CN102572932A - 一种实现家庭基站网络资源区分管理控制的方法和系统 - Google Patents

Abstract

本发明提供了一种实现家庭基站网络资源区分管理控制的方法，包括：家用基站策略功能实体建立业务流信息与IPsec子隧道的隧道信息的映射关系，将所述映射关系发送给宽带策略控制功能；所述宽带策略控制功能将所述映射关系发送给固网实体；所述固网实体根据所述映射关系，对IPsec子隧道的业务流进行相应的服务质量控制。本发明还提供了一种实现家庭基站网络资源区分管理控制系统。本发明实现了对不同业务流的区分服务质量控制。

Description

一种实现家庭基站网络资源区分管理控制的方法和系统

技术领域

本发明涉及移动通信领域，尤其涉及家用基站子系统中，实现家庭基站网络资源区分管理控制的方法和系统。

背景技术

第三代合作伙伴计划(3rd Generation Partnership Project，3GPP)的演进的分组系统(Evolved Packet System，EPS)由演进的通用地面无线接入网(Evolved Universal Terrestrial Radio Access Network，E-UTRAN)、移动管理单元(Mobility Management Entity，MME)、服务网关(Serving Gateway，S-GW)、分组数据网络网关(Packet Data Network Gateway，P-GW)和归属用户服务器(Home Subscriber Server，HSS)组成。

3GPP支持家用基站(Home NodeB or Home eNodeB，H(e)NB)的接入，H(e)NB是一种小型、低功率的基站，部署在家庭及办公室等室内场所，主要作用是为了给用户提供更高的业务速率并降低使用高速率服务所需要的费用，同时弥补已有分布式蜂窝无线通信系统覆盖的不足。

H(e)NB通常通过租用的固网线路接入3GPP移动核心网络。如图1所示，其中，BRAS(宽带远端接入服务器，Broadband Remote Access Server)/BNG(宽带网关，Broadband Network Gateway)属于宽带固网设备，允许H(e)NB通过宽带网络接入移动核心网络；SeGW(安全网关，Security Gateway)位于移动核心网络的边缘，与H(e)NB之间进行互认证之后，会允许H(e)NB接入移动运营商的核心网络；H(e)NB PF(H(e)NB policy function，H(e)NB策略功能实体)负责制定策略决策，并在3GPP的HeNB/HNB系统和固网系统中传递协商的策略；BPCF(Broadband Policy Control Function，宽带策略控制功能)为宽带固网设备提供策略控制授权。对于WCDMA(宽带码分多址)系统，HNB需要通过家用基站网关(该系统中指HNB GW)连接到核心网网元SGSN(Serving GPRS Support Node，服务GPRS支持节点)；对于EPC系统，家用基站可以直接连接到核心网网元MME和S-GW，或者通过家用基站网关(该系统中指HeNB GW)连接。

由于H(e)NB和3GPP核心网之间的宽带固定网络对于移动运营商而言，属于不可信任网络，为了保障接入的安全，核心网中引入SeGW进行屏蔽，HeNB与SeGW之间的数据将采用因特网协议安全性(IP Security，IPSec)进行封装。H(e)NB可以通过与SeGW建立的IPSec隧道连接到核心网。

目前，对H(e)NB PF的功能和其他网络的信息交互有两种并行的架构方案，具体描述如下：

架构一(如图1所示，只有T1、T2接口)：T1-T2方案

该方案中，SeGW和H(e)NB PF之间为接口T1，H(e)NB和H(e)NB PF之间为接口T2。

T1接口用于当H(e)NB上电时，向H(e)NB PF及固网传递相关的H(e)NB系统消息，例如H(e)NB的地址，H(e)NB标识等信息，用于关联策略会话和定位H(e)NB在固网中的位置。T2接口用于H(e)NB和H(e)NB PF之间传递相关的策略协商控制信令(包含策略相关的参数)，用于对用户数据实现QoS控制等。

架构二(如图1所示，只有T1、T3接口)：T1-T3方案

该方案中，SeGW和H(e)NB PF之间为接口T1，H(e)NB GW和H(e)NBPF之间为接口T3。

T1接口用于当H(e)NB上电时，向H(e)NB PF及固网传递相关的H(e)NB系统消息，例如H(e)NB的地址，H(e)NB标识等信息，用于关联策略会话和定位H(e)NB在固网中的位置。T3接口用于H(e)NB GW/MME和H(e)NB PF之间传递相关的策略协商控制信令(包含策略相关的参数)，用于对用户数据实现QoS控制等。

在用户通过H(e)NB接入核心网的场景下，H(e)NB的拥有者与固网运营商签约，可能会限制H(e)NB接入的固网资源使用。在相同的H(e)NB与SeGW之间只支持建立单个IPSec隧道(一对SA)，因此，接入同一个H(e)NB的所有终端的信令和数据业务(例如语音、视频等各种不同的数据业务)都会通过同一个IPSec隧道传输，在固网资源不充足的情况下，由于固网设备不能够识别隧道封装的报文，可能导致无法保证对QoS要求高的业务质量(例如：业务中断或者业务质量很差)，例如：像数据下载等一类BE(Best Effort，尽力而为)业务，对QoS要求不是很高，而语音等一类业务对QoS要求非常高，在固网资源不足时，以上两类业务获得了同样的带宽，这样的带宽对数据下载这一类BE业务来说足够了，但是可能无法满足语音等业务的要求，导致语音一类业务的传输质量极差甚至业务失败。随着移动数据业务的快速增长，如果固网的网络资源仍然不能合理、有效地管理控制，将会引起网络拥塞、报文丢失等问题。

发明内容

本发明旨在提供一种H(e)NB和SeGW之间的固网网络资源有效管理方法和系统，从而有效地避免网络拥塞、报文丢失等问题。

为了解决上述问题，本发明提供了一种实现家庭基站网络资源区分管理控制的方法，包括：

家用基站策略功能实体建立业务流信息与IPsec子隧道的隧道信息的映射关系，将所述映射关系发送给宽带策略控制功能；

所述宽带策略控制功能将所述映射关系发送给固网实体；

所述固网实体根据所述映射关系，对IPsec子隧道的业务流进行相应的服务质量控制。

进一步的，上述方法还可具有以下特点，所述家庭基站策略功能实体建立业务流信息与隧道信息的映射关系包括：

所述家用基站策略功能实体接收到请求建立子安全联盟(SA)的消息时，根据所述消息中携带的业务流信息，查询本地已创建的业务流信息与隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示及业务流信息；

