CN102065417A - 实现安全上下文信息同步的方法、设备及系统 - Google Patents

Abstract

本发明实施例提供一种实现安全上下文信息同步的方法、设备及系统。该方法包括：基站获取无线网络控制器发送的用户设备的用户面安全上下文信息，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或对从所述用户设备接收的数据进行解密，所述用户面安全上下文信息随所述加密/解密的进行发生变化；若到达设置触发条件，所述基站将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器；从而保证了NodeB和RNC之间安全上下文信息的同步，使得UMTS中的一些操作流程的得以顺利进行。

Description

实现安全上下文信息同步的方法、设备及系统

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种实现安全上下文信息同步的方法、设备及系统。

背景技术

本地交换(Local Switch；以下简称：LS)是一种用户数据本地环回技术，这种技术使用户数据可以在距离用户较近的数据汇聚点上直接本地环回，节省了网络内部的传输资源。对于全球移动通信系统(Universal Mobile Telecommunications System；以下简称：UMTS)，有两种类型的LS，分别为基站(NodeB)LS和无线网络控制器(Radio Network Controller；以下简称：RNC)LS。由于NodeB和RNC之间的Iub接口的传输资源更加稀缺，因此NodeB LS的需求更加迫切。NodeB LS能够有效节省Iub接口上的数据传输资源。

现有技术中，在NodeB LS中，RNC将用户面加密所需的加密参数发送给NodeB，使NodeB能够对用户面数据进行加密/解密操作，从而NodeB可以不通过RNC而直接在其管辖的两个用户设备(User Equipment；以下简称：UE)之间转发数据，而在此场景下，RNC和NodeB之间的安全上下文存在不同步的问题，使得UMTS中的一些操作流程，例如：COUNTER CHECK流程或切换流程等，无法完成。

发明内容

本发明实施例提供一种实现安全上下文信息同步的方法、设备及系统，用以解决现有技术中RNC和NodeB之间安全上下文不同步，导致无法完成UMTS中的一些操作流程的问题。

本发明实施例提供一种实现安全上下文信息同步的方法，适用于本地交换场景，包括：

基站获取无线网络控制器发送的用户设备的用户面安全上下文信息，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；

所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

若到达设置的触发条件，则所述基站将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器。

本发明实施例还提供一种实现安全上下文信息同步的方法，适用于本地交换场景，包括：

无线网络控制器将用户设备的用户面安全上下文信息发送至基站，以使得所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

所述无线网络控制器获取所述基站的当前用户面安全上下文信息，所述当前用户面安全上下文信息为变化后的用户面安全上下文信息。

本发明实施例提供一种基站，包括：

第一接收模块，用于获取无线网络控制器发送的用户设备的用户面安全上下文信息，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；

加密/解密模块，用于根据所述第一接收模块获取的用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

第一发送模块，用于若达到设置的触发条件，则将所述加密/解密模块中变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器。

本发明实施例提供一种无线网络控制器，包括：

第二发送模块，用于将用户设备的用户面安全上下文信息发送至基站，以使得所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

第二接收模块，用于接收所述基站的当前用户面上下文信息，其中，所述当前用户面安全上下文信息为所述第二发送模块将所述用户面安全上下文信息发送至所述基站后，随所述加密/解密的进行发生变化的用户面安全上下文信息。

本发明实施例提供一种实现安全上下文信息同步的系统，包括基站和无线网络控制器，

所述基站，用于获取所述无线网络控制器发送的用户设备的用户面安全上下文信息，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，；若达到设置的触发条件，则将后变化的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器；

所述无线网络控制器，用于将用户设备的用户面安全上下文信息发送至所述基站，以使得所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；获取所述基站的当前用户面安全上下文信息，所述当前用户面安全上下文信息为变化后的用户面安全上下文信息。

本发明实施例的实现安全上下文信息同步的方法、设备及系统，通过当满足UMTS中的一些触发条件，NodeB和RNC之间通过信令交互，保持安全上下文信息的同步，使得UMTS中的一些操作流程得以顺利进行。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一个实施例提供的实现安全上下文信息同步的方法流程图；

图2为本发明又一个实施例提供的实现安全上下文信息同步的方法流程图；

图3A为本发明一个实施例提供的实现安全上下文信息同步的方法信令图一；

图3B为本发明一个实施例提供的实现安全上下文信息同步的方法信令图二；

图3C为本发明一个实施例提供的实现安全上下文信息同步的方法信令图三；

图4为本发明一个实施例提供的基站结构示意图；

图5为本发明又一个实施例提供的基站结构示意图；

图6为本发明一个实施例提供的无线网络控制器结构示意图；

图7为本发明一个实施例提供的实现安全上下文信息同步的系统结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明一个实施例提供的实现安全上下文信息同步的方法流程图，如图1所示，该方法适用于本地交换场景，该方法包括：

