CN103929740B - 数据安全传输方法及lte接入网系统 - Google Patents

数据安全传输方法及lte接入网系统 Download PDF

Info

Publication number
CN103929740B
CN103929740B CN201310013744.2A CN201310013744A CN103929740B CN 103929740 B CN103929740 B CN 103929740B CN 201310013744 A CN201310013744 A CN 201310013744A CN 103929740 B CN103929740 B CN 103929740B
Authority
CN
China
Prior art keywords
lte
lpn
key
menb
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201310013744.2A
Other languages
English (en)
Other versions
CN103929740A (zh
Inventor
王昕�
和峰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201310013744.2A priority Critical patent/CN103929740B/zh
Priority to PCT/CN2013/083505 priority patent/WO2014110908A1/zh
Publication of CN103929740A publication Critical patent/CN103929740A/zh
Application granted granted Critical
Publication of CN103929740B publication Critical patent/CN103929740B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement

Abstract

本发明公开了一种数据安全传输方法及LTE接入网。该方法包括：MeNB从核心网获取基站密钥，根据基站密钥生成第一接入层密钥，并使用第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给LTE用户设备；MeNB确定LTE用户设备的用户数据的分流策略，并向相应的LPN发送为LTE用户设备提供多流传输服务的请求消息；MeNB接收LPN发送的请求响应，根据分流策略将从核心网接收到的用户数据中的一部分使用第一接入层密钥对相应用户数据进行加密后发送给LTE用户设备，将用户数据中的另一部分发送给LPN；LPN使用第二接入层密钥对相应的用户数据进行加密，并将加密后的用户数据发送给LTE用户设备。