所述移动网络实体接收到所述子SA建立命令消息时，如果该消息中携带建立子SA的指示，则移动网络实体新建IPsec子隧道，在本地建立新建的IPsec子隧道的隧道信息与所述业务流信息的映射关系，并将新建的IPsec子隧道的隧道信息发送至所述家用基站策略功能实体；

所述家庭基站策略功能实体建立新建的IPsec子隧道的隧道信息与业务流信息的映射关系。

进一步的，上述方法还可具有以下特点，所述家用基站策略功能实体发送子SA建立命令消息至移动网络实体以及所述移动网络实体新建IPsec子隧道的步骤包括：

所述家用基站策略功能实体发送子SA建立命令消息给第一网络实体，消息中携带建立子SA的指示；

所述第一网络实体收到所述子SA建立命令消息后，生成新的安全参数索引信息(SPI)，称为第一SPI，所述第一网络实体将所述第一SPI发送给第二网络实体，请求第二网络实体建立子SA；

所述第二网络实体接收到第一网络实体的子SA建立请求时，生成新SPI，称为第二SPI，将所述第二SPI发送给第一网络实体；

所述第一网络实体将所述第一SPI和第二SPI发送给所述家用基站策略功能实体；

其中，所述第一网络实体为安全网关，所述第二网络实体为家用基站；或者，所述第一网络实体为家用基站，所述第二网络实体为安全网关。

进一步的，上述方法还可具有以下特点，所述家庭基站策略功能实体建立隧道信息与业务流信息的映射关系包括：

所述家用基站策略功能实体接收到建立子SA的请求消息时，根据所述请求消息中携带的业务流信息，查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示以及业务流信息；

所述移动网络实体接收到所述子SA建立命令消息时，如果该消息中携带不建立子SA的指示，则移动网络实体在本地查找与所述业务流信息中携带的服务质量(QoS)信息对应的隧道信息，将查找到的隧道信息与所述业务流信息中携带的业务绑定信息进行匹配，如果无法匹配，建立所述业务流信息与所述隧道信息的映射关系。

进一步的，上述方法还可具有以下特点，所述业务流信息包括QoS信息和/或业务绑定信息。

进一步的，上述方法还可具有以下特点，所述业务绑定信息包括隧道端点标识、无线承载标识、五元组之一或其组合。

进一步的，上述方法还可具有以下特点，所述查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道是指：所述家用基站策略功能实体根据所述消息中携带的QoS信息，查找是否已存在与所述QoS信息对应的隧道信息，如果不存在，则新建IPsec子隧道；否则，不新建IPsec子隧道。

进一步的，上述方法还可具有以下特点，所述方法还包括：

所述移动网络实体根据所述隧道信息和业务流信息的映射关系，将业务数据映射到相应的IPsec子隧道传输。

进一步的，上述方法还可具有以下特点，所述隧道信息包括安全参数索引信息和隧道地址信息。

进一步的，上述方法还可具有以下特点，所述请求建立子SA的消息为携带子SA建立指示的承载授权请求或资源分配请求，或者，为新建的子SA建立请求消息。

本发明还提供一种实现家庭基站网络资源区分管理控制的系统，包括家用基站策略功能实体、宽带策略控制功能和固网实体，其中：

所述家用基站策略功能实体，用于建立业务流信息与IPsec子隧道的隧道信息的映射关系，将所述映射关系发送给所述宽带策略控制功能；

所述宽带策略控制功能，用于将所述映射关系发送给固网实体；

所述固网实体，用于根据所述映射关系，对IPsec子隧道的业务流进行相应的服务质量控制。

进一步的，上述系统还可具有以下特点，所述系统还包括移动网络实体，其中：

所述家用基站策略功能实体是用于：接收到请求建立子安全联盟(SA)的消息时，根据所述消息中携带的业务流信息，查询本地已创建的业务流信息与隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示及业务流信息；以及，接收到移动网络实体返回的新建的IPsec子隧道的隧道信息时，建立所述新建的IPsec子隧道的隧道信息与业务流信息的映射关系；

所述移动网络实体，用于接收到所述子SA建立命令消息时，如果该消息中携带建立子SA的指示，则移动网络实体新建IPsec子隧道，在本地建立新建的IPsec子隧道的隧道信息与所述业务流信息的映射关系，并将新建的IPsec子隧道的隧道信息发送至所述家用基站策略功能实体。

进一步的，上述系统还可具有以下特点，所述移动网络实体包括第一网络实体和第二网络实体，其中：

所述家用基站策略功能实体是用于发送子SA建立命令消息给第一网络实体，消息中携带建立子SA的指示；

所述第一网络实体用于，收到所述子SA建立命令消息后，生成新的SPI，称为第一SPI，所述第一网络实体将所述第一SPI发送给第二网络实体，请求第二网络实体建立子SA；

所述第二网络实体用于，接收到第一网络实体的子SA建立请求时，生成新SPI，称为第二SPI，将所述第二SPI发送给第一网络实体；

所述第一网络实体还用于将所述第一SPI和第二SPI发送给所述家用基站策略功能实体；

其中，所述第一网络实体为安全网关，所述第二网络实体为家用基站；或者，所述第一网络实体为家用基站，所述第二网络实体为安全网关。

进一步的，上述系统还可具有以下特点，所述系统还包括移动网络实体，其中：

所述家用基站策略功能实体是用于：接收到建立子SA的请求消息时，根据所述请求消息中携带的业务流信息，查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示以及业务流信息；

所述移动网络实体接收到所述子SA建立命令消息时，如果该消息中携带不建立子SA的指示，则移动网络实体在本地查找与所述业务流信息中携带的服务质量(QoS)信息对应的隧道信息，将查找到的隧道信息与所述业务流信息中携带的业务绑定信息进行匹配，如果无法匹配，建立所述业务流信息与所述隧道信息的映射关系。

进一步的，上述系统还可具有以下特点，所述业务流信息包括QoS信息和/或业务绑定信息。

进一步的，上述系统还可具有以下特点，所述业务绑定信息包括隧道端点标识、无线承载标识、五元组之一或其组合。

进一步的，上述系统还可具有以下特点，所述家用基站策略功能实体是用于根据所述消息中携带的QoS信息，查找是否已存在与所述QoS信息对应的隧道信息，如果不存在，则新建IPsec子隧道；否则，不新建IPsec子隧道。

