CN111148279A - 一种连接重建立方法及装置 - Google Patents

Abstract

本申请实施例公开一种连接重建立方法及装置，涉及通信技术领域，能够解决连接重建立无法成功的问题。该方法应用于在终端从源无线接入网设备到目标无线接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景中，该方法包括：当切换失败时，终端回复到源配置，并获取重选小区；终端向重选无线接入网设备发送连接重建立请求；终端接收来自重选无线接入网设备的第一消息，第一消息包括用于指示根据核心网秘钥衍生接入网秘钥的指示信息；终端根据指示信息，获取第一核心网秘钥，并根据第一核心网秘钥，衍生第一接入网秘钥；终端利用第一接入网秘钥与重选无线接入网设备通信。

Description

一种连接重建立方法及装置

技术领域

本申请涉及通信技术领域，尤其涉及一种连接重建立方法及装置。

背景技术

在第五代通信技术(the 5Generation Mobile Communication Technology，5G)系统中，用户设备(user equipment，UE)的切换流程包括源基站与目标基站之间直接进行切换准备，以及源基站基于核心网设备与目标基站之间的接口触发切换。

在源基站基于核心网设备与目标基站之间的接口触发切换的场景中，当UE接入到目标基站后，核心网设备可以更新核心网秘钥，这样，UE基于更新后的核心网秘钥衍生得到新的接入网秘钥，并利用新的接入网秘钥与目标基站进行通信。若UE切换失败，则可能会触发无线资源控制(radio resource control，RRC)连接重建立流程。

按照现有的无线资源控制(radio resource control，RRC)连接重建立流程，UE在执行连接重建立之前已经回复到(revert back to)源配置。但是，在5G系统的源基站基于基站与核心网之间的接口触发的切换的场景中，若核心网设备更新了核心网秘钥，则重选基站(可能是目标基站)的接入网秘钥与终端的接入网秘钥不一致，或者终端的核心网秘钥与核心网设备的核心网秘钥不一致，或者重选基站(在重选基站既不是源基站也不是目标基站的情况)的接入网秘钥与核心网设备的接入网秘钥不一致，导致RRC连接重建立无法成功。

发明内容

本申请提供一种连接重建立方法及装置，能够解决在更新核心网秘钥、且终端切换失败的场景中，连接重建立无法成功的问题。

为达到上述目的，本申请实施例采用如下技术方案：

第一方面，提供一种连接重建立方法，该连接重建立方法应用于在终端从源无线接入网设备到目标无线接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景中。具体的，该连接重建立方法为：当重配置失败或切换失败时，终端回复到源配置，并获取重选小区；然后，该终端向为重选小区提供服务的重选无线接入网设备发送连接重建立请求；相应的，该终端接收来自重选无线接入网设备的包括指示信息的第一消息，该指示信息用于指示根据核心网秘钥衍生接入网秘钥；进而根据指示信息，获取第一核心网秘钥，并根据第一核心网秘钥，衍生第一接入网秘钥，这样，终端即可利用第一接入网秘钥与重选无线接入网设备通信。

本申请中的终端通过接收重选无线接入网设备发送的指示信息，获取第一核心网秘钥，并根据第一核心网秘钥，衍生第一接入网秘钥，这样，终端与核心网设备的秘钥保持一致。此外，本申请中的重选无线接入网设备也能够获取到第一接入网秘钥，从而实现了终端、核心网设备以及重选无线接入网设备的秘钥的一致性，实现了连接重建立的完成。

可选的，在本申请的一种可能的实现方式中，上述终端回复到源配置包括终端的接入网秘钥回复为源接入网秘钥，这里的源接入网秘钥为终端根据源核心网秘钥衍生得到的。此外，本申请提供的连接重建立方法还包括：终端的接入AS层向终端的非接入NAS层发送用于指示将核心网秘钥回复为源核心网秘钥的指示消息，相应的，终端的NAS层将第一核心网秘钥回复为源核心网秘钥。

本申请终端回复到源配置可以为终端的接入网秘钥回复为源接入网秘钥、且终端的核心网秘钥回复为源核心网秘钥，也可以为终端的接入网秘钥回复为源接入网秘钥、且终端的核心网秘钥保持为第一核心网秘钥不变。

可选的，在本申请的另一种可能的实现方式中，在终端的接入网秘钥回复为源接入网秘钥、且终端的核心网秘钥回复为源核心网秘钥的场景中，上述第一消息为连接重建立消息或者为重配置消息，上述指示信息为非接入层容器NAS container，该非接入层容器为重选无线接入网设备从核心网设备获取到的。相应的，上述“终端根据指示信息，获取第一核心网秘钥”的方法为：终端根据NAS container，衍生得到第一核心网秘钥。

在终端的核心网秘钥回复为源核心网秘钥的场景中，终端需要获取到NAScontainer，即可衍生得到第一核心网秘钥，进而根据第一核心网秘钥衍生新的接入网秘钥，从而实现该终端的秘钥与核心网设备的秘钥的一致性。

可选的，在本申请的另一种可能的实现方式中，若上述第一消息为重配置消息，则在接收来自重选无线接入网设备的第一消息之前，终端还接收重选无线接入网设备发送的包括第一衍生参数的连接重建立消息，并根据第一衍生参数，衍生第二接入网秘钥，该第一衍生参数用于指示根据源接入网秘钥或第三衍生参数，衍生第二接入网秘钥；在衍生出第二接入网秘钥后，终端向重选无线接入网设备发送采用第二接入网秘钥进行安全保护后的连接重建立完成消息。

本申请提供的连接重建立方法可以先实现终端与重选无线接入网设备之间的连接，然后再更新重选无线接入网设备和终端的秘钥。

可选的，在本申请的另一种可能的实现方式中，在终端回复到源配置是指终端的接入网秘钥回复为源接入网秘钥，且终端的核心网秘钥保持为第一核心网秘钥的场景中，上述第一消息为连接重建立消息，上述指示信息包括第一衍生参数和秘钥更改指示中的至少一个。

第二方面，提供一种通信装置，该通信装置能够实现第一方面及其任意一种可能的实现方式中的功能。这些功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。硬件或软件包括一个或多个与上述功能相对应的模块。

在本申请的一种可能的方式中，该通信装置可以包括处理单元、发送单元和接收单元，该处理单元、发送单元和接收单元可以执行上述第一方面及其任意一种可能的实现方式的连接重建立方法中的相应功能。例如：处理单元，用于当切换失败时，终端回复到源配置，以及用于获取重选小区；发送单元，用于向重选无线接入网设备发送连接重建立请求，重选无线接入网设备为重选小区提供服务；接收单元，用于接收来自重选无线接入网设备的第一消息，第一消息包括指示信息，指示信息用于指示根据核心网秘钥衍生接入网秘钥；处理单元，还用于根据指示信息，获取第一核心网秘钥，并根据第一核心网秘钥，衍生第一接入网秘钥，以及还用于利用第一接入网秘钥与重选无线接入网设备通信。

第三方面，提供一种通信装置，该通信装置包括处理器，所述处理器用于与存储器耦合，读取并执行所述存储器中的指令，以实现上述第一方面及其任意一种可能的实现方式所述的连接重建立方法。

可选的，该通信装置还可以包括存储器，该存储器用于保存该通信装置的程序指令和数据。进一步可选的，该通信装置还可以包括收发器，该收发器用于在所述通信装置的处理器的控制下，执行上述第一方面及其任意一种可能的实现方式所述的连接重建立方法中收发数据、信令或信息的步骤，例如，接收第一消息、发送连接重建立请求。

可选的，该通信装置可以是终端，也可以是终端中的一部分装置，例如终端中的芯片系统。该芯片系统用于支持终端实现第一方面及其任意一种可能的实现方式中所涉及的功能，例如，接收，发送或处理上述连接重建立方法中所涉及的数据和/或信息。该芯片系统包括芯片，也可以包括其他分立器件或电路结构。

第四方面，还提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令；当其在通信装置上运行时，使得通信装置执行如上述第一方面及其各种可能的实现方式所述的连接重建立方法。

第五方面，还提供一种包括指令的计算机程序产品，当其在通信装置上运行时，使得通信装置执行如上述第一方面及其各种可能的实现方式所述的连接重建立方法。

需要说明的是，上述指令可以全部或者部分存储在第一计算机存储介质上，其中，第一计算机存储介质可以与处理器封装在一起的，也可以与处理器单独封装，本申请对此不作具体限定。

本申请中第二方面、第三方面、第四方面、第五方面及其各种实现方式的具体描述，可以参考第一方面及其各种实现方式中的详细描述；并且，第二方面、第三方面、第四方面、第五方面及其各种实现方式的有益效果，可以参考第一方面及其各种实现方式中的有益效果分析，此处不再赘述。

第六方面，提供一种连接重建立方法，该连接重建立方法应用于在终端从源无线接入网设备到目标无线接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景。具体的，该连接重建立方法为：重选无线接入网设备接收来自终端的连接重建立请求，并获取秘钥参考信息，该秘钥参考信息为第一接入网秘钥衍生参数，或者为第一接入网秘钥衍生参数和NAS container，其中第一无线接入网秘钥衍生参数为根据第一核心网秘钥得到的；然后，重选无线接入网设备根据第一接入网秘钥衍生参数，衍生得到第一接入网秘钥，并向终端发送包括用于指示根据核心网秘钥衍生接入网秘钥的指示信息的第一消息，该指示信息为NAS container，或者为第一衍生参数和秘钥更改指示中的至少一个，秘钥更改指示用于指示根据核心网秘钥衍生接入网秘钥，第一衍生参数属于第一接入网秘钥衍生参数，重选无线接入网设备为重选小区提供服务，重选小区为：在切换失败后，终端选择的小区。

本申请中的重选无线接入网设备获取第一接入网秘钥，并向终端发送包括指示信息的第一消息，这样，终端也可获取第一核心网秘钥，并根据第一核心网秘钥，衍生第一接入网秘钥，从而实现了终端、核心网设备以及重选无线接入网设备的秘钥的一致性，实现了连接重建立的完成。

可选的，在本申请的一种可能的实现方式中，若重选无线接入网设备与源无线接入网设备为同一设备，则上述“重选无线接入网设备获取秘钥参考信息”的方法为：重选无线接入网设备接收来自核心网设备的秘钥参考信息。

在重选无线接入网设备与源无线接入网设备为同一设备的场景中，重选无线接入网设备可直接从核心网设备获取到秘钥参考信息。

可选的，在本申请的另一种可能的实现方式中，若重选无线接入网设备与目标无线接入网设备为同一设备，则上述“重选无线接入网设备获取秘钥参考信息”的方法为：重选无线接入网设备从本地存储的秘钥信息中获取秘钥参考信息；其中，本地存储的秘钥信息包括来自核心网设备的第一接入网秘钥衍生参数、NAS container和秘钥更改指示。

由于在切换过程中，目标无线接入网设备已经从核心网设备获取到秘钥参考信息，因此，在重选无线接入网设备与目标无线接入网设备为同一设备的场景中，重选无线接入网设备可直接从本地存储获取到秘钥参考信息。

可选的，在本申请的另一种可能的实现方式中，上述本地存储的秘钥信息还包括来自核心网设备的第二接入网秘钥衍生参数，其中，第二接入网秘钥衍生参数包含第一衍生参数和第二衍生参数，第一衍生参数用于指示终端根据源接入网秘钥或第三衍生参数，衍生接入网秘钥。

可选的，在本申请的另一种可能的实现方式中，若重选无线接入网设备为除源无线接入网设备和目标无线接入网设备之外的其他无线接入网设备，重选无线接入网设备与核心网设备连接；则上述“重选无线接入网设备获取秘钥参考信息”的方法为：重选无线接入网设备接收来自核心网设备的路径更新响应消息，路径更新响应消息包含秘钥参考信息。

第七方面，提供一种通信装置，该通信装置能够实现第六方面及其任意一种可能的实现方式中的功能。这些功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。硬件或软件包括一个或多个与上述功能相对应的模块。

在本申请的一种可能的方式中，该通信装置可以包括接收单元、处理单元和发送单元，该接收单元、处理单元和发送单元可以执行上述第六方面及其任意一种可能的实现方式的连接重建立方法中的相应功能，例如：接收单元，用于接收来自终端的连接重建立请求，重选无线接入网设备为重选小区提供服务，重选小区为：在切换失败后，终端选择的小区；处理单元，用于获取秘钥参考信息，秘钥参考信息为第一接入网秘钥衍生参数，或者为第一接入网秘钥衍生参数和非接入层容器NAS container，第一无线接入网秘钥衍生参数为根据第一核心网秘钥得到的，以及用于根据第一接入网秘钥衍生参数，衍生得到第一接入网秘钥；发送单元，用于向终端发送包括指示信息的第一消息，指示信息用于指示根据核心网秘钥衍生接入网秘钥，指示信息为NAS container，或者为第一衍生参数和秘钥更改指示中的至少一个，秘钥更改指示用于指示根据核心网秘钥衍生接入网秘钥，第一衍生参数属于第一接入网秘钥衍生参数。

第八方面，提供一种通信装置，该通信装置包括处理器，所述处理器用于与存储器耦合，读取并执行所述存储器中的指令，以实现上述第六方面及其任意一种可能的实现方式所述的连接重建立方法。

可选的，该通信装置还可以包括存储器，该存储器用于保存通信装置的程序指令和数据。进一步地，可选的，该通信装置还可以包括收发器，该收发器用于在所述通信装置的处理器的控制下，执行上述第六方面及其任意一种可能的实现方式所述的连接重建立方法中收发数据、信令或信息的步骤，例如，接收连接重建立请求、发送第一消息。

可选的，该通信装置可以是重选无线接入网设备，也可以是重选无线接入网设备中的一部分装置，例如重选无线接入网设备中的芯片系统。该芯片系统用于支持重选无线接入网设备实现第六方面及其任意一种可能的实现方式中所涉及的功能，例如，接收，发送或处理上述连接重建立方法中所涉及的数据和/或信息。该芯片系统包括芯片，也可以包括其他分立器件或电路结构。

第九方面，还提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令；当其在通信装置上运行时，使得通信装置执行如上述第六方面及其各种可能的实现方式所述的连接重建立方法。

第十方面，还提供一种包括指令的计算机程序产品，当其在通信装置上运行时，使得通信装置执行如上述第六方面及其各种可能的实现方式所述的连接重建立方法。

需要说明的是，上述指令可以全部或者部分存储在第一计算机存储介质上，其中，第一计算机存储介质可以与处理器封装在一起的，也可以与处理器单独封装，本申请对此不作具体限定。

本申请中第七方面、第八方面、第九方面、第十方面及其各种实现方式的具体描述，可以参考第六方面及其各种实现方式中的详细描述；并且，第七方面、第八方面、第九方面、第十方面及其各种实现方式的有益效果，可以参考第六方面及其各种实现方式中的有益效果分析，此处不再赘述。

在本申请中，上述通信装置的名字对设备或功能模块本身不构成限定，在实际实现中，这些设备或功能模块可以以其他名称出现。只要各个设备或功能模块的功能和本申请类似，属于本申请权利要求及其等同技术的范围之内。

本申请的这些方面或其他方面在以下的描述中会更加简明易懂。

附图说明

图1为传统的LTE系统的网络架构；

图2为4G系统与5G系统共存的网络结构示意图；

图3为本申请实施例提供的基站的硬件结构示意图；

图4为本申请实施例提供的手机的硬件结构示意图；

图5为本申请实施例提供的连接重建立方法的流程示意图一；

图6为本申请实施例提供的连接重建立方法的流程示意图二；

图7为本申请实施例提供的连接重建立方法的流程示意图三；

图8为本申请实施例提供的通信装置的结构示意图一；

图9为本申请实施例提供的通信装置的结构示意图二。

具体实施方式

在本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

以下，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。在本申请实施例的描述中，除非另有说明，“多个”的含义是两个或两个以上。

移动性是无线通信系统中的主要特征，它主要靠空闲模式(Idle mode)下的小区选择和连接模式(connected mode)下的切换来实现。连接模式下由于局部地区多小区覆盖的复杂性导致切换过程中小区强弱对比会时刻发生变化，这样出现切换失败的可能性就比较大。在长期演进(long term evolution，LTE)系统中，用户设备(user equipment，UE)此时就需要利用无线资源控制(radio resource control，RRC)连接重建立流程来保证业务的连贯性。

本申请将LTE系统中的演进式基站(evolved node base station，eNB)称为LTEeNB。

在传统的LTE系统中，LTE eNB通过S1接口接入到分组核心演进(The evolvedpacket core，EPC)网，不同的LTE eNB之间通过X2接口连接。每个LTE eNB均与至少一个LTEUE连接。图1示出了传统的LTE系统的网络架构。在实际应用中上述LTE eNB与LTE UE之间的连接为无线连接，为了方便直观地表示各个设备之间的连接关系，图1中采用实线示意。

当UE在两个LTE小区(cell)之间移动时，处于连接态(RRC connected mode)的UE触发LTE系统内(Intra-LTE)的切换(handover，HO)流程，处于空闲态(RRC Idle mode)的UE触发小区选择流程。Intra-LTE的切换中UE接入的核心网没有发生变化，无线接入技术(radio access technology，RAT)也未发生变化，UE在源小区使用的源配置在同制式的小区内可以使用，为源小区提供服务的基站(简称为源基站)和为目标小区提供服务的基站(简称为目标基站)均具有UE的上下文。当UE在LTE小区与其他制式(例如第三代通信技术(the 3generation mobile communication technology，3G)/第二代通信技术(the2generation mobile communication technology，2G))的小区之间移动时，连接态的UE触发变更无线接入技术(Inter-RAT)的切换流程，处于空闲态的UE触发小区选择流程。Inter-RAT的切换中核心网发生变化，RAT也发生变化，UE在源小区使用的源配置在不同制式的小区内不能使用，源基站具有UE在源核心网相关的上下文，目标基站具有UE在目标核心网相关的上下文。

若UE切换失败，则可能会触发RRC连接重建立流程。相应的，UE执行小区选择。具体的，在UE确定重选小区之前，该UE回复到(revert back to)其在源小区中使用的配置(简称为：源配置)。若UE重选的小区(称为第一小区)与源小区的制式相同，则该UE向为第一小区提供服务的基站(简称为重选基站)发送RRC连接重建立请求(RRC connectionreestablishment request)消息。从上面描述可知，若第一小区与源小区的制式相同，则重选基站也具有UE的上下文，这样，在UE向重选基站发送RRC连接重建立请求消息后，该重选基站能够通过该UE的安全校验，以恢复UE的RRC连接。若第一小区与源小区的制式不同，则该UE离开RRC连接态，即不会向重选基站发送RRC连接重建立请求消息。

随着通信技术的发展，LTE eNB可演进为下一代LTE基站(next generation eNB，ng-eNB)。ng-eNB通过演进通用陆地无线接入(evolved universal terrestrial radioaccess，E-UTRA)技术为终端提供无线传输资源。ng-eNB可以为终端提供第五代核心网(the5th generation core network，5GCN)的服务，也可以为终端提供EPC的服务。在实际部署中，ng-eNB可以仅仅与5GCN/EPC连接，也可以同时与5GCN和EPC连接。5GCN也可以称为5GC。

5G系统的接入网(radio access network，RAN)称为下一代RAN(next generationran，NG-RAN)，NG-RAN节点包括ng-eNB和gNB(5G系统中的基站)。其中，gNB通过新空口(newradio，NR)技术为5G UE提供无线传输资源，并为5G UE提供5GC的服务。后续，将LTE系统中的UE称为LTE UE，将5G系统的UE称为5G UE，将gNB提供5GC服务的小区称为NR小区，将ng-eNB提供服务的小区称为ng-eNB小区。

图2示出了4G系统与5G系统共存的网络结构。如图2所示，ng-eNB可通过S1接口接入到EPC，也可通过其他相应接口(图2中用NG表示)接入到5GC。与ng-eNB连接的5G UE可通过ng-eNB接入到5GC。与ng-eNB连接的LTE UE，可通过ng-eNB接入EPC。LTE eNB与连接了EPC的ng-eNB之间通过X2接口连接，ng-eNB与NR gNB之间通过Xn接口连接。同理，在实际应用中上述多个设备之间的连接可能为无线连接，为了方便直观地表示各个设备之间的连接关系，图2中采用实线示意。

本申请实施例将ng-eNB提供5GC服务的小区称为E-UTRA～5GC小区，将ng-eNB或LTE eNB提供EPC服务的小区称为E-UTRA～EPC小区。

当终端在ng-eNB小区和NR gNB小区移动时，处于连接态的终端触发切换流程，该切换流程包括变更核心网(inter-system inter-RAT)的切换流程和5G系统内(intra-system inter-RAT)的切换流程。inter-system intra-RAT的切换方式中，核心网发生了变化，但RAT未发生变化。intra-system inter-RAT的切换方式中，核心网未发生变化，但RAT发生了变化。相应的，该切换流程可以为源基站与目标基站之间直接进行切换准备，也可以是基于基站与核心网设备之间的接口(如S1接口或NG接口)触发切换。

在源基站与目标基站之间直接进行切换准备的场景中，或者在基于基站与核心网设备之间的接口触发切换的场景中，如果终端切换失败，该终端可能会在目标基站进行RRC连接重建立流程。具体的，在切换准备过程中，源基站向目标基站发送切换准备消息，该切换准备消息包括终端的安全上下文，例如：源小区的物理小区标识(Physical CellIdentifier，PCI)、源小区的小区无线网络临时标识(Cell Radio Network TemporaryIdentifier，C-RNTI)、源基站基于目标小区的ID确定出的安全参数信息VarShortMAC-Input、至少一个重建立小区的信息等。这样，当终端在目标基站下的某个小区发起重建立时，由于目标基站获得了该终端的重建立相关信息，因此，该目标基站可以对终端进行安全校验，从而允许其重建立成功。

核心接入和移动性管理功能(core access and mobility managementfunction，AMF)实体为5G系统中的控制面网元，AMF与NR gNB/ng-eNB通过NG接口连接，也可直接通过其它相应接口与5G UE连接。

为了保证数据的安全性，通信系统中任意两个设备之间的通信均需基于秘钥进行。现对5G系统涉及到的秘钥进行描述。

对于终端而言，非接入层(non-access stratum，NAS)层负责衍生核心网秘钥(例如AMF秘钥(key for AMF，KAMF))；在初始安全激活时，接入(access stratum，AS)层基于KAMF衍生得到初始接入网秘钥(例如KgNB、KeNB)和下一跳参数(Next Hop parameter，NH)。后续，在切换过程中，AS层根据下一跳链计数参数(Next Hop Chaining Counterparameter，NCC)和NH，或者根据NCC和初始接入网秘钥，衍生得到新的接入网秘钥。终端基于新的接入网秘钥衍生得到用于RRC加密、RRC完整性保护(简称完保)、DRB加密、DRB完保的AS秘钥，并利用该AS秘钥与接入网设备之间进行通信。

从网络的角度看，AMF负责衍生核心网秘钥(例如KAMF)，并基于核心网秘钥衍生得到初始接入网秘钥(例如KgNB、KeNB)，以及NH；在初始安全激活时，AMF向基站发送初始接入网秘钥、NH和NCC，基站基于初始接入网秘钥衍生得到目标接入网秘钥，并根据目标接入网秘钥衍生得到用于RRC加密、RRC完保、DRB加密、DRB完保的AS秘钥，以及利用上述该AS秘钥与UE之间进行通信。

一般的，在5G系统源基站与目标基站之间直接进行切换准备的场景中，源基站负责衍生目标基站秘钥(例如KgNB、KeNB)，并通过基站间接口(例如X2接口或Xn接口)向目标基站发送目标基站秘钥和NCC；目标基站基于目标基站秘钥衍生得到AS秘钥。此外，源基站生成包括NCC的切换命令，并向终端发送该切换该命令；终端基于该NCC和本地存储的NH、源基站秘钥等参数衍生目标基站秘钥，并根据目标基站秘钥衍生得到与目标基站通信所使用的AS秘钥。

在5G系统基于基站与核心网设备之间的接口(例如S1接口或NG接口)触发的切换的场景中，源基站向终端发送包括NCC的切换命令，相应的，终端根据NCC，确定基于NH衍生出目标基站秘钥；核心网设备向目标基站发送包括NCC和NH的切换请求，目标基站基于NH衍生得到目标基站秘钥。目标基站和终端均基于目标基站秘钥衍生得到AS秘钥，并利用该AS秘钥进行通信。

可选的，在5G系统基于基站与核心网设备之间的接口触发的切换的场景中，在终端接入到目标基站后，核心网设备可以更新核心网秘钥(如KAMF)，这样，终端基于更新后的核心网秘钥衍生得到新的接入网秘钥，并利用新的接入网秘钥与目标基站进行通信。

具体的，源核心网设备在接收到源基站发送的切换请求(HO required)后，更新(rekeying)KAMF，并向目标核心网设备/目标基站(此时源核心网设备和目标核心网设备为同一设备)发送NAS容器(NAS container)以及秘钥更改指示；目标基站在接收到NAS容器以及秘钥更改指示后，生成包括NAS容器以及秘钥更改指示(key change indicator)的切换命令(HO command)，并通过源核心网设备以及源基站向终端发送该切换命令。终端在接收到上述HO command后，向NAS层发送该NAS容器，以便于NAS层根据NAS容器衍生出新的KAMF。相应的，终端的AS层基于秘钥更改指示(key change indicator)确定利用新的KAMF衍生新的接入网秘钥，用于与目标基站通信。

按照现有的RRC连接重建立流程，终端在执行连接重建立之前已经回复到(revertback to)源配置。但是，在5G系统的源基站基于基站与核心网之间的接口触发的切换的场景中，若核心网设备更新了核心网秘钥，则重选基站(可能是目标基站)的接入网秘钥与终端的接入网秘钥不一致，或者终端的接入网秘钥与核心网设备的接入网秘钥不一致，或者重选基站(在重选基站既不是源基站也不是目标基站的情况)的接入网秘钥与核心网设备的接入网秘钥不一致，导致RRC连接重建立无法成功。

针对这一问题，本申请实施例提供一种连接重建立方法及装置，对于在终端从源无线接入网设备到目标无连接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景：重选无线接入网设备通过获取第一接入网秘钥衍生参数和第一信息，衍生出新的接入网秘钥；终端可以保持核心网秘钥不变，并将接入网秘钥回复为源接入网秘钥，也可以将核心网秘钥回复为源核心网秘钥，并将接入网秘钥回复为源接入网秘钥，该终端与重选无线接入网设备通信，也能够衍生出新的接入网秘钥，从而实现终端、重选无线接入网设备以及核心网设备之间秘钥的一致性，完成连接重建立。

本申请实施例提供的连接重建立方法适用于图2所示的通信系统。结合图2，本申请实施例中的源无线接入网设备/目标无线接入网设备/重选无线接入网设备均可以为ng-eNB或者NR gNB，终端可以为NR UE。

本申请实施例中的终端可以是手机(如图3所示的手机300)、平板电脑、个人计算机(personal computer，PC)、个人数字助理(personal digital assistant，PDA)、智能手表、上网本、可穿戴电子设备等，本申请实施例对该设备的具体形式不做特殊限制。

如图3所示，以手机300作为上述终端举例，手机300具体可以包括：处理器301、射频(radio frequency，RF)电路302、存储器303、触摸屏304、蓝牙装置305、一个或多个传感器306、无线保真(wireless fidelity，Wi-Fi)装置307、定位装置308、音频电路309、外设接口310以及电源装置311等部件。这些部件可通过一根或多根通信总线或信号线(图3中未示出)进行通信。本领域技术人员可以理解，图3中示出的硬件结构并不构成对手机的限定，手机300可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

下面结合图3对手机300的各个部件进行具体的介绍：

处理器301是手机300的控制中心，利用各种接口和线路连接手机300的各个部分，通过运行或执行存储在存储器303内的应用程序，以及调用存储在存储器303内的数据，执行手机300的各种功能和处理数据。在一些实施例中，处理器301可包括一个或多个处理单元。在本申请实施例一些实施例中，上述处理器301还可以包括指纹验证芯片，用于对采集到的指纹进行验证。

射频电路302可用于在收发信息或通话过程中，无线信号的接收和发送。特别地，射频电路302可以将基站的下行数据接收后，给处理器301处理；另外，将涉及上行的数据发送至基站。通常，射频电路包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器、双工器等。此外，射频电路302还可以通过无线通信和其他设备通信。所述无线通信可以使用任一通信标准或协议，包括但不限于全球移动通讯系统、通用分组无线服务、码分多址、宽带码分多址、长期演进、电子邮件、短消息服务等。

存储器303用于存储应用程序以及数据，处理器301通过运行存储在存储器303的应用程序以及数据，执行手机300的各种功能以及数据处理。存储器303主要包括存储程序区以及存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像处理功能等)；存储数据区可以存储根据使用手机300时所创建的数据(比如音频数据、电话本等)。此外，存储器303可以包括高速随机存取存储器(RAM)，还可以包括非易失存储器，例如磁盘存储器件、闪存器件或其他易失性固态存储器件等。存储器303可以存储各种操作系统，例如，iOS操作系统，Android操作系统等。上述存储器303可以是独立的，通过上述通信总线与处理器301相连接；存储器303也可以和处理器301集成在一起。

触摸屏304具体可以包括触控板304-1和显示器304-2。

其中，触控板304-1可采集手机300的用户在其上或附近的触摸事件(比如用户使用手指、触控笔等任何适合的物体在触控板304-1上或在触控板304-1附近的操作)，并将采集到的触摸信息发送至其他器件(例如处理器301)。其中，用户在触控板304-1附近的触摸事件可以称之为悬浮触控；悬浮触控可以是指，用户无需为了选择、移动或拖动目标(例如图标等)而直接接触触控板，而只需用户位于设备附近以便执行所想要的功能。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型来实现触控板304-1。

显示器(也称为显示屏)304-2可用于显示由用户输入的信息或提供给用户的信息以及手机300的各种菜单。可以采用液晶显示器、有机发光二极管等形式来配置显示器304-2。触控板304-1可以覆盖在显示器304-2之上，当触控板304-1检测到在其上或附近的触摸事件后，传送给处理器301以确定触摸事件的类型，随后处理器301可以根据触摸事件的类型在显示器304-2上提供相应的视觉输出。虽然在图2中，触控板304-1与显示屏304-2是作为两个独立的部件来实现手机300的输入和输出功能，但是在某些实施例中，可以将触控板304-1与显示屏304-2集成而实现手机300的输入和输出功能。可以理解的是，触摸屏304是由多层的材料堆叠而成，本申请实施例实施例中只展示出了触控板(层)和显示屏(层)，其他层在本申请实施例实施例中不予记载。另外，触控板304-1可以以全面板的形式配置在手机300的正面，显示屏304-2也可以以全面板的形式配置在手机300的正面，这样在手机的正面就能够实现无边框的结构。

另外，手机300还可以具有指纹识别功能。例如，可以在手机300的背面(例如后置摄像头的下方)配置指纹采集器件312，或者在手机300的正面(例如触摸屏304的下方)配置指纹采集器件312。又例如，可以在触摸屏304中配置指纹采集器件312来实现指纹识别功能，即指纹采集器件312可以与触摸屏304集成在一起来实现手机300的指纹识别功能。在这种情况下，该指纹采集器件312配置在触摸屏304中，可以是触摸屏304的一部分，也可以以其他方式配置在触摸屏304中。本申请实施例实施例中的指纹采集器件312的主要部件是指纹传感器，该指纹传感器可以采用任何类型的感测技术，包括但不限于光学式、电容式、压电式或超声波传感技术等。

手机300还可以包括蓝牙装置305，用于实现手机300与其他短距离的设备(例如手机、智能手表等)之间的数据交换。本申请实施例实施例中的蓝牙装置可以是集成电路或者蓝牙芯片等。

手机300还可以包括至少一种传感器306，比如光传感器、运动传感器以及其他传感器。具体的，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节触摸屏304的显示器的亮度，接近传感器可在手机300移动到耳边时，关闭显示器的电源。作为运动传感器的一种，加速计传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于手机300还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

Wi-Fi装置307，用于为手机300提供遵循Wi-Fi相关标准协议的网络接入，手机300可以通过Wi-Fi装置307接入到Wi-Fi接入点，进而帮助用户收发电子邮件、浏览网页和访问流媒体等，它为用户提供了无线的宽带互联网访问。在其他一些实施例中，该Wi-Fi装置307也可以作为Wi-Fi无线接入点，可以为其他设备提供Wi-Fi网络接入。

定位装置308，用于为手机300提供地理位置。可以理解的是，该定位装置308具体可以是全球定位系统(global positioning system，GPS)或北斗卫星导航系统、俄罗斯GLONASS等定位系统的接收器。定位装置308在接收到上述定位系统发送的地理位置后，将该信息发送至处理器301进行处理，或者发送至存储器303进行保存。在另外的一些实施例中，该定位装置308还可以是辅助全球卫星定位系统(assisted global positioningsystem，AGPS)的接收器，AGPS系统通过作为辅助服务器来协助定位装置308完成测距和定位服务，在这种情况下，辅助定位服务器通过无线通信网络与设备例如手机300的定位装置308(即GPS接收器)通信而提供定位协助。在另外的一些实施例中，该定位装置308也可以是基于Wi-Fi接入点的定位技术。由于每一个Wi-Fi接入点都有一个全球唯一的MAC地址，设备在开启Wi-Fi的情况下即可扫描并收集周围的Wi-Fi接入点的广播信号，因此可以获取到Wi-Fi接入点广播出来的MAC地址；设备将这些能够标示Wi-Fi接入点的数据(例如MAC地址)通过无线通信网络发送至位置服务器，由位置服务器检索出每一个Wi-Fi接入点的地理位置，并结合Wi-Fi广播信号的强弱程度，计算出该设备的地理位置并发送到该设备的定位装置308中。

音频电路309、扬声器313、麦克风314可提供用户与手机300之间的音频接口。音频电路309可将接收到的音频数据转换后的电信号，传输到扬声器313，由扬声器313转换为声音信号输出；另一方面，麦克风314将收集的声音信号转换为电信号，由音频电路309接收后转换为音频数据，再将音频数据输出至RF电路302以发送至比如另一手机，或者将音频数据输出至存储器303以便进一步处理。

外设接口310，用于为外部的输入/输出设备(例如键盘、鼠标、外接显示器、外部存储器、用户识别模块卡等)提供各种接口。例如通过通用串行总线(universal serial bus，USB)接口与鼠标连接，通过用户识别模块卡卡槽上的金属触点与电信运营商提供的用户识别模块卡(subscriber identification module，SIM)卡进行连接。外设接口310可以被用来将上述外部的输入/输出外围设备耦接到处理器301和存储器303。

在本申请实施例中，手机300可通过外设接口310与设备组内的其他设备进行通信，例如，通过外设接口310可接收其他设备发送的显示数据进行显示等，本申请实施例对此不作任何限制。

手机300还可以包括给各个部件供电的电源装置311(比如电池和电源管理芯片)，电池可以通过电源管理芯片与处理器301逻辑相连，从而通过电源装置311实现管理充电、放电、以及功耗管理等功能。

尽管图3未示出，手机300还可以包括摄像头(前置摄像头和/或后置摄像头)、闪光灯、微型投影装置、近场通信(near field communication，NFC)装置等，在此不再赘述。

本申请实施例中的无线接入设备可以为无线接入点(access point，AP)，也可以为基站，本申请实施例对此不作具体限定。

图4为本申请实施例提供的一种无线接入网设备的组成示意图，如图4所示，无线接入网设备可以包括至少一个处理器41，存储器42、收发器43、总线44。

下面结合图4对无线接入网设备的各个构成部件进行具体的介绍：

处理器41是无线接入网设备的控制中心，可以是一个处理器，也可以是多个处理元件的统称。例如，处理器41是一个CPU，也可以是特定集成电路(application specificintegrated circuit，ASIC)，或者是被配置成实施本申请实施例的一个或多个集成电路，例如：一个或多个微处理器(digital signal processor，DSP)，或，一个或者多个现场可编程门阵列(field programmable gate array，FPGA)。

其中，处理器41可以通过运行或执行存储在存储器42内的软件程序，以及调用存储在存储器42内的数据，执行无线接入网设备的各种功能。

在具体的实现中，作为一种实施例，处理器41可以包括一个或多个CPU，例如图中所示的CPU 0和CPU 1。

在具体实现中，作为一种实施例，无线接入网设备可以包括多个处理器，例如图4中所示的处理器41和处理器45。这些处理器中的每一个可以是一个单核处理器(single-CPU)，也可以是一个多核处理器(multi-CPU)。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。

存储器42可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasable programmable read-only memory，EEPROM)、只读光盘(compact disc read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器42可以是独立存在，通过总线44与处理器41相连接。存储器42也可以和处理器41集成在一起。

其中，存储器42用于存储执行本申请方案的软件程序，并由处理器41来控制执行。

收发器43，用于与其他设备或通信网络通信。如用于与以太网，无线接入网(radioaccess network，RAN)，无线局域网(wireless local area networks，WLAN)等通信网络通信。收发器43可以包括基带处理器的全部或部分，以及还可选择性地包括RF处理器。RF处理器用于收发RF信号，基带处理器则用于实现由RF信号转换的基带信号或即将转换为RF信号的基带信号的处理。

总线44，可以是工业标准体系结构(industry standard architecture，ISA)总线、外部设备互连(peripheral component interconnect，PCI)总线或扩展工业标准体系结构(extended industry standard architecture，EISA)总线等。该总线可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

图4中示出的设备结构并不构成对无线接入网设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

现结合上述图2示出的通信系统、图3示出的手机的硬件结构以及图4示出的无线接入网设备的结构对本申请提供的连接重建立方法进行描述。

为了便于描述，下文以无线接入网设备为基站为例进行描述。

图5为本申请实施例提供的一种连接重建立方法的流程示意图。参见图5，该连接重建立方法包括如下步骤。

S500、源基站确定基于基站与核心网设备之间的接口，将终端从源小区切换至目标基站提供服务的目标小区。

可选的，源基站通过基站与核心网设备之间的接口(如NG接口)向目标基站发送至少一个重选小区的信息(如安全参数信息VarShortMAC-Input)。其中，至少一个重选小区的信息为源基站基于源基站基于源接入网秘钥、源小区的PCI、源小区的C-RNTI以及目标基站的相关信息(如目标小区的标识、目标小区的频点等)确定出的。至少一个重选小区的信息用于在终端向目标基站发送连接重建立请求后，目标基站基于上述至少一个重选小区的信息对该终端进行安全校验。

图5中采用虚线表示源基站通过基站与核心网设备之间的接口向目标基站发送至少一个重选小区的信息的步骤为可选的。

S501、核心网设备将源核心网秘钥更新为核心网秘钥1，并根据核心网秘钥1获取第一接入网秘钥衍生参数以及非接入层容器(NAS container)。

上述第一接入网秘钥衍生参数包括接入网秘钥1、第一衍生参数(如NCC)和第二衍生参数(如NH)中的至少一个。

可选的，接入网秘钥1和第二衍生参数均为核心网设备根据核心网秘钥1衍生确定出的。

本实施例中的核心网秘钥1与第一核心网秘钥对应。

这里的核心网设备是源核心网设备和目标核心网设备的统称。在本申请实施例中，源核心网设备和目标核心网设备可以为同一设备，也可以为不同设备，本申请实施例对此不作具体限定。

为了便于理解，本申请实施例以源核心网设备和目标核心网设备为不同设备为例进行说明。

在第一种可能的实现方式中，源核心网设备基于源核心网秘钥得到为核心网秘钥1，并向目标核心网设备发送核心网秘钥1，这样，目标核心网设备根据核心网秘钥1衍生出第一接入网秘钥衍生参数以及生成NAS container。

需要说明的是，在这种可能的实现方式中，源核心网设备可以将源核心网秘钥更新为核心网秘钥1，也可以在未接收到用于指示终端切换成功的消息之前，一直保持源核心网秘钥，即在未接收到用于指示终端切换成功的消息之前，源核心网设备中有效的核心网秘钥依然为源核心网秘钥。

若在未接收到用于指示终端切换成功的消息之前，源核心网设备一直保持源核心网秘钥，则当源基站取消该切换过程、或终端后续在源基站发起重建立的情况下，源核心网依然使用源核心网秘钥。

在第二种可能的实现方式中，源核心网设备将源核心网秘钥更新为核心网秘钥1，并根据核心网秘钥1获取第一接入网秘钥衍生参数以及NAS container。

在第三种可能的实现方式中，目标核心网设备将源核心网秘钥更新为核心网秘钥1，并根据核心网秘钥1获取第一接入网秘钥衍生参数以及NAS container。

S502、核心网设备向目标基站发送第一接入网秘钥衍生参数、NAS container以及秘钥更改指示。

其中，秘钥更改指示用于指示接入网秘钥的更改(re-keying)。

具体的，目标核心网设备向目标基站发送第一接入网秘钥衍生参数、NAScontainer以及秘钥更改指示。

在上述第二种可能的实现方式中，源核心网设备获取到第一接入网秘钥衍生参数以及NAS container之后，向目标核心网设备发送第一接入网秘钥衍生参数、NAScontainer以及秘钥更改指示。

S503、目标基站获取接入网秘钥1。

可选的，目标基站基于核心网设备发送的第一接入网秘钥衍生参数，获取接入网秘钥1。

在一种可选的方式中，若第一接入网秘钥衍生参数包括第一衍生参数和第二衍生参数，则目标基站基于第一衍生参数和第二衍生参数，获取接入网秘钥1。

S504、目标基站向核心网设备发送包括秘钥更改指示和NAS container的切换命令。

该切换命令可以为RRC消息。

可选的，S502中的秘钥更改指示与S504中的秘钥更改指示可以为同一指示信息，也可以为不同的指示信息。

需要说明的是，即使S502中的秘钥更改指示与S504中的秘钥更改指示为不同的指示信息，S502中的秘钥更改指示与S504中的秘钥更改指示也具有关联关系。例如，目标基站基于在S502中的秘钥更改指示推断出需要在S504中在切换命令中携带秘钥更改指示。

S505、核心网设备向源基站发送上述切换命令、第一接入网秘钥衍生参数和NAScontainer。

若切换命令为RRC消息，则核心网设备将该RRC消息透传给源基站。

可选的，核心网设备可以向源基站发送包括上述切换命令、第一接入网秘钥衍生参数和NAS container的消息，也可以向源基站发送上述切换命令，并向源基站发送包括上述第一第一接入网秘钥衍生参数和NAS container的消息，本申请实施例对此不作具体限定。

可选的，核心网设备在切换过程中向源基站发送切换命令，并在确定终端切换失败后，向源基站发送第一接入网秘钥衍生参数和NAS container。

在上述第一种可能的实现方式和第三种可能的实现方式中，目标核心网设备经由源核心网设备向源基站发送上述切换命令、第一接入网秘钥衍生参数和NAS container。

在上述第二种可能的实现方式中，目标核心网设备在接收到目标基站发送的切换命令后，经由源核心网设备向源基站发送该切换命令。此外，源核心网设备还向源基站发送第一接入网秘钥衍生参数和NAS container。

S506、源基站向终端发送上述切换命令。

可选的，源基站在接收到第一接入网秘钥衍生参数后，还可以根据该第一接入网秘钥衍生参数，获取新的接入网秘钥(例如接入网秘钥2)。

S507、终端根据切换命令，执行相关配置。

一种可能的情况是，终端无法成功应用切换命令中的配置信息，则该终端确定发生重配置失败。

另一种可能的情况是，终端成功应用切换命令中的配置信息，具体的，终端启动第一定时器，并根据切换命令中的NAS container，衍生得到核心网秘钥1，并根据秘钥更改指示和核心网秘钥1，衍生得到接入网秘钥1。

具体的，在接收到切换命令后，终端的NAS层根据NAS container衍生出核心网秘钥1，AS层基于秘钥更改指示，根据核心网秘钥1衍生得到接入网秘钥1。

第一定时器的时长为终端执行一次切换过程等待的最长时间。若第一定时器超时，终端还没有完成切换，则终端确定切换失败。

S508、若终端发生重配置失败或切换失败，则该终端回复到(revert back to)源配置。

本申请实施例将终端在源小区中使用的配置简称为源配置。

可选的，源配置包括每个无线承载(radio bearer，RB)的状态变量和参数。源配置不包括源小区中的物理层PHY、媒体接入控制层MAC层的配置。因为后续终端需要根据小区信号质量确定重选小区，该重选小区可能为源小区，也可能为目标小区，甚至可能为除了源小区与目标小区以外的其他小区。终端驻留到某一小区后需要使用该小区的物理层、媒体接入控制层的配置。

本实施例中终端回复到源配置包括终端的接入网秘钥从接入网秘钥1回复为源接入网秘钥，且终端的核心网秘钥从核心网秘钥1回复为源核心网秘钥。这里，源接入网秘钥可以为终端根据源核心网秘钥直接衍生得到的接入网秘钥，也可以为：在切换时，终端根据NCC、NH以及“终端根据源核心网秘钥直接衍生得到的接入网秘钥”进一步衍生得到的接入网秘钥。

可选的，若终端发生重配置失败或切换失败，该终端的接入AS层将接入网秘钥回复为源接入网秘钥；该终端的AS层向终端的NAS层发送指示消息，该指示消息用于指示在上述切换过程中发生了重配置失败/切换失败，或者该指示消息用于直接指示将核心网秘钥回复为源核心网秘钥；相应的，终端的NAS层将核心网秘钥1回复为源核心网秘钥。此时，源核心网秘钥是指NAS层在收到NAS container之前使用的核心网秘钥。

S509、在终端回复到源配置后，该终端进行小区选择，并向重选基站发送连接重建立请求。

重选基站为终端选择的合适的(suitable)小区提供服务。这里，合适的(suitable)小区为终端进行小区选择所确定出的小区。下文中，将终端选择的合适的小区统称为重选小区。

可选的，重选基站可以为源基站，也可以为目标基站，还可以为除源基站和目标基站之外的其他站点，本申请实施例对此不做具体限定。

在终端确定出重选小区后，该终端向重选基站发送连接重建立请求，该连接重建立请求包括第一安全校验信息。该第一安全校验信息为终端基于源接入网秘钥得到的。

上述连接重建立请求可以为RRC连接重建立请求(RRC ConnectionReestablishment Request)或RRC重建立请求(RRC Reestablishment Request)消息。

当重选基站为除源基站和目标基站之外的其他站点时，本申请实施例提供的连接重建立方法在S509之后还包括S510～S521。

当重选基站为目标基站时，以及当重选基站为源基站，且源基站在S505中获取到了第一接入网秘钥衍生参数和NAS container时，本申请实施例提供的连接重建立方法在S509之后还包括S512～S514。

当重选基站为源基站，且源基站在S505中未获取到第一接入网秘钥衍生参数和NAS container时，本申请实施例提供的连接重建立方法在S509之后还包括S515～S517。

S510、重选基站向源基站发送上下文请求。

S511、源基站向重选基站发送终端上下文。

可选的，若源基站在S505中获取到了第一接入网秘钥衍生参数和NAS container，则终端上下文包括以下信息中的至少一种：源核心网为该终端分配的标识(例如AMF UENGAP ID)、第一接入网秘钥衍生参数、NAS container和第二安全校验信息。这里，第二安全校验信息为源基站基于源接入网秘钥得到的。在这种情况下，本申请实施例提供的连接重建立方法在S511之后还包括S512～S514。

可选的，若源基站在S505中未获取到第一接入网秘钥衍生参数和NAS container，则终端上下文包括以下信息中的至少一种：源核心网为该终端分配的标识(例如AMF UENGAP ID)、第二安全校验信息和源接入网秘钥衍生参数。这里，第二安全校验信息为源基站基于源接入网秘钥得到的。源接入网秘钥衍生参数包含以下信息中的至少一项：源基站发起该切换流程之前存储的该终端的第一衍生参数(简称为源第一衍生参数)、源基站发起该切换流程之前存储的该终端的第二衍生参数(简称为源第二衍生参数)、源基站基于第一衍生参数和第二衍生参数以及重选基站的信息(例如重选小区的频点和小区标识信息)衍生得到的接入网秘钥3。在这种情况下，本申请实施例提供的连接重建立方法在S511之后还包括S515～S521。

S512、重选基站根据第一接入网秘钥衍生参数，获取接入网秘钥2。

可选的，重选基站对连接重建立请求进行安全校验。在安全校验通过后，该重选基站根据第一接入网秘钥衍生参数，获取接入网秘钥2。

可选的，重选基站可以根据第一安全校验信息和第二安全校验信息实现对连接重建立请求的校验，或者重选基站可以将第一安全校验信息发送给源基站，由源基站进行安全校验，源基站向重选基站发送安全校验结果。

S513、重选基站向终端发送包括NAS container的第一消息。

NAS container隐式的指示根据核心网秘钥衍生接入网秘钥。

可选的，第一消息还包括第一衍生参数(如NCC)和秘钥更改指示中的至少一个。第一衍生参数或秘钥更改指示也可以用于指示根据核心网秘钥衍生接入网秘钥。

示例性的，当第一衍生参数的数值为特殊值(如NCC＝0)时，该第一衍生参数用于指示根据核心网秘钥衍生接入网秘钥。

S514、终端将NAS container发送给NAS层，衍生得到核心网秘钥1，并基于核心网秘钥1衍生得到接入网秘钥2，从而实现与重选基站的通信。

S515、重选基站根据源接入网秘钥衍生参数，获取接入网秘钥3。

可选的，重选基站对连接重建立请求进行安全校验。在安全校验通过后，该重选基站根据源接入网秘钥衍生参数，获取接入网秘钥3。

可选的，重选基站可以根据第一安全校验信息和第二安全校验信息实现对连接重建立请求的校验，或者重选基站可以将第一安全校验信息发送给源基站，由源基站进行安全校验，源基站向重选基站发送安全校验结果。

S516、重选基站向终端发送重建立消息，用于指示终端重建RRC连接。

可选的，重建立消息还包括源第一衍生参数(如NCC)。

S517、终端向重选基站发送重建立完成消息。

可选的，终端基于源第一衍生参数衍生得到接入网秘钥3，并基于接入网秘钥3获得用于RRC消息安全保护的AS秘钥。后续，终端采用AS秘钥安全保护该重建立完成消息，并向重选基站发送该安全保护后的重建立完成消息，从而实现与重选基站的通信。

S518、重选基站向核心网设备发送路径切换请求消息，用于通知核心网设备该终端由重选基站上接入，后续通过该重选基站进行数据传输。

可选的，该路径切换请求消息携带源核心网为该终端分配的标识(例如AMF UENGAP ID)。

S519、核心网设备将终端的数据传输路径切换到重选基站，并向重选基站发送路径切换响应消息。

可选的，核心网设备判断是否更新核心网秘钥。若更新，则核心网设备在路径切换响应消息中携带以下信息中的至少一种：第三接入网秘钥衍生参数、NAS container和第四秘钥更改指示。

在核心网设备确定更新核心网秘钥的场景中，S519后执行S520和S521。

S520、重选基站基于第三接入网秘钥衍生参数，获取接入网秘钥3，并基于接入网秘钥3衍生得到与终端通信时进行安全保护的AS秘钥，以及向终端发送重配置消息。

该重配置消息包括NAS container和秘钥改变指示。

S521、终端将NAS container发送给NAS层，用于NAS层衍生得到核心网秘钥3，并基于核心网秘钥3衍生得到接入网秘钥3。

进一步，终端基于接入网秘钥3衍生得到与重选基站通信时进行安全保护的AS秘钥。

本申请实施例中的接入网秘钥1与接入网秘钥3可能相同，也可能不同，本申请实施例对此不作具体限定。

容易理解的是，若上述重选基站为源基站，由于源基站从核心网设备获取了第一接入网秘钥衍生参数，因此，源基站能够得到新的接入网秘钥(如接入网秘钥3)，此时，终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的。

若上述重选基站为目标基站，由于目标基站从核心网设备获取了第一接入网秘钥衍生参数，因此，该目标基站能够得到新的接入网秘钥(如接入网秘钥3)，此时，终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的。

若上述重选基站为除源基站和目标基站之外的其他基站，则重选基站可以通过该重选基站与源基站之间的接口(例如Xn接口)获取到终端上下文，进而获取到新的接入网秘钥(如接入网秘钥3)，这样，终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的。

可以看出，本申请实施例提供的连接重建立方法，能够实现终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的，这样，即使在终端的切换过程中核心网设备更新了核心网秘钥，且终端切换失败的场景中，终端的连接重建立也可完成。

本申请中，在切换失败时，终端回复到源配置可以为终端的接入网秘钥从接入网秘钥1回复为源接入网秘钥，且终端的核心网秘钥从核心网秘钥1回复为源核心网秘钥，也可以为终端的接入网秘钥从接入网秘钥1回复为源接入网秘钥，且终端的核心网秘钥保持核心网秘钥1不变。

现对终端回复到源配置是指终端的接入网秘钥从接入网秘钥1回复为源接入网秘钥，且终端的核心网秘钥保持核心网秘钥1不变进行说明。

图6为本申请实施例提供的另一种连接重建立方法的流程示意图。参见图6，该连接重建立方法包括如下步骤。

S600、源基站确定基于基站与核心网设备之间的接口，将终端从源小区切换至目标基站提供服务的目标小区。

S600可以参考上述S500的描述，这里不再进行详细赘述。

S601、核心网设备将源核心网秘钥更新为核心网秘钥1，并根据核心网秘钥1获取第一接入网秘钥衍生参数以及NAS container。

S601可以参考上述S501的描述，这里不再进行详细赘述。

S602、核心网设备向目标基站发送第一接入网秘钥衍生参数、NAS container以及秘钥更改指示。

S602可以参考上述S502的描述，这里不再进行详细赘述。

S603、目标基站获取接入网秘钥1。

S604、目标基站向核心网设备发送包括秘钥更改指示和NAS container的切换命令。

该切换命令可以为RRC消息。

S605、核心网设备向源基站发送上述切换命令和第一接入网秘钥衍生参数。

在上述第一种可能的实现方式和第三种可能的实现方式中，目标核心网设备经由源核心网设备向源基站发送上述切换命令和第一接入网秘钥衍生参数。

在上述第二种可能的实现方式中，目标核心网设备在接收到目标基站发送的切换命令后，经由源核心网设备向源基站发送该切换命令。此外，源核心网设备还向源基站发送第一接入网秘钥衍生参数。

S606、源基站向终端发送上述切换命令。

可选的，源基站在接收到第一接入网秘钥衍生参数后，还可以根据该第一接入网秘钥衍生参数，获取新的接入网秘钥(例如接入网秘钥2)。

S607、终端启动第一定时器，并根据切换命令中的NAS container，衍生得到核心网秘钥1，并根据秘钥更改指示和核心网秘钥1，衍生得到接入网秘钥1。

S607可以参考上述S507的描述，这里不再进行详细赘述。

S608、若终端重配置失败/切换失败，则该终端回复到(revert back to)源配置。

源配置的定义可以参考上述S508的描述，这里不再进行详细赘述。

本实施例中终端回复到源配置指终端的接入网秘钥从接入网秘钥1回复为源接入网秘钥，且终端的核心网秘钥保持核心网秘钥1不变。

可选的，若终端切换失败，该终端的接入AS层将接入网秘钥回复为源接入网秘钥。

S609、在终端回复到源配置后，该终端进行小区选择，并向重选基站发送连接重建立请求。

S609可以参考上述S509的描述，这里不再进行详细赘述。

S610、重选基站向源基站发送上下文请求。

S611、源基站向重选基站发送终端上下文。

终端上下文包括第一接入网秘钥衍生参数和第二安全校验信息。

S612、重选基站根据第一接入网秘钥衍生参数，获取接入网秘钥2。

S612可以参考上述S512的描述，这里不再进行详细赘述。

S613、重选基站向终端发送包括指示信息的第一消息。

该指示信息用于指示根据核心网秘钥衍生接入网秘钥。

具体的，指示信息包括第一衍生参数(如NCC)和秘钥更改指示指示中的至少一个。

示例性的，当第一衍生参数的数值为特殊值(如NCC＝0)时，该第一衍生参数用于指示根据核心网秘钥衍生接入网秘钥。

S614、终端根据指示信息，基于核心网秘钥1衍生得到接入网秘钥2，从而实现与重选基站的通信。

本申请实施例中的接入网秘钥1与接入网秘钥2可能相同，也可能不同，本申请实施例对此不作具体限定。

容易理解的是，若上述重选基站为源基站，由于源基站从核心网设备获取了第一接入网秘钥衍生参数，因此，源基站能够得到新的接入网秘钥(如接入网秘钥2)，此时，终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的，能够完成连接重建立。

若上述重选基站为目标基站，由于目标基站从核心网设备获取了第一接入网秘钥衍生参数，因此，该目标基站能够得到新的接入网秘钥(如接入网秘钥2)，此时，终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的。

若上述重选基站为除源基站和目标基站之外的其他基站，则重选基站可以通过该重选基站与源基站之间的接口(例如Xn接口)获取到终端上下文，进而获取到新的接入网秘钥(如接入网秘钥2)，这样，终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的。

可以看出，本申请实施例提供的连接重建立方法，能够实现终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的，这样，即使在终端的切换过程中核心网设备更新了核心网秘钥，且终端切换失败的场景中，终端的连接重建立也可完成。

此外，本申请提供的连接重建立方法还可以为：在连接重建立过程中，终端与重选基站先建立连接，后续实现重选基站与核心网设备之间的秘钥的一致，进而实现终端、重选基站与核心网设备之间秘钥的一致性。

具体的，图7示出了该连接重建立方法的流程。参见图7，该连接重建立方法包括如下步骤。

S700、源基站确定基于基站与核心网设备之间的接口，将终端从源小区切换至目标基站提供服务的目标小区。

可选的，源基站通过基站与核心网设备之间的接口(如NG接口)向目标基站发送至少一个重选小区的信息(如安全参数信息VarShortMAC-Input)。其中，至少一个重选小区的信息为源基站基于源基站基于源接入网秘钥、源小区的PCI、源小区的C-RNTI以及目标基站的相关信息(如目标小区的标识、目标小区的频点等)确定出的。至少一个重选小区的信息用于在终端向目标基站发送连接重建立请求后，目标基站基于上述至少一个重选小区的信息对该终端进行安全校验。

可选的，在切换过程过程中，源基站获取第二接入网秘钥衍生参数，并通过基站与核心网设备之间的接口(如NG接口)向目标基站发送该第二接入网秘钥衍生参数。第二接入网秘钥衍生参数可以包含以下参数中的至少一种：目标接入网秘钥、NCC和NH。

S701、核心网设备将源核心网秘钥更新为核心网秘钥1，并根据核心网秘钥1获取第一接入网秘钥衍生参数以及NAS container。

S701可以参考上述S501的描述，这里不再进行详细赘述。

S702、核心网设备向目标基站发送第一接入网秘钥衍生参数、第二接入网秘钥衍生参数、NAS container以及秘钥更改指示。

其中，秘钥更改指示用于指示根据核心网秘钥衍生接入网秘钥。

具体的，目标核心网设备向目标基站发送第一接入网秘钥衍生参数、第二接入网秘钥衍生参数、NAS container以及秘钥更改指示。

S703、目标基站获取接入网秘钥1。

S704、目标基站向核心网设备发送包括秘钥更改指示和NAS container的切换命令。

该切换命令可以为RRC消息。

S705、核心网设备向源基站发送上述切换命令。

S706、源基站向终端发送上述切换命令。

S707、终端启动第一定时器，并根据切换命令中的NAS container，衍生得到核心网秘钥1，并根据秘钥更改指示和核心网秘钥1，衍生得到接入网秘钥1。

S707可以参考上述S507的描述，这里不再进行详细赘述。

S708、若终端发生重配置失败或切换失败，则该终端回复到(revert back to)源配置。

S708可以参考上述S508的描述，这里不再进行详细赘述。

S709、在终端回复到源配置后，该终端进行小区选择，并向重选基站发送连接重建立请求。

S709可以参考上述S509的描述，这里不再进行详细赘述。

可选的，当重选基站为出源基站和目标基站之外的其他站点时，S709之后执行S710～S711中的步骤。

可选的，当重选基站为目标基站或源基站时，S709之后执行S712。

S710、重选基站向源基站发送上下文请求。

S711、源基站向重选基站发送终端上下文。

可选的，若源基站在S705中获取到了第一接入网秘钥衍生参数和NAS container，则终端上下文包括以下信息中的至少一种：源核心网为该终端分配的标识(例如AMF UENGAP ID)、第一接入网秘钥衍生参数、第二接入网秘钥衍生参数、NAS container和第二安全校验信息。这里，第二安全校验信息为源基站基于源接入网秘钥得到的。

可选的，若源基站在S705中未获取到第一接入网秘钥衍生参数和NAS container，则终端上下文包括以下信息中的至少一种：源核心网为该终端分配的标识(例如AMF UENGAP ID)、第二安全校验信息和第二接入网秘钥衍生参数。这里，第二安全校验信息为源基站基于源接入网秘钥得到的。第二接入网秘钥衍生参数包含以下信息中的至少一项：源基站发起该切换流程之前存储的该终端的第一衍生参数(简称为源第一衍生参数)、源基站发起该切换流程之前存储的该终端的第二衍生参数(简称为源第二衍生参数)、源基站基于第一衍生参数和第二衍生参数以及重选基站的信息(例如重选小区的频点和小区标识信息)衍生得到的接入网秘钥3。

S712、重选基站根据第二接入网秘钥衍生参数，获取接入网秘钥3。

可选的，重选基站对连接重建立请求进行安全校验。在安全校验通过后，该重选基站根据第二接入网秘钥衍生参数，获取接入网秘钥3。

可选的，重选基站可以根据第一安全校验信息和第二安全校验信息实现对连接重建立请求的校验，或者重选基站可以将第一安全校验信息发送给源基站，由源基站进行安全校验，源基站将安全校验结果告知重选基站。

S713、重选基站向终端发送包括第二接入网秘钥衍生参数的连接重建立消息。

S714、终端根据第二接入网秘钥衍生参数，衍生接入网秘钥3。

S715、终端向重选基站发送连接重建立完成消息。

该连接重建立完成消息可以为RRC连接重建完成(RRC connectionreestablishment complete)消息或RRC重建立完成(RRC reestablishment complete)消息。

此时，终端与重选基站之间建立连接，但是，重选基站与核心网设备之间的秘钥不一致。因此，重选基站需要获取核心网设备处的第一接入网秘钥衍生参数和NAScontainer，以便于该重选基站根据第一接入网秘钥衍生参数生成新的接入网秘钥(如接入网秘钥2)。

具体的，若重选基站与源基站为同一设备，则重选基站可以直接从核心网设备获取到第一接入网秘钥衍生参数和NAS container，进而根据第一接入网秘钥衍生参数生成新的接入网秘钥，即执行下述S716～S720。若重选基站与目标基站为同一设备，则重选基站已经获取到第一接入网秘钥衍生参数和NAS container，可直接根据第一接入网秘钥衍生参数生成新的接入网秘钥，即执行下述S721～S723。若重选基站为除源基站和目标基站之外的其他基站，则重选基站从核心网设备获取第一接入网秘钥衍生参数和NAS container，进而根据第一接入网秘钥衍生参数生成新的接入网秘钥，即执行下述S724～S728。

S716、源基站向核心网设备发送第二消息。

S717、核心网设备向源基站发送第一接入网秘钥衍生参数和NAS container。

S718、源基站根据第一秘钥衍生参数，衍生得到接入网秘钥2。

S719、源基站向终端发送包括NAS container的第一消息。

S720、终端将NAS container发送给NAS层，衍生得到核心网秘钥1，并基于核心网秘钥1衍生得到接入网秘钥2，从而实现与重选基站(即源基站)的通信。

S721、目标基站根据第一接入网秘钥衍生信息，衍生得到接入网秘钥2。

S722、目标基站向终端发送包括NAS container的第一消息。

S723、终端将NAS container发送给NAS层，衍生得到核心网秘钥1，并基于核心网秘钥1衍生得到接入网秘钥2，从而实现与重选基站(即目标基站)的通信。

S724、重选基站向核心网设备发送第三消息。

S725、核心网设备向重选基站发送第一接入网秘钥衍生参数和NAS container。

S726、重选基站根据第一秘钥衍生参数，衍生得到接入网秘钥2。

S727、重选基站向终端发送包括NAS container的第一消息。

S728、终端将NAS container发送给NAS层，衍生得到核心网秘钥1，并基于核心网秘钥1衍生得到接入网秘钥2，从而实现与重选基站的通信。

图7示出的方法流程中，先建立终端与重选基站之间的连接，重建立成功后再获取NAS container，用于终端更新核心网秘钥，最终实现终端、重选基站以及核心网设备的接入网秘钥或核心网秘钥是一致的，这样，即使在终端的切换过程中核心网设备更新了核心网秘钥，且终端切换失败的场景中，终端的连接重建立也可完成。

本申请实施例提供一种通信装置8，该通信装置8可以为终端，也可以为终端中的部分装置，例如终端中的芯片系统。可选的，该芯片系统，用于支持终端实现上述方法实施例中所涉及的功能，例如，接收，发送，或处理上述方法中所涉及的数据和/或信息。该芯片系统包括芯片，也可以包括其他分立器件或电路结构。

该通信装置8用于执行以上连接重建立方法中的终端所执行的步骤。本申请实施例提供的通信装置8可以包括相应步骤所对应的模块。

本申请实施例可以根据上述方法示例对通信装置8进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

在采用对应各个功能划分各个功能模块的情况下，图8示出了本实施例中通信装置8的一种可能的结构示意图。如图8所示，通信装置8包括处理单元81、发送单元82和接收单元83。

处理单元81用于支持该通信装置8执行上述图5～图7中所示的回复、衍生、获取等操作，例如：S507、S508、S509、S514、S521、S607、S608、S609、S614、S707、S708、S709、S714、S720、S723、S728等，和/或用于本文所描述的技术的其它过程。

发送单元82用于支持该通信装置8执行上述图5～图7中所示的发送操作，例如：S509、S517、S609、S709、S715等，和/或用于本文所描述的技术的其它过程。

接收单元83用于支持该通信装置8执行上述图5～图7中所示的接收操作，例如：S606、S613、S706、S713、S719、S722、S727等，和/或用于本文所描述的技术的其它过程。

其中，上述方法实施例涉及的各步骤的所有相关内容均可以援引到对应功能模块的功能描述，在此不再赘述。当然，本申请实施例提供的通信装置8包括但不限于上述模块，例如通信装置8还可以包括存储单元84。存储单元84可以用于存储该通信装置8的程序代码和数据。

本申请提供的通信装置8的实体框图可以参考上述图3。当通信装置8为手机时，上述处理单元81可以是图3中的处理器301，发送单元82和接收单元83可以是图3中的射频电路302连接的天线，存储单元84可以是图3中的存储器303。

本申请另一实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当指令在通信装置8上运行时，该通信装置8执行如图5～图7所示的实施例的连接重建立方法中终端的步骤。

在本申请的另一实施例中，还提供一种计算机程序产品，该计算机程序产品包括计算机执行指令，该计算机执行指令存储在计算机可读存储介质中；通信装置8的处理器可以从计算机可读存储介质读取该计算机执行指令，处理器执行该计算机执行指令使得通信装置8执行如图5～图7所示的实施例的连接重建立方法中终端的步骤。

本申请实施例提供一种通信装置9，该通信装置9可以为基站，如eLTE eNB或gNB，也可以为基站中的部分装置，例如基站中的芯片系统。可选的，该芯片系统，用于支持基站实现上述方法实施例中所涉及的功能，例如，接收，发送，或处理上述方法中所涉及的数据和/或信息。该芯片系统包括芯片，也可以包括其他分立器件或电路结构。

该通信装置9用于执行以上连接重建立方法中的重选基站所执行的步骤。本申请实施例提供的通信装置9可以包括相应步骤所对应的模块。

本申请实施例可以根据上述方法示例对通信装置9进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

在采用对应各个功能划分各个功能模块的情况下，图9示出通信装置9的一种可能的结构示意图。如图9所示，通信装置9包括接收单元91、处理单元92以及发送单元93。

接收单元91用于支持该通信装置9执行上述图5～图7中所示的接收操作，例如：S509、S511、S517、S519、S609、S611、S709、S711、S715等，和/或用于本文所描述的技术的其它过程。

处理单元92用于支持该通信装置9执行上述图5～图7中所示的处理操作，例如：S512、S515、S520、S612、S712、S726等，和/或用于本文所描述的技术的其它过程。

发送单元93用于支持该通信装置9执行上述图5～图7中所示的发送操作，例如：S510、S513、S516、S518、S520、S610、S613、S710、S713、S727等，和/或用于本文所描述的技术的其它过程。

当然，本申请实施例提供的通信装置9包括但不限于上述模块，例如通信装置9还可以包括存储单元94。存储单元94可以用于存储该通信装置9的程序代码。其中，上述方法实施例涉及的各步骤的所有相关内容均可以援引到对应功能模块的功能描述，在此不再赘述。

当通信装置9为基站时，上述处理单元92可以是图4中的处理器41，发送单元93和接收单元91可以是图4中的收发器43，存储单元94可以是图4中的存储器42。

本申请另一实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当指令在通信装置9上运行时，该通信装置9执行如图5～图7所示的实施例的连接重建立方法中重选基站的步骤。

在本申请的另一实施例中，还提供一种计算机程序产品，该计算机程序产品包括计算机执行指令，该计算机执行指令存储在计算机可读存储介质中；通信装置9的处理器可以从计算机可读存储介质读取该计算机执行指令，处理器执行该计算机执行指令使得通信装置9执行如图5～图7所示的实施例的连接重建立方法中重选基站的步骤。

在上述实施例中，可以全部或部分的通过软件，硬件，固件或者其任意组合来实现。当使用软件程序实现时，可以全部或部分地以计算机程序产品的形式出现。计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行计算机程序指令时，全部或部分地产生按照本申请实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包括一个或多个可用介质集成的服务器、数据中心等数据终端。该可用介质可以是磁性介质，(例如，软盘，硬盘、磁带)、光介质(例如，DVD)或者半导体介质(例如固态硬盘solid state disk(SSD))等。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何在本申请揭露的技术范围内的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (21)

1.一种连接重建立方法，其特征在于，应用于在终端从源无线接入网设备到目标无线接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景中，所述连接重建立方法包括：

当重配置失败或切换失败时，所述终端回复到源配置，并获取重选小区；

所述终端向重选无线接入网设备发送连接重建立请求，所述重选无线接入网设备为所述重选小区提供服务；

所述终端接收来自所述重选无线接入网设备的第一消息，所述第一消息包括指示信息，所述指示信息用于指示根据核心网秘钥衍生接入网秘钥；

所述终端根据所述指示信息，获取所述第一核心网秘钥，并根据所述第一核心网秘钥，衍生第一接入网秘钥；

所述终端利用所述第一接入网秘钥与所述重选无线接入网设备通信。

2.根据权利要求1所述的连接重建立方法，其特征在于，所述终端回复到源配置包括所述终端的接入网秘钥回复为源接入网秘钥，所述源接入网秘钥为所述终端根据所述源核心网秘钥衍生得到的；

所述连接重建立方法还包括：

所述终端的接入AS层向所述终端的非接入NAS层发送指示消息，所述指示消息用于指示将核心网秘钥回复为所述源核心网秘钥；

所述终端的NAS层将所述第一核心网秘钥回复为所述源核心网秘钥。

3.根据权利要求2所述的连接重建立方法，其特征在于，

所述第一消息为连接重建立消息或者为重配置消息，所述指示信息为非接入层容器NAS container，所述非接入层容器为所述重选无线接入网设备从所述核心网设备获取到的；

所述终端根据所述指示信息，获取所述第一核心网秘钥，具体包括：

所述终端根据所述NAS container，衍生得到所述第一核心网秘钥。

4.根据权利要求3所述的连接重建立方法，其特征在于，若所述第一消息为重配置消息，所述终端接收来自所述重选无线接入网设备的第一消息之前，所述连接重建立方法还包括：

所述终端接收来自所述重选无线接入网设备的连接重建立消息，所述连接重建立消息包括第一衍生参数；

所述终端根据所述第一衍生参数，衍生第二接入网秘钥，所述第一衍生参数用于指示根据源接入网秘钥或第三衍生参数，衍生第二接入网秘钥；

所述终端向所述重选无线接入网设备发送采用所述第二接入网秘钥进行安全保护后的连接重建立完成消息。

5.根据权利要求1所述的连接重建立方法，其特征在于，所述终端回复到源配置是指所述终端的接入网秘钥回复为源接入网秘钥，且所述终端的核心网秘钥保持为所述第一核心网秘钥，所述源接入网秘钥为所述终端根据所述源核心网秘钥衍生得到的；所述第一消息为连接重建立消息，所述指示信息包括第一衍生参数和秘钥更改指示中的至少一个。

6.一种连接重建立方法，其特征在于，应用于在终端从源无线接入网设备到目标无线接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景中，所述连接重建立方法包括：

重选无线接入网设备接收来自终端的连接重建立请求，所述重选无线接入网设备为重选小区提供服务，所述重选小区为：在切换失败后，所述终端选择的小区；

所述重选无线接入网设备获取秘钥参考信息，所述秘钥参考信息为第一接入网秘钥衍生参数，或者为所述第一接入网秘钥衍生参数和非接入层容器NAS container，所述第一无线接入网秘钥衍生参数为根据所述第一核心网秘钥得到的；

所述重选无线接入网设备根据所述第一接入网秘钥衍生参数，衍生得到第一接入网秘钥；

所述重选无线接入网设备向所述终端发送包括指示信息的第一消息，所述指示信息用于指示根据核心网秘钥衍生接入网秘钥，所述指示信息为所述NAS container，或者为第一衍生参数和秘钥更改指示中的至少一个，所述秘钥更改指示用于指示根据核心网秘钥衍生接入网秘钥，所述第一衍生参数属于所述第一接入网秘钥衍生参数。

7.根据权利要求6所述的连接重建立方法，其特征在于，若所述重选无线接入网设备与所述源无线接入网设备为同一设备，所述重选无线接入网设备获取秘钥参考信息，具体包括：

所述重选无线接入网设备接收来自所述核心网设备的所述秘钥参考信息。

8.根据权利要求6所述的连接重建立方法，其特征在于，若所述重选无线接入网设备与所述目标无线接入网设备为同一设备，所述重选无线接入网设备获取秘钥参考信息，具体包括：

所述重选无线接入网设备从本地存储的秘钥信息中获取所述秘钥参考信息；其中，所述本地存储的秘钥信息包括来自所述核心网设备的所述第一接入网秘钥衍生参数、所述NAS container和所述秘钥更改指示。

9.根据权利要求8所述的连接重建立方法，其特征在于，所述本地存储的秘钥信息还包括来自所述核心网设备的第二接入网秘钥衍生参数，其中，所述第二接入网秘钥衍生参数包含第一衍生参数和第二衍生参数，第一衍生参数用于指示终端根据源接入网秘钥或第三衍生参数，衍生接入网秘钥。

10.根据权利要求6所述的连接重建立方法，其特征在于，若所述重选无线接入网设备为除所述源无线接入网设备和所述目标无线接入网设备之外的其他无线接入网设备，所述重选无线接入网设备与核心网设备连接；

所述重选无线接入网设备获取秘钥参考信息，具体包括：

所述重选无线接入网设备接收来自所述核心网设备的路径更新响应消息，所述路径更新响应消息包含所述秘钥参考信息。

11.一种通信装置，其特征在于，应用于在从源无线接入网设备到目标无线接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景中，所述通信装置包括处理器，所述处理器用于与存储器耦合，读取并执行所述存储器中的指令，以实现：

当重配置失败或切换失败时，回复到源配置，并获取重选小区；

向重选无线接入网设备发送连接重建立请求，所述重选无线接入网设备为所述重选小区提供服务；

接收来自所述重选无线接入网设备的第一消息，所述第一消息包括指示信息，所述指示信息用于指示根据核心网秘钥衍生接入网秘钥；

根据所述指示信息，获取所述第一核心网秘钥，并根据所述第一核心网秘钥，衍生第一接入网秘钥；

利用所述第一接入网秘钥与所述重选无线接入网设备通信。

12.根据权利要求11所述的通信装置，其特征在于，所述处理器具体用于将接入网秘钥回复为源接入网秘钥，所述源接入网秘钥为根据所述源核心网秘钥衍生得到的；

所述处理器还用于：

指示接入AS层向非接入NAS层发送指示消息，所述指示消息用于指示将核心网秘钥回复为所述源核心网秘钥，以及指示所述NAS层将所述第一核心网秘钥回复为所述源核心网秘钥。

13.根据权利要求12所述的通信装置，其特征在于，所述第一消息为连接重建立消息或者为重配置消息，所述指示信息为非接入层容器NAS container，所述非接入层容器为所述重选无线接入网设备从所述核心网设备获取到的；

所述处理器，具体用于根据所述NAS container，衍生得到所述第一核心网秘钥。

14.根据权利要求13所述的通信装置，其特征在于，若所述第一消息为重配置消息，所述接收来自所述重选无线接入网设备的第一消息之前，所述处理器还用于：

接收来自所述重选无线接入网设备的连接重建立消息，所述连接重建立消息包括第一衍生参数；

根据所述第一衍生参数，衍生第二接入网秘钥，所述第一衍生参数用于指示根据源接入网秘钥或第三衍生参数，衍生第二接入网秘钥；

向所述重选无线接入网设备发送采用所述第二接入网秘钥进行安全保护后的连接重建立完成消息。

15.根据权利要求11所述的通信装置，其特征在于，所述处理器具体用于将接入网秘钥回复为源接入网秘钥，且核心网秘钥保持为所述第一核心网秘钥，所述源接入网秘钥为所述根据所述源核心网秘钥衍生得到的；所述第一消息为连接重建立消息，所述指示信息包括第一衍生参数和秘钥更改指示中的至少一个。

16.一种通信装置，其特征在于，应用于在终端从源无线接入网设备到目标无线接入网设备的切换过程中，核心网设备将源核心网秘钥更新为第一核心网秘钥的应用场景中，所述通信装置包括处理器，所述处理器用于与存储器耦合，读取并执行所述存储器中的指令，以实现：

接收来自终端的连接重建立请求，所述重选无线接入网设备为重选小区提供服务，所述重选小区为：在切换失败后，所述终端选择的小区；

获取秘钥参考信息，所述秘钥参考信息为第一接入网秘钥衍生参数，或者为所述第一接入网秘钥衍生参数和非接入层容器NAS container，所述第一无线接入网秘钥衍生参数为根据所述第一核心网秘钥得到的；

根据所述第一接入网秘钥衍生参数，衍生得到第一接入网秘钥；

向所述终端发送包括指示信息的第一消息，所述指示信息用于指示根据核心网秘钥衍生接入网秘钥，所述指示信息为所述NAS container，或者为第一衍生参数和秘钥更改指示中的至少一个，所述秘钥更改指示用于指示根据核心网秘钥衍生接入网秘钥，所述第一衍生参数属于所述第一接入网秘钥衍生参数。

17.根据权利要求16所述的通信装置，其特征在于，若所述通信装置与所述源无线接入网设备为同一设备，所述处理器具体用于：

接收来自所述核心网设备的所述秘钥参考信息。

18.根据权利要求16所述的通信装置，其特征在于，若所述通信装置与所述目标无线接入网设备为同一设备，所述处理器具体用于：

从本地存储的秘钥信息中获取所述秘钥参考信息；其中，所述本地存储的秘钥信息包括来自所述核心网设备的所述第一接入网秘钥衍生参数、所述NAS container和所述秘钥更改指示。

19.根据权利要求18所述的通信装置，其特征在于，所述本地存储的秘钥信息还包括来自所述核心网设备的第二接入网秘钥衍生参数，其中，所述第二接入网秘钥衍生参数包含第一衍生参数和第二衍生参数，第一衍生参数用于指示终端根据源接入网秘钥或第三衍生参数，衍生接入网秘钥。

20.根据权利要求16所述的通信装置，其特征在于，若所述通信装置为除所述源无线接入网设备和所述目标无线接入网设备之外的其他无线接入网设备，所述通信装置与核心网设备连接；

所述处理器，具体用于接收来自所述核心网设备的路径更新响应消息，所述路径更新响应消息包含所述秘钥参考信息。

21.一种计算机可读存储介质，该计算机可读存储介质中存储有指令，其特征在于，当所述指令在通信装置上运行时，使得所述通信装置执行如权利要求1-5中任意一项所述的连接重建立方法，或者执行如权利要求6-10中任意一项所述的连接重建立方法。

Images