CN111436086A - 安全保护方法及装置 - Google Patents

安全保护方法及装置 Download PDF

Info

Publication number
CN111436086A
CN111436086A CN201910037122.0A CN201910037122A CN111436086A CN 111436086 A CN111436086 A CN 111436086A CN 201910037122 A CN201910037122 A CN 201910037122A CN 111436086 A CN111436086 A CN 111436086A
Authority
CN
China
Prior art keywords
sessions
information
access network
target
session
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910037122.0A
Other languages
English (en)
Other versions
CN111436086B (zh
Inventor
张博
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201910037122.0A priority Critical patent/CN111436086B/zh
Priority to PCT/CN2020/071237 priority patent/WO2020147643A1/zh
Publication of CN111436086A publication Critical patent/CN111436086A/zh
Application granted granted Critical
Publication of CN111436086B publication Critical patent/CN111436086B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/12—Reselecting a serving backbone network switching or routing node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请提供一种安全保护的方法及装置，涉及通信技术领域，用于在切换场景下，保证会话的安全性。该方法包括：第二接入网设备接收切换请求，切换请求用于指示将终端从第一接入网设备切换到第二接入网设备，切换请求包括M个会话的信息，M个会话的信息中每一个会话的信息包括会话的第一标识；第二接入网设备从M个会话中确定N个目标会话；N个目标会话为M个会话的非零子集；第二接入网设备确定N个目标会话中每一个目标会话的第二标识；第二接入网设备向终端发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。