Description

数据安全传输方法及LTE接入网系统
技术领域
本发明涉及移动通讯领域，特别是涉及一种数据安全传输方法及长期演进（LongTerm Evolution，简称为LTE）接入网系统。
背景技术
在现有技术中，随着无线通信技术和协议标准的不断演进，移动分组业务经历了巨大的发展，单个终端的数据吞吐能力不断提升。以LTE系统为例，在20M带宽内可以支持下行最大速率为100Mbps的数据传输；后续的增强LTE（LTE Advanced，简称为LTE-A）系统中，数据的传输速率将进一步提升，甚至可以达到1Gbps。
终端数据业务量膨胀式的增长，使得移动网络的服务能力和部署策略都面临着巨大的压力与挑战。运营商一方面需要增强现有的网络部署和通讯技术，另一方面希望加快新技术的推广和网络拓展，从而达到快速提升网络性能的目的。而移动通信系统发展至今，仅通过对宏网络（Macro networks）进行增强以提供经济、灵活、高能力的服务变得越来越困难，因此，部署低功率节点（Low power Node，简称为LPN）提供小小区（Small cell）覆盖的网络策略成为了一个极具吸引力的解决方案，尤其是在数据传输量巨大的室内/室外热点地区需要为用户提供良好的用户体验时。
LPN部署方面的增强已经被第三代伙伴组织计划（Third GenerationPartnership Projects，简称为3GPP）确认为未来网络发展中最令人感兴趣的课题之一。在宏网络的覆盖范围中部署LPN，其传输、移动、安全和干扰等方面都与传统的宏网络有很大不同，在各基站独立为终端提供服务的过程中既存在诸多问题，又无法满足大数据量及高移动性的业务需求；而因为实际限制和历史因素等原因，LPN后向链路（Backhaul）的选择也是多种多样的，各接口的特性均有所不同，与宏网络间的协调交互有限。因此，在部署了LPN的场景中，如何利用其特点与宏基站（Macro eNB，简称为MeNB）间保持良好的协作机制，从而为用户终端（User Equipment，简称为UE）提供优化的通讯服务，以满足更高带宽、更好性能、更低成本、更安全且适用多种后向链路的需求，是LTE通讯系统未来发展中亟需解决一个重要议题。
因此，目前急需一种部署了宏基站与低功率节点的异构网络为UE提供联合传输服务的系统架构以及在该架构中实现安全传输数据的方法。
发明内容
本发明提供一种数据安全传输方法及LTE接入网系统，以满足用户更高带宽、更好性能、更低成本、更安全且适用多种后向链路的需求。
本发明提供一种数据安全传输方法，用于基于长期演进LTE系统的异构网络，异构网络包括：LTE核心网、LTE接入网、以及LTE用户设备，LTE接入网中部署有一个或多个宏基站MeNB，在MeNB的覆盖范围内部署有一个或多个低功率节点LPN，上述方法具体包括：在LTE用户设备接入MeNB时，MeNB从LTE核心网获取基站密钥，根据基站密钥生成第一接入层密钥，并通过其与LTE用户设备之间的控制面接口，使用第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给所述LTE用户设备；MeNB确定LTE用户设备的用户数据的分流策略，并通过其与LPN之间的后向链路接口，向相应的LPN发送为LTE用户设备提供多流传输服务的请求消息、LPN所需的控制面信息、以及第二接入层密钥；MeNB接收LPN发送的请求响应，根据分流策略将从核心网接收到的用户数据中的一部分通过其与LTE用户设备之间的用户面接口，使用第一接入层密钥对相应用户数据进行加密后发送给LTE用户设备，将用户数据中的另一部分通过后向链路接口发送给LPN；LPN使用第二接入层密钥对相应的用户数据进行加密，并通过其与LTE用户设备之间的用户面接口将加密后的用户数据发送给LTE用户设备。
优选地，第一接入层密钥包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
优选地，上述方法还包括：LPN通过其与LTE用户设备之间的控制面接口，接收LTE用户设备上报的测量结果信息，并根据测量结果信息调整对LTE用户设备的调度。
优选地，上述在LPN与LTE用户设备之间仅具有用户面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥；在LPN与LTE用户设备之间具有用户面接口和控制面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
优选地，上述第一接入层密钥与第二接入层密钥相同或不相同；在第一接入层密钥与第二接入层密钥不相同时，LTE用户设备需要支持两套安全算法。
优选地，上述MeNB确定用户数据的分流策略具体包括：MeNB至少根据网络负载、以及LTE用户设备上报的测量结果信息，以无线承载为分流粒度确定用户数据的分流策略。
优选地，上述在分流策略以无线承载为分流粒度时，分流策略的协议栈形式包括：在MeNB和LPN上分别设置有用于进行安全保护的数据包汇聚协议实体，以及各低层协议实体，其中各低层协议实体具体包括：无线链路控制子层、媒体接入控制子层、以及物理层。
优选地，上述方法还包括：在多流传输服务过程中，根据运营商、LTE核心网、或LTE接入网的需求，需要进行密钥更新时，MeNB通过后向链路接口向LPN发送密钥更新指示，密钥更新指示中携带有新的接入层密钥；MeNB接收LPN通过后向链路接口反馈的密钥更新响应，并通过其与LTE用户设备之间的控制面接口通知LTE用户设备密钥的更新。
本发明还提供了一种LTE接入网系统，LTE接入网中部署有一个或多个宏基站MeNB，在MeNB的覆盖范围内部署有一个或多个低功率节点LPN：MeNB，用于在LTE用户设备接入MeNB时，从LTE核心网获取基站密钥，根据基站密钥生成第一接入层密钥，并通过其与LTE用户设备之间的控制面接口，使用第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给所述LTE用户设备；确定所述LTE用户设备的用户数据的分流策略，并通过其与LPN之间的后向链路接口，向相应的LPN发送为LTE用户设备提供多流传输服务的请求消息、LPN所需的控制面信息、以及第二接入层密钥；接收LPN发送的请求响应，根据分流策略将从核心网接收到的用户数据中的一部分通过其与LTE用户设备之间的用户面接口，使用第一接入层密钥对相应用户数据进行加密后发送给LTE用户设备，将用户数据中的另一部分通过后向链路接口发送给LPN；LPN，用于接收MeNB发送的为LTE用户设备提供多流传输服务的请求消息，并向MeNB发送请求响应；使用第二接入层密钥对相应的用户数据进行加密，并通过其与LTE用户设备之间的用户面接口将加密后的用户数据发送给LTE用户设备。
优选地，上述第一接入层密钥包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
优选地，上述LPN进一步用于：通过其与LTE用户设备之间的控制面接口，接收LTE用户设备上报的测量结果信息，并根据测量结果信息调整对LTE用户设备的调度。
优选地，上述在LPN与LTE用户设备之间仅具有用户面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥；在LPN与LTE用户设备之间具有用户面接口和控制面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
优选地，上述第一接入层密钥与第二接入层密钥相同或不相同；在第一接入层密钥与第二接入层密钥不相同时，LTE用户设备需要支持两套安全算法。
优选地，上述MeNB具体用于：至少根据网络负载、以及LTE用户设备上报的测量结果信息，以无线承载为分流粒度确定用户数据的分流策略。
优选地，上述在分流策略以无线承载为分流粒度时，分流策略的协议栈形式包括：MeNB和LPN上分别设置有用于进行安全保护的数据包汇聚协议实体，以及各低层协议实体，其中各低层协议实体具体包括：无线链路控制子层、媒体接入控制子层、以及物理层。
优选地，上述MeNB进一步用于：在多流传输服务过程中，根据运营商、LTE核心网、或LTE接入网的需求，需要进行密钥更新时，通过后向链路接口向LPN发送密钥更新指示，密钥更新指示中携带有新的接入层密钥；接收LPN通过后向链路接口反馈的密钥更新响应，并通过其与LTE用户设备之间的控制面接口通知LTE用户设备密钥的更新。
本发明有益效果如下：
本发明实施例通过负荷较重的MeNB可以将部分用户数据分流到LPN进行传输，UE在Small cell间移动时也可以减少切换流程中的信令，减轻了网络的消息负载；而对UE来说，多载波传输的频带拓宽能够更好的满足大数据量业务的需求，与距离较近的LPN传输也更为省电，该系统架构很好的提升了用户体验；此外，在本发明实施例的系统架构中，通过异构接入网中宏基站将密钥传输给LPN，使得LPN与UE间无线链路上的传输可以实现配置的安全保护功能，保障了该系统架构的安全性能。本发明实施例的技术方案能够安全、可靠的为UE提供良好的联合传输服务。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1是本发明实施例的节点部署场景示意图；
图2是本发明的系统架构的示意图；
