CN107810623A - 跨多个网络功能实例的多安全性级别/业务管理 - Google Patents

Abstract

某些示例实施例大体上可以涉及跨包括虚拟化网络功能实例的多个网络功能实例的多安全性级别/业务管理。一种方法可以包括配置第一网络功能的第一实例以提供第一类型的安全性。该方法还可以包括配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性。该方法还可以包括将订户业务中的至少一些分配给第一实例。

Description

跨多个网络功能实例的多安全性级别/业务管理

技术领域

本发明的示例实施例大体上涉及移动通信网络，诸如但不限于通用移动电信系统（UMTS）陆地无线电接入网络（UTRAN）、长期演进（LTE）演进UTRAN（E-UTRAN）。例如，一些示例实施例涉及跨多个网络功能实例（包括虚拟化网络功能实例）的多安全性级别/业务管理。

背景技术

通用移动电信系统（UMTS）陆地无线电接入网络（UTRAN）是指包括基站或节点B和无线电网络控制器（RNC）的通信网络。UTRAN允许用户设备（UE）和核心网络之间的连接。RNC提供用于一个或多个节点B的控制功能。RNC及其对应的节点B被称为无线电网络子系统（RNS）。

长期演进（LTE）是指通过改进的效率和服务、更低的成本以及新的频谱机会的使用的UMTS的改进。具体而言，LTE是第三代合作伙伴计划（3GPP）标准，其提供至少50兆位每秒（Mbps）的上行链路峰值速率和至少100Mbps的下行链路峰值速率。LTE支持从20MHz下降到1.4MHz的可扩展载波带宽，并支持频分双工（FDD）和时分双工（TDD）两者。

如上所述，LTE还可以改进网络中的频谱效率，从而允许载波在给定的带宽之上提供更多的数据和语音服务。因此，除了高容量的语音支持外，LTE还被设计为满足针对高速数据和多媒体传输的需要。LTE的优点包括例如高吞吐量、低延时、在同一平台中的FDD和TDD支持、改进的最终用户体验、以及导致低运营成本的简单架构。此外，LTE是基于所有网际协议（IP）的网络，从而支持IPv4和IPv6两者。

发明内容

一个示例实施例针对一种用于分配订户业务的方法，该方法可以包括配置第一网络功能的第一实例以提供第一类型的安全性。该方法还可以包括配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性。该方法还可以包括将订户业务中的至少一些分配给第一实例。

在示例实施例中，将订户业务分配给第一实例可以基于第一网络功能的安全性需要。在另一个示例实施例中，该方法还可以包括优先化由第一网络功能的第一实例对第一订户的业务的处理，以及优先化由第一网络功能的第二实例对第二订户的业务的处理。

根据示例实施例，第一类型的安全性和第二类型的安全性均可以基于以下中的至少一个来配置：每个用户、每个订户或每个企业策略，针对特定级别的安全性的支付，或者第一和第二订户的当前上下文。根据另一个示例实施例，第一类型的安全性可以涉及移动性管理实体网络功能，并且第二类型的安全性可以涉及承载平面（bearer plane）安全性。

在示例实施例中，与第一网络功能相关联的安全性的级别可以包括：网络供应商白名单/黑名单策略，或者地理或距离策略；完全在运营商的网络内运行的更高级别的安全性；基于在与第一网络功能相同的硬件上运行的第三方应用的数量的安全性的级别的降级；和硬件平台托管第一网络功能时的基于硬件平台的动态改变的安全性的级别的降级。在另一个示例实施例中，可以基于以下中的至少一个来提供提供给第一网络功能的安全性的级别：对网络元件的第三方访问；运营商网络的回传或者边传（side-haul）是无线的；网络元件的无线电接入网络共享的存在；多点传输的存在；对应于Wi-Fi的信任级别；和连接到网络元件的用户设备的数量。

另一个示例实施例针对一种用于分配订户业务的装置，该装置可以包括至少一个处理器以及包括计算机程序代码的至少一个存储器。至少一个存储器和计算机程序代码可以利用至少一个处理器被配置为使得该装置至少配置第一网络功能的第一实例以提供第一类型的安全性。至少一个存储器和计算机程序代码还可以利用至少一个处理器被配置为配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性。至少一个存储器和计算机程序代码还可以利用至少一个处理器被配置为将订户业务中的至少一些分配给第一实例。

在示例实施例中，将订户业务分配给第一实例是基于第一网络功能的安全性需要。在另一个示例实施例中，至少一个存储器和计算机程序代码可以利用至少一个处理器被配置为使得该装置至少优先化由第一网络功能的第一实例对第一订户的业务的处理，以及优先化由第一网络功能的第二实例对第二订户的业务的处理。

根据示例实施例，第一类型的安全性和第二类型的安全性均可以基于以下中的至少一个来配置：每个用户、每个订户或每个企业策略，针对特定级别的安全性的支付，或者第一和第二订户的当前上下文。根据另一个示例实施例，第一类型的安全性可以涉及移动性管理实体网络功能，并且第二类型的安全性可以涉及承载平面安全性。

在示例实施例中，与第一网络功能相关联的安全性的级别可以包括：网络供应商白名单/黑名单策略，或者地理或距离策略；完全在运营商的网络内运行的更高级别的安全性；基于在与第一网络功能相同的硬件上运行的第三方应用的数量的安全性的级别的降级；和硬件平台托管第一网络功能时的基于硬件平台的动态改变的安全性的级别的降级。在另一个示例实施例中，可以基于以下中的至少一个来提供提供给第一网络功能的安全性的级别：第三方对网络元件的访问；运营商网络的回传或者边传是无线的；网络元件的无线电接入网络共享的存在；多点传输的存在；对应于Wi-Fi的信任级别；和连接到网络元件的用户设备的数量。

另一个示例实施例针对一种用于分配订户业务的装置，该装置可以包括用于配置第一网络功能的第一实例以提供第一类型的安全性的配置部件。该装置还可以包括用于配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性的配置部件。该装置还可以包括用于将订户业务中的至少一些分配给第一实例的分配部件。

在示例实施例中，该装置可以包括用于优先化由第一网络功能的第一实例对第一订户的业务的处理的优先化部件，以及用于优先化由第一网络功能的第二实例对第二订户的业务的处理的优先化部件。在另一个示例实施例中，第一类型的安全性和第二类型的安全性均可以基于以下中的至少一个来配置：每个用户、每个订户或每个企业策略，针对特定级别的安全性的支付，或者第一和第二订户的当前上下文。

根据示例实施例，第一类型的安全性可以涉及移动性管理实体网络功能，并且第二类型的安全性可以涉及承载平面安全性。根据另一个示例实施例，与第一网络功能相关联的安全性的级别可以包括：网络供应商白名单/黑名单策略，或者地理或距离策略；完全在运营商的网络内运行的更高级别的安全性；基于在与第一网络功能相同的硬件上运行的第三方应用的数量的安全性的级别的降级；和硬件平台托管第一网络功能时的基于硬件平台的动态改变的安全性的级别的降级。

在示例实施例中，可以基于以下中的至少一个来提供提供给第一网络功能的安全性的级别：第三方对网络元件的访问；运营商网络的回传或者边传是无线的；网络元件的无线电接入网络共享的存在；多点传输的存在；对应于Wi-Fi的信任级别；和连接到网络元件的用户设备的数量。

另一个示例实施例针对一种在非暂时性计算机可读介质上体现的计算机程序，所述计算机程序被配置为控制处理器执行根据上述方法中的任何一种的方法。

附图说明

为了正确理解本发明，应当参考附图，其中：

图1图示了根据某些示例实施例的示例系统图。

图2图示了根据某些示例实施例的具有不同类型或维度的安全性的示例，其中每个维度具有多个值

图3图示了根据某些示例实施例的系统。

图4图示了根据某些示例实施例的装置。

图5图示了根据某些示例实施例的方法的示例流程图。

具体实施方式

遍及本说明书所描述的本发明的特征、结构或特性可以以任何合适的方式在一个或多个示例实施例中组合。例如，短语“某些示例实施例”、“一些示例实施例”或者其他类似语言遍及本说明书的使用是指结合示例实施例描述的特定特征、结构或特性可以被包括在本发明的至少一个示例实施例中。

因此，短语“在某些示例实施例中”、“在一些示例实施例中”、“在其他示例实施例中”或者其他类似语言遍及本说明书的出现不一定都指代同一组示例实施例并且所描述的特征、结构或特性可以以任何合适的方式在一个或多个示例实施例中组合。此外，如果期望，下面讨论的不同功能可以以不同的次序执行和/或彼此同时执行。此外，如果期望，所描述的功能中的一个或多个可以是可选的或者可以被组合。这样，下面的描述应被认为仅仅是对本发明的原理、教导和示例实施例的说明，而不是对其进行限制。

可能期望使得能够交付最适当级别的安全性，而同时利用云中的网络功能虚拟化的最大益处。这可以包括例如利用云环境内可能的复用增益。然而，随着网络功能越来越朝向云中的网络功能虚拟化移动，在确定如何使得能够实现满足订户的需要的安全性而同时也最大化利润率和效率中可能出现问题。一些用户将可能比其他用户具有更高的安全性要求。

例如，可能存在针对其安全性相对重要并且通信服务的成本相对不重要的第一组用户。相反，可能存在针对其安全性相对不重要并且通信服务的成本相对重要的第二组用户。

在另一个示例中，对于单个用户，可能的是，在某些上下文中（例如，当存在在通信链路上交换的特别敏感或私密的信息时），安全性可能在该时间处是相对重要的。相比而言，在其他时间处或在其他上下文中，安全性可能相对不重要，并且网络效率可能更重要。

随着蜂窝网络朝向云和网络功能虚拟化迁移，出现了许多独特的机会。例如，在第一网络功能（例如，移动性管理实体（MME）或服务网关（SGW）功能）中，可能存在该网络功能的多个实例，其可以例如以合理的延时服务给定订户，但是其中第一实例从网络/云容量角度是最高效的（并且以对应低的成本提供给运营商），但是也提供较低级别的安全性。这与从网络/云容量角度较不高效（并且成本稍高）的第二实例形成对照，所述第二实例也提供较高级别的安全性。在该上下文中，可能需要基于专有和/或基于标准的机制，其使得能够交付适当级别的安全性，而同时最大地利用云中的网络功能虚拟化的益处，例如利用云环境内可能的复用增益。

本发明的某些示例实施例可以针对其中存在第一网络功能的至少两个实例的专有和/或标准机制。第一实例可以提供比同一网络功能的第二实例更高级别的安全性，并且响应于检测到第一订户具有比第二订户更高的安全性要求的第一通信网络元件/第三网络功能，执行优先化由第一实例对第一订户的业务的处理。

需要跨云和云使用环境利用和运用包括安全性要求的许多不同级别的安全性的知识的解决方案。考虑到这一点，本发明的某些示例实施例可以在该一般区域内操作。更具体而言，某些示例实施例可以使得能够交付广泛的但也特定的具有经解决标准的解决方案和示例实施例，其中交付了最适当级别的安全性而同时最大地利用云中的网络功能虚拟化的益处。利用还可以包括利用云环境内可能的复用增益。

由本发明的示例实施例所解决的总体问题是，随着网络功能越来越朝向云中的网络功能虚拟化移动，如何使得能够实现最佳满足订户需要的安全性，而同时也最大化利润率和效率。更具体而言，捕获利用云和网络功能虚拟化的越来越多的益处可能必然创建比传统上其中移动网络运营商的装备完全在其控制内（包括特殊用途内置硬件解决方案）的情况更广范围的安全性级别。例如，在共享的环境中，可能存在更多的（many more）“接触点”，这是例如由于多租户而导致的，其中暴露的安全性周界可以显著增加。利用动态预置，该级别的暴露可以跨多个不同的维度进一步变化。

