CN102158859A - 一种监听用户的控制方法、监听系统和网络节点 - Google Patents

Abstract

本发明公开一种监听用户的控制方法、监听系统和网络节点。该控制方法包括：网络节点接收来自监听网关的控制消息，控制消息包括控制命令和被监听用户的网络标识；网络节点根据网络标识对被监听用户执行控制命令。通过本发明的方法和系统，法律执行机构LEA可以利用合法监听的网络，对一些危险的嫌疑人控制其不允许使用网络，避免其通过网络实施威胁公共安全或其他国家法律禁止的行为。本发明的方法和系统是对合法监听架构和功能的一种很好的补充，完善了法律执行机构LEA的控制手段，可以更好的为维护国家安全，打击各种形式的犯罪服务。

Description

一种监听用户的控制方法、监听系统和网络节点

技术领域

本发明涉及通信领域，尤其涉及一种监听用户的控制方法、监听系统和网络节点。

背景技术

合法监听是指国家的法律执行机构(Law Enforcement Agency，LEA)为了打击各种形式的犯罪和反恐等目的，通过网络对监听用户通信内容进行控制的活动。合法监听主要目的是维护国家安全，打击各种形式的犯罪。目前，随着全球反恐斗争的日益激烈，各国对合法监听的要求越来越迫切，支持合法监听已经成为网络设备的必要要求之一。

图1示出合法监听系统示意图。如图1所示，在网络中与监听相关的逻辑实体包括网络节点11和监听网关(Lawful InterceptionGateway，LIG)12。监听网关12一般包括管理实体(AdministrationFunction，ADMF)121、转发实体(Delivery Function，DF)(图1中示出DF2 122和DF3 123)。其中，ADMF 121完成监听管理相关的功能，DF完成监听相关信息(Intercept Related Information，IRI)和通信内容(Content of Communication，CC)的收集和转发。网络中的接口包括X1-1接口、X2接口和X3接口。X1-1接口是指ADMF 121和网络节点11之间的接口，完成ADMF 121对网络节点11监听相关部分的管理功能。X2接口是指DF2122和网络节点11之间的接口，完成IRI的传输。X3接口是指DF3123和网络节点11之间的接口，完成CC的传输。

虽然在图1中将ADMF 121、DF2 122和DF3 123示出为独立的实体，但是，在例如中国警用接口规范的监听标准规范中，并没有规定独立的ADMF、DF实体，而是将ADMF 121、DF与网络节点11合一，监听管理、监听相关信息、通讯内容由网络节点11直接和LEA 13交互。

合法监听的工作过程为：LEA 13向ADMF 121发送监听用户的监听请求，ADMF 121将监听请求转发给网络节点11，网络节点11开始监听用户的监听，如果监听用户有IRI和CC，则通过转发实体DF2122和DF3123移交给LEA 13。

当前的合法监听标准中定义的合法监听功能主要包括对网络节点上激活或未激活的监听用户的信令和数据进行监听。网络节点在收到合法监听网关LIG的ADMF下发的对某个指定用户的信令、数据的监听指令后，可以将该用户添加到监听列表中，如果该用户已经在网络节点中激活，则立刻启动对该用户发起的信令消息和访问的业务数据进行监听处理，将相应的信息按照合法监听标准中定义的格式分别通过X2、X3接口发送到合法监听网关LIG的转发实体DF2、DF3

可以监听的内容包括监听相关信息和通信内容。监听相关信息主要侦听用户活动有关的信息。例如，通过SGSN(Service GPRS SupportNode，服务GPRS支持节点)支持对以下内容的监听：GPRS(General Packet Radio Service，通用无线分组业务)附着、开始监听附着用户通知、GPRS去附着、小区/路由器更新、PDP(Packet Data Protocol，分组数据协议)上下文激活、PDP上下文更新、开始监听PDP上下文通知、PDP上下文去激活、短消息。通信内容，对应PS(Packet Switch，分组交换)分组域来讲，是对用户在分组网中的收发数据信息进行监听，从而实现对HTTP(HyperTextTransfer Protocol，超文本传输协议)，FTP(File Transfer Protocol，文件传输协议)，WAP(Wireless Application Protocol，无线应用通讯协议)，POP3(Post Office Protocol 3，邮局协议3)，SMTP(SimpleMail Transfer Protocol，简单邮件传输协议)，MMS(MultimediaMessaging Service，多媒体信息服务)等等数据业务的实时监听。

在目前的合法监听标准和功能定义中，仅能完成监听，而没有实现对监听用户的业务控制功能。

发明内容

为了实现对监听用户的控制，本发明的实施例提供一种监听用户的控制方法，包括：

网络节点接收来自监听网关的控制消息，控制消息包括控制命令和被监听用户的网络标识；

网络节点根据网络标识对被监听用户执行控制命令。

本发明的又一个实施例提供一种监听系统，包括：

监听网关，用于发送控制消息，控制消息包括控制命令和被监听用户的网络标识；

网络节点，用于接收来自监听网关的控制消息，根据网络标识对被监听用户执行控制命令。

本发明的又一个实施例提供一种网络节点，包括：

控制消息接收模块，接收控制消息，控制消息包括控制命令和被监听用户的网络标识；解析控制消息获得控制命令和网络标识；发送控制命令和网络标识；

控制命令执行模块，接收来自控制消息接收模块的控制命令和网络标识，根据网络标识对被监听用户执行控制命令。

本发明提供的监听用户的控制方法和监听系统，由监听网关发出控制消息，网络节点根据控制消息对被监听用户执行控制，实现了对监听用户的控制，增加了监听系统的功能。

附图说明

图1示出合法监听系统示意图；

图2示出本发明的监听用户的控制方法的一个实施例的流程图；

图3示出本发明的监听用户的控制方法的另一个实施例的流程图；

图4示出本发明的监听用户的控制方法的再一个实施例的流程图；

图5示出本发明的监听用户的控制方法的又一个实施例的流程图；

图6示出本发明的监听用户的控制方法的又一个实施例的流程图；

图7示出本发明的监听系统的一个实施例的示意图；

图8示出本发明的网络节点的一个实施例的结构图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。

本发明的实施例中，由监听网关向网络节点发送对监听用户的控制消息，由网络节点根据控制消息执行对监听用户的业务控制。

图2示出本发明的监听用户的控制方法的一个实施例的流程图。

如图2所示，在步骤202，网络节点接收来自监听网关的控制消息，以对被监听用户进行控制，控制消息中包括控制命令和被监听用户的网络标识。网络标识例如是移动网络中的IMSI(InternationalMobile Subscriber Identification Number，国际移动用户识别码)、MSISDN(Mobile Station ISDN number，移动用户国际号码)、IMEI(International Mobile Equipment Identity，国际移动电话识别认证码)，PSTN(Public Switched Telephone Network，公共交换电话网)网络中的物理或者逻辑电话号码等。控制命令例如是禁止用户使用网络、取消禁止用户使用网络、禁止用户使用语音业务、取消禁止用户使用语音业务、禁止用户使用分组数据业务、取消禁止用户使用分组数据业务等。

在步骤204，网络节点根据网络标识对该被监听用户执行控制命令。例如，当控制命令是禁止用户使用语音业务时，网络节点根据网络标识屏蔽对应被监听用户的语音数据；当控制命令是禁止用户使用分组数据业务时，网络节点根据网络标识堵塞对应被监听用户的分组交换业务数据；当控制命令是禁止用户使用网络时，网络节点根据网络标识将已经激活的被监听用户去激活，或者禁止被监听用户在该网络节点激活。

本领域的技术人员可以理解，网络标识并不限于前面列举的例子，其他可以在网络中唯一标识一个用户的信元同样在本发明的保护范围之内。

监听网关可以通过多种方式确定网络节点信息。在本发明的一个实施例中，监听网关向网络节点发送控制消息之前，先获得用户所述网络节点信息。监听网关获取用户所属网络节点的方式为：首先通过运营商注册信息，根据网络标识(例如MSISDN)查询被监听用户终端的归属地，然后从归属地HLR(Home Location Register，归属位置寄存器)获得被监听用户开机附着后所属的接入网和核心网的网络节点，然后，监听网关向接入网或核心网的网络节点发送控制消息。终端开机后，通常会发起附着(attach)流程，分别在接入网和核心网网元触发附着流程(例如，在移动网络中SGSN会缓存附着的用户信息)，然后将用户当前所在区域的接入网编号与核心网网元编号均反馈到归属地的HLR；监听网关可以从归属地的HLR获取到用户开机附着后所属的接入网和核心网网元，向相应的网元发起监听流程即可。

需要指出，本发明的方法可以适用于PSTN网络、CDMA(Code-Division Multiple Access，码分多址)网络、GSM(Global System forMobile Communications，全球移动通讯系统)网络、TD-SCDMA(Time Division-Synchronous Code Division Multiple Access，时分同步码分多址)网络和WCDMA(Wideband CDMA，宽带码分多址)网络等固定网络和移动网络。网络节点可以是3GPP标准范畴内的TD-SCDMA、WCDMA、GSM网络中的MME、GGSN(Gateway GPRSSupport Node，网关GPRS支持节点)、或SGSN，3GPP2标准范畴的CDMA网络中的PDSN(Packet Data Serving Node，分组数据业务节点)，PSTN网络中的关口局或者交换局等。

下面结合附图详细描述本发明的方法在不同应用场景下的具体实施例。

图3示出本发明的监听用户的控制方法的另一个实施例的流程图。

如图3所示，在步骤302，合法监听网关的ADMF向网络节点(例如，SGSN、GGSN等)下发对指定用户的禁止使用网络的控制消息，控制消息中包括指定用户的网络标识。

在步骤304，网络节点从控制消息中获得网络标识。

在步骤306，网络节点根据网络标识在已经激活的用户信息中查找该指定用户。

在步骤308，当该指定用户已在该网络节点中激活时，执行对该指定用户的去激活，从而禁止该指定用户使用网络。

本领域的技术人员应当理解，上述实施例既可适用于移动网络，也可以适用于固定网络。

图4示出本发明的监听用户的控制方法的再一个实施例的流程图。

如图4所示，在步骤402，监听网关向网络节点(例如SGSN、GGSN等)下发对指定用户的禁止使用网络的消息。

在步骤404，网络节点从控制消息中获得网络标识，将网络标识保存在禁止使用网络的用户列表中。

在步骤406，网络节点接收到用户发起的携带网络标识的激活请求。

在步骤408，网络节点检查激活请求中携带的网络标识是否在禁止使用网络的用户列表中。

在步骤410，如果在禁止使用网络的用户列表中，则拒绝用户在网络节点激活。

上述实施例的网络节点包括SGSN、GGSN等移动分组网络中的网元，但不限于SGSN、GGSN，其他可以提供网络服务和合法监听功能的网络节点均在本发明的保护范围内。

图5示出本发明的监听用户的控制方法的又一个实施例的流程图。

在步骤502，监听网关向网络节点下发对指定用户的禁止使用业务(例如，语音业务或分组数据业务)的消息。

在步骤504，网络节点从控制消息中获得网络标识，将网络标识保存在禁止使用(例如，语音或分组数据)业务的用户列表中。

在步骤506，网络节点接收到业务数据，获得业务数据对应的网络标识。例如，网络标识可以在业务数据中携带。

在步骤508，网络节点检查业务数据中携带的网络标识是否在禁止使用(例如，语音或分组数据)业务的用户列表中。

在步骤510，如果在禁止使用(例如，语音或分组数据)业务的用户列表中，则堵塞或者屏蔽该业务数据。该业务数据可以是分组交换业务报文或者语音数据等。

图6示出本发明的监听用户的控制方法的又一个实施例的流程图。

在步骤602，监听网关向网络节点下发对指定用户的取消禁止使用网络的消息。

在步骤604，网络节点从控制消息中获得网络标识，检查网络标识是否在禁止使用网络的用户列表中。

在步骤606，如果在禁止使用网络的用户列表中，则从列表中将该网络标识删除。

在步骤608，网络节点对与该网络标识相关的信令或者业务数据按正常流程处理。例如，用户携带网络标识发起在该网络节点的激活请求，网络节点检查其携带的网络标识不在缓存的禁止使用网络的用户列表中，允许该用户激活成功。网络接收到业务数据，获得该业务数据对应的标识后，检查该业务标识不在缓存的禁止使用网络的用户列表中，按照正常流程处理所述被监听用户的业务数据，允许该业务数据通过或者转发。

本领域的技术人员可以理解，对于禁止使用网络的命令，同样可以通过堵塞或者屏蔽业务数据来实现。控制命令可以根据约定规定其对应的操作或者含义，例如，可以将禁止用户使用语音业务和禁止用户使用分组数据业务的命令都称为禁止使用网络。

上述实施例主要以移动网络为基础进行描述的，但本发明的技术方案的应用场景并不限于在移动网络中应用，其他可以提供网络服务和合法监听功能的网络均在本发明的保护范围之内。

下面具体介绍本发明的监听系统的实施例及其网络节点的实现。

图7示出本发明的监听系统的一个实施例的示意图。如图7所示，该监听系统包括监听网关72和网络节点71。监听网关72向网络节点71发送控制消息，对被监听用户进行控制，控制消息中包括控制命令和被监听用户的网络标识。网络节点71接收来自监听网关72的控制消息，从控制消息中解析出网络标识和控制命令，根据网络标识对被监听用户执行该控制命令。网络标识例如是移动网络中的IMSI、MSISDN、IMEI，PSTN网络中的物理或者逻辑电话号码等。控制命令例如是禁止用户使用网络、取消禁止用户使用网络、禁止用户使用语音业务、取消禁止用户使用语音业务、禁止用户使用分组数据业务、取消禁止用户使用分组数据业务等。

根据本发明的监听系统的一个实施例，监听网关还用于根据网络标识查询被监听用户的归属地；从被监听用户的归属位置寄存器获得被监听用户所属的接入网或核心网的网络节点。

根据本发明的监听系统的一个实施例，网络节点包括控制消息接收模块711和控制命令执行模块712。其中，控制消息接收模块711接收控制消息，控制消息包括控制命令和被监听用户的网络标识；解析该控制消息获得控制命令和网络标识；发送控制命令和网络标识到控制命令执行模块712。控制命令执行模块712接收来自控制消息接收模块711的控制命令和网络标识，根据网络标识对被监听用户执行控制命令。

图8示出本发明的网络节点的一个实施例的结构图。如图8所示，该网络节点包括控制消息接收模块811、控制命令执行模块812和网络标识存储模块813。其中，网络标识存储模块813用于接收来自控制命令执行模块812的网络标识，存储所述网络标识；控制消息接收模块811接收控制消息，控制消息包括控制命令和被监听用户的网络标识；解析该控制消息获得控制命令和网络标识；发送控制命令和网络标识到控制命令执行模块812；控制命令执行模块812接收来自控制消息接收模块811的网络标识和控制命令，当接收的控制命令为禁止使用网络时，控制命令执行模块812将接收的网络标识发送给网络标识存储模块813进行存储；控制命令执行模块812还用于当在已激活用户中查找到所述被监听用户时，对被监听用户的去激活；或者当接收到激活请求时，判断激活请求中携带的网络标识是否存储在网络标识存储模块813，如果是，则拒绝该激活请求；或者当接收到业务数据时，判断业务数据对应的网络标识是否存储在网络标识存储模块813，如果是，则堵塞或屏蔽该业务数据。

根据本发明的网络节点的一个实施例，控制命令执行模块812当接收的控制命令为取消禁止使用网络时，控制命令执行模块812将接收的网络标识从网络标识存储模块813中删除，这样，当控制命令执行模块812接收到携带该网络标识的激活请求时，允许激活请求成功；或者当控制命令执行模块812接收到对应于该网络标识的业务数据时，按照正常流程处理该业务数据。

需要指出，上述实施例中的网络节点可以是PSTN网络、CDMA网络、GSM网络、TD-SCDMA网络和网络等固定网络或移动网络中的网络节点。例如可以是3GPP标准范畴内的TD-SCDMA、WCDMA、GSM网络中的MME、GGSN、或SGSN，3GPP2标准范畴的CDMA网络中的PDSN，PSTN网络中的关口局或者交换局等。

通过本发明的实施例的技术方案，法律执行机构可以利用合法监听的网络，对一些危险的嫌疑人控制其不允许使用网络，避免其通过网络实施威胁公共安全或其他国家法律禁止的行为。

通过在进行详细调查取证后，如果判断该用户已经排除嫌疑，则允许通过该方案取消对其禁止使用网络的限制，允许其正常访问网络。

本发明实施例的技术方案是对合法监听架构和功能的一种很好的补充，完善了法律执行机构LEA的控制手段，可以更好的为维护国家安全，打击各种形式的犯罪服务。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (12)

1.一种监听用户的控制方法，其特征在于，包括：

网络节点接收来自监听网关的控制消息，所述控制消息包括控制命令和被监听用户的网络标识；

所述网络节点根据所述网络标识对所述被监听用户执行所述控制命令。

2.根据权利要求1所述的监听用户的控制方法，其特征在于，所述控制命令为禁止使用网络；

所述网络节点根据所述网络标识对所述被监听用户执行所述控制命令的步骤包括：

当所述网络节点根据所述网络标识在已激活用户中查找到所述被监听用户时，对所述被监听用户去激活；

或

当所述网络节点接收到携带所述网络标识的激活请求时，拒绝所述被监听用户在所述网络节点激活；

或

所述网络节点根据所述网络标识堵塞或屏蔽所述被监听用户的业务数据。

3.根据权利要求1或2所述的监听用户的控制方法，其特征在于，所述控制命令为取消禁止使用网络；

所述网络节点根据所述网络标识对所述被监听用户执行所述控制命令的步骤包括：

所述网络节点将所述被监听用户的网络标识从禁止使用网络列表中删除，

当所述网络节点接收到携带所述网络标识的激活请求时，允许所述被监听用户激活成功；

或

所述网络节点将所述被监听用户的网络标识从禁止使用网络列表中删除，

所述网络节点按照正常流程处理所述被监听用户的业务数据。

4.根据权利要求1所述的监听用户的控制方法，其特征在于，在网络节点接收来自监听网关的控制消息之前，还包括步骤：

所述监听网关根据所述网络标识查询所述被监听用户的归属地；

所述监听网关从所述被监听用户的归属位置寄存器获得所述被监听用户所属的接入网或核心网的网络节点，所述监听网关向所述的接入网或核心网的网络节点发送控制消息。

5.一种监听系统，其特征在于，包括：

监听网关，用于发送控制消息，所述控制消息包括控制命令和被监听用户的网络标识；

网络节点，用于接收来自所述监听网关的控制消息，根据所述网络标识对所述被监听用户执行所述控制命令。

6.根据权利要求5所述的监听系统，其特征在于，所述控制命令为禁止使用网络；

当所述网络节点根据所述网络标识在已激活用户中查找到所述被监听用户时，所述网络节点对所述被监听用户的去激活；

或

当所述网络节点接收到携带所述网络标识的激活请求时，所述网络节点拒绝所述被监听用户在所述网络节点激活；

或

所述网络节点根据所述网络标识堵塞或屏蔽所述被监听用户的业务数据。

7.根据权利要求5或6所述的监听系统，其特征在于，所述控制命令为取消禁止使用网络；

所述网络节点将所述被监听用户的网络标识从禁止使用网络列表中删除，当所述网络节点接收到携带所述网络标识的激活请求时，允许所述被监听用户激活成功；

或

所述网络节点将所述被监听用户的网络标识从禁止使用网络列表中删除，所述网络节点按照正常流程处理所述被监听用户的业务数据。

8.根据权利要求5所述的监听系统，其特征在于，所述网络节点执行所述控制命令后，向所述监听网关返回响应消息。

9.根据权利要求5所述的监听系统，其特征在于，所述监听网关还用于根据所述网络标识查询所述被监听用户的归属地；从所述被监听用户的归属位置寄存器获得所述被监听用户所属的接入网或核心网的网络节点。

10.一种网络节点，其特征在于，包括：

控制消息接收模块，接收控制消息，所述控制消息包括控制命令和被监听用户的网络标识；解析所述控制消息获得所述控制命令和网络标识；发送所述控制命令和网络标识；

控制命令执行模块，接收来自所述控制消息接收模块的控制命令和网络标识，根据所述网络标识对所述被监听用户执行所述控制命令。

11.根据权利要求10所述的网络节点，其特征在于，还包括：

网络标识存储模块，用于接收来自所述控制命令执行模块的网络标识，存储所述网络标识；

当所述控制命令执行模块接收的控制命令为禁止使用网络时，所述控制命令执行模块将接收的所述网络标识发送给所述网络标识存储模块；

所述控制命令执行模块还用于：

当在已激活用户中查找到所述被监听用户时，对所述被监听用户的去激活；

或

当接收到激活请求时，判断所述激活请求中携带的网络标识是否存储在所述网络标识存储模块，如果是，则拒绝所述激活请求；

或

当接收到业务数据时，判断业务数据中携带的网络标识是否存储在所述网络标识存储模块，如果是，则堵塞或屏蔽所述业务数据。

12.根据权利要求11所述的网络节点，其特征在于，所述控制命令为取消禁止使用网络时，所述控制命令执行模块将接收的所述网络标识从所述网络标识存储模块中删除。

Images