CN102986262A

CN102986262A - 通信系统中的安全中继节点

Info

Publication number: CN102986262A
Application number: CN2011800177307A
Authority: CN
Inventors: A·布鲁斯洛夫斯基; V·卡库莱夫
Original assignee: Alcatel Lucent SAS
Current assignee: Alcatel Lucent SAS; Nokia of America Corp
Priority date: 2010-04-08
Filing date: 2011-03-23
Publication date: 2013-03-20
Also published as: KR20120135310A; EP2556687A1; JP2013528020A; WO2011126744A1; US20110249609A1

Abstract

公开了用于在例如采用中继节点的环境中保护通信的技术。例如，在通信网络中，其中第一计算设备包括用户节点，第二计算设备包括中继节点，以及第三计算设备包括网络接入节点，并且该中继节点包括：用于将所述用户节点连接到所述通信网络的第一模块；和用于将所述中继节点连接到所述网络接入节点的第二模块。通过在所述用户节点与所述中继节点之间建立的接口而在所述中继节点的第一模块接收来自所述用户节点的至少一个分组。从所述中继节点的第一模块向所述中继节点的第二模块经由由所述第一模块按照安全通信协议所建立的安全信道而发送至少一个分组。从所述中继节点的所述第二模块向所述网络接入节点经由所述安全信道并且通过在所述中继节点与所述网络接入节点之间建立的接口而发送所述至少一个分组。

Description

通信系统中的安全中继节点

技术领域

本发明一般地涉及通信安全性，并且具体地涉及在例如采用中继节点的环境中用于保护通信的一种协议。

背景技术

通信系统中的中继节点是被用来将业务（例如数据、语音、多媒体，这取决于所采用网络的类型）从网络中的一个或多个节点中继到同一网络或其他网络中的一个或多个其他节点的节点。已知中继节点被用于3GPP（第三代伙伴计划）网络中。

如已知地，3GPP开发并维护技术规范（TS）和技术报告（TR），它们指定了如下网络：基于演进全球移动系统（GSM）核心网的3G移动系统和其所支持的无线接入技术，即以频分双工（FDD）和时分双工（TDD）两个模式的UMTS陆地无线接入（UTRA）。注意，UMTS代表通用移动电信系统。此外，3GPP也开发并维护指定演进无线接入技术的TS和TR，例如通用分组无线业务（GPRS）和增强型数据速率GSM演进（EDGE）。此外，长期演进（LTE）网络是3GPP指定的网络，其旨在改进UMTS移动电话标准并提供增强的用户体现和用于下一代移动宽带的简化的技术。

另外，LTE无线接入技术称作演进的UMTS陆地无线接入（E-UTRA）并且网络称作演进分组系统（EPS）。关于E-UTRA的细节可以在3GPP TR36.912中找到，并且E-UTRA的中继结构可以在3GPP TR 36.806中找到，在这里引入其公开的全部内容作为参考。然而，当前不存在针对这种3GPP网络中的中继节点的安全结构。

发明内容

本发明的原理提供了用于在例如采用中继节点的环境中保护通信的技术。

例如，在本发明的一个方面中，在通信网络中，其中第一计算设备包括用户节点，第二计算设备包括中继节点，并且第三计算设备包括网络接入节点，并且该中继节点包括：用于将所述用户节点连至所述通信网络的第一模块；和用于将所述中继节点连至所述网络接入节点的第二模块。一种方法包括以下步骤。在所述中继节点的第一模块通过在所述用户节点与所述中继节点之间建立的接口而接收来自所述用户节点的至少一个分组。从所述中继节点的第一模块向该中继节点的第二模块经由由该第一模块按照安全通信协议所建立的安全信道来发送至少一个分组。从所述中继节点的第二模块向所述网络接入节点经由所述安全信道并通过在所述中继节点与所述网络接入节点之间建立的接口而发送所述至少一个分组。

从所述中继节点的第一模块所发送的至少一个分组可以包括回程业务。所述回程业务可以包括以下各项中的至少一个：来自所述用户节点的一个或多个数据分组；和来自所述中继节点的一个或多个控制分组。

所述中继节点的第一模块可能经由本地局域网接口（例如以太网接口）而耦合到该中继节点的第二模块。

在所述用户节点和所述中继节点之间所建立的接口可以是第一无线通信接口，而在所述中继节点和所述网络接入节点之间建立的接口可以是第二无线通信接口，以使得在一个实施例中，所述第一无线通信接口不同于所述第二无线通信接口，而在另一个实施例中，所述第一无线通信结构与所述第二无线通信接口相同。

在一个实施例中，所述通信网络使用演进的UMTS陆地无线接入（E-UTRA）技术。在这种情况下，所述用户节点是UE节点，所述网络接入节点是宿主（Donor）eNodeB节点，所述中继节点的第一模块是家乡eNodeB节点，而所述中继节点的第二模块是UE节点。在UTRA实施例中，所述网络接入节点是宿主NodeB节点而所述中继节点的第一模块是家乡NodeB节点。此外，由所述第一模块按照安全通信协议所建立的安全信道可以包括互联网协议安全隧道。

在本发明的另一个方面中，一种中继节点包括：用于将用户节点连至通信网络的第一模块；和用于将所述中继节点连至所述通信网络的网络接入节点的第二模块。所述中继节点：在所述第一模块通过在所述用户节点与所述中继节点之间建立的接口而接收来自所述用户节点的至少一个分组；从所述第一模块向所述第二模块经由由该第一模块按照安全通信协议所建立的安全信道来发送至少一个分组；和从所述第二模块向所述网络接入节点经由所述安全信道并通过在所述中继节点与所述网络接入节点之间建立的接口而发送所述至少一个分组。

在本发明的又另一个方面中，一种设备包括：存储器；和耦合到该存储器的至少一个处理器，该处理器被配置成构成中继节点，该中继节点包括用于将用户节点连至通信网络的第一模块；和用于将所述中继节点连至所述通信网络的网络接入节点的第二模块。其中，所述中继节点：在所述第一模块通过在所述用户节点与所述中继节点之间建立的接口而接收来自所述用户节点的至少一个分组；从所述第一模块向所述第二模块经由由该第一模块按照安全通信协议所建立的安全信道来发送至少一个分组；和从所述第二模块向所述网络接入节点经由所述安全信道并通过在所述中继节点与所述网络接入节点之间建立的接口而发送所述至少一个分组。

根据本发明的另一方面，在通信网络中，其中第一计算设备包括用户节点，第二计算设备包括中继节点，并且第三计算设备包括网络接入节点，并且该中继节点包括用于将用户节点连至通信网络的第一模块；和用于将所述中继节点连至所述通信网络的网络接入节点的第二模块，该方法包括以下步骤。在所述中继节点的第一模块与所述中继节点的第二模块之间经由由所述第一模块按照安全通信协议建立的安全信道来传送至少一个分组。在所述中继节点的第二模块与所述网络接入节点之间经由所述安全信道并通过在所述中继节点与所述网络接入节点之间建立的接口而传送所述至少一个分组。

有利地，所述中继节点结构和本发明的方法大大降低了与中继节点的回程业务的完整性和回放保护有关的复杂度，并且为网络运营商提供了网络部署方面的改进的灵活性。

附图说明

参考附图，通过阅读下面对本发明说明性实施例的详细描述，本发明的所述和其他目的、特征和优点将变得显而易见。

图1示出了根据本发明一个实施例的E-UTRA网络；

图2示出了根据本发明另一个实施例的E-UTRA网络；

图3示出了根据本发明一个实施例的关联于混合中继节点结构的功能网络实体/单元；

图4示出了根据本发明一个实施例的关联于混合中继节点结构的受保护业务流；

图5示出了根据本发明一个实施例的用于经由中继节点连接用户设备的初始网络连接的协议；

图6示出了适于实现根据本发明实施例的一个或多个方法和协议的通信系统和计算设备的一部分的硬件结构。

具体实施方式

本发明的原理认识到对关联于通信系统中的中继节点的安全通信的需求。在后文的实施例中，E-UTRA网络将被用来说明性地描述本发明的安全技术和机制。然而，应当理解，本发明的原理不限于E-UTRA网络并且适合非常多的其中可以采用中继节点的其他网络类型。

特别地，就E-UTRA网络中的中继节点而言，本发明的说明性原理认识到对用于通过关联于中继节点的回程通信链路进行通信的完整性和回放保护的需求。

如已知地，回程通常是指包括在网络的核心网或骨干网与位于整个网络边缘的小型子网之间的中间链路的网络部分。例如，尽管与基站通信的蜂窝电话构成本地子网（或无线接入网、或UTRAN/E-UTRAN，这取决于接入技术），发射塔与核心网之间的连接开始于回程链路到PLMN（公共陆地移动网络）的核心。例如，在电信的E-UTRA网络中，回程可能是指家乡eNodeB（HeNB）节点与运营商核心网中的节点（即MME（移动管理实体）、SGW（服务网关）、PGW（分组数据网络网关））之间的一个或多个通信链路。

在本发明的E-UTRA网络实施例中，回程被看作是也包括与中继节点（RN）和与RN通信的运营商核心网的一个或多个eNodeB（eNB）节点相关联的一个或多个通信链路，如下文将详细说明的那样。通用，这部分回程可以更具体地称作RN回程。

如已知地，eNB用作用户设备（UE）节点接入PLMN的基站。UE（当用作终端用户通信设备时也称作移动台或MS）包括移动设备（ME）和UMTS用户识别模块（USIM）。移动台或用户设备的例子可以包括（但不限于）移动电话、便携式计算机、无线电子邮件设备、个人数字助理（PDA）或一些其他用户移动通信设备。

根据本发明的实施例，RN可以具有与eNB类似的结构（即发送和接收电路，和处理和存储电路），因为它在特定的情形和条件下用作UE至网络的接入点，下文将描述其实例。应当理解，这里使用的术语“节点”是指可由通信系统的一个或多个网络采用或与其关联的一个或多个部件或一个或多个设备（包括（但不限于）通信设备和计算设备）。

“完整性保护”（IP）是指保护通过RN回程发送的消息（数据）的完整性以使得攻击者无法拦截并且伪造所发送的消息。“回放保护”（RP）是指防止攻击者能够回放之前通过RN回程发送的消息。

现在参考图1，示出了根据本发明一个实施例的E-UTRA网络100。应当理解，尽管网络100显示为包括多个UE 102、多个RN 104和eNB 106，然而更多或更少的节点（例如网络部件和/或设备）可以包括该网络。

如在网络100中所显示的，在eNB与UE直接存在三种数据传输类型。它们在图1中显示为类型A、类型B和类型C（C1和C2）。注意，在该说明性实施例中，假设所显示的每种数据传输都包括无线链路连接。然而，与无线不同的其他形式的链路也可以采用。

第一，类型A数据传输是在UE 102与eNB 106之间的典型的发送/接收（例如单跳Tx/Rx）通信。第二，类型B称作UE中继，其包括直接的UE间连通性。这种通信通常由自主的ad-hoc UE间网络配置和管理来处理，并且通常被看作是未管理的频谱，例如蓝牙。这种传输也可以用来支持紧急呼叫特性。第三，类型C传输涉及中继节点发送/接收通信。如所示，RN的传输类型还被显示为C1和C2，其中C1示出了UE 102与RN 104之间的通信，而C2示出了RN 104与eNB 106之间的通信。本发明的说明性原理优选地应用于C2类型的通信或RN回程通信。

图2示出了根据本发明一个实施例的E-UTRA网络200。网络200类似于图1的网络100，因为它包括多个UE 102、多个RN 104和eNB 106。然而，网络200示出了用于例如E-UTRA网络的通信系统中的中继节点的各种不同的实例。通常，中继节点被用于覆盖扩展和比特率吞吐量增强中的一个或多个，这二者导致了终端用户体验的改善。中继使用情况包括（但不限于）：支持城市热点；最小化盲点（例如覆盖峡谷、覆盖空洞、建筑物阴影、室内、地下覆盖等）；支持室内热点；支持隔离区域（例如乡村地区）；提供临时或紧急覆盖；仅支持无线回程；和支持组移动性。这些使用情形中的一些在图2中显示。

还应当认识到，关联于中继节点的传输可以是单跳或多跳。单跳是从运营商核心网到UE的路径只包括单个RN。多跳是从运营商核心网到UE的路径涉及不止一个RN。这两种场景在图2中均被显示。

因此，使用中继节点的益处包括例如覆盖扩展和系统吞吐量和容量的改进。然而，现有中继节点具有一些一般的缺陷。例如，现有中继节点对总体系统设计和部署造成混乱。现有中继节点增加了控制/信令开销。另外，已知地，将现有中继节点添加到非中继节点网络中增加了标准规范方面的过度的复杂性。

另外，使用现有中继节点已知地具有安全性缺陷。例如，在现有E-UTRA网络中，RN使用用户平面（UP）作为回程用于其接入层/非接入层信令平面（SP），并且因而现有RN业务是不受保护的。