如前所述，问题是使得能够实现向云/网络功能虚拟化的转移的绝对最大益处，同时提供适当级别的安全性。有可能提供更高级别的安全性，但是最高级别通常涉及附加的成本，并且许多情况可能导致云和网络功能虚拟化的一些益处的失去。例如，可以通过甚至更高级别的访问控制和监视、通过使用经过正式认证过程的硬件或软件、通过使用防篡改硬件、可信平台模块（TPM）、或者通过物理受控环境中的定位服务器来实现更高级别的安全性。

然而，并不是所有的业务在该区域中都具有相等的需要。例如，考虑视频/音频流式传输业务（例如Netflix®、Pandora®、Spotify®，其通常构成商业通信网络上的大部分业务），其可能不需要作为高级别的安全性。因此，业务的该大部分的容量影响可以甚至更显著地减小，同时不会影响提供给其他相对敏感类型的业务的安全性级别。

例如，如果针对网络功能提供最安全的云环境在每个业务或每个订户的基础上使该网络功能的成本加倍，则通过仅对需要它的业务使用最安全的网络功能，有可能显著改进用于网络功能的云解决方案的总体容量或成本。例如，总体容量或成本可能降低50％或更多，其中视频/音频流式传输通常是现今由无线网络所承载的业务量的大部分。

一些用户可能可以具有比其他用户更高的安全性要求。例如，可能存在针对其安全性相对重要并且通信服务的成本相对不重要的第一组用户。相反，可能存在针对其安全性相对不重要并且通信服务的成本相对重要的第二组用户。在另一个示例中，对于单个用户，可能的是，在某些上下文中（例如，当存在在通信链路上交换的特别敏感或私密的信息时），安全性可能在该时间处是相对重要的。相比而言，在其他时间处或在其他上下文中，安全性可能相对不重要，并且网络效率可能更重要。

随着蜂窝网络朝向云和网络功能虚拟化迁移，出现了许多独特的机会。具体而言，虽然存在在共享硬件环境的上下文中在云上创建隔离的努力，但也清楚的是，在实现来自云的绝对最大益处（如上面就容量、资本支出（CAPEX）、运营支出（OPEX）等所讨论的）和例如关于这样的共享硬件环境利用对隔离最鲁棒的方法交付最高级别的安全性和信任之间存在权衡。

例如，关于第一网络功能（例如，MME或服务网关或深度包检测（DPI）或应用优化功能），可能可以存在可以例如以合理的延时服务给定订户的该网络功能的多个实例。例如，可能存在运营商的传统网络内的一个实例，其运行在传统的网络供应商的硬件上。

第一网络功能的第二实例可以在由“可信”硬件供应商提供的硬件上的云上运行，其中该硬件上的所有计算软件也是“已知的”。第一网络功能的第三实例可以在由不可信第三方提供的硬件上的云上运行，其中该相同的硬件也运行由未知的不可信的第三方应用提供商集合所创建的甚至更大数量的其他计算软件。在这种情况下，可能的是，安全性的预期级别在第一实例上最高，在第二实例上较低，并且在第三实例上最低。然而，在该示例中，由于更大的复用增益，第三实例从网络/云容量的角度是最高效的（并且以对应低成本提供给运营商），其中第二实例从网络/云容量的角度较不高效（并且成本稍高），并且第一实例可能是高效且具有最高成本的网络。

其中硬件的地理位置可能重要的示例是合法侦听（LI）。侦听点位于其中特定管辖权适用的区域内可能很重要。另一个相关示例可以是其中提供商向订户“保证”服务仅由驻留在特定国家或地区中的服务器执行的服务。这可能包括例如电子邮件提供商或web（网络）托管服务，其“保证”国家的两个居民之间的电子邮件留在该国家内。

在该上下文中，需要特定的使能器和机制来允许网络运营商交付适当级别的安全性和信任，而同时利用云中的网络功能虚拟化的最大益处，包括例如通过利用云环境内可能的复用收益，其中在基础资源之上可能存在很少或不存在电力。

图1示出根据某些示例实施例的示例系统图。系统可以包括第一和第二UE、UTRAN、全球移动通信系统（GSM）用于GSM演进的增强数据速率（EDGE）无线电接入网络（GERAN）以及服务通用分组无线业务支持节点（SGSN）。系统还可以包括与电信安全性控制板交互的应用服务器的公共云和运营商私有云核心中的网络元件。系统还可以包括威胁预报模块、运营商策略和自动动作引擎连接到其的电信安全性控制板。

根据示例实施例，可以提供一种方法来管理订户业务到网络功能实例的分配。该管理/选择功能可以在MME中完成，MME可以选择特定的实例服务/分组数据网络网关（S/P-GW）网络功能，并且标识互联网访问路由器/卸载点以提供用于订户的不同用户平面流的必要安全性或用于给定订户的所有业务。然后，这可以结合当前可用的选择框架使用网络功能的安全性策略/认知，以例如基于其安全性需要将订户或其数据流分配给网络功能的某个实例。在这种情况下，选择可以另外基于来自归属订户服务器（HSS）的订户简档、设备类型信息、设备和/或应用软件版本、设备的安全性能力、设备的安全性需要（例如，基于安全性模式命令）、和/或国际移动设备身份（IMEI）并且IMEI软件版本（IMEISV）可以由MME使用。这然后可以影响S/P-GW的选择。在另一个示例实施例中，eNB可以执行管理/选择功能，其中它使用所讨论的准则来选择要使用的MME网络功能的实例。

在示例实施例中，可以存在第一网络功能的至少两个实例。在示例实施例中，订户业务的管理可以由网络功能或安全性协调器执行。如本文使用的网络功能可以包括但不限于例如MME、SGW、策略计费规则功能（PCRF）、DPI或应用优化功能、或LTE中的SGi参考点（PDNGW和分组数据网络之间的3GPP参考点）或其他类似或相似的元件。

第一实例可以提供与同一网络功能的第二实例不同类型的安全性。例如，在示例实施例中，第一网络功能的第一实例可以提供第一类型的安全性，而第一网络功能的第二实例提供第二类型的安全性。例如，第一实例可以具有比同一网络功能的第二实例更高级别的安全性，其中网络功能的第二实例提供第二类型（例如，较低或尽力而为级别）的安全性。

根据另一个示例实施例，可以存在第二网络功能，其包括将一些或所有的订户业务分配给第一网络功能的给定实例的决策功能。在示例实施例中，第二网络功能可以包括管理功能。可能的是，向给定实例的功能的分配根本不取决于订户简档，诸如例如在其中侦听位于其中特定（合法）管辖权适用的（地理）区域内的LI情况下，由此使得所分配的网络功能的基于其与所侦听的呼叫对应的物理位置来决定。

根据示例实施例，第二网络功能的决策可以取决于由第三网络功能的响应，该第三网络功能检测到第一订户具有第一类型的安全性要求，诸如比具有第二类型的要求（诸如较低的安全性要求）的第二订户更高的安全性要求。此外，可以优先化由第一网络功能的第一实例对第一订户的业务的处理。此外，也可以优先化由第一网络功能的第二实例对第二订户的处理。

根据示例实施例，例如，第一订户可以接收相对于第二订户的服务具有更高级别的第一类型的安全性的服务。此外，第一订户可以基于多个因素中的至少一个（或作为其结果）而接收服务。

第一，第一订户可以基于每个用户或每个订户或每个企业策略而接收具有第一类型的安全性的服务。第二，第一订户可以基于第一订户（或第一订户企业）针对更高级别的安全性支付而接收具有第一类型的安全性的服务。例如，第一订户可以针对更高级别的服务支付，以便接收相对于第二订户的服务具有更高级别的安全性的服务。

第三，第一订户可以基于确定第一订户的业务至少部分地根据订户的当前上下文而需要第一类型的安全性的策略来接收具有第一类型的安全性的服务。订户的当前上下文可以基于例如应用/服务的类型、应用、位置或被叫方。例如，向敏感工作联系人的电话呼叫可能需要与向家庭成员或朋友的电话呼叫不同/更高级别的安全性。

在另一个示例中，金融交易或“私密”Facebook®视频消息可能需要与可由全世界访问的具有来自Netflix®、Pandora®或Spotify®的流式传输音乐/视频的数据会话或广播Facebook®消息或YouTube®视频上传或下载不同级别的安全性。每个应用可以具有与其相关联的不同安全性级别属性（由应用、操作系统（OS）、应用服务器和/或用户提供/可设置）。此外，每个媒体片段可以附加地在其元数据中具有与其相关联的不同安全性级别属性，包括例如上面提到的Facebook®示例、或者考虑“私密”标记日历项目。

在另一个示例实施例中，可以存在三个级别：（1）可信Wi-Fi，其是由运营商提供的Wi-Fi；（2）不可信Wi-Fi；和（3）蜂窝。

根据示例实施例，可以通过用于区分不同类型的安全性的以下示例实施例中的一个或多个来使得能够实现将订户业务分配给网络功能实例的管理。

在示例实施例中，安全性的类型可以包括以下中的至少一个。例如，涉及MME网络功能的第一类型的安全性，包括呼叫控制信令以及对UE（小区受访）历史的访问等。

安全性的类型还可以包括与承载平面安全性有关的第二类型的安全性，例如包括服务网关选择。安全性的类型可能影响网关的选择，但MME功能选择可能不受所请求的安全性类型的影响。在该示例中，信令可以首先到达MME，其后所需的安全性类型然后影响承载平面处理/网关选择。此外，可能存在每个网络功能的“简档”，其指示它可以创建什么类型的安全性风险，例如包括呼叫控制和位置。

图2图示了根据某些示例实施例的具有不同类型或维度的安全性的示例，其中每个维度具有多个值。具体而言，图2图示场景A-D以及关于MME/控制平面、承载平面、SGi和示例使用情况的每个场景的对应安全性类型。

根据示例实施例，通过利用各种元素的以下示例实施例中的一个或多个来使得能够实现将订户业务分配给网络功能实例的管理。

在一个示例实施例中，可以存在利用专用3GPP核心的专用核心示例实施例，其中每个专用核心网络专用于共享某些特性的UE。专用核心网络可以支持机器类型设备的不同需要和特性。在本发明的某些示例实施例的上下文中，这可以用于使得安全性要求标准能够将订户/业务与具有适当安全性级别的较大核心网络的适当子集相关联。这还可以包括扩展设备类型属性的列表以包括安全性的不同维度和方面。

根据某些示例实施例，用于管理向网络功能实例的订户业务的分配的解决方案可以利用在服务质量（QoS）上扩展以提供安全性质量（QoSec）的示例实施例。例如，这种利用可以包括利用PCRF来进一步使得能够实现在每个流的基础上的更加动态级别的安全性（与在每个设备的基础上的更加静态的相反）。另外，利用还可以包括QoS属性列表的扩展，以包括安全性的不同维度和方面，诸如上面描述的和图2中所示的那些。

根据某些示例实施例，用于管理向网络功能实例的订户业务的分配的解决方案可以进一步利用DPI来确定和更好地估计所需的安全性和/或信任的级别。在另一个示例实施例中，解决方案可以利用针对不同类型的安全性使用单独的接入点名称（APN）的示例实施例。在又一个示例实施例中，解决方案可以利用其中例如作为订户简档的部分所需的安全性的类型可以影响SGW选择的示例实施例。

根据示例实施例，解决方案可以利用其中不同的公共陆地移动网络（PLMN）对应于不同类型或级别的安全性的示例实施例。换句话说，解决方案可以通过利用无线电接入网络（RAN）共享技术来实现，例如其中PLMN值映射到网络的部分重叠部分。此外，enodeB（eNB）可以具有多个核心访问，其中路由/核心选择基于PLMN（或设备类型）。

根据示例实施例，解决方案可以利用其中设备认证（并验证）网络的服务部分与更高安全性相关联的示例实施例。认证（和验证）可以使用安全性证书中的至少一个或具有列表的UE的预先配置、或者可能地利用附加的设备类型标识（ID）/机器类型通信（MTC）设备类型能力来标识核心的适当子集，按照上述的专用核心工作项目。

上面提到的第一网络实例可以是例如已经被标识为具有基于其分类的适当网络安全性类型作为执行合法侦听的足够高的安全性的网络实例。

根据示例实施例，与云上的特定网络硬件平台上运行的特定网络功能相关联的安全性的级别可以包括网络供应商白名单/黑名单策略、或者地理或距离策略。例如，第一订户或订户的企业可能要求其排除或者优选地避免使用在来自特定供应商（例如黑名单上的供应商或者其中该国家中的订户认为存在安全性风险的供应商）的硬件上运行的网络功能。

可能的是，同一系统中的两个不同的订户可能具有两个不同的黑名单。例如，第一订户可能希望避免他们的业务通过由第一国家提供的硬件上的网络功能（例如，来自国家X的订户可能希望避免使业务通过由来自美国的供应商提供的硬件），而第二订户可能希望避免业务通过由第二国家提供的网络功能。（例如，来自国家Y的订户可能希望避免使业务通过由驻扎在中国的供应商提供的硬件）。这些国家示例仅仅是示例，并绝不是任何特定的这样的国家列表的支持。

此外，例如，可以存在用于云上的每个硬件元件的简档，包括硬件是用于网络功能的潜在主机的地方。其内的该硬件简档可以在硬件供应商上提供特定的（可验证的）信息，从而使得能够评估各种安全性相关的策略。

根据示例实施例，第一网络功能实例可以提供更高级别的安全性，其中它完全在运营商的网络内运行。在其他示例实施例中，网络功能虚拟化实例可以通过利用短期存储器存储的加密的其他策略来提升安全性、失去容量。

根据示例实施例，与特定网络功能相关联的安全性和/或信任级别可能在与其相同的硬件上运行的第三方应用的数量增加（诸如增加的多租户）的情况下降级，使得安全性/信任级别机制越高，关于利用多租户与其一起驻留的这样的应用的最大数量的限制就越低。

根据示例实施例，安全性和/或信任级别可以在托管它的硬件平台动态改变时进一步降级。例如，硬件平台可以动态改变，使得较高的安全性/信任级别机制充当关于以其发生这样的动态改变的最大速率的上限。

在示例实施例中，由无线提供商提供的安全性的级别（例如，考虑所有一起工作以提供蜂窝服务提供的网络功能）也可以基于各种因素来设置。

第一，如果存在例如对eNB的更多的第三方物理访问，则其可能被认为较不安全。例如，这可能适用于其中eNB实质上在某个其他订户的家中的电缆盒内的情况，类似于一些毫微微小区或者封闭/开放的订户群组场景。此处，直觉是，在这种情况下，可能存在安全性风险，因为UE知道硬件可能被更容易或可能修改。

第二，如果回传或边传是无线的，则其可能被认为较不安全。例如，这可能是其中小小区具有无线回传的情况。如前所述，这也可以应用于在某人的家/电缆盒内的eNB的情况。此处的原因是其较不安全，因为当应用不足的密码保护时，如果它更容易访问（例如无线，与光纤回传相反），则存在窃听或侵入的较大风险。

第三，如果存在RAN共享，则其可能被认为较不安全。例如，如果两个不同的运营商共享相同的eNB，则这可能创建更大的安全性风险。类似地，如果更多的运营商共享特定的蜂窝电话塔（这对于宏小区可能经常是该情况，但对于小小区不太是这样），则其可能被认为较不安全。

第四，如果无线设备正在使用协调多点传输（COMP），则其可能被认为较不安全。原因是在与用户通信中涉及的eNB越多，潜在侵入的点就越多，并且因此安全性可能潜在地降级得越多。此外，如果无线设备在Wi-Fi加LTE之上同时连接，则其可能被认为较不安全。直觉是，在一些业务越过Wi-Fi的任何时候，都可能存在更大的安全性风险。

第五，在另一个示例实施例中，可以存在针对连接的三个不同级别的信任：（1）不可信Wi-Fi；（2）可信Wi-Fi（例如，其可以是由运营商提供的Wi-Fi）；和（3）蜂窝。此外，可以存在多个级别的蜂窝信任，其中某人的归属运营商更可信，并且漫游运营商例如在访问其中漫游蜂窝运营商较不可信的特定外国时。

第六，如果可以更“广泛地”观察UE射频（RF）传输，则其可能被认为较不安全。如果存在更多的其他UE通过该特定eNB驻扎或连接，则其可能被认为较不安全。此处，直觉是，共享相同eNB的更多其他设备递增地创建更多的安全性风险。这也可能是其中UE发射功率（向eNB）在其中UE更远离其服务塔的情况下更高的又更高的安全性/信任问题。此处，安全性/信任直觉是，如果因为UE更接近塔所以移动站以更低的功率发射/接收，则更少的其他设备可以潜在地观察到其业务。以这种方式，当更接近服务小区塔和/或在相对轻负载的小区中交换无线业务时，可能存在更大的RF和能量效率以及更高的安全性两者。

根据示例实施例，可以执行将订户业务分配到网络功能实例的管理，其中上述第一和第二网络功能实例两者都满足订户/多个订户的其他要求，例如从延迟要求角度。换句话说，本发明的某些示例实施例进行工作以优先化向网络功能实例的分配，其中两个实例诸如例如就延时或与订户的接近度而言都满足订户的需要，但是这两个实例提供不同级别或类型的安全性，如前所述。