图3是本发明实施例的数据安全传输方法的流程图；
图4是本发明实施例的分流策略的一个可行的协议栈形式的示意图；
图5是本发明实施例的用户面和控制面协议栈形式的示意图；
图6是本发明实施例的实例1的信令流程图；
图7是本发明实施例的实例2的信令流程图；
图8是本发明实施例的实例3的信令流程图；
图9是本发明实施例的LTE接入网系统的结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
为了满足用户更高带宽、更好性能、更低成本、更安全且适用多种后向链路的需求，本发明提供了一种部署了宏基站与低功率节点的异构网络为UE提供联合传输服务的系统架构以及在该架构中实现安全传输数据的方案，该架构与方案适用于各种Backhaul链路，能够安全、可靠的为UE提供良好的联合传输服务。以下结合附图以及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不限定本发明。
方法实施例
根据本发明的实施例，提供了一种数据安全传输方法，用于基于长期演进LTE系统的异构网络，异构网络包括：LTE核心网、LTE接入网、以及LTE用户设备，LTE接入网中部署有一个或多个宏基站MeNB，在MeNB的覆盖范围内部署有一个或多个低功率节点LPN。
具体地，图1是本发明实施例的节点部署场景示意图，如图1所示，MeNB的覆盖范围内（如在热点地区）部署有一个或多个LPN，该LPN可以是低功率微基站（Pico eNB）、中继节点（Relay Node）或家庭基站（HeNB）。相应的，LPN与MeNB间的Backhaul接口可以是有线接口（如光纤）或无线接口（如Un口）。
图2是本发明的系统架构的示意图，如图2所示，该系统包括LTE核心网（CoreNetwork，简称CN）、MeNB和LPN组成的LTE接入网、以及可支持多数据流收发机制的LTE用户设备。其中，LTE核心网同现有LTE网络的核心网。所述LTE接入网包括MeNB和LPN。MeNB与核心网、UE间分别为现有的控制面（Control Plane，简称CP）、用户面（User Plane，简称UP）连接，LPN和UE之间可以为UP连接，也可以为UP和CP连接，MeNB与LPN间为可传输控制信令与用户数据的Backhaul接口（有线或无线）。
图3是本发明实施例的数据安全传输方法的流程图，如图3所示，根据本发明实施例的数据安全传输方法包括如下处理：
步骤301，在LTE用户设备接入MeNB时，MeNB从核心网获取基站密钥，根据基站密钥生成第一接入层密钥，并通过其与LTE用户设备之间的控制面接口，使用第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给所述LTE用户设备；也就是说，在分流之前，MeNB与LTE用户设备根据现有技术进行正常的用户数据交互和控制信令交互。
其中，第一接入层密钥包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
步骤302，MeNB确定LTE用户设备的用户数据的分流策略，并通过其与LPN之间的后向链路接口，向相应的LPN发送为LTE用户设备提供多流传输服务的请求消息、LPN所需的控制面信息、以及第二接入层密钥；
在步骤302中，MeNB确定用户数据的分流策略具体包括：MeNB至少根据网络负载以及LTE用户设备上报的测量结果信息（MeNB还可以根据其他信息），以无线承载为分流粒度确定用户数据的分流策略。其中，上述在分流策略以无线承载为分流粒度时，分流策略的协议栈形式包括：在MeNB和LPN上分别设置有用于进行安全保护的数据包汇聚协议实体，以及各低层协议实体，其中各低层协议实体具体包括：无线链路控制子层、媒体接入控制子层、以及物理层。
步骤303，MeNB接收LPN发送的请求响应，根据分流策略将从核心网接收到的用户数据中的一部分通过其与LTE用户设备之间的用户面接口，使用第一接入层密钥对相应用户数据进行加密后发送给LTE用户设备，将用户数据中的另一部分通过后向链路接口发送给LPN；
步骤304，LPN使用第二接入层密钥对相应的用户数据进行加密，并通过其与LTE用户设备之间的用户面接口将加密后的用户数据发送给LTE用户设备。
优选地，在本发明实施例中，LPN可以通过其与LTE用户设备之间的控制面接口，接收LTE用户设备上报的测量结果信息，并根据测量结果信息调整对LTE用户设备的调度。
需要说明的是，在LPN与LTE用户设备之间仅具有用户面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥；在LPN与LTE用户设备之间具有用户面接口和控制面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
并且，在本发明实施例中，第一接入层密钥与第二接入层密钥相同或不相同；在第一接入层密钥与第二接入层密钥不相同时，LTE用户设备需要支持两套安全算法。
在本发明实施例中，在多流传输服务过程中，根据运营商、LTE核心网、或LTE接入网的需求，需要进行密钥更新时，MeNB需要通过后向链路接口向LPN发送密钥更新指示，密钥更新指示中携带有新的接入层密钥；MeNB接收LPN通过后向链路接口反馈的密钥更新响应，并通过其与LTE用户设备之间的控制面接口通知LTE用户设备密钥的更新。
以下结合附图，对本发明实施例的上述技术方案进行详细的说明。
从控制面来讲，MeNB一方面负责与UE间的全部控制信令，另一方面负责LPN所需的控制面信息，使得LPN可持有必要的UE上下文信息、配置各协议层、对UE实施有效的调度；优选地，LPN与UE间也可以有CP连接（具备的可能是现有CP连接的部分功能），从而更及时的获取如UE的测量结果等信息，以便快速的调整调度策略。从用户面来讲，MeNB根据自身决定的分流策略，将从核心网接收到的UE用户数据一部分通过自身与UE间的UP连接发送给UE，另一部分通过Backhaul接口发送给LPN，再由LPN以现有技术为基础通过空口发送给UE。
其中，MeNB决定的UE数据分流策略可以是以无线承载（Radio Bearer，简称RB）为分流粒度的，也就是说，对于服务质量（Quality of Service，简称QoS）不同的业务，MeNB可根据其QoS特性决定将其通过不同的载波链路分别传输给UE。例如，实时业务（如话音）在MeNB与UE间的链路上传输，而数据量大、时延容忍的业务（如视频下载）被分流到LPN再传输给UE。
举例来讲，图4是本发明实施例的分流策略的一个可行的协议栈形式的示意图，如图4所示，包括MeNB将分流数据传输到LPN、再传递给UE的用户面部分（上行数据则反向）；MeNB与LPN间接口、及可能的LPN与UE间接口的控制面部分。其中，MeNB与LPN间的Backhaul接口协议栈形式根据具体接口的有线/无线等特性，也可以是其他形式（比如GTP-U也可以由其他协议所置换）。可以看到，在以RB为分流粒度时，网络侧分别有数据包汇聚协议（Packet Data Convergence Protocol，简称PDCP）实体及以下各低层协议实体（无线链路控制子层（Radio Link Control，简称RLC）、媒体接入控制子层（Medium Access Control，简称MAC）、物理层（Physical layer，简称PHY））位于MeNB和LPN。图5是本发明实施例的用户面和控制面协议栈形式的示意图。负荷较重的MeNB可以将部分用户数据分流到LPN进行传输，UE在Small cell间移动时也可以减少切换流程中的信令，减轻了网络的消息负载；而对UE来说，多载波传输的频带拓宽能够更好的满足大数据量业务的需求，与距离较近的LPN传输也更为省电，该系统架构很好的提升了用户体验。
在用户与接入网通过无线接口进行消息传递的过程中，网络侧需要提供足够的安全保障机制，以防止消息被攻击者中途截获及轻易破解。在LTE系统中，当UE附着到网络中时，MeNB从核心网获取基站密钥（eNB Key，记作KeNB）和/或，派生出接入层密钥（AccessStratum Key，简称AS Key）。AS Key包括用户面加密密钥（UP Key，KUPenc）、控制面加密密钥（RRC Key，KRRCenc）以及控制面完保密钥（RRC Key，KRRCint），分别用于用户面数据的加密、控制面信令的加密以及控制面信令的完整性保护。以下行为例，MeNB利用所述ASKey与相应的加密/完保算法对发送信息提供配置的安全保护，UE接收后依据对应的密钥及算法对该消息进行解密/完整性验证等处理。所述功能均位于协议栈的PDCP层。
在本发明的系统架构中，LPN仅是在接入网中承担分流数据传输任务的协作基站，并不与核心网存在直接信息交互；而因为MeNB与LPN间以RB为分流粒度进行数据分流并对UE提供联合数据传输服务，如前述协议栈架构所示，PDCP层分别位于MeNB与LPN。因此，LPN无法从核心网获取KeNB，PDCPLPN也就无法对分流数据及可能的控制信令进行加密/完保的安全性保护了，安全问题极其严重。
因为，在本发明实施例的架构中，对获得联合传输服务的UE，MeNB需要将其必需的密钥传输给承担分流传输的LPN。但是，如果MeNB将KeNB传输给LPN以便以派生AS Key，那么因为LPN在物理上的安全性能低于MeNB，即易于被攻击者侵入、密钥泄露的风险很大。一旦LPN侧的KeNB被破解，MeNB侧的KeNB也就随之泄露了，故接入网中两个基站共用同一KeNB的方案不可行。