因此，本发明的说明性原理提供了一种用于包括混合配置的中继节点的结构。在这种混合配置中，中继节点用作：(1)eNB，特别是家乡eNodeB或HeNB，其具有对其回程的标准化IP/RP保护；和(2)面向数据的UE。应当认识到，HeNB中的IP/RP保护在3GPP TR 33.320中描述，在此引入其全部公开文本作为参考。中继节点中具有HeNB功能性的那部分称作“RN eNB”，并且中继节点中具有面向数据的UE功能性的那部分称作“RN UE”。在一个说明性实施例中，RN中的RN eNB和RN UE模块是经由行业标准化接口被连接的，例如IEEE 802.3以太网。如将变得明显的那样，这种改进大大降低了与中继节点的回程业务的完整性和回放保护有关的复杂度，并且为网络运营商提供了在网络部署方面的改进的灵活性。例如，通过将接入射频（RF）技术从回程RF技术中脱离出来，本发明的方案实现了具有演进分组系统（EPS）接入以及EPS、WiMAX和HRPD（高速分组数据）回程的混合部署。

图3示出了根据本发明一个实施例的关联于混合中继节点结构300的功能网络实体/单元。在图3中，如所示，中继节点（RN）包括两个主要部件：eNB（中继节点eNB 306）和UE（中继节点UE 304）。用户UE 302连接到中继节点eNB 306但是不知道是连接到非中继网络部件还是连接到中继节点eNB。所有中继节点eNB回程业务是通过中继节点UE 304与宿主eNB 308网络节点之间的Un接口来传输的。这种结构实现了中继节点部署的灵活性。（更详细的）功能实体如下。

用户UE 302：典型地用户UE（即图1中的任何UE 102）。这种用户UE被假定为不知道网络接入是经由RN还是直接到eNB。

RN UE 304：作为RN的组成部分的UE。RN UE通过宿主eNB功能308连接到网络运营商的接入网。只作为例子，网络运营商的例子可以包括AT&T或Verizon。

RN eNB 306：作为RN的组成部分的eNB。用户UE 302通过RN eNB306而连至网络运营商的接入网。

RN MME 310：移动性管理实体MME，其控制RN通过宿主eNB 308到RN UE 304的移动性/安全性。

用户UE MME 312：控制用户UE 302通过RN eNB 306的移动性/安全性。

中继用户SGW/PGW 314：用于中继节点UE的网络连接网关。它的功能性类似于用户UE SGW/PGW 318。

中继网关316：负责回程中继节点业务的安全性的网络单元。

用户UE SGW/PGW 318：用于用户UE的网络连接网关。它在功能上类似于中继UE SGW/PGW 314。

SGW/PGW（服务网关和PDN（分组数据网络）网关）路由并转发用户数据分组。SGW在eNodeB间切换期间也用作用户平面的移动锚点，而PGW用过LTE与其他3GPP技术之间的移动性的锚点。对于空闲状态的UE而言，当该UE的DL（下行链路）数据到达时，SGW端接DL数据路径并且触发寻呼。SGW管理并存储UE上下文，例如网络内部路由信息、IP承载业务的参数。SGW也在合法拦截的情况下执行对用户业务的复制。PGW提供例如分组过滤、IP地址分配、合法拦截、UL（上行链路）和DL传输层分组标记等的功能。

接口Uu 320：典型的EPS空中接口。

接口Un 322：RN UE 304与宿主eNB 308之间的空中接口。

在一个说明性实施例中，RN eNB 306是用户UE 302与其直接连接的网络节点。宿主eNB 308具有与其相连的RN UE 304，并且Un接口322被用于传输RN eNB 306的所有回程业务。

这里出现的主要安全问题之一是所有RN eNB业务（包括其用户平面（UP）和控制平面（CP）业务）在RN UE UP业务中被传输。

然而，对于每个现有规范，EPS UP业务对于回放和完整性而言是不受保护的（但是可以是机密性受保护的）。CP的非接入层（NAS）部件是端到端（用户UE到用户MME）机密性、完整性和回放受保护的。同时，CP的接入层（AS）部件从RN eNB到RN MME不必是受保护的。S1RN MME空中接口的这种开放性招致攻击。