Description

安全保护方法及装置
技术领域
本申请涉及通信技术领域，尤其涉及一种安全保护方法及装置。
背景技术
在无线通信系统中，终端到核心网之间采用端到端地保护机制来保护会话中的信息。但是，端到端地保护机制并未对数据包中用于标识会话的信息(例如，会话标识、承载标识等)进行加密，因此攻击者可以轻易在空口传输阶段获取该信息并根据该信息追踪到该会话，从而对该会话的安全带来威胁。
为了解决这一技术问题，业界提出一种技术方案：接入网设备在会话建立流程时，生成与会话对应的短期标识，并将该短期标识发送给终端。从而，接入网设备与终端之间传输的数据包不携带用于标识会话的信息，而是携带该短期标识。这样一来，即使攻击者获取到该短期标识，由于攻击者不知道短期标识与用于标识会话的信息之间的对应关系，因此攻击者不能追踪该会话，从而保证会话的安全性。
但是，在接入网设备发生切换的场景下，如何保证会话的安全性，业界尚未给出相应的解决方案。
发明内容
本申请提供一种安全保护方法及装置，用于在切换场景下，保证会话的安全性。
为达到上述目的，本申请采用如下技术方案：
第一方面，提供一种安全保护方法，包括：第二接入网设备接收切换请求，切换请求用于指示将终端从第一接入网设备切换到第二接入网设备，切换请求包括M个会话的信息，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数；第二接入网设备从M个会话中确定N个目标会话；N个目标会话为M个会话的非零子集，N小于或等于M，N为正整数；第二接入网设备确定N个目标会话中每一个目标会话的第二标识；第二接入网设备向终端发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。基于上述技术方案，在切换流程中，终端与第二接入网设备均能获取到N个对应关系信息。这样一来，在切换完成之后，由于对应关系信息用于指示目标会话的第一标识和第二标识之间的对应关系，从而终端与第二接入网设备在发送目标会话的报文时，目标会话的报文不携带第一标识，而是携带第二标识，从而避免目标会话被攻击者追踪，保证目标会话的安全性。
一种可能的设计中，第二接入网设备确定N个目标会话中每一个目标会话的第二标识，包括：第二接入网设备向核心网设备发送N个目标会话的信息；第二接入网设备从核心网设备接收N个目标会话中每一个目标会话的第二标识。
一种可能的设计中，第二接入网设备确定N个目标会话中每一个目标会话的第二标识，包括：第二接入网设备根据预设规则，生成N个目标会话中每一个目标会话的第二标识。
一种可能的设计中，会话的第一标识包括以下参数中的至少一项：终端与用户面功能网元(user plane function，UPF)之间链路的标识、终端与UPF之间链路的隧道标识、会话标识、UPF的地址、终端的标识、服务质量流标识、承载标识、切片的标识、以及UPF的标识。
一种可能的设计中，对应关系信息包括目标会话的第一标识和第二标识。
第二方面，提供一种安全保护方法，包括：第二AMF接收第一AMF发送的M个会话的信息，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数；第二AMF从M个会话中确定N个目标会话，N个目标会话为M个会话的非零子集，N小于或等于M，N为正整数；第二AMF确定N个目标会话中每一个目标会话的第二标识；第二AMF向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系；第二AMF向终端发送N个对应关系信息。基于上述技术方案，在切换流程中，终端与第二接入网设备均能获取到N个对应关系信息。这样一来，在切换完成之后，由于对应关系信息用于指示目标会话的第一标识和第二标识之间的对应关系，从而终端与第二接入网设备在发送目标会话的报文时，目标会话的报文不携带第一标识，而是携带第二标识，从而避免目标会话被攻击者追踪，保证目标会话的安全性。
一种可能的设计中，第二AMF接收第一AMF发送的M个会话的信息，包括：第二AMF接收到注册请求，注册请求包括终端的标识；第二AMF向第一AMF发送上下文建立请求，上下文建立请求用于请求终端的会话的信息；第二AMF接收第一AMF发送的M个会话的信息。
一种可能的设计中，第二AMF从M个会话中确定N个目标会话，包括：第二AMF向网络设备发送M个会话信息；之后，第二AMF接收网络设备发送的N个目标会话信息。示例性的，网络设备可以为第二接入网设备或者会话管理功能网元(session management function，SMF)。
一种可能的设计中，第二AMF确定N个目标会话中每一个目标会话的第二标识，包括：第二AMF向网络设备发送N个目标会话的信息；之后，第二AMF接收网络设备发送的N个对应关系信息。
一种可能的设计中，第二AMF向终端发送N个对应关系信息，包括：第二AMF通过第二接入网设备向终端发送N个对应关系信息。
一种可能的设计中，第二AMF向终端发送N个对应关系信息，包括：第二AMF通过第一接入网设备以及第一AMF向终端发送N个对应关系信息。
第三方面，提供一种安全保护方法，包括：AMF接收MME发送的M个承载的信息；AMF将M个承载的信息发送给SMF；AMF从SMF接收M个会话的信息，M个会话的信息与M个承载的信息一一对应，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数；AMF从M个会话中确定N个目标会话，N小于或等于M，N为正整数；AMF确定N个目标会话中每一个目标会话的第二标识；AMF向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系；AMF向终端发送N个对应关系信息。基于该技术方案，在切换流程中，终端与第二接入网设备均能获取到N个对应关系信息。这样一来，在切换完成之后，由于对应关系信息用于指示目标会话的第一标识和第二标识之间的对应关系，从而终端与第二接入网设备在发送目标会话的报文时，目标会话的报文不携带第一标识，而是携带第二标识，从而避免目标会话被攻击者追踪，保证目标会话的安全性。
一种可能的设计中，在AMF接收MME发送的M个承载的信息之前，包括：MME接收到切换请求，该切换请求用于指示将终端从第一接入网设备切换到第二接入网设备，该切换请求包括M个承载的信息。
一种可能的设计中，在AMF接收MME发送的M个承载的信息之前，包括：AMF接收注册请求，该注册请求包括终端的标识；AMF向MME发送上下文建立请求，该上下文建立请求用于请求终端的承载的信息。
一种可能的设计中，AMF从M个会话中确定N个目标会话，包括：AMF向网络设备发送M个会话信息；之后，AMF接收网络设备发送的N个目标会话信息。示例性的，网络设备可以为第二接入网设备或者会话管理功能网元(session management function，SMF)。
一种可能的设计中，AMF确定N个目标会话中每一个目标会话的第二标识，包括：第二AMF向网络设备发送N个目标会话的信息；之后，AMF接收网络设备发送的N个对应关系信息。
一种可能的设计中，AMF向终端发送N个对应关系信息，包括：AMF通过第二接入网设备向终端发送N个对应关系信息。
一种可能的设计中，第二AMF向终端发送N个对应关系信息，包括：AMF通过第一接入网设备以及MME向终端发送N个对应关系信息。
第四方面，提供一种安全保护的方法，包括：第一接入网设备从终端的M个会话中确定N个目标会话，N小于或等于M，M、N均为正整数；第一接入网设备确定N个目标会话中每一个目标会话的第二标识；第一接入网设备向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系；第一接入网设备向终端发送N个对应关系信息。基于该技术方案，终端与第二接入网设备均能获取到N个对应关系信息。这样一来，在切换完成之后，由于对应关系信息用于指示目标会话的第一标识和第二标识之间的对应关系，从而终端与第二接入网设备在发送目标会话的报文时，目标会话的报文不携带第一标识，而是携带第二标识，从而避免目标会话被攻击者追踪，保证目标会话的安全性。
一种可能的设计中，在第一接入网设备从终端的M个会话中确定N个目标会话之前，该方法还包括：第一接入网设备确定发起切换流程。
第五方面，提供一种安全保护的方法，包括：第一AMF接收第一接入网设备发送的切换请求，切换请求用于指示将终端从第一接入网设备切换到第二接入网设备，切换请求包括M个会话的信息，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数；第一AMF从M个会话中确定N个目标会话，N小于或等于M，M、N均为正整数；第一AMF确定N个目标会话中每一个目标会话的第二标识；第一AMF通过第二AMF向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系；第一AMF通过第一接入网设备向终端发送N个对应关系信息。基于该技术方案，在切换流程中，终端与第二接入网设备均能获取到N个对应关系信息。这样一来，在切换完成之后，由于对应关系信息用于指示目标会话的第一标识和第二标识之间的对应关系，从而终端与第二接入网设备在发送目标会话的报文时，目标会话的报文不携带第一标识，而是携带第二标识，从而避免目标会话被攻击者追踪，保证目标会话的安全性。
第六方面，提供一种通信装置，包括：接收模块、处理模块和发送模块。所述通信装置用于执行上述第一方面或第五方面任一项所述的方法。
第七方面，提供一种通信装置，包括：处理器，所述处理器用于与存储器耦合，并读取存储器中的指令，并根据所述指令实现如上述第一方面至第五方面任一项所述的方法。
第八方面，提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在通信装置上运行时，使得通信装置可以执行上述第一方面至第五方面任一项所述的方法。
第九方面，提供一种包含指令的计算机程序产品，当其在通信装置上运行时，使得通信装置可以执行上述第一方面至第五方面任一项所述的方法。
第十方面，提供一种芯片，该芯片包括处理模块和通信接口，通信接口用于将接收的代码指令传输至处理模块，处理模块用于运行所述代码指令支持通信装置执行上述第一方面至第五方面任一项所述的方法。该代码指令可以来自芯片内容的存储器，也可以来自芯片外部的存储器。可选的，处理模块可以为该芯片上集成的处理器或者微处理器或者集成电路。通信接口可以为芯片上的输入输出电路或者收发管脚。
其中，第六方面至第十方面中任一种设计方式所带来的技术效果可参见上文所提供的对应的方法中的有益效果同设计方式所带来的技术效果，此处不再赘述。
附图说明
图1为本申请实施例提供的一种通信系统的架构示意图；
图2为本申请实施例提供的一种通信装置的结构示意图；
图3为本申请实施例提供的一种安全保护方法的流程图；
图4为本申请实施例提供的另一种安全保护方法的流程图；
图5为本申请实施例提供的另一种安全保护方法的流程图；
图6为本申请实施例提供的另一种安全保护方法的流程图；
图7为本申请实施例提供的另一种安全保护方法的流程图；
图8为本申请实施例提供的另一种安全保护方法的流程图；