为了安全、有效的解决所述架构中的这一问题，本发明实施例提出如下解决方案：LPN从MeNB获取安全密钥（AS Key），对无线接口上传输的分流数据及可能的控制信令依据配置执行相应的安全保护。所述安全密钥指的是MeNB依据KeNB派生的AS Key，由MeNB依据网络配置及UE能力（支持一套/两套安全上下文）决定传输给LPN的AS Key与MeNB自身所用的AS Key是否一致。
所述安全密钥依据具体的分流形式而有所不同：如果LPN与UE间只有分流数据的传输（即只有UP），那么AS Key只包括UP Key，即KUPenc；如果LPN与UE间有分流数据和控制信令的传输（即具有UP和CP，即使只是CP的一部分），那么AS key包括全部的UP Key和RRCKey，即KUpenc，以及KRRCenc和KRRCint中的至少一项。
LPN从MeNB获取安全密钥的条件有下述（但不限于）两种情况：一是分流服务请求时，MeNB将分流承载、安全密钥等必要信息通过Backhaul接口传输给LPN；二是安全密钥更新时，即如果在联合传输服务的过程中，依据运营商、核心网或MeNB/LPN自身有更新该UE密钥的需求，那么MeNB将更新后的安全密钥通过Backhaul接口传输给LPN。
通过上述系统及安全传输数据的实现方法，在本发明的系统架构中，通过异构接入网中宏基站将密钥传输给LPN，使得LPN与UE间无线链路上的传输可以实现配置的安全保护功能，保障了该系统架构的安全性能。
下面结合不同的实施例对本发明实施例进行举例说明。
实例1：网络中部署有MeNB和LPN，这两种节点组成了本发明系统架构的接入网，LPN承担分流数据的传输。在网络侧决定为UE提供跨基站多流联合传输服务的准备过程中，MeNB将AS Key传输给LPN，以便其可以执行安全保护功能。图6是本发明实施例的实例1的信令流程图，如图6所示，具体包括如下处理：
步骤1，UE按照现有的LTE流程接入到MeNB建立的宏小区中，并与之建立了可传输控制面信息的CP连接（RRC Connection）和可传输用户数据的UP连接。MeNB从核心网获取KeNB，据此派生出AS Key（包括UP Key及RRC Key），并利用此AS Key与相应的加密/完保算法共同为发送/接收的信息提供配置的安全保护功能。
步骤2，MeNB根据网络负荷及UE的测量上报等信息，决定将该UE的某数据承载分流到LPN进行传输，其余的承载则仍在MeNB与UE间的无线链路上进行传输。
MeNB将必要的UE上下文等信息通过Backhaul接口传输给LPN以请求为该UE提供多流传输服务，例如，所述信息可携带在一称为“承载建立请求”的消息（也可以是其他现有消息、或一条新的消息，下述提到消息名称的处理均与此相同）中，包括分流承载的相关参数、UE的安全能力等。本发明中，该消息应携带有MeNB根据KeNB派生出的AS Key。
在本实例中LPN与UE间只有UP连接（如图6所示，即LPN只承担分流数据的传输），那么MeNB传输给LPN的AS Key只包含UP Key（如KUPenc）。
可选的，MeNB传输给LPN的AS Key与MeNB自身所用的AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文，即UE在与MeNB、LPN间两无线载波上发送/接收的消息分别使用不同的安全密钥进行加/解密和完整性保护/验证。
LPN同意分流承载的建立后回复响应消息，如可称为“承载建立响应”消息，消息中可携带准入承载的列表及对UE各协议层的具体配置等信息。
步骤3，MeNB接收到LPN回复的同意分流响应消息后，通知UE接入该LPN建立的小区（Small cell）。在本实例中，UE只与LPN建有UP连接，那么该无线载波上传输的用户数据会有密钥（KUPenc）和算法依据配置进行的加密保护，也就是说，发送端（如MeNB或LPN）与接收端（如UE）对两者间无线链路上交互的用户数据可以利用有效的密钥和已知的算法分别进行加密与解密操作，网络的安全性能需求得以保证了。
实例2：与实例1的部署场景相同。在MeNB与LPN为UE提供联合传输的服务过程中，MeNB侧更新了密钥，则其需要将更新后的密钥通知LPN，以便其有效的执行安全保护功能。图7是本发明实施例的实例2的信令流程图，如图7所示，具体包括如下处理：
步骤1，在本发明实施例的系统架构中，UE与MeNB和LPN间分别建有无线连接、从而获取跨基站多流联合传输服务。UE与MeNB间同现有技术，建有CP、UP连接；本实例以UE与LPN间只建有UP连接为例，LPN对与UE间所传数据以从MeNB获取的UP Key（KUPenc）及算法进行加密/解密的安全保护。
步骤2，在UE与网络保持连接的过程中，依据运营商、核心网或接入网自身的需求，可能需要进行密钥的更新，那么MeNB在更新自身密钥的同时，还需要将更新后的密钥通知给LPN。例如，该信息可携带在一称为“密钥更新指示”的消息中，通过Backhaul接口传递给LPN。可选的，消息中还可以携带一个“密钥是否更新”的指示，以及更新后的密钥。
本实例以LPN与UE间仅有UP连接为例，因此消息中携带的为更新后的UP Key（如KUPenc’）。
可选的，密钥更新后，MeNB传输给LPN的New AS Key与MeNB自身所用的New AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文，即UE在与MeNB、LPN间两无线载波上发送/接收的数据分别使用不同的安全密钥进行加/解密。
需要说明的是，在MeNB与LPN使用不同的密钥时，可能某时只有LPN侧需要更新密钥而MeNB无此需求，那么仍然是MeNB为LPN派生出更新后的密钥再通知给LPN（因为此架构中MeNB与LPN间会实时性的交互一些数据包传输相关的必要信息，所以MeNB会及时了解到LPN侧有更新密钥的需求）。
可选的，LPN成功更新密钥后可回复响应消息，如称为“密钥更新响应”消息。
另一方面，MeNB也需要向UE通知密钥的更新。待各节点的配置更新完成后，可以继续进行跨基站分流联合传输的服务，UE与接入网中的MeNB与LPN间交互的数据使用新的密钥和算法进行加/解密安全保护。
实例3：与实例1的部署场景相同。在MeNB与LPN为UE提供跨基站多流联合传输服务的架构中，此实施例以LPN与UE间建有CP、UP连接为例。在多流服务的准备过程中或网络侧有密钥更新的需求时，MeNB都需要将ASKey传输给LPN，以便其可以执行安全保护功能。图8是本发明实施例的实例3的信令流程图，如图8所示，具体包括如下处理：
步骤1，MeNB决策为接入其小区的UE提供跨基站多流传输服务时，将必要的UE上下文等信息通过Backhaul接口传输给LPN，如携带在“承载建立请求”消息中。该消息内除包含必要的分流承载相关参数、UE的安全能力等信息外，还需要包括MeNB根据KeNB派生出的ASKey。
本实例以LPN与UE间具有UP和RRC连接为例，因此，MeNB传输给LPN的AS Key需要包含UP Key和RRC Key（KUpenc，以及KRRCenc和KRRCint中至少一项）。
可选的，MeNB传输给LPN的AS Key与MeNB自身所用的AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文。
LPN同意分流承载的建立后向MeNB回复响应消息，如可称为“承载建立响应”消息；随后MeNB即可通知UE接入该LPN建立的小区。因UE分别与MeNB和LPN建有CP、UP连接，那么两无线载波上传输的用户数据和控制信令都会有密钥和算法依据配置进行加密及完保的安全性保护，网络的安全性能需求得以保证了。
步骤3，在多流服务的过程中，如果网络侧（包括运营商、核心网、MeNB及LPN）有更新密钥的需求，那么MeNB需要将更新后的密钥通知给LPN。例如，该信息可携带在一称为“密钥更新指示”的消息中，通过Backhaul接口传递给LPN。可选的，消息中携带一个“密钥是否更新”的指示，以及更新后的密钥。
本实例以LPN与UE间具有UP和RRC连接为例，因此，MeNB传输给LPN的New AS Key需要包含UP Key和RRC Key（KUpenc’，以及KRRCenc’和KRRCint’中的至少一项）。
可选的，密钥更新后，MeNB传输给LPN的New AS Key与MeNB自身所用的New AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文。
可选的，LPN成功更新密钥后可回复响应消息，如称为“密钥更新响应”消息。
另一方面，MeNB需要向UE通知密钥的更新及协议层配置变更等信息。待各节点的配置更新完成后，可以继续进行跨基站分流联合传输的服务，UE与接入网中的MeNB与LPN间交互的用户数据和控制信令使用新的密钥和算法依据配置进行有效的加密及完保的安全性保护。
综上所述，借助于本发明实施例的技术方案，通过负荷较重的MeNB可以将部分用户数据分流到LPN进行传输，UE在Small cell间移动时也可以减少切换流程中的信令，减轻了网络的消息负载；而对UE来说，多载波传输的频带拓宽能够更好的满足大数据量业务的需求，与距离较近的LPN传输也更为省电，该系统架构很好的提升了用户体验；此外，在本发明实施例的系统架构中，通过异构接入网中宏基站将密钥传输给LPN，使得LPN与UE间无线链路上的传输可以实现配置的安全保护功能，保障了该系统架构的安全性能。本发明实施例的技术方案能够安全、可靠的为UE提供良好的联合传输服务。
系统实施例
根据本发明的实施例，提供了一种LTE接入网系统，LTE接入网中部署有一个或多个宏基站MeNB，在MeNB的覆盖范围内部署有一个或多个低功率节点LPN，具体地，图1是本发明实施例的节点部署场景示意图，如图1所示，MeNB的覆盖范围内（如在热点地区）部署有一个或多个LPN，该LPN可以是低功率微基站（Pico eNB）、中继节点（Relay Node）或家庭基站（HeNB）。相应的，LPN与MeNB间的Backhaul接口可以是有线接口（如光纤）或无线接口（如Un口）。
图2是本发明的系统架构的示意图，如图2所示，该系统包括LTE核心网（CoreNetwork，简称CN）、MeNB和LPN组成的LTE接入网、以及可支持多数据流收发机制的LTE用户设备。其中，LTE核心网同现有LTE网络的核心网。所述LTE接入网包括MeNB和LPN。MeNB与核心网、UE间分别为现有的控制面（Control Plane，简称CP）、用户面（User Plane，简称UP）连接，LPN与UE间为现有的UP连接、可能具有CP连接，MeNB与LPN间为可传输控制信令与用户数据的Backhaul接口（有线或无线）。
图9是本发明实施例的LTE接入网系统的结构示意图，如图9所示，根据本发明实施例的LTE接入网包括：MeNB 90、以及LPN 92，以下对本发明实施例的各个模块进行详细的说明。
MeNB 90，用于在LTE用户设备接入MeNB 90时，从核心网获取基站密钥，根据基站密钥生成第一接入层密钥，并通过其与LTE用户设备之间的控制面接口，使用第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给所述LTE用户设备；确定LTE用户设备的用户数据的分流策略，并通过其与LPN 92之间的后向链路接口，向相应的LPN 92发送为LTE用户设备提供多流传输服务的请求消息、LPN 92所需的控制面信息、以及第二接入层密钥；接收LPN 92发送的请求响应，根据分流策略将从核心网接收到的用户数据中的一部分通过其与LTE用户设备之间的用户面接口，使用第一接入层密钥对相应用户数据进行加密后发送给LTE用户设备，将用户数据中的另一部分通过后向链路接口发送给LPN 92；
其中，上述第一接入层密钥包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
上述MeNB 90具体用于：至少根据网络负载、以及LTE用户设备上报的测量结果信息，以无线承载为分流粒度确定用户数据的分流策略。上述在分流策略以无线承载为分流粒度时，分流策略的协议栈形式包括：MeNB 90和LPN 92上分别设置有用于进行安全保护的数据包汇聚协议实体，以及各低层协议实体，其中各低层协议实体具体包括：无线链路控制子层、媒体接入控制子层、以及物理层。
上述MeNB 90进一步用于：在多流传输服务过程中，根据运营商、LTE核心网、或LTE接入网的需求，需要进行密钥更新时，通过后向链路接口向LPN 92发送密钥更新指示，密钥更新指示中携带有新的接入层密钥；接收LPN 92通过后向链路接口反馈的密钥更新响应，并通过其与LTE用户设备之间的控制面接口通知LTE用户设备密钥的更新。
LPN 92，用于接收MeNB 90发送的为LTE用户设备提供多流传输服务的请求消息，并向MeNB 90发送请求响应；使用第二接入层密钥对相应的用户数据进行加密，并通过其与LTE用户设备之间的用户面接口将加密后的用户数据发送给LTE用户设备。
LPN 92进一步用于：通过其与LTE用户设备之间的控制面接口，接收LTE用户设备上报的测量结果信息，并根据测量结果信息调整对LTE用户设备的调度。
需要说明的是，在LPN 92与LTE用户设备之间仅具有用户面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥；在LPN 92与LTE用户设备之间具有用户面接口和控制面接口时，第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
在本发明实施例中，上述第一接入层密钥与第二接入层密钥相同或不相同；在第一接入层密钥与第二接入层密钥不相同时，LTE用户设备需要支持两套安全算法。
以下结合附图，对本发明实施例的上述技术方案进行详细的说明。
从控制面来讲，MeNB一方面负责与UE间的全部控制信令，另一方面负责LPN所需的控制面信息，使得LPN可持有必要的UE上下文信息、配置各协议层、对UE实施有效的调度；优选地，LPN与UE间也可以有CP连接（具备的可能是现有CP连接的部分功能），从而更及时的获取如UE的测量结果等信息，以便快速的调整调度策略。从用户面来讲，MeNB根据自身决定的分流策略，将从核心网接收到的UE用户数据一部分通过自身与UE间的UP连接发送给UE，另一部分通过Backhaul接口发送给LPN，再由LPN以现有技术为基础通过空口发送给UE。
其中，MeNB决定的UE数据分流策略可以是以无线承载（Radio Bearer，简称RB）为分流粒度的，也就是说，对于服务质量（Quality of Service，简称QoS）不同的业务，MeNB可根据其QoS特性决定将其通过不同的载波链路分别传输给UE。例如，实时业务（如话音）在MeNB与UE间的链路上传输，而数据量大、时延容忍的业务（如视频下载）被分流到LPN再传输给UE。
举例来讲，图4是本发明实施例的分流策略的一个可行的协议栈形式的示意图，如图4所示，包括MeNB将分流数据传输到LPN、再传递给UE的用户面部分（上行数据则反向）；MeNB与LPN间接口、及可能的LPN与UE间接口的控制面部分。其中，MeNB与LPN间的Backhaul接口协议栈形式根据具体接口的有线/无线等特性，也可以是其他形式（比如GTP-U也可以由其他协议所置换）。可以看到，在以RB为分流粒度时，网络侧分别有数据包汇聚协议（Packet Data Convergence Protocol，简称PDCP）实体及以下各低层协议实体（无线链路控制子层（Radio Link Control，简称RLC）、媒体接入控制子层（Medium Access Control，简称MAC）、物理层（Physical layer，简称PHY））位于MeNB和LPN。图5是本发明实施例的用户面、控制面协议栈形式的示意图。负荷较重的MeNB可以将部分用户数据分流到LPN进行传输，UE在Small cell间移动时也可以减少切换流程中的信令，减轻了网络的消息负载；而对UE来说，多载波传输的频带拓宽能够更好的满足大数据量业务的需求，与距离较近的LPN传输也更为省电，该系统架构很好的提升了用户体验。
在用户与接入网通过无线接口进行消息传递的过程中，网络侧需要提供足够的安全保障机制，以防止消息被攻击者中途截获及轻易破解。在LTE系统中，当UE附着到网络中时，MeNB从核心网获取基站密钥（eNB Key，记作KeNB）和/或，派生出接入层密钥（AccessStratum Key，简称AS Key）。AS Key包括用户面加密密钥（UP Key，KUPenc）、控制面加密密钥（RRC Key，KRRCenc）以及控制面完保密钥（RRC Key，KRRCint），分别用于用户面数据的加密、控制面信令的加密以及控制面信令的完整性保护。以下行为例，MeNB利用所述ASKey与相应的加密/完保算法对发送信息提供配置的安全保护，UE接收后依据对应的密钥及算法对该消息进行解密/完整性验证等处理。所述功能均位于协议栈的PDCP层。
在本发明的系统架构中，LPN仅是在接入网中承担分流数据传输任务的协作基站，并不与核心网存在直接信息交互；而因为MeNB与LPN间以RB为分流粒度进行数据分流并对UE提供联合数据传输服务，如前述协议栈架构所示，PDCP层分别位于MeNB与LPN。因此，LPN无法从核心网获取KeNB，PDCPLPN也就无法对分流数据及可能的控制信令进行加密/完保的安全性保护了，安全问题极其严重。
因为，在本发明实施例的架构中，对获得联合传输服务的UE，MeNB需要将其必需的密钥传输给承担分流传输的LPN。但是，如果MeNB将KeNB传输给LPN以便以派生AS Key，那么因为LPN在物理上的安全性能低于MeNB，即易于被攻击者侵入、密钥泄露的风险很大。一旦LPN侧的KeNB被破解，MeNB侧的KeNB也就随之泄露了，故接入网中两个基站共用同一KeNB的方案不可行。
为了安全、有效的解决所述架构中的这一问题，本发明实施例提出如下解决方案：LPN从MeNB获取安全密钥（AS Key），对无线接口上传输的分流数据及可能的控制信令依据配置执行相应的安全保护。所述安全密钥指的是MeNB依据KeNB派生的AS Key，由MeNB依据网络配置及UE能力（支持一套/两套安全上下文）决定传输给LPN的AS Key与MeNB自身所用的AS Key是否一致。
所述安全密钥依据具体的分流形式而有所不同：如果LPN与UE间只有分流数据的传输（即只有UP），那么AS Key只包括UP Key，即KUPenc；如果LPN与UE间有分流数据和控制信令的传输（即具有UP和CP，即使只是CP的一部分），那么AS key包括全部的UP Key和RRCKey，即KUpenc，以及KRRCenc和KRRCint中的至少一项。
LPN从MeNB获取安全密钥的条件有下述（但不限于）两种情况：一是分流服务请求时，MeNB将分流承载、安全密钥等必要信息通过Backhaul接口传输给LPN；二是安全密钥更新时，即如果在联合传输服务的过程中，依据运营商、核心网或MeNB/LPN自身有更新该UE密钥的需求，那么MeNB将更新后的安全密钥通过Backhaul接口传输给LPN。
通过上述系统及安全传输数据的实现方法，在本发明的系统架构中，通过异构接入网中宏基站将密钥传输给LPN，使得LPN与UE间无线链路上的传输可以实现配置的安全保护功能，保障了该系统架构的安全性能。
下面结合不同的实施例对本发明实施例进行举例说明。
实例1：网络中部署有MeNB和LPN，这两种节点组成了本发明系统架构的接入网，LPN承担分流数据的传输。在网络侧决定为UE提供跨基站多流联合传输服务的准备过程中，MeNB将AS Key传输给LPN，以便其可以执行安全保护功能。图6是本发明实施例的实例1的信令流程图，如图6所示，具体包括如下处理：
步骤1，UE按照现有的LTE流程接入到MeNB建立的宏小区中，并与之建立了可传输控制面信息的CP连接（RRC Connection）和可传输用户数据的UP连接。MeNB从核心网获取KeNB，据此派生出AS Key（包括UP Key及RRC Key），并利用此AS Key与相应的加密/完保算法共同为发送/接收的信息提供配置的安全保护功能。
步骤2，MeNB根据网络负荷及UE的测量上报等信息，决定将该UE的某数据承载分流到LPN进行传输，其余的承载则仍在MeNB与UE间的无线链路上进行传输。
MeNB将必要的UE上下文等信息通过Backhaul接口传输给LPN以请求为该UE提供多流传输服务，例如，所述信息可携带在一称为“承载建立请求”的消息（也可以是其他现有消息、或一条新的消息，下述提到消息名称的处理均与此相同）中，包括分流承载的相关参数、UE的安全能力等。本发明中，该消息应携带有MeNB根据KeNB派生出的AS Key。
在本实例中，LPN与UE间只有UP连接（如图6所示，即LPN只承担分流数据的传输），那么MeNB传输给LPN的AS Key只包含UP Key（如KUPenc）。
可选的，MeNB传输给LPN的AS Key与MeNB自身所用的AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文，即UE在与MeNB、LPN间两无线载波上发送/接收的消息分别使用不同的安全密钥进行加/解密和完整性保护/验证。
LPN同意分流承载的建立后回复响应消息，如可称为“承载建立响应”消息，消息中可携带准入承载的列表及对UE各协议层的具体配置等信息。
步骤3，MeNB接收到LPN回复的同意分流响应消息后，通知UE接入该LPN建立的小区（Small cell）。在本实例中，UE只与LPN建有UP连接，那么该无线载波上传输的用户数据会有密钥（KUPenc）和算法依据配置进行的加密保护，也就是说，发送端（如MeNB或LPN）与接收端（如UE）对两者间无线链路上交互的用户数据可以利用有效的密钥和已知的算法分别进行加密与解密操作，网络的安全性能需求得以保证了。
实例2：与实例1的部署场景相同。在MeNB与LPN为UE提供联合传输的服务过程中，MeNB侧更新了密钥，则其需要将更新后的密钥通知LPN，以便其有效的执行安全保护功能。图7是本发明实施例的实例2的信令流程图，如图7所示，具体包括如下处理：
步骤1，在本发明实施例的系统架构中，UE与MeNB和LPN间分别建有无线连接、从而获取跨基站多流联合传输服务。UE与MeNB间同现有技术，建有CP、UP连接；本实例以UE与LPN间只建有UP连接为例，LPN对与UE间所传数据以从MeNB获取的UP Key（KUPenc）及算法进行加密/解密的安全保护。
步骤2，在UE与网络保持连接的过程中，依据运营商、核心网或接入网自身的需求，可能需要进行密钥的更新，那么MeNB在更新自身密钥的同时，还需要将更新后的密钥通知给LPN。例如，该信息可携带在一称为“密钥更新指示”的消息中，通过Backhaul接口传递给LPN。可选的，消息中还可以携带一个“密钥是否更新”的指示，以及更新后的密钥。
在本实例中是以LPN与UE间仅有UP连接为例，因此，消息中携带的为更新后的UPKey（如KUPenc’）。
可选的，密钥更新后，MeNB传输给LPN的New AS Key与MeNB自身所用的New AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文，即UE在与MeNB、LPN间两无线载波上发送/接收的数据分别使用不同的安全密钥进行加/解密。
需要说明的是，在MeNB与LPN使用不同的密钥时，可能某时只有LPN侧需要更新密钥而MeNB无此需求，那么仍然是MeNB为LPN派生出更新后的密钥再通知给LPN（因为此架构中MeNB与LPN间会实时性的交互一些数据包传输相关的必要信息，所以MeNB会及时了解到LPN侧有更新密钥的需求。）。
可选的，LPN成功更新密钥后可回复响应消息，如称为“密钥更新响应”消息。
另一方面，MeNB也需要向UE通知密钥的更新。待各节点的配置更新完成后，可以继续进行跨基站分流联合传输的服务，UE与接入网中的MeNB与LPN间交互的数据使用新的密钥和算法进行加/解密安全保护。
实例3：与实例1的部署场景相同。在MeNB与LPN为UE提供跨基站多流联合传输服务的架构中，此实施例以LPN与UE间建有CP、UP连接为例。在多流服务的准备过程中或网络侧有密钥更新的需求时，MeNB都需要将ASKey传输给LPN，以便其可以执行安全保护功能。图8是本发明实施例的实例3的信令流程图，如图8所示，具体包括如下处理：
步骤1，MeNB决策为接入其小区的UE提供跨基站多流传输服务时，将必要的UE上下文等信息通过Backhaul接口传输给LPN，如携带在“承载建立请求”消息中。该消息内除包含必要的分流承载相关参数、UE的安全能力等信息外，还需要包括MeNB根据KeNB派生出的ASKey。
在实例中是以LPN与UE间具有UP和RRC连接为例，因此MeNB传输给LPN的AS Key需要包含UP Key和RRC Key（KUpenc，以及KRRCenc和KRRCint中至少一项）。
可选的，MeNB传输给LPN的AS Key与MeNB自身所用的AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文。
LPN同意分流承载的建立后向MeNB回复响应消息，如可称为“承载建立响应”消息；随后MeNB即可通知UE接入该LPN建立的小区。因UE分别与MeNB和LPN建有CP、UP连接，那么两无线载波上传输的用户数据和控制信令都会有密钥和算法依据配置进行加密及完保的安全性保护，网络的安全性能需求得以保证了。
步骤3，在多流服务的过程中，如果网络侧（包括运营商、核心网、MeNB及LPN）有更新密钥的需求，那么MeNB需要将更新后的密钥通知给LPN。例如，该信息可携带在一称为“密钥更新指示”的消息中，通过Backhaul接口传递给LPN。可选的，消息中携带一个“密钥是否更新”的指示，以及更新后的密钥。
在本实例中是以LPN与UE间具有UP和RRC连接为例，因此，MeNB传输给LPN的New ASKey需要包含UP Key和RRC Key（KUpenc’，以及KRRCenc’和KRRCint’中的至少一项）。
可选的，密钥更新后，MeNB传输给LPN的New AS Key与MeNB自身所用的New AS Key可以相同或不同。如果两AS Key不同，那么MeNB必已知该UE可以支持两套不同的安全上下文。
可选的，LPN成功更新密钥后可回复响应消息，如称为“密钥更新响应”消息。
另一方面，MeNB需要向UE通知密钥的更新及协议层配置变更等信息。待各节点的配置更新完成后，可以继续进行跨基站分流联合传输的服务，UE与接入网中的MeNB与LPN间交互的用户数据和控制信令使用新的密钥和算法依据配置进行有效的加密及完保的安全性保护。
综上所述，借助于本发明实施例的技术方案，通过负荷较重的MeNB可以将部分用户数据分流到LPN进行传输，UE在Small cell间移动时也可以减少切换流程中的信令，减轻了网络的消息负载；而对UE来说，多载波传输的频带拓宽能够更好的满足大数据量业务的需求，与距离较近的LPN传输也更为省电，该系统架构很好的提升了用户体验；此外，在本发明实施例的系统架构中，通过异构接入网中宏基站将密钥传输给LPN，使得LPN与UE间无线链路上的传输可以实现配置的安全保护功能，保障了该系统架构的安全性能。本发明实施例的技术方案能够安全、可靠的为UE提供良好的联合传输服务。
在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的LTE接入网中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (16)

1.一种数据安全传输方法，其特征在于，用于基于长期演进LTE系统的异构网络，所述异构网络包括：LTE核心网、LTE接入网、以及LTE用户设备，所述LTE接入网中部署有一个或多个宏基站MeNB，在所述MeNB的覆盖范围内部署有一个或多个低功率节点LPN，所述方法具体包括：
在所述LTE用户设备接入所述MeNB时，所述MeNB从所述LTE核心网获取基站密钥，根据所述基站密钥生成第一接入层密钥，并通过其与所述LTE用户设备之间的控制面接口，使用所述第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给所述LTE用户设备；
所述MeNB确定所述LTE用户设备的用户数据的分流策略，并通过其与LPN之间的后向链路接口，向相应的LPN发送为所述LTE用户设备提供多流传输服务的请求消息、所述LPN所需的控制面信息、以及第二接入层密钥；
所述MeNB接收所述LPN发送的请求响应，根据所述分流策略将从所述LTE核心网接收到的用户数据中的一部分通过其与所述LTE用户设备之间的用户面接口，使用所述第一接入层密钥对相应用户数据进行加密后发送给所述LTE用户设备，将所述用户数据中的另一部分通过所述后向链路接口发送给所述LPN；
所述LPN使用所述第二接入层密钥对相应的用户数据进行加密，并通过其与所述LTE用户设备之间的用户面接口将加密后的用户数据发送给所述LTE用户设备。
2.如权利要求1所述的方法，其特征在于，所述第一接入层密钥包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
3.如权利要求1所述的方法，其特征在于，所述方法还包括：
所述LPN通过其与所述LTE用户设备之间的控制面接口，接收所述LTE用户设备上报的测量结果信息，并根据所述测量结果信息调整对所述LTE用户设备的调度。
4.如权利要求3所述的方法，其特征在于，
在所述LPN与所述LTE用户设备之间仅具有用户面接口时，所述第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥；
在所述LPN与所述LTE用户设备之间具有用户面接口和控制面接口时，所述第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
5.如权利要求1所述的方法，其特征在于，所述第一接入层密钥与所述第二接入层密钥相同或不相同；
在所述第一接入层密钥与所述第二接入层密钥不相同时，所述LTE用户设备需要支持两套安全算法。
6.如权利要求1所述的方法，其特征在于，所述MeNB确定用户数据的分流策略具体包括：
所述MeNB至少根据网络负载、以及所述LTE用户设备上报的测量结果信息，以无线承载为分流粒度确定用户数据的分流策略。
7.如权利要求6所述的方法，其特征在于，在所述分流策略以无线承载为分流粒度时，所述分流策略的协议栈形式包括：在所述MeNB和所述LPN上分别设置有用于进行安全保护的数据包汇聚协议实体，以及各低层协议实体，其中所述各低层协议实体具体包括：无线链路控制子层、媒体接入控制子层、以及物理层。
8.如权利要求1所述的方法，其特征在于，所述方法还包括：
在多流传输服务过程中，根据运营商、所述LTE核心网、或所述LTE接入网的需求，需要进行密钥更新时，所述MeNB通过所述后向链路接口向所述LPN发送密钥更新指示，所述密钥更新指示中携带有新的接入层密钥；
所述MeNB接收所述LPN通过所述后向链路接口反馈的密钥更新响应，并通过其与所述LTE用户设备之间的控制面接口通知所述LTE用户设备密钥的更新。
9.一种长期演进系统LTE接入网系统，其特征在于，所述LTE接入网中部署有一个或多个宏基站MeNB，在所述MeNB的覆盖范围内部署有一个或多个低功率节点LPN：
所述MeNB，用于在所述LTE用户设备接入所述MeNB时，从所述LTE核心网获取基站密钥，根据所述基站密钥生成第一接入层密钥，并通过其与所述LTE用户设备之间的控制面接口，使用所述第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给所述LTE用户设备；确定所述LTE用户设备的用户数据的分流策略，并通过其与LPN之间的后向链路接口，向相应的LPN发送为所述LTE用户设备提供多流传输服务的请求消息、所述LPN所需的控制面信息、以及第二接入层密钥；接收所述LPN发送的请求响应，根据所述分流策略将从所述核心网接收到的用户数据中的一部分通过其与所述LTE用户设备之间的用户面接口，使用所述第一接入层密钥对相应用户数据进行加密后发送给所述LTE用户设备，将所述用户数据中的另一部分通过所述后向链路接口发送给所述LPN；
所述LPN，用于接收所述MeNB发送的为所述LTE用户设备提供多流传输服务的请求消息，并向所述MeNB发送请求响应；使用所述第二接入层密钥对相应的用户数据进行加密，并通过其与所述LTE用户设备之间的用户面接口将加密后的用户数据发送给所述LTE用户设备。
10.如权利要求9所述的LTE接入网系统，其特征在于，所述第一接入层密钥包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
11.如权利要求9所述的LTE接入网系统，其特征在于，所述LPN进一步用于：通过其与所述LTE用户设备之间的控制面接口，接收所述LTE用户设备上报的测量结果信息，并根据所述测量结果信息调整对所述LTE用户设备的调度。
12.如权利要求11所述的LTE接入网系统，其特征在于，
在所述LPN与所述LTE用户设备之间仅具有用户面接口时，所述第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥；
在所述LPN与所述LTE用户设备之间具有用户面接口和控制面接口时，所述第二接入层密钥具体包括：用于用户面数据加密的用户面加密密钥，以及用于控制面信令加密的控制面加密密钥和/或用于控制面信令完整性保护的控制面完整性保护密钥。
13.如权利要求9所述的LTE接入网系统，其特征在于，所述第一接入层密钥与所述第二接入层密钥相同或不相同；
在所述第一接入层密钥与所述第二接入层密钥不相同时，所述LTE用户设备需要支持两套安全算法。
14.如权利要求9所述的LTE接入网系统，其特征在于，所述MeNB具体用于：至少根据网络负载、以及所述LTE用户设备上报的测量结果信息，以无线承载为分流粒度确定用户数据的分流策略。
15.如权利要求14所述的LTE接入网系统，其特征在于，在所述分流策略以无线承载为分流粒度时，所述分流策略的协议栈形式包括：所述MeNB和所述LPN上分别设置有用于进行安全保护的数据包汇聚协议实体，以及各低层协议实体，其中所述各低层协议实体具体包括：无线链路控制子层、媒体接入控制子层、以及物理层。
16.如权利要求9所述的LTE接入网系统，其特征在于，所述MeNB进一步用于：
在多流传输服务过程中，根据运营商、所述LTE核心网、或所述LTE接入网的需求，需要进行密钥更新时，通过所述后向链路接口向所述LPN发送密钥更新指示，所述密钥更新指示中携带有新的接入层密钥；接收所述LPN通过所述后向链路接口反馈的密钥更新响应，并通过其与所述LTE用户设备之间的控制面接口通知所述LTE用户设备密钥的更新。
CN201310013744.2A 2013-01-15 2013-01-15 数据安全传输方法及lte接入网系统 Active CN103929740B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201310013744.2A CN103929740B (zh) 2013-01-15 2013-01-15 数据安全传输方法及lte接入网系统
PCT/CN2013/083505 WO2014110908A1 (zh) 2013-01-15 2013-09-13 数据安全传输方法及lte接入网系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201310013744.2A CN103929740B (zh) 2013-01-15 2013-01-15 数据安全传输方法及lte接入网系统

Publications (2)

Publication Number Publication Date
CN103929740A CN103929740A (zh) 2014-07-16
CN103929740B true CN103929740B (zh) 2017-05-10

Family

ID=51147789

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201310013744.2A Active CN103929740B (zh) 2013-01-15 2013-01-15 数据安全传输方法及lte接入网系统

Country Status (2)

Country Link
CN (1) CN103929740B (zh)
WO (1) WO2014110908A1 (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10091649B2 (en) 2015-07-12 2018-10-02 Qualcomm Incorporated Network architecture and security with encrypted client device contexts
CN106375989B (zh) 2015-07-20 2019-03-12 中兴通讯股份有限公司 实现接入层安全的方法及用户设备和无线接入小节点
CN106375992B (zh) * 2015-07-20 2019-08-06 中兴通讯股份有限公司 实现接入层安全的方法及用户设备和节点
WO2017092814A1 (en) 2015-12-03 2017-06-08 Telefonaktiebolaget Lm Ericsson (Publ) Light-weight rrc connection setup in multi-rat network
EP3384698B1 (en) * 2015-12-03 2022-09-14 Telefonaktiebolaget LM Ericsson (publ) Multi-rat access stratum security
CN108924826B (zh) * 2017-03-24 2023-04-14 北京三星通信技术研究有限公司 数据传送的控制方法及设备
CN109586900B (zh) * 2017-09-29 2020-08-07 华为技术有限公司 数据安全处理方法及装置
CN110365470B (zh) * 2018-03-26 2023-10-10 华为技术有限公司 一种密钥生成方法和相关装置
CN110831070B (zh) * 2018-08-13 2021-12-21 华为技术有限公司 一种处理业务流的方法、通信方法及装置
WO2020252790A1 (zh) * 2019-06-21 2020-12-24 Oppo广东移动通信有限公司 一种信息传输方法及装置、网络设备、用户设备

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101931953A (zh) * 2010-09-20 2010-12-29 中兴通讯股份有限公司 生成与设备绑定的安全密钥的方法及系统
CN101945387A (zh) * 2010-09-17 2011-01-12 中兴通讯股份有限公司 一种接入层密钥与设备的绑定方法和系统
CN101977378A (zh) * 2010-09-30 2011-02-16 中兴通讯股份有限公司 信息传输方法、网络侧及中继节点
CN102056157A (zh) * 2009-11-04 2011-05-11 大唐移动通信设备有限公司 一种确定密钥和密文的方法、系统及装置
CN102142942A (zh) * 2011-04-01 2011-08-03 中兴通讯股份有限公司 一种中继节点系统中的数据处理方法及系统
CN102625300A (zh) * 2011-01-28 2012-08-01 华为技术有限公司 密钥生成方法和设备
EP2487947A1 (en) * 2009-11-03 2012-08-15 Huawei Technologies Co., Ltd. Method and device for acquiring safe key in relay system
CN102857971A (zh) * 2011-06-30 2013-01-02 华为技术有限公司 用于数据传输的方法、分流点设备、用户终端及其系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102244862A (zh) * 2010-05-10 2011-11-16 北京三星通信技术研究有限公司 一种获取安全密钥的方法

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2487947A1 (en) * 2009-11-03 2012-08-15 Huawei Technologies Co., Ltd. Method and device for acquiring safe key in relay system
CN102056157A (zh) * 2009-11-04 2011-05-11 大唐移动通信设备有限公司 一种确定密钥和密文的方法、系统及装置
CN101945387A (zh) * 2010-09-17 2011-01-12 中兴通讯股份有限公司 一种接入层密钥与设备的绑定方法和系统
CN101931953A (zh) * 2010-09-20 2010-12-29 中兴通讯股份有限公司 生成与设备绑定的安全密钥的方法及系统
CN101977378A (zh) * 2010-09-30 2011-02-16 中兴通讯股份有限公司 信息传输方法、网络侧及中继节点
CN102625300A (zh) * 2011-01-28 2012-08-01 华为技术有限公司 密钥生成方法和设备
CN102142942A (zh) * 2011-04-01 2011-08-03 中兴通讯股份有限公司 一种中继节点系统中的数据处理方法及系统
CN102857971A (zh) * 2011-06-30 2013-01-02 华为技术有限公司 用于数据传输的方法、分流点设备、用户终端及其系统

Also Published As

Publication number Publication date
CN103929740A (zh) 2014-07-16
WO2014110908A1 (zh) 2014-07-24

Similar Documents

Publication Publication Date Title
CN103929740B (zh) 数据安全传输方法及lte接入网系统
CN109640324B (zh) 一种通信方法及相关装置
CN109005540B (zh) 一种密钥推演的方法、装置及计算机可读存储介质
CN103297961B (zh) 一种用于设备间安全通信的设备与系统
CN106134231B (zh) 密钥生成方法、设备及系统
TWI396455B (zh) 處理交遞程序的方法及其通訊裝置
US10149213B2 (en) Group handover methods and systems
CN110447252A (zh) 5g中用于开启和关闭ue和ran之间的up数据安全的安全解决方案
CN108810884A (zh) 密钥配置方法、装置以及系统
WO2018029952A1 (ja) ビーム及びセキュリティ強化に関連する装置、方法、システム、プログラム及び記録媒体
CN109417709A (zh) 用于在移动无线网络系统中认证接入的方法和系统
CN103686708B (zh) 一种密钥隔离方法及设备
CN109644134A (zh) 用于大型物联网组认证的系统和方法
CN107005927A (zh) 用户设备ue的接入方法、设备及系统
CN108432338A (zh) 一种数据传输系统、方法和装置
CN109417740A (zh) 保持相同无线终端的切换期间的安全密钥使用
CN106375989A (zh) 实现接入层安全的方法及用户设备和无线接入小节点
CN106998549A (zh) IPSec隧道的建立方法及装置、终端和网络侧设备
CN108377495A (zh) 一种数据传输方法、相关设备及系统
CN101977378B (zh) 信息传输方法、网络侧及中继节点
CN106375992A (zh) 实现接入层安全的方法及用户设备和节点
US20110002272A1 (en) Communication apparatus and communication method
US11722890B2 (en) Methods and systems for deriving cu-up security keys for disaggregated gNB architecture
CN103096317B (zh) 一种基于共享加密数据的双向鉴权方法及系统
CN107211488A (zh) 由集成无线通信网络中的wlan节点执行的用于对接收的业务数据应用安全的方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant