CN102238688A - 基于用户身份信息访问控制的方法及装置 - Google Patents

Abstract

本发明提出了一种基于用户身份信息访问控制的方法，包括以下步骤：用户终端通过无线射频识别RFID模块与区域门禁进行身份信息认证识别，并获得所述区域的信息；所述用户终端根据所述区域信息判断所述区域是否为涉密区域；如果所述用户终端判断为涉密区域，则用户终端根据预定的访问控制策略进行访问控制。根据本发明提出的技术方案，能满足特殊区域需要禁止通信业务或者禁止部分通信业务的特殊需求问题，本发明提出的技术方案能根据不同区域的通信需求针对不同的业务进行区别限制，并且能在运营商管理和控制之中，以避免对其他区域的正常通信所造成的负面影响。

Description

基于用户身份信息访问控制的方法及装置

技术领域

本发明涉及数字通信领域，具体而言，本发明涉及一种基于用户身份信息访问控制的方法及装置。

背景技术

移动和宽带成为现代通信技术的发展方向，3GPP(3rd GenerationPartnership Project，第三代合作伙伴计划)致力于3G系统的演进，目标是发展3GPP无线接入技术向着高数据速率、低延迟和优化分组数据应用方向演进。

随着通信的发展，然而在某些特殊场所，例如涉密场所等，不允许使用某些通信服务，如不允许使用用户终端，或者是服务受限。目前几乎所有的手机都带有摄像功能，在涉密场所，担心用户终端使用者拍照后传出去，因此可能仅提供语音业务，限制数据业务。

目前为解决上述问题，一般使用“用户终端屏蔽器”进行涉密区域内的信号干扰，或者管制方式，例如禁止带入用户终端进入涉密区域来禁止通信服务、在保密区域禁止使用带摄像头的用户终端，但是针对不同的业务类型进行相应的区分控制，目前还没有有效的方法。

由于用户终端屏蔽器具有很难避免对于其他需要正常服务的区域所带来的干扰、对人体的辐射、泄密问题、运营商无法管控的问题等，从2001年，国家信息产业部发出通知，坚决禁止非法研制、生产和使用用户终端信号屏蔽器。

目前很多的用户终端或者是SIM卡/USIM卡都具有基于用户身份的认证功能，如可以做门禁卡刷开小区的入户门或者企业单位的工卡功能，其原理一般是利用了RFID(Radio Frequency Identification，无线射频识别)技术，RFID又称为电子标签技术，是从二十世纪六七十年代兴起的一项非接触式自动识别技术。它利用射频方式进行非接触双向通信，以达到自动识别目标对象并获取相关数据的目的，具有精度高、适应环境能力强、抗干扰性强、操作快捷等许多优点。

基于上述现状，有必要提出一种有效的技术方案，来解决特殊场所用户通信受限的问题。

发明内容

本发明的目的旨在至少解决上述技术缺陷之一，特别对解决特殊场所用户通信受限的问题提出了一种有效的解决方案。

为了达到上述目的，本发明的实施例一方面提出了一种基于用户身份信息访问控制的方法，包括以下步骤：用户终端通过无线射频识别RFID模块与区域门禁进行身份信息认证识别，并获得所述区域的信息；所述用户终端根据所述区域信息判断所述区域是否为涉密区域；如果所述用户终端判断为涉密区域，则用户终端根据预定的访问控制策略进行访问控制。

本发明另一方面还提出了一种基于用户身份信息访问控制的用户终端，包括RFID模块和控制模块，所述RFID模块，用于与区域门禁进行身份信息认证识别，并获得所述区域的信息，以及根据所述区域信息判断所述区域是否为涉密区域；所述控制模块，用于在所述用户终端判断为涉密区域时，根据预定的访问控制策略进行访问控制。

本发明再一方面还提出了一种基于用户身份信息访问控制的方法，包括以下步骤：用户终端通过无线射频识别RFID模块与区域门禁进行身份信息认证识别，并获得所述区域的信息；所述用户终端将所述区域信息发送给运营商网络；所述运营商网络根据所述区域信息查询所述用户终端的访问控制策略，并修改所述用户终端的业务属性。

根据本发明提出的技术方案，能满足特殊区域，例如各类考场、会议室、加油站、油库、教堂、医院、法庭、军事重地、图书馆、影剧院等场所，需要禁止通信业务或者禁止部分通信业务的特殊需求问题，本发明提出的技术方案能根据不同区域的通信需求针对不同的业务进行区别限制，并且能在运营商管理和控制之中，以避免对其他区域的正常通信所造成的负面影响。本发明提出的上述方案，对现有系统的改动很小，不会影响系统的兼容性，而且实现简单、高效。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明实施例用户终端侧基于用户身份信息访问控制的方法流程图；

图2为用户终端的功能架构示意图；

图3为本发明实施例用户终端的结构示意图；

图4为本发明实施例网络侧基于用户身份信息访问控制的方法流程图；

图5为用户终端侧禁止射频的示意图；

图6为协议处理模块的流程处理示意图；

图7为用户终端侧禁止拍照摄像功能的示意图；

图8为网络侧基于用户身份信息访问控制的示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

为了实现本发明之目的，本发明公开了一种基于用户身份信息访问控制的方法，包括以下步骤：用户终端通过无线射频识别RFID模块与区域门禁进行身份信息认证识别，并获得所述区域的信息；所述用户终端根据所述区域信息判断所述区域是否为涉密区域；如果所述用户终端判断为涉密区域，则用户终端根据预定的访问控制策略进行访问控制。

本发明的主要思想是考虑到目前很多的用户终端或者是SIM卡/USIM卡都已经具有了基于用户身份的认证功能，如可以做门禁卡刷开小区的入户门或者企业单位的工卡功能，即使不具有，用户终端或者是SIM卡/USIM卡新增RFID功能也是比较成熟的技术，对于涉密场所或者有禁止通信服务或者服务受限的场景，可以当识别或者匹配出用户身份信息后，在用户终端或者网络侧实现禁止通信服务或者服务受限功能。

如图1所示，为本发明实施例基于用户身份信息访问控制的方法流程图，包括以下步骤：

S101：用户终端通过无线射频识别RFID进行身份信息的认证识别，并获得进入的区域的信息。

为方便理解，以如图2所示的用户终端架构为例进行说明。

其中，所包括的硬件部分及各部分应该完成的基本功能描述如下：

天线101用来接收和发送无线信号，该天线应能搜索无线接入系统所使用的频率。

射频模块102负责基带数字信号和射频模拟信号的转换、射频模拟信号的发送与接收等，射频模块通与调制解调器相连。

调制解调器103其功能实现物理层的功能，包括传输信道的信道交织/解交织，传输信道的复用，码组合信道的解复用，速率匹配，码组合信道到物理信道的映射，物理信道的调制与解调物理信道的功率加权与组合等。

协议处理模块104负责完成空中接口层2及其以上各层协议栈的功能，包括媒体接入控制层(简称MAC)，数据链路层(简称RLC)，无线资源控制层(简称RRC)以及非接入层(简称NAS)。本发明的图3中的鉴权单元305即在此模块中实现。

控制模块105负责终端各控制的集中控制，为终端中的应用层软件提供运行平台，承载应用软件模块，完成空中接口信令的发送、接收与处理，呼叫过程的控制，以及对空中接口消息、内部指令的分发与调度等。

扬声器106用于放大并输出各种提示音，如来电提示音等。

键盘107用于输入信息，将用户输入的信息传送到控制模块，与显示单元以及扬声器、麦克风等共同完成用户与终端进行交互的界面功能。

显示单元108显示单元一般包括显示屏等，能够在控制模块的控制下，显示给用户各种文字、图标等。

存储器109为终端中的数据存储模块，存储终端正常工作必需的数据。

电源模块110为各模块提供电源。

SIM卡111主要完成两种功能：存储数据，控制存取各种数据，和在安全条件下，个人身份号码PIN、鉴权钥Ki正确时，完成客户身份鉴权和客户信息加密算法的全过程。此功能主要是由SIM卡内的一部具有操作系统的微处理机完成。

当用户终端进入涉密区域时，用户终端UE通过RFID技术进行认证识别时，RFID模块112即启动自动识别功能。

S102：根据区域信息判断该区域是否为涉密区域，如果判断是，则用户终端根据预定的访问控制策略进行访问控制。

在本发明的实施例中，用户终端可将所述区域信息发送至运营商，由运营商判断该区域是否为涉密区域，并将判断结果反馈给用户终端，或者也可以由用户终端根据预设条件和所述区域信息判断所述区域是否为涉密区域。

具体而言，用户终端根据预定的访问控制策略进行访问控制包括以下方式：

用户终端停止通信服务，关闭射频模块；或者用户终端进入服务受限模式。

进一步而言，用户终端进入服务受限模式包括：

用户终端只允许进行语音通信业务，关闭数据通信业务；或者用户终端关闭照相或者摄像功能的通信业务。

例如，RFID模块112启动自动识别功能，若通过，向射频模块102发送指令，指示关闭射频模块；或者

向控制模块105发送指令，指示关闭射频模块，然后控制模块105再向射频模块102发送指令，控制射频模块102关闭；关闭后，可以通过界面显示给提示给用户：通信业务已经关闭。

对于服务受限的情况，例如允许语音业务，关闭数据业务为例子说明：

向协议处理模块104发送指令，指示关闭数据业务相关的协议处理，或者

向控制模块105发送指令，指示关闭数据业务，然后控制模块105再指示协议处理模块104关闭数据业务相关的协议处理。

关闭后，可以通过界面显示给提示给用户：仅开启语音业务，数据业务已经关闭。

由于目前很多的用户终端都具有照相机/摄像机等数码外设的功能，很容易拍照后/摄像后泄密，若希望关闭这些功能，则可以RFID识别通过后，RFID模块112向照相机/摄像机113发送指令，关闭照相或者摄像功能，或者RFID模块112向控制模块105发送指令，指示关闭照相或者摄像功能，然后控制模块105再发送控制命令，指示照相机/摄像机113关闭照相或者摄像功能。

S103：用户终端将访问控制信息通过界面显示给用户。

即用户终端将相应关闭的业务显示通知用户。

此外，当用户终端离开所述涉密区域时，通过RFID模块启动自动识别功能之后，用户终端恢复进入所述涉密区域之前的通信状态。即当离开涉密场时，通过RFID识别，RFID模块112即启动自动识别功能，则启动通信恢复或者受限服务的恢复功能，具体执行与上述过程基本相同。

在上述实施例中，RFID模块位于用户终端中或用户终端的客户识别模块SIM中。对于RFID在SIM卡中的情况，其原理与上述过程相同，只不过所有上述RFID模块112与其他模块的指令交互不是终端内部模块之间的交互，而是成了SIM卡与终端之间的交互。

如图3所示，本发明实施例还提出了一种用户终端300，包括RFID模块310、控制模块320以及显示模块330。

RFID模块310用于与区域门禁进行身份信息认证识别，并获得所述区域的信息，以及根据所述区域信息判断所述区域是否为涉密区域。RFID模块310位于用户终端300中或用户终端300的客户识别模块SIM中。

控制模块320用于在所述用户终端判断为涉密区域时，根据预定的访问控制策略进行访问控制。

具体而言，控制模块320根据预定的访问控制策略进行访问控制包括以下方式：

控制模块320停止通信服务，关闭射频模块；

控制模块320指示用户终端300进入服务受限模式。

具体而言，控制模块320指示用户终端300进入服务受限模式包括：

控制模块320只允许进行语音通信业务，关闭数据通信业务；

控制模块320关闭照相或者摄像功能的通信业务。

显示模块330用于将访问控制信息通过界面显示给用户。

此外，当用户终端300离开涉密区域时，通过RFID模块310启动自动识别功能之后，用户终端300恢复进入涉密区域之前的通信状态。

本发明实施例还提出了一种基于用户身份信息访问控制的方法，流程图如图4所示，包括以下步骤：

S401：用户终端通过无线射频识别RFID模块与区域门禁进行身份信息认证识别，并获得所述区域的信息。

S402：用户终端将所述区域信息发送给运营商网络。

S403：运营商网络根据所述区域信息查询所述用户终端的访问控制策略，并修改所述用户终端的业务属性。

具体而言，用户的访问控制策略包括以下方式：

用户终端停止通信服务，关闭射频模块；用户终端进入服务受限模式。

具体而言，用户终端进入服务受限模式包括：

用户终端只允许进行语音通信业务，关闭数据通信业务；用户终端关闭照相或者摄像功能的通信业务。

例如，首先，运营商需要在网络侧建立一个有关用户身份及其业务允许情况的数据库：

RFID信息	通信服务禁止	语音业务	数据业务	业务禁止/起始时间
					部委大院1	禁止	禁止	禁止	T1
居民楼	允许	允许	允许	T2
					某高科技单位	允许	允许	禁止	T3
。。。	。。。	。。。	。。。。	。。。

当用户刷卡进入上述地区时，若匹配通过，则：

把RFID信息通过空中接口传给运营商网络；

运营商网络收到后，根据其中的RFID信息查询上述表，得到其业务允许使用情况，若所有业务都允许，则不需要修改用户业务属性。

否则，若通信服务禁止或者部分业务禁止，则需要修改用户业务属性。

无线网络向归属位置寄存器HLR或归属用户服务器HSS发送命令，修改所述用户终端的签约信息。

此外，当用户终端离开所述涉密区域时，无线网络通过无线射频识别RFID所述用户终端的身份信息之后，无线网络恢复所述用户终端进入所述涉密区域之前的通信状态。

例如，当用户刷卡离开上述地区时，若匹配通过，则：

把RFID信息通过空中接口传给运营商网络；

运营商网络收到后，根据其中的RFID信息查询上述表，得到其业务允许使用情况，若所有业务都允许，则不需要修改用户业务属性；

否则，若通信服务禁止或者部分业务禁止，则需要把用户业务属性恢复到正常状态，如向HLR/HSS发送命令，把其用户的签约信息恢复为正常通信状态。

为了进一步阐述本发明，下面结合上述技术方案，对本发明的实施例作进一步描述。

实施例：用户终端侧控制通信服务A

不同的应用场景有不同的通信服务限制，比如民航飞机上禁止使用所有通信功能业务，影院、会议室能禁用语音业务，高科技涉密场所禁用数据业务等等。对不同的场景，其通信服务限制级别和种类可以预先固定配置在该场景的RFID感应器中，如下表：

用户信息	RFID信息	多媒体业务	语音业务	数据业务	业务禁止/起始时间
						用户A/B/C...	民航飞机	禁止	禁止	禁止	T1
用户A/B/C...	影院/会议室	禁止	禁止	允许	T2
						用户A/B/C...	某高科技单位	禁止	允许	禁止	T3
。。。	。。。	。。。	。。。	。。。。	。。。

具体在交互过程中，用户终端中的RFID模块与该区域内的RFID识别系统预约好相应的控制字段或控制信令，比如在会议室的RFID识别系统中对应的控制字段为001，对应的分别是多媒体业务、语音业务、数据业务的限制准则，1代表允许，0代表禁止，用户终端通过RFID识别系统时得到这一控制命令，获取当前区域的通信限制原则，然后与其它控制模块进行协调，执行相应的过程，如图5所示。

在收到RFID模块的控制命令之后，协议处理模块可以根据如图6所示的流程进行处理。

RRC层通过与RFID控制消息进行协调控制，发起RRC连接时先进行验证过程，如果验证通过，说明该区域允许该类业务正常使用，则继续进行下一步流程，如果验证没有通过，则拒绝所有RRC连接建立请求。

如果是其它应用场景，比如民航航班上，可以在RFID信息中使用控制字段直接要求终端设备关闭射频模块，如图中虚线部分所示，这样用户终端就无法发射信号，不会对飞机的导航系统造成干扰，但是仍然可以保持开机状态，不影响其它应用软件的使用。等到飞行结束，乘客离开飞机的时候再次通过RFID识别，通知112模块解除射频模块的禁止，恢复用户终端正常的通信功能。

对于不同的用户A/B/C，可能有不同的权限，比如在高科技场所，有些技术人员的权限不同于普通人员，其相应业务的限制原则也不一样，可以根据具体情况进行区分设置。

实施例：用户终端侧限制应用功能B

控制模块与其它各应用模块之间存在应用接口，RFID可以通过与控制模块之间的接口对应用软件、硬件进行控制。对某些艺术展、博物馆、私人场所、涉密场所等严禁照相的区域，只依赖于用户本身主动遵守规定是不能完全解决问题的。依据本发明提供的装置和方法，在进入相关场所前，可以通过SIM卡中的RFID 112模块启动对照相机、摄像模块的禁止功能，这样在进入相应场所后，用户的某些应用功能如照相机、摄像机等无法使用，保护该区域的隐秘性。离开该区域的时候可以通过RFID的再识别解除用户的限制，恢复正常的应用功能，具体示意图如图7所示。

同样的原理，也可以控制终端的其它应用功能，如蓝牙、红外、电子邮件等应用系统。待离开限制区域后再通过RFID感应解除对应用功能的限制。

实施例：网络侧通过RFID识别限制用户终端通信功能

前面的实施例中都是由本地RFID识别系统和终端的RFID模块控制终端的服务和功能，相应的，也可以通过网络侧来进行服务的控制。在一些大型公司的内部，不同部门、不同级别的员工在不同的场所是拥有不一样的权限的，比如研发人员拥有语音通信的权利，但是没有数据业务的权利。在公司的重点保密场所中，所有人都没有数据传输的权利等。也就是在不同的场所拥有的权限不一样。示意图如图8所示。

此时的RFID识别系统起到了一个定位的作用。当用户终端进入敏感区域A时经过RFID识别获取位置信息，用户终端立即通过与无线接入网之间的空中接口发送控制消息上报自己的位置信息和设备ID。网络侧透传该消息至核心网，经由MME到HLR/HSS，HLR和HSS是用来存放用户信息的数据库，如用户号码、接入优先等级、可用的业务类型等参数。此时运影响商可以在匹配表中查找到该用户在区域A的相应权限，并根据需要修改该用户的签约数据，比如业务类型，暂时删除该用户的CS业务或PS业务，或者禁止其漫游功能，使其无法拨打或接听长途电话业务，降低其业务优先级，也可以通过更改该用户的加密算法，增强该用户通信的保密性等等。

根据本发明提出的技术方案，能满足特殊区域，例如各类考场、会议室、加油站、油库、教堂、医院、法庭、军事重地、图书馆、影剧院等场所，需要禁止通信业务或者禁止部分通信业务的特殊需求问题，本发明提出的技术方案能根据不同区域的通信需求针对不同的业务进行区别限制，并且能在运营商管理和控制之中，以避免对其他区域的正常通信所造成的负面影响。本发明提出的上述方案，对现有系统的改动很小，不会影响系统的兼容性，而且实现简单、高效。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (18)

1.一种基于用户身份信息访问控制的方法，其特征在于，包括以下步骤：

用户终端通过无线射频识别RFID模块与区域门禁进行身份信息认证识别，并获得所述区域的信息；

所述用户终端根据所述区域信息判断所述区域是否为涉密区域；

如果所述用户终端判断为涉密区域，则用户终端根据预定的访问控制策略进行访问控制。

2.如权利要求1所述的基于用户身份信息访问控制的方法，其特征在于，还包括：

所述用户终端将访问控制信息通过界面显示给用户。

3.如权利要求1所述的基于用户身份信息访问控制的方法，其特征在于，所述用户终端根据预定的访问控制策略进行访问控制包括以下方式：

所述用户终端停止通信服务，关闭射频模块；或者

所述用户终端进入服务受限模式。

4.如权利要求3所述的基于用户身份信息访问控制的方法，其特征在于，所述用户终端进入服务受限模式包括：

所述用户终端只允许进行语音通信业务，关闭数据通信业务；或者

所述用户终端关闭照相或者摄像功能的通信业务。

5.如权利要求4所述的基于用户身份信息访问控制的方法，其特征在于，当所述用户终端离开所述涉密区域时，通过所述RFID模块启动自动识别功能之后，所述用户终端恢复进入所述涉密区域之前的通信状态。

6.如权利要求1所述的基于用户身份信息访问控制的方法，其特征在于，所述RFID模块位于所述用户终端中或所述用户终端的客户识别模块SIM中。

7.如权利要求1所述的基于用户身份信息访问控制的方法，其特征在于，所述用户终端根据所述区域信息判断所述区域是否为涉密区域包括：

所述用户终端将所述区域信息发送至运营商，所述运营商判断所述区域是否为涉密区域，并将判断结果反馈给所述用户终端；

或者，所述用户终端根据预设条件和所述区域信息判断所述区域是否为涉密区域。

8.一种基于用户身份信息访问控制的用户终端，其特征在于，包括RFID模块和控制模块，

所述RFID模块，用于与区域门禁进行身份信息认证识别，并获得所述区域的信息，以及根据所述区域信息判断所述区域是否为涉密区域；

所述控制模块，用于在所述用户终端判断为涉密区域时，根据预定的访问控制策略进行访问控制。

9.如权利要求8所述的基于用户身份信息访问控制的用户终端，其特征在于，还包括显示模块，用于将访问控制信息通过界面显示给用户。

10.如权利要求8所述的基于用户身份信息访问控制的用户终端，其特征在于，所述控制模块根据预定的访问控制策略进行访问控制包括以下方式：

所述控制模块停止通信服务，关闭射频模块；

所述控制模块指示所述用户终端进入服务受限模式。

11.如权利要求10所述的基于用户身份信息访问控制的用户终端，其特征在于，所述控制模块指示所述用户终端进入服务受限模式包括：

所述控制模块只允许进行语音通信业务，关闭数据通信业务；

所述控制模块关闭照相或者摄像功能的通信业务。

12.如权利要求11所述的基于用户身份信息访问控制的用户终端，其特征在于，当所述用户终端离开所述涉密区域时，通过所述RFID模块启动自动识别功能之后，所述用户终端恢复进入所述涉密区域之前的通信状态。

13.如权利要求8所述的基于用户身份信息访问控制的用户终端，其特征在于，所述RFID模块位于所述用户终端中或所述用户终端的客户识别模块SIM中。

14.一种基于用户身份信息访问控制的方法，其特征在于，包括以下步骤：

用户终端通过无线射频识别RFID模块与区域门禁进行身份信息认证识别，并获得所述区域的信息；

所述用户终端将所述区域信息发送给运营商网络；

所述运营商网络根据所述区域信息查询所述用户终端的访问控制策略，并修改所述用户终端的业务属性。

15.如权利要求14所述的基于用户身份信息访问控制的方法，其特征在于，所述用户的访问控制策略包括以下方式：

所述用户终端停止通信服务，关闭射频模块；

所述用户终端进入服务受限模式。

16.如权利要求15所述的基于用户身份信息访问控制的方法，其特征在于，所述用户终端进入服务受限模式包括：

所述用户终端只允许进行语音通信业务，关闭数据通信业务；

所述用户终端关闭照相或者摄像功能的通信业务。

17.如权利要求14所述的基于用户身份信息访问控制的方法，其特征在于，当所述用户终端离开所述涉密区域时，所述运营商网络恢复所述用户终端进入所述涉密区域之前的通信状态。

18.如权利要求14至17任意之一所述的基于用户身份信息访问控制的方法，其特征在于，所述无线网络修改所述用户终端的业务属性包括：

所述无线网络向归属位置寄存器HLR或归属用户服务器HSS发送命令，修改所述用户终端的签约信息。

Images