图9为本申请实施例提供的另一种安全保护方法的流程图；
图10为本你申请实施例提供的一种通信装置的结构示意图。
具体实施方式
为例便于理解本申请的技术方案，下面先对一些概念进行简单介绍。
1、第一接入网设备、第二接入网设备、第一AMF、第二AMF
第一接入网设备即为终端在切换前连接的接入网设备。第一接入网设备还可以称为源接入网设备。
第二接入网设备为终端在切换后连接的接入网设备，或者，第二接入网设备在终端重新注册后连接的接入网设备。第二接入网设备还可以称为目标接入网设备。
第一AMF为切换前为终端提供服务的AMF。第一AMF还可以称为源AMF。
第二AMF为切换后为终端提供服务的AMF。第二AMF还可以称为目标AMF。
2、会话的第一标识、第二标识
可选的，会话的第一标识为以下参数中的一项：终端与UPF之间链路的标识、终端与UPF之间链路的隧道标识、切片标识，会话标识、UPF的地址、UPF的标识，终端的标识、服务质量(quality of service，QoS)流(flow)标识、承载标识。其中，上述UPF的地址包括：UPF的互联网协议(internet protocol，IP)地址、UPF的介质访问控制(media accesscontrol，MAC)地址、或者UPF的实例(instance)标识。上述承载标识包括：无线承载的标识、演进分组系统(evolved packet system，EPS)承载的标识、演进的无线接入承载(EvolvedRadio Access Bearer，E-RAB)标识或者未来网络承载的标识。
会话的第二标识与会话的第一标识具有对应关系。会话的第二标识用于保证会话的安全性。可以理解的是，在本申请实施例中，会话的第二标识不要求体现会话的相关信息，即使攻击者截取到会话的第二标识，由于攻击者不知道会话的第二标识与会话的第一标识之间的对应关系，因此攻击者不能通过该会话的第二标识，追踪会话。
会话的第二标识可以为采用一定推衍规则生成的值，也可以为随机生成的随机数，也可以采用一些已有标识，例如，终端所在小区的相关标识，小区终端标识，无线网络临时标识(radio network temporary identity，RNTI)，或者载频频点，又或者空口资源相关的标识等。示例性的，载频频点可以为5G的载频频点，或者4G的载频频点等。其中，4G的载频频点又可以称为长期演进无线接入网络绝对无线电频道号码(E-UTRA absolute radiofrequency channel number，EARFCN)。其中，无线网络临时标识可以为小区无线网络临时标识(cell radio network temporary identity，C-RNTI)，临时C-RNTI，寻呼RNTI，多播广播RNTI，非激活RNTI等，不做限制。
在本申请的描述中，除非另有说明，“/”表示“或”的意思，例如，A/B可以表示A或B。本文中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。此外，“至少一个”是指一个或多个，“多个”是指两个或两个以上。“第一”、“第二”等字样并不对数量和执行次序进行限定，并且“第一”、“第二”等字样也并不限定一定不同。
需要说明的是，本申请中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其他实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。
此外，本申请实施例描述的网络架构以及业务场景是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。
本申请实施例提供的技术方案可以应用于各种通信系统，例如，采用第五代(5thgeneration，5G)通信技术的新空口(new radio，NR)通信系统，未来演进系统或者多种通信融合系统等等。本申请提供的技术方案可以应用于多种应用场景，例如，机器对机器(machine to machine，M2M)、宏微通信、增强型移动互联网(enhanced mobile broadband，eMBB)、超高可靠超低时延通信(ultra-reliable&low latency communication，uRLLC)以及海量物联网通信(massive machine type communication，mMTC)等场景。
如图1所示，为本申请实施例提供的一种通信系统的架构示意图。通信系统包括：终端、接入网(access network，AN)设备、以及核心网(core network)。
其中，终端用于向用户提供语音和/或数据连通性服务。所述终端可以有不同的名称，例如用户设备(user equipment，UE)、接入终端、终端单元、终端站、移动站、移动台、远方站、远程终端、移动设备、无线通信设备、终端代理或终端装置等。可选的，所述终端可以为各种具有通信功能的手持设备、车载设备、可穿戴设备、计算机，本申请实施例对此不作任何限定。例如，手持设备可以是智能手机、虚拟现实(virtual reality，VR)设备。车载设备可以是车载导航系统。可穿戴设备可以是智能手环。计算机可以是个人数字助理(personal digital assistant，PDA)电脑、平板型电脑以及膝上型电脑(laptopcomputer)。
接入网设备可以是无线通信或者有线通信的接入点，例如基站或基站控制器，无线保真(wireless-fidelity，wifi)的接入点或者wifi控制器，或者固网接入的接入点等。其中，所述基站可以包括各种类型的基站，例如：微基站(也称为小站)，宏基站，中继站，接入点等，本申请实施例对此不作具体限定。在本申请实施例中，所述基站可以是全球移动通信系统(global system for mobile communication，GSM)，码分多址(code divisionmultiple access，CDMA)中的基站(base transceiver station，BTS)，宽带码分多址(wideband code division multiple access，WCDMA)中的基站(node B)，长期演进(longterm evolution，LTE)中的演进型基站(evolutional node B，eNB或e-NodeB)，物联网(internet of things，IoT)或者窄带物联网(narrow band-internet of things，NB-IoT)中的eNB，未来5G移动通信网络或者未来演进的公共陆地移动网络(public land mobilenetwork，PLMN)中的基站，本申请实施例对此不作任何限制。
核心网作为承载网络提供终端到数据网络(data network，DN)的接口，为终端提供通信连接、认证、管理、策略控制以及对数据业务完成承载等。核心网包括各种核心网设备，例如接入与移动管理功能网元(access and mobility management function，AMF)、UPF、SMF等。
其中，AMF用于负责终端接入网络的接入控制和移动性管理，AMF与接入网设备之间通过N2接口通信。
SMF用于管理用户的分组数据单元(packet data unit，PDU)会话和QoS flow，为UPF制定包检测和转发规则等。
UPF用于负责用户的数据的路由和转发等功能。
上述AMF、SMF以及UPF仅是一个名称，对设备本身不构成限定。可以理解的是，在5G网络以及未来其它的网络中，AMF、SMF以及UPF也可以是其他的名称，本申请实施例对此不作具体限定。例如，UPF还可以被称为UPF网元或者UPF实体，在此进行统一说明，以下不再赘述。
可选的，核心网设备可以由一个设备实现，也可以由多个设备共同实现，还可以是一个设备内的一个功能模块，本申请实施例对此不作具体限定。可以理解的是，上述功能模块既可以是硬件设备中的网络元件，也可以是在专用硬件上运行的软件功能模块，或者是平台(例如，云平台)上实例化的虚拟化功能模块。
图1中的终端、接入网设备以及核心网设备可以通过图2中的通信装置来实现。如图2所示，该通信装置包括：至少一个处理器101，通信线路102，存储器103以及至少一个通信接口104。
处理器101可以是一个通用中央处理器(central processing unit，CPU)，微处理器，特定应用集成电路(application-specific integrated circuit，ASIC)，或一个或多个用于控制本申请方案程序执行的集成电路。
通信线路102可包括一通路，在上述组件之间传送信息。
通信接口104，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如以太网，RAN，无线局域网(wireless local area networks，WLAN)等。
存储器103可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasable programmable read-only memory，EEPROM)、只读光盘(compact disc read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过通信线路102与处理器相连接。存储器也可以和处理器集成在一起。本申请实施例提供的存储器通常可以具有非易失性。其中，存储器103用于存储执行本申请方案的计算机执行指令，并由处理器101来控制执行。处理器101用于执行存储器103中存储的计算机执行指令，从而实现本申请下述实施例提供的方法。
可选的，本申请实施例中的计算机执行指令也可以称之为应用程序代码，本申请实施例对此不作具体限定。
在具体实现中，作为一种实施例，处理器101可以包括一个或多个CPU，例如图2中的CPU0和CPU1。
在具体实现中，作为一种实施例，通信装置可以包括多个处理器，例如图2中的处理器101和处理器107。这些处理器中的每一个可以是一个单核(single-CPU)处理器，也可以是一个多核(multi-CPU)处理器。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。
在具体实现中，作为一种实施例，通信装置还可以包括输出设备105和输入设备106。输出设备105和处理器101通信，可以以多种方式来显示信息。例如，输出设备105可以是液晶显示器(liquid crystal display，LCD)，发光二级管(light emitting diode，LED)显示设备，阴极射线管(cathode ray tube，CRT)显示设备，或投影仪(projector)等。输入设备106和处理器101通信，可以以多种方式接收用户的输入。例如，输入设备106可以是鼠标、键盘、触摸屏设备或传感设备等。
下面结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。
实施例一
如图3所示，本申请实施例提供的一种安全保护方法，应用于终端与接入网设备之间发生切换的场景下。切换请求可以通过两个接入网设备之间的接口传输。两个接入网设备之间的接口可以称为Xn接口。下文为了便于描述，将图3所涉及的切换场景简称为Xn切换(或者Xn接口切换)。图3所示的方法包括以下步骤：
S101、第一接入网设备向第二接入网设备发送切换请求。
其中，所述切换请求用于指示将终端从第一接入网设备切换到第二接入网设备。
所述切换请求包括M个会话的信息，M为正整数。其中，会话的信息包括会话的第一标识。可选的，会话的信息还包括以下参数中的至少一项：、会话类型、接入类型、以及数据网络名称(data network name，DNN)和单网络切片选择辅助信息(single network sliceselection assistance information，S-NSSAI)。
在本申请实施例中，所述切换请求还可以包括终端的标识和切片标识(identity，ID)中的至少一项。
需要说明的是，第一接入网设备发起切换流程的原因可参考现有技术中的描述，在此不予赘述。例如，当第一接入网设备检测到终端移动出第一接入网设备所覆盖的区域时，第一接入网设备可以发起切换流程。
S102、第二接入网设备从M个会话中确定N个目标会话。
其中，N个目标会话是M个会话的非零子集。N小于或等于M，N为正整数。
在本申请实施例中，目标会话是需要终端到UPF的安全保护的会话。或者说，目标会话是需要分配第二标识的会话。
实现方式一、M个会话均默认为目标会话。
可选的，协议定义终端所有的会话均为目标会话。或者，网络预先配置终端所有的会话均为目标会话。例如，核心网设备可以发送指示信息，以通知第二接入网设备将所述M个会话均确定为目标会话。
实现方式二、对于M个会话中的每一个会话来说，第二接入网设备根据会话的信息所包含的至少一项参数，确定该会话是否是目标会话。
例如，第二接入网设备根据会话的信息所包含的会话类型，确定会话是否是目标会话。举例来说，若会话属于第一会话类型，则第二接入网设备确定该会话为目标会话；若会话属于第二会话类型，则第二接入网设备确定该会话不为目标会话。
又例如，第二接入网设备根据会话的信息所包含的S-NSSAI和/或DNN，确定会话是否是目标会话。举例来说，第二接入网设备预先配置白名单信息，所述白名单信息包括一个或多个S-NSSAI。可以理解的是，若会话的信息包含的S-NSSAI位于所述白名单信息中，则所述会话为目标会话。若会话的信息包含的S-NSSAI部位与所述白名单信息中，则所述会话不为目标会话。
实现方式三、对于M个会话中的每一个会话来说，第二接入网设备根据会话对应的第一指示信息，确定该会话是否是目标会话。其中，该第一指示信息用于指示会话是否是目标会话。
可选的，会话对应的第一指示信息可以承载于会话的信息中。
又或者，会话对应的第一指示信息是第二接入网设备从其他网络设备(例如接入网设备或者核心网设备)获取到的。例如，第二接入网设备可以将会话的信息中的全部或者一部分发送给其他网络设备，以便于其他网络设备确定该会话是否目标会话；之后，第二接入网设备接收其他网络设备发送的第一指示信息。可以理解的是，其他网络设备可以参照上述实现方式二，确定会话是否是目标会话。
可选的，该第一指示信息可以以一个或多个比特来表示。以1个比特为例，“0”表示会话为目标会话，“1”表示会话不为目标会话。
实现方式四、对于M个会话中的每一个会话来说，若该会话的信息携带第二指示信息，则第二接入网设备确定该会话为目标会话。若该会话的信息未携带第二指示信息，则第二接入网设备确定该会话不为目标会话。
实现方式五、第二接入网设备根据第三指示信息，确定M个会话是否均为目标会话。其中，该第三指示信息用于指示M个会话是否均为目标会话。
可选的，第三指示信息承载于切换请求中。
又或者，第三指示信息是第二接入网设备从其他网络设备获取到的。例如，第二接入网设备可以将M个会话的信息发送给其他网络设备。之后，第二接入网设备接收其他网络设备发送的第三指示信息。
可选的，该第三指示信息可以以一个或多个比特来表示。以1个比特为例，“0”表示M个会话均为目标会话，“1”表示M个会话不都是目标会话。
可以理解的是，在M个会话不都是目标会话的情况下，第二接入网设备可以根据上述实现方式一至实现方式四，从M个会话中确定N个目标会话。
实现方式六、若第二接入网设备接收到第四指示信息，则第二接入网设备确定M个会话均为目标会话；若第二接入网设备未接收到第四指示信息，则第二接入网设备确定M个会话不都是目标会话。
可以理解的是，在M个会话不都是目标会话的情况下，第二接入网设备可以根据上述实现方式一至实现方式四，从M个会话中确定N个目标会话。
可选的，第四指示信息可以承载于切换请求中，也可以承载于其他信令中。
可以理解的是，采用实现方式五或者实现方式六，第一接入网设备可以通过一个第三指示信息或者第四指示信息，使得第二接入网设备获知M个会话均为目标会话，从而有利于节省信令开销。
以上实现方式一至实现方式六为第二接入网设备确定目标会话的方法示例，不构成具体限定。
S103、第二接入网设备确定N个目标会话中每一个目标会话的第二标识。
对于每一个目标会话来说，第二接入网设备可以按照预设规则，生成目标会话的第二标识。所述预设规则为预先配置的，或者是协议中定义的。例如，以预设规则为加密算法为例，第二接入网设备根据预设的加密算法，对目标会话的第一标识进行加密，生成目标会话的第二标识。又例如，以预设规则为哈希类型算法为例，第二接入网设备根据预设的哈希类型算法，对目标会话的第一标识进行哈希运算，生成目标会话的第二标识。其中，哈希类型算法是基于哈希算法或者扩展的哈希算法设计的函数。
又或者，对于每一个目标会话来说，第二接入网设备可以从其他网络设备获取目标会话的第二标识。例如，第二接入网设备向网络设备发送第五指示信息，所述第五指示信息包括目标会话的信息，所述第五指示信息用于使网络设备生成目标会话的第二标识；之后，第二接入网设备接收网络设备发送的目标会话的第二标识。
可以理解的是，对于每一个目标会话来说，第二接入网设备会存储目标会话的第二标识与目标会话的第一标识之间的对应关系。一方面，第二接入网设备向终端发送的目标会话的报文中携带该第二标识，而不是携带第一标识，避免会话被攻击者追踪，保证会话的安全性。另一方面，在第二接入网设备接收到目标会话的报文之后，第二接入网设备根据目标会话的第一标识与目标会话的第二标识之间的对应关系，以目标会话的第一标识替换目标会话的报文所包含的第二标识，以保证终端发送的目标会话的报文能够在核心网中正常传输。
S104、第二接入网设备向第一接入网设备发送N个对应关系信息。
其中，N个对应关系信息与N个目标会话一一对应。对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系；或者说，所述对应关系信息用于指示对应的目标会话与第二标识之间的对应关系。可选的，对应关系信息包括目标会话的第一标识，以及目标会话的第二标识。
可以理解的是，所述N个对应关系信息可以各自独立的发送，也可以封装在一个信令中一起发送。
作为一种实现方式，第二接入网设备向第一接入网设备发送切换请求响应信息，所述切换请求响应信息携带N个对应关系信息。
S105、第一接入网设备向终端发送N个对应关系信息。
作为一种实现方式，第一接入网设备向终端发送切换命令信息。其中，所述切换命令信息用于请求终端切换终端与接入网设备之间的接口，所述切换命令信息携带N个对应关系信息。需要说明的是，终端与接入网设备之间的接口可以为终端与4G接入网设备之间接口(例如UU接口)，或者终端与5G接入网设备之间接口，或者终端与未来网络接入网设备之间接口，本申请实施例对此不作任何限制。终端与接入网设备之间的接口又可以称为空中接口。
可选的，在接收到切换命令信息之后，终端发送切换完成消息至第二接入网设备，完成切换。
需要说明的是，对于每一个目标会话来说，终端会存储目标会话的第二标识与目标会话的第一标识之间的对应关系。一方面，终端向第二接入网设备发送的目标会话的报文中携带该第二标识，而不是携带第一标识，避免会话被攻击者追踪，保证会话的安全性。另一方面，在终端接收到目标会话的报文之后，终端根据目标会话的第一标识与目标会话的第二标识之间的对应关系，以目标会话的第一标识替换目标会话的报文所包含的第二标识，以确定该报文所属的会话。
可选的，如图3所示，上述步骤S102-S103可替换为步骤S201-S204。
S201、第二接入网设备向核心网设备发送M个会话的信息。
可选的，所述核心网设备可以为AMF。
S202、核心网设备从M个会话中确定N个目标会话。
S203、核心网设备确定N个目标会话中每一个目标会话的第二标识。
S204、核心网设备向第二接入网设备发送N个对应关系信息。
基于图3所示的技术方案，在第一接入网设备触发Xn切换流程的场景下，终端与第二接入网设备均能获取到N个对应关系信息，从而在切换之后，对于这N个目标会话中的每一个目标会话，终端与第二接入网设备能够保证会话的安全性。
实施例二
如图4所示，为本申请实施例提供的另一种安全保护方法，该方法应用于终端与接入网设备之间发生切换的场景下。切换请求可以通过两个AMF之间的接口(例如N2接口)传输。下文为了便于描述，将图3所涉及的切换场景简称为N2切换(或者N2接口切换)。图4所示的方法包括以下步骤：
S301、第一接入网设备向第一AMF发送切换请求，所述切换请求包括M个会话的信息。
S302、第一AMF向第二AMF发送M个会话的信息。
作为一种实现方式，第一AMF向第二AMF发送上下文建立请求信息，该上下文建立请求信息包括M个会话的信息。
S303、第二AMF从所述M个会话中确定N个目标会话。
S304、第二AMF确定N个目标会话中每一个目标会话的第二标识。
S305、第二AMF向第二接入网设备发送N个对应关系信息。
作为一种实现方式，第二AMF向第二接入网设备发送切换请求，该切换请求携带N个对应关系信息。可选的，在第二接入网设备在接收到第二AMF发送的切换请求之后，第二接入网设备向第二AMF发送切换请求响应信息。
S306、第二AMF向第一AMF发送N个对应关系信息。
作为一种实现方式，第二AMF向第一AMF发送上下文建立响应信息，该上下文建立响应信息包含N个对应关系信息。
需要说明的是，本申请实施例不限制步骤S305和S306的执行顺序。例如，可以先执行步骤S306，再执行步骤S305。又例如，可以同时执行步骤S305和S306。
S307、第一AMF向第一接入网设备发送N个对应关系信息。
作为一种实现方式，第一AMF向第一接入网设备发送切换请求响应信息，该切换请求响应信息携带N个对应关系信息。
S308、第一接入网设备向终端发送N个对应关系信息。
基于图4所示的技术方案，在第一接入网设备触发N2接口切换流程的场景下，终端与第二接入网设备均能获取到N个对应关系信息，从而在切换之后，对于这N个目标会话中的每一个目标会话，终端与第二接入网设备能够保证会话的安全性。
可选的，如图4所示，上述步骤S303-S305可替换为步骤S401-S405。
S401、第二AMF向SMF发送M个会话信息。
作为一种实现方式，在第一接入网设备发送的切换请求携带第二指示信息的情况下，所述第二AMF向SMF发送第二指示信息和M个会话的信息。
S402、SMF从所述M个会话中确定N个目标会话。