图3图示了根据某些示例实施例的系统的示例。在一个示例实施例中，系统可以包括多个设备，诸如例如至少装置310、320和330。

装置310可以是任何终端设备，诸如UE、蜂窝电话、智能电话、个人数字助理、台式计算机、个人计算机、膝上型计算机、迷你平板计算机、平板计算机等。装置320可以是任何类型的网络功能，诸如MME、SGW、PCRF、DPI或应用优化功能、SGi等。此外，装置330可以是通信网络中的或服务于这样的网络的节点、主机或服务器。例如，在某些示例实施例中，装置330可以是用于无线电接入网络的网络元件、接入节点，诸如UMTS中的基站或者LTE或LTE-A中的eNB。然而，在其他示例实施例中，装置330可以是无线电接入网络内的其他组件。

这些设备中的每个可以包括分别被指示为314、324和334的至少一个处理器，其用于处理信息并执行指令或操作。处理器314、324和334可以是任何类型的通用或专用处理器。虽然针对图3中的每个设备示出了单个处理器314、324和334，但是根据其他示例实施例，可以在每个设备中利用多个处理器。实际上，处理器314、324和334可以包括通用计算机、专用计算机、微处理器、中央处理单元（CPU）、数字信号处理器（DSP）、现场可编程门阵列（FPGA）、专用集成电路（ASIC）以及基于多核处理器架构的处理器（作为示例）或其他类似设备中的一个或多个。

处理器可以被实现为单个控制器或多个控制器或处理器。处理器还可以执行与系统的操作相关联的功能，包括但不限于天线增益/相位参数的预编码、形成通信消息的各个位的编码和解码、信息的格式化、以及系统的总体控制，包括与通信资源的管理相关的过程。

至少一个存储器（内部或外部）可以在每个设备中提供，并分别指示为315、325和335。存储器可以包括其中包含的计算机程序指令或计算机代码。处理器314、324和334以及存储器315、325和335或其子集可以被配置为提供对应于图1和5中所示的各个块和过程的部件。

存储器315、325和335可以独立地是任何合适的存储设备，诸如非暂时性计算机可读介质。可以使用硬盘驱动器（HDD）、随机存取存储器（RAM）、闪速存储器或其他合适的存储器。存储器可以在与处理器单个集成电路上组合，或者可以与一个或多个处理器分离。此外，存储在存储器中并且可以由处理器处理的计算机程序指令可以是任何合适形式的计算机程序代码，例如以任何合适的编程语言编写的编译或解释的计算机程序。

存储器和计算机程序指令可以利用用于特定设备的处理器被配置为使得诸如装置310、320和330的硬件装置执行本文描述的任何过程（参见，例如，图1和5）。因此，在某些示例实施例中，非暂时性计算机可读介质可以用计算机指令编码，所述计算机指令当在硬件中执行时执行诸如本文描述的过程之一的过程。替代地，本发明的某些示例实施例可以完全在硬件中执行。

如图3所示，可以提供收发器316、326和336，并且每个设备还可以包括天线，其分别被指示为317、327和337。也可以提供例如这些设备的其他配置。

收发器316、326和336均可以独立地是发送器、接收器、或发送器和接收器两者、或者被配置用于发送和接收两者的单元或设备。例如，收发器316、326和336可以被配置为将信息调制到载波波形上，以用于由天线317、327和337发送，并对经由天线317、327和337接收到的信息进行解调以供图3中所示的系统的其他元件进一步处理。在其他示例实施例中，收发器316、326和336可以能够直接发送和接收信号或数据。

虽然图3图示了包括装置310、320和330的系统，但是本发明的示例实施例可以适用于其他配置和涉及附加元件的配置。例如，可以存在未示出的另外的UE、eNB、MME和/或图1中所示的元件。

如上所述，根据一个示例实施例，图3中所示的系统可以包括例如可以是网络功能的装置320。在示例实施例中，装置320可以由存储器325和处理器324控制以执行上述的各种功能。

在示例实施例中，装置320可以由存储器325和处理器324控制成配置第一网络功能的第一实例以提供第一类型的安全性。装置320还可以由存储器325和处理器324控制成配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性。装置320还可以由存储器325和处理器324控制成将订户业务中的至少一些分配给第一实例。

根据示例实施例，将订户业务分配给第一实例可以基于第一网络功能的安全性需要。根据另一个示例实施例，第一网络功能的第一实例可以具有比第一网络功能的第二实例更高级别的安全性。

在示例实施例中，装置320还可以由存储器325和处理器324控制成优先化由第一网络功能的第一实例对第一订户的业务的处理，以及优先化由第一网络功能的第二实例对第二订户的业务的处理。根据示例实施例，优先化可以基于第一订户具有比具有第二类型的安全性要求的第二订户更高的第一类型的安全性要求。

根据示例实施例，第一类型的安全性和第二类型的安全性均可以基于以下中的至少一个来配置：每个用户、每个订户或每个企业策略，针对特定级别的安全性的支付，或者第一和第二订户的当前上下文。在示例实施例中，第二订户的上下文可以基于实现的应用/服务的类型、正在使用的应用的类型、第二订户的位置、或者第二订户尝试到达的被叫方。

根据示例实施例，第一类型的安全性可以涉及移动性管理实体网络功能，包括例如呼叫控制信令和对UE历史的访问。此外，第二类型的安全性可以涉及承载平面安全性，包括例如SGW选择。此外，可能存在多个订户具有针对安全性的类型和/或级别的各种需要。例如，可能的是，存在第一、第二、第三和第四订户。可能的是，第一订户需要更高级别的移动性管理安全性，第二订户需要更高级别的承载平面安全性，第三订户需要更高级别的移动性管理和承载平面安全性两者，并且第四订户仅需要正常级别的安全性。

在示例实施例中，与第一网络功能相关联的安全性的级别可以包括：网络供应商白名单/黑名单策略，或者地理或距离策略；完全在运营商的网络内运行的更高级别的安全性；基于在与第一网络功能相同的硬件上运行的第三方应用的数量的安全性的级别的降级；和硬件平台托管第一网络功能时的基于硬件平台的动态改变的安全性的级别的降级。

在另一个示例实施例中，可以基于以下中的至少一个来提供提供给第一网络功能的安全性的级别：对网络元件的第三方访问；运营商网络的回传或者边传是无线的；网络元件的无线电接入网络共享的存在；多点传输的存在；对应于Wi-Fi的信任级别；和连接到网络元件的用户设备的数量。

图4图示了根据某些示例实施例的装置410。在一个示例实施例中，如上面结合图3所描述的，装置410可以是网络功能。应当注意，本领域普通技术人员将理解，装置410可以包括图4中未示出的其他组件或特征。此外，装置410可以包括用于向装置410发送信号和/或数据以及从装置410接收信号和/或数据的一个或多个天线420。

如图4所示，装置410可以包括配置单元430，配置单元430可以被配置为配置第一网络功能的第一实例以提供第一类型的安全性，并且配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性。装置410还可以包括分配单元440，分配单元440可以被配置为将订户业务中的至少一些分配给第一实例。此外，装置410还可以包括优先化单元450，优先化单元450可以被配置为优先化由第一网络功能的第一实例对第一订户的业务的处理，以及优先化由第一网络功能的第二实例对第二订户的业务的处理。

图5图示根据某些示例实施例的方法的示例流程图。在某些示例实施例中，图5的方法可以由诸如上述的网络功能来执行。该方法可以包括在510处配置第一网络功能的第一实例以提供第一类型的安全性。该方法还可以包括在520处配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性。该方法还可以包括在530处将订户业务中的至少一些分配给第一实例。该方法还可以包括在540处优先化由第一网络功能的第一实例对第一订户的业务的处理。该方法还可以包括在550处优先化由第一网络功能的第二实例对第二订户的业务的处理。

本发明的示例实施例可以提供若干技术改进。例如，其可以实现最完全级别的云/网络功能虚拟化而同时在这些特定情况下提供该最高级别的安全性。在所有时间针对所有业务提供该最高级别的安全性显著地降低了利用网络功能虚拟化可实现的容量和复用增益。否则，伴随其中网络功能虚拟化使用云而没有安全性覆盖的声称并入的方法将导致不满足所有客户的需要。

此外，如果视频/音频流式传输业务不要求高级别的安全性，则可以显著降低这一大部分业务的容量影响，同时不降级提供给其他关键类型的业务的安全性级别。例如，如果针对网络功能提供最安全的云环境在每个业务或每个订户的基础上使该网络功能的成本加倍，则通过仅对要求它的业务使用最安全的网络功能，可能可以使用于网络功能的云解决方案的总体容量或成本改进50％或更多，包括其中视频/音频流式传输通常是例如现今由无线网络所承载的业务量的大部分。

此外，根据本发明的某些示例实施例，可能可以交付适当级别的安全性，而同时最大地利用云中的网络功能虚拟化的益处，诸如例如利用云环境内可能的复用增益。此外，该机制还可以在具有或没有标准改变两者的情况下实施。

此外，一个关键领域益处可以是利用云来避免低利用率（资源、能量、容量和收入浪费）的能力，因为基于云的解决方案可以使得能够进行实时与需求匹配容量以防止损失收入同时避免需要在容量中“过度投资”的好得多的工作。换句话说，朝向基于云的交付的主要动机是改进的复用增益/使用否则将空闲的装备的能力。例如，这通过针对高峰时间和其他甚至更罕见且不可预测的网络“事件”进行设计来减轻确保系统的容量的需要。多租户和相对高峰负载的扁平化创建了益处，其中更多数量的组织和用户在该“共享环境”中的共享基础结构上被服务。动态预置可以进一步减少与实际需求更好匹配的计算资源和服务器中的浪费。数据中心效率也可以改进，因为这使得能够实现通过改进的功率的调节和冷却来降低功耗的设计。

此外，虚拟化网络功能的一个焦点是核心中的网络功能。例如，某人可以在每个用户设备每个小时的消息方面考虑跨更广的移动网络运营商功能套件内的MME、PDN/SGW和其他网络元件的网络利用率可变性。从长远来看，云可以对功能具有越来越大的影响，其一直延伸到eNB，其中由于网络利用率的不均匀空间密度分布而可能存在甚至更大的浪费，其中特定的小区比其他小区显著更拥塞。例如，在一些示例系统中，网络中的15％的高负载小区可以确定小区系统的容量限制。

此外，在网络弹性和灵活性方面，基于云的解决方案在面对本地化硬件故障时可以在网络弹性方面创建又附加的益处。此外，在基于云的解决方案的情况下，预期升级和新特征的部署间隔将缩短。此外，在能量效率的舞台存在很大的机会。

本领域普通技术人员将容易理解，如上所讨论的本发明可以利用采用不同次序的步骤和/或利用采用与所公开的那些不同的配置的硬件元件来实施。因此，虽然已经基于这些示例实施例描述了本发明，但是对于本领域技术人员将显而易见的是，某些修改、变化和替代构造将是显而易见的，同时保持在本发明的精神和范围内。因此，为了确定本发明的范围和边界，应当参考所附权利要求。

术语表

3GPP 第三代合作伙伴计划

ASIC 专用集成电路

CAPEX 资本支出

COMP 协调多点传输

CPU 中央处理单元

DSP 数字信号处理器

EDGE 用于GSM演进的增强数据速率

eNB 演进节点B

E-UTRAN 演进UTRAN

FDD 频分双工

FPGA 现场可编程门阵列

HDD 硬盘驱动器

GERAN GSM EDGE无线电接入网络

GSM 全球移动通信系统

HSS 归属订户服务器

IP 网际协议

IMEI 国际移动设备身份

IMEISV IMEI软件版本

LI 合法侦听

LTE 长期演进

Mbps 兆位每秒

MME 移动性管理实体

MTC 机器类型通信

OPEX 运营支出

OS 操作系统

PLMN 公共陆地移动网络

PDN GW 分组数据网络网关

QoS 服务质量

QoSec 安全性质量

RAN 无线电接入网络

RAM 随机存取存储器

RF 射频

RNC 无线电网络控制器

RNS 无线电网络子系统

ROM 只读存储器

SGSN 服务通用分组无线业务支持节点

SGW 服务网关

S/P-GW 服务/分组数据网络网关

TDD 时分双工

TPM 可信平台模块

UE 用户设备

UMTS 通用移动电信系统

UTRAN 通用移动电信系统

RAN 无线电接入网络。

Claims (20)

1.一种用于分配订户业务的方法，包括：

配置第一网络功能的第一实例以提供第一类型的安全性；

配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性；和

将订户业务中的至少一些分配给第一实例。

2.根据权利要求1所述的方法，其中将订户业务分配给第一实例是基于第一网络功能的安全性需要。

3.根据权利要求1或权利要求2所述的方法，还包括：

优先化由第一网络功能的第一实例对第一订户的业务的处理；和

优先化由第一网络功能的第二实例对第二订户的业务的处理。

4.根据权利要求1-3中任一项所述的方法，其中所述第一类型的安全性和所述第二类型的安全性均基于以下中的至少一个来配置：

每个用户、每个订户或每个企业策略，

针对特定级别的安全性的支付，或者

第一和第二订户的当前上下文。

5.根据权利要求1-4中任一项所述的方法，

其中所述第一类型的安全性涉及移动性管理实体网络功能，并且

其中所述第二类型的安全性涉及承载平面安全性。

6.根据权利要求1-5中任一项所述的方法，其中与第一网络功能相关联的安全性的级别包括：

网络供应商白名单/黑名单策略，或者地理或距离策略；

完全在运营商的网络内运行的更高级别的安全性；

基于在与第一网络功能相同的硬件上运行的第三方应用的数量的安全性的级别的降级；和

硬件平台托管第一网络功能时的基于硬件平台的动态改变的安全性的级别的降级。

7.根据权利要求1-6中任一项所述的方法，其中基于以下中的至少一个来提供提供给第一网络功能的安全性的级别：

对网络元件的第三方访问；

运营商网络的回传或者边传是无线的；

网络元件的无线电接入网络共享的存在；

多点传输的存在；

对应于Wi-Fi的信任级别；和

连接到网络元件的用户设备的数量。

8.一种用于分配订户业务的装置，包括：

至少一个处理器；和

包括计算机程序代码的至少一个存储器，

其中所述至少一个存储器和所述计算机程序代码利用所述至少一个处理器被配置为使得所述装置至少：

配置第一网络功能的第一实例以提供第一类型的安全性；

配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性；和

将订户业务中的至少一些分配给第一实例。

9.根据权利要求8所述的装置，其中将订户业务分配给第一实例是基于第一网络功能的安全性需要。

10.根据权利要求8或权利要求9所述的装置，其中所述至少一个存储器和所述计算机程序代码利用所述至少一个处理器被配置为使得所述装置至少：

优先化由第一网络功能的第一实例对第一订户的业务的处理；和

优先化由第一网络功能的第二实例对第二订户的业务的处理。

11.根据权利要求8-10中任一项所述的装置，其中所述第一类型的安全性和所述第二类型的安全性均基于以下中的至少一个来配置：

每个用户、每个订户或每个企业策略，

针对特定级别的安全性的支付，或者

第一和第二订户的当前上下文。

12.根据权利要求8-11中任一项所述的装置，

其中所述第一类型的安全性涉及移动性管理实体网络功能，并且

其中所述第二类型的安全性涉及承载平面安全性。

13.根据权利要求8-12中任一项所述的装置，其中与第一网络功能相关联的安全性的级别包括：

网络供应商白名单/黑名单策略，或者地理或距离策略；

完全在运营商的网络内运行的更高级别的安全性；

基于在与第一网络功能相同的硬件上运行的第三方应用的数量的安全性的级别的降级；和

硬件平台托管第一网络功能时的基于硬件平台的动态改变的安全性的级别的降级。

14.根据权利要求8-13中任一项所述的装置，其中基于以下中的至少一个来提供提供给第一网络功能的安全性的级别：

第三方对网络元件的访问；

运营商网络的回传或者边传是无线的；

网络元件的无线电接入网络共享的存在；

多点传输的存在；

对应于Wi-Fi的信任级别；和

连接到网络元件的用户设备的数量。

15.一种用于分配订户业务的装置，包括：

用于配置第一网络功能的第一实例以提供第一类型的安全性的配置部件；

用于配置第一网络功能的第二实例以提供与所述第一类型的安全性不同的第二类型的安全性的配置部件；和

用于将订户业务中的至少一些分配给第一实例的分配部件。

16.根据权利要求15所述的装置，还包括：

用于优先化由第一网络功能的第一实例对第一订户的业务的处理的优先化部件；和

用于优先化由第一网络功能的第二实例对第二订户的业务的处理的优先化部件。

17.根据权利要求15或权利要求16所述的装置，其中所述第一类型的安全性和所述第二类型的安全性均基于以下中的至少一个来配置：

每个用户、每个订户或每个企业策略，

针对特定级别的安全性的支付，或者

第一和第二订户的当前上下文。

18.根据权利要求15-17中任一项所述的装置，

其中所述第一类型的安全性涉及移动性管理实体网络功能，并且

其中所述第二类型的安全性涉及承载平面安全性。

19.根据权利要求15-18中任一项所述的装置，其中与第一网络功能相关联的安全性的级别包括：

网络供应商白名单/黑名单策略，或者地理或距离策略；

完全在运营商的网络内运行的更高级别的安全性；

基于在与第一网络功能相同的硬件上运行的第三方应用的数量的安全性的级别的降级；和

硬件平台托管第一网络功能时的基于硬件平台的动态改变的安全性的级别的降级。

20.根据权利要求15-19中任一项所述的装置，其中基于以下中的至少一个来提供提供给第一网络功能的安全性的级别：

第三方对网络元件的访问；

运营商网络的回传或者边传是无线的；

网络元件的无线电接入网络共享的存在；

多点传输的存在；

对应于Wi-Fi的信任级别；和

连接到网络元件的用户设备的数量。