S101、基站获取无线网络控制器发送的中用户设备的用户面安全上下文信息，其中，用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；

具体的，在实现了NodeB LS的系统中，UE和RNC之间通过安全模式命令(Security Mode Command，以下简称：SMC)信令建立安全上下文信息，安全上下文信息包括信令面安全上下文信息和用户面安全上下文信息。UE和RNC之间建立安全上下文信息，RNC将本地交换中的UE的用户面安全上下文信息发送至NodeB，其中，用户面安全上下文信息中包括NodeB对UE之间发送数据进行加密或解密所需的无线承载的上下行序列号和加密密钥。

S102、基站根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密，且用户面安全上下文信息随加密/解密的进行发生变化；

NodeB接收到RNC发送的UE的用户面安全上下文信息后，能够使用用户面安全上下文信息中的无线承载的上下行序列号和加密密钥对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密。NodeB每加密或解密一个数据包，都要对用户面安全上下文信息中的无线承载的上下行序列号进行更新，即用户面安全上下文信息会随加密/解密的进行发生变化。

S103、若达到设置触发条件，基站将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至无线网络控制器。

RNC将用户面安全上下文信息发送至NodeB后，NodeB和RNC分别对用户面安全上下文信息和信令面安全上下文信息进行维护，而在UMTS中的一些操作流程，例如：COUNTER CHECK流程、本地交换中的UE进行跨NodeB切换流程等过程中，由于用户面安全上下文信息在NodeB上进行维护，由于用户面上下文信息随着加密/解密而发生变化，导致NodeB和RNC上的用户面安全上下文信息不同步，进而无法完成操作流程。因此，在达到设置的触发条件时，NodeB将随着加密/解密而变化的当前用户面安全上下文信息发送至RNC，使RNC能够根据当前信令面安全上下文信息和当前用户面上下文信息执行后续操作流程，保证操作流程得以顺利进行。其中，触发条件可以根据具体操作流程设定，仅以本地交换中的UE进行跨NodeB切换流程为例进行说明，当本地交换中的UE切换到其他NodeB时，RNC需要根据当前信令面安全上下文信息和用户面安全上下文信息中的无线承载的上下行序列号等参数计算新的START值，从而保证切换前后的加密密钥流不重复。因此，在本地交换中的UE进行跨NodeB切换流程中，可以将本地交换中的任一用户设备解除本地交换作为触发条件，当达到该触发条件时，NodeB将当前用户面安全上下文信息发送至RNC，完成了与RNC的用户面安全上下文信息同步。本发明实施例提供的方法同样适用于其他UMTS中操作流程的触发条件，在此不再一一列举。

本实施例提供的实现安全上下文信息同步的方法，NodeB获取RNC发送的用于对UE之间发送/接收的数据进行加密/解密的用户面安全上下文信息，并通过满足UMTS中的一些触发条件，NodeB将当前用户面上下文信息发送至RNC，保持安全上下文信息的同步，使UMTS中的一些操作流程得以顺利进行。

图2为本发明又一个实施例提供的实现安全上下文信息同步的方法流程图，如图2所示，适用于本地交换场景，该方法包括：

S201、无线网络控制器将用户设备的用户面安全上下文信息发送至基站，以使得基站根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密，其中，用户面安全上下文信息包括无线承载的上下行序列号和加密密钥，且用户面安全上下文信息随加密/解密的进行发生变化；

具体的，在实现了NodeB LS的系统中，UE和RNC之间通过SMC信令建立安全上下文信息，RNC将本地交换中的UE的用户面安全上下文信息发送至NodeB，以使NodeB根据用户面安全上下文信息对之间发送数据进行加密或解密。其中，用户面安全上下文信息中包括NodeB对UE之间发送数据进行加密或解密所需的无线承载的上下行序列号和加密密钥。

S202、无线网络控制器获取基站的当前用户面安全上下文信息，当前用户面安全上下文信息为变化后的用户面安全上下文信息。

RNC将用户面安全上下文信息发送至NodeB后，NodeB和RNC分别对用户面安全上下文信息和信令面安全上下文信息进行维护，而在UMTS中的一些操作流程，例如：COUNTER CHECK流程、本地交换中的UE进行跨NodeB切换流程等过程中，由于用户面安全上下文信息在NodeB上进行维护，NodeB每加密/解密一个空口数据包，都要对用户面安全上下文信息中的无线承载的上下行序列号进行更新，即用户面上下文信息随着加密/解密而发生变化，导致NodeB和RNC上的用户面安全上下文信息不同步，RNC无法获知当前用户面安全上下文信息，进而无法完成UMTS中的一些操作流程。因此，RNC需从NodeB获取当前上下文信息。具体的，在达到一定的设置的触发条件时，NodeB将当前用户面安全上下文信息发送至RNC，使RNC能够根据当前信令面安全上下文信息和当前用户面上下文信息执行后续操作流程，保证操作流程得以顺利进行。其中，触发条件可以根据具体操作流程设置，仅以本地交换中的UE进行跨NodeB切换流程为例进行说明，当本地交换中的UE切换到其他NodeB时，RNC需要根据当前信令面安全上下文信息和用户面安全上下文信息中的无线承载的上下行序列号等参数计算新的START值，从而保证切换前后的加密密钥流不重复。因此，在本地交换中的UE进行跨NodeB切换流程中，可以将本地交换中的任一用户设备解除本地交换作为触发条件，当达到该触发条件时，NodeB将当前用户面安全上下文信息发送至RNC，完成了与RNC的用户面安全上下文信息同步。本发明实施例提供的方法同样适用于其他UMTS中操作流程的触发条件，在此不再一一列举。

本实施例提供的实现安全上下文信息同步的方法，RNC将用于对UE之间发送/接收的数据进行加密/解密的用户面安全上下文信息发送至NodeB，当达到UMTS中设置的触发条件，RNC获取到NodeB发送的当前用户面上下文信息，从而保持安全上下文信息的同步，使UMTS中的一些操作流程得以顺利进行。

图3A为本发明一个实施例提供的实现安全上下文信息同步的方法信令图一，如图3A所示，本实施例以UMTS中的COUNTER CHECK流程为例进行说明，该方法包括：

S301a、RNC向NodeB发送的用户设备的用户面安全上下文信息；

S302a、NodeB根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密；

S303a、NodeB和RNC分别对COUNT-C值进行监控；

当NodeB LS业务建立成功之后，NodeB执行NodeB LS业务中的UE之间的用户数据的加密/解密操作，RNC执行NodeB LS业务中的UE之间的信令的加密/解密操作，NodeB和RNC分别维护用户面安全上下文信息和信令面安全上下文信息，NodeB和RNC分别对COUNT-C值进行监控。

COUNT-C值为信令面安全上下文信息和/或用户面安全上下文信息中的无线承载的上下行序列号，NodeB和RNC分别监控COUNT-C值是否满足设置的阈值。

情况一、RNC侧维护的信令面安全上下文信息中的无限承载的上下行序列号满足设置的阈值：

S304a、RNC向NodeB发送请求信息，该请求信息用于请求获取当前用户面安全上下文信息；

S305a、NodeB将当前用户面安全上下文信息发送至RNC；

S306a、RNC执行COUNTER CHECK流程。

当RNC侧满足COUNTER CHECK触发条件，RNC向NodeB发送请求，请求获取NodeB上保存的当前用户面安全上下文信息，该信息中包括每个承载当前的COUNT-C。NodeB将当前用户面安全上下文信息返回给RNC，RNC根据NodeB反馈的信息，与UE之间执行正常的COUNTER CHECK流程。

情况二、NodeB侧维护的用户面安全上下文信息中的无线承载的上下行序列号满足设置的阈值：

S304a’、NodeB将当前用户面安全上下文信息发送至RNC；

S305a’、RNC执行COUNTER CHECK流程。

当NodeB侧满足COUNTER CHECK触发条件，NodeB可以直接将用户面安全上下文信息发送给RNC，RNC根据NodeB上报的信息，与UE之间执行正常的COUNTER CHECK流程。

情况三、NodeB侧维护的用户面安全上下文信息中的无线承载的上下行序列号满足设定的阈值：

S304a”、NodeB向RNC发送告知信息，告知信息用于指示达到设定的触发条件；

S305a”、RNC向NodeB发送请求信息，该请求信息用于请求获取当前用户面安全上下文信息；

S306a”、NodeB将当前用户面安全上下文信息发送至RNC；

S307a”、RNC执行COUNTER CHECK流程。

当NodeB侧满足COUNTER CHECK触发条件，NodeB可以发送告知信息给RNC，触发RNC向NodeB发出请求信息。RNC向NodeB请求获取NodeB上保存的当前用户面安全上下文信息，NodeB将用户面安全上下文信息返回给RNC，RNC根据NodeB反馈的信息，与UE之间执行正常的COUNTER CHECK流程。

其中，COUNTER CHECK流程用于检查空中接口上是否存在包插入、包删除等攻击，NodeB和RNC分别对COUNT-C值进行周期性的监控，当COUNT-C值满足设置的阈值时，RNC根据NodeB发送的当前用户面安全上下文信息发起COUNTER CHECK流程，周期性地进行本地认证，检查空中接口中是否存在包插入、包删除等攻击。

本实施例提供的实现安全上下文信息同步的方法，RNC将用于对UE之间发送/接收的数据进行加密/解密的用户面安全上下文信息发送至NodeB，当达到UMTS中的设定的触发条件，NodeB向RNC发送当前用户面上下文信息，以使RNC得以进行检查空中接口上是否存在包插入、包删除等攻击的操作流程，从而保证了UMTS系统的安全性。

