CN108235316B - 一种加入接入节点组的方法及设备 - Google Patents

一种加入接入节点组的方法及设备 Download PDF

Info

Publication number
CN108235316B
CN108235316B CN201611193310.5A CN201611193310A CN108235316B CN 108235316 B CN108235316 B CN 108235316B CN 201611193310 A CN201611193310 A CN 201611193310A CN 108235316 B CN108235316 B CN 108235316B
Authority
CN
China
Prior art keywords
access node
service center
local service
network layer
node group
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201611193310.5A
Other languages
English (en)
Other versions
CN108235316A (zh
Inventor
陈山枝
陈中林
艾明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Datang Mobile Communications Equipment Co Ltd
Original Assignee
Telecommunications Science and Technology Research Institute Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telecommunications Science and Technology Research Institute Co Ltd filed Critical Telecommunications Science and Technology Research Institute Co Ltd
Priority to CN201611193310.5A priority Critical patent/CN108235316B/zh
Priority to US16/472,208 priority patent/US11265708B2/en
Priority to EP17883988.2A priority patent/EP3562185B1/en
Priority to PCT/CN2017/107136 priority patent/WO2018113402A1/zh
Publication of CN108235316A publication Critical patent/CN108235316A/zh
Application granted granted Critical
Publication of CN108235316B publication Critical patent/CN108235316B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/04—Interfaces between hierarchically different network devices
    • H04W92/12—Interfaces between hierarchically different network devices between access points and access point controllers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例涉及无线通信技术领域，特别涉及一种加入接入节点组的方法及设备，用以解决现有技术中接入节点无法安全地接入APG的问题。本发明实施例接入节点在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；接入节点在接收到本地服务中心发送的网络配置消息后，根据网络配置消息中的配置信息进行网络配置。从而在实现用户设备对应的接入节点组跟随所述用户设备移动的同时，保证接入节点安全地加入接入节点组。

Description

一种加入接入节点组的方法及设备
技术领域
本发明涉及无线通信技术领域，特别涉及一种加入接入节点组的方法及设备。
背景技术
在未来的网络中，传统的大功率宏基站与大量部署的低功率小基站组成了UDN(Ultra Dense Network，超密集组网)，这是解决未来无线移动通信数据速率需求问题的一种很有前景的选择。
在UDN场景中，海量的AP(Access Point，接入节点)的数量甚至可能与用户具有相当的密度。为更好的提升用户体验，提出一种UUDN(User-centricUltra Dense Network，以用户为中心的超密集组网)方案。在UUDN场景中，将组织动态变化的APG(Access PointsGroup，接入节点组)，跟随用户的移动无感知地为用户提供服务，即UDN/UUDN场景中每一个用户设备对应的一个APG。
现有网络中，各个NE(Network Entity，网络实体)是由运营商规划部署的，位置相对固定，一旦部署实施后，AP加入或离开一个APG的需求较低。但在UDN/UUDN场景中接入网物理安全环境复杂且差异巨大，海量的AP靠近用户侧进行部署，并且每一个用户设备对应一个动态变化的APG。随着用户设备的移动，该用户设备对应的APG成员也不断发生变化。由于为用户设备提供服务的APG成员的动态性，并且一个AP可能归属于多个APG，为了避免非法AP假冒一个合法APG中的AP实施安全攻击的情况，在UDN/UUDN场景中如何使AP安全的接入用户设备对应的APG成为亟待解决的问题。
综上所述，目前针对UDN/UUDN场景，还没有一种AP加入APG的方法。
发明内容
本发明提供一种加入接入节点组的方法及设备，用以解决现有技术中在UDN/UUDN场景中，接入节点无法安全地接入APG的问题。
第一方面，本发明实施例提供的一种加入接入节点组的方法，包括：
接入节点在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；
所述接入节点在接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的。
可选的，所述接入节点与本地服务中心进行网络层双向鉴权，包括：
所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；
所述接入节点在对网络侧鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
可选的，所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权，包括：
所述接入节点根据所述网络层鉴权参数中的随机数确定第二鉴权标记；
若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则所述接入节点确定对网络侧鉴权通过。
可选的，所述接入节点在鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，包括：
所述接入节点在对网络侧鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；
所述接入节点向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
可选的，所述接入节点确定需要加入接入节点组，包括：
所述接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
接收到所述本地服务中心发送的接入指示消息。
可选的，所述加入条件包括检测到覆盖范围内新的用户设备；
所述接入节点确定需要加入接入节点所述接入节点之后，与本地服务中心进行网络层双向鉴权之前，还包括：
所述接入节点向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数；
所述接入节点接收包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
可选的，所述接入指示消息包含所述接入节点组对应的节点组标识和网络层鉴权参数；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，该方法还包括：
所述接入节点在确定需要离开接入节点组后，向所述本地服务中心上报离开所述接入节点组；
所述接入节点确定需要离开用户设备对应的接入节点组，包括：
所述接入节点在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
所述接入节点在需要关机时，确定需要离开接入节点组。
可选的，所述接入节点与本地服务中心进行网络层双向鉴权之后，还包括：
所述接入节点接收所述本地服务中心发送的第一密钥和第二密钥；
所述接入节点根据所述第一密钥，确定出用于与所述用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
第二方面、一种加入接入节点组的方法包括：
本地服务中心在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；
所述本地服务中心在确定网络层双向鉴权通过后，向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置。
可选的，所述本地服务中心与所述接入节点进行网络层双向鉴权，包括：
所述本地服务中心根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权；
其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，所述本地服务中心根据网络层鉴权参数，以及所述接入节点组对应的节点组标识，与所述接入节点进行网络层双向鉴权，包括：
所述本地服务中心向所述接入节点发送所述接入节点组对应的节点组标识和所述网络层鉴权参数，以使所述接入节点根据所述节点组标识和所述网络层鉴权参数对网络侧进行鉴权；
若所述本地服务中心接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
可选的，所述本地服务中心根据所述网络层鉴权响应消息，对所述接入节点进行鉴权，包括：
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，所述本地服务中心确定对所述接入节点鉴权通过。
可选的，所述本地服务中心确定接入节点需要加入接入节点组，包括：
所述本地服务中心接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组；和/或
所述本地服务中心根据调度信息，确定所述接入节点需要加入接入节点组。
可选的，若所述本地服务中心接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组，则向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息，以使所述接入节点根据所述网络层鉴权请求消息对网络侧进行鉴权；
若所述本地服务中心根据调度信息，确定所述接入节点需要加入接入节点组，则向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
可选的，所述网络层鉴权参数中包括临时密钥；
所述本地服务中心确定网络层双向鉴权通过之后，还包括：
所述本地服务中心根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与所述用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
可选的，所述本地服务中心根据所述临时密钥确定所述接入节点对应的相对于所述接入节点组中其他接入节点的第一密钥和第二密钥，包括：
所述本地服务中心根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；
所述本地服务中心根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
可选的，所述本地服务中心向所述接入节点发送网络配置消息之后，还包括：
所述本地服务中心接收到所述接入节点上报的离开用户设备对应的接入节点组后，确定所述接入节点离开所述用户设备对应的接入节点组，并删除所述临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
第三方面、一种接入节点，包括：
第一鉴权模块，用于在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；
配置模块，用于在接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的。
可选的，所述第一鉴权模块，具体用于：
根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；在对网络侧鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
可选的，所述第一鉴权模块，具体用于：
根据所述网络层鉴权参数中的随机数确定第二鉴权标记；若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则确定对网络侧鉴权通过。
可选的，所述第一鉴权模块，具体用于：
在对网络侧鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
可选的，所述第一鉴权模块，具体用于：
所述接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
接收到所述本地服务中心发送的接入指示消息。
可选的，所述加入条件包括检测到覆盖范围内新的用户设备；
所述第一鉴权模块，还用于：
确定需要加入接入节点所述接入节点之后，与本地服务中心进行网络层双向鉴权之前，向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数；接收包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
可选的，所述接入指示消息包含所述接入节点组对应的节点组标识和网络层鉴权参数；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，所述第一鉴权模块，还用于：
在确定需要离开接入节点组后，向所述本地服务中心上报离开所述接入节点组；
所述第一鉴权模块，具体用于：
在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
在需要关机时，确定需要离开接入节点组。
可选的，所述第一鉴权模块，还用于：
与本地服务中心进行网络层双向鉴权之后，接收所述本地服务中心发送的第一密钥和第二密钥；根据所述第一密钥，确定出用于与所述用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
第四方面、一种本地服务中心，包括：
第二鉴权模块，用于在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；
发送模块，用于在确定网络层双向鉴权通过后，向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置。
可选的，所述第二鉴权模块，具体用于：
根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，所述第二鉴权模块，具体用于：
向所述接入节点发送所述接入节点组对应的节点组标识和所述网络层鉴权参数，以使所述接入节点根据所述节点组标识和所述网络层鉴权参数对网络侧进行鉴权；若接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
可选的，所述第二鉴权模块，具体用于：
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，确定对所述接入节点鉴权通过。
可选的，所述第二鉴权模块，具体用于：
接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组；和/或
根据调度信息，确定所述接入节点需要加入接入节点组。
可选的，所述第二鉴权模块，具体用于：
若接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组，则向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息，以使所述接入节点根据所述网络层鉴权请求消息对网络侧进行鉴权；
若根据调度信息，确定所述接入节点需要加入接入节点组，则向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
可选的，所述网络层鉴权参数中包括临时密钥；
所述第二鉴权模块，还用于：
确定网络层双向鉴权通过之后，根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与所述用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
可选的，所述第二鉴权模块，具体用于：
根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
可选的，所述发送模块，还用于：
向所述接入节点发送网络配置消息之后，接收到所述接入节点上报的离开用户设备对应的接入节点组后，确定所述接入节点离开所述用户设备对应的接入节点组，并删除所述临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
本发明实施例接入节点在需要加入接入节点组时，接入节点需要通过与本地服务中心的双向网络层鉴权，在网络层双向鉴权通过后，接入节点能够接入对应的接入节点组，从而在实现用户设备对应的接入节点组跟随所述用户设备移动的同时，保证接入节点安全地加入接入节点组。
附图说明
图1为本发明实施例超密集组网结构示意图；
图2为本发明实施例加入接入节点组的系统结构示意图；
图3为本发明实施例加入接入节点组方法的整体流程图一；
图4为本发明实施例加入接入节点组方法的整体流程图二；
图5为本发明实施例密钥推演的流程图；
图6为本发明实施例第一种接入节点的结构示意图；
图7为本发明实施例第一种本地服务中心的结构示意图；
图8为本发明实施例第二种接入节点的结构示意图；
图9为本发明实施例第二种本地服务中心的结构示意图；
图10为本发明实施例接入节点侧加入接入节点组的方法流程图；
图11为本发明实施例本地服务中心辅助接入节点加入接入节点组的方法流程图。
具体实施方式
为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
首先对本发明实施例提供的技术方案的实施环境进行说明。
图1为超密集组网结构示意图，如图所示，网络结构中主要包括：NSC(NetworkService Center，网络服务中心)、LSC(Local Service Center，本地服务中心)、若干个UE(User Equipment，用户设备)、为UE提供服务的若干个APG；其中，每个APG中包括若干个AP，同一个AP可以位于不同的APG中；每个APG对应一个节点组标识ID，每个APG对应一个UE。APG中的AP与UE通过无线连接，各AP与LSC之间通过有线连接，LSC与NSC之间通过IP网络相连。
在下面的说明过程中，先从网络侧和用户设备侧的配合实施进行说明，最后分别从网络侧与用户设备侧的实施进行说明，但这并不意味着二者必须配合实施，实际上，当网络侧与用户设备侧分开实施时，也解决了分别在网络侧、用户设备侧所存在的问题，只是二者结合使用时，会获得更好的技术效果。
如图2所示，本发明实施例加入接入节点组的系统，包括：接入节点10、本地服务中心20。
接入节点10、用于在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；在接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的。
本地服务中心20、用于在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；在确定网络层双向鉴权通过后，向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置。
本发明实施例接入节点在需要加入接入节点组时，接入节点需要通过与本地服务中心的双向网络层鉴权，在网络层双向鉴权通过后，接入节点能够接入对应的接入节点组，从而在实现用户设备对应的接入节点组跟随所述用户设备移动的同时，保证接入节点安全地加入接入节点组。
本发明实施例包括两部分内容：一、接入节点加入接入节点组的过程；二、接入节点离开接入节点组的过程。下面分别进行说明。
一、接入节点加入接入节点组的过程。
接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
接收到所述本地服务中心发送的接入指示消息。
下面针对不同的加入条件分情况进行说明。
情况一、加入条件为接入节点检测到覆盖范围内新的用户设备。
接入节点周期性检测其覆盖范围内的用户设备并获取用户设备的用户信息。
接入节点在确定检测到新的用户设备后，向所述本地服务中心发送加入请求消息；
本地服务中心接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组。
其中，接入节点向本地服务中心发送的加入请求消息中包含该新的用户设备的标识信息，以使本地服务中心根据标识信息与接入节点组的绑定关系，确定接入节点需要加入的接入节点组。
可选的，所述接入节点向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数。
具体的，本地服务中心向网络服务中心发送请求鉴权参数消息，并且该请求鉴权参数消息中的包含接入节点检测到的新的用户设备的标识信息。
网络服务中心接收到本地服务中心发送的请求鉴权参数消息，根据请求鉴权参数消息中的包含的用户设备的标识信息，生成该用户设备对应的网络层鉴权参数，也即接入节点对应的网络层鉴权参数。
网络层鉴权参数包括：RAND(随机数)、XRES(期望响应参数)、AUTN(鉴权标记)、KLSC(临时密钥)；
其中，KLSC是根据网络服务中心存储的该用户设备对应的根密钥k，以及网络层鉴权参数中的RAND确定的；并且，KLSC的作用是使本地服务中心根据该KLSC推演接入节点与用户设备进行通信时的通信密钥，以及推演该接入节点与该节点组中其他节点进行通信时的通信密钥。
网络服务中心将生成该接入节点对应的网络层鉴权参数发送给本地服务中心，本地服务中心在本地保存接收到的该接入节点对应的网络层鉴权参数。
下面详细说明接入节点与本地服务中心的网络层双向鉴权过程。
本地服务中心向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
其中，网络层鉴权请求消息中包含的节点组标识APG_ID，以及网络层鉴权参数包括RAND、AUTN。
节点组标识APG_ID可以作为一个单独的参数添加在网络层鉴权请求消息中；或者，将节点组标识APG_ID与网络层鉴权参数中某个参数进行异或隐藏添加在网络层鉴权请求消息中，例如将APG_ID与AUTN进行异或隐藏。
相应地，若采用将节点组标识APG_ID与网络层鉴权参数中某个参数进行异或隐藏添加在网络层鉴权请求消息中进行传递的方式，接入节点在接收到网络层鉴权请求消息后，会从网络层鉴权参数中将节点组标识APG_ID解析出来。
本地服务中心根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权。
其中，本地服务中心与接入节点之间的网络层双向鉴权包括：接入节点对本地服务中心进行网络侧鉴权、本地服务中心对接入节点进行鉴权。
1、接入节点对本地服务中心进行网络侧鉴权。
所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；
具体的，所述接入节点根据所述网络层鉴权参数中的随机数确定第二鉴权标记；若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则所述接入节点确定对网络侧鉴权通过。
即，接入节点根据网络层鉴权请求消息中的RAND确定AUTN，若接入节点确定的AUTN与网络层鉴权请求消息中的AUTN相同，则接入节点确定对网络侧鉴权通过。
接入节点在鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
具体的，所述接入节点在鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；所述接入节点向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
即，接入节点在对网络侧鉴权通过后，根据网络层鉴权参数中的RAND，确定RES(鉴权响应参数)，向所述本地服务中心返回包含APG_ID和RES的网络层鉴权响应消息。
节点组标识APG_ID可以作为一个单独的参数添加在网络层鉴权响应消息中；或者，将节点组标识APG_ID与鉴权响应参数进行异或隐藏添加在网络层鉴权响应消息中，例如将APG_ID与RES进行异或隐藏。
相应地，若采用将节点组标识APG_ID与鉴权响应参数进行异或隐藏添加在网络层鉴权响应消息中进行传递的方式，本地服务中心在接收到网络层鉴权响应消息后，会从鉴权响应参数中将节点组标识APG_ID解析出来。
2、本地服务中心对接入节点进行鉴权。
本地服务中心接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，所述本地服务中心确定对所述接入节点鉴权通过。
具体的，本地服务中心判断网络层鉴权响应消息中的RES，与网络层鉴权参数中的XRES是否相同，若相同，则确定对接入节点鉴权通过。
如图3所示的加入接入节点组的方法。
步骤301、接入节点检测到覆盖范围内新的用户设备。
步骤302、所述接入节点向所述本地服务中心发送加入请求消息。
其中，该加入请求消息中包含检测到的新的用户设备的标识信息。
步骤303、本地服务中心确定所述接入节点需要加入的接入节点组。
步骤304、本地服务中心向网络服务中心发送请求鉴权参数消息；
其中，该请求鉴权参数消息中的包含接入节点检测到的新的用户设备的标识信息；
步骤305、网络服务中心根据请求鉴权参数消息中的包含的用户设备的标识信息，生成接入节点对应的网络层鉴权参数；
步骤306、网络服务中心向本地服务中心返回接入节点对应的网络层鉴权参数；
步骤307、本地服务中心接收并保存从网络服务中心获取的接入节点对应的网络层鉴权参数；
步骤308、本地服务中心向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
步骤309、接入节点根据网络层鉴权请求消息中的RAND确定AUTN。
步骤310、若确定的AUTN与网络层鉴权请求消息中的AUTN相同，接入节点确定对网络侧进行鉴权通过。
步骤311、接入节点根据网络层鉴权请求消息中的RAND确定RES。
步骤312、接入节点向所述本地服务中心返回包含所述节点组标识和RES的网络层鉴权响应消息。
步骤313、本地服务中心在确定网络层鉴权响应消息中的RES与网络层鉴权参数中的XRES相同，确定对接入节点鉴权通过。
步骤314、本地服务中心向接入节点发送的网络配置消息；
步骤315、接入节点根据所述网络配置消息中的配置信息进行网络配置。
情况二、加入条件为接入节点接收到本地服务中心发送的接入指示消息。
本地服务中心根据调度信息，确定所述接入节点需要加入接入节点组。
其中，该调度信息中包含该接入节点需要加入的接入节点组标识APG_ID。
并且，该调度信息为运营商根据实际需要通知给本地服务中心的，用于指示本地服务中心需要将接入节点加入到指定的接入节点组。
例如，运营商在确定用户设备A需要同时与大量其他用户设备进行通信时，为了保证用户设备A的通信正常，与用户设备A对应的APG中需要大量接入节点为用户设备A提供通信服务。假设此时用户设备A对应的APG中包含AP1、AP2、AP3、AP4，运营商向本地服务中心发送调度信息，指示本地服务中心将AP5和AP6加入到用户设备A对应的APG中。
接入节点加入接入节点组之前，该接入节点需要与本地服务中心进行网络层双向鉴权。
在接入节点本地服务中心进行网络层双向鉴权之前，本地服务中心向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
其中，网络层鉴权参数为本地服务中心从网络服务中心获取的。
本地服务中心采用下列方式从网络服务中心获取网络层鉴权参数：
具体的，本地服务中心在根据调度信息确定接入节点需要加入的接入节点组后，根据用户设备与接入节点组的绑定关系，确定接入节点组绑定的用户设备的标识信息；
本地服务中心向网络服务中心发送请求鉴权参数消息，并且该请求鉴权参数消息中的包含接入节点检测到的新的用户设备的标识信息。
网络服务中心接收到本地服务中心发送的请求鉴权参数消息，根据请求鉴权参数消息中的包含的用户设备的标识信息，生成该用户设备对应的网络层鉴权参数，也即接入节点对应的网络层鉴权参数。
网络层鉴权参数包括：RAND(随机数)、XRES(期望响应参数)、AUTN(鉴权标记)、KLSC(临时密钥)；
其中，KLSC是根据网络服务中心存储的该用户设备对应的根密钥k，以及网络层鉴权参数中的RAND确定的；并且，KLSC的作用是使本地服务中心根据该KLSC推演接入节点与用户设备进行通信时的通信密钥，以及推演该接入节点与该节点组中其他节点进行通信时的通信密钥。
网络服务中心将生成该接入节点对应的网络层鉴权参数发送给本地服务中心，本地服务中心在本地保存接收到的该接入节点对应的网络层鉴权参数。
下面详细说明接入节点与本地服务中心的网络层双向鉴权过程。
本地服务中心向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息。
其中，接入指示消息中包含的节点组标识APG_ID，以及网络层鉴权参数包括RAND、AUTN。
节点组标识APG_ID可以作为一个单独的参数添加在接入指示消息中；或者，将节点组标识APG_ID与网络层鉴权参数中某个参数进行异或隐藏添加在接入指示消息中，例如将APG_ID与AUTN进行异或隐藏。
相应地，若采用将节点组标识APG_ID与网络层鉴权参数中某个参数进行异或隐藏添加在接入指示消息中进行传递的方式，接入节点在接收到接入指示消息后，会从网络层鉴权参数中将节点组标识APG_ID解析出来。
本地服务中心根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权。
其中，本地服务中心与接入节点之间的网络层双向鉴权包括：接入节点对本地服务中心进行网络侧鉴权、本地服务中心对接入节点进行鉴权。
1、接入节点对本地服务中心进行网络侧鉴权。
所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；
具体的，所述接入节点根据所述网络层鉴权参数中的随机数确定第二鉴权标记；若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则所述接入节点确定对网络侧鉴权通过。
即，接入节点根据网络层鉴权请求消息中的RAND确定AUTN，若接入节点确定的AUTN与网络层鉴权请求消息中的AUTN相同，则接入节点确定对网络侧鉴权通过。
接入节点在鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
具体的，所述接入节点在鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；所述接入节点向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
即，接入节点在对网络侧鉴权通过后，根据网络层鉴权参数中的RAND，确定RES(鉴权响应参数)，向所述本地服务中心返回包含APG_ID和RES的网络层鉴权响应消息。
节点组标识APG_ID可以作为一个单独的参数添加在网络层鉴权响应消息中；或者，将节点组标识APG_ID与鉴权响应参数进行异或隐藏添加在网络层鉴权响应消息中，例如将APG_ID与RES进行异或隐藏。
相应地，若采用将节点组标识APG_ID与鉴权响应参数进行异或隐藏添加在网络层鉴权响应消息中进行传递的方式，本地服务中心在接收到网络层鉴权响应消息后，会从鉴权响应参数中将节点组标识APG_ID解析出来。
2、本地服务中心对接入节点进行鉴权。
本地服务中心接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，所述本地服务中心确定对所述接入节点鉴权通过。
具体的，本地服务中心判断网络层鉴权响应消息中的RES，与网络层鉴权参数中的XRES是否相同，若相同，则确定对接入节点鉴权通过。
如图4所示的接入节点加入接入节点组的方法流程图。
步骤401、本地服务中心接收调度信息，并确定接入节点需要加入接入节点组；
步骤402、本地服务中心向网络服务中心发送请求鉴权参数消息；
其中，该请求鉴权参数消息中的包含接入节点组对应的用户设备的标识信息；
步骤403、网络服务中心根据请求鉴权参数消息中的包含的用户设备的标识信息，生成接入节点对应的网络层鉴权参数；
步骤404、网络服务中心向本地服务中心返回接入节点对应的网络层鉴权参数；
步骤405、本地服务中心接收并保存从网络服务中心获取的接入节点对应的网络层鉴权参数；
步骤406、本地服务中心向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
步骤407、接入节点根据网络层鉴权请求消息中的RAND确定AUTN。
步骤408、若确定的AUTN与网络层鉴权请求消息中的AUTN相同，接入节点确定对网络侧进行鉴权通过。
步骤409、接入节点根据网络层鉴权请求消息中的RAND确定RES。
步骤410、接入节点向所述本地服务中心返回包含所述节点组标识和RES的网络层鉴权响应消息。
步骤411、本地服务中心在确定网络层鉴权响应消息中的RES与网络层鉴权参数中的XRES相同，确定对接入节点鉴权通过。
步骤412、本地服务中心向接入节点发送的网络配置消息；
步骤413、接入节点所述网络配置消息中的配置信息进行网络配置。
需要说明的是，本发明实施例的本地服务中心中包括每一个用户设备对应的接入节点组的索引列表，该索引列表中包含接入节点组的所有成员。在本地服务中心确定接入节点加入节点组后，将该接入节点添加至该节点组对应的索引列表中。
二、接入节点离开接入节点组的过程。
接入节点在确定需要离开接入节点组后，向所述本地服务中心上报离开所述接入节点组。
其中，接入节点根据下列方式确定需要离开用户设备对应的接入节点组：
接入节点在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
所述接入节点在需要关机时，确定需要离开接入节点组。
其中，接入节点向本地服务中心发送离开节点组消息；该离开节点组消息中包含该接入节点离开的接入节点组的节点组标识。
可选的，本发明实施例的本地服务中心在接收到接入节点上报的离开节点组消息后，向该接入节点发送状态查询消息；
若本地服务中心在设定时长内接入节点没有收到接入节点的反馈，则确定接入节点已经离开节点组标识对应的接入节点组。
需要说明的是，在本地服务中心确定接入节点离开节点组后，将该接入节点从该节点组对应的索引列表中删除。
本发明实施例在接入节点加入接入节点组后，还提供了密钥协商的方法。
具体的，本地服务中心从网络服务中心获取的网络鉴权参数中还包括临时密钥KLSC。
其中，KLSC是根据网络服务中心存储的该用户设备对应的根密钥k，以及网络层鉴权参数中的RAND确定的。
由于用户设备对应的根密钥只保存在用户设备侧和网络服务中心中，为了保证根密钥的安全性，网络服务中心并不直接将根密钥发送给本地服务中心。
可选的，所述本地服务中心根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与所述用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
具体的，所述本地服务中心根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；所述本地服务中心根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
相应的，所述接入节点接收所述本地服务中心发送的第一密钥和第二密钥；所述接入节点根据所述第一密钥，确定出用于与所述用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
为了保证密钥的安全性，在接入节点离开接入节点组后，本地服务中心删除所述接入节点对应的临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
下面结合图5，具体说明密钥推演的过程。
1、网络服务中心根据根密钥，确定临时密钥KLSC；并将临时密钥KLSC发送给本地服务中心。
2、本地服务中心根据临时密钥KLSC，能够推演得到eNB(evolved Node B，演进型基站)或HeNB(Home evolved Node B，家庭基站)对应的KeNB；以及临时密钥KLSC和节点组标识，推演得到接入节点组对应的KAPG(中间密钥)。
3、本地服务中心将KeNB发送给对应的eNB/HeNB；eNB/HeNB根据KeNB推演出用于与用户设备进行加密通信的通信密钥；
eNB/HeNB根据KeNB推演出的与用户设备进行加密通信的通信密钥包括：
KUPint(用户面数据完整性保护密钥)、KUPenc(用户面数据加密密钥)、KRRCint(无线链路完整性保护密钥)、KRRCenc(无线链路加密密钥)。
4、本地服务中心根据所述中间密钥KAPG，以及所述节点组标识APG_ID，确定出所述接入节点对应的第一密钥KAPG-i和第二密钥KAPG-g。
5、本地服务中心将第一密钥KAPG-i和第二密钥KAPG-g发送给接入节点；接入节点根据第一密钥KAPG-i推演出与用户设备进行加密通信的通信密钥；接入节点根据第二密钥KAPG-g推演出与接入节点组中其他接入节点进行加密通信的通信密钥；
接入节点根据第一密钥KAPG-i推演出的与用户设备进行加密通信的通信密钥包括：
KUPint(用户面数据完整性保护密钥)、KUPenc(用户面数据加密密钥)、KRRCint(无线链路完整性保护密钥)、KRRCenc(无线链路加密密钥)；
接入节点根据第二密钥KAPG-g，推演出与接入节点组中其他接入节点间进行加密通信的通信密钥包括：
KAPUPenc(用户面数据加密密钥)、KAPxint(无线链路完整性保护密钥)、KAPxenc(无线链路加密密钥)。
需要说明的是，本发明实施例密钥推演的方法同时兼容了现有4G网络架构中密钥推演方法，实用性更强。
如图6所示，本发明实施例一种接入节点包括：
第一鉴权模块601，用于在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；
配置模块602，用于在接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的。
可选的，所述第一鉴权模块601，具体用于：
根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；在对网络侧鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
可选的，所述第一鉴权模块601，具体用于：
根据所述网络层鉴权参数中的随机数确定第二鉴权标记；若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则确定对网络侧鉴权通过。
可选的，所述第一鉴权模块601，具体用于：
在对网络侧鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
可选的，所述第一鉴权模块601，具体用于：
所述接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
接收到所述本地服务中心发送的接入指示消息。
可选的，所述加入条件包括检测到覆盖范围内新的用户设备；
所述第一鉴权模块601，还用于：
确定需要加入接入节点所述接入节点之后，与本地服务中心进行网络层双向鉴权之前，向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数；接收包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
可选的，所述接入指示消息包含所述接入节点组对应的节点组标识和网络层鉴权参数；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，所述第一鉴权模块601，还用于：
在确定需要离开接入节点组后，向所述本地服务中心上报离开所述接入节点组；
所述第一鉴权模块601，具体用于：
在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
在需要关机时，确定需要离开接入节点组。
可选的，所述第一鉴权模块601，还用于：
与本地服务中心进行网络层双向鉴权之后，接收所述本地服务中心发送的第一密钥和第二密钥；根据所述第一密钥，确定出用于与所述用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
如图7所示，本发明实施例一种本地服务中心包括：
第二鉴权模块701，用于在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；
发送模块702，用于在确定网络层双向鉴权通过后，向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置。
可选的，所述第二鉴权模块701，具体用于：
根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，所述第二鉴权模块701，具体用于：
向所述接入节点发送所述接入节点组对应的节点组标识和所述网络层鉴权参数，以使所述接入节点根据所述节点组标识和所述网络层鉴权参数对网络侧进行鉴权；若接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
可选的，所述第二鉴权模块701，具体用于：
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，确定对所述接入节点鉴权通过。
可选的，所述第二鉴权模块701，具体用于：
接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组；和/或
根据调度信息，确定所述接入节点需要加入接入节点组。
可选的，所述第二鉴权模块701，具体用于：
若接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组，则向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息，以使所述接入节点根据所述网络层鉴权请求消息对网络侧进行鉴权；
若根据调度信息，确定所述接入节点需要加入接入节点组，则向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
可选的，所述网络层鉴权参数中包括临时密钥；
所述第二鉴权模块701，还用于：
确定网络层双向鉴权通过之后，根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与所述用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
可选的，所述第二鉴权模块701，具体用于：
根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
可选的，所述发送模块702，还用于：
向所述接入节点发送网络配置消息之后，接收到所述接入节点上报的离开用户设备对应的接入节点组后，确定所述接入节点离开所述用户设备对应的接入节点组，并删除所述临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
如图8所示，本发明实施例第二种接入节点包括：
处理器801，用于读取存储器804中的程序，执行下列过程：
在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；在通过收发机802接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的。
收发机802，用于在处理器801的控制下接收和发送数据。
可选的，处理器801，具体用于：
根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；在对网络侧鉴权通过后，通过收发机802向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
可选的，处理器801，具体用于：
根据所述网络层鉴权参数中的随机数确定第二鉴权标记；若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则确定对网络侧鉴权通过。
可选的，处理器801，具体用于：
在对网络侧鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；通过收发机802向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
可选的，处理器801，具体用于：
所述接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
通过收发机802接收到所述本地服务中心发送的接入指示消息。
可选的，所述加入条件包括检测到覆盖范围内新的用户设备；
处理器801，还用于：
确定需要加入接入节点所述接入节点之后，与本地服务中心进行网络层双向鉴权之前，通过收发机802向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数；通过收发机802接收包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
可选的，所述接入指示消息包含所述接入节点组对应的节点组标识和网络层鉴权参数；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，处理器801，还用于：
在确定需要离开接入节点组后，通过收发机802向所述本地服务中心上报离开所述接入节点组；
处理器801，具体用于：
在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
在需要关机时，确定需要离开接入节点组。
可选的，处理器801，还用于：
与本地服务中心进行网络层双向鉴权之后，通过收发机802接收所述本地服务中心发送的第一密钥和第二密钥；根据所述第一密钥，确定出用于与所述用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
在实施中，处理器801和本地服务中心、用户设备之间的交互都是通过收发机802实现的，在此不再分别进行描述。
在实施中，处理器801和用户设备之间的交互是通过收发机802实现的，处理器801和本地服务中心之间的交互也可以通过收发机802实现。收发机802有至少两套传输方式，其中一套是与用户设备进行交互使用的方式，比如可以是无线方式；另一套是与本地服务中心进行交互使用的方式，比如无线方式、有线方式等。
其中，本地服务中心和接入节点之间可以通过有线、无线等方式连接。接入节点和用户设备之间通过无线方式连接。
在图8中，总线架构(用总线800来代表)，总线800可以包括任意数量的互联的总线和桥，总线800将包括由处理器801代表的一个或多个处理器和存储器804代表的存储器的各种电路链接在一起。总线800还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口803在总线800和收发机802之间提供接口。收发机802可以是一个元件，也可以是多个元件，比如多个接收器和发送器，提供用于在传输介质上与各种其他装置通信的单元。经处理器801处理的数据通过天线805在无线介质上进行传输，进一步，天线805还接收数据并将数据传送给处理器801。
处理器801负责管理总线800和通常的处理，还可以提供各种功能，包括定时，外围接口，电压调节、电源管理以及其他控制功能。而存储器804可以被用于存储处理器801在执行操作时所使用的数据。
可选的，处理器801可以是CPU、ASIC、FPGA或CPLD。
如图9所示，本发明实施例第二种本地服务中心包括：
处理器901，用于读取存储器904中的程序，执行下列过程：
在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；在确定网络层双向鉴权通过后，通过收发机902向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置。
收发机902，用于在处理器901的控制下接收和发送数据。
可选的，处理器901，具体用于：
根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，处理器901，具体用于：
通过收发机902向所述接入节点发送所述接入节点组对应的节点组标识和所述网络层鉴权参数，以使所述接入节点根据所述节点组标识和所述网络层鉴权参数对网络侧进行鉴权；若通过收发机902接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
可选的，处理器901，具体用于：
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，确定对所述接入节点鉴权通过。
可选的，处理器901，具体用于：
通过收发机902接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组；和/或
根据调度信息，确定所述接入节点需要加入接入节点组。
可选的，处理器901，具体用于：
若通过收发机902接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组，则通过收发机902向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息，以使所述接入节点根据所述网络层鉴权请求消息对网络侧进行鉴权；
若根据调度信息，确定所述接入节点需要加入接入节点组，则通过收发机902向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
可选的，所述网络层鉴权参数中包括临时密钥；
处理器901，还用于：
确定网络层双向鉴权通过之后，根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与所述用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
可选的，处理器901，具体用于：
根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
可选的，所述发送模块702，还用于：
通过收发机902向所述接入节点发送网络配置消息之后，接收到所述接入节点上报的离开用户设备对应的接入节点组后，确定所述接入节点离开所述用户设备对应的接入节点组，并删除所述临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
在实施中，处理器901和用户设备之间的交互是通过收发机902和接入节点实现的，即处理器901通过收发机902将需要发送给用户设备的信息发送给接入节点，由接入节点发送给用户设备；接入节点在收到来自用户设备的需要发送给本地服务中心的信息后，将该信息发送给本地服务中心，处理器901通过收发机902接收该信息。
其中，本地服务中心和接入节点之间可以通过有线、无线等方式连接。
在图9中，总线架构(用总线900来代表)，总线900可以包括任意数量的互联的总线和桥，总线900将包括由处理器901代表的一个或多个处理器和存储器904代表的存储器的各种电路链接在一起。总线900还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口903在总线900和收发机902之间提供接口。收发机902可以是一个元件，也可以是多个元件，比如多个接收器和发送器，提供用于在传输介质上与各种其他装置通信的单元。经处理器901处理的数据通过天线905在无线介质上进行传输，进一步，天线905还接收数据并将数据传送给处理器901。
处理器901负责管理总线900和通常的处理，还可以提供各种功能，包括定时，外围接口，电压调节、电源管理以及其他控制功能。而存储器904可以被用于存储处理器901在执行操作时所使用的数据。
可选的，处理器901可以是CPU、ASIC、FPGA或CPLD。
基于同一发明构思，本发明实施例中还提供了一种加入接入节点组的方法，由于该方法对应的设备是本发明实施例加入接入节点组的系统中的接入节点，并且该方法解决问题的原理与该设备相似，因此该方法的实施可以参见设备的实施，重复之处不再赘述。
如图10所示，本发明实施例加入接入节点组的方法包括：
步骤1001、接入节点在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；
步骤1002、所述接入节点在接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的。
可选的，所述接入节点与本地服务中心进行网络层双向鉴权，包括：
所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；
所述接入节点在对网络侧鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
可选的，所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权，包括：
所述接入节点根据所述网络层鉴权参数中的随机数确定第二鉴权标记；
若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则所述接入节点确定对网络侧鉴权通过。
可选的，所述接入节点在鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，包括：
所述接入节点在对网络侧鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；
所述接入节点向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
可选的，所述接入节点确定需要加入接入节点组，包括：
所述接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
接收到所述本地服务中心发送的接入指示消息。
可选的，所述加入条件包括检测到覆盖范围内新的用户设备；
所述接入节点确定需要加入接入节点所述接入节点之后，与本地服务中心进行网络层双向鉴权之前，还包括：
所述接入节点向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数；
所述接入节点接收包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
可选的，所述接入指示消息包含所述接入节点组对应的节点组标识和网络层鉴权参数；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，该方法还包括：
所述接入节点在确定需要离开接入节点组后，向所述本地服务中心上报离开所述接入节点组；
所述接入节点确定需要离开用户设备对应的接入节点组，包括：
所述接入节点在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
所述接入节点在需要关机时，确定需要离开接入节点组。
可选的，所述接入节点与本地服务中心进行网络层双向鉴权之后，还包括：
所述接入节点接收所述本地服务中心发送的第一密钥和第二密钥；
所述接入节点根据所述第一密钥，确定出用于与所述用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
基于同一发明构思，本发明实施例中还提供了一种加入接入节点组的方法，由于该方法对应的设备是本发明实施例加入接入节点组的系统中的本地服务中心，并且该方法解决问题的原理与该设备相似，因此该方法的实施可以参见设备的实施，重复之处不再赘述。
如图11所示，本发明实施例加入接入节点组的方法包括：
步骤1101、本地服务中心在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；
步骤1102、所述本地服务中心在确定网络层双向鉴权通过后，向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置。
可选的，所述本地服务中心与所述接入节点进行网络层双向鉴权，包括：
所述本地服务中心根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权；
其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
可选的，所述本地服务中心根据网络层鉴权参数，以及所述接入节点组对应的节点组标识，与所述接入节点进行网络层双向鉴权，包括：
所述本地服务中心向所述接入节点发送所述接入节点组对应的节点组标识和所述网络层鉴权参数，以使所述接入节点根据所述节点组标识和所述网络层鉴权参数对网络侧进行鉴权；
若所述本地服务中心接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
可选的，所述本地服务中心根据所述网络层鉴权响应消息，对所述接入节点进行鉴权，包括：
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，所述本地服务中心确定对所述接入节点鉴权通过。
可选的，所述本地服务中心确定接入节点需要加入接入节点组，包括：
所述本地服务中心接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组；和/或
所述本地服务中心根据调度信息，确定所述接入节点需要加入接入节点组。
可选的，若所述本地服务中心接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组，则向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息，以使所述接入节点根据所述网络层鉴权请求消息对网络侧进行鉴权；
若所述本地服务中心根据调度信息，确定所述接入节点需要加入接入节点组，则向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
可选的，所述网络层鉴权参数中包括临时密钥；
所述本地服务中心确定网络层双向鉴权通过之后，还包括：
所述本地服务中心根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与所述用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
可选的，所述本地服务中心根据所述临时密钥确定所述接入节点对应的相对于所述接入节点组中其他接入节点的第一密钥和第二密钥，包括：
所述本地服务中心根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；
所述本地服务中心根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
可选的，所述本地服务中心向所述接入节点发送网络配置消息之后，还包括：
所述本地服务中心接收到所述接入节点上报的离开用户设备对应的接入节点组后，确定所述接入节点离开所述用户设备对应的接入节点组，并删除所述临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
以上参照示出根据本申请实施例的方法、装置(系统)和/或计算机程序产品的框图和/或流程图描述本申请。应理解，可以通过计算机程序指令来实现框图和/或流程图示图的一个块以及框图和/或流程图示图的块的组合。可以将这些计算机程序指令提供给通用计算机、专用计算机的处理器和/或其它可编程数据处理装置，以产生机器，使得经由计算机处理器和/或其它可编程数据处理装置执行的指令创建用于实现框图和/或流程图块中所指定的功能/动作的方法。
相应地，还可以用硬件和/或软件(包括固件、驻留软件、微码等)来实施本申请。更进一步地，本申请可以采取计算机可使用或计算机可读存储介质上的计算机程序产品的形式，其具有在介质中实现的计算机可使用或计算机可读程序代码，以由指令执行系统来使用或结合指令执行系统而使用。在本申请上下文中，计算机可使用或计算机可读介质可以是任意介质，其可以包含、存储、通信、传输、或传送程序，以由指令执行系统、装置或设备使用，或结合指令执行系统、装置或设备使用。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (32)

1.一种加入接入节点组的方法，其特征在于，该方法包括：
接入节点在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；
所述接入节点在接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的；
其中，所述接入节点根据下列方式与本地服务中心进行网络层双向鉴权：
所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；
所述接入节点在对网络侧鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
2.如权利要求1所述的方法，其特征在于，所述接入节点根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权，包括：
所述接入节点根据所述网络层鉴权参数中的随机数确定第二鉴权标记；
若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则所述接入节点确定对网络侧鉴权通过。
3.如权利要求1所述的方法，其特征在于，所述接入节点在鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，包括：
所述接入节点在对网络侧鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；
所述接入节点向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
4.如权利要求1所述的方法，其特征在于，所述接入节点确定需要加入接入节点组，包括：
所述接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
接收到所述本地服务中心发送的接入指示消息。
5.如权利要求4所述的方法，其特征在于，所述加入条件包括检测到覆盖范围内新的用户设备；
所述接入节点确定需要加入接入节点所述接入节点之后，与本地服务中心进行网络层双向鉴权之前，还包括：
所述接入节点向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数；
所述接入节点接收包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
6.如权利要求4所述的方法，其特征在于，所述接入指示消息包含所述接入节点组对应的节点组标识和网络层鉴权参数；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
7.如权利要求1所述的方法，其特征在于，该方法还包括：
所述接入节点在确定需要离开接入节点组后，向所述本地服务中心上报离开所述接入节点组；
所述接入节点确定需要离开用户设备对应的接入节点组，包括：
所述接入节点在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
所述接入节点在需要关机时，确定需要离开接入节点组。
8.如权利要求1所述的方法，其特征在于，所述接入节点与本地服务中心进行网络层双向鉴权之后，还包括：
所述接入节点接收所述本地服务中心发送的第一密钥和第二密钥；
所述接入节点根据所述第一密钥，确定出用于与用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
9.一种加入接入节点组的方法，其特征在于，该方法包括：
本地服务中心在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；
所述本地服务中心在确定网络层双向鉴权通过后，向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置；
其中，所述本地服务中心根据下列方式与所述接入节点进行网络层双向鉴权：
所述本地服务中心根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
10.如权利要求9所述的方法，其特征在于，所述本地服务中心根据网络层鉴权参数，以及所述接入节点组对应的节点组标识，与所述接入节点进行网络层双向鉴权，包括：
所述本地服务中心向所述接入节点发送所述接入节点组对应的节点组标识和所述网络层鉴权参数，以使所述接入节点根据所述节点组标识和所述网络层鉴权参数对网络侧进行鉴权；
若所述本地服务中心接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
11.如权利要求10所述的方法，其特征在于，所述本地服务中心根据所述网络层鉴权响应消息，对所述接入节点进行鉴权，包括：
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，所述本地服务中心确定对所述接入节点鉴权通过。
12.如权利要求9所述的方法，其特征在于，所述本地服务中心确定接入节点需要加入接入节点组，包括：
所述本地服务中心接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组；和/或
所述本地服务中心根据调度信息，确定所述接入节点需要加入接入节点组。
13.如权利要求12所述的方法，其特征在于，若所述本地服务中心接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组，则向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息，以使所述接入节点根据所述网络层鉴权请求消息对网络侧进行鉴权；
若所述本地服务中心根据调度信息，确定所述接入节点需要加入接入节点组，则向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
14.如权利要求9所述的方法，其特征在于，所述网络层鉴权参数中包括临时密钥；
所述本地服务中心确定网络层双向鉴权通过之后，还包括：
所述本地服务中心根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
15.如权利要求14所述的方法，其特征在于，所述本地服务中心根据所述临时密钥确定所述接入节点对应的相对于所述接入节点组中其他接入节点的第一密钥和第二密钥，包括：
所述本地服务中心根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；
所述本地服务中心根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
16.如权利要求15所述的方法，其特征在于，所述本地服务中心向所述接入节点发送网络配置消息之后，还包括：
所述本地服务中心接收到所述接入节点上报的离开用户设备对应的接入节点组后，确定所述接入节点离开所述用户设备对应的接入节点组，并删除所述临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
17.一种接入节点，其特征在于，包括：
第一鉴权模块，用于在确定需要加入接入节点组后，与本地服务中心进行网络层双向鉴权；
配置模块，用于在接收到所述本地服务中心发送的网络配置消息后，根据所述网络配置消息中的配置信息进行网络配置；其中所述网络配置消息是所述本地服务中心在确定网络层双向鉴权通过后发送的；
其中，所述第一鉴权模块具体用于：
根据所述本地服务中心发送的接入节点组对应的节点组标识和网络层鉴权参数，对网络侧进行鉴权；在对网络侧鉴权通过后向所述本地服务中心返回包含所述节点组标识的网络层鉴权响应消息，以使所述本地服务中心根据所述网络层鉴权响应消息对所述接入节点进行鉴权。
18.如权利要求17所述的接入节点，其特征在于，所述第一鉴权模块，具体用于：
根据所述网络层鉴权参数中的随机数确定第二鉴权标记；若所述第二鉴权标记与所述网络层鉴权参数中的第一鉴权标记相同，则确定对网络侧鉴权通过。
19.如权利要求17所述的接入节点，其特征在于，所述第一鉴权模块，具体用于：
在对网络侧鉴权通过后，根据所述网络层鉴权参数中的随机数确定鉴权响应参数；向所述本地服务中心返回包含所述节点组标识和所述鉴权响应参数的网络层鉴权响应消息，以使所述本地服务中心根据所述节点组标识和所述鉴权响应参数对所述接入节点进行鉴权。
20.如权利要求17所述的接入节点，其特征在于，所述第一鉴权模块，具体用于：
所述接入节点在满足加入条件后，确定需要加入接入节点组；
其中，所述加入条件包括下列中的部分或全部：
检测到覆盖范围内新的用户设备；
接收到所述本地服务中心发送的接入指示消息。
21.如权利要求20所述的接入节点，其特征在于，所述加入条件包括检测到覆盖范围内新的用户设备；
所述第一鉴权模块，还用于：
确定需要加入接入节点所述接入节点之后，与本地服务中心进行网络层双向鉴权之前，向所述本地服务中心发送加入请求消息，以使所述本地服务中心根据所述加入请求消息从网络服务中心获取所述接入节点对应的网络层鉴权参数；接收包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息。
22.如权利要求20所述的接入节点，其特征在于，所述接入指示消息包含所述接入节点组对应的节点组标识和网络层鉴权参数；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
23.如权利要求17所述的接入节点，其特征在于，所述第一鉴权模块，还用于：
在确定需要离开接入节点组后，向所述本地服务中心上报离开所述接入节点组；
所述第一鉴权模块，具体用于：
在覆盖范围内无法检测到目标用户设备后，确定需要离开接入节点组；其中，所述目标用户设备为之前在所述接入节点覆盖范围内能够检测到的用户设备；和/或
在需要关机时，确定需要离开接入节点组。
24.如权利要求17所述的接入节点，其特征在于，所述第一鉴权模块，还用于：
与本地服务中心进行网络层双向鉴权之后，接收所述本地服务中心发送的第一密钥和第二密钥；根据所述第一密钥，确定出用于与用户设备进行加密通信的通信密钥；以及根据所述第二密钥，确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
25.一种本地服务中心，其特征在于，包括：
第二鉴权模块，用于在确定接入节点需要加入接入节点组后，与所述接入节点进行网络层双向鉴权；
发送模块，用于在确定网络层双向鉴权通过后，向所述接入节点发送网络配置消息，以使所述接入节点根据所述网络配置消息中的配置信息进行配置；
其中所述第二鉴权模块具体用于：
根据所述接入节点组对应的节点组标识和网络层鉴权参数，与所述接入节点进行网络层双向鉴权；其中，所述网络层鉴权参数是所述本地服务中心从网络服务中心获取的。
26.如权利要求25所述的本地服务中心，其特征在于，所述第二鉴权模块，具体用于：
向所述接入节点发送所述接入节点组对应的节点组标识和所述网络层鉴权参数，以使所述接入节点根据所述节点组标识和所述网络层鉴权参数对网络侧进行鉴权；若接收到所述接入节点返回的包含所述节点组标识的网络层鉴权响应消息，则根据所述网络层鉴权响应消息，对所述接入节点进行鉴权。
27.如权利要求26所述的本地服务中心，其特征在于，所述第二鉴权模块，具体用于：
若所述网络层鉴权响应消息中包含的鉴权响应参数与所述网络层鉴权参数中的期望响应参数相同，确定对所述接入节点鉴权通过。
28.如权利要求25所述的本地服务中心，其特征在于，所述第二鉴权模块，具体用于：
接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组；和/或
根据调度信息，确定所述接入节点需要加入接入节点组。
29.如权利要求28所述的本地服务中心，其特征在于，所述第二鉴权模块，具体用于：
若接收到所述接入节点发送的加入请求消息后，确定所述接入节点需要加入接入节点组，则向所述接入节点发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的网络层鉴权请求消息，以使所述接入节点根据所述网络层鉴权请求消息对网络侧进行鉴权；
若根据调度信息，确定所述接入节点需要加入接入节点组，则向所述接入节点组发送包含所述接入节点组对应的节点组标识和网络层鉴权参数的接入指示消息，以使所述接入节点根据所述接入指示消息对网络侧进行鉴权。
30.如权利要求25所述的本地服务中心，其特征在于，所述网络层鉴权参数中包括临时密钥；
所述第二鉴权模块，还用于：
确定网络层双向鉴权通过之后，根据所述临时密钥确定所述接入节点对应的第一密钥和第二密钥，并将所述第一密钥和所述第二密钥发送给所述接入节点，以使所述接入节点根据所述第一密钥确定出用于与用户设备进行加密通信的通信密钥，以及根据所述第二密钥确定出用于与所述接入节点组中其他接入节点进行加密通信的通信密钥。
31.如权利要求30所述的本地服务中心，其特征在于，所述第二鉴权模块，具体用于：
根据所述临时密钥和所述节点组标识确定出所述接入节点组对应的中间密钥；根据所述中间密钥，以及所述节点组标识，确定出所述接入节点对应的第一密钥和第二密钥。
32.如权利要求31所述的本地服务中心，其特征在于，所述发送模块，还用于：
向所述接入节点发送网络配置消息之后，接收到所述接入节点上报的离开用户设备对应的接入节点组后，确定所述接入节点离开所述用户设备对应的接入节点组，并删除所述临时密钥、所述中间密钥、所述第一密钥和所述第二密钥。
CN201611193310.5A 2016-12-21 2016-12-21 一种加入接入节点组的方法及设备 Active CN108235316B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201611193310.5A CN108235316B (zh) 2016-12-21 2016-12-21 一种加入接入节点组的方法及设备
US16/472,208 US11265708B2 (en) 2016-12-21 2017-10-20 Method and device for joining access node group
EP17883988.2A EP3562185B1 (en) 2016-12-21 2017-10-20 Method and device for joining access node group
PCT/CN2017/107136 WO2018113402A1 (zh) 2016-12-21 2017-10-20 一种加入接入节点组的方法及设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201611193310.5A CN108235316B (zh) 2016-12-21 2016-12-21 一种加入接入节点组的方法及设备

Publications (2)

Publication Number Publication Date
CN108235316A CN108235316A (zh) 2018-06-29
CN108235316B true CN108235316B (zh) 2019-09-17

Family

ID=62624417

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201611193310.5A Active CN108235316B (zh) 2016-12-21 2016-12-21 一种加入接入节点组的方法及设备

Country Status (4)

Country Link
US (1) US11265708B2 (zh)
EP (1) EP3562185B1 (zh)
CN (1) CN108235316B (zh)
WO (1) WO2018113402A1 (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10911954B2 (en) * 2018-03-01 2021-02-02 The Boeing Company Dynamic data package access for mobile device
US11381971B2 (en) * 2019-01-31 2022-07-05 Hewlett Packard Enterprise Development Lp Bluetooth low energy authorization of cloud-managed devices
CN112511569B (zh) * 2021-02-07 2021-05-11 杭州筋斗腾云科技有限公司 网络资源访问请求的处理方法、系统及计算机设备
CN116156500A (zh) * 2021-11-23 2023-05-23 大唐移动通信设备有限公司 设备鉴权方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102612078A (zh) * 2011-01-25 2012-07-25 电信科学技术研究院 一种无线接入系统、装置及数据传输方法
CN102625308A (zh) * 2011-01-31 2012-08-01 电信科学技术研究院 一种基于lte-lan实现双向认证的方法、装置及系统
CN105451250A (zh) * 2015-09-01 2016-03-30 电信科学技术研究院 一种网络接入点动态组网方法及设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6198929B1 (en) * 1997-12-08 2001-03-06 Qualcomm Inc. System and method for mobile switching center initiated service negotiation
JP3427816B2 (ja) * 2000-03-31 2003-07-22 日本電気株式会社 移動通信システムおよび移動通信方法
JP3714340B2 (ja) * 2003-05-20 2005-11-09 日本電気株式会社 プレゼンスサービスを応用したアクセスポイント高速接続方法
TWI533738B (zh) * 2006-10-20 2016-05-11 內數位科技公司 Ｌｔｅ增強ｂ節點自行配置方法及裝置
CN101511084B (zh) * 2008-02-15 2011-05-04 中国移动通信集团公司 一种移动通信系统的鉴权和密钥协商方法
US9515824B2 (en) * 2013-10-21 2016-12-06 Aruba Networks, Inc. Provisioning devices for secure wireless local area networks
CN104754575B (zh) * 2013-12-31 2018-07-31 华为技术有限公司 一种终端认证的方法、装置及系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102612078A (zh) * 2011-01-25 2012-07-25 电信科学技术研究院 一种无线接入系统、装置及数据传输方法
CN102625308A (zh) * 2011-01-31 2012-08-01 电信科学技术研究院 一种基于lte-lan实现双向认证的方法、装置及系统
CN105451250A (zh) * 2015-09-01 2016-03-30 电信科学技术研究院 一种网络接入点动态组网方法及设备

Also Published As

Publication number Publication date
EP3562185A4 (en) 2019-12-04
US20190334893A1 (en) 2019-10-31
US11265708B2 (en) 2022-03-01
EP3562185A1 (en) 2019-10-30
EP3562185B1 (en) 2024-05-01
CN108235316A (zh) 2018-06-29
WO2018113402A1 (zh) 2018-06-28

Similar Documents

Publication Publication Date Title
CN109644134A (zh) 用于大型物联网组认证的系统和方法
CN108235316B (zh) 一种加入接入节点组的方法及设备
CN101222325B (zh) 一种基于id的无线多跳网络密钥管理方法
CN106464689A (zh) 用于在快速初始链路设立期间进行认证的系统、方法和装置
Zhao et al. Secure machine-type communications toward LTE heterogeneous networks
CN102111766B (zh) 网络接入方法、装置及系统
JP2013527673A (ja) 通信デバイスを認証するための方法および装置
WO2016177143A1 (zh) 实现接入层安全的方法及用户设备和无线接入小节点
CN101626370B (zh) 节点间密钥的分配方法、系统及设备
CN108702626A (zh) 无线广域网(wwan)无线局域网(wlan)聚合保全
CN102823282A (zh) 用于二进制cdma的密钥认证方法
CN114025352A (zh) 终端设备的鉴权方法及其装置
CN105934978A (zh) 针对设备到设备通信的传输功率
WO2012097620A1 (zh) 一种安全模式的配置方法和终端
CN102209319B (zh) 提高mesh网络中的接入控制器控制效率的方法及接入控制器
JP6165483B2 (ja) 通信システム、中継装置及び通信方法
CN108235317B (zh) 一种接入控制的方法及设备
CN109803456A (zh) 一种请求恢复连接的方法及装置
CN109691017A (zh) 消息保护方法、用户设备和核心网设备
WO2017147745A1 (zh) 一种对接入点ap的认证方法、系统及相关设备
WO2017101211A1 (zh) 无线通信系统接入方法、装置及终端
CN102685742B (zh) 一种wlan接入认证方法和装置
CN110087338A (zh) 一种窄带物联网进行鉴权的方法及设备
CN109417539A (zh) 密钥获取方法及装置
CN107925874B (zh) 超密集网络安全架构和方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: 100191 Xueyuan Road, Haidian District, Beijing, No. 40

Applicant after: Telecommunication science and Technology Research Institute Co., Ltd.

Address before: 100191 Xueyuan Road, Haidian District, Beijing, No. 40

Applicant before: Inst of Telecommunication Science and Technolgoy

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20210528

Address after: 100085 1st floor, building 1, yard 5, Shangdi East Road, Haidian District, Beijing

Patentee after: DATANG MOBILE COMMUNICATIONS EQUIPMENT Co.,Ltd.

Address before: 100191 No. 40, Haidian District, Beijing, Xueyuan Road

Patentee before: Telecommunications Science and Technology Research Institute Co.,Ltd.

TR01 Transfer of patent right