可选的，步骤S401-S402可替换为：第二AMF从所述M个会话中确定N个目标会话；之后，第二AMF向SMF发送N个目标会话的信息。
S403、SMF确定N个目标会话中每一个目标会话的第二标识。
S404、SMF向第二AMF发送N个对应关系信息。
S405、第二AMF向第二接入网设备发送N个对应关系信息。
或者，如图4所示，上述步骤S303-S305可替换为步骤S501-S504。
S501、第二AMF向第二接入网设备发送M个会话信息。
作为一种实现方式，第二AMF向第二接入网设备发送切换请求，该切换请求携带M个会话的信息。
S502、第二接入网设备从所述M个会话中确定N个目标会话。
可选的，在本申请实施例中，步骤S501-S502还可以替换为以下实现方式：第二AMF从所述M个会话中确定N个目标会话；之后，第二AMF向第二接入网设备发送N个目标会话的信息。
S503、第二接入网设备确定N个目标会话中每一个目标会话对应的第二标识。
S504、第二接入网设备向第二AMF发送N个对应关系信息。
作为一种实现方式，第二接入网设备向第二AMF发送切换请求响应信息，该切换请求响应信息携带N个对应关系信息。
实施例三
在图4中，N2切换流程由第一接入网设备触发。在实际的应用场景中，切换流程还可以由终端来触发。可选的，如图5所示，为本申请实施例提供的一种安全保护方法，应用于终端触发N2切换流程的场景下。该方法包括以下步骤：
S601、终端通过第二接入网设备向第二AMF发送注册请求。
其中，所述注册请求用于接入到网络。所述注册请求包括终端的标识。
可选的，步骤S601包括以下步骤：S601a和S601b。
S601a、终端向第二接入网设备发送注册请求。
S601b、第二接入网设备向第二AMF发送注册请求。
S602、第二AMF向第一AMF发送上下文建立请求。
其中，所述上下文建立请求用于请求终端的会话信息，以使第二AMF可以重用已有的会话信息。
在本申请实施例中，第二AMF根据注册请求所包含的终端的标识，确定第一AMF。
S603、第一AMF向第二AMF发送M个会话的信息。
S604、第二AMF从所述M个会话中确定N个目标会话。
S605、第二AMF确定N个目标会话中每一个目标会话的第二标识。
S606、第二AMF向第二接入网设备发送N个对应关系信息
S607、第二接入网设备向终端发送N个对应关系信息。
基于图5所示的技术方案，在终端触发N2切换流程的场景下，终端与第二接入网设备均能获取到N个对应关系信息，从而在切换之后，对于这N个目标会话中的每一个目标会话，终端与第二接入网设备能够保证会话的安全性。
可选的，如图5所示，步骤S604-S606可替换为步骤S701-S705。其中，步骤S701-S705可参考图4中步骤S401-S405的相关描述，在此不再赘述。
或者，如图5所示，步骤S604-S606可替换为步骤S801-S803。其中，步骤S801-S803可参考图4中步骤S501-S503的相关描述，在此不再赘述。
实施例四
如图6所示，为本申请实施例提供的一种安全保护方法，该方法应用于通信系统切换的场景下，例如终端从4G通信系统切换到5G通信系统。该方法包括以下步骤：
S901、第一接入网设备向移动控制节点(mobility management entity，MME)发送切换请求。
其中，所述切换请求包括M个承载的信息。所述承载的信息包括：终端的标识、承载标识、S-NSSAI、接入类型、接入网络标识、目标网络IP地址、分组数据网(packet datanetwork，PDN)类型、公用数据网(public data network，PDN)类型和DNN中的至少一项。
需要说明的是，MME是LTE通信系统中的关键控制节点，用于负责接入控制、移动性管理、附着与去附着等功能。
S902、MME向AMF发送M个承载的信息。
S903、AMF向SMF发送M个承载的信息。
S904、SMF根据M个承载的信息，确定M个会话的信息。
其中，M个承载的信息与M个会话的信息一一对应。也就是说，M个承载的信息中的一个承载的信息对应于M个会话的信息中的一个会话的信息。
需要说明的是，承载的信息与会话的信息的主要区别在于，承载的信息包括承载标识，会话的信息包括会话的第一标识。因此，SMF可以根据预设映射规则，将承载标识映射为对应的会话的第一标识，以确定会话的信息。
S905、SMF从所述M个会话中确定N个目标会话。
可选的，步骤S1005可具体实现为：SMF将M个会话的信息发送给AMF；AMF从所述M个会话中确定N个目标会话；AMF将N个目标会话的信息发送给SMF，以使得SMF从所述M个会话中确定N个目标会话。
S906、SMF确定N个目标会话中每一个目标会话的第二标识。
S907、SMF向AMF发送N个对应关系信息。
可选的，在本申请实施例中，步骤S906和S907还可以替换为以下实现方式：SMF向AMF发送N个目标会话的信息；之后，AMF确定N个目标会话中每一个目标会话的第二标识。
S908、AMF向第二接入网设备发送N个对应关系信息。
S909、AMF向MME发送N个对应关系信息。
需要说明的是，本申请实施例中不限制步骤S908和S909的执行顺序。例如，可以先执行步骤S909，再执行步骤S908。又例如，可以同时执行步骤S908和S909。
S910、MME向第一接入网设备发送N个对应关系信息。
S911、第一接入网设备向终端发送所述N个对应关系信息。
基于图6所示的技术方案，在第一接入网设备触发通信系统切换的场景下，终端与第二接入网设备均能获取到N个对应关系信息，从而在切换之后，对于这N个目标会话中的每一个目标会话，终端与第二接入网设备能够保证会话的安全性。
可选的，图6中的步骤S905-S908可替换为步骤S1001-S1004。
S1001、SMF向AMF发送M个会话的信息。
S1002、AMF从所述M个会话中确定N个目标会话。
S1003、AMF确定N个目标会话中每一个目标会话的第二标识。
S1004、AMF向第二接入网设备发送N个对应关系。
或者，图6中的步骤S905-S908可替换为步骤S1101-S1105。
S1101、SMF向AMF发送M个会话的信息。
S1102、AMF向第二接入网设备发送M个会话的信息。
S1103、第二接入网设备从所述M个会话中确定N个目标会话。
可选的，在本申请实施例中，步骤S1102和S1103还可以替换为以下实现方式：AMF从所述M个会话中确定N个目标会话；之后，AMF向第二接入网设备发送N个目标会话的信息。
S1104、第二接入网设备确定N个目标会话中每一个目标会话的第二标识。
S1105、第二接入网设备向AMF发送N个对应关系信息。
实施例五
在图6中，通信系统的切换流程由第一接入网设备触发。在实际的应用场景中，通信系统切换流程还可以由终端来触发。可选的，如图7所示，为本申请实施例提供的一种安全保护方法，应用于终端触发通信系统的切换流程的场景下。该方法包括以下步骤：
S1201、终端通过第二接入网设备向AMF发送注册请求。
其中，所述注册请求用于接入到网络。所述注册请求包括终端的标识。所述注册请求包括终端的标识。
可选的，步骤S1201包括以下步骤S1201a和S1201b。
S1201a、终端向第二接入网设备发送注册请求。
S1201b、第二接入网设备向AMF发送注册请求。
S1202、AMF向MME发送上下文建立请求。
在本申请实施例中，AMF根据注册请求所包含的终端的标识，确定MME。
其中，所述上下文建立请求用于请求终端的承载的信息。
S1203、MME向AMF发送M个承载的信息。
S1204、AMF向SMF发送M个承载的信息。
S1205、SMF根据M个承载的信息，确定M个会话的信息。
S1206、SMF从M个会话中确定N个目标会话。
S1207、SMF确定N个目标会话中每一个目标会话的第二标识。
S1208、SMF向AMF发送N个对应关系信息。
S1209、SMF向第二接入网设备发送N个对应关系信息。
其中，上述步骤S1204-S1209的相关描述可参考图6中的步骤S903-S908，在此不再赘述。
S1210、第二接入网设备向终端发送N个对应关系信息。
基于图7的技术方案，在终端触发通信系统切换流程的场景下，终端与第二接入网设备均能获取到N个对应关系信息，从而在切换之后，对于这N个目标会话中的每一个目标会话，终端与第二接入网设备能够保证会话的安全性。
可选的，步骤S1206-S1209可替换为步骤S1301-S1304。其中，步骤S1301-S1304的相关描述可参考图6中的步骤S1001-S1004，在此不再赘述。
或者，步骤S1206-S1209可替换为步骤S1401-S1404。其中，步骤S1401-S1404的相关描述可参考图6中的步骤S1101-S1104，在此不再赘述。
实施例六
如图8所示，为本申请实施例提供的另一种安全保护的方法，该方法包括以下步骤S1501-S1505：
S1501、第一接入网设备确定发起切换流程。
例如，第一接入网设备可以根据终端是否移动出第一接入网设备所覆盖的区域，以确定是否发起切换流程。也即，当终端移动出第一接入网设备所覆盖的区域时，第一接入网设备发起切换流程。
S1502、第一接入网设备从终端的M个会话中确定N个目标会话。
S1503、第一接入网设备确定N个目标会话中每一个目标会话的第二标识。
S1504、第一接入网设备向第二接入网设备发送N个对应关系信息。
可选的，所述N个对应关系信息可承载于切换请求中。
在Xn接口切换的场景下，第一接入网设备直接向第二接入网设备发送所述N个对应关系信息。
在N2接口切换的场景下，第一接入网设备向第一AMF发送所述N个对应关系信息；之后，第一AMF向第二AMF发送所述N个对应关系信息；第二AMF向第二接入网设备发送N个对应关系信息。
S1505、第一接入网设备向终端发送N个对应关系信息。
需要说明的是，本申请实施例不限制步骤S1504和S1505的执行顺序。例如，可以先执行步骤S1505，再执行步骤S1504。又例如，可以同时执行步骤S1504和步骤S1505。
基于图8的技术方案，在切换过程中，终端与第二接入网设备均能获取到N个对应关系信息，从而在切换之后，对于这N个目标会话中的每一个目标会话，终端与第二接入网设备能够保证该目标会话的安全性。
实施例七
如图9所示，为本申请实施例提供的另一种安全保护的方法，应用于N2接口切换的场景下，该方法包括以下步骤S1601-S1607：
S1601、第一接入网设备向第一AMF发送切换请求，所述切换请求包括M个会话的信息。
S1602、第一AMF从终端的M个会话中确定N个目标会话。
S1603、第一AMF确定N个目标会话中每一个目标会话的第二标识。
S1604、第一AMF向第二AMF发送N个对应关系信息。
S1605、第二AMF向第二接入网设备发送N个对应关系信息。
S1606、第一AMF向第一接入网设备发送N个对应关系信息。
S1607、第一接入网设备向终端发送N个对应关系信息。
需要说明的是，本申请实施例不限制步骤S1604-S1605与S1606-S1607的执行顺序。例如，可以先执行步骤S1606-S1607，在执行步骤S1604-S1605；或者，同时执行步骤S1604-S1605和步骤S1606-S1607。