图3B为本发明一个实施例提供的实现安全上下文信息同步的方法信令图二，如图3B所示，本实施例以本地交换中的UE进行跨NodeB切换导致NodeB LS解除为例进行说明，该方法包括：

S301b、RNC向NodeB发送的用户设备的用户面安全上下文信息；

S302b、NodeB根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密；

NodeB LS业务建立成功之后，NodeB执行NodeB LS业务中的UE之间的用户数据的加密/解密操作，RNC执行NodeB LS业务中的UE之间的信令的加密/解密操作，NodeB和RNC分别维护用户面安全上下文信息和信令面安全上下文信息。

S303b、RNC判断出UE将发生跨NodeB的切换；

S304b、RNC向NodeB发送请求信息，该请求信息用于请求获取当前用户面安全上下文信息；

S305b、NodeB将当前用户面安全上下文信息发送至RNC；

进一步的，NodeB将当前用户面安全上下文信息发送至RNC后，NodeB可以将保存的当前用户面安全上下文信息删除，以节省NodeB的资源，减轻NodeB的运行负担，提高NodeB的运行效率。

S306b、RNC和UE执行切换流程。

RNC判断UE将发生跨NB的切换，则NodeB LS无法继续。RNC向NodeB请求获取UE的当前用户面安全上下文信息。NodeB将当前用户面安全上下文信息返回给RNC，UE的NB LS解除，UE的用户面和信令面的安全保护都终结在RNC上。进一步的，NodeB将用户面安全上下文信息返回RNC后，NodeB删除其保存的UE的用户面安全上下文信息。

RNC根据NodeB发送的当前用户面安全上下文信息以及当前信令面安全上下文信息中的无线承载的上下行序列号和完整性序列号计算新的START值，从而保证切换前后的加密密钥流不重复。

本实施例提供的实现安全上下文信息同步的方法，RNC将用于对UE之间发送/接收的数据进行加密/解密的用户面安全上下文信息发送至NodeB，当达到UMTS中的设定的触发条件，NodeB向RNC发送当前用户面上下文信息，以使在UMTS的切换过程中，RNC得以根据当前用户面上下文信息完成与UE之间的切换，保证切换前后的加密密钥流不重复，进而保证了UMTS系统的安全性。

图3C为本发明一个实施例提供的实现安全上下文信息同步的方法信令图三，如图3C所示，本实施例以本地交换中的UE连接断开过程为例进行说明，该方法包括：

S301c、RNC向NodeB发送的用户设备的用户面安全上下文信息；

S302c、NodeB根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密；

情况一、RNC释放和UE的连接：

S303c、RNC向NodeB发送请求信息，该请求信息用于请求获取当前用户面安全上下文信息；

S304c、NodeB将当前用户面安全上下文信息发送至RNC；

进一步的，NodeB将当前用户面安全上下文信息发送至RNC后，NodeB可以将保存的当前用户面安全上下文信息删除，以减轻NodeB上的资源消耗及运行负担。

S305c、RNC执行UE连接释放流程。

情况二、RNC释放和UE的连接：

S303c’、RNC向NodeB发送连接释放指示信息，该指示信息指示NodeB释放和UE的连接；

S304c’、NodeB将当前用户面上下文信息删除；

上述删除NodeB上用户面安全上下文信息的可以节约NodeB资源，这种做法也能提高UMTS系统的安全性。

S305c’、RNC和NodeB分别执行UE连接释放流程。

本实施例提供的实现安全上下文信息同步的方法，RNC将用于对UE之间发送/接收的数据进行加密/解密的用户面安全上下文信息发送至NodeB，当达到UMTS中的设定的触发条件，NodeB向RNC发送当前用户面上下文信息，以使在UMTS的UE连接断开过程中，RNC得以根据当前用户面上下文信息完成与UE之间的断开过程。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图4为本发明一个实施例提供的基站结构示意图，如图4所示，该基站包括：第一接收模块41、加密/解密模块42和第一发送模块43；第一接收模块41用于获取无线网络控制器发送的用户设备的用户面安全上下文信息，其中，用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；加密/解密模块42用于根据第一接收模块41获取的用户面安全上下文信息对发送给用户设备的数据进行加密，或者对用户设备接收的数据进行解密，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；第一发送模块43用于若达到设置的触发条件，则将加密/解密模块42中变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至无线网络控制器。

本发明实施例所提供的基站能够实现本发明上述方法实施例中所提供的实现安全上下文信息同步的方法。

具体的，在实现了NodeB LS的系统中，UE和RNC之间通过SMC信令建立安全上下文信息，安全上下文信息包括信令面安全上下文信息和用户面安全上下文信息。UE和RNC之间建立安全上下文信息，本发明实施例所提供的基站中的第一接收模块41接收到RNC发送的UE的用户面安全上下文信息，其中，用户面安全上下文信息中包括加密/解密模块42对UE之间发送数据进行加密或解密所需的无线承载的上下行序列号和加密密钥。加密/解密模块42根据用户面安全上下文信息对发送给UE的数据进行加密，或者对从UE接收的数据进行解密；加密/解密模块42每加密或解密一个数据包，都要对用户面安全上下文信息中的无线承载的上下行序列号进行更新，即用户面安全上下文信息会随加密/解密的进行发生变化。RNC将用户面安全上下文信息发送至第一接收模块41后，NodeB和RNC分别对用户面安全上下文信息和信令面安全上下文信息进行维护，由于用户面安全上下文信息随着加密/解密变化，导致NodeB和RNC上的用户面安全上下文信息不同步，进而无法完成操作流程。因此，在达到设置的触发条件时，第一发送模块43将当前用户面安全上下文信息发送至RNC，使RNC能够根据当前信令面安全上下文信息和当前用户面上下文信息执行后续操作流程。其中，触发条件可以根据具体操作流程设定，例如：本地交换中的UE进行跨NodeB切换流程为例进行说明，当本地交换中的UE切换到其他NodeB时，RNC需要根据当前信令面安全上下文信息和用户面安全上下文信息中的无线承载的上下行序列号等参数计算新的START值，从而保证切换前后的加密密钥流不重复。因此，在本地交换中的UE进行跨NodeB切换流程中，可以将本地交换中的任一用户设备解除本地交换作为触发条件，当到达该触发条件时，第一发送模块43将当前用户面安全上下文信息发送至RNC。本发明实施例提供的方法同样适用于其他UMTS中操作流程的触发条件，在此不再一一列举。

本实施例提供的基站，该基站获取无线网络控制器发送的用于对用户设备之间发送/接收的数据进行加密/解密的用户面安全上下文信息，当满足UMTS中的一些触发条件，该基站将当前上下文信息发送至无线网络控制器，以保持基站与无线网络控制器之间的安全上下文信息的同步，使得UMTS中的一些操作流程得以顺利进行。

图5为本发明又一个实施例提供的基站结构示意图，如图5所示，该基站包括：第一接收模块41、加密/解密模块42和第一发送模块43；其中，第一接收模块41用于获取无线网络控制器发送的用户设备的用户面安全上下文信息，其中，用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；加密/解密模块42用于根据第一接收模块41获取的用户面安全上下文信息对发送给用户设备的数据进行加密，或者对用户设备接收的数据进行解密，且用户面安全上下文信息随加密/解密的进行发生变化；第一发送模块43用于若达到设置的触发条件，则将加密/解密模块42中变化的当前用户面安全上下文信息发送至无线网络控制器；进一步的，第一接收模块41还用于接收无线网络控制器发送的请求信息，请求信息用于请求获取当前用户面安全上下文信息；相应的，第一发送模块43具体用于，若达到设置的触发条件，则在第一接收模块41接收到无线网络控制器发送的请求信息后，将加密/解密模块42中变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至无线网络控制器。第一发送模块43还可以用于：若达到设置的触发条件，则发送告知信息至无线网络控制器，告知信息用于指示达到设定的触发条件；相应的，第一接收模块41接收的无线网络控制器发送的请求信息为无线网络控制器在接收到第一发送模块43发送的告知信息后发送的。该基站还可以包括：删除模块44，用于当第一发送模块43将当前用户面安全上下文信息发送至无线网络控制器之后，将当前用户面安全上下文信息删除。

具体的，UMTS中的操作流程可能为COUNTER CHECK流程或本地交换中的UE进行跨NodeB切换流程等，可以根据具体的流程设置触发条件。

以COUNTER CHECK流程为例进行说明，NodeB和RNC分别对COUNT-C值进行监控，该COUNT-C值为信令面安全上下文信息和/或用户面安全上下文信息中的无线承载的上下行序列号，NodeB和RNC分别监控COUNT-C值是否达到设置的阈值，若达到设置的阈值，则可以通过以下几种方式进行NodeB和RNC的用户面安全上下文信息的同步：当RNC侧维护的信令面安全上下文信息中的无限承载的上下行序列号达到设置的阈值时，RNC向第一接收模块41发送请求信息，该请求信息用于请求获取当前用户面安全上下文信息，第一接收模块41接收到该请求信息后，第一发送模块43将当前用户面安全上下文信息发送至RNC，RNC根据当前用户面安全上下文信息执行COUNTER CHECK流程；当NodeB侧维护的用户面安全上下文信息中的无限承载的上下行序列号达到设置的阈值时，第一发送模块43可以直接将当前用户面安全上下文发送至RNC，RNC根据当前用户面安全上下文信息执行COUNTER CHECK流程；当NodeB侧维护的用户面安全上下文信息中的无限承载的上下行序列号达到设置的阈值时，第一发送模块43还可以向RNC发送告知信息，该告知信息用于指示满足设置的触发条件，RNC收到该告知消息后向第一接收模块41发送请求信息，第一发送模块43将当前用户面安全上下文信息发送至RNC，RNC根据当前用户面安全上下文信息执行COUNTER CHECK流程。

还有一些操作流程，例如：本地交换中的UE进行跨NodeB切换流程与COUNTER CHECK流程相类似，当第一发送模块43将当前用户面上下文信息发送至RNC后，还可以通过删除模块44将保存的当前用户面安全上下文信息删除，以减轻NodeB的运行负担，具体过程参见方法实施例，不再赘述。

本实施例提供的基站，针对不同的UMTS中的操作流程，设置不同的触发条件，当满足触发条件时，基站将当前用户面上下文信息发送至无线网络控制器，以保持基站与无线网络控制器之间的安全上下文信息的同步，使UMTS中的一些操作流程得以顺利进行，进而保证UMTS系统的安全性。

图6为本发明一个实施例提供的无线网络控制器结构示意图，如图6所示，该无线网络控制器包括：第二发送模块61和第二接收模块62；其中，第二发送模块61，用于用于将用户设备的用户面安全上下文信息发送至基站，以使得基站根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密，其中，用户面安全上下文信息包括无线承载的上下行序列号和加密密钥，且用户面安全上下文信息随加密/解密的进行发生变化；第二接收模块62，用于接收基站的当前用户面安全上下文信息，其中，当前用户面安全上下文信息为第二发送模块61将用户安全面上下文信息发送至基站后，随加密/解密的进行发生变化的用户面安全上下文信息。

本发明实施例所提供的无线网络控制器能够实现本发明上述方法实施例中所提供的实现安全上下文信息同步的方法。

具体的，在实现了NodeB LS的系统中，UE和RNC之间通过SMC信令建立安全上下文信息，本实施例提供的无线网络控制器中的第二发送模块61将本地交换中的UE的用户面安全上下文信息发送至NodeB，以使NodeB根据用户面安全上下文信息对之间发送数据进行加密或解密。其中，用户面安全上下文信息中包括NodeB对UE之间发送数据进行加密或解密所需的无线承载的上下行序列号和加密密钥。

第二发送模块61将用户面安全上下文信息发送至NodeB后，NodeB和RNC分别对用户面安全上下文信息和信令面安全上下文信息进行维护，而在UMTS中一些操作流程，如：COUNTER CHECK流程、本地交换中的UE进行跨NodeB切换流程等过程中，由于用户面安全上下文信息在NodeB上进行维护，NodeB每加密/解密一个数据包，用户面安全上下文信息中的无线承载的上下行序列号都会发生改变，即用户面上下文信息随着加密/解密而发生变化，导致NodeB和RNC上的用户面安全上下文信息不同步，进而无法完成UMTS中的一些操作流程。因此，第二接收模块62需从NodeB获取当前上下文信息。具体的，在达到一定的触发条件时，NodeB将当前用户面安全上下文信息发送至第二接收模块62，使RNC能够根据当前信令面安全上下文信息和当前用户面上下文信息执行后续操作流程，保证操作流程得以顺利进行。其中，触发条件可以根据具体操作流程设定，仅以本地交换中的UE进行跨NodeB切换流程为例进行说明，当本地交换中的UE切换到其他NodeB时，RNC需要根据当前信令面安全上下文信息和用户面安全上下文信息中的无线承载的上下行序列号等参数计算新的START值，从而保证切换前后的加密密钥流不重复。因此，在本地交换中的UE进行跨NodeB切换流程中，可以将本地交换中的任一用户设备解除本地交换作为触发条件，当达到触发条件时，NodeB将当前用户面安全上下文信息发送至第二接收模块62，完成了与RNC的用户面安全上下文信息同步。本发明实施例提供的无线网络控制器同样适用于其他UMTS中操作流程的触发条件，在此不再一一列举。

本实施例提供的无线网络控制器，将用于对UE之间发送/接收的数据进行加密/解密的用户面安全上下文信息发送至基站，当达到UMTS中的设定的触发条件，该无线网络控制器获取到基站发送的当前用户面上下文信息，从而保持安全上下文信息的同步，使UMTS中的一些操作流程得以顺利进行。

在前一实施例的基础上，在UMTS中的一些操作流程中，当达到设置的触发条件，本发明实施例提供的第二发送模块61还用于向基站发送请求信息，其中，该请求信息用于请求获取随着加密/解密变化的当前用户面安全上下文信息；相应的，第二接收模块62具体用于，接收基站在接收到请求信息后发送的当前用户面安全上下文消息。从而使RNC可以根据从基站获取的当前用户面安全上下文信息进行UMTS中的操作流程。

进一步的，当达到一定的触发条件，基站向第二接收模块62发送告知消息，该告知信息用于指示达到设定的触发条件。第二接收模块62接收基站发送的告知信息后，再通过第二发送模块61向基站发送获取随着加密/解密变化后的当前用户面安全上下文信息的请求信息。

图7为本发明一个实施例提供的实现安全上下文信息同步的系统结构示意图，如图7所示，该系统包括：基站1和无线网络控制器2；其中，基站1，用于获取无线网络控制器2发送的用户设备的用户面安全上下文信息，其中，用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密，且用户面安全上下文信息随加密/解密的进行发生变化；若达到设置的触发条件，则将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至无线网络控制器2；无线网络控制器2，用于将用户设备的用户面安全上下文信息发送至基站1，以使得基站1根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行解密，其中，用户面安全上下文信息包括无线承载的上下行序列号和加密密钥，且用户面安全上下文信息随加密/解密的进行发生变化；获取基站1的当前用户面安全上下文信息，当前用户面安全上下文信息为变化后的用户面安全上下文信息。

本发明实施例所提供的实现安全上下文信息同步的系统，能够实现本发明上述方法实施例中所提供的实现安全上下文信息同步的方法。

具体的，在实现NodeB LS后，UE和无线网络控制器2之间通过SMC信令建立安全上下文信息，安全上下文信息包括信令面安全上下文信息和用户面安全上下文信息。无线网络控制器2将UE的用户面安全上下文信息发送至基站1，其中，用户面安全上下文信息中包括基站1对UE之间发送数据进行加密或解密所需的无线承载的上下行序列号和加密密钥。基站1根据用户面安全上下文信息对发送给用户设备的数据进行加密，或者对从用户设备接收的数据进行加密/解密；无线网络控制器2将用户面安全上下文信息发送至基站1后，基站1和无线网络控制器2分别对用户面安全上下文信息和信令面安全上下文信息进行维护，而在UMTS中的一些操作流程，例如：COUNTER CHECK流程、本地交换中的UE进行跨基站1切换流程等过程中，由于用户面安全上下文信息在基站1上进行维护，基站1每加密/解密一个数据包，用户面安全上下文信息中的无线承载的上下行序列号都会发生改变，导致基站1和无线网络控制器2上的用户面安全上下文信息不同步，进而无法完成操作流程。因此，在达到设定的触发条件时，基站1与无线网络控制器2进行用户面安全上下文信息的同步，保证操作流程得以顺利进行。具体为：基站1与无线网络控制器2进行用户面安全上下文信息的同步可以为：基站1将当前用户面安全上下文信息发送至无线网络控制器2，使无线网络控制器2能够根据当前信令面安全上下文信息和当前用户面上下文信息执行后续操作流程。其中，触发条件可以根据具体操作流程设定，例如：本地交换中的UE进行跨基站1切换流程为例进行说明，当本地交换中的UE切换到其他基站1时，无线网络控制器2需要根据当前信令面安全上下文信息和用户面安全上下文信息中的无线承载的上下行序列号等参数计算新的START值，从而保证切换前后的加密密钥流不重复。因此，在本地交换中的UE进行跨基站1切换流程中，可以将本地交换中的任一用户设备解除本地交换作为触发条件，当达到触发条件时，基站1将当前用户面安全上下文信息发送至无线网络控制器2。本发明实施例提供的系统同样适用于其他UMTS中操作流程的触发条件，在此不再一一列举。

本实施例提供的实现安全上下文信息同步的系统，基站获取无线网络控制器发送的用于对用户设备之间发送/接收的数据进行加密/解密的用户面安全上下文信息，并通过满足UMTS中的一些触发条件，基站将当前用户面上下文信息发送至无线网络控制器，保持基站与无线网络控制器之间的安全上下文信息的同步，使UMTS中的一些操作流程得以顺利进行。

需要特别说明的是，以上全部或部分单元可以集成在芯片中实现。在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。上述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。上述提到的存储介质可以是只读存储器，磁盘或光盘等。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (19)

1.一种实现安全上下文信息同步的方法，其特征在于，适用于本地交换场景，包括：

基站获取无线网络控制器发送的用户设备的用户面安全上下文信息，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；

所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

若达到设置的触发条件，则所述基站将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器。

2.根据权利要求1所述的方法，其特征在于，所述设置的触发条件包括：所述用户设备的信令面安全上下文信息和/或用户面安全上下文信息中的无线承载的上下行序列号达到设置的阈值；或本地交换中的用户设备解除所述本地交换。

3.根据权利要求1或2所述的方法，其特征在于，所述基站将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器之前，还包括：

所述基站接收所述无线网络控制器发送的请求信息，所述请求信息用于请求获取所述当前用户面安全上下文信息。

4.根据权利要求3所述的方法，其特征在于，所述基站接收所述无线网络控制器发送的请求信息之前，还包括：

所述基站发送告知信息至所述无线网络控制器，所述告知信息用于指示达到所述设置的触发条件。

5.根据权利要求1所述的方法，其特征在于，所述基站将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器之后，还包括：

所述基站将所述当前用户面安全上下文信息删除。

6.一种实现安全上下文信息同步的方法，其特征在于，适用于本地交换场景，包括：

无线网络控制器将用户设备的用户面安全上下文信息发送至基站，以使得所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

所述无线网络控制器获取所述基站的当前用户面安全上下文信息，所述当前用户面安全上下文信息为变化后的用户面安全上下文信息。

7.根据权利要求6所述的方法，其特征在于，所述无线网络控制器获取所述基站的当前用户面上下文信息之前，还包括：

若达到设置的触发条件，所述无线网络控制器向所述基站发送请求信息，所述请求信息用于请求获取所述当前用户面安全上下文信息。

8.根据权利要求7所述的方法，其特征在于，所述设置的触发条件包括：所述用户设备的信令面安全上下文信息和/或用户面安全上下文信息中的无线承载的上下行序列号达到设置的阈值；或本地交换中的用户设备解除所述本地交换。

9.根据权利要求8所述的方法，其特征在于，所述无线网络控制器向所述基站发送请求信息之前，还包括：

所述无线网络控制器接收所述基站发送的告知信息，所述告知信息用于指示达到所述设置的触发条件。

10.一种基站，其特征在于，包括：

第一接收模块，用于获取无线网络控制器发送的用户设备的用户面安全上下文信息，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；

加密/解密模块，用于根据所述第一接收模块获取的用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

第一发送模块，用于若达到设置的触发条件，则将所述加密/解密模块中变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器。

11.根据权利要求10所述的基站，其特征在于，所述设置的触发条件包括：所述用户设备的信令面安全上下文信息和/或用户面安全上下文信息中的无限承载的上下行序列号达到设置的阈值；或本地交换中的用户设备解除所述本地交换。

12.根据权利要求10或11所述的基站，其特征在于，

所述第一接收模块还用于接收所述无线网络控制器发送的请求信息，所述请求信息用于请求获取所述当前用户面安全上下文信息；

所述第一发送模块具体用于，若达到设置的触发条件，则在所述第一接收模块接收到所述无线网络控制器发送的所述请求信息后，将所述加密/解密模块中变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器。

13.根据权利要求12所述的基站，其特征在于，

所述第一发送模块还用于：若达到设置的触发条件，则发送告知信息至所述无线网络控制器，所述告知信息用于指示达到所述设置的触发条件；

所述第一接收模块接收的所述无线网络控制器发送的所述请求信息为所述无线网络控制器在接收到所述第一发送模块发送的所述告知信息后发送的。

14.根据权利要求13所述的基站，其特征在于，还包括：

删除模块，用于当所述第一发送模块将所述当前用户面安全上下文信息发送至所述无线网络控制器之后，将所述当前用户面安全上下文信息删除。

15.一种无线网络控制器，其特征在于，包括：

第二发送模块，用于将用户设备的用户面安全上下文信息发送至基站，以使得所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；

第二接收模块，用于接收所述基站的当前用户面安全上下文信息，其中，所述当前用户面安全上下文信息为所述第二发送模块将所述用户面安全上下文信息发送至所述基站后，随所述加密/解密的进行发生变化的用户面安全上下文信息。

16.根据权利要求15所述的无线网络控制器，其特征在于，所述第二发送模块还用于若达到设置的触发条件，向所述基站发送请求信息，其中，所述请求信息用于请求获取所述当前用户面安全上下文信息；

第二接收模块具体用于，接收所述基站在接收到所述请求信息后发送的所述当前用户面安全上下文信息。

17.根据权利要求16所述的无线网络控制器，其特征在于，所述设置的触发条件包括：所述用户设备的信令面安全上下文信息和/或用户面安全上下文信息中的无线承载的上下行序列号达到设置的阈值；或本地交换中的用户设备解除所述本地交换。

18.根据权利要求17所述的无线网络控制器，其特征在于，

所述第二接收模块还用于接收所述基站发送的告知信息，所述告知信息用于指示达到所述设置的触发条件；

所述第二发送模块具体用于，在所述第二接收模块接收到所述基站发送的告知信息后，向所述基站发送所述请求信息。

19.一种实现安全上下文信息同步的系统，包括基站和无线网络控制器，其特征在于，

所述基站，用于获取所述无线网络控制器发送的用户设备的用户面安全上下文信息，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥；根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；若达到设置的触发条件，则将变化后的用户面安全上下文信息作为当前用户面安全上下文信息发送至所述无线网络控制器；

所述无线网络控制器，用于将用户设备的用户面安全上下文信息发送至所述基站，以使得所述基站根据所述用户面安全上下文信息对发送给所述用户设备的数据进行加密，或者对从所述用户设备接收的数据进行解密，其中，所述用户面安全上下文信息包括无线承载的上下行序列号和加密密钥，且所述用户面安全上下文信息随所述加密/解密的进行发生变化；获取所述基站的当前用户面安全上下文信息，所述当前用户面安全上下文信息为变化后的用户面安全上下文信息。

Images