本发明的说明性原理认识到，对全部回程RN eNB业务的机密性、完整性和回放保护能够通过在运营商网络的安全网关与RN eNB之间部署隧道模式的IPSec（互联网协议安全）而得到实现。这样，混合中继节点的RN eNB部分的功能类似于家乡eNB节点（或UTRAN中的家乡NB，或更一般地H(e)NB，如下文将说明的）。

如已知地，IPSec是一种用于通过认证和加密数据流中的每个IP分组来保护互联网协议（IP）通信的协议簇。IPSec也包括用于在要在会话期间使用的密钥协商和会话开始时，在代理之间建立相互认证的协议。IPSec能够被用来保护主机对之间（例如计算机用户或服务器）、安全网关对之间（例如路由器或防火墙）或安全网关与主机之间的数据流。

IPSec是在OSI模型第3层或互联网协议簇的互联网层操作的双模、端到端的安全方案。广泛使用的一些其他互联网安全系统，例如安全套接层（SSL）、安全传输层（TLS）和安全外壳（SSH），在这些模型的上层中操作。因此，IPSec可以被用来保护穿过互联网的任何应用业务。应用不必被专门设计成使用IPSec。另一方面，对TLS/SSL的使用典型地必须被纳入应用的设计。

IPSec是由互联网工程任务组（IETF）在针对各种不同的组件和扩展的一组请求注解（RFC）中定义的。特别地，互联网协议（IP）的安全结构在IETF RFC 4310中被定义，而RFC 4302、RFC 4303和RFC 4306定义了由IPSec用来建立安全关联、完整性保护、认证和机密性保护的协议。在这里引入每个RFC的公开文本的全部内容作为参考。

因此，通过使用HeNB作为RN eNB，本发明的原理减少了标准化工作和复杂度，其解决了上述业务保护问题。

图4示出了根据本发明一个实施例的关联于混合中继节点结构的受保护业务流400。图4中所示的单元类似于上面描述的和在图3的上下文中所说明的。因此，图4示出了用户UE 402、包括RN eNB 406和RN UE 408的RN 404和宿主eNB 410。如所示，用户UE业务（UP和CP组件二者）通过用户UE 402与RN eNB 406之间的安全关联来被空中（over-the-air）保护。至于RN eNB 406的权利，这种业务是在同一IPSec隧道中与RNeNB CP业务一起被保护的。对于RN eNB-RN UE上的接口而言，RN eNB回程业务是在IPSec隧道内部通过行业标准LAN（局域网）接口而被发送的，例如IEEE 802.3以太网标准，在此引入其全部公开文本作为参考。从RN UE 408到宿主eNB 410，RN eNB回程业务是在IPSec隧道内部通过E-UTRA（或其他无线接入技术）而被发送的。保护RN eNB回程业务的IPSec隧道是在SeGW（安全网关）被端接的，该SeGW或者位于宿主eNB的后面或者与该宿主eNB共同定位。

注意，如图4所示，RN回程业务可以包括用户UE业务（一个或多个数据分组）和RN控制业务（一个或多个控制分组）中的一个或多个。也就是说，只作为例子，通过RN回程被安全传送的一个或多个分组可以包括关联于RN与核心网之间的控制功能的分组，并且它们可以包括关联于与终端用户UE有关（即两个穿过网络运营商的核心网通信的终端用户之间）的多媒体通信的分组。

还应当注意，在该说明性结构中，RN eNB和RN UE可以利用相同或不同的接入技术，以确保附加的部署灵活性。也就是说，通过将由RN eNB和RN UE执行的功能剥离出来，本发明的说明性原理使得用户UE与RN之间通信接口（Uu）不同于RN与宿主eNB之间的通信接口（Un）。然而，取决于中继节点部署于其中的通信网络，Uu和Un可以是相同的接入技术。同样，为了清楚，图4中省略了RN UE相关的网络单元。

图5示出了根据本发明的一个实施例的用于用户UE经由RN连接的初始连接的协议500。注意，在该图中，HRN是指本发明中的混合RN。同样，协议500中的实体具有与上面描述的和图3所示的相同的参考号码。协议500如下进行：用户UE完成与HRN的RRC（无线资源控制）建立过程（标准EPS过程）（步骤502）；注意，EPS连接过程的安全方面在TS 33.401中指明，而UMTS连接过程的安全方面在TS 33.102中指明，在此引入其公开文本的全部内容作为参考。

用户UE发送连接请求消息给HRN（标准EPS过程）（步骤504）。

HRN将连接请求中继到宿主eNB（DeNB）（步骤506）。

DeNB将连接请求通过MME HRN和SGW HRN转发到MME UE（步骤508）；注意，该连接请求是在HRN UE UP业务中被承载的并且经过SGW HRN。

MME和用户UE相互认证（标准EPS过程）（步骤510）。

MME UE和SGW UE创建默认承载（标准EPS过程）（步骤512）。

MME UE经由SGW HRN（参见步骤508中的注意）发送承载建立请求至DeNB（步骤514）。

DeNB将承载建立请求中继到HRN（步骤516）。

HRN和用户UE执行RRC重新配置过程（标准EPS过程）（步骤518）。

HRN发送承载建立响应至DeNB（步骤520）。

DeNB将承载建立响应经由SGW HRN中继到MME UE（参见步骤508中的注意）（步骤522）。

MME UE和SGW UE执行承载更新过程（标准EPS过程)(步骤524）。

因此，用户UE现在经由HRN连接到网络，并且所有HRN回程业务按照这里描述的本发明说明性原理而受到保护。

应当认识到，上行链路（UL）业务可以经由同一信道（IPSec隧道）或可以建立的一个或多个其他这种信道而从核心网被发送到用户UE。

同样，应当理解，这里描述的本发明的说明性原理也适用于UTRA网络，以及其他网络。在UTRA网络（UTRAN）的情况下，术语家乡eNodeB（HeNB）更改成家乡NodeB（HNB）并且宿主eNodeB更改成宿主NodeB（注意字母“e”被丢弃）。实际上，H(e)NB可以被用来参考E-UTRAN家乡基站节点或UTRAN家乡基站节点。因此，本发明的说明下原理允许简单地通过将家乡NodeB（HNB）用作RN NodeB而将UTRA用作用户UE接入技术。

最后，图6示出了根据本发明上述原理的适于实现受保护中继节点回程业务的通信网络600的广义硬件结构。

如所示，中继节点610（对应于RN 404）和基站620（对应于宿主eNB410）经由通信网络介质650而有效地耦合。网络介质可以是中继节点和基站被配置成穿过其通信的任何网络介质。作为例子，网络介质可以承载IP分组并且可以包括上述任何通信网络。然而，本发明不限于特定类型的网络介质。尽管未在这里明确显示，然而应当理解，图3、4和5中所示的其他网络单元（其可以具有下文所描述的相同的处理器/存储器配置）有效耦合到中继节点和/或eNB。

如对本领域技术人员而言显而易见地，所述单元可以实现为在计算机程序代码的控制下操作的编程计算机。该计算机程序代码被存储在计算机（或处理器）可读存储介质（例如存储器）中，并且该代码由计算机的处理器来执行。给定本发明所公开的内容，本领域技术人员可以容易地制造合适的计算机程序代码从而实现这里描述的协议。

然而，图6一般地示出了通过网络介质通信的每个设备的示例性结构。如所示，中继节点610包括I/O设备612、处理器614和存储器616。参考号码618旨在代表中继节点的发送/接收电路。基站620包括I/O设备622、处理器624和存储器626。参考号码628旨在代表基站的发送/接收电路。

应当理解，这里使用的术语“处理器”旨在包括一个或多个处理设备，这包括中央处理单元（CPU）或其他处理电路，包括（但不限于）一个或多个信号处理器、一个或多个集成电路等等。同样，这里使用的术语“存储器”旨在包括关联于处理器或CPU的存储器，例如RAM、ROM、固定存储设备（例如硬驱）、或可移除存储设备（例如软盘或CDROM）。此外，这里使用的术语“I/O设备”旨在包括一个或多个输入设备（例如键盘、鼠标）用于输入数据至处理单元，以及一个或多个输出设备（例如CRT显示器）用于提供关联于处理单元的结果。

因此，用于执行这里描述的本发明方法的软件指令或代码可以被存储在一个或多个关联的存储设备中，例如ROM、固定或可移除的存储器，并且当准备好被使用时被载入RAM并且由CPU来执行。也就是说，图6所示的每个计算设备（610和620）可以被单独地编程以执行图1到图5所示的协议和功能的各个步骤。

同样，应当理解，块610和620每个都可以通过不止一个分离的网络节点或计算设备而被实现。例如，中继节点610的RN eNB部分（图3中的306）可以在与被用来实现中继节点610的RN UE部分（图3中的304）的网络节点或计算设备在物理上和/或逻辑上相分离的网络节点或技术设备中被实现。然而，在一个可选的实施例中，RN eNB部件和RN UE部件可以在一个外壳或单个通信设备中被共同定位以使得它可以被动态地部署到通信环境中（即在现场中部署）从而促进终端用户接入核心网。

尽管这里已经参考附图描述了本发明的说明性实施例，然而应当理解，本发明不限于那些确切的实施例，并且本领域技术人员可以在不脱离本发明范围或精神的前提下实现各种不同的其他更改和修改。

Claims

1.一种方法，包括：

在通信网络中，其中第一计算设备包括用户节点，第二计算设备包括中继节点，以及第三计算设备包括网络接入节点，并且该中继节点包括：用于将所述用户节点连接到所述通信网络的第一模块；和用于将所述中继节点连接到所述网络接入节点的第二模块；

通过在所述用户节点与所述中继节点之间建立的接口而在所述中继节点的所述第一模块接收来自所述用户节点的至少一个分组；

从所述中继节点的所述第一模块向所述中继节点的所述第二模块经由由所述第一模块按照安全通信协议所建立的安全信道而发送至少一个分组；和

从所述中继节点的所述第二模块向所述网络接入节点经由所述安全信道并且通过在所述中继节点与所述网络接入节点之间建立的接口而发送所述至少一个分组。

2.根据权利要求1所述的方法，其中，从所述中继节点的所述第一模块发送的所述至少一个分组包括回程业务。

3.根据权利要求1所述的方法，其中，所述中继节点的所述第一模块经由局域网接口而耦合到所述中继节点的所述第二模块。

4.根据权利要求1所述的方法，其中，在所述用户节点与所述中继节点之间所建立的接口是第一无线通信接口，而在所述中继节点与所述网络接入节点之间所建立的接口是第二无线通信接口。

5.根据权利要求1所述的方法，其中，所述通信网络使用演进UMTS陆地无线接入（E-UTRA）技术和UMTS陆地无线接入（UTRA）技术中的一个。

6.根据权利要求1所述的方法，其中，由所述第一模块按照所述安全通信协议而建立的所述安全信道包括互联网协议安全隧道。

7.一种中继节点，包括：

用于将用户节点连接到通信网络的第一模块；和

用于将所述中继节点连接到所述通信网络的网络接入节点的第二模块；

其中，所述中继节点：通过在所述用户节点与所述中继节点之间建立的接口而在所述第一模块接收来自所述用户节点的至少一个分组；从所述第一模块向所述第二模块经由由所述第一模块按照安全通信协议所建立的安全信道而发送至少一个分组；和从所述第二模块向所述网络接入节点经由所述安全信道并且通过在所述中继节点与所述网络接入节点之间建立的接口而发送所述至少一个分组。

8.根据权利要求7所述的中继节点，其中，所述通信网络使用演进UMTS陆地无线接入（E-UTRA）技术和UMTS陆地无线接入（UTRA）技术中的一个，并且所述用户节点是UE节点，所述网络接入节点是宿主eNodeB节点（E-UTRA）和宿主NodeB（UTRA）中的一个，所述第一模块是家乡eNodeB节点（E-UTRA）和家乡NodeB（UTRA）中的一个，并且所述中继节点的第二模块是UE节点。

9.一种设备，包括：

存储器；和

至少一个处理器，其耦合到所述处理器并且被配置成构成中继节点，该中继节点包括用于将用户节点连接到通信网络的第一模块；和用于将所述中继节点连接到所述通信网络的网络接入节点的第二模块，其中，所述中继节点：通过在所述用户节点与所述中继节点之间建立的接口而在所述第一模块接收来自所述用户节点的至少一个分组；从所述第一模块向所述第二模块经由由所述第一模块按照安全通信协议所建立的安全信道而发送至少一个分组；和从所述第二模块向所述网络接入节点经由所述安全信道并且通过在所述中继节点与所述网络接入节点之间建立的接口而发送所述至少一个分组。

10.一种方法，包括：

在所述中继节点的所述第一模块与所述中继节点的所述第二模块之间经由由所述第一模块按照安全通信协议所建立的安全信道而传送至少一个分组；和

在所述中继节点的所述第二模块与所述网络接入节点之间经由所述安全信道并且通过在所述中继节点与所述网络接入节点之间建立的接口而传送所述至少一个分组。