基于图9的技术方案，在切换过程中，终端与第二接入网设备均能获取到N个对应关系信息，从而在切换之后，对于这N个目标会话中的每一个目标会话，终端与第二接入网设备能够保证该目标会话的安全性。
需要说明的是，在图3至图9的技术方案中，第一接入网设备(或者第二接入网设备)发送给终端的N个对应关系信息可承载于无线资源控制(radio resource control，RRC)信令、介质访问控制(media access control，MAC)-控制单元(control element，CE)信令、或者下行控制信息(downlink control information，DCI)中。
在图3至图9所示的技术方案中，任一设备(例如第一AMF、第二AMF等)从M个会话中确定N个目标会话的实现方式均可参考步骤S102，在此不再赘述。任一设备确定目标会话的第二标识的实现方式均可参考步骤S103，在此不再赘述。
可选的，在图3至图9所示的技术方案中，终端在接收到N个对应关系信息之后，终端向第二接入网设备和/或第一接入网设备发送切换完成信息。
可选的，在图3至图9所示的技术方案中，在第二接入网设备接收到终端发送的切换完成信息之后，第二接入网设备向AMF发送所述N个对应关系信息，以使得AMF保存所述N个对应关系信息。
可选的，在图3至图9所示的技术方案中，SMF所执行的步骤可以由其他核心网设备来执行，例如UPF。
图3至图9所示的技术方案仅介绍了目标会话的相关流程，对于非目标会话可以采用现有技术中的方案执行相应的切换操作，在此不予赘述
图3至图9所示的技术方案仅介绍了切换流程中与本申请实施例相关的步骤，切换流程中的其他步骤可参考现有技术，在此不予赘述。
上述技术方案中的各个步骤可由通信装置执行，或者通信装置中的芯片来执行。
上述主要从每一个网元之间交互的角度对本申请实施例提供的方案进行了介绍。可以理解的是，每一个网元，例如接入网设备和核心网设备，为了实现上述功能，其包含了执行每一个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件来实现，或者以硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
本申请实施例可以根据上述方法示例对接入网设备和核心网设备进行功能模块的划分，例如，可以对应每一个功能划分每一个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。下面以采用对应每一个功能划分每一个功能模块为例进行说明：
图10为本申请实施例提供的一种通信装置的结构示意图。图10所示的结构示意图可用于实现本申请实施例中的第一接入网设备、第二接入网设备、第一AMF、第二AMF、SMF等各个设备。如图10所示，通信装置包括接收模块201、处理模块202以及发送模块203。其中，接收模块201可用于执行本申请实施例中关于接收的步骤，接收模块201可以为接收机、接收器、接收电路等。发送模块203可用于执行本申请实施例中关于发送的步骤，发送模块203可以为发送机、发送器、发送电路等。
图10所示的结构示意图用于实现上述实施例中的第二接入网设备时，接收模块201用于接收切换请求，切换请求用于指示将终端从第一接入网设备切换到第二接入网设备，切换请求包括M个会话的信息，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数。处理模块202用于从M个会话中确定N个目标会话；N个目标会话为M个会话的非零子集，N小于或等于M，N为正整数。处理模块202还用于确定N个目标会话中每一个目标会话的第二标识。发送模块203用于向终端发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。
一种可能的设计中，处理模块202具体用于通过发送模块203向核心网设备发送N个目标会话的信息；以及通过接收模块201接收核心网设发送的N个目标会话中每一个目标会话的第二标识。
一种可能的设计中，处理模块202具体用于第二接入网设备根据预设规则，生成N个目标会话中每一个目标会话的第二标识。
一种可能的设计中，会话的第一标识包括以下参数中的至少一项：终端与UPF之间链路的标识、终端与UPF之间链路的隧道标识、会话标识、UPF的地址、终端的标识、服务质量流标识、承载标识、切片的标识、以及UPF的标识。
一种可能的设计中，对应关系信息包括目标会话的第一标识和第二标识。
图10所示的结构示意图用于实现上述实施例中的第二AMF时，接收模块201用于接收第一AMF发送的M个会话的信息，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数。处理模块202用于从M个会话中确定N个目标会话，N个目标会话为M个会话的非零子集，N小于或等于M，N为正整数。处理模块202还用于确定N个目标会话中每一个目标会话的第二标识。发送模块203用于向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。发送模块203还用于向终端发送N个对应关系信息。
一种可能的设计中，接收模块201还用于接收到注册请求，注册请求包括终端的标识。发送模块203还用于向第一AMF发送上下文建立请求，上下文建立请求用于请求终端的会话的信息。
一种可能的设计中，处理模块202具体用于通过发送模块203向网络设备发送M个会话信息；以及，通过接收模块201接收网络设备发送的N个目标会话信息。示例性的，网络设备可以为第二接入网设备或者SMF。
一种可能的设计中，处理模块202具体用于通过发送模块203向网络设备发送N个目标会话的信息；以及，通过接收模块201接收网络设备发送的N个对应关系信息。
一种可能的设计中，发送模块203具体用于通过第二接入网设备向终端发送N个对应关系信息。
一种可能的设计中，发送模块203具体用于通过第一接入网设备以及第一AMF向终端发送N个对应关系信息。
图10所示的结构示意图用于实现图6或图7所示的AMF时，接收模块201用于接收MME发送的M个承载的信息。发送模块203用于将M个承载的信息发送给SMF。接收模块201用于从SMF接收M个会话的信息，M个会话的信息与M个承载的信息一一对应，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数。处理模块202用于从M个会话中确定N个目标会话。处理模块202还用于确定N个目标会话中每一个目标会话的第二标识。发送模块203还用于向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。发送模块203还用于向终端发送N个对应关系信息。
一种可能的设计中，接收模块201还用于接收注册请求，该注册请求包括终端的标识；发送模块203还用于向MME发送上下文建立请求，该上下文建立请求用于请求终端的承载的信息。
一种可能的设计中，处理模块202具体用于通过发送模块203向网络设备发送M个会话信息；以及，通过接收模块201接收网络设备发送的N个目标会话信息。
一种可能的设计中，处理模块202具体用于通过发送模块203向网络设备发送N个目标会话的信息；以及，通过接收模块201接收网络设备发送的N个对应关系信息。
一种可能的设计中，发送模块203具体用于通过第二接入网设备向终端发送N个对应关系信息。
一种可能的设计中，发送模块203具体用于通过第一接入网设备以及MME向终端发送N个对应关系信息。
图10所示的结构示意图用于实现上述实施例中的第一接入网设备时，处理模块202用于从终端的M个会话中确定N个目标会话，N小于或等于M，M、N均为正整数。处理模块202还用于确定N个目标会话中每一个目标会话的第二标识。发送模块203用于向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。发送模块203还用于向终端发送N个对应关系信息。
一种可能的设计中，处理模块202还用于确定发起切换流程。
图10所示的结构示意图用于实现上述实施例中的第一AMF时，接收模块201用于接收第一接入网设备发送的切换请求，切换请求用于指示将终端从第一接入网设备切换到第二接入网设备，切换请求包括M个会话的信息，M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数。处理模块202用于从M个会话中确定N个目标会话，N小于或等于M，M、N均为正整数。处理模块202还用于确定N个目标会话中每一个目标会话的第二标识。发送模块203还用于通过第二AMF向第二接入网设备发送N个对应关系信息，N个对应关系信息与N个目标会话一一对应，N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。发送模块203还用于通过第一接入网设备向终端发送N个对应关系信息。
作为一个示例，结合图2所示的通信装置，图10中的发送模块203和接收模块201可以由图2中的通信接口104来实现，图10中的处理模块202可以由图2中的处理器101来实现，本申请实施例对此不作任何限制。
本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机指令；当所述计算机可读存储介质在图2所示的通信装置上运行时，使得该通信装置执行如图3-图9所示的方法。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或者数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可以用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)，光介质、或者半导体介质(例如固态硬盘(solid state disk，SSD))等。
本申请实施例还提供一种芯片，该芯片包括处理模块和通信接口，所述通信接口用于将接收的代码指令传输至处理模块，该代码指令可以是来自芯片内部的存储器，也可以来自芯片外部的存储器或者其他器件，所述处理用于执行代码指令用于支持通信装置执行如图3-图9所示的方法。其中，处理模块为该芯片上集成的处理器或者微处理器或者集成电路。通信接口可以为输入输出电路或者收发管脚。
本申请实施例还提供一种包含计算机指令的计算机程序产品，当其在图2所示的通信装置上运行时，使得通信装置可以执行图3至图9所示的方法。
上述本申请实施例提供的通信装置、计算机存储介质、芯片以及计算机程序产品均用于执行上文所提供的方法，因此，其所能达到的有益效果可参考上文所提供的方法对应的有益效果，在此不再赘述。
尽管结合具体特征及其实施例对本申请进行了描述，显而易见的，在不脱离本申请的精神和范围的情况下，可对其进行各种修改和组合。相应地，本说明书和附图仅仅是所附权利要求所界定的本申请的示例性说明，且视为已覆盖本申请范围内的任意和所有修改、变化、组合或等同物。显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (11)

1.一种安全保护方法，其特征在于，所述方法包括：
第二接入网设备接收切换请求，所述切换请求用于指示将终端从第一接入网设备切换到所述第二接入网设备，所述切换请求包括M个会话的信息，所述M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数；
所述第二接入网设备从所述M个会话中确定N个目标会话；所述N个目标会话为所述M个会话的非零子集，N小于或等于M，N为正整数；
所述第二接入网设备确定所述N个目标会话中每一个目标会话的第二标识；
所述第二接入网设备向终端发送N个对应关系信息，所述N个对应关系信息与所述N个目标会话一一对应，所述N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。
2.根据权利要求1所述的安全保护方法，其特征在于，所述第二接入网设备确定所述N个目标会话中每一个目标会话的第二标识，包括：
所述第二接入网设备向核心网设备发送所述N个目标会话的信息；
所述第二接入网设备从所述核心网设备接收所述N个目标会话中每一个目标会话的第二标识。
3.根据权利要求1所述的安全保护方法，其特征在于，所述第二接入网设备确定所述N个目标会话中每一个目标会话的第二标识，包括：
所述第二接入网设备根据预设规则，生成所述N个目标会话中每一个目标会话的第二标识。
4.根据权利要求1至3任一项所述的安全保护方法，其特征在于，会话的第一标识包括以下参数中的至少一项：终端与用户面功能网元UPF之间链路的标识、终端与UPF之间链路的隧道标识、会话标识、UPF的地址、终端的标识、服务质量流标识、承载标识、切片的标识、以及UPF的标识。
5.根据权利要求1至4任一项所述的安全保护方法，其特征在于，所述对应关系信息包括目标会话的第一标识和第二标识。
6.一种通信装置，其特征在于，包括：
接收模块，用于接收切换请求，所述切换请求用于指示将终端从第一接入网设备切换到第二接入网设备，所述切换请求包括M个会话的信息，所述M个会话的信息中每一个会话的信息包括会话的第一标识，M为正整数；
处理模块，用于从所述M个会话中确定N个目标会话；所述N个目标会话为所述M个会话的非零子集，N小于或等于M，N为正整数；
所述处理模块，还用于确定所述N个目标会话中每一个目标会话的第二标识；
发送模块，用于向终端发送N个对应关系信息，所述N个对应关系信息与所述N个目标会话一一对应，所述N个对应关系信息中每一个对应关系信息用于指示对应的目标会话的第一标识与第二标识的对应关系。
7.根据权利要求6所述的通信装置，其特征在于，所述处理模块，具体用于通过发送模块向核心网设备发送所述N个目标会话的信息；以及通过接收模块接收核心网设备发送的所述N个目标会话中每一个目标会话的第二标识。
8.根据权利要求6所述的通信装置，其特征在于，所述处理模块，具体用于根据预设规则，生成所述N个目标会话中每一个目标会话的第二标识。
9.根据权利要求6至8任一项所述的通信装置，其特征在于，会话的第一标识包括以下参数中的至少一项：终端与用户面功能网元UPF之间链路的标识、终端与UPF之间链路的隧道标识、会话标识、UPF的地址、终端的标识、服务质量流标识、承载标识、切片的标识、以及UPF的标识。
10.根据权利要求6至9任一项所述的通信装置，其特征在于，所述对应关系信息包括目标会话的第一标识和第二标识。
11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有指令，当所述指令被通信装置运行时，使得通信装置执行权利要求1至5任一项的安全保护方法。
CN201910037122.0A 2019-01-15 2019-01-15 安全保护方法及装置 Active CN111436086B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201910037122.0A CN111436086B (zh) 2019-01-15 2019-01-15 安全保护方法及装置
PCT/CN2020/071237 WO2020147643A1 (zh) 2019-01-15 2020-01-09 安全保护方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910037122.0A CN111436086B (zh) 2019-01-15 2019-01-15 安全保护方法及装置

Publications (2)

Publication Number Publication Date
CN111436086A true CN111436086A (zh) 2020-07-21
CN111436086B CN111436086B (zh) 2021-02-23

Family

ID=71580094

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910037122.0A Active CN111436086B (zh) 2019-01-15 2019-01-15 安全保护方法及装置

Country Status (2)

Country Link
CN (1) CN111436086B (zh)
WO (1) WO2020147643A1 (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103795632A (zh) * 2012-10-31 2014-05-14 华为技术有限公司 一种数据报文传输方法及相关设备、系统
WO2014116757A1 (en) * 2013-01-23 2014-07-31 Wang xiao hua System and method for concurrent call session(s) handover to ip network or cellular cs network
WO2018145670A1 (zh) * 2017-02-07 2018-08-16 中兴通讯股份有限公司 基站的切换方法、系统和存储介质
CN108738082A (zh) * 2017-04-13 2018-11-02 华为技术有限公司 会话处理方法、装置及系统
CN109041138A (zh) * 2017-08-11 2018-12-18 华为技术有限公司 通信方法及源基站、目标基站、核心网设备、终端设备

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108632917B (zh) * 2017-03-21 2019-08-30 电信科学技术研究院 一种承载映射方法、接入网实体以及smf
CN108811016B (zh) * 2017-05-05 2022-02-25 北京三星通信技术研究有限公司 一种支持切换的方法
CN109548105B (zh) * 2017-06-16 2020-03-10 华为技术有限公司 通信方法及接入网设备、核心网设备

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103795632A (zh) * 2012-10-31 2014-05-14 华为技术有限公司 一种数据报文传输方法及相关设备、系统
WO2014116757A1 (en) * 2013-01-23 2014-07-31 Wang xiao hua System and method for concurrent call session(s) handover to ip network or cellular cs network
WO2018145670A1 (zh) * 2017-02-07 2018-08-16 中兴通讯股份有限公司 基站的切换方法、系统和存储介质
CN108738082A (zh) * 2017-04-13 2018-11-02 华为技术有限公司 会话处理方法、装置及系统
CN109041138A (zh) * 2017-08-11 2018-12-18 华为技术有限公司 通信方法及源基站、目标基站、核心网设备、终端设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
HUAWEI, HISILICON: "《Clarification on LADN》", 《SA WG2 MEETING #122BIS S2-175895》 *

Also Published As

Publication number Publication date
WO2020147643A1 (zh) 2020-07-23
CN111436086B (zh) 2021-02-23

Similar Documents

Publication Publication Date Title
US11844142B2 (en) Communications method and apparatus
EP3790305B1 (en) Session management for always-on sessions
US10764789B2 (en) Application-initiated network slices in a wireless network
KR102589956B1 (ko) 데이터 전송 방법, 장치, 및 시스템
WO2020259509A1 (zh) 一种应用迁移方法及装置
WO2018232570A1 (zh) 一种注册及会话建立的方法、终端和amf实体
US11818645B2 (en) Method for sending end marker, device and system
CN107637132A (zh) 用于选择网络分区的方法和装置
WO2021042742A1 (zh) 一种通信方法、装置及系统
KR102469973B1 (ko) 통신 방법 및 장치
CN116458109A (zh) 密钥获取方法和通信装置
EP4185009A1 (en) Packet forwarding method, apparatus and system
CN113841443B (zh) 数据传输方法及装置
CN113938911A (zh) 一种通信方法、设备及系统
CN113841366B (zh) 通信方法及装置
CN108377497B (zh) 连接建立方法、设备及系统
US20240080340A1 (en) Security for Groupcast Message in D2D Communication
WO2021018260A1 (zh) 通信方法及相关装置
JP7014800B2 (ja) リンク再確立方法、装置、およびシステム
CN111436086B (zh) 安全保护方法及装置
CN108377493B (zh) 连接建立方法、设备及系统
CN115996378A (zh) 鉴权方法及装置
CN115442792A (zh) 接入业务的方法、装置和系统
KR20240076847A (ko) 통신 방법, 장치 및 시스템
CN114885441A (zh) 一种会话管理方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant