，该设备可以位于整个电路交换网上的任意局点上，其包括加密信息应用处理模块31、加密业务传输控制模块32、APM处理模块33、ISUP处理模块34以及呼叫控制模块35。

其中，加密信息应用处理模块31属于整体方案的业务处理层次，负责加密信息的具体业务逻辑处理。

加密业务传输控制模块32属于整体方案的加密业务传输控制层，其在业务初始局将业务处理模块封装的加密信息流传递给APM处理模块33，并控制触发发送APM消息的时机；在业务目的局负责从APM消息中得到加密信息包，并决定触发加密业务处理的时机。

APM处理模块用于负责APM消息的分段/重组/编解码等处理。

ISUP处理模块则为标准的ISUP消息处理模块。

应理解的是，本发明解决的是局间加密信息传输的问题，至于判断业务是否需要加密，以及在哪个具体的局点需要进行解密或相关处理，都可以利用现有技术(例如信令等)实现，且其相关信息都由加密业务传输控制模块32获知，当然，也可由加密业务传输控制模块32根据预定的拨号码等判断是否需要进行加密或解密处理。

在这个动态信令模型中，最重要的两个处理模块是APM处理模块33和加密业务传输控制模块32。APM处理模块33结合ISUP处理模块34完成标准APM消息的逻辑处理(分段/重组等)，是为加密业务提供传输机制的基础。加密业务传输控制模块32则加密信息应用处理模块31具体控制APM传输的时机和决定业务的发起局(PIN)和目的局(PAN)，而PIN/PAN可以不同于呼叫发起局和落地局，也正因为这个特点，为加密信息的传递更提供了灵活的支持，这个在后面的业务处理过程中将进行分析。

因此，该业务加密信息设备可构造成包括加密信息应用和传输控制模块、APM和ISUP处理模块以及呼叫控制模块。其中，加密信息应用和传输控制模块实现加密业务传输控制模块32和加密信息应用处理模块31的功能，APM和ISUP处理模块实现APM处理模块33和ISUP处理模块34的功能。

另外，从这个动态处理模型可以看出，APM业务的传输是需要在双方建立呼叫基础上进行的，即在呼叫初始阶段，或呼叫建立阶段，或呼叫通话阶段或预释放(PRI)阶段进行APM传输。

以下将说明APM消息传递加密信息的具体过程。

<呼叫路径上任意局点间传递加密信息>

根据APM标准规定，APM创建APM用户应用逻辑起点PIN(PublicInitiating Node)和目的点PAN(Public Addressed Node)的信令联系，PIN/PAN可以位于呼叫路径上的任何一个局点，例如：1)PIN/PAN分别位于呼叫端局；2)PIN位于呼叫汇接局，PAN位于呼叫端局；3)PIN位于呼叫端局，PAN位于呼叫汇接局；4)PIN/PAN位于呼叫汇接局。

这说明，在一个呼叫路径上，只要一个局点能够触发APM用户应用并触发APM消息则称这个局点为PIN；在后续局点如果能处理这个APM消息携带的APM用户应用则称这个局点为PAN；而中间的汇接局如果不能处理这个APM用户则透传消息，这些局点称为透传局(PASS-ON局)。

依据这个特点，我们可以在呼叫路径上的任意局点触发加密业务，也可以在任意局点决定处理这些加密信息。

如图4所示，为呼叫路径上任意局点间传递加密信息的示意图。

具体过程如下：

步骤一，A局(PIN)向D局(PIN)发起呼叫；

步骤二，D局在呼叫建立时，如果加密业务逻辑需要触发加密业务，则加密业务传输控制模块32将加密信息流传递给APM处理模块33，APM处理模块33将该加密信息流打包封装后发送APM消息；

步骤三，C局(透传局)收到APM消息后，加密业务逻辑判断本局不需要处理加密业务或者根本不支持加密业务的处理，则简单的将APM消息透传；

步骤四，B局(PAN)收到APM消息，加密业务逻辑判断本局需要处理加密业务，则将加密信息从APM消息中解包后发送给加密业务传输控制模块32进行处理。

APM业务的传输是需要在双方建立呼叫基础上进行的，即呼叫初始阶段，呼叫建立阶段，呼叫通话阶段和预释放阶段进行APM传输。以下分别针对在呼叫初始阶段，呼叫建立阶段传递加密信息进行说明。

1.呼叫初始阶段传递加密信息

APM传输机制可以在呼叫的初始阶段触发，对于加密业务来说一般应用于加密信息初始协商，将本局(PIN)的加密基本原则/加密协商原则等告诉对局(PAN)，具体过程如图5的时序图所示。

步骤一，发起局发起呼叫，呼叫控制模块35向加密业务传输控制模块32查询是否触发加密业务；

步骤二，加密业务传输控制模块32决定发起加密信息，向呼叫控制模块35发送确认，并且其中携带加密信息应用处理模块31生成的加密信息流；

步骤三，呼叫控制模块35将加密信息封装到内部消息发送到APM处理模块33，APM处理模块33将加密信息封装到ISUP标准的APP参数中；

步骤四，APM模块33将封装后的APP参数传递给ISUP模块34，然后IAM携带APP参数出局(A局)。

之后，在B局(PAN)收到APM消息后，ISUP模块34根据加密业务传输控制模块32的指示获知本局需要处理加密业务，则调用APM处理模块33对APM消息进行拆分或重组等处理，将加密信息从APM消息中解包后发给加密业务传输控制模块32，加密业务传输控制模块32结合加密信息应用处理模块31进行相应的解密等处理。

这里，应理解的是，在加密信息初始协商时，本局D(PIN)的加密基本原则/加密协商原则已告诉对局B(PAN)，也只有对局B才能进行相应的解密。

2.呼叫建立阶段传递加密信息

也可根据业务需要，在呼叫建立阶段传递加密信息，例如收到对局地址确认后，加密业务传输控制模块可以决定此时触发加密业务。具体过程如图6的时序图所示。

步骤一，呼叫控制模块35根据加密业务传输控制模块32的确认消息发现需要触发加密业务，就将加密信息流封装到内部APM_Transit消息中；

步骤二，ISUP处理模块34收到APM_Transit消息后调用APM处理模块33将加密信息打包到APP参数中，并由APM消息送出局。

3.呼叫通话阶段传递加密信息

在通话阶段发送加密信息的应用最广泛，例如拨打电话银行输入卡号、密码等信息；可以在通话阶段用户再次输入特殊拨入码，呼叫控制模块将拨号码送给加密业务传输控制模块，然后判断是否触发加密业务传递。具体过程如图7的时序图所示。

步骤一，呼叫控制模块35收集终端接入设备用户输入的特殊拨入码；

步骤二，呼叫控制模块35将拨入码传给加密业务传输控制模块32；

步骤三，加密业务传输控制模块32根据拨入码判断需要触发加密业务，将业务请求经内部消息发送给呼叫控制模块35；

步骤四，呼叫控制模块35将加密业务传输控制模块32发送的业务请求封装到APM_Transit内发送给APM处理模块33，由其封装到APP参数中，该业务请求中包括加密信息应用处理模块31生成的加密信息流；

步骤五，ISUP处理模块34利用APM消息将该APP参数发送到对局，开始加密业务的协商处理。

4.呼叫预释放阶段传递加密信息

在呼叫的预释放阶段也可以利用APM机制发送加密信息，ISUP预释放消息PRI可以携带APP参数，可以完成这样功能。具体过程如图8的时序图所示。

步骤一，呼叫控制模块35根据用户挂机指示将释放呼叫时，则发现当前正进行加密业务交互过程，向加密业务传输控制模块32发送预释放呼叫通知；

步骤二，加密业务传输控制模块32当收到预释放呼叫通知，则结合加密信息应用处理模块31清除相关加密信息资源，并发送结束加密业务请求；

步骤三，呼叫控制模块35将结束加密业务请求封装到APM_Transit消息中，并指示需要利用PRI消息发送；

步骤四，APM处理模块33收到APM_Transit并根据指示，将加密业务请求封装到APP参数中，ISUP处理模块34利用PRI消息携带该APP参数送给对局，使对局也清楚相关加密信息资源；

步骤五，呼叫控制模块35发送释放消息释放呼叫。

以下将说明利用APM传递加密信息的动态协商过程。

由于APM机制的灵活性，为加密业务动态协商过程提供了基础。PIN局发触发加密业务后，PAN局收到加密业务请求可以根据业务需要决定下一步的处理，具体如图9的时序图所示。

步骤一，PAN局收到APM消息，将加密信息包解包发送给呼叫控制模块35；

步骤二，呼叫控制模块35将加密信息送给加密业务传输控制模块32；

步骤三，结合加密信息应用处理模块31，加密业务传输控制模块32根据加密业务应用需要继续请求加密信息，则向呼叫控制模块35触发APM请求；

步骤四，呼叫控制模块35将该请求发送给ISUP处理模块34；

步骤五，ISUP处理模块34调用APM处理模块33将加密信息请求(这也是一种加密信息)打包后由APM消息送到PIN局。

上面使用信令流程说明了一下利用APM传递加密信息的过程。从上面的介绍可以看出，利用APM传输加密信息具有灵活性(呼叫路径上任意局点)，安全性(基于呼叫以及PIN/PAN局间加密策略协商)等特点。并且该加密信息可用于进行承载加密。

本发明通过利用ISUP APM机制传输加密信息，从而提供了一种呼叫过程中可以实时的传递业务加密信息的解决方案。其能对局间加密业务以及扩展电信业务(例如异地电话银行等)提供广泛支持，并且能满足目前NGN发展过程中PSTN网与分组交换网的业务融合需求。

本发明并不局限于上述实施例，那些本领域普通技术人员通过阅读本申请后对本发明所做的简单的修饰、修改或者等同方案，都应该落在本发明的权利要求所要求保护的范围之内。

Claims (14)

1.一种局间传输加密信息的方法，包括：

根据局点间建立的呼叫，触发在呼叫路径上的任一局点利用ISUP标准消息发送加密信息；以及

在呼叫路径上的另一局点判断需要处理加密业务时，根据该ISUP标准消息获得该加密信息。

2.根据权利要求1所述的局间传输加密信息的方法，其中，

该ISUP标准消息携带APM消息或APM业务，用于传输加密信息。

3.根据权利要求2所述的局间传输加密信息的方法，其中，

根据局点间建立的呼叫，在呼叫初始阶段，或呼叫建立阶段，或呼叫通话阶段或预释放阶段传输加密信息。

4.根据权利要求3所述的局间传输加密信息的方法，其中，

在呼叫路径上的某一局点判断本局不需要处理加密业务或者不支持加密业务的处理时，将该ISUP标准消息透传到下一局。

5.根据权利要求4所述的局间传输加密信息的方法，其中，

根据不同的加密业务需求实施加密算法而生成加密信息，并且，需要处理加密业务的该另一局点具有与加密算法相应的解密算法。

6.根据权利要求5所述的局间传输加密信息的方法，其中，

该另一局点在处理加密信息后，向发送该加密信息的源局点发送加密信息请求，用于继续请求加密信息。

7.一种局间传输加密信息的系统，该系统的每一局点上具有业务加密信息设备，其中，

根据局点间建立的呼叫，在呼叫路径上的任一局点上的该业务加密信息设备利用ISUP标准消息发送加密信息；以及

在呼叫路径上的另一局点上的另一该业务加密信息设备判断需要处理加密业务时，根据该ISUP标准消息获得该加密信息。

8.根据权利要求7所述的局间传输加密信息的系统，其中，该业务加密信息设备包括：

呼叫控制模块，用于根据局间建立的呼叫，查询是否需要触发加密业务；

加密信息应用和传输控制模块，根据呼叫控制模块的查询和加密业务需求，判断是否需要触发加密业务，如果需要则生成加密信息；以及

APM和ISUP处理模块，根据该加密信息应用和传输控制模块经由该呼叫控制模块发送给的加密信息，封装到ISUP标准消息后进行发送。

9.根据权利要求7所述的局间传输加密信息的系统，其中，该业务加密信息设备包括：

APM和ISUP处理模块，在需要处理加密业务的情况下，从接收的ISUP标准消息中解包获得加密信息；

呼叫控制模块，用于从该APM和ISUP处理模块获得加密信息；

加密信息应用和传输控制模块，根据呼叫控制模块发送的加密信息和加密业务需求，处理该加密信息。

10.根据权利要求8或9所述的局间传输加密信息的系统，其中，

该ISUP标准消息携带APM消息或APM业务，用于传输加密信息。

11.根据权利要求10所述的传输局间加密信息的系统，其中，

该业务加密信息设备根据局点间建立的呼叫，在呼叫初始阶段，或呼叫建立阶段，或呼叫通话阶段或预释放阶段传输加密信息。

12.根据权利要求11所述的局间传输加密信息的系统，其中，

在呼叫路径上的某一局点的该业务加密信息设备判断本局不需要处理加密业务或者不支持加密业务的处理时，将该ISUP标准消息透传到下一局。

13.根据权利要求12所述的局间传输加密信息的系统，其中，

触发加密业务的局点上的业务加密信息设备根据不通的加密业务需求实施加密算法而生成加密信息，并且，需要处理加密业务的局点的业务加密信息设备具有与加密算法相应的解密算法。

14.根据权利要求13所述的局间传输加密信息的系统，其中，

需要处理加密业务的局点的业务加密信息设备在处理加密信息后，向发送该加密信息的源局点发送加密信息请求，用于继续请求加密信息。

Images