进一步的，上述系统还可具有以下特点，所述移动网络实体还用于根据所述隧道信息和业务流信息的映射关系，将业务数据映射到相应的IPsec子隧道传输。

进一步的，上述系统还可具有以下特点，所述隧道信息包括安全参数索引信息和隧道地址信息。

进一步的，上述系统还可具有以下特点，所述请求建立子SA的消息为携带子SA建立指示的承载授权请求或资源分配请求，或者，为新建的子SA建立请求消息。

本发明中，移动网络实体将不同的业务封装到不同的IPsec子隧道(在H(e)NB和SeGW之间的IPsec隧道)，固网实体基于不同的IPsec隧道的业务特征进行QoS区分控制，从而更有效地优化管理H(e)NB和SeGW之间的网络资源。

附图说明

图1是H(e)NB接入移动核心网络的架构图；

图2是H(e)NB处的上行映射关系结构示意图；

图3是SeGW处的下行映射关系结构示意图；

图4是上、下行映射关系结构示意图；

图5是基于T1-T3架构、H(e)NB PF触发IPSec建立流程(方案一)；

图5a是基于T1-T3架构、H(e)NB PF触发IPSec建立流程(方案二)；

图6是基于T1-T2架构、H(e)NB PF触发IPSec建立流程(方案一)；

图6a是基于T1-T2架构、H(e)NB PF触发IPSec建立流程(方案二)；

图7是基于T1-T2架构、H(e)NB PF触发IPSec建立流程(方案三)。

具体实施方式

目前，在IETF关于IPSec的现有技术中，两网元之间进行IKEv2(InternetKey exchange，因特网密钥交换)初始化协商时，会建立一个IKE_SA(SecurityAssociation，安全联盟)，之后可以建立多个子SA(Child_SA)。每个SA(包括子SA)都是单向的，每一个SA都有一个特定的SPI(Security ParameterIndex，安全参数索引)标识。因为SA是单向的，故其标识SPI也分为上行的SPI和下行的SPI。

本发明基本思想是；移动网络实体建立映射表，根据映射表将不同的业务封装到不同的IPsec隧道(在H(e)NB和SeGW之间的IPsec隧道)，固网实体基于不同的IPsec隧道的业务特征进行QoS区分控制，从而更有效地优化管理H(e)NB和SeGW之间的网络资源。

本发明引用的相关关键技术描述如下：

(一)映射表(也可称为过滤器)的结构

H(e)NB作为IPsec隧道的一个端点，存有上行映射表，该映射表的作用是将数据包(上行)映射/匹配到合适的IPsec隧道中。该映射表的结构如图2所示。图中，无线承载和QoS范围存在一对一或者多对一的关系，而QoS范围和IPsec隧道的上行SA(用SPI标识)存在一对一的关系。这样，就建立了RB-ID(Radio Bearer Identity，无线承载标识)和SPI的对应关系。

其中，无线承载和QoS范围，以及无线承载和上行的SA/SPI未必是一一对应的关系，可能多个RB-ID对应同一个SPI(如图2所示)，或者反之。这取决于无线承载的QoS和IPsec隧道的QoS区分的粒度的粗细。但QoS范围和SPI是一一对应的关系。下面SeGW类同。

SeGW作为IPsec隧道的另外一个端点，存有下行映射表，该映射表的作用是将数据包(下行)映射/匹配到合适的IPsec隧道中。该映射表的结构如图3所示。图中，S1/Iu承载(属于GTP承载)和QoS范围存在一对一或者多对一的关系，而QoS范围和IPsec隧道/SPI存在一对一的关系。这样，就建立了S1/Iu承载的标识TEID(Tunnel End Identity，隧道端点标识)和SPI的一对一或者多对一的关系。

映射表还可以有另外一种结构(在此称为结构二)，不同于上述的RB-ID或者TEID与SPI建立多对一或者一对一的对应关系(上述结构称作结构一)，而是数据包的五元组(数据包的源地址、目的地址、源端口号、目的端口号、协议号)建立与SPI的一对一或者多对一的对应关系。如图4所示。结构二的映射表既可以用于SeGW，也可以用于H(e)NB，只是对应的QoS范围、SPI、五元组分别是下行、上行的即可。

(二)映射表的生成

在EPS/UMTS系统中，终端接入EPS/UMTS、或者建立PDN连接、或者发起专有承载建立、或者网络侧发起专有承载建立，最后的操作都会归结到EPS/UMTS网络的网元MME/SGSN给H(e)NB发送S1/Iu接口上的消息(比如：初始上下文建立请求/附着接受/承载建立请求/PDN连接接受)，该消息中携带了承载的QoS规则(默认承载除外)，还可能包括五元组信息。H(e)NB在收到该消息后，根据该消息中携带的QoS决定修改/创建/删除无线承载(RB)，也就是该QoS和无线承载之间存在了对应关系。H(e)NB会根据该QoS查找相应的IPSec隧道对应的“QoS范围”，这样就建立了该QoS和IPSec子隧道的SA标识SPI的对应关系。从而无线承载的标识、承载的QoS以及SPI就建立了对应关系。这个对应关系就是该承载的映射表。当然，不同的承载有不同的承载映射表，不同的终端上的映射表也不同。

SeGW通过截获相关消息或者其他网元传递的承载标识TEID(或者五元组信息)，获取承载的QoS规则(默认承载除外)和承载标识TEID(或者五元组信息)。SeGW会根据该QoS查找相应的IPSec隧道对应的“QoS范围”，这样就建立了该QoS和IPSec隧道的下行SA标识SPI的对应关系。从而建立了TEID、承载的QoS和SPI的对应关系，这个对应关系就是该承载的映射表。当然，不同的承载有不同的承载映射表，不同的终端上的映射表也不同。

对于映射表的另外一种形式，S1/Iu消息(例如：初始上下文建立请求/附着接受/承载建立请求/PDN连接接受)消息中携带了该业务数据包的五元组信息和QoS信息。因此SeGW和H(e)NB都可以建立五元组、QoS和SPI的对应关系。

(三)映射表的应用

根据(一)所述，H(e)NB/SeGW上的映射表即为：RB-ID/TEID/业务五元组、承载的QoS以及SPI的对应关系。当H(e)NB从无线承载上收到上行数据包时，根据该数据包所在无线承载的RB-ID/业务五元组就能找到对应的IPsec隧道，将数据包映射/匹配到对应的IPSec隧道中。SeGW收到S1/Iu承载的下行数据包时，根据该数据包所在S1/Iu承载的TEID/业务五元组就能找到对应的IPsec隧道，将数据包映射/匹配到对应的IPSec隧道中。

(四)对应关系的上报

H(e)NB/SeGW在生成了映射关系后，用于本地映射/过滤数据包，并且需要将QoS和SPI的映射关系通知H(e)NB PF；

由于H(e)NB PF在H(e)NB上电之后，已经获取了IPSec隧道地址信息，QoS和SPI的映射表是基于相同的隧道地址信息下的映射表，即：映射表与隧道地址信息是隐含绑定关系，因此H(e)NB PF上报给固网的映射表为IPSec隧道信息与QoS的映射关系，这样固网获知了SPI和QoS在子隧道中的对应关系，才能保证不同的IPSec子隧道中传输的数据包的QoS。

本发明的技术方案包括步骤：

一种实现家庭基站网络资源区分管理控制的方法，包括：

家用基站策略功能实体建立业务流信息与IPsec子隧道的隧道信息的映射关系，将所述隧道信息和业务流信息的映射关系发送给宽带策略控制功能；

所述宽带策略控制功能将所述隧道信息和业务流信息的映射关系发送给固网实体；

所述固网实体根据所述隧道信息和业务流信息的映射关系，对IPsec子隧道的业务流进行相应的服务质量控制。

其中，所述隧道信息和业务流信息的映射关系包括上行对应关系和/或下行对应关系。

所述家庭基站策略功能实体建立隧道信息与业务流信息的映射关系包括：

所述家用基站策略功能实体接收到请求建立子SA的消息时，根据所述消息中携带的业务流信息，查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示及业务流信息；其中，所述请求建立子SA的消息为携带子SA建立指示的承载授权请求或资源分配请求，或者，为新建的子SA建立请求消息；

所述移动网络实体接收到所述子SA建立命令消息时，如果该消息中携带建立子SA的指示，则移动网络实体新建IPsec子隧道，在本地建立新建的IPsec子隧道的隧道信息与所述业务流信息的映射关系，并将新建的IPsec子隧道的隧道信息发送至所述家用基站策略功能实体；如果该消息中携带不建立子SA的指示，则移动网络实体在本地查找与所述业务流信息中携带的服务质量(QoS)信息对应的隧道信息，将查找到的隧道信息与所述业务流信息中携带的业务绑定信息进行匹配，如果无法匹配，建立所述业务流信息与所述隧道信息的映射关系。

所述家庭基站策略功能实体建立新建的IPsec子隧道的隧道信息与业务流信息的映射关系。

其中，移动网络实体新建子SA包括：

所述家用基站策略功能实体发送子SA建立命令消息给第一网络实体，消息中携带子安全联盟(SA)建立决策指示；

所述第一网络实体生成新的SPI，称为第一SPI，所述第一网络实体将所述第一SPI发送给第二网络实体，请求第二网络实体建立子SA；

所述第二网络实体接收到第一网络实体的子SA建立请求时，生成新SPI，称为第二SPI，将所述第二SPI发送给第一网络实体；

所述第一网络实体将所述第一SPI和第二SPI发送给所述家用基站策略功能实体；

其中，所述第一网络实体为安全网关，所述第二网络实体为家用基站；或者，所述第一网络实体为家用基站，所述第二网络实体为安全网关。

所述业务流信息包括服务质量信息和业务绑定信息。所述业务绑定信息包括隧道端点标识、无线承载标识、五元组之一或其组合。所述查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道是指：所述家用基站策略功能实体根据所述消息中携带的QoS信息，查找是否已存在与所述QoS信息对应的隧道信息，如果不存在，则新建IPsec子隧道；否则，不新建IPsec子隧道。

其中，所述移动网络实体根据所述隧道信息和业务流信息的映射关系，将业务数据映射到相应的IPsec子隧道传输。

其中，所述隧道信息包括安全参数索引信息和隧道地址信息。

其中，所述固网实体可以是BRAS/BNS。

以下结合附图，详细说明本发明技术方案的具体实施。

实施例1

本流程是当H(e)NB PF仅与H(e)NB GW和SeGW之间存在接口时，H(e)NB PF根据H(e)NB GW上报的业务流信息，来决策是否授权新的子隧道建立；隧道与业务流信息的绑定关系由隧道两端的网络实体来执行。其中，H(e)NB需在承载授权完成之后，建立无线资源。如图5所示，包括：

步骤501：UE发起附着/PDN连接建立请求，并完成无线侧及核心网的相关处理；

步骤502：移动核心网络实体向H(e)NB GW发送初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息；

步骤503：H(e)NB GW收到初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息，并获取其中携带的QoS参数后，向H(e)NB PF发送承载授权请求，携带业务流信息，子SA建立请求指示(可选的)。其中，业务流信息包括：QoS参数，扩展参数，其中，扩展参数包括：业务绑定信息(可包括业务五元组或者TEID或者其他信息)；

步骤504：H(e)NB PF根据承载授权请求中的业务流信息，查询已建立的业务流信息和SPI的映射表，来决定是否需要新建子SA；

具体的，可以根据业务流信息中携带的QoS信息，查询是否已建立与该QoS信息对应的SPI，如果不不存在，则新建子SA；如果存在，则更新映射表，在映射表中增加当前业务流信息和SPI的映射关系。

当然，也可以根据其他方式判定是否建立子SA，本发明对此不作限定。比如，可以为每条业务流建立一子SA，或者，为指定个数的多条业务流建立一子SA，具体可以根据需要而定。

步骤505：H(e)NB PF向H(e)NB GW发送子SA建立指示确认消息，该消息为可选消息，是对子SA建立请求指示的确认消息；

步骤506：H(e)NB PF向SeGW发送子SA建立命令消息，消息中携带QoS参数，子SA建立决策指示，以及业务绑定信息；

其中，业务绑定信息包括业务五元组或者TEID或者其他信息；

步骤507_1：SeGW收到子SA建立命令消息后，根据消息中携带的子SA建立决策指示，执行具体的操作：

1)如果子SA建立决策指示表明需要建立子SA，则本地生成新的SPI，将新生成的SPI用SPI1表示；然后，SeGW向H(e)NB发送子SA建立请求消息，消息中携带SPI1参数。

2)如果子SA建立决策指示表明不需要建立SA，根据QoS查找本地的映射表，找到对应的SPI，然后匹配业务绑定信息：

a)如果能够匹配，则转到步骤510执行；

b)如果不能够匹配的话，则SeGW向H(e)NB发送子SA更新请求消息，消息中可携带更新指示参数或者不携带参数(默认更新业务绑定信息与SPI、QoS的映射关系)。

步骤508：如果H(e)NB收到子SA建立请求消息，H(e)NB本地建立新SPI，用SPI2表示，并向SeGW发送子SA建立响应消息，消息中携带SPI2；

步骤509：SeGW本地建立并维护SPI2与业务绑定信息、QoS(可选)的映射关系，由于QoS与其它信息的绑定关系对于SeGW过滤数据报文不重要，所以为可选绑定参数。具体映射表结构可参考图3、图4中的两种方式中的一种；

步骤510：SeGW向H(e)NB PF发送子SA建立确认消息，其中，如果未新建SPI，则该消息中不包含SPI1、SPI2参数；否则，该消息中包含新建的SPI1、SPI2参数；

步骤511：H(e)NB PF收到子SA建立确认消息之后，判断消息中是否携带SPI1、SPI2参数，如果携带SPI1、SPI2参数，则H(e)NB PF保存这些参数到对应的QoS和SPI映射表中；

步骤512：H(e)NB PF通过更新S9*会话消息，向BPCF发送新建的SPI与QoS的映射关系；

步骤513：H(e)NB PF向H(e)NB GW发送承载授权响应消息，该消息中携带业务绑定信息、QoS参数；

步骤514：H(e)NB GW向H(e)NB发送初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息，该消息中携带业务绑定信息(可包括业务五元组或者其他信息)、QoS参数；

步骤515：

a)H(e)NB收到初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息后，根据消息中携带的QoS查找本地的映射表，查找对应的SPI1，然后，根据查找结果，执行具体的操作：

如果找到对应的SPI1，则匹配业务绑定信息，如果无法匹配，则在本地SPI与QoS的映射表中增加与业务绑定信息(可为业务五元组或者RB Identity或者其他信息)的映射关系；

否则，在本地建立并维护SPI1与QoS、业务绑定信息(可为业务五元组或者RB Identity或者其他信息)的映射关系。具体映射表结构可参考图2、图4中的两种方式中的一种；

或者，

b)H(e)NB收到初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息后，根据消息中携带的业务绑定信息查找本地的映射表，如果找不到对应的SPI，则本地建立并维护SPI1与业务绑定信息(可为业务五元组或者RB Identity或者其他信息)的映射关系。

步骤a和步骤b为两种可选方案，可选择其一，步骤a建立业务绑定信息、SPI与QoS的绑定关系，步骤b建立业务绑定信息与SPI的绑定关系；QoS为可选绑定参数。

步骤516：如果H(e)NB收到子SA更新请求消息，则向SeGW回复子SA更新响应消息；

步骤517：H(e)NB收到初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息后，建立/更改与UE之间的无线承载资源；

步骤518：H(e)NB发送初始上下文建立请求响应/附着接受响应/承载建立请求响应/PDN连接接受响应消息。

其中，步骤508可以在步骤507之后，步骤517之前任意时刻执行完成。

其中，步骤515可以在步骤514之后，步骤517之前任意时刻执行完成。

其中，业务五元组信息可以通过消息(步骤502中所述的消息)中的Packet Filter Identifier(包过滤标识)获取，下同。

在H(e)NB GW向H(e)NB PF请求决策子SA是否需要建立的触发方式，可以通过基于现有的承载授权请求消息进行参数扩展(如图5)，也可以通过新建一对子SA建立请求/响应消息，形成独立的子SA建立流程(如图5a)。这样建立的好处是，与承载授权流程独立，现有承载授权消息不受子SA建立流程的影响，只要遵循现有规范中的流程顺序即可。

在图5a中，步骤512a可以在步骤513a之前(通过S9*会话，传递IPSec隧道信息与QoS的绑定关系给BPCF)也可以在步骤513a之后(通过步骤513a之后发起的S9*会话，传递IPSec隧道信息与QoS的绑定关系给BPCF)执行。

实施例2

本流程是当H(e)NB PF仅与H(e)NB和SeGW之间存在接口时，H(e)NBPF根据H(e)NB上报的QoS信息，来决策是否授权新的子隧道建立；隧道与业务流信息的绑定关系由隧道两端的网络实体来执行。其中，H(e)NB不传递QoS参数给SeGW。如图6所示，包括：

步骤601：UE发起附着/PDN连接建立请求，并完成无线侧及核心网的相关处理；

步骤602：移动核心网络实体向H(e)NB发送初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息；

步骤603：H(e)NB收到初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息，并获取消息中携带的QoS参数后，向H(e)NB PF发送资源分配请求，携带业务流信息，子SA建立请求指示(可选)。其中，业务流信息包括：QoS；

步骤604：H(e)NB PF根据资源分配请求中携带的业务流信息，查询已建立的业务流信息和SPI的映射表，来决定是否需要新建子SA；

步骤605：H(e)NB PF向H(e)NB发送子SA建立指示确认消息，该消息为可选消息，是对子SA建立请求指示的确认消息；

步骤606：H(e)NB PF向H(e)NB发送子SA建立命令消息，消息中携带子SA建立决策指示；

步骤607：H(e)NB收到子SA建立命令后，根据子SA建立决策指示，执行具体的操作：

1)如果需要新建立SPI，则本地生成新的SPI，将新生成的SPI用SPI1表示；然后，向SeGW发送子SA建立请求消息，消息中携带SPI1。

2)如果不需要新建立SPI，根据QoS查找本地的映射表，找到对应的SPI，然后匹配业务绑定信息：

a)如果能够匹配，则转到步骤610执行；

b)如果不能够匹配的话，H(e)NB向SeGW发送子SA更新请求消息，消息中可携带更新指示参数或者不携带参数(默认更新业务绑定信息与SPI、QoS的映射关系)；

步骤608：如果SeGW收到子SA建立请求消息，SeGW本地建立新SPI，用SPI2表示，并向H(e)NB发送子SA建立响应消息，消息中携带SPI2；

步骤609：H(e)NB本地会建立并维护SPI2与业务绑定信息、QoS(可选)的映射关系，由于QoS为可选绑定参数。具体映射表结构可参考图2、图4中的两种方式中的一种；

步骤610：H(e)NB收到子SA建立响应消息后，向H(e)NB PF发送子SA建立确认消息，其中，如果未新建SPI，则该消息中不包含SPI1、SPI2参数；否则，该消息中包含SPI1、SPI2参数；

步骤611：H(e)NB PF收到子SA建立确认消息之后，判断该消息中是否携带SPI1、SPI2参数，如果携带SPI1、SPI2参数，则H(e)NB PF保存SPI1、SPI2参数至对应的映射表中；

步骤612：H(e)NB PF通过更新S9*会话消息，向BPCF发送新的SPI与QoS的映射关系；

步骤613：H(e)NB PF向H(e)NB发送承载授权响应消息，该消息中包含携带业务绑定信息(可为五元组或者TEID或者其他信息)，QoS(可选)等参数；

步骤614：SeGW截获资源分配响应消息，根据QoS查找本地的映射表，查找对应的SPI1，然后，根据查找结果，执行具体的操作：

如果找到对应的SPI1，则匹配业务绑定信息，如果无法匹配，则在本地SPI与QoS的映射表中增加与业务绑定信息(可为五元组或者TEID或者其他信息)的映射关系；

否则，在本地建立并维护SPI1与QoS、业务绑定信息(可为五元组或者TEID或者其他信息)的映射关系。

具体映射表结构可参考图3、图4中的两种方式中的一种。

同样，该映射表中的QoS与其它参数的绑定关系也是可选的，另外一种建立方式参考图5中，步骤515b)方案。

步骤615：H(e)NB建立/更改与UE之间的无线承载资源；

步骤616：如果SeGW收到子SA更新请求消息，则其直接回复子SA更新响应消息；

步骤617：H(e)NB发送初始上下文建立请求响应/附着接受响应/承载建立请求响应/PDN连接接受响应消息。

其中，步骤615可以在步骤602之后，步骤616之前任意时刻执行完成。

其中，步骤608可以在步骤607之后，步骤616之前任意时刻执行完成。

其中，步骤614可以在步骤613之后，步骤616之前任意时刻执行完成。

其中，步骤616与步骤615没有前后顺序，但是在步骤614之后。

在H(e)NB GW向H(e)NB PF请求决策子SA是否需要建立的触发方式，可以通过基于现有的资源分配请求消息进行参数扩展(如图6)，也可以通过新建一对子SA建立请求/响应消息，形成独立的子SA建立流程(如图6a)。这样建立的好处是，与资源分配流程独立，现有资源分配消息不受子SA建立流程的影响，只要遵循现有规范中的流程顺序即可。

在图6a中，步骤612a可以在步骤613a之前(通过S9*会话，传递IPSec隧道信息与QoS的绑定关系给BPCF)也可以在步骤613a之后(通过步骤613a之后发起的S9*会话，传递IPSec隧道信息与QoS的绑定关系给BPCF)执行。

实施例3

本流程是实施例2所支持架构的另外一种解决方案。如图7所示，包括：

步骤701：UE发起附着/PDN连接建立请求，并完成无线侧及核心网的相关处理；

步骤702：移动核心网络实体向H(e)NB发送初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息；

步骤703：H(e)NB收到初始上下文建立请求/附着接受/承载建立请求/PDN连接接受消息，并获取其中携带的QoS参数后，向H(e)NB PF发送承载授权请求，所述承载授权请求中携带的参数包括子SA建立请求指示、QoS和业务绑定信息；

步骤704：H(e)NB PF根据资源分配请求中的QoS，查询已建立的QoS和SPI的映射表，来决定是否需要重新建立SA；

步骤705：H(e)NB PF向H(e)NB发送子SA建立指示确认消息，该消息为可选消息，是对子SA建立请求指示的确认消息；

步骤706：H(e)NB PF向H(e)NB发送子SA建立命令，消息中携带子SA建立决策指示；

步骤707：H(e)NB收到子SA建立命令后，根据子SA建立决策指示，执行具体的操作：

1)如果需要新建立SPI，则本地生成新的SPI，将新生成的SPI用SPI1表示；然后，向SeGW发送子SA建立请求消息，消息中携带SPI1，QoS和业务绑定信息。本发明中，需要对H(e)NB和SeGW之间的IKEv2消息进行扩展，使之能携带QoS和业务绑定信息参数。

2)如果不需要新建立SPI，根据QoS查找本地的映射表，找到对应的SPI，然后匹配业务绑定信息(可为五元组或者TEID或者其他信息)，

a)如果能够匹配，则转到步骤711执行。

b)如果不能够匹配，则H(e)NB向SeGW发送子SA更新请求消息，消息中可携带更新指示参数或者不携带参数(默认更新业务绑定信息与SPI、QoS的映射关系)；如果携带更新指示参数，本发明中，需要对H(e)NB和SeGW之间的IKEv2消息进行扩展，使之能携带该参数。

步骤708：如果SeGW收到子SA建立请求消息，本地建立并维护新的SPI1与业务绑定信息、QoS(可选)的映射关系；

如果SeGW收到子SA更新请求消息，本地会建立并维护新的业务绑定信息与SPI1、QoS(可选)的映射关系；

由于QoS与其它信息的绑定关系对于H(e)NB过滤数据报文不重要，所以为可选绑定参数。具体映射表结构可参考图2、图4中的两种方式中的一种；

步骤709：

a)如果SeGW收到子SA建立请求消息，则在本地建立并维护新的SPI，用SPI2表示，并向H(e)NB发送子SA建立响应消息，消息中携带SPI2。

b)如果SeGW收到子SA更新请求消息，向H(e)NB发送子SA更新响应消息。在本地建立并维护新的业务绑定信息与SPI、QoS(可选)的映射关系。

步骤710：如果H(e)NB收到子SA建立响应消息，本地会建立并维护SPI2与业务绑定信息、QoS(可选)的映射关系；

如果H(e)NB收到子SA更新响应消息，本地会建立并维护新的业务绑定信息与SPI2、QoS(可选)的映射关系；

由于QoS与其它信息的绑定关系对于H(e)NB过滤数据报文不重要，所以为可选绑定参数。具体映射表结构可参考图2、图4中的两种方式中的一种；

步骤711：H(e)NB收到子SA建立响应/子SA更新响应消息后，向H(e)NBPF发送子SA建立确认消息，如果未新建SPI，则该消息中不包含SPI1、SPI2参数；否则，该消息中包含SPI1、SPI2参数。

步骤712：H(e)NB PF收到子SA建立确认消息之后，判断该消息中是否携带SPI1、SPI2参数，如果携带SPI1、SPI2参数，则H(e)NB PF保存SPI1、SPI2参数到对应的映射表中；

步骤713：H(e)NB PF通过更新S9*会话消息，向BPCF发送SPI与QoS的映射关系；

步骤714：H(e)NB PF向H(e)NB发送资源分配响应消息；

步骤715：H(e)NB建立/更改与UE之间的无线承载资源；

步骤716：H(e)NB发送初始上下文建立请求响应/附着接受响应/承载建立请求响应/PDN连接接受响应消息。

其中，步骤715可以在步骤702之后，步骤716之前任意时刻执行完成。

其中，步骤708可以在步骤707之后，步骤716之前任意时刻执行完成。

其中，步骤710可以在步骤709之后，步骤716之前任意时刻执行完成。

在H(e)NB GW向H(e)NB PF请求决策子SA是否需要建立的触发方式，可以通过基于现有的资源分配请求消息进行参数扩展(如图7)，也可以通过新建一对子SA建立请求/响应消息，形成独立的子SA建立流程，具体区别和说明与图5a、6a的说明类似，请参考图5a、6a相关描述。

H(e)NB PF可以是单独的，也可以和PCRF合设。

本发明还提供一种实现家庭基站网络资源区分管理控制的系统，包括家用基站策略功能实体、宽带策略控制功能和固网实体，其中：

所述家用基站策略功能实体，用于建立业务流信息与IPsec子隧道的隧道信息的映射关系，将所述映射关系发送给所述宽带策略控制功能；

所述宽带策略控制功能，用于将所述映射关系发送给固网实体；

所述固网实体，用于根据所述映射关系，对IPsec子隧道的业务流进行相应的服务质量控制。

其中，所述系统还包括移动网络实体：

所述家用基站策略功能实体是用于：接收到请求建立子安全联盟(SA)的消息时，根据所述消息中携带的业务流信息，查询本地已创建的业务流信息与隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示及业务流信息；以及，接收到移动网络实体返回的新建的IPsec子隧道的隧道信息时，建立所述新建的IPsec子隧道的隧道信息与业务流信息的映射关系；

所述移动网络实体用于：接收到所述子SA建立命令消息时，如果该消息中携带建立子SA的指示，则移动网络实体新建IPsec子隧道，在本地建立新建的IPsec子隧道的隧道信息与所述业务流信息的映射关系，并将新建的IPsec子隧道的隧道信息发送至所述家用基站策略功能实体。

其中，所述移动网络实体包括第一网络实体和第二网络实体：

所述家用基站策略功能实体是用于发送子SA建立命令消息给第一网络实体，消息中携带建立子SA的指示；

所述第一网络实体用于，收到所述子SA建立命令消息后，生成新的SPI，称为第一SPI，所述第一网络实体将所述第一SPI发送给第二网络实体，请求第二网络实体建立子SA；

所述第二网络实体用于，接收到第一网络实体的子SA建立请求时，生成新SPI，称为第二SPI，将所述第二SPI发送给第一网络实体；

所述第一网络实体还用于将所述第一SPI和第二SPI发送给所述家用基站策略功能实体；

其中，所述第一网络实体为安全网关，所述第二网络实体为家用基站；或者，所述第一网络实体为家用基站，所述第二网络实体为安全网关。

其中，所述系统还包括移动网络实体：

所述家用基站策略功能实体是用于：接收到建立子SA的请求消息时，根据所述请求消息中携带的业务流信息，查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示以及业务流信息；

所述移动网络实体用于：接收到所述子SA建立命令消息时，如果该消息中携带不建立子SA的指示，则移动网络实体在本地查找与所述业务流信息中携带的服务质量(QoS)信息对应的隧道信息，将查找到的隧道信息与所述业务流信息中携带的业务绑定信息进行匹配，如果无法匹配，建立所述业务流信息与所述隧道信息的映射关系。

其中，所述业务流信息包括QoS信息和/或业务绑定信息。

其中，所述业务绑定信息包括隧道端点标识、无线承载标识、五元组之一或其组合。

其中，所述家用基站策略功能实体是用于根据所述消息中携带的QoS信息，查找是否已存在与所述QoS信息对应的隧道信息，如果不存在，则新建IPsec子隧道；否则，不新建IPsec子隧道。

其中，所述移动网络实体还用于根据所述隧道信息和业务流信息的映射关系，将业务数据映射到相应的IPsec子隧道传输。

其中，所述隧道信息包括安全参数索引信息和隧道地址信息。

其中，所述请求建立子SA的消息为携带子SA建立指示的承载授权请求或资源分配请求，或者，为新建的子SA建立请求消息。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (20)

1.一种实现家庭基站网络资源区分管理控制的方法，其特征在于，包括：

家用基站策略功能实体建立业务流信息与IPsec子隧道的隧道信息的映射关系，将所述映射关系发送给宽带策略控制功能；

所述宽带策略控制功能将所述映射关系发送给固网实体；

所述固网实体根据所述映射关系，对IPsec子隧道的业务流进行相应的服务质量控制。

2.如权利要求1所述的方法，其特征在于，

所述家庭基站策略功能实体建立业务流信息与隧道信息的映射关系包括：

所述家用基站策略功能实体接收到请求建立子安全联盟(SA)的消息时，根据所述消息中携带的业务流信息，查询本地已创建的业务流信息与隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示及业务流信息；

所述移动网络实体接收到所述子SA建立命令消息时，如果该消息中携带建立子SA的指示，则移动网络实体新建IPsec子隧道，在本地建立新建的IPsec子隧道的隧道信息与所述业务流信息的映射关系，并将新建的IPsec子隧道的隧道信息发送至所述家用基站策略功能实体；

所述家庭基站策略功能实体建立新建的IPsec子隧道的隧道信息与业务流信息的映射关系。

3.如权利要求2所述的方法，其特征在于，所述家用基站策略功能实体发送子SA建立命令消息至移动网络实体以及所述移动网络实体新建IPsec子隧道的步骤包括：

所述家用基站策略功能实体发送子SA建立命令消息给第一网络实体，消息中携带建立子SA的指示；

所述第一网络实体收到所述子SA建立命令消息后，生成新的安全参数索引信息(SPI)，称为第一SPI，所述第一网络实体将所述第一SPI发送给第二网络实体，请求第二网络实体建立子SA；

所述第二网络实体接收到第一网络实体的子SA建立请求时，生成新SPI，称为第二SPI，将所述第二SPI发送给第一网络实体；

所述第一网络实体将所述第一SPI和第二SPI发送给所述家用基站策略功能实体；

其中，所述第一网络实体为安全网关，所述第二网络实体为家用基站；或者，所述第一网络实体为家用基站，所述第二网络实体为安全网关。

4.如权利要求1所述的方法，其特征在于，

所述家庭基站策略功能实体建立隧道信息与业务流信息的映射关系包括：

所述家用基站策略功能实体接收到建立子SA的请求消息时，根据所述请求消息中携带的业务流信息，查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示以及业务流信息；

所述移动网络实体接收到所述子SA建立命令消息时，如果该消息中携带不建立子SA的指示，则移动网络实体在本地查找与所述业务流信息中携带的服务质量(QoS)信息对应的隧道信息，将查找到的隧道信息与所述业务流信息中携带的业务绑定信息进行匹配，如果无法匹配，建立所述业务流信息与所述隧道信息的映射关系。

5.如权利要求2、3或4所述的方法，其特征在于，所述业务流信息包括QoS信息和/或业务绑定信息。

6.如权利要求5所述的方法，其特征在于，所述业务绑定信息包括隧道端点标识、无线承载标识、五元组之一或其组合。

7.如权利要求5所述的方法，其特征在于，所述查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道是指：所述家用基站策略功能实体根据所述消息中携带的QoS信息，查找是否已存在与所述QoS信息对应的隧道信息，如果不存在，则新建IPsec子隧道；否则，不新建IPsec子隧道。

8.如权利要求2、3或4所述的方法，其特征在于，所述方法还包括：

所述移动网络实体根据所述隧道信息和业务流信息的映射关系，将业务数据映射到相应的IPsec子隧道传输。

9.如权利要求1至4任一所述的方法，其特征在于，

所述隧道信息包括安全参数索引信息和隧道地址信息。

10.如权利要求2所述的方法，其特征在于，所述请求建立子SA的消息为携带子SA建立指示的承载授权请求或资源分配请求，或者，为新建的子SA建立请求消息。

11.一种实现家庭基站网络资源区分管理控制的系统，其特征在于，包括家用基站策略功能实体、宽带策略控制功能和固网实体，其中：

所述家用基站策略功能实体，用于建立业务流信息与IPsec子隧道的隧道信息的映射关系，将所述映射关系发送给所述宽带策略控制功能；

所述宽带策略控制功能，用于将所述映射关系发送给固网实体；

所述固网实体，用于根据所述映射关系，对IPsec子隧道的业务流进行相应的服务质量控制。

12.如权利要求11所述的系统，其特征在于，所述系统还包括移动网络实体，其中：

所述家用基站策略功能实体是用于：接收到请求建立子安全联盟(SA)的消息时，根据所述消息中携带的业务流信息，查询本地已创建的业务流信息与隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示及业务流信息；以及，接收到移动网络实体返回的新建的IPsec子隧道的隧道信息时，建立所述新建的IPsec子隧道的隧道信息与业务流信息的映射关系；

所述移动网络实体，用于接收到所述子SA建立命令消息时，如果该消息中携带建立子SA的指示，则移动网络实体新建IPsec子隧道，在本地建立新建的IPsec子隧道的隧道信息与所述业务流信息的映射关系，并将新建的IPsec子隧道的隧道信息发送至所述家用基站策略功能实体。

13.如权利要求12所述的系统，其特征在于，所述移动网络实体包括第一网络实体和第二网络实体，其中：

所述家用基站策略功能实体是用于发送子SA建立命令消息给第一网络实体，消息中携带建立子SA的指示；

所述第一网络实体用于，收到所述子SA建立命令消息后，生成新的SPI，称为第一SPI，所述第一网络实体将所述第一SPI发送给第二网络实体，请求第二网络实体建立子SA；

所述第二网络实体用于，接收到第一网络实体的子SA建立请求时，生成新SPI，称为第二SPI，将所述第二SPI发送给第一网络实体；

所述第一网络实体还用于将所述第一SPI和第二SPI发送给所述家用基站策略功能实体；

其中，所述第一网络实体为安全网关，所述第二网络实体为家用基站；或者，所述第一网络实体为家用基站，所述第二网络实体为安全网关。

14.如权利要求11所述的系统，其特征在于，所述系统还包括移动网络实体，其中：

所述家用基站策略功能实体是用于：接收到建立子SA的请求消息时，根据所述请求消息中携带的业务流信息，查询本地已创建的业务流信息与IPsec隧道信息的映射关系，决定是否需要新建IPsec子隧道，发送子SA建立命令消息至移动网络实体，携带是否建立子SA的指示以及业务流信息；

所述移动网络实体接收到所述子SA建立命令消息时，如果该消息中携带不建立子SA的指示，则移动网络实体在本地查找与所述业务流信息中携带的服务质量(QoS)信息对应的隧道信息，将查找到的隧道信息与所述业务流信息中携带的业务绑定信息进行匹配，如果无法匹配，建立所述业务流信息与所述隧道信息的映射关系。

15.如权利要求12、13或14所述的系统，其特征在于，所述业务流信息包括QoS信息和/或业务绑定信息。

16.如权利要求15所述的系统，其特征在于，所述业务绑定信息包括隧道端点标识、无线承载标识、五元组之一或其组合。

17.如权利要求15所述的系统，其特征在于，所述家用基站策略功能实体是用于根据所述消息中携带的QoS信息，查找是否已存在与所述QoS信息对应的隧道信息，如果不存在，则新建IPsec子隧道；否则，不新建IPsec子隧道。

18.如权利要求12、13或14所述的系统，其特征在于，所述移动网络实体还用于根据所述隧道信息和业务流信息的映射关系，将业务数据映射到相应的IPsec子隧道传输。

19.如权利要求11至14任一所述的系统，其特征在于，

所述隧道信息包括安全参数索引信息和隧道地址信息。

20.如权利要求12所述的系统，其特征在于，所述请求建立子SA的消息为携带子SA建立指示的承载授权请求或资源分配请求，或者，为新建的子SA建立请求消息。

Images