CN113329006B - 用于蜂窝物联网的网络安全架构 - Google Patents

用于蜂窝物联网的网络安全架构 Download PDF

Info

Publication number
CN113329006B
CN113329006B CN202110576514.1A CN202110576514A CN113329006B CN 113329006 B CN113329006 B CN 113329006B CN 202110576514 A CN202110576514 A CN 202110576514A CN 113329006 B CN113329006 B CN 113329006B
Authority
CN
China
Prior art keywords
client device
network
packet
context
iotf
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110576514.1A
Other languages
English (en)
Other versions
CN113329006A (zh
Inventor
S·B·李
G·B·霍恩
A·帕拉尼恭德尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qualcomm Inc
Original Assignee
Qualcomm Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Qualcomm Inc filed Critical Qualcomm Inc
Priority to CN202110576514.1A priority Critical patent/CN113329006B/zh
Publication of CN113329006A publication Critical patent/CN113329006A/zh
Application granted granted Critical
Publication of CN113329006B publication Critical patent/CN113329006B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/061—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying further key derivation, e.g. deriving traffic keys from a pair-wise master key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

在方面中，支持客户端设备的网络包括实现网络功能的一个或多个网络节点。这样的网络功能使得客户端设备能够在客户端设备不处于连接模式时应用安全上下文来与该网络进行通信。客户端设备获得与第一网络节点处实现的用户平面网络功能单元共享的用户平面密钥，和/或与第二网络节点处实现的控制平面网络功能单元共享的控制平面密钥。客户端设备利用用户平面密钥来保护数据分组，或者利用控制平面密钥来保护控制分组。该数据分组包括用于指示第一网络节点的第一目的地信息以及控制分组包括用于指示第二网络节点的第二目的地信息。客户端设备发送该数据分组或者控制分组。

Description

用于蜂窝物联网的网络安全架构
本申请是申请日为2016年06月10日，发明名称为“用于蜂窝物联网 的网络安全架构”，申请号为201680039877.9的专利申请的分案申请。
相关申请的交叉引用
本专利申请要求享受于2015年7月12日在美国专利商标局提交的临 时申请第62/191,459号和于2016年5月20日在美国专利商标局提交的非 临时申请第15/160,326号的优先权，其全部内容通过引用的方式被并入本 文。
技术领域
概括地说，本公开内容涉及通信，并且更具体地，但不唯一地涉及物 联网(IoT)网络架构。
背景技术
电子设备收集、处理和交换数据的能力正在持续地增长。此外，正向 越来越多的这些电子设备提供网络连接。这样的能力和特征正在使得许多 电子设备能够演进成物联网(IoT)设备。随着这些类型的电子设备的数量 持续快速地增长，网络可能不具有足够地支持这些电子设备的资源。
例如，在IoT环境中，网络(例如，LTE网络)可能需要支持大量(例 如，数十亿)的IoT设备(例如，以减少数据传送模式或者低功耗模式附 着到网络的客户端设备)。因为由网络出于IoT目的分配的资源的量可能是 受限的，因此网络可能不能够维持用于这些类型的设备的所有上下文。被 用于客户端设备的用户平面数据传输的上下文，可以减少客户端设备为了 与网络进行通信而要执行的信令的量。鉴于这些情况，网络接入节点通常 在客户端设备进入空闲模式时去除(例如，删除)该客户端设备上下文， 在客户端设备进入连接模式(其还被称为活动模式)时建立新的客户端设 备上下文。就信令消息而言，这种空闲模式到连接模式的转换涉及客户端 设备的大量开销。此外，这样的空闲模式到连接模式的转换，可能造成客 户端设备在较长的时段期间保持唤醒，并且因此可能增加客户端设备的功耗。
发明内容
下列内容提出了对本公开内容的一些方面的简单化的概括，以提供对 这样的方面的基本的理解。该概括不是对本公开内容的所有预期特征的广 泛的概述，并且既不旨在标识本公开内容的所有方面的关键的或者重要的 要素，也不旨在描绘本公开内容的任意或者全部方面的范围。其唯一目的 是用简化的形式提出本公开内容的一些方面的各种概念，作为对稍后提出 的更详细的描述的序言。
在方面中，提供了一种用于网络中的客户端设备的方法。该客户端设 备可以向网络进行注册，至少获得与第一网络节点处实现的用户平面网络 功能单元共享的用户平面密钥或者与第二网络节点处实现的控制平面网络 功能单元共享的控制平面密钥，利用用户平面密钥来保护数据分组，或者 利用控制平面密钥来保护控制分组，以及发送该数据分组或者控制分组。 在方面中，该数据分组包括用于指示将在第一网络节点处处理该数据分组 的第一目的地信息，第一目的地信息使得网络接入节点能够将该数据分组 转发给第一网络节点，并且所述控制分组包括用于指示将在第二网络节点 处处理该控制分组的第二目的地信息，第二目的地信息使得所述网络接入 节点能够将该控制分组转发给第二网络节点。在方面中，客户端设备可以 从网络接收分组，确定所接收的分组是包括数据还是包括控制信息，以及 基于该确定，利用用户平面密钥或者控制平面密钥对所接收的分组进行解 码。在方面中，客户端设备可以通过利用用户平面密钥或者控制平面密钥， 对所接收的分组进行解密和验证，来对所接收的分组进行解码。在方面中， 客户端设备可以通过下列操作来对所接收的分组进行验证：基于所接收的 分组和用户平面密钥或者控制平面密钥二者之一，通过应用消息认证码生 成算法，来确定第一消息认证码，以及将第一消息认证码和与所接收的分 组相关联的第二消息认证码进行比较。在方面中，客户端设备可以获得用 户平面安全上下文或者控制平面安全上下文中的至少一个，其中用户平面 安全上下文指示针对客户端设备的关于用户平面的网络状态信息，控制平 面安全上下文指示针对客户端设备的关于控制平面的网络状态信息。在方 面中，客户端设备可以基于用户平面密钥推导第一加密密钥和第一完整性 密钥，来获得用户平面安全上下文，并且可以基于控制平面密钥推导第二 加密密钥和第二完整性密钥，来获得控制平面安全上下文。在方面中，用户平面安全上下文或者控制平面安全上下文不包括接入层安全保护。在方 面中，用户平面网络功能单元标识符或者控制平面网络功能单元标识符被 包括在所接收的分组的报头中，并且其中，该客户端设备是在减少数据传 送模式下注册的。在方面中，数据分组是基于用户平面密钥来进行加密或 者完整性保护的，或者是基于用户平面密钥既进行加密又进行完整性保护 的，并且其中，控制分组是基于控制平面密钥来进行加密或者完整性保护的，或者是基于控制平面密钥既进行加密又进行完整性保护的。在方面中， 客户端设备可以通过下列操作向网络进行注册：发送对于附着到网络的请 求，以及从网络接收响应于该请求的、与认证过程相关联的消息。在这样 的方面中，用户平面密钥或者控制平面密钥是基于该消息获得的，并且所 述附着请求指示客户端设备将在减少数据传送模式下附着。
在方面中，提供了一种客户端设备。该客户端设备可以包括：用于向 网络进行注册的单元，用于至少获得与第一网络节点处实现的用户平面网 络功能单元共享的用户平面密钥或者与第二网络节点处实现的控制平面网 络功能单元共享的控制平面密钥的单元，用于利用用户平面密钥来保护数 据分组，或者利用控制平面密钥来保护控制分组的单元，以及用于发送该 数据分组或者控制分组的单元。该数据分组可以包括用于指示将在第一网 络节点处处理该数据分组的第一目的地信息，第一目的地信息使得网络接 入节点能够将该数据分组转发给第一网络节点，并且所述控制分组可以包 括用于指示将在第二网络节点处处理该控制分组的第二目的地信息，第二 目的地信息使得所述网络接入节点能够将该控制分组转发给第二网络节 点。在方面中，客户端设备可以包括：用于从网络接收分组的单元，用于 确定所接收的分组是包括数据还是包括控制信息的单元，以及用于基于该 确定，利用用户平面密钥或者控制平面密钥对所接收的分组进行解码的单 元。在方面中，用于对所接收的分组进行解码的单元被配置为利用用户平 面密钥或者控制平面密钥，对所接收的分组进行解密和验证。在方面中， 用于对所接收的分组进行验证的单元可以被配置为：基于所接收的分组和 用户平面密钥或者控制平面密钥二者之一，通过应用消息认证码生成算法， 来确定第一消息认证码，以及将第一消息认证码和与所接收的分组相关联的第二消息认证码进行比较。在方面中，客户端设备还可以包括：用于获 得用户平面安全上下文或者控制平面安全上下文中的至少一个的单元，其 中用户平面安全上下文指示针对客户端设备的关于用户平面的网络状态信 息，控制平面安全上下文指示针对客户端设备的关于控制平面的网络状态 信息。在方面中，用于获得用户平面安全上下文的单元可以被配置为基于 用户平面密钥来推导第一加密密钥和第一完整性密钥，并且其中，获得控制平面安全上下文包括基于控制平面密钥来推导第二加密密钥和第二完整 性密钥。在方面中，用户平面安全上下文或者控制平面安全上下文不包括 接入层安全保护。在方面中，用户平面网络功能单元标识符或者控制平面 网络功能单元标识符被包括在所接收的分组的报头中，并且其中，该客户 端设备是在减少数据传送模式下注册的。在方面中，数据分组是基于用户 平面密钥来进行加密或者完整性保护的，或者是基于用户平面密钥既进行 加密又进行完整性保护的，并且其中，控制分组是基于控制平面密钥来进 行加密或者完整性保护的，或者是基于控制平面密钥既进行加密又进行完 整性保护的。在方面中，用于向网络进行注册的单元可以被配置为：发送 对于附着到网络的请求，以及从网络接收响应于该请求的、与认证过程相 关联的消息。在这样的方面中，用户平面密钥或者控制平面密钥是基于该 消息获得的，并且其中，所述附着请求指示该客户端设备将在减少数据传 送模式下附着。
在方面中，提供了一种用于网络接入节点的方法。该网络接入节点可 以：从客户端设备接收第一分组，基于客户端设备的网络附着模式来确定 下一跳网络节点，以及当网络附着模式是减少数据传送模式时，在无需对 从该客户端设备接收的第一分组进行验证的情况下，将第一分组转发给下 一跳网络节点。在方面中，该网络接入节点可以从网络节点接收第二分组， 以及当客户端设备的网络附着模式是减少数据传送模式时，在无需对第二 分组进行保护的情况下，将从该网络节点接收的第二分组转发给客户端设 备。在方面中，该网络接入节点可以从客户端设备接收对于附着到网络的 具有网络附着模式的指示的请求，其中，该网络附着模式是减少数据传送 模式。在方面中，对下一跳网络节点的确定是基于网络接入节点处的预先 配置的信息的，或者是基于被包括在第一分组中的目的地信息的，其中， 网络附着模式是减少数据传送模式。在方面中，所述目的地信息包括网络功能单元标识符，其中所述网络功能单元标识符实现对网络节点(其实现 网络功能)的标识。在方面中，该网络功能单元标识符与第一网络节点处 实现的控制平面网络功能单元相关联，或者与第二网络节点处实现的用户 平面网络功能单元相关联。在方面中，该网络接入节点可以向第一分组添 加与客户端设备相关联的临时标识符，其中，第一分组是数据分组或者控 制分组，并且可以存储该临时标识符。在方面中，该临时标识符是小区无 线网络临时标识符(C-RNTI)，并且其中，该临时标识符被存储达预先确定 的时段。在方面中，该网络接入节点可以根据第二分组中的临时标识符来 识别客户端设备，其中，第二分组是数据分组或者控制分组。在方面中， 在转发第二分组之前，网络接入节点可以从第二分组中去除该临时标识符。
在方面中，提供了一种网络接入节点。该网络接入节点可以包括：用 于从客户端设备接收第一分组的单元，用于基于客户端设备的网络附着模 式来确定下一跳网络节点的单元，以及用于当网络附着模式是减少数据传 送模式时，在无需对从该客户端设备接收的第一分组进行验证的情况下， 将第一分组转发给下一跳网络节点的单元。在方面中，该网络接入节点还 可以包括：用于从网络节点接收第二分组的单元，以及用于当客户端设备的网络附着模式是减少数据传送模式时，在无需对第二分组进行保护的情 况下，将从该网络节点接收的第二分组转发给客户端设备的单元。在方面 中，该网络接入节点还可以包括：用于从客户端设备接收对于附着到网络 的具有网络附着模式的指示的请求的单元，其中，该网络附着模式是减少 数据传送模式。在方面中，对下一跳网络节点的确定是基于网络接入节点 处的预先配置的信息的，或者是基于被包括在第一分组中的目的地信息的，其中，网络附着模式是减少数据传送模式。在方面中，所述目的地信息包 括网络功能单元标识符，其中所述网络功能单元标识符实现对网络节点(其 实现网络功能)的标识。在方面中，该网络功能单元标识符与第一网络节 点处实现的控制平面网络功能单元相关联，或者与第二网络节点处实现的 用户平面网络功能单元相关联。在方面中，该网络接入节点可以包括：用 于向第一分组添加与客户端设备相关联的临时标识符的单元，其中，第一 分组是数据分组或者控制分组，以及用于存储该临时标识符的单元。在方 面中，该临时标识符是小区无线网络临时标识符(C-RNTI)，并且其中，该 临时标识符被存储达预先确定的时段。在方面中，该网络接入节点还可以 包括：用于根据第二分组中的临时标识符来识别客户端设备的单元，其中， 第二分组是数据分组或者控制分组。在方面中，该网络接入节点还可以包 括：用于在转发第二分组之前，从第二分组中去除该临时标识符的单元。
在方面中，提供了一种用于第一网络节点的方法。第一网络节点可以 在第一网络节点处实现的控制平面网络功能单元处，建立用于客户端设备 的安全上下文，在第一网络节点处实现的控制平面网络功能单元处，获得 用于第二网络节点处实现的用户平面网络功能单元的用户平面密钥，以及 从第一网络节点处实现的控制平面网络功能单元，向第二网络节点处实现 的用户平面网络功能单元传送用户平面密钥。在方面中，第一网络节点可以通过执行与客户端设备的相互认证过程，来建立用于客户端设备的安全 上下文。在方面中，第一网络节点可以通过根据在相互认证过程期间建立 的会话凭证推导用户平面密钥，来获得用户平面密钥。在方面中，第一网 络节点可以在第一网络节点处实现的控制平面网络功能单元处，获得用于 控制平面网络功能单元的控制平面密钥。
在方面中，提供了第一网络节点。第一网络节点可以包括：用于在第 一网络节点处实现的控制平面网络功能单元处，建立用于客户端设备的安 全上下文的单元，用于在第一网络节点处实现的控制平面网络功能单元处， 获得用于在第二网络节点处实现的用户平面网络功能单元的用户平面密钥 的单元，以及用于从在第一网络节点处实现的控制平面网络功能单元，向 在第二网络节点处实现的用户平面网络功能单元传送用户平面密钥的单 元。在方面中，用于建立用于客户端设备的安全上下文的单元可以被配置 为执行与客户端设备的相互认证过程。在方面中，用于获得用户平面密钥 的单元可以被配置为根据在相互认证过程期间建立的会话凭证来推导用户 平面密钥。在方面中，第一网络节点还可以包括：用于在第一网络节点处 实现的控制平面网络功能单元处，获得用于控制平面网络功能单元的控制 平面密钥的单元。
在方面中，提供了一种用于网络节点的方法。该网络节点可以在该网 络节点处实现的用户平面网络功能单元处，获得用于客户端设备的安全上 下文。该网络节点可以在该网络节点处实现的用户平面网络功能单元处， 确定将至少被用于对来自客户端设备的数据分组进行解密或者验证的密 钥，在该网络节点处实现的用户平面网络功能单元处，从客户端设备接收 数据分组，以及在该网络节点处实现的用户平面网络功能单元处，基于该密钥，对来自该客户端设备的数据分组进行解密和验证。在方面中，该网 络节点可以通过从该网络节点的控制平面网络功能单元接收安全上下文， 来获得安全上下文。在方面中，该网络节点可以在该网络节点处实现的用 户平面网络功能单元处，从应用服务器或者网关接收针对客户端设备的数 据分组。该网络节点可以在该网络节点处实现的用户平面网络功能单元处， 确定与客户端设备相关联的至少一个密钥，以及在该网络节点处实现的用户平面网络功能单元处，使用所述至少一个密钥来对针对客户端设备的数 据分组进行保护。在方面中，该网络节点可以从该网络节点处实现的用户 平面网络功能单元，向下一跳网络节点发送针对该客户端设备的数据分组。 在方面中，该网络节点可以通过对针对客户端设备的数据分组进行加密或 者完整性保护，或者对针对客户端设备的数据分组既进行加密又进行完整 性保护，来对针对该客户端设备的数据分组进行保护。
在方面中，提供了一种网络节点。该网络节点可以包括：用于在该网 络节点处实现的用户平面网络功能单元处，获得用于客户端设备的安全上 下文的单元，用于在该网络节点处实现的用户平面网络功能单元处，确定 将至少被用于对来自客户端设备的数据分组进行解密或者验证的密钥的单 元，用于在该网络节点处实现的用户平面网络功能单元处，从客户端设备 接收数据分组的单元，以及用于在该网络节点处实现的用户平面网络功能 单元处，基于该密钥，对来自该客户端设备的数据分组进行解密和验证的 单元。在方面中，用于获得安全上下文的单元可以被配置为从该网络节点 的控制平面网络功能单元接收安全上下文。在方面中，网络节点还可以包 括：用于在该网络节点处实现的用户平面网络功能单元处，从应用服务器 或者网关接收针对客户端设备的数据分组的单元，用于在该网络节点处实 现的用户平面网络功能单元处，确定与客户端设备相关联的至少一个密钥的单元，以及用于在该网络节点处实现的用户平面网络功能单元处，使用 所述至少一个密钥来对针对客户端设备的数据分组进行保护的单元。在方 面中，该网络节点还可以包括：用于从该网络节点处实现的用户平面网络 功能单元，向下一跳网络节点发送针对该客户端设备的数据分组的单元。 在方面中，用于对针对客户端设备的数据分组进行保护的单元可以被配置 为对针对该客户端设备的数据分组进行加密或者完整性保护，或者对针对 该客户端设备的数据分组既进行加密又进行完整性保护。
在对下面的具体实施方式进行评论时，本公开内容的这些和其它方面 将变得更彻底地理解。在结合附图对下面的本公开内容的特定实现方式的 描述进行评论时，本公开内容的其它方面、特征和实现方式对于本领域的 普通技术人员来说将变得显而易见。虽然可以相对于下面的某些实现方式 和附图讨论本公开内容的特征，但是本公开内容的所有实现方式可以包括 本文讨论的优势特征中的一个或多个。换句话说，虽然将一种或多种实现 方式讨论为具有某些优势特征，但是根据本文讨论的本公开内容的各种实 现方式，还可以使用这样的特征中的一个或多个。用类似的方式，虽然下 文将某些实现方式讨论为设备、系统或者方法实现方式，但是应当理解的 是，这样的实现方式可以用各种设备、系统和方法来实现。
附图说明
图1是根据本公开内容的各个方面的物联网(IoT)网络架构的框图。
图2是示出了根据本公开内容的各个方面的用于IoT网络架构的密钥 体系的图。
图3是示出了根据本公开内容的各个方面的用于在IoT网络架构中对 上下文进行加密的密钥体系的图。
图4是示出了在网络中的各个实体处维持的客户端设备的示例性网络 状态的图。
图5是示出了根据本公开内容的各个方面的IoT网络架构中的客户端 设备的初始附着过程的框图。
图6是根据本公开内容的各个方面的IoT网络架构中的客户端设备的 示例性附着过程的信号流程图。
图7是示出了根据本公开内容的各个方面的由IoT网络架构中的客户 端设备发起的数据传输的框图。
图8是示出了根据本公开内容的各个方面的由IoT网络架构中的客户 端设备发起的示例性数据传输的信号流程图。
图9是根据本公开内容的各个方面的示例性客户端设备在IoT网络架 构中终止数据传输的信号流程图。
图10是示出了根据本公开内容的各个方面的用于IoT数据传输的控制 平面协议栈的图。
图11是示出了根据本公开内容的各个方面的用于IoT数据传输的用户 平面协议栈的图。
图12是根据本公开内容的各个方面的用于IoT网络架构中的传输的分 组格式的图。
图13是根据本公开内容的各个方面的用于IoT网络架构中的传输的分 组格式的图。
图14是根据本公开内容的各个方面的IoT网络架构中的跟踪区域更新 (TAU)过程的信号流程图。
图15是根据本公开内容的一个或多个方面的被配置为在IoT网络架构 中进行通信的装置的图示。
图16是示出了根据本公开内容的各个方面的用于在IoT网络架构中进 行通信的装置的方法的流程图。
图17是根据本公开内容的一个或多个方面的被配置为在IoT网络架构 中进行通信的装置的图示。
图18(其包括图18A和图18B)是示出了根据本公开内容的各个方面 的用于在IoT网络架构中进行通信的装置的方法的流程图。
图19是根据本公开内容的一个或多个方面的被配置为在IoT网络架构 中进行通信的装置的图示。
图20是示出了根据本公开内容的各个方面的用于在IoT网络架构中进 行通信的装置的方法的流程图。
图21是示出了根据本公开内容的各个方面的用于在IoT网络架构中进 行通信的装置的方法的流程图。
图22是示出了根据本公开内容的各个方面的用于在IoT网络架构中进 行通信的装置的方法的流程图。
具体实施方式
下文结合附图阐述的具体实施方式，旨在作为对各种配置的描述，而 不旨在表示在其中可以实践本文描述的概念的唯一配置。具体实施方式包 括出于提供对各种概念的透彻理解的具体细节。但是，对于本领域的技术 人员来说显而易见的是，可以在没有这些具体细节的情况下实践这些概念。 在一些实例中，为了避免使这些概念难理解，以框图形式示出公知的结构 和组件。
在诸如长期演进(LTE)网络之类的网络中，用户平面安全在网络接入 节点(例如，演进型节点B、基站或者网络接入点)处终止。照此，网络 接入节点应当具有用于客户端设备(其还被称为物联网(IoT)设备)的上 下文，以便进行用户平面数据传输。例如，客户端设备可以是蜂窝电话(例 如，智能电话)、个人计算机(例如，膝上型计算机)、游戏设备或者被配 置为与网络进行通信的任何其它适当的设备。用于客户端设备的上下文可 以包括与该客户端设备相关联的网络状态信息，例如，客户端设备安全上 下文和/或演进型通用移动电信系统(UMTS)陆地无线接入网(E-UTRAN) 无线接入承载(eRAB)(例如，无线承载和S1承载)。用于客户端设备的 上下文可以减少该客户端设备为了与网络进行通信而要执行的信令的量。
如上所述，网络(例如，LTE网络)可能需要支持大量(例如，数十 亿)的物联网(IoT)设备。例如，IoT设备可以是作为IoT设备附着到网 络的客户端设备(例如，该客户端设备可以在IoT设备模式下操作)、以低 功耗模式附着的客户端设备、或者出于减少客户端设备与网络之间的数据 传送的目的附着的客户端设备。在方面中，减少的数据传送模式可以涉及 不频繁的小数据(例如，单个分组或者几个分组)传输或者短的数据突发。 因此，在本公开内容中，本文使用的术语客户端设备还指代IoT设备。客 户端设备例如可以是蜂窝电话(例如，智能电话)、个人计算机(例如，膝 上型计算机)、游戏设备、汽车、电器或者被配置为与网络进行通信的任何 其它适当的设备。在一些方面中，客户端设备可以被称为用户设备(UE) 或者接入终端(AT)。在一些方面中，如本文指代的客户端设备可以是移动 设备或者静态设备。
因为由网络出于IoT目的分配的资源的量(例如，IoT网络功能单元和 其它与IoT有关的设备)可能是受限的，因此网络功能单元可能不能够维 持用于所有客户端设备的上下文。此外，IoT设备可能频繁地是不活动的。 例如，客户端设备可能每10分钟或者更长时间唤醒一次，向服务器发送业 务，并且立即地进入休眠模式。
鉴于这些情况，网络接入节点通常在客户端设备进入空闲模式时去除 (例如，删除)该客户端设备上下文，并且在客户端设备进入连接模式(其 还被称为活动模式)时建立新的客户端设备上下文。就信令消息而言，这 种空闲模式到连接模式的转换涉及客户端设备的大量开销。此外，这样的 空闲模式到连接模式的转换，可能造成客户端设备在较长的时段期间保持 唤醒，并且因此可能增加客户端设备的功耗。
从上层的角度来看，本文公开的方面包括用于客户端设备的网络架构， 以实现超低客户端设备功耗、每小区大量的设备和/或小的频谱。引入专用 网络功能单元以实现独立的部署，并且去除可扩展性/互通要求。安全被锚 定在网络设备处实现的IoT网络功能单元(其还被称为IoT功能单元(IoTF)) 处。IoT网络功能单元可以允许该架构实现客户端设备的高效数据传输。根 据各个方面，该架构可以允许在网络接入节点(例如，eNB、基站、网络接 入点)处不维持用于去往或者来自客户端设备的数据传送的安全上下文。
为了避免影响客户端设备的正常分组数据网络(PDN)连接/业务，专 用核心网资源被分配用于小量的数据传送。网络可以分配专用物理(PHY) 层资源用于接入控制，以同样限制小量的数据业务。客户端设备上下文可 以被用于小量的数据传送，以当客户端设备处于空闲模式时，消除IoTF处 的客户端设备的半持久上下文。
在方面中，IoTF可以包括控制平面IoTF(IoTF-C)和用户平面IoTF (IoTF-U)。在一些方面中，可以在单个IoTF中实现这样的IoTF-C和IoTF-U。在其它方面中，可以将这样的IoTF-C和IoTF-U实现为单独的IoTF。 在本公开内容的方面中，IoTF-C可以具有类似于移动性管理实体(MME) 的功能单元。在本公开内容的方面中，IoTF-U可以是用于用户平面数据业 务的移动性和安全锚点。在本公开内容的方面中，IoTF-U可以具有类似于 服务网关(S-GW)和/或网络接入节点(例如，演进型节点B(eNB)、基 站或者网络接入点)的功能单元。
为了允许网络功能单元(例如，IoTF-C、IoTF-U)对用于客户端设备 的资源使用进行优化，所公开的IoT网络架构的各个方面可以实现下面的 设计方案协议：其中，用于客户端设备的上下文被携带在分组(例如，IP 分组)中，并且IoTF(例如，包括IoTF-C和IoTF-U的IoTF)机会性地生 成用于该客户端设备的上下文。这使得网络功能单元能够针对客户端设备 维持最小的甚至不维持网络状态信息，并且维持最小的甚至不维持信令开 销。应当理解的是，所公开的IoT网络架构和被包括在其中的功能单元可 以被用于任何类型的小量的数据传送。例如，客户端设备(例如，智能电 话)可以具有标称模式，其中其建立连接并且传送数据，而且使用如本文 公开的过程，以利用客户端设备上下文来传送数据。
IoT网络架构
图1是根据本公开内容的各个方面的IoT网络架构100的框图。如图1 中示出的，IoT网络架构100包括客户端设备102(其还被称为IoT设备)、 网络接入节点104、网络设备105、服务网络110和归属用户服务器(HSS) /认证、授权和计费(AAA)服务器112。在一个方面中，网络接入节点104 可以是eNB、基站或者网络接入点。在一个方面中，网络设备105可以包 括被配置为实现IoTF的一个或多个处理电路和/或其它适当的硬件。在本公 开内容的一个方面中，IoTF可以包括控制平面IoT功能单元(IoTF-C)106 和用户平面IoT功能单元(IoTF-U)108。例如，IoTF-C 106可以被实现在 第一网络节点107处，并且IoTF-U 108可以被实现在第二网络节点109处。 根据本文公开的各个方面，术语“节点”可以表示被包括在网络设备105 中的物理实体，例如，处理电路、设备、服务器或者网络实体。因此，例 如，网络节点可以被称为网络节点设备。
在一个方面中，IoTF-C 106和IoTF-U 108可以被实现在同一个硬件平 台(例如，一个或多个处理电路和其它相关联的硬件组件(例如，存储器)) 处。在这样的方面中，例如，IoTF-C 106可以被实现在硬件平台(例如， 网络设备105)上提供的第一虚拟机(例如，第一操作系统)处，并且IoTF-U 108可以被实现在该硬件平台上提供的第二虚拟机(例如，第二操作系统) 处。
如图1中示出的，IoTF-C 106经由第一S1连接116，与网络接入节点 104相通信，并且IoTF-U 108经由第二S1连接114，与网络接入节点104 相通信。在本公开内容的方面中，服务网络110可以包括被配置为提供各 种类型的服务的多个实体、功能单元、网关和/或服务器。例如，服务网络 110可以包括短消息实体(SME)118、机器类型通信互通功能单元(MTC-IWF)120、IoT服务器122和/或分组数据网络(PDN)网关(P-GW) 124。应当理解的是，图1中公开的服务网络110充当一个示例，而在其它 方面中，与图1中公开的那些相比，服务网络110可以包括不同类型的实 体、功能单元和/或服务器。
在本公开内容的方面中，在网络设备105处实现的IoTF可以提供控制 平面和用户平面功能。在本公开内容的方面中，IoTF-C 106处理用于客户 端设备的控制平面信令(例如，携带控制信息的分组，在本文被称为“控 制分组”)。例如，IoTF-C 106可以执行针对客户端设备的移动性和会话管 理，执行与客户端设备的认证和密钥协商(其还被称为AKA过程)，和/或 可以生成用于客户端设备的安全上下文。在本公开内容的方面中，IoTF-C 106可以推导用于与客户端设备102相关联的控制平面业务的控制平面 (CP)密钥126，推导用于与客户端设备102相关联的用户平面业务的用 户平面(UP)密钥128，和/或推导上下文密钥130以生成用于客户端设备 102的加密的客户端设备上下文和/或加密的网络可达性上下文。在本公开 内容的方面中，IoTF-C 106可以向IoTF-U 108提供用户平面密钥128和/或上下文密钥130中的至少一个上下文秘钥。因此，在一些方面中，IoTF-U 108可以包括由IoTF-C 106提供的用户平面密钥128和/或上下文密钥131。
在本公开内容的方面中，IoTF-U 108可以处理用于客户端设备的用户 平面业务。例如，IoTF-U 108可以推导加密密钥和完整性密钥(例如，使 用UP密钥128的带有关联数据的认证加密(AEAD)密码)，运行中生成 客户端设备上下文(其还被称为IoT设备上下文)，对由客户端设备发送的 上行链路(UL)分组进行认证和解密，并且将这些上行链路分组转发给PDN 或者P-GW(例如，P-GW 124)，对用于连接的客户端设备的下行链路(DL) 分组进行加密和认证，并且将这些下行链路分组转发给下一跳网络接入节 点(例如，eNB)，和/或对于寻呼期间用于空闲客户端设备的下行链路分组 进行缓存。在本公开内容的方面中，IoTF-U108可以充当数据业务的移动 性和安全锚点。
用于IoT网络的示例性密钥体系
图2是示出了根据本公开内容的各个方面的用于IoT网络架构(例如， IoT网络架构100)的密钥体系200的图。在图2中，密钥KIoT 202可以是 被永久地存储在客户端设备(例如，客户端设备102)的通用移动电信系统 (UMTS)用户识别模块(USIM)和网络的认证中心(AuC)中的秘密密 钥。完整性密钥(IK)和加密密钥(CK)(其被示作图2中的IK、CK 204) 是在AKA过程期间，在AuC和USIM中推导出的一对密钥。参考图1，在 AKA过程期间，IoTF-C 106可以从HSS/AAA服务器112接收认证向量 (AV)，所述AV包含来自接入安全管理实体(ASME)的密钥(在图2中 被示作密钥KASME 206)。IoTF-C 106可以根据密钥KASME 206推导控制平 面密钥(KCP)208和用户平面密钥(KUP)214。IoTF-C 106可以向IoTF-U 108提供密钥KUP 214。IoTF-C 106可以根据密钥KCP 208推导加密密钥 KIoT-CPenc 210和完整性保护密钥KIoT-CPint212。IoTF-U 108可以根据密钥KUP 214推导加密密钥KIoT-UPenc 216和完整性保护密钥KIoT-UPint 218。
图3是示出了根据本公开内容的各个方面的用于在IoT网络架构(例 如，IoT网络架构100)中对上下文进行加密的密钥体系300的图。在本公 开内容的方面中，参考图1，IoTF-C 106可以基于用于客户端设备的上下文 密钥KCDC-IoTF 302，随机地生成用于客户端设备(例如，客户端设备102) 的控制平面客户端设备上下文加密密钥(KCDC-IoTF-C)304和用户平面客户 端设备上下文加密密钥(KCDC-IoTF-U)306。在本公开内容的方面中，参考图 1，IoTF-C 106可以基于上下文密钥KNRC-IoTF 308，随机地生成用于控制平 面的网络可达性上下文(NRC)加密密钥(KNRC-IoTF-C)310。IoTF-C 106还 可以基于上下文密钥KNRC-IoTF 308，随机地生成用于用户平面的网络可达性 上下文(NRC)加密密钥(KNRC-IoTF-U)312。在一个方面中，密钥KNRC-IoTF-C 310和密钥KNRC-IoTF-U 312可以是针对应用服务或者P-GW(例如，P-GW 124) 而生成的。
客户端设备的示例性网络状态
在无线通信系统(例如，LTE网络)中，为客户端设备规定用于移动 性管理(例如，演进型分组系统移动性管理(EMM))的网络状态。这样的 网络状态实现网络中的客户端设备与其它实体之间的高效通信。在本公开 内容的方面中，客户端设备(例如，图1中的客户端设备102)可以处于注 销状态或者注册状态。
例如，当客户端设备处于注销状态时，可以将用于该客户端设备的上 下文存储在HSS中。网络不保持用于该客户端设备的有效位置或者路由信 息，故该客户端设备是不可达的。
作为另一示例，客户端设备可以通过向网络进行成功的注册来进入注 册状态。在本公开内容的方面中，客户端设备可以通过与网络执行附着过 程，来执行这样的注册。在注册状态下，客户端设备具有至少一个活动的 PDN连接。客户端设备还具有演进型分组系统(EPS)安全上下文建立。 应当注意到的是，注销状态和注册状态假定客户端设备具有用于该网络的 凭证(例如，在HSS中存在可用的订制)。
无线通信网络(例如，LTE网络)还可以包括为客户端设备规定的用 于演进型分组系统连接管理(ECM)的网络状态。因此，处于注册状态的 客户端设备(例如，图1中的客户端设备102)可以处于诸如空闲状态或者 连接状态之类的两种状态(其还被称为注册状态的子状态)之一。在空闲 状态下，在客户端设备与其它网络实体之间不存在非接入层(NAS)信令 连接。此外，客户端设备可以执行小区选择/重新选择和公共陆地移动网络 (PLMN)选择。在无线接入网(例如，网络接入节点)中可能不存在用于 该客户端设备的上下文。此外，可能不存在S1-MME并且不存在S1-U连接 用于空闲状态下的客户端设备。
在连接状态下，在MME中知道具有服务接入网标识符(例如，eNB 标识符(ID)、基站ID或者网络接入点ID)的精度的客户端设备的位置。 客户端设备的移动性是由切换过程来处理的。此外，在客户端设备与MME 之间存在信令连接。该信令连接可以由两部分组成：无线资源控制(RRC) 连接和S1-MME连接。
图4是示出了在网络400中的各个实体处维持的客户端设备的示例性 网络状态的图。如图4中示出的，网络400包括客户端设备402、网络接入 节点404和演进型分组核心(EPC)406。如图4中进一步示出的，EPC 406 包括归属用户服务器(HSS)412、移动性管理实体(MME)408和分组数 据网络网关(P-GW)/服务网关(S-GW)410。在本公开内容的方面中，网络400可以是4G网络。在其它方面中，网络400可以是3G网络、LTE网 络、5G网络或者其它适当的网络。
例如，参考图4，当客户端设备402处于连接状态时，网络接入节点 404可以维持用于客户端设备402的上下文414(其还被称为网络状态信 息)。当客户端设备402处于连接状态时，MME 408可以维持用于客户端设 备402的上下文416，以及当客户端设备402处于空闲状态时，维持用于客 户端设备402的上下文418。当客户端设备402处于连接状态时， P-GW/S-GW 410可以维持用于客户端设备402的上下文426，以及当客户 端设备402处于空闲状态时，维持用于客户端设备402的上下文428。当客 户端设备402处于连接状态时，HSS 412可以维持用于客户端设备402的上 下文420，当客户端设备402处于空闲状态时，维持用于客户端设备402的 上下文422，以及当客户端设备402处于注销状态时，维持用于客户端设备402的上下文424。在本公开内容的方面中，如果网络400被实现为3G网 络，则当客户端设备402处于空闲状态时，P-GW/S-GW 410可以不维持用 于客户端设备402的上下文。
在本公开内容的方面中，可以为诸如图1中的IoTF-C 106和IoTF-U 108 之类的网络功能单元生成加密的客户端设备上下文，以实现用于客户端设 备的上下文(其还被称为客户端设备上下文)的机会性重建。例如，在维 持针对该客户端设备的最小网络状态信息，甚至不维持网络状态信息时， 加密的客户端设备上下文可以使得网络实体能够重建客户端设备上下文。 因此，加密的客户端设备上下文可以使得网络实体能够在无需存储或者缓存任何网络状态信息的情况下，重建客户端设备上下文。应当注意到的是， 在潜在地存在不频繁地发送业务的数十亿的客户端设备的情况下，不期望 网络功能单元(例如，MME408、P-GW/S-GW 410)维持用于客户端设备 的上下文(其包括安全上下文)。此外，加密的客户端设备上下文可以消除 切换期间或者从空闲模式到连接模式的转换期间，网络接入节点(例如， eNB、基站或者网络接入点)处的信令开销。由于可以避免与MME/控制器 的通信，所以使用加密的客户端设备上下文可以大量地减少或者消除信令 开销。
用户平面加密的客户端设备上下文
在本公开内容的方面中，可以为客户端设备生成用户平面(UP)加密 的客户端设备上下文。例如，参考图1，可以在IoTF-U 108处使用用户平 面加密的客户端设备上下文，来进行上行链路(UL)数据传输。在本公开 内容的方面中，用户平面加密的客户端设备上下文可以包括：承载ID、演 进型分组系统(EPS)承载服务质量(QoS)、用于用户平面通用分组无线 服务(GPRS)隧道协议(GTP-U)的S5隧道端点标识符(TEID)、IoTF-U 108将UL数据转发到的P-GW互联网协议(IP)地址(或者等同信息)、 和/或安全上下文(例如，选择的加密算法和用户平面(UP)密钥128)。在 其它方面中，用户平面加密的客户端设备上下文可以包括：可以由网络为 了向该客户端设备提供服务需要的其它参数、值、设置或者特征。在一个 示例中，UP密钥128可以是密钥KUP 214，根据该密钥KUP 214，可以推导 出密钥KIoT-UPenc 216和密钥KIoT-UPint 218。可以通过使用IoTF-U 108的秘密 密钥(例如，图3中示出的密钥KCDC-IoTF-U 306)，对用于客户端设备的用户 平面上下文进行加密，来生成该用户平面加密的客户端设备上下文。在本 公开内容的方面中，IoTF-U 108的秘密密钥(例如，密钥KCDC-IoTF-U 306) 可以是由IoTF-C 106供应的。该用户平面加密的客户端设备上下文可以是由具有该秘密密钥(例如，密钥KCDC-IoTF-U 306)的IoTF解密的。因此，用 户平面加密的客户端设备上下文可以是由生成该用户平面加密的客户端设 备上下文的IoTF解密的。
控制平面加密的客户端设备上下文
可以通过对用于控制消息(例如，控制分组或者包括控制分组的消息) 的控制平面客户端设备上下文进行加密，来生成控制平面(CP)加密的客 户端设备上下文。在方面中，控制平面加密的客户端设备上下文可以包括： 客户端设备标识符、客户端设备安全上下文(例如，诸如密钥KIoT(KASME等同物)、密钥KIoT-CPenc 210、密钥KIoT-CPint 212之类的控制平面密钥)、客 户端设备安全能力(例如，演进型分组系统加密算法(EEA)、演进型分组 系统完整性算法(EIA))和/或下一跳(S5/S8)配置信息。例如，下一跳配 置信息可以包括IoT服务器地址、P-GW地址和/或TEID。例如，参考图1， 可以利用IoTF-C 106的秘密密钥(例如，图3中示出的密钥KCDC-IoTF-C 304)， 对用于控制消息的控制平面客户端设备上下文进行加密。该控制平面加密 的客户端设备上下文可以是由具有该秘密密钥(例如，密钥KCDC-IoTF-C304) 的IoTF解密的。因此，加密的客户端设备上下文可以是由生成该控制平面 加密的客户端设备上下文的IoTF解密的。
加密的网络可达性上下文
可以(例如，由IoTF)对用于客户端设备的网络可达性上下文(NRC) 进行加密，以生成加密的网络可达性上下文，用于至该客户端设备的下行 链路(DL)传输。该加密的网络可达性上下文使得IoTF(例如，IoTF-C 106、 IoTF-U 108)能够在客户端设备变成空闲时，去除客户端设备上下文。例如， 参考图1，可以将该加密的网络可达性上下文提供给期望与客户端设备102 进行通信的IoT服务器122或者P-GW 124。因此，在该示例中，IoT网络 架构100不需要维持针对该客户端设备102的网络状态信息，或者可以减 少针对该客户端设备102维持的网络状态信息的量。当IoT服务器122或 者P-GW 124向客户端设备102发送DL数据分组时，其可以提供该加密的 网络可达性上下文，以允许IoT网络架构100中的一个或多个节点或者实 体(例如，网络接入节点104)重新构建该网络可达性上下文。
加密的网络可达性上下文可以包括下列特征中的一个或多个特征。在 本公开内容的方面中，加密的网络可达性上下文可以通过包括以下各项来 提供移动性特征：用于取回客户端设备102的网络侧网络状态信息的标识 符、用于确定在哪儿对客户端设备102进行寻呼的跟踪区域ID(TAI)列表 或者等同物、以及定时信息(例如，用于确定何时对客户端设备102进行 寻呼)。在本公开内容的方面中，加密的网络可达性上下文可以实现上下文再定位过程，例如，跟踪区域更新(TAU)和可选地获得新的加密的网络 可达性上下文和ID。在本公开内容的方面中，加密的网络可达性上下文可 以包括延伸到安全之外的信息，并且可以指示如何对安全上下文进行管理。
在本公开内容的方面中，IoTF-C 106向服务网络110中的一个或多个 实体(例如，IoT服务器122或者P-GW 124)提供信息(例如，TAI列表)。 然后，服务网络110中的这样的一个或多个实体可以向IoT网络架构100 中的其它实体发送该加密的网络可达性上下文，以重新建立用于该客户端 设备102的上下文。该加密的网络可达性上下文可以被实现用于网络发起 的业务。但是，在涉及客户端设备发起的业务或者网络发起的业务的一些 方面中，IoTF 105可以维持非常有限的用于客户端设备102的网络状态信 息，甚至不维持用于客户端设备102的网络状态信息。在本公开内容的方 面中，IoTF-C 106可以依据至少TAI列表来提供客户端设备102的位置， 其中该TAI列表可以是网络可达性上下文的一部分。
初始附着过程
图5是示出了根据本公开内容的各个方面的IoT网络架构500中的客 户端设备的初始附着过程的框图。在一些方面中，如本文描述的附着过程 还被称为网络附着过程或者注册过程。
如图5中示出的，IoT网络架构500包括客户端设备502(其还被称为 IoT设备)、网络接入节点504(例如，eNB、基站、网络接入点)、网络设 备505、服务网络510和归属用户服务器(HSS)/认证、授权和计费(AAA) 服务器512。在一个方面中，网络设备505可以包括被配置为实现IoTF的 一个或多个处理电路和/或其它适当的硬件。例如，IoTF可以包括控制平面 IoT功能单元(IoTF-C)506和用户平面IoT功能单元(IoTF-U)508。在 这样的方面中，IoTF-C 506可以被实现在第一网络节点507处，以及IoTF-U 508可以被实现在第二网络节点509处。在一个方面中，IoTF-C 506和IoTF-U 508可以被实现在同一个硬件平台处，使得IoTF-C 506和IoTF-U 508 均表示架构500中的独立的节点。在这样的方面中，例如，IoTF-C506可 以被实现在硬件平台(例如，网络设备505)上提供的第一虚拟机(例如， 第一操作系统)处，以及IoTF-U 508可以被实现在该硬件平台上提供的第 二虚拟机(例如，第二操作系统)处。
如图5中示出的，IoTF-C 506经由第一S1连接516，与网络接入节点 504相通信，以及IoTF-U 508经由第二S1连接514，与网络接入节点504 相通信。在本公开内容的方面中，服务网络510可以包括被配置为提供各 种类型的服务的多个实体、功能单元、网关和/或服务器。例如，服务网络 510可以包括短消息实体(SME)518、机器类型通信互通功能单元(MTC-IWF)520、IoT服务器522和/或分组数据网络(PDN)网关(P-GW) 524。应当理解的是，图5中公开的服务网络510充当一个示例，而在其它 方面中，与图5中公开的那些相比，服务网络510可以包括不同类型的实 体、功能单元和/或服务器。
如图5中示出的，客户端设备502可以向网络发送附着请求532，其中 所述附着请求532可以是由网络接入节点504接收的。在本公开内容的方 面中，附着请求532可以指示客户端设备502要作为IoT设备附着(例如， 或者指示执行小量(减少的)数据传送的请求，或者指示该客户端设备正 在低功耗模式下操作)，并且可以指示应当从其取回认证信息的归属域(例 如，HPLMN ID或者完全限定域名(FQDN))。网络接入节点504可以将该 请求转发给其所属于的IoTF-C 506。
IoTF-C 506可以根据由客户端设备502提供的归属域信息来确定 HSS/AAA服务器512的地址，并且可以向HSS/AAA服务器512发送针对 该客户端设备502的认证信息的请求534。IoTF-C 506可以从HSS/AAA服 务器512接收该认证信息535。
IoTF-C 506可以执行与客户端设备502的相互认证(例如，AKA过程)。 在AKA过程期间，IoTF-C 506可以通过认证信息535，从HSS/AAA服务 器512接收AV。例如，这些AV可以包含来自接入安全管理实体(ASME) 的密钥(在图2中被示作密钥KASME 206)。例如，IoTF-C506可以通过信 号536，向客户端设备502提供密钥KASME 206。当AKA过程被完成时，IoTF-C506和客户端设备502可以根据密钥KASME 206或者根据密钥KIoT 202，推导诸如密钥KCP 208、密钥KIoT-CPenc 210和/或密钥KIoT-CPint 212之类 的CP密钥526，并且可以推导诸如密钥KUP214、密钥KIoT-UPenc 216和/或 密钥KIoT-UPint 218之类的UP密钥528。在一些方面中，IoTF-C506可以经 由消息538，向IoTF-U 508传送密钥KUP 214和用户平面加密和完整性保护 密钥，例如，密钥KIoT-UPenc 216和密钥KIoT-UPint 218。
在本公开内容的方面中，IoTF-C 506可以通过使用上下文密钥530对 客户端设备上下文进行加密，来生成用于客户端设备502的一个或多个加 密的客户端设备上下文。然后，IoTF-C 506可以向客户端设备502发送所 述一个或多个加密的客户端设备上下文。例如，IoTF-C 506可以生成用于 控制平面的加密的客户端设备上下文和用于用户平面的加密的客户端设备 上下文。在这样的示例中，上下文密钥530可以包括：用于生成用于控制平面的加密的客户端设备上下文的第一上下文密钥(例如，密钥KCDC-IoTF-C 304)，以及用于生成用于用户平面的加密的客户端设备上下文的第二上下 文密钥(例如，密钥KCDC-IoTF-U306)。在本公开内容的方面中，IoTF-C 506可 以向IoTF-U 508提供上下文密钥530中的一个或多个上下文秘钥。例如， IoTF-C 506可以经由消息538，向IoTF-U 508发送用于生成用于用户平面 的加密的客户端设备上下文的第二上下文密钥(例如，密钥KCDC-IoTF-U 306)。因此，在一些方面中，IoTF-U 508可以包括由IoTF-C 506提供的上下文密 钥531。
在本公开内容的方面中，IoTF-C 506可以使用上下文密钥530对网络 可达性上下文进行加密，来生成一个或多个加密的网络可达性上下文，以 便向客户端设备502发送下行链路(DL)业务。然后，IoTF-C 506可以向 诸如IoT服务器522或者P-GW 524之类的网络实体发送所述一个或多个加 密的网络可达性上下文。本文详细地讨论了用于生成一个或多个加密的网 络可达性上下文的示例性方法。IoTF-C 506可以经由消息538，向IoTF-U 508发送密钥KUP 214、用户平面加密和完整性保护密钥(例如，密钥KIoT-UPenc 216和密钥KIoT-UPint218)、以及用于用户平面的网络可达性上下文(NRC) 加密密钥(例如，密钥KNRC-IoTF-U 312)。因此，在一些方面中，IoTF-U 508 可以包括由IoTF-C 506提供的上下文密钥531(例如，密钥KNRC-IoTF-U 312)。
图6是根据本公开内容的各个方面的IoT网络架构(例如，IoT网络架 构100、500)中的客户端设备的示例性附着过程的信号流程图600。如图6 中示出的，信号流程图600包括客户端设备602(其还被称为IoT设备)、 网络接入节点604(例如，eNB、基站或者网络接入点)、在网络节点605 处实现的IoTF-C 606、在网络节点607处实现的IoTF-U 608、服务网络609 和归属用户服务器(HSS)610。如图6中示出的，客户端设备602可以向 网络接入节点604发送请求612(例如，RRC连接请求)，以便与网络进行 通信。客户端设备602可以接收RRC连接建立消息614，所述RRC连接建 立消息614可以包括信令无线承载(SRB)配置(例如，用于通过专用控制 信道(DCCH)发送NAS消息的SRB1配置)。客户端设备602可以向网络 接入节点604发送RRC连接建立完成消息616。例如，RRC连接建立完成 消息616可以指示附着请求。网络接入节点604可以向IoTF-C 606发送初 始客户端设备消息618。IoTF-C 606可以根据由客户端设备602提供的归属 域信息来确定HSS服务器610的地址，并且可以与HSS 610进行通信621。 例如，IoTF-C 606可以向HSS服务器610发送针对客户端设备602的认证 信息的请求，并且可以从HSS服务器610接收该认证信息。
如图6中示出的，IoTF-C 606可以执行与客户端设备602的相互认证， 例如，AKA过程620。当AKA过程620被完成时，IoTF-C 606和客户端设 备602可以根据密钥KASME 206或者根据密钥KIoT 202，推导诸如密钥 KIoT-CPenc 210和/或密钥KIoT-CPint 212之类的控制平面密钥。IoTF-C 606和客 户端设备602还可以根据密钥KASME 206或者根据密钥KIoT 202，推导诸如 密钥KIoT-UPenc 216和/或密钥KIoT-UPint 218之类的用户平面密钥。在本公开内 容的方面中，IoTF-C 606可以通过使用密钥KCDC-IoTF-C 304对用于客户端设 备602的控制平面上下文进行加密，来生成控制平面加密的客户端设备上 下文，和/或可以通过使用密钥KCDC-IoTF-U306对用于客户端设备602的用户 平面上下文进行加密，来生成用户平面加密的客户端设备上下文。IoTF-C 606可以经由消息622，向IoTF-U 608传送一个或多个密钥(例如，诸如密钥KIoT-UPenc 216和/或密钥KIoT-UPint 218和/或密钥KCDC-IoTF-U 306之类的用户 平面密钥)。
IoTF-C 606可以向客户端设备602发送具有加密的客户端设备上下文(例如，控制平面加密的客户端设备上下文和/或用户平面加密的客户端设 备上下文)的初始上下文建立请求消息624。因此，加密的客户端设备上下 文可以包括与IoTF的IoTF-C 606和/或IoTF-U 608相关联的客户端设备上 下文，其中该客户端设备上下文可以被用于客户端设备602的上行链路数 据传输。在本公开内容的方面中，加密密钥仅仅对于IoTF已知(例如，可 以由IoTF的IoTF-C 606和/或IoTF-U 608唯一地取回客户端设备安全上下 文)。因此，在这样的方面中，加密密钥可以是KCDC-IoTF-U 306，所述KCDC-IoTF-U 306对于IoTF 606之外的网络实体(例如，网络接入节点604或者客户端 设备602)可以是未知的。在本公开内容的方面中，每个加密的客户端设备 上下文与一个数据无线承载(DRB)相对应。
在本公开内容的方面中，IoTF-C 606可以向服务网络609发送包括加 密的网络可达性上下文的消息625。在本公开内容的方面中，IoTF-C 606可 以通过使用密钥KNRC-IoTF-C310对用于客户端设备602的控制平面上下文进 行加密，来生成控制平面(CP)加密的网络可达性上下文，和/或可以通过 使用密钥KNRC-IoTF-U 312对用于客户端设备602的用户平面上下文进行加 密，来生成用户平面(UP)加密的网络可达性上下文。因此，在一个示例 中，IoTF-C 606可以向服务网络609发送包括加密的网络可达性上下文(例 如，CP加密的网络可达性上下文和/或UP加密的网络可达性上下文)的消 息625。因此，该加密的网络可达性上下文可以包括与IoTF的IoTF-C 606 和/或IoTF-U 608相关联的客户端设备上下文(例如，网络状态信息)，其 中这样的客户端设备上下文可以被用于从网络(例如，从服务网络609中 的实体)到客户端设备602的下行链路(DL)数据传输。在本公开内容的 方面中，该加密密钥仅仅对于IoTF是已知的(例如，可以由IoTF的IoTF-C 606和/或IoTF-U 608唯一地取回)。在本公开内容的方面中，IoTF-C 608 可以向网络实体(例如，服务网络609中的IoT服务器或者P-GW)分配加 密的网络可达性上下文。
网络接入节点604可以向客户端设备602发送RRC连接重新配置消息 626。在本公开内容的方面中，RRC连接重新配置消息626可以包括加密的 客户端设备上下文。客户端设备602可以向网络接入节点604发送RRC连 接重新配置完成消息628。客户端设备602可以向网络接入节点604发送包 括数据分组(例如，UL数据分组)的第一消息630。网络接入节点604可 以经由第二消息632，将该数据分组转发给服务网络609。服务网络609可 以向客户端设备602发送包括数据分组(例如，DL数据分组)的第三消息 634。例如，并且如图6中示出的，第三消息634可以是由IoTF-U 608和网 络接入节点604转发给客户端设备602的。然后，客户端设备602可以转 换636到空闲模式。网络接入节点604、IoTF-C 606和IoTF-U 608可以继 续进行以去除638该客户端设备上下文。
IoT UL数据传送
图7是示出了根据本公开内容的各个方面的由IoT网络架构700中的 客户端设备发起的数据传输的框图。如图7中示出的，IoT网络架构700包 括客户端设备702(其还被称为IoT设备)、网络接入节点704(例如，eNB、 基站、网络接入点)、网络设备705、服务网络710和归属用户服务器(HSS) /认证、授权和计费(AAA)服务器712。在一个方面中，网络设备705可 以包括被配置为实现IoTF的一个或多个处理电路和/或其它适当的硬件。例 如，IoTF可以包括控制平面IoT功能单元(IoTF-C)706和用户平面IoT 功能单元(IoTF-U)708。在这样的方面中，IoTF-C 706可以被实现在网络 节点707处，以及IoTF-U 708可以被实现在网络节点709处。在一个方面 中，IoTF-C 706和IoTF-U 708可以被实现在同一个硬件平台处，使得IoTF-C 706和IoTF-U 708均表示架构700中的独立的节点。在这样的方面中，例 如，IoTF-C 706可以被实现在硬件平台(例如，网络设备705)上提供的第 一虚拟机(例如，第一操作系统)处，以及IoTF-U 708可以被实现在该硬 件平台上提供的第二虚拟机(例如，第二操作系统)处。
在本公开内容的方面中，服务网络710可以包括被配置为提供各种类 型的服务的多个实体、功能单元、网关和/或服务器。例如，服务网络710 可以包括短消息实体(SME)718、机器类型通信互通功能单元(MTC-IWF) 720、IoT服务器722和/或分组数据网络(PDN)网关(P-GW)724。应当 理解的是，图7中公开的服务网络710充当一个示例，而在其它方面中， 与图7中公开的那些相比，服务网络710可以包括不同类型的实体、功能 单元和/或服务器。
在图7的方面中，IoTF-C 706可能已经生成用于控制平面的加密的客 户端设备上下文和用于用户平面的加密的客户端设备上下文。在这样的方 面中，上下文密钥730可以包括：用于生成用于控制平面的加密的客户端 设备上下文的第一上下文密钥(例如，密钥KCDC-IoTF-C 304)和用于生成用 于用户平面的加密的客户端设备上下文的第二上下文密钥(例如，密钥 KCDC-IoTF-U 306)。例如，IoTF-C 706可能已经向IoTF-U 708发送用于生成用 于用户平面的加密的客户端设备上下文的第二上下文密钥(例如，密钥 KCDC-IoTF-U 306)。因此，在这样的示例中，如图7中示出的，IoTF-U 708可 以包括由IoTF-C 706提供的上下文密钥731。在图7的该方面中，客户端 设备702以先前讨论的方式，已经推导出CP密钥726和UP密钥728。
在图7的该方面中，IoTF-C 706可能已经生成用于控制平面的加密的 网络可达性上下文和用于用户平面的加密的网络可达性上下文。在这样的 方面中，上下文密钥730可以包括：用于生成用于控制平面的加密的网络 可达性上下文的第一上下文密钥(例如，密钥KNRC-IoTF-C 310)和用于生成 用于用户平面的加密的网络可达性上下文的第二上下文密钥(例如，密钥 KNRC-IoTF-U 312)。例如，IoTF-C 706可能已经向IoTF-U 708发送用于生成用于用户平面的加密的网络可达性上下文的第二上下文密钥(例如，密钥 KNRC-IoTF-U 312)。因此，如图7中示出的，在这样的示例中，IoTF-U 708可 以包括由IoTF-C 706提供的上下文密钥731。
如图7中示出的，客户端设备702可以向网络接入节点704发送第一 消息732，其中所述第一消息732包括数据分组和由IoTF-C 706提供的加 密的客户端设备上下文。第一消息732中的数据分组可以是基于用户平面 (UP)密钥728来进行加密和完整性保护的。网络接入节点704可以根据 数据分组中的IoTF-U标识符来确定IoTF-U 708的地址，并且可以经由第二 消息734将该数据分组转发给IoTF-U 708。在方面中，网络接入节点704 可以在无需对分组进行验证的情况下，将该数据分组转发给由客户端设备 702指示的下一跳节点(例如，IoTF-U 708)。IoTF-U 708可以对加密的客 户端设备上下文进行验证，并且可以使用上下文密钥731(例如，用于生成 用于用户平面的加密的客户端设备上下文的密钥KCDC-IoTF-U 306)对该加密 的客户端设备上下文进行解密。IoTF-U 708可以基于解密后的信息来重新 构建客户端设备上下文。然后，IoTF-U 708可以利用加密和完整性密钥(例 如，UP密钥728)，对该数据分组进行解密和验证。在本公开内容的方面中， IoTF-U 708可以基于客户端设备702的上下文(例如，网络状态信息)来 生成加密的网络可达性上下文。IoTF-U 708可以利用加密的网络可达性上 下文，经由第三消息736，将数据分组转发给下一跳(例如，IoT服务器722 或者P-GW 724)。在本公开内容的方面中，紧跟着附着过程的客户端设备 702的初始数据传送，可以不携带加密的客户端设备上下文。
图8是示出了根据本公开内容的各个方面的由IoT网络架构(例如，IoT 网络架构700)中的客户端设备发起的示例性数据传输的信号流程图800。 如图8中示出的，信号流程图800包括客户端设备802(其还被称为IoT设 备)、网络接入节点804(例如，eNB、基站或者网络接入点)、在网络节点 805处实现的IoTF-U 806和服务网络808。客户端设备802可以向网络接入 节点804发送数据传送请求消息810，所述数据传送请求消息810包括加密 的客户端设备上下文和数据分组(例如，UL数据分组)。该数据分组可以 是基于先前讨论的用户平面密钥(例如，密钥KIoT-UPenc 216和/或密钥KIoT-UPint 218)来进行加密和完整性保护的。在方面中，数据传送请求消息810可以 是由客户端设备802在不与网络接入节点804建立RRC连接的情况下发送 的。在接收到数据传送请求消息810时，网络接入节点804可以为客户端设备802分配812临时标识符(TID)，用于潜在的下行链路(DL)业务。 例如，该TID可以是小区无线网络临时标识符(C-RNTI)。网络接入节点 804可以确定被包括在数据分组的报头中的IoTF-U标识符。本文参考图12 讨论包括这样的报头的数据分组的示例性格式。网络接入节点804可以确 定IoTF-U 806的IP地址，并且可以经由第一消息814，将数据分组转发给IoTF-U 806。例如，作为操作和维护(OAM)过程的一部分，网络接入节 点804可以被配置有一组IoTF-U标识符和相应的IP地址，或者替代地， 网络接入节点804可以基于IoTF-U ID，使用域名系统(DNS)查询来确定 IoTF-U 806的IP地址。在本公开内容的方面中，并且如图8中示出的，网 络接入节点804可以将TID和加密的客户端设备上下文连同数据分组一起 包括在第一消息814中。在本公开内容的方面中，TID被存储在网络接入 节点804处达预先规定的时间间隔。在这样的方面中，网络接入节点804 可以用第一消息814，将TID到期时间连同TID一起发送给IoTF-U 806。 IoTF-U 806可以对加密的客户端设备上下文进行解密，并且可以重新构建 816客户端设备上下文(例如，S5承载)。在方面中，然后，IoTF-U 806可 以利用加密和完整性密钥(例如，UP密钥728)，对数据分组进行解密和验 证。
IoTF-U 806可以经由第二消息818，将数据分组转发给服务网络808(例 如，服务网络808中的P-GW或者服务网络808中的其它实体)。响应于该 上行链路数据(例如，第二消息818中的UL数据分组)，IoTF-U 806可以 经由第三消息820，从服务网络808(例如，服务网络808中的P-GW或者 服务网络808中的相应的实体)接收数据分组(例如，DL数据分组)。IoTF-U 806可以确定与客户端设备802相关联的一个或多个密钥(例如，用户平面 密钥728)。例如，IoTF-U 806可以利用与客户端设备802相关联的密钥 KIoT-UPenc 216和/或密钥KIoT-UPint 218，对针对该客户端设备的数据分组进行加密 和完整性保护。IoTF-U 806可以用第四消息822，向网络接入节点804发送 所接收的数据分组与TID。网络接入节点804可以使用TID来识别客户端 设备802，并且可以用第五消息824向客户端设备802发送数据分组。客户 端设备802可以基于预先配置的定时器，转换826到空闲模式。网络接入 节点804和IoTF-U 806可以继续进行以去除828客户端设备上下文，所述 客户端设备上下文是根据加密的客户端设备上下文在运行中生成的。
客户端设备终止的数据传送
图9是根据本公开内容的各个方面的在IoT网络架构(例如，IoT网络 架构100)中，示例性客户端设备终止数据传输的信号流程图900。如图9 中示出的，信号流程图900包括客户端设备902(其还被称为IoT设备)、 网络接入节点904(例如，eNB、基站、网络接入点)、在网络节点905处 实现的IoTF-C 906和在网络节点907处实现的IoTF-U 908、P-GW 910和IoT服务器912。
IoT服务器912可以向P-GW 910发送包括DL数据分组、全球IoTF 标识符(GIOTFI)和加密的网络可达性上下文(NRC)的下行链路(DL) 消息914。P-GW 910可以基于GIOTFI来定位IoTF-U 908，并且可以用转 发消息916，将DL数据分组转发给IoTF-U 908。在本公开内容的方面中， IoTF-U 908可以对该加密的网络可达性上下文进行验证。如图9中示出的，IoTF-U 908可以重新构建917用于客户端设备902的上下文。例如，IoTF-U 908可以通过使用被存储在IoTF-U 908处的上下文密钥(例如，密钥 KNRC-IoTF-U 312)对加密的网络可达性上下文进行解密，来重新构建用于客 户端设备902的上下文。
IoTF-U 908可以向IoTF-C 906发送DL数据通知消息918。在本公开 内容的方面中，如果DL数据分组足够小以至于能够被携带在寻呼消息中， 则DL数据通知消息918可以包括该DL数据分组。IoTF-C 906可以向一个 或多个网络接入节点(例如，网络接入节点904)发送寻呼消息920。然后， 网络接入节点904可以通过发送寻呼消息922，来寻呼客户端设备902。
客户端设备902可以向IoTF-U 908发送包括UL数据分组的RRC连接 请求消息924。在本公开内容的方面中，由客户端设备902发送的UL数据 分组可以是空的。网络接入节点904可以为客户端设备902分配926临时 标识符(TID)，用于潜在的下行链路(DL)业务。例如，该TID可以是小 区无线网络临时标识符(C-RNTI)。然后，网络接入节点904可以用转发消 息928，将UL数据分组与TID和加密的客户端设备上下文转发给IoTF-U 908。IoTF-U 908可以存储930TID和网络接入节点904的ID。
IoTF-U 908可以向IoTF-C 906发送客户端设备响应通知消息932。在 本公开内容的方面中，如果IoTF-U 908不能够将DL数据分组包括在DL 数据通知消息918中，则IoTF-U908可以向客户端设备902发送包括DL 数据分组和客户端设备902的TID的消息934。网络接入节点904可以用 转发消息936，将该DL数据分组转发给客户端设备902。然后，客户端设备902可以转换938到空闲模式。网络接入节点904和IoTF-C 906可以去 除940该客户端设备上下文。
控制平面协议栈
图10是示出了根据本公开内容的各个方面的用于IoT数据传输的控制 平面协议栈1000的图。如图10中示出的，协议栈1000可以包括客户端设 备协议栈1002(其还被称为IoT设备协议栈)、网络接入节点协议栈1004、 在网络节点1005处实现的IoTF协议栈1006、以及服务网络协议栈1008。 例如，网络接入节点协议栈1004可以在eNB、基站或者网络接入点中实现。 作为另一示例，服务网络协议栈1008可以在P-GW中实现。如图10中示 出的，客户端设备协议栈1002可以包括物理(PHY)层1010、介质访问控 制(MAC)层1012、无线链路控制(RLC)层1014、分组数据汇聚协议(PDCP) 层1016和控制(Ctrl)层1020。如图10中进一步示出的，客户端设备协议 栈1002可以实现上下文协议层1018，用于传送控制平面加密的客户端设备 上下文(在图10中被缩写为“CDCCP”)。上下文协议层1018还可以实现用 于指示加密的客户端设备上下文的存在的IoTF ID(IID)和/或安全报头(在 图10中被缩写为“Sec”)的通信。
如图10中示出的，网络接入节点协议栈1004可以包括PHY层1022、 MAC层1024、RLC层1026和PDCP层1028，它们分别与客户端设备协议 栈1002的PHY层1010、MAC层1012、RLC层1014和PDCP层1016相 连接。网络接入节点协议栈1004还可以包括以太网层1030、MAC层1032、 互联网协议(IP)层1034、用户数据报协议(UDP)层1036和控制平面 GPRS隧道协议(GTP-C)层1038。
如图10中示出的，IoTF协议栈1006可以包括以太网层1040、MAC 层1042、IP层1044、UDP层1046、GTP-C层1048和控制(Ctrl)层1052。 如图10中进一步示出的，IoTF协议栈1006可以实现上下文协议层1050， 用于传送控制平面加密的客户端设备上下文(在图10中被缩写为 “CDCCP”)。上下文协议层1050还可以实现用于指示加密的客户端设备上 下文的存在的IoTF ID(IID)和/或安全报头(在图10中被缩写为“Sec”) 的通信。如图10中示出的，客户端设备协议栈1002的上下文协议层1018 与IoTF协议栈1006的上下文协议层1050相通信。在方面中，可以根据参 考图12描述的示例性分组格式，将加密的客户端设备上下文携带在UP消 息之外的分组报头中。如图10中进一步示出的，IoTF协议栈1006还可以 实现上下文协议层1049，用于传送控制平面加密的网络可达性上下文(在 图10中被缩写为“NRCCP”)。上下文协议层1049还可以实现用于指示加密 的网络可达性上下文的存在的IoTFID(IID)和/或安全报头(在图10中被 缩写为“Sec”)的通信。
服务网络协议栈1008可以包括IP层1054、UDP层1056、GTP-C层 1058和Ctrl层1062，它们分别与IoTF协议栈1006的IP层1044、UDP层 1046、GTP-C层1048和Ctrl层1052相连接。如图10中进一步示出的，服 务网络协议栈1008可以实现上下文协议层1059，用于传送控制平面加密的 网络可达性上下文(在图10中被缩写为“NRCCP”)。上下文协议层1059 还可以实现用于指示加密的网络可达性上下文的存在的IoTF ID(IID)和/ 或安全报头(在图10中被缩写为“Sec”)的通信。如图10中示出的，服 务网络协议栈1008的上下文协议层1059与IoTF协议栈1006的上下文协 议层1049相通信。在本公开内容的方面中，可以根据参考图13描述的示 例性分组格式，将加密的网络可达性上下文携带在用户平面消息之外的分 组报头中。在本公开内容的方面中，如果将网络架构实现为GSM EDGE无 线接入网(GERAN)，则可以使用与IP协议1066不同的协议。在本公开内 容的方面中，可以省略由区域1064和1068指示的GTP-C和UDP协议。
用户平面协议栈
图11是示出了根据本公开内容的各个方面的用于IoT数据传输的用户 平面协议栈1100的图。如图11中示出的，协议栈1100可以包括客户端设 备协议栈1102(其还被称为IoT设备协议栈)、网络接入节点协议栈1104、 在网络节点1105处实现的IoTF协议栈1106、以及服务网络协议栈1108。 例如，网络接入节点协议栈1104可以在eNB、基站或者网络接入点中实现。 作为另一示例，服务网络协议栈1108可以在P-GW中实现。如图11中示 出的，客户端设备协议栈1102可以包括物理(PHY)层1110、介质访问控 制(MAC)层1112、无线链路控制(RLC)层1114、分组数据汇聚协议(PDCP) 层1116和用户平面(UP)层1120。如图11中进一步示出的，客户端设备 协议栈1102可以实现上下文协议层1118，用于传送用户平面加密的客户端 设备上下文(在图11中被缩写为“CDCUP”)。上下文协议层1118还可以实 现用于指示加密的客户端设备上下文的存在的IoTF ID(IID)和/或安全报 头(在图11中被缩写为“Sec”)的通信。
如图11中示出的，网络接入节点协议栈1104可以包括PHY层1122、 MAC层1124、RLC层1126和PDCP层1128，它们分别与客户端设备协议 栈1102的PHY层1110、MAC层1112、RLC层1114和PDCP层1116相连 接。网络接入节点协议栈1104还可以包括以太网层1130、MAC层1132、 互联网协议(IP)层1134、用户数据报协议(UDP)层1136和用户平面 GPRS隧道协议(GTP-U)层1138。
如图11中示出的，IoTF协议栈1106可以包括以太网层1140、MAC 层1142、IP层1144、UDP层1146和GTP-U层1148。如图11中进一步示 出的，IoTF协议栈1106可以实现上下文协议层1150，用于传送用户平面 加密的客户端设备上下文(在图11中被缩写为“CDCUP”)。上下文协议层 1150还可以实现用于指示加密的客户端设备上下文的IoTF ID(IID)和/或安全报头(在图11中被缩写为“Sec”)的通信。如图11中示出的，客户端 设备协议栈1102的上下文协议层1118与IoTF协议栈1106的上下文协议层 1150相通信。在方面中，可以根据参考图12描述的示例性分组格式，将用 户平面加密的客户端设备上下文携带在UP消息之外的分组报头中。如图 11中进一步示出的，IoTF协议栈1106还可以实现上下文协议层1149，用 于传送用户平面加密的网络可达性上下文(在图11中被缩写为“NRCUP”)。 上下文协议层1149还可以实现用于指示加密的网络可达性上下文的存在的 IoTF ID(IID)和/或安全报头(在图11中被缩写为“Sec”)的通信。
服务网络协议栈1108可以包括IP层1154、UDP层1156、GTP-U层 1158和UP层1162，它们分别与IoTF协议栈1106的IP层1144、UDP层 1146、GTP-U层1148和UP层1152相连接。服务网络协议栈1108可以实 现上下文协议层1159，用于传送用户平面加密的网络可达性上下文(在图 11中被缩写为“NRCUP”)。如图11中示出的，服务网络协议栈1108的上 下文协议层1159与IoTF协议栈1106的上下文协议层1149相通信。在本公 开内容的方面中，可以根据参考图11描述的示例性分组格式，将用户平面 加密的网络可达性上下文携带在UP消息之外的分组报头中。在本公开内容 的方面中，如果将网络架构实现为GSM EDGE无线接入网(GERAN)，则 可以使用与IP协议1166不同的协议。在本公开内容的方面中，可以省略由 区域1164和1168指示的GTP-U和UDP协议。在本公开内容的方面中，如 果IP协议被用于UP消息传送，则可以在IP选项字段(IPv4)或者IP扩展 报头(IPv6)中携带用户平面加密的网络可达性上下文。
IoT分组格式
图12是根据本公开内容的各个方面的用于IoT网络架构中的传输的分 组格式1200的图。参考图12，网络接入节点(例如，eNB、基站或者网络 接入点)可以使用临时标识符(TID)字段1202，来本地地识别客户端设 备(其还被称为IoT设备)。例如，由网络接入节点为用于识别客户端设备 的TID字段1202分配的值，可以是C-RNTI或者等同值。在本公开内容的 方面中，IoTF ID(IID)字段1204可以包括全球唯一临时标识符(GUTI)。 例如，该GUTI可以包括与IoTF相关联的标识符和与该客户端设备相关联 的标识符(例如，诸如移动性管理实体(MME)临时移动用户标识(M-TMSI) 之类的临时标识符)。例如，网络接入节点可以使用GUTI来识别IoTF，以 及IoTF可以使用GUTI来识别客户端设备。在另一方面中，IID字段1204 可以包括全球IoTF标识符(GIOTFI)和与客户端设备相关联的标识符(例 如，诸如M-TMSI之类的临时标识符)。例如，GIOTFI可以是用于IoTF的 全球唯一移动性管理实体标识符(GUMMEI)的等同物。在本公开内容的 方面中，为了客户端设备的隐私，可以对M-TMSI进行加密。应当注意到 的是，使用IoTF IP地址可能泄露网络拓扑。
安全报头字段1206可以指示加密的客户端设备上下文、控制平面(CP) /用户平面(UP)指示、序号、时间戳值和/或随机值的存在。例如，时间戳 值可以是基于时间和计数器的，其中该时间是网络接入节点时间或者IoTF 时间。客户端设备上下文字段1208可以包括加密的客户端设备上下文。应 当注意到的是，如果使用时间戳而不是序号来进行加密，则IoTF可能不需 要维持任何客户端设备网络状态。在方面中，随机值可以是基于随机数和计数器的。该随机值可以是由网络接入节点生成的、或者是由客户端设备 生成的、或者是通过其组合来生成的。针对每个分组，可以对计数器递增 某个值(例如，一)。如果使用随机值而不是序号来进行加密，则客户端设 备可以基于安全上下文中的加密密钥和随机数来生成新的加密密钥。如果 使用随机值而不是序号来进行完整性保护，则客户端设备可以基于安全上 下文中的完整性保护密钥和随机数来生成新的完整性保护密钥，并且可以 使用该新的完整性保护密钥来保护消息。有效载荷字段1210可以包括数据 或者控制信息(例如，数据分组或者控制分组)。
消息认证码(MAC)字段1212可以被用于完整性保护。例如，MAC字 段1212可以包括由发送设备或者实体生成的消息认证码。然后，接收设备 或者实体可以使用MAC字段1212中的消息认证码来验证该消息的完整性 尚未受到损害(例如，该消息的内容尚未被改变或者被操纵)。在一个方面 中，可以在发送设备或者实体处通过应用消息认证码生成算法(例如，AEAD 密码)，来生成MAC字段1212中的消息认证码，其中将消息(例如，分组) 和用户平面密钥或者控制平面密钥用作该消息认证码生成算法的输入。该 消息认证码生成算法的输出可以是被包括在MAC字段1212中的消息认证 码。接收设备或者实体可以通过向所接收的消息应用消息认证码生成算法 (例如，AEAD密码)，对该消息的完整性进行验证。例如，可以将所接收 的消息(例如，分组)和用户平面密钥或者控制平面密钥用作该消息认证 码生成算法的输入。然后，接收设备或者实体可以将该消息认证码生成算 法的输出与被包括在MAC字段1212中的消息认证码进行比较。在这样的 示例中，当该消息认证码生成算法的输出与被包括在MAC字段1212中的 消息认证码相匹配时，接收设备或者实体可以确定已经对该消息进行了成 功地验证。
图13是根据本公开内容的各个方面的用于IoT网络架构中的传输的分 组格式1300的图。参考图13，网络接入节点(例如，eNB、基站或者网络 接入点)可以使用临时标识符(TID)字段1302，来本地地识别客户端设 备(其还被称为IoT设备)。例如，由网络接入节点为用于识别客户端设备 的TID字段1302分配的值，可以是C-RNTI或者等同值。在本公开内容的 方面中，IoTF ID(IID)字段1304可以包括全球唯一临时标识符(GUTI) 或者全球IoTF标识符(GIOTFI)。例如，网络接入节点可以使用GUTI来 识别IoTF，以及IoTF可以使用GUTI来识别客户端设备。例如，该GIOTFI 可以是用于IoTF的全球唯一移动性管理实体标识符(GUMMEI)的等同物。 在本公开内容的方面中，为了客户端设备的隐私，可以对移动性管理实体 (MME)临时移动用户标识(M-TMSI)进行加密。应当注意到的是，使 用IoTF IP地址可能泄露网络拓扑。安全报头字段1306可以指示加密的网 络可达性上下文、CP/UP指示、序号和/或时间戳值的存在。例如，时间戳 值可以是基于时间和计数器的，其中该时间是网络接入节点时间或者IoTF 时间。网络可达性上下文字段1308可以包括加密的网络可达性上下文。有 效载荷字段1310可以包括数据或者控制信息(例如，数据分组或者控制分 组)。消息认证码(MAC)字段1312可以被用于完整性保护(例如，可以 使用AEAD密码)。应当注意到的是，如果使用时间戳而不是序号来进行加 密，则IoTF可能不需要维护客户端设备的任何网络状态信息。
加密的客户端设备上下文设计方案和生成
在本公开内容的方面中，该加密的客户端设备上下文可以包含在AKA 过程期间建立的客户端设备上下文。例如，该客户端设备上下文可以包括 安全上下文、承载ID、演进型分组系统(EPS)承载服务质量(QoS)和 S5-TEID、和/或网络为了向客户端设备提供服务可能需要的其它服务、参 数、值、设置或者特征。
在一些方面中，除了客户端设备上下文之外，该加密的客户端设备上 下文可以包括一个或多个信息项。例如，该加密的客户端设备上下文可以 包括由IoTF-C 106设置的(或者在客户端设备上下文中指示的)到期时间， 其限制该加密的客户端设备上下文的使用期(例如，以防止永久性的再使 用)。作为另一示例，该加密的客户端设备上下文可以具有密钥索引，所述 密钥索引标识被用于生成该加密的客户端设备上下文的密钥。
在一些方面中，该加密的客户端设备上下文可以是使用仅仅对于网络 中的实体已知的秘密密钥生成的，并且因此可能不被客户端设备解译和/或 修改。例如，该加密的客户端设备上下文可以是通过使用IoTF-U(例如， IoTF-U 108)的秘密密钥对客户端设备上下文进行加密生成的。在一些方面 中，该加密的客户端设备上下文可以是利用IoTF-U(例如，IoTF-U 108) 的秘密密钥来进行完整性保护的，并且因此可以不被客户端设备操纵/修改。
在方面中，当成功完成认证和上下文(例如，承载)建立时，IoTF-C (例如，IoTF-C106)可以将该加密的客户端设备上下文提供给客户端设备 (例如，客户端设备102)。在方面中，客户端设备可以将该加密的客户端 设备上下文包括在一个或多个用户平面分组(例如，UL数据分组)中，以 使得IoTF-U(例如，IoTF-U 108)能够在运行时重新构建该客户端设备上 下文。例如，如果客户端设备需要按顺序排列地发送多个分组，则客户端 设备可以将该加密的客户端设备上下文包括在第一分组中，而无需将该加 密的客户端设备上下文包括在后续的分组中。在一些方面中，该加密的客 户端设备上下文可以是特定于客户端设备的，并且因此向一客户端设备发 出的加密的客户端设备上下文可以不被任何其它客户端设备使用。
a)控制平面加密的客户端设备上下文
在本公开内容的方面中，IoTF(例如，图1中的IoTF-C 106)可以通 过将一个或多个信息项连接在一起，来生成加密的客户端设备上下文。例 如，控制平面(CP)加密的客户端设备上下文(CDCCP)可以是基于表达 式KeyID||Enc_KCDC-IoTF-C(CDCCP)||MAC生成的。在本公开内容的方面中， 密钥KCDC-IoTF-C(例如，图3中的密钥KCDC-IoTF-C 304)可以与密钥KCDC-IoTF(例如，图3中的密钥KCDC-IoTF 302)相同，或者是根据密钥KCDC-IoTF推导 出的。KeyID项可以表示密钥索引(其被用于生成加密的客户端设备上下 文)。
CDCCP项可以表示控制平面客户端设备上下文。例如，控制平面客户 端设备上下文可以包括客户端设备标识符、客户端设备安全上下文(例如， 诸如密钥KIoT(KASME等同物)、密钥KIoT-CPenc 210、密钥KIoT-CPint 212之类 的控制平面密钥)、客户端设备安全能力(例如，演进型分组系统加密算法 (EEA)、演进型分组系统完整性算法(EIA))和/或下一跳(S5/S8)配置 信息。例如，下一跳配置信息可以包括IoT服务器地址、P-GW地址和/或 TEID。MAC项可以指示加密模式和/或消息认证码生成算法(其还被称为 MAC算法)，其可以是由移动网络运营商(MNO)选择的并且配置给IoTF 的。因此，Enc_KCDC-IoTF-C(CDCCP)项可以表示使用密钥KCDC-IoTF-C，关于 控制平面客户端设备上下文执行的加密操作的结果。
b)用户平面加密的客户端设备上下文
作为另一示例，用户平面(UP)加密的客户端设备上下文(CDCUP) 可以是基于表达式KeyID||Enc_KCDC-IoTF-U(CDCUP)||MAC生成的。CDCUP项可以表示用户平面客户端设备上下文。例如，用户平面客户端设备上下 文可以包括客户端设备标识符、承载ID、演进型分组系统(EPS)承载服 务质量(QoS)、用于用户平面通用分组无线服务(GPRS)隧道协议(GTP-U)的S5隧道端点标识符(TEID)、IoTF-U 108将UL数据转发到的P-GW互 联网协议(IP)地址(或者等同信息)、客户端设备安全上下文(例如，选 择的加密算法和用户平面密钥(例如，密钥KIoT-UPenc 216、密钥KIoT-UPint 218))、客户端设备安全能力(例如，演进型分组系统加密算法(EEA)、 演进型分组系统完整性算法(EIA))和/或下一跳(S5/S8)配置信息。例如， 下一跳配置信息可以包括IoT服务器地址、P-GW地址和/或TEID。因此， Enc_KCDC-IoTF-U(CDCUP)项可以表示使用密钥KCDC-IoTF-U，关于用户平面客 户端设备上下文上执行的加密操作的结果。在本公开内容的方面中，该加 密的客户端设备上下文可能仅仅被该客户端设备所附着/关联到的IoTF(例 如，IoTF-C 106和/或IoTF-U 108)解密。在本公开内容的方面中，可以在 对客户端设备上下文进行加密之前，对其进行压缩。
该加密的客户端设备上下文可以具有一个或多个特性。例如，加密的 客户端设备上下文可以包含与特定的客户端设备相关联的网络状态信息， 并且因此可能不能传送到其它客户端设备。IoTF-C/U(例如，IoTF-C 106 和/或IoTF-U 108)可以不维持客户端设备的上下文(例如，网络状态信息)。 因此，这样的IoTF-C/U可以使用其自己的秘密密钥，根据加密的客户端设 备上下文来恢复出客户端设备上下文，并且因此，IoTF-C/U可能不需要存储任何另外的信息来恢复客户端设备上下文。在某些情况下(例如，演进 型分组系统连接管理(ECM)空闲或者紧接在小量数据传送之后)，IoTF-C/U 可以去除客户端设备上下文，并且在必要的时候(例如，用于数据传送) 对其进行恢复。
客户端设备可以存储由IoTF-C提供的加密的客户端设备上下文，用于 快速UL数据传送/快速控制平面消息传送。客户端设备可以在发送一个或 多个数据分组之后，紧接着进入休眠模式。由于可能不存在IoTF-U为了重 新构建客户端设备上下文的消息交换开销，因此小量数据分组的传输不会 经历延迟。在本公开内容的方面中，当客户端设备处于空闲模式时，可以 不使用控制平面消息来用于用户平面数据传输。
加密的网络可达性上下文设计方案和生成
a)控制平面加密的网络可达性上下文
在本公开内容的方面中，加密的网络可达性上下文可以是通过将一个 或多个信息项连接在一起生成的。例如，控制平面(CP)加密的网络可达 性上下文可以是基于表达式KeyID||Enc_KNRC-IoTF-C(CDCCP)||MAC生成的。 在本公开内容的方面中，密钥KNRC-IoTF-C(例如，图3中的密钥KNRC-IoTF-C 310) 可以与密钥KNRC-IoTF(例如，图3中的密钥KNRC-IoTF 308)相同，或者可以 是根据密钥KNRC-IoTF推导出的。KeyID项可以表示密钥索引(其被用于生 成网络可达性上下文)。CDCCP项可以表示控制平面客户端设备上下文。例 如，控制平面客户端设备上下文可以包括客户端设备标识符、客户端设备 安全上下文(例如，诸如密钥KIoT 202(KASME等同物)、密钥KIoT-CPenc 210、 密钥KIoT-CPint 212之类的控制平面密钥)、客户端设备安全能力(例如，演 进型分组系统加密算法(EEA)、演进型分组系统完整性算法(EIA))和/ 或下一跳(S5/S8)配置信息。例如，下一跳配置信息可以包括IoT服务器 地址、P-GW地址和/或TEID。MAC项可以指示加密模式和/或消息认证码 生成算法(其还被称为MAC算法)，其可以是由移动网络运营商(MNO) 选择的并且配置给IoTF的。因此，Enc_KNRC-IoTF-C(CDCCP)项可以表示使用密钥KNRC-IoTF-C(例如，图3中的密钥KNRC-IoTF-C 310)，关于控制平面客 户端设备上下文执行的加密操作的结果。
b)用户平面加密的网络可达性上下文
作为另一示例，用户平面(UP)加密的网络可达性上下文可以是基于 表达式KeyID||Enc_KNRC-IoTF-U(CDCUP)||MAC生成的。CDCUP项可以表示 用户平面客户端设备上下文。例如，用户平面客户端设备上下文可以包括 客户端设备标识符、承载ID、演进型分组系统(EPS)承载服务质量(QoS)、 用于用户平面通用分组无线服务(GPRS)隧道协议(GTP-U)的S5隧道端点标识符(TEID)、IoTF-U 108将UL数据转发到的P-GW互联网协议(IP) 地址(或者等同信息)、客户端设备安全上下文(例如，选择的加密算法和 用户平面密钥(例如，密钥KIoT-UPenc216、密钥KIoT-UPint 218))、客户端设备 安全能力(例如，演进型分组系统加密算法(EEA)、演进型分组系统完整 性算法(EIA))和/或下一跳(S5/S8)配置信息。例如，下一跳配置信息可以包括IoT服务器地址、P-GW地址和/或TEID。因此，Enc_KNRC-IoTF-U (CDCUP)项可以表示使用密钥KNRC-IoTF-U(例如，图3中的密钥KNRC-IoTF-U 312)，关于用户平面客户端设备上下文执行的加密操作的结果。在本公开 内容的方面中，该加密的网络可达性上下文可以仅仅被该客户端设备所附 着/关联到的IoTF(例如，IoTF-C 106和/或IoTF-U 108)解密。在本公开内 容的方面中，可以在加密之前，对网络可达性上下文进行压缩。
该加密的网络可达性上下文可以具有一个或多个特性。例如，加密的 网络可达性上下文可以包含与特定的客户端设备相关联的网络状态信息， 并且因此可能不能传送到其它客户端设备。IoTF-C/U(例如，IoTF-C 106 和/或IoTF-U 108)可以不维持客户端设备的上下文(例如，网络状态信息)。 因此，这样的IoTF-C/U可以通过使用其自己的秘密密钥对加密的网络可达 性上下文进行解密来重新构建用于客户端设备的网络可达性上下文，并且 因此，IoTF-C/U不需要存储任何另外的信息来恢复网络可达性上下文。在 某些情况下(例如，演进型分组系统连接管理(ECM)空闲或者紧接在小 量数据传送之后)，IoTF-C/U可以去除用于客户端设备的网络可达性上下 文，并且在必要的时候(例如，用于数据传送)对其进行恢复。
跟踪区域更新过程
当客户端设备在空闲模式期间进入新的跟踪区域时，客户端设备可以 执行跟踪区域更新(TAU)过程。TAU消息可以包括当前跟踪区域ID(TAI) 和源IoTF-C的GIOTFI或者等同物(例如，全球唯一移动管理实体标识符 (GUMMEI))。目标IoTF-C可以更新客户端设备的位置和针对一个或多个 网络实体(例如，P-GW)的移动性锚点(例如，IoTF-U ID)，以及加密的 网络可达性上下文。在本公开内容的方面中，该加密的网络可达性上下文 可以使得IoTF-U能够对下行链路分组进行验证。在本公开内容的方面中， 应用服务器(例如，IoT服务器)和/或P-GW可以向IoTF-U/C(其通过GIOTFI 来识别)发送下行链路(DL)分组与该加密的网络可达性上下文。
图14是根据本公开内容的各个方面的IoT网络架构(例如，IoT网络 架构100)中的TAU过程的信号流程图1400。如图14中示出的，信号流 程图1400包括客户端设备1402(其还被称为IoT设备)、网络接入节点1404 (例如，eNB、基站、网络接入点)、在目标网络设备1405处实现的目标 IoTF-C 1406、在源网络设备1407处实现的源IoTF-C 1408、P-GW 1410和IoT服务器1412(其还被称为应用服务器)。客户端设备1402可以向网络 接入节点1404发送数据传送请求消息1414，所述数据传送请求消息1414 包括加密的客户端设备上下文(例如，控制平面(CP)加密的客户端设备 上下文)和TAU请求。在本公开内容的方面中，客户端设备1402可以在 无需建立RRC连接的情况下，发送数据传送请求消息1414。在接收到该数据传送请求消息1414时，网络接入节点1404可以为客户端设备1402分配 1416临时标识符(TID)，用于潜在的下行链路(DL)业务。网络接入节点 1404还可以确定被包括在TAU请求中的目标IoTF-C标识符。然后，网络 接入节点1404可以确定目标IoTF-C 1406的IP地址，并且可以向目标 IoTF-C 1406发送消息1418，其中该消息1418包括与客户端设备1402相关 联的TID、加密的客户端设备上下文和TAU请求。目标IoTF-C 1406可以 向源IoTF-C 1408发送消息1420，其中该消息1420包括针对客户端设备上 下文和加密的客户端设备上下文的请求。
源IoTF-C 1408可以对加密的客户端设备上下文进行验证，并且可以向 目标IoTF-C 1406发送包括客户端设备上下文的消息1422。目标IoTF-C 1406可以存储1424用于客户端设备的TID和用于网络接入节点1404的ID， 并且可以基于所接收的客户端设备上下文来生成1424新的GUTI、新的用 于客户端设备1402的加密的网络可达性上下文、以及新的用于客户端设备 1402的加密的客户端设备上下文。在方面中，目标IoTF-C 1406可以生成用户平面(UP)密钥和上下文生成密钥，并且可以将这些密钥提供给 IoTF-U。
目标IoTF-C 1406可以向IoT服务器1412(或者P-GW 1410)发送消 息1426，其中该消息1426包括跟踪区域ID(TAI)、目标IoTF-C 1406的 ID(例如，GIOTFI)和新的加密的网络可达性上下文。目标IoTF-C 1406 可以向客户端设备1402发送消息1428，其中该消息1428包括TID、新的 GUTI、新的加密的客户端设备上下文和TAU响应。网络接入节点1404可 以基于该TID，用消息1430向客户端设备1402(例如，向使用该TID识别 的客户端设备1402)转发该新的GUTI、新的客户端设备上下文和TAU响 应。
本文描述的方面提供了具有新的专用网络功能单元的架构，所述新的 专用网络功能单元实现独立的部署，并且避免可扩展性/互通要求。本文公 开的方面可以使得网络接入节点(例如，基站)能够在无需存储或者维持 用于客户端设备的安全上下文的情况下，向客户端设备传送数据或者从客 户端设备传送数据，从而避免在网络实体(例如，网络接入节点或者其它 网络实体)处消耗大量的资源。可以将安全特征锚定在新的网络功能单元(被称为IoT功能单元(IoTF))处。为了避免影响正常的客户端设备的PDN 连接/业务，为IoT数据传送分配专用资源。加密的客户端设备上下文和加 密的网络可达性上下文可以被用于数据传送，以当该客户端设备处于空闲 状态时，消除IoTF处的该客户端设备的半持久的上下文。因此，网络节点 (例如，MME/S-GW)不需要维持大量的客户端设备(其中所述大量的客 户端设备不频繁地发送业务)的网络状态信息(即，上下文)。客户端设备 可以在不耗尽宝贵的核心网资源的情况下，使用有成本效益的数据传送。
因此，本文描述的方面可以减少前述的用于客户端设备(例如，操作 为IoT设备的客户端设备，例如，在减少数据传送模式或者低功耗模式下 操作的客户端设备)的开销。例如，客户端设备可以向用户平面网络功能 单元(例如，IoTF-U)发送业务，其中控制平面网络功能单元(例如，IoTF-C) 向该用户平面网络功能单元供应客户端设备安全上下文。照此，网络接入 节点(例如，eNB、基站或者网络接入点)可以将业务(例如，来自客户端 设备的分组)转发给由该客户端设备指示的下一跳节点(例如，IoTF-U)， 而无需对该分组进行验证。
IoTF-C可以与客户端设备执行认证和密钥协商，并且建立用于控制平 面的客户端设备安全上下文。例如，该客户端设备安全上下文可以包括被 用于控制平面信令保护(例如，加密和完整性保护)的控制平面密钥。此 外，IoTF-C可以推导用于用户平面分组保护(例如，加密和完整性保护) 的用户平面密钥，并且可以向IoTF-U提供该用户平面密钥。
客户端设备可以推导与IoTF-C相同的控制平面和用户平面密钥。因此， 客户端设备可以使用控制平面密钥或者用户平面密钥来发送分组，这取决 于在无需建立连接的情况下客户端设备是在与控制平面IoTF进行通信，还 是在与用户平面IoTF进行通信(例如，客户端设备可以作出确定，因此可 以应用不同的安全密钥或者上下文)。
第一示例性装置(例如，客户端设备)和其上的方法
图15是根据本公开内容的一个或多个方面(例如，与下文描述的图16 的方法有关的方面)的被配置为与基于IoT网络架构的网络进行通信的装 置1500的图示。在方面中，装置1500可以是客户端设备(例如，IoT设备)。 装置1500包括通信接口(例如，至少一个收发机)1502、存储介质1504、 用户界面1506、存储器设备1508和处理电路1510。
这些组件可以经由信令总线或者其它适当的组件被耦合至彼此和/或彼 此相电子通信地放置，其中所述信令总线或者其它适当的组件通常由图15 中的连接线来表示。该信令总线可以包括任意数量的相互连接的总线和桥 接器，这取决于处理电路1510的具体应用和整体设计约束。该信令总线将 各种电路链接在一起，使得通信接口1502、存储介质1504、用户界面1506 和存储器设备1508中的每个被耦合到处理电路1510和/或与处理电路1510 相电子通信。该信令总线还可以链接诸如定时源、外围设备、电压调节器 和功率管理电路之类的各种其它电路(未示出)，其中所述各种其它电路在 本领域中是公知的，并且因此将不再进一步地描述。
通信接口1502可以适于促进装置1500的无线通信。例如，通信接口 1502可以包括：适于促进关于网络中的一个或多个通信设备的双向的信息 通信的电路和/或代码(例如，指令)。通信接口1502可以被耦合到一副或 多副天线1512，用于无线通信系统内的无线通信。通信接口1502可以被配 置有一个或多个单独的接收机和/或发射机，以及一个或多个收发机。在所 示出的示例中，通信接口1502包括发射机1514和接收机1516。
存储器设备1508可以表示一个或多个存储器设备。如指示的，存储器 设备1508可以维持与网络有关的信息/连同由装置1500使用的其它信息。 在一些实现方式中，存储器设备1508和存储介质1504被实现为公共存储 器组件。存储器设备1508还可以被用于存储由处理电路1510或者装置1500 的某个其它组件操纵的数据。
存储介质1504可以表示一个或多个计算机可读的、机器可读的和/或处 理器可读的设备，用于存储诸如处理器可执行代码或者指令(例如，软件、 固件)之类的代码、电子数据、数据库或者其它数字信息。存储介质1504 还可以被用于存储在执行代码时由处理电路1510操纵的数据。存储介质 1504可以是能够由通用或者专用处理器存取的任何可用的介质，其包括便 携的或者固定的存储设备、光存储设备、以及能够存储、装有或者携带代 码的各种其它介质。
通过示例而非限制的方式，存储介质1504可以包括磁存储设备(例如， 硬盘、软盘、磁带)、光盘(例如，压缩光盘(CD)或者数字多功能光盘 (DVD))、智能卡、闪存设备(例如，卡、棒或者键驱动)、随机存取存储 器(RAM)、只读存储器(ROM)、可编程ROM(PROM)、可擦除PROM (EPROM)、电可擦除PROM(EEPROM)、寄存器、可移动盘、以及用于 存储可以由计算机存取和读取的代码的任何其它适当的介质。存储介质 1504可以被体现在制品(例如，计算机程序产品)中。举例而言，计算机 程序产品可以包括封装材料中的计算机可读介质。鉴于上述内容，在一些 实现方式中，存储介质1504可以是非暂时性的(例如，有形的)存储介质。
存储介质1504可以被耦合到处理电路1510，使得处理电路1510可以 从存储介质1504读取信息，以及向存储介质1504写入信息。也就是说， 存储介质1504可以被耦合到处理电路1510，使得存储介质1504至少可被 处理电路1510存取，其包括至少一个存储介质是处理电路1510的组成部 分的示例和/或至少一个存储介质与处理电路1510相分离的示例(例如，驻 留在装置1500中、在装置1500之外、分布在多个实体之中等等)。
由存储介质1504存储的代码和/或指令，当被处理电路1510执行时， 使得处理电路1510执行本文描述的各种功能和/或过程操作中的一个或多 个。例如，存储介质1504可以包括被配置用于进行下列各项的操作：调节 处理电路1510的一个或多个硬件模块处的操作，以及利用它们各自的通信 协议，利用通信接口1502进行无线通信。
处理电路1510通常适于进行处理，其包括对被存储在存储介质1504 上的这样的代码/指令的执行。如本文使用的，无论被称为软件、固件、中 间件、微代码、硬件描述语言还是其它术语，术语“代码”或者“指令” 应当被广义地解释为包括但不限于：程序编制、指令、指令集、数据、代 码、代码段、程序代码、程序、子程序、软件模块、应用、软件应用、软 件包、例程、子例程、对象、可执行文件、执行的线程、过程、函数等等。
处理电路1510被布置为获得、处理和/或发送数据，控制数据存取和存 储，发出命令，以及控制其它期望的操作。在至少一个示例中，处理电路 1510可以包括：被配置为实现由适当的介质提供的期望的代码的电路。例 如，处理电路1510可以被实现为一个或多个处理器、一个或多个控制器、 和/或被配置为执行可执行代码的其它结构。处理电路1510的示例可以包括 被设计为执行本文描述的功能的通用处理器、数字信号处理器(DSP)、专 用集成电路(ASIC)、现场可编程门阵列(FPGA)或者其它可编程逻辑组 件、分立门或者晶体管逻辑器件、分立硬件组件或者其任意组合。通用处 理器可以包括微处理器、以及任何常规的处理器、控制器、微控制器或者 状态机。处理电路1510还可以被实现为计算组件的组合，例如，DSP和微 处理器的组合、多个微处理器、结合DSP内核的一个或多个微处理器、ASIC 和微处理器、或者任何其它数量的不同的配置。处理电路1510的这些示例 是出于说明的目的的，并且还预期在本公开内容的范围之内的其它适当的 配置。
根据本公开内容的一个或多个方面，处理电路1510可以适于执行本文 描述的装置中的任何或者所有装置的特征、过程、函数、操作和/或例程中 的任何或者所有特征、过程、函数、操作和/或例程。如本文使用的，与处 理电路1510有关的术语“适于”可以指代：处理电路1510通过被配置、 被使用、被实现和/或被编程中的一种或多种，根据本文描述的各种特征来 执行特定的过程、函数、操作和/或例程。
根据装置1500的至少一个示例，处理电路1510可以包括下列各项中 的一项或多项：适于执行本文描述的特征、过程、函数、操作和/或例程(例 如，关于图16描述的特征、过程、函数、操作和/或例程)中的任何或者所 有的特征、过程、函数、操作和/或例程的发送电路/模块1520、接收电路/ 模块1522、安全上下文获得电路/模块1524、密钥获得电路/模块1526、数 据分组保护电路/模块1528、分组确定电路/模块1530、分组解码电路/模块 1532和/或网络注册电路/模块1534。
发送电路/模块1520可以包括适于执行与例如下列有关的若干功能的 电路和/或指令(例如，被存储在存储介质1504上的发送指令1540)：发送 对于附着到网络的请求和/或发送数据分组或者控制分组。例如，在一个方 面中，该数据分组可以是已经利用用户平面密钥保护的数据分组，并且该 控制分组可以是已经利用控制平面密钥保护的控制分组。
接收电路/模块1522可以包括适于执行与例如下列有关的若干功能的 电路和/或指令(例如，被存储在存储介质1504上的接收指令1542)：从网 络接收与认证过程相关联的消息，以及从网络接收分组。
安全上下文获得电路/模块1524可以包括适于执行与例如下列有关的 若干功能的电路和/或指令(例如，被存储在存储介质1504上的安全上下文 获得指令1544)：获得用户平面安全上下文或者控制平面安全上下文中的至 少一个，其中该用户平面安全上下文指示针对该客户端设备的关于用户平 面的网络状态信息，该控制平面安全上下文指示针对该客户端设备的关于 控制平面的网络状态信息。
密钥获得电路/模块1526可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1504上的密钥获得指令 1504)：至少获得与第一网络节点处实现的用户平面网络功能单元共享的用 户平面密钥或者与第二网络节点处实现的控制平面网络功能单元共享的控 制平面密钥。
数据分组保护电路/模块1528可以包括适于执行与例如下列有关的若 干功能的电路和/或指令(例如，被存储在存储介质1504上的数据分组保护 指令1548)：利用用户平面密钥来保护数据分组，或者利用控制平面密钥来 保护控制分组。在方面中，该数据分组包括用于指示将在第一网络节点处 处理该数据分组的第一目的地信息，第一目的地信息使得网络接入节点能 够将该数据分组转发给第一网络节点。在方面中，该控制分组包括用于指 示将在第二网络节点处处理该控制分组的第二目的地信息，第二目的地信 息使得网络接入节点能够将该控制分组转发给第二网络节点。
分组确定电路/模块1530可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1504上的分组确定指令 1550)：确定所接收的分组是包括数据还是包括控制信息。
分组解码电路/模块1532可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1504上的分组解码指令 1552)：利用用户平面密钥或者控制平面密钥，对所接收的分组进行解码。
网络注册电路/模块1534可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1504上的网络注册指令 1554)：作为物联网设备，向网络进行注册。
如上面提及的，由存储介质1504存储的指令，当被处理电路1510执 行时，使得处理电路1510执行本文描述的各种功能和/或过程操作中的一个 或多个。例如，存储介质1504可以包括下列各项中的一项或多项：发送指 令1540、接收指令1542、安全上下文获得指令1544、密钥获得指令1546、 数据分组保护指令1548、分组确定指令1550、分组解码指令1552和/或网 络注册指令1554。
图16是示出了根据本公开内容的各个方面的用于与网络进行通信的方 法的流程图1600。该方法可以由诸如客户端设备(例如，客户端设备102、 502、702或者装置1500)之类的装置来执行。应当理解的是，由图16中 的虚线指示的操作表示可选的操作。
客户端设备向网络进行注册1602。在方面中，客户端设备可以通过下 列操作来向网络进行注册：发送对于附着到网络的请求；以及从网络接收 响应于该请求的、与认证过程相关联的消息。在方面中，该附着请求可以 提供一个或多个指示，诸如例如，该客户端设备将作为物联网设备附着， 该客户端设备将在减少数据传送模式下附着，和/或该客户端设备将在低功 耗模式下附着。
客户端设备获得用户平面安全上下文或者控制平面安全上下文中的至 少一个1604，其中该用户平面安全上下文指示针对该客户端设备的关于用 户平面的网络状态信息，该控制平面安全上下文指示针对该客户端设备的 关于控制平面的网络状态信息。在一个示例中，客户端设备可以通过基于 用户平面密钥来推导第一加密密钥和第一完整性密钥，来获得用户平面安 全上下文。在另一示例中，客户端设备可以通过基于控制平面密钥来推导 第二加密密钥和第二完整性密钥，来获得控制平面安全上下文。在方面中， 用户平面安全上下文或者控制平面安全上下文不包括接入层安全保护。
客户端设备至少获得与第一网络节点处实现的用户平面网络功能单元 共享的用户平面密钥或者与第二网络节点处实现的控制平面网络功能单元 共享的控制平面密钥1606。例如，客户端设备可以基于与认证过程相关联 的消息，来获得用户平面密钥或者控制平面密钥。
客户端设备利用用户平面密钥来保护数据分组，或者利用控制平面密 钥来保护控制分组1608。在一个示例中，该数据分组可以是基于该用户平 面密钥来进行加密或者完整性保护的，或者是基于该用户平面密钥来既进 行加密又进行完整性保护的。在另一示例中，该控制分组是基于控制平面 密钥来进行加密或者完整性保护的，或者是基于控制平面密钥来既进行加 密又进行完整性保护的。
在方面中，该数据分组包括用于指示将在第一网络节点处处理该数据 分组的第一目的地信息，第一目的地信息使得网络接入节点能够将该数据 分组转发给第一网络节点。在方面中，该控制分组包括用于指示将在第二 网络节点处处理该控制分组的第二目的地信息，第二目的地信息使得网络 接入节点能够将该控制分组转发给第二网络节点。
该装置发送数据分组或者控制分组1610。该装置从网络接收分组1612。 在方面中，在一种或多种情况下，用户平面物联网功能标识符(IID)或者 控制平面物联网功能标识符(IID)被包括在所接收的分组的报头中。例如， 所述一种或多种情况可以包括：当该客户端设备作为物联网设备来注册到 网络时，当客户端设备在低功耗模式下操作时，或者当客户端设备被配置 为传送减少数量的数据时。
客户端设备确定所接收的分组是包括数据还是包括控制信息1614。客 户端设备基于该确定，利用用户平面密钥或者控制平面密钥，对所接收的 分组进行解码1616。在方面中，客户端设备通过利用用户平面密钥或者控 制平面密钥，对所接收的分组进行解密和验证，来对所接收的分组进行解 码。在方面中，客户端设备通过确定第一消息认证码(MAC)并且将第一 MAC和与所接收的分组相关联的第二MAC进行比较，对所接收的分组进 行验证。例如，第一MAC可以是通过基于所接收的分组来应用消息认证码 生成算法，并且使用用户平面密钥或者控制平面密钥来确定的。
第二示例性装置(例如，网络接入节点)和其上的方法
图17是根据本公开内容的一个或多个方面(例如，与下文描述的图18 的方法有关的方面)的被配置为与基于IoT网络架构的网络进行通信的装 置1700的图示。在方面中，装置1700可以是网络接入节点(例如，eNB、 基站或者网络接入点)。装置1700包括通信接口(例如，至少一个收发机) 1702、网络通信接口1703、存储介质1704、用户界面1706、存储器设备 1708和处理电路1710。
这些组件可以经由信令总线或者其它适当的组件被耦合至彼此和/或彼 此相电子通信地被放置，其中所述信令总线或者其它适当的组件通常由图 17中的连接线来表示。该信令总线可以包括任意数量的相互连接的总线和 桥接器，这取决于处理电路1710的具体应用和整体设计约束。该信令总线 将各种电路链接在一起，使得通信接口1702、网络通信接口1703、存储介 质1704、用户界面1706和存储器设备1708中的每个被耦合到处理电路1710 和/或与处理电路1710相电子通信。该信令总线还可以链接诸如定时源、外 围设备、电压调节器和功率管理电路之类的各种其它电路(未示出)，其中 所述各种其它电路在本领域中是公知的，并且因此将不再进一步地描述。
通信接口1702可以适于促进装置1700的无线通信。例如，通信接口 1702可以包括：适于促进关于网络中的一个或多个客户端设备的双向的信 息通信的电路和/或代码(例如，指令)。通信接口1702可以被耦合到一副 或多副天线1712，用于无线通信系统内的无线通信。通信接口1702可以被 配置有一个或多个单独的接收机和/或发射机，以及一个或多个收发机。在 所示出的示例中，通信接口1702包括发射机1714和接收机1716。
网络通信接口1703可以适于促进装置1700的通信。例如，网络通信 接口1703可以包括：适于促进关于网络中的一个或多个网络实体的双向的 信息通信的电路和/或代码(例如，指令)。网络通信接口1703可以被配置 有一个或多个单独的接收机和/或发射机，以及一个或多个收发机。
存储器设备1708可以表示一个或多个存储器设备。如指示的，存储器 设备1708可以维持与网络有关的信息/连同由装置1700使用的其它信息。 在一些实现方式中，存储器设备1708和存储介质1704被实现为公共存储 器组件。存储器设备1708还可以被用于存储由处理电路1710或者装置1700 的某个其它组件操纵的数据。
存储介质1704可以表示一个或多个计算机可读的、机器可读的和/或处 理器可读的设备，用于存储诸如处理器可执行代码或者指令(例如，软件、 固件)之类的代码、电子数据、数据库或者其它数字信息。存储介质1704 还可以被用于存储在执行代码时由处理电路1710操纵的数据。存储介质 1704可以是能够由通用或者专用处理器存取的任何可用的介质，其包括便 携的或者固定的存储设备、光存储设备、以及能够存储、装有或者携带代 码的各种其它介质。
通过示例而非限制的方式，存储介质1704可以包括磁存储设备(例如， 硬盘、软盘、磁带)、光盘(例如，压缩光盘(CD)或者数字多功能光盘 (DVD))、智能卡、闪存设备(例如，卡、棒或者键驱动)、随机存取存储 器(RAM)、只读存储器(ROM)、可编程ROM(PROM)、可擦除PROM (EPROM)、电可擦除PROM(EEPROM)、寄存器、可移动盘、以及用于 存储可以由计算机存取和读取的代码的任何其它适当的介质。存储介质 1704可以被体现在制品(例如，计算机程序产品)中。举例而言，计算机 程序产品可以包括封装材料中的计算机可读介质。鉴于上述内容，在一些 实现方式中，存储介质1704可以是非暂时性的(例如，有形的)存储介质。
存储介质1704可以被耦合到处理电路1710，使得处理电路1710可以 从存储介质1704读取信息，以及向存储介质1704写入信息。也就是说， 存储介质1704可以被耦合到处理电路1710，使得存储介质1704至少可被 处理电路1710存取，其包括至少一个存储介质是处理电路1710的组成部 分的示例和/或至少一个存储介质与处理电路1710相分离的示例(例如，驻 留在装置1700中、在装置1700之外、分布在多个实体之中等等)。
由存储介质1704存储的代码和/或指令，当被处理电路1710执行时， 使得处理电路1710执行本文描述的各种功能和/或过程操作中的一个或多 个。例如，存储介质1704可以包括被配置用于进行下列各项的操作：调节 处理电路1710的一个或多个硬件模块处的操作，以及利用它们各自的通信 协议，利用通信接口1702进行无线通信和利用网络通信接口1703进行网 络通信。
处理电路1710通常适于进行处理，其包括对被存储在存储介质1704 上的这样的代码/指令的执行。如本文使用的，无论被称为软件、固件、中 间件、微代码、硬件描述语言还是其它术语，术语“代码”或者“指令” 应当被广义地解释为包括但不限于：程序编制、指令、指令集、数据、代 码、代码段、程序代码、程序、子程序、软件模块、应用、软件应用、软 件包、例程、子例程、对象、可执行文件、执行的线程、过程、函数等等。
处理电路1710被布置为获得、处理和/或发送数据，控制数据存取和存 储，发出命令，以及控制其它期望的操作。在至少一个示例中，处理电路 1710可以包括：被配置为实现由适当的介质提供的期望的代码的电路。例 如，处理电路1710可以被实现为一个或多个处理器、一个或多个控制器、 和/或被配置为执行可执行代码的其它结构。处理电路1710的示例可以包括 被设计为执行本文描述的功能的通用处理器、数字信号处理器(DSP)、专 用集成电路(ASIC)、现场可编程门阵列(FPGA)或者其它可编程逻辑组 件、分立门或者晶体管逻辑器件、分立硬件组件或者其任意组合。通用处 理器可以包括微处理器，以及任何常规的处理器、控制器、微控制器或者 状态机。处理电路1710还可以被实现为计算组件的组合，例如，DSP和微 处理器的组合、多个微处理器、结合DSP内核的一个或多个微处理器，ASIC 和微处理器、或者任何其它数量的不同的配置。处理电路1710的这些示例 是出于说明的目的的，并且还预期在本公开内容的范围之内的其它适当的 配置。
根据本公开内容的一个或多个方面，处理电路1710可以适于执行本文 描述的装置中的任何或者所有装置的特征、过程、函数、操作和/或例程中 的任何或者所有特征、过程、函数、操作和/或例程。如本文使用的，与处 理电路1710有关的术语“适于”可以指代：处理电路1710通过被配置、 被使用、被实现和/或被编程中的一种或多种，根据本文描述的各种特征来 执行特定的过程、函数、操作和/或例程。
根据装置1700的至少一个示例，处理电路1710可以包括下列各项中 的一项或多项：适于执行本文描述的特征、过程、函数、操作和/或例程(例 如，关于图18描述的特征、过程、函数、操作和/或例程)中的任何或者所 有特征、过程、函数、操作和/或例程的接收电路/模块1720、数据分组转发 电路/模块1722、临时标识符添加电路/模块1724、存储电路/模块1726、下 一跳确定电路/模块1728、客户端设备识别电路/模块1730和临时标识符去除电路/模块1732。
接收电路/模块1720可以包括适于执行与例如下列有关的若干功能的 电路和/或指令(例如，被存储在存储介质1704上的接收指令1740)：从客 户端设备接收对于附着到网络的具有网络附着模式的指示的请求，其中该 网络附着模式是减少数据传送模式或者低功耗模式，从客户端设备接收第 一分组，以及从网络节点接收第二分组。
分组转发电路/模块1722可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1704上的分组转发指令 1742)：将第一分组转发给下一跳网络节点，以及将从网络节点接收的第二 分组转发给该客户端设备。
临时标识符添加电路/模块1724可以包括适于执行与例如下列有关的 若干功能的电路和/或指令(例如，被存储在存储介质1704上的临时标识符 添加指令1744)：向第一分组添加与该客户端设备相关联的临时标识符。在 方面中，第一分组是数据分组或者控制分组。在方面中，该临时标识符是 小区无线网络临时标识符(C-RNTI)。
存储电路/模块1726可以包括适于执行与例如下列有关的若干功能的 电路和/或指令(例如，被存储在存储介质1704上的存储指令1746)：存储 临时标识符。在方面中，该临时标识符被存储达预先确定的时段。
下一跳确定电路/模块1728可以包括适于执行与例如下列有关的若干 功能的电路和/或指令(例如，被存储在存储介质1704上的下一跳确定指令 1748)：基于该客户端设备的网络附着模式来确定下一跳网络节点。在方面 中，下一跳网络节点的确定是基于该网络接入节点处的预先配置的信息的， 或者当该客户端设备的网络附着模式是减少数据传送模式或者低功耗模式 时，是基于被包括在第一分组中的目的地信息的。在方面中，该目的地信 息包括网络功能标识符，其中所述网络功能标识符用于实现对网络节点或 者网络设备(其实现网络功能)的标识。在方面中，该网络功能标识符与 第一网络节点处实现的控制平面网络功能相关联，或者与第二网络节点处 实现的用户平面网络功能相关联。
客户端设备识别电路/模块1730可以包括适于执行与例如下列有关的 若干功能的电路和/或指令(例如，被存储在存储介质1704上的客户端设备 识别指令1750)：根据第二分组中的临时标识符来识别客户端设备。在方面 中，该第二分组是数据分组或者控制分组。
临时标识符去除电路/模块1732可以包括适于执行与例如下列有关的 若干功能的电路和/或指令(例如，被存储在存储介质1704上的临时标识符 去除指令1752)：在转发第二分组之前，从第二分组中去除所述临时标识符。
如上面提及的，由存储介质1704存储的指令，当被处理电路1710执 行时，使得处理电路1710执行本文描述的各种功能和/或过程操作中的一个 或多个。例如，存储介质1704可以包括下列各项中的一项或多项：接收指 令1740、分组转发指令1742、临时标识符添加指令1744、存储指令1746、 下一跳确定指令1748、客户端设备识别指令1750和临时标识符去除指令 1752。
图18(其包括图18A和图18B)是示出了根据本公开内容的各个方面 的用于在IoT网络架构中进行通信的方法的流程图1800。该方法可以由诸 如网络接入节点(例如，图1的网络接入节点104或者图17的装置1700) 之类的装置来执行。应当理解的是，由图18中的虚线指示的操作表示可选 的操作。
参考图18A，网络接入节点从客户端设备接收对于附着到网络的具有 网络附着模式的指示的请求，其中该网络附着模式是减少数据传送模式 1802。在其它方面中，该网络附着模式可以是物联网(IoT)设备模式或者 低功耗模式。网络接入节点从客户端设备接收第一分组1804。例如，第一 分组可以是数据分组或者控制分组。
第一网络节点向第一分组添加与该客户端设备相关联的临时标识符 1806。在本公开内容的方面中，该临时标识符是小区无线网络临时标识符 (C-RNTI)。网络接入节点存储该临时标识符1808。在本公开内容的方面 中，该临时标识符被存储达预先确定的时段。
网络接入节点基于该客户端设备的网络附着模式来确定下一跳网络节 点1810。在本公开内容的方面中，下一跳网络节点的确定被预先配置在该 网络接入节点处。在本公开内容的方面中，当该客户端设备的网络附着模 式是IoT设备模式、减少数据传送模式、或者低功耗模式时，下一跳网络 节点可以是基于被包括在第一分组中的目的地信息来确定的。例如，该目 的地信息可以包括网络功能标识符，其中所述网络功能标识符实现对网络节点(其实现网络功能)的标识。在方面中，该网络功能标识符与第一网 络节点处实现的控制平面网络功能单元相关联，或者与第二网络节点处实 现的用户平面网络功能单元相关联。
当网络附着模式是减少数据传送模式时，网络接入节点在无需对从客 户端设备接收的第一分组进行验证的情况下，将第一分组转发给下一跳网 络节点1812。
参考图18B，网络接入节点从网络节点接收第二分组1814。例如，第 二分组可以是数据分组或者控制分组。网络接入节点根据第二分组中的临 时标识符来识别客户端设备1816。网络接入节点在转发第二分组之前，从 第二分组中去除所述临时标识符1818。当该客户端设备的网络附着模式是 减少数据传送模式时，网络接入节点在无需对第二分组进行保护的情况下， 将从网络节点接收的第二分组转发给该客户端设备1820。
第三示例性装置(例如，网络设备)和其上的方法
图19是根据本公开内容的一个或多个方面(例如，与下文描述的图 20-22的方法有关的方面)的装置1900的图示。在方面中，装置1900可以 是实现物联网(IoT)功能单元的网络设备(例如，网络设备105、505)。 例如，IoT功能单元可以包括如先前讨论的控制平面IoT功能单元(例如， IoTF-C 106、506、706、606、906、1406)和/或用户平面IoT功能单元(例如，IoTF-U 108、508、608、708、806、908)。在一些方面中，装置1900 可以是实现IoT功能单元的网络节点，例如，实现图1中的IoTF-C 106的 网络节点107、或者实现图1中的IoTF-U108的网络节点109。装置1900 包括网络通信接口(例如，至少一个收发机)1902、存储介质1904、用户 界面1906、存储器设备1908和处理电路1910。
这些组件可以经由信令总线或者其它适当的组件被耦合至彼此和/或彼 此相电子通信地被放置，其中所述信令总线或者其它适当的组件通常由图 19中的连接线来表示。该信令总线可以包括任意数量的相互连接的总线和 桥接器，这取决于处理电路1910的具体应用和整体设计约束。该信令总线 将各种电路链接在一起，使得网络通信接口1902、存储介质1904、用户界 面1906和存储器设备1908中的每个被耦合到处理电路1910和/或与处理电 路1910相电子通信。该信令总线还可以链接诸如定时源、外围设备、电压 调节器和功率管理电路之类的各种其它电路(未示出)，其中所述各种其它 电路在本领域中是公知的，并且因此将不再进一步地描述。
网络通信接口1902可以适于促进装置1900的通信。例如，网络通信 接口1902可以包括：适于促进关于网络中的一个或多个网络实体的双向的 信息通信的电路和/或代码(例如，指令)。网络通信接口1902可以被配置 有一个或多个单独的接收机和/或发射机，以及一个或多个收发机。
存储器设备1908可以表示一个或多个存储器设备。如指示的，存储器 设备1908可以维持与网络有关的信息连同由装置1900使用的其它信息。 在一些实现方式中，存储器设备1908和存储介质1904被实现为公共存储 器组件。存储器设备1908还可以被用于存储由处理电路1910或者装置1900 的某个其它组件操纵的数据。
存储介质1904可以表示一个或多个计算机可读的、机器可读的和/或处 理器可读的设备，用于存储诸如处理器可执行代码或者指令(例如，软件、 固件)之类的代码、电子数据、数据库或者其它数字信息。存储介质1904 还可以被用于存储在执行代码时由处理电路1910操纵的数据。存储介质 1904可以是能够由通用或者专用处理器存取的任何可用的介质，其包括便 携的或者固定的存储设备、光存储设备、以及能够存储、装有或者携带代 码的各种其它介质。
通过示例而非限制的方式，存储介质1904可以包括磁存储设备(例如， 硬盘、软盘、磁带)、光盘(例如，压缩光盘(CD)或者数字多功能光盘 (DVD))、智能卡、闪存设备(例如，卡、棒或者键驱动)、随机存取存储 器(RAM)、只读存储器(ROM)、可编程ROM(PROM)、可擦除PROM (EPROM)、电可擦除PROM(EEPROM)、寄存器、可移动盘、以及用于 存储可以由计算机存取和读取的代码的任何其它适当的介质。存储介质 1904可以被体现在制品(例如，计算机程序产品)中。举例而言，计算机 程序产品可以包括封装材料中的计算机可读介质。鉴于上述内容，在一些 实现方式中，存储介质1904可以是非暂时性的(例如，有形的)存储介质。
存储介质1904可以被耦合到处理电路1910，使得处理电路1910可以 从存储介质1904读取信息，以及向存储介质1904写入信息。也就是说， 存储介质1904可以被耦合到处理电路1910，使得存储介质1904至少可被 处理电路1910存取，其包括至少一个存储介质是处理电路1910的组成部 分的示例和/或至少一个存储介质与处理电路1910相分离的示例(例如，驻 留在装置1900中、在装置1900之外、分布在多个实体之中等等)。
由存储介质1904存储的代码和/或指令，当被处理电路1910执行时， 使得处理电路1910执行本文描述的各种功能和/或过程操作中的一个或多 个。例如，存储介质1904可以包括被配置用于进行下列各项的操作：调节 处理电路1910的一个或多个硬件模块的操作，以及利用它们各自的通信协 议，利用网络通信接口1902进行通信。
处理电路1910通常适于进行处理，其包括对被存储在存储介质1904 上的这样的代码/指令的执行。如本文使用的，无论被称为软件、固件、中 间件、微代码、硬件描述语言还是其它术语，术语“代码”或者“指令” 应当被广义地解释为包括但不限于：程序编制、指令、指令集、数据、代 码、代码段、程序代码、程序、子程序、软件模块、应用、软件应用、软 件包、例程、子例程、对象、可执行文件、执行的线程、过程、函数等等。
处理电路1910被布置为获得、处理和/或发送数据，控制数据存取和存 储，发出命令，以及控制其它期望的操作。在至少一个示例中，处理电路 1910可以包括：被配置为实现由适当的介质提供的期望的代码的电路。例 如，处理电路1910可以被实现为一个或多个处理器、一个或多个控制器、 和/或被配置为执行可执行代码的其它结构。处理电路1910的示例可以包括 被设计为执行本文描述的功能的通用处理器、数字信号处理器(DSP)、专 用集成电路(ASIC)、现场可编程门阵列(FPGA)或者其它可编程逻辑组 件、分立门或者晶体管逻辑器件、分立硬件组件或者其任意组合。通用处 理器可以包括微处理器，以及任何常规的处理器、控制器、微控制器或者 状态机。处理电路1910还可以被实现为计算组件的组合，例如，DSP和微 处理器的组合、多个微处理器、结合DSP内核的一个或多个微处理器，ASIC 和微处理器、或者任何其它数量的不同的配置。处理电路1910的这些示例 是出于说明的目的的，并且还预期在本公开内容的范围之内的其它适当的 配置。
根据本公开内容的一个或多个方面，处理电路1910可以适于执行本文 描述的装置中的任何或者所有装置的特征、过程、函数、操作和/或例程中 的任何或者所有特征、过程、函数、操作和/或例程。如本文使用的，与处 理电路1910有关的术语“适于”可以指代：处理电路1910通过被配置、 被使用、被实现和/或被编程中的一种或多种，根据本文描述的各种特征来 执行特定的过程、函数、操作和/或例程。
根据装置1900的至少一个示例，处理电路1910可以包括下列各项中 的一项或多项：适于执行本文描述的特征、过程、函数、操作和/或例程(例 如，关于图20-22描述的特征、过程、函数、操作和/或例程)中的任何或 者所有特征、过程、函数、操作和/或例程的安全上下文建立电路/模块1920、 控制平面密钥和用户平面密钥获得电路/模块1922、密钥传送电路/模块 1924、安全上下文获得电路/模块1926、用户平面密钥确定电路/模块1928、分组接收电路/模块1930、分组解密和认证电路/模块1932、分组保护电路/ 模块1934和分组发送电路/模块1936。
安全上下文建立电路/模块1920可以包括适于执行与例如下列有关的 若干功能的电路和/或指令(例如，被存储在存储介质1904上的安全上下文 建立指令1940)：在第一网络节点处实现的控制平面网络功能单元处，建立 用于客户端设备的安全上下文。
控制平面密钥和用户平面密钥获得电路/模块1922可以包括适于执行 与例如下列有关的若干功能的电路和/或指令(例如，被存储在存储介质 1904上的控制平面密钥和用户平面密钥生成获得1942)：在第一网络节点 处实现的控制平面网络功能单元处，获得用于控制平面网络功能单元的控 制平面密钥，和/或在第一网络节点处实现的控制平面网络功能单元处，获 得用于第二网络节点处实现的用户平面网络功能单元的用户平面密钥。
密钥传送电路/模块1924可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1904上的密钥传送指令 1944)：从第一网络节点处实现的控制平面网络功能单元，向第二网络节点 处实现的用户平面网络功能单元传送用户平面密钥。
安全上下文获得电路/模块1926可以包括适于执行与例如下列有关的 若干功能的电路和/或指令(例如，被存储在存储介质1904上的安全上下文 获得指令1946)：在所述网络节点处实现的用户平面网络功能单元处，获得 用于客户端设备的安全上下文。
用户平面密钥确定电路/模块1928可以包括适于执行与例如下列有关 的若干功能的电路和/或指令(例如，被存储在存储介质1904上的用户平面 密钥确定指令1948)：在所述网络节点处实现的用户平面网络功能单元处， 确定要至少被用于对来自所述客户端设备的数据分组进行解密或者验证的 密钥，和/或在所述网络节点处实现的用户平面网络功能单元处，确定与所 述客户端设备相关联的至少一个密钥。
分组接收电路/模块1930可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1904上的分组接收指令 1950)：在所述网络节点处实现的用户平面网络功能单元处，从所述客户端 设备接收数据分组，和/或在所述网络节点处实现的用户平面网络功能单元 处，从应用服务器或者网关接收针对所述客户端设备的数据分组。
分组解密和认证电路/模块1932可以包括适于执行与例如下列有关的 若干功能的电路和/或指令(例如，被存储在存储介质1904上的分组解密和 认证指令1952)：在所述网络节点处实现的用户平面网络功能单元处，基于 所述密钥，对来自所述客户端设备的数据分组进行解密和验证。
分组保护电路/模块1934可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1904上的分组保护指令 1954)：在所述网络节点处实现的用户平面网络功能单元处，使用所述至少 一个密钥，对针对所述客户端设备的数据分组进行保护。
分组发送电路/模块1936可以包括适于执行与例如下列有关的若干功 能的电路和/或指令(例如，被存储在存储介质1904上的分组发送指令 1956)：从所述网络节点处实现的用户平面网络功能单元处，向下一跳网络 节点发送针对所述客户端设备的数据分组。
如上面提及的，由存储介质1904存储的指令，当被处理电路1910执 行时，使得处理电路1910执行本文描述的各种功能和/或过程操作中的一个 或多个。例如，存储介质1904可以包括下列各项中的一项或多项：安全上 下文建立指令1940、控制平面密钥和用户平面密钥获得指令1942、密钥传 送指令1944、安全上下文获得指令1946、用户平面密钥确定指令1948、分 组接收指令1950、分组解密和认证指令1952、分组保护指令1954和分组 发送指令1956。
图20是示出了根据本公开内容的各个方面的用于在IoT网络架构中进 行通信的方法的流程图2000。该方法可以由诸如第一网络节点之类的装置 来执行。例如，第一网络节点(例如，网络节点707)可以实现控制平面网 络功能单元(例如，IoTF-C 706)。第一网络节点在该网络节点处实现的控 制平面网络功能单元处，建立用于客户端设备的安全上下文2002。在方面 中，第一网络节点通过与客户端设备执行相互认证过程，来建立用于客户端设备的安全上下文。
第一网络节点在该第一网络节点处实现的控制平面网络功能单元处， 获得用于控制平面网络功能单元的控制平面密钥2004。第一网络节点在该 第一网络节点处实现的控制平面网络功能单元处，获得用于第二网络节点 处实现的用户平面网络功能单元的用户平面密钥2006。在方面中，第一网 络节点通过根据在相互认证过程期间建立的会话凭证推导用户平面密钥， 来获得用户平面密钥。第一网络节点从该第一网络节点处实现的控制平面 网络功能单元，向第二网络节点处实现的用户平面网络功能单元传送该用 户平面密钥2008。
图21是示出了根据本公开内容的各个方面的用于在IoT网络架构中进 行通信的方法的流程图2100。该方法可以由诸如网络节点之类的装置来执 行。例如，该网络节点(例如，网络节点707)可以实现用户平面网络功能 单元(例如，IoTF-U 708)。该网络节点在该网络节点处实现的用户平面网 络功能单元处，获得用于客户端设备的安全上下文2102。在方面中，该网 络节点通过从该网络节点的控制平面网络功能单元接收安全上下文，来获得该安全上下文。该网络节点在该网络节点处实现的用户平面网络功能单 元处，确定要至少被用于对来自客户端设备的数据分组进行解密或者验证 的密钥2104。该网络节点在该网络节点的用户平面网络功能单元处，从客 户端设备接收数据分组2106。该网络节点在该网络节点处实现的用户平面 网络功能单元处，基于所述密钥，对来自客户端设备的数据分组进行解密 和验证2108。
图22是示出了根据本公开内容的各个方面的用于在IoT网络架构中进 行通信的方法的流程图2200。该方法可以由诸如网络节点之类的装置来执 行。例如，该网络节点(例如，网络节点707)可以实现用户平面网络功能 单元(例如，IoTF-U 708)。
该网络节点在该网络节点处实现的用户平面网络功能单元处，获得用 于客户端设备的安全上下文2202。该网络节点在该网络节点处实现的用户 平面网络功能单元处，从应用服务器或者网关接收针对客户端设备的数据 分组2204。该网络节点在该网络节点处实现的用户平面网络功能单元处， 确定与该客户端设备相关联的至少一个密钥2206。该网络节点在该网络节 点处实现的用户平面网络功能单元处，使用所述至少一个密钥，对针对该 客户端设备的数据分组进行保护2208。该网络节点从该网络节点处实现的 用户平面网络功能单元，向下一跳网络节点发送针对该客户端设备的数据 分组2210。
附图中示出的组件、步骤、特征和/或功能中的一个或多个可以被重新 排列和/或组合成单个组件、步骤、特征或者功能，或者被体现在若干组件、 步骤或者功能中。在不背离本文公开的新颖性特征的情况下，还可以添加 另外的单元、组件、步骤和/或功能。附图中示出的装置、设备和/或组件可 以被配置为执行本文描述的方法、特征或者步骤中的一个或多个。本文描 述的新颖性算法还可以被高效地实现在软件中和/或被嵌入到硬件中。
应当理解的是，公开的方法中的步骤的特定的顺序或者层次是对示例 性过程的说明。应当理解的是，基于设计偏好，可以重新排列方法中的步 骤的特定的顺序或者层次。所附方法权利要求以作为例子的顺序呈现各个 步骤的要素，并不意指被限定到呈现的特定的顺序或者层次，除非其中明 确地记载。在不背离本公开内容的情况下，还可以添加或者不利用另外的 单元、组件、步骤和/或功能单元。
虽然已经相对于某些实现方式和附图讨论了本公开内容的特征，但是 本公开内容的所有实现方式可以包括本文讨论的有利特征中的一个或多 个。换句话说，虽然已经将一种或多种实现方式讨论为具有某些有利特征， 但是根据本文讨论的各种实现方式中的任何实现方式，还可以使用这样的 特征中的一个或多个特征。以类似的方式，虽然本文将示例性的实现方式 讨论为设备、系统或者方法实现方式，但是应当理解的是，这样的示例性 实现方式可以被实现在各种设备、系统和方法中。
此外，应当注意到的是，至少一些实现方式已经被描述为过程，所述 过程被描绘为流程图、流程示意图、结构图或者框图。尽管流程图可以将 操作描述为顺序的过程，但是操作中的很多操作可以并行地或者同时地执 行。此外，可以重新排列操作的顺序。当其操作被完成时，过程也就终止 了。在一些方面中，过程可以与方法、函数、程序(procedure)、子例程、 子程序等相对应。当过程与函数相对应时，其终止与该函数到调用函数或 者主函数的返回相对应。本文描述的各种方法中的一种或多种方法可以部 分地或者全部地通过程序编制(例如，指令和/或数据)来实现，其中所述 程序编制可以被存储在机器可读的、计算机可读的和/或处理器可读的存储 介质中，并且被一个或多个处理器、机器和/或设备执行。
本领域的技术人员还应当意识到的是，结合本文公开的实现方式描述 的各种说明性的逻辑框、模块、电路和算法步骤可以被实现为硬件、软件、 固件、中间件、微代码或者其任意组合。为了清楚地说明这种可互换性， 上面已经对各种说明性的组件、框、模块、电路和步骤围绕其功能进行了 总体描述。至于这样的功能是被实现为硬件还是软件，取决于特定的应用 和被施加到整个系统上的设计约束。
在本公开内容中，使用词语“示例性”来意指“充当示例、实例或者 说明”。本文作为“示例性”描述的任何实现方式或者方面不必然地被解释 为优选的或者比本公开内容的其它方面具有优势。同样地，术语“方面” 并不要求本公开内容的所有方面包括所讨论的特征、优点或者操作的模式。 本文使用术语“耦合的”来指代两个物体之间的直接地或者间接地耦合。 例如，如果物体A物理地接触物体B，并且物体B接触物体C，则物体A 和C仍然可以被视为被耦合至彼此——即使它们不直接物理地接触彼此。 例如，即使第一管芯从未与第二管芯直接物理地接触，第一管芯也可以被 耦合到封装中的第二管芯。术语“电路”和“电路系统”被广义地使用， 并且旨在包括电子设备和导体的硬件实现方式(当所述电子设备和导体被 连接和配置时，实现本公开内容中描述的功能的性能，而不受限于电子电 路的类型)以及信息和指令的软件实现方式(当所述信息和指令被处理器 执行时，实现本公开内容中描述的功能的性能)二者。
如本文使用的，术语“确定”涵盖各种各样的动作。例如，“确定”可 以包括计算、运算、处理、推导、研究、查找(例如，在表格、数据库或 者另一数据结构中查找)、查明等等。此外，“确定”可以包括接收(例如， 接收信息)、存取(例如，存取存储器中的数据)等等。此外，“确定”可 以包括解决、选择、挑选、建立等等。如本文使用的，术语“获得”可以 包括一个或多个动作，其包括但不限于：接收、生成、确定或者其任意组 合。
提供先前的描述，以使得本领域的任何技术人员能够实践本文描述的 各个方面。对于本领域的技术人员来说，对这些方面的各种修改将是显而 易见的，并且本文定义的一般性原理可以被应用于其它方面。因此，权利 要求不旨在被限定到本文示出的方面，而是要被授予与权利要求所表达的 内容相一致的全部范围，其中，除非特别如此说明，否则用单数形式对要 素的提及并不旨在意指“一个和仅仅一个”，而是“一个或多个”。除非另 外特别说明，否则术语“一些”指代一个或多个。涉及项目的列表“中的 至少一个”的短语指代这些项目的任意组合，其包括单个成员。举例而言， “a、b或c中的至少一个”旨在涵盖：a；b；c；a和b；a和c；b和c；a、 b和c。对贯穿本公开内容描述的各个方面的要素的所有结构的和功能的等 价物通过引用方式被明确地并入本文，并且旨在由权利要求所包含，所述 所有结构的和功能的等价物对于本领域的普通技术人员来说是已知的或者 稍后将要已知的。此外，本文公开的任何内容都不旨在要奉献给公众，不 管这样的公开内容是否被明确地记载在权利要求中。不应当根据美国专利 法第112条第6款来解释任何权利要求的要素，除非该要素是使用“用 于……的单元”的短语来明确地记载的，或者在方法权利要求的情况下，该要素是使用“用于……的步骤”的短语记载的。
因此，在不背离本公开内容的范围的情况下，可以在不同的示例和实 现方式中实现与本文描述的以及在附图中示出的示例相关联的各种特征。 因此，虽然已经描述并且在附图中示出了某些特定的构造和排列，但是这 样的实现方式仅仅是说明性的，并不限制本公开内容的范围，由于对于本 领域的普通技术人员来说，对所描述的实现方式的各种其它添加和修改以 及从其中删除是显而易见的。因此，本公开内容的范围仅仅是由所附权利要求书的字面语言及法律等同物来确定的。

Claims (20)

1.一种用于网络接入节点的方法，包括：
从客户端设备接收第一分组和加密的客户端设备上下文，其中，所述第一分组是基于用户平面密钥来保护的，并且其中，所述加密的客户端设备上下文包括至少所述用户平面密钥以及实现对用于所述客户端设备的至少安全上下文的重建，所述安全上下文实现对所述第一分组的处理；
基于所述客户端设备的网络附着模式，确定下一跳网络节点；以及
当所述网络附着模式是减少数据传送模式时，在无需对从所述客户端设备接收的所述第一分组进行验证的情况下，将所述第一分组和所述加密的客户端设备上下文转发给所述下一跳网络节点。
2.根据权利要求1所述的方法，还包括：
从网络节点接收第二分组；以及
当所述客户端设备的所述网络附着模式是所述减少数据传送模式时，在无需对所述第二分组进行保护的情况下，将从所述网络节点接收的所述第二分组转发给所述客户端设备。
3.根据权利要求2所述的方法，还包括：
根据所述第二分组中的临时标识符来识别所述客户端设备，其中，所述第二分组是数据分组。
4.根据权利要求3所述的方法，还包括：
在转发所述第二分组之前，从所述第二分组中去除所述临时标识符。
5.根据权利要求1所述的方法，还包括：
从所述客户端设备接收对于附着到网络的具有所述网络附着模式的指示的请求，其中，所述网络附着模式是所述减少数据传送模式。
6.根据权利要求1所述的方法，其中，对所述下一跳网络节点的所述确定是基于所述网络接入节点处的预先配置的信息的，或者是基于被包括在所述第一分组中的目的地信息的，其中，所述网络附着模式是所述减少数据传送模式。
7.根据权利要求6所述的方法，其中，所述目的地信息包括网络功能单元标识符，其中所述网络功能单元标识符能够实现对用于实现网络功能的网络节点的标识。
8.根据权利要求7所述的方法，其中，所述网络功能单元标识符与第二网络节点处实现的用户平面网络功能单元相关联。
9.根据权利要求1所述的方法，还包括：
向所述第一分组添加与所述客户端设备相关联的临时标识符，其中，所述第一分组是数据分组；以及
存储所述临时标识符。
10.根据权利要求9所述的方法，其中，所述临时标识符是小区无线网络临时标识符(C-RNTI)，并且其中，所述临时标识符被存储达预先确定的时段。
11.一种网络接入节点，包括：
通信电路，其被配置为与一个或多个网络实体进行通信；以及
处理电路，其被耦合到所述通信电路，所述处理电路被配置为：
从客户端设备接收第一分组和加密的客户端设备上下文，其中，所述第一分组是基于用户平面密钥来保护的，并且其中，所述加密的客户端设备上下文包括至少所述用户平面密钥以及实现对用于所述客户端设备的至少安全上下文的重建，所述安全上下文实现对所述第一分组的处理；
基于所述客户端设备的网络附着模式，确定下一跳网络节点；以及
当所述网络附着模式是减少数据传送模式时，在无需对从所述客户端设备接收的所述第一分组进行验证的情况下，将所述第一分组和所述加密的客户端设备上下文转发给所述下一跳网络节点。
12.根据权利要求11所述的网络接入节点，其中，所述处理电路还被配置为：
从网络节点接收第二分组；以及
当所述客户端设备的所述网络附着模式是所述减少数据传送模式时，在无需对所述第二分组进行保护的情况下，将从所述网络节点接收的所述第二分组转发给所述客户端设备。
13.根据权利要求12所述的网络接入节点，其中，所述处理电路还被配置为：
根据所述第二分组中的临时标识符来识别所述客户端设备，其中，所述第二分组是数据分组。
14.根据权利要求11所述的网络接入节点，其中，所述处理电路还被配置为：
从所述客户端设备接收对于附着到网络的具有所述网络附着模式的指示的请求，其中，所述网络附着模式是所述减少数据传送模式。
15.根据权利要求11所述的网络接入节点，其中，所述处理电路还被配置为：
向所述第一分组添加与所述客户端设备相关联的临时标识符，其中，所述第一分组是数据分组；以及
存储所述临时标识符。
16.一种具有存储在其上的指令的非暂时性处理器可读存储介质，所述指令当由至少一个处理电路执行时使得所述至少一个处理电路进行以下操作：
从客户端设备接收第一分组和加密的客户端设备上下文，其中，所述第一分组是基于用户平面密钥来保护的，并且其中，所述加密的客户端设备上下文包括至少所述用户平面密钥以及实现对用于所述客户端设备的至少安全上下文的重建，所述安全上下文实现对所述第一分组的处理；
基于所述客户端设备的网络附着模式，确定下一跳网络节点；以及
当所述网络附着模式是减少数据传送模式时，在无需对从所述客户端设备接收的所述第一分组进行验证的情况下，将所述第一分组和所述加密的客户端设备上下文转发给所述下一跳网络节点。
17.根据权利要求16所述的非暂时性处理器可读存储介质，其中，所述指令还使得所述至少一个处理电路进行以下操作：
从网络节点接收第二分组；以及
当所述客户端设备的所述网络附着模式是所述减少数据传送模式时，在无需对所述第二分组进行保护的情况下，将从所述网络节点接收的所述第二分组转发给所述客户端设备。
18.根据权利要求16所述的非暂时性处理器可读存储介质，其中，所述指令还使得所述至少一个处理电路进行以下操作：
从所述客户端设备接收对于附着到网络的具有所述网络附着模式的指示的请求，其中，所述网络附着模式是所述减少数据传送模式。
19.根据权利要求16所述的非暂时性处理器可读存储介质，其中，所述指令还使得所述至少一个处理电路进行以下操作：
向所述第一分组添加与所述客户端设备相关联的临时标识符，其中，所述第一分组是数据分组；以及
存储所述临时标识符。
20.根据权利要求19所述的非暂时性处理器可读存储介质，其中，所述指令还使得所述至少一个处理电路进行以下操作：
根据所述第二分组中的临时标识符来识别所述客户端设备，其中，所述第二分组是数据分组。
CN202110576514.1A 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构 Active CN113329006B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110576514.1A CN113329006B (zh) 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构

Applications Claiming Priority (7)

Application Number Priority Date Filing Date Title
US201562191459P 2015-07-12 2015-07-12
US62/191,459 2015-07-12
US15/160,326 2016-05-20
US15/160,326 US10362011B2 (en) 2015-07-12 2016-05-20 Network security architecture
PCT/US2016/037068 WO2017011114A1 (en) 2015-07-12 2016-06-10 Network security architecture for cellular internet of things
CN201680039877.9A CN107736047B (zh) 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构
CN202110576514.1A CN113329006B (zh) 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CN201680039877.9A Division CN107736047B (zh) 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构

Publications (2)

Publication Number Publication Date
CN113329006A CN113329006A (zh) 2021-08-31
CN113329006B true CN113329006B (zh) 2023-05-26

Family

ID=57731536

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201680039877.9A Active CN107736047B (zh) 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构
CN202110576514.1A Active CN113329006B (zh) 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN201680039877.9A Active CN107736047B (zh) 2015-07-12 2016-06-10 用于蜂窝物联网的网络安全架构

Country Status (8)

Country Link
US (3) US10362011B2 (zh)
EP (2) EP3320707B1 (zh)
JP (2) JP6882255B2 (zh)
KR (1) KR102447299B1 (zh)
CN (2) CN107736047B (zh)
BR (1) BR112018000644A2 (zh)
TW (1) TWI708513B (zh)
WO (1) WO2017011114A1 (zh)

Families Citing this family (37)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10505850B2 (en) 2015-02-24 2019-12-10 Qualcomm Incorporated Efficient policy enforcement using network tokens for services—user-plane approach
US10362011B2 (en) 2015-07-12 2019-07-23 Qualcomm Incorporated Network security architecture
TWI562661B (en) * 2015-08-27 2016-12-11 Ind Tech Res Inst Cell and method and system for bandwidth management of backhaul network of cell
CN106961722B (zh) * 2016-01-12 2018-09-11 展讯通信（上海）有限公司 数据的传输方法及基站
CN107666667B (zh) * 2016-07-29 2019-09-17 电信科学技术研究院 一种数据传输方法、第一设备及第二设备
WO2018037149A1 (en) * 2016-08-22 2018-03-01 Nokia Technologies Oy Security procedure
US20180097807A1 (en) * 2016-09-30 2018-04-05 Lg Electronics Inc. Method and apparatus for performing initial access procedure based on authentication in wireless communication system
CN109891830B (zh) * 2016-11-04 2021-04-09 华为技术有限公司 一种功能调度方法、设备和系统
CN108347416B (zh) 2017-01-24 2021-06-29 华为技术有限公司 一种安全保护协商方法及网元
KR102556491B1 (ko) * 2017-01-27 2023-07-17 삼성전자주식회사 미션 크리티컬 데이터 통신 시스템에서 시그널링 플레인을 통한 엔드-대-엔드 보안을 제공하는 방법
CN110419205B (zh) 2017-01-30 2022-11-25 瑞典爱立信有限公司 针对用户平面数据的完整性保护的方法
PL3596953T3 (pl) 2017-03-17 2023-10-09 Telefonaktiebolaget Lm Ericsson (Publ) Rozwiązanie dotyczące bezpieczeństwa włączania i wyłączania zabezpieczeń dla danych up pomiędzy ue a ran w 5g
DE102017208735A1 (de) * 2017-05-23 2018-11-29 Siemens Aktiengesellschaft Verfahren und Vorrichtung zum Schutz einer Kommunikation zwischen mindestens einer ersten Kommunikationseinrichtung und wenigstens einer zweiten Kommunikationseinrichtung insbesondere innerhalb eines Kommunikationsnetzwerkes einer industriellen Fertigung und/oder Automatisierung
CN110896683A (zh) * 2017-06-01 2020-03-20 华为国际有限公司 数据保护方法、装置以及系统
US10470042B2 (en) * 2017-07-27 2019-11-05 Nokia Technologies Oy Secure short message service over non-access stratum
US20190089592A1 (en) * 2017-09-20 2019-03-21 Quanta Computer Inc. Role-based automatic configuration system and method for ethernet switches
CN111641950B (zh) 2017-11-08 2022-04-29 Oppo广东移动通信有限公司 完整性保护的控制方法、网络设备及计算机存储介质
US10771450B2 (en) * 2018-01-12 2020-09-08 Blackberry Limited Method and system for securely provisioning a remote device
JP7062787B2 (ja) * 2018-04-06 2022-05-06 テレフオンアクチーボラゲット エルエム エリクソン（パブル） ５ｇシステムにおけるユーザプレーン保護のためのセキュリティポリシーのｕｅ制御ハンドリング
CN108833340A (zh) * 2018-04-26 2018-11-16 浙江麦知网络科技有限公司 一种室内网络通信安全保护系统
EP3565191B1 (en) * 2018-04-30 2021-07-07 Hewlett Packard Enterprise Development LP Provisioning and managing internet-of-thing devices over a network
WO2020058041A1 (en) * 2018-09-21 2020-03-26 Nokia Technologies Oy Method and apparatus for secure messaging between network functions
EP3881580A1 (en) * 2018-11-12 2021-09-22 Telefonaktiebolaget Lm Ericsson (Publ) Authentication of a communications device
PL3607715T3 (pl) 2018-11-14 2021-12-27 Telefonaktiebolaget Lm Ericsson (Publ) Wykrywanie restartu klienta usługi nf z wykorzystaniem sygnalizacji bezpośredniej pomiędzy funkcjami nf
US11533613B2 (en) 2019-08-16 2022-12-20 Qualcomm Incorporated Providing secure communications between computing devices
US11271777B2 (en) 2019-09-24 2022-03-08 Pribit Technology, Inc. System for controlling network access of terminal based on tunnel and method thereof
WO2021060855A1 (ko) * 2019-09-24 2021-04-01 프라이빗테크놀로지 주식회사 제어 데이터 패킷을 보호하기 위한 시스템 및 그에 관한 방법
US11082256B2 (en) 2019-09-24 2021-08-03 Pribit Technology, Inc. System for controlling network access of terminal based on tunnel and method thereof
US11381557B2 (en) 2019-09-24 2022-07-05 Pribit Technology, Inc. Secure data transmission using a controlled node flow
US11190494B2 (en) 2019-09-24 2021-11-30 Pribit Technology, Inc. Application whitelist using a controlled node flow
US11652801B2 (en) 2019-09-24 2023-05-16 Pribit Technology, Inc. Network access control system and method therefor
KR102119257B1 (ko) * 2019-09-24 2020-06-26 프라이빗테크놀로지 주식회사 터널에 기반하여 단말의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
TWI754950B (zh) * 2020-06-02 2022-02-11 鴻海精密工業股份有限公司 物聯網設備、伺服器及軟體更新方法
CN112188447B (zh) * 2020-08-26 2021-09-14 江苏龙睿物联网科技有限公司 一种物联网移动基站通信保护系统及保护方法
US20220353263A1 (en) * 2021-04-28 2022-11-03 Verizon Patent And Licensing Inc. Systems and methods for securing network function subscribe notification process
US11570180B1 (en) * 2021-12-23 2023-01-31 Eque Corporation Systems configured for validation with a dynamic cryptographic code and methods thereof
US11928039B1 (en) * 2022-11-01 2024-03-12 Micron Technologies, Inc. Data-transfer test mode

Family Cites Families (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007108651A1 (en) * 2006-03-22 2007-09-27 Lg Electronics Inc. Security considerations for the lte of umts
US20080181411A1 (en) 2007-01-26 2008-07-31 Karl Norrman Method and system for protecting signaling information
US8855138B2 (en) * 2008-08-25 2014-10-07 Qualcomm Incorporated Relay architecture framework
CN102090093B (zh) 2009-04-30 2013-04-17 华为技术有限公司 空口链路安全机制建立的方法、设备
CN102036256B (zh) * 2009-09-28 2013-03-20 华为技术有限公司 数据传输方法、装置及系统
US8477724B2 (en) 2010-01-11 2013-07-02 Research In Motion Limited System and method for enabling session context continuity of local service availability in local cellular coverage
US9021072B2 (en) * 2010-01-28 2015-04-28 Verizon Patent And Licensing Inc. Localized media offload
GB201008633D0 (en) * 2010-05-24 2010-07-07 Gigle Networks Iberia Sl Communications apparatus
TWI552564B (zh) 2010-11-15 2016-10-01 內數位專利控股公司 憑證驗證及頻道耦合
KR101948348B1 (ko) * 2011-04-01 2019-02-14 인터디지탈 패튼 홀딩스, 인크 네트워크에 대한 연결성을 제어하는 방법 및 장치
US20120252481A1 (en) * 2011-04-01 2012-10-04 Cisco Technology, Inc. Machine to machine communication in a communication network
EP2724571A2 (en) 2011-06-22 2014-04-30 NEC Europe Ltd. Energy awareness in mobile communication user equipment and networks, including optimizations based on state compression
US9313747B2 (en) * 2011-07-01 2016-04-12 Intel Corporation Structured codebook for uniform circular array (UCA)
US20130046821A1 (en) * 2011-08-15 2013-02-21 Renasas Mobile Corporation Advanced Machine-To-Machine Communications
KR101935785B1 (ko) * 2011-08-16 2019-04-03 삼성전자 주식회사 무선통신시스템에서 멀티미디어 방송 서비스를 수신하는 방법 및 장치
CN103002428B (zh) * 2011-09-15 2016-08-03 华为技术有限公司 一种物联网终端网络附着的方法及系统
KR20150079995A (ko) * 2011-10-03 2015-07-08 인텔 코포레이션 장치 간(ｄ２ｄ) 통신 메커니즘
KR20130037481A (ko) * 2011-10-06 2013-04-16 주식회사 케이티 통신망, 개체 및 트리거링 제어 방법
WO2013065996A1 (ko) * 2011-11-03 2013-05-10 주식회사 케이티 기계 형태 통신 단말의 트리거링을 위한 서버 및 방법
KR102133785B1 (ko) * 2012-05-10 2020-07-15 삼성전자주식회사 메시지 송수신 방법 및 장치
EP2693800A1 (en) * 2012-08-03 2014-02-05 Panasonic Corporation Radio Resource Managment for Dual Priority Access
CN103686708B (zh) 2012-09-13 2018-01-19 电信科学技术研究院 一种密钥隔离方法及设备
WO2014109602A1 (en) 2013-01-11 2014-07-17 Lg Electronics Inc. Method and apparatus for applying security information in wireless communication system
GB201306350D0 (en) 2013-04-08 2013-05-22 Gen Dynamics Broadband Inc Apparatus and methods for key generation
EP2995019B1 (en) * 2013-05-09 2019-01-30 Intel IP Corporation Small data communications
CN104620660B (zh) * 2013-08-02 2019-04-12 华为技术有限公司 空闲状态随机接入方法及设备
IN2013MU02890A (zh) * 2013-09-05 2015-07-03 Tata Consultancy Services Ltd
US9497673B2 (en) * 2013-11-01 2016-11-15 Blackberry Limited Method and apparatus to enable multiple wireless connections
EP3078236A1 (en) * 2013-12-06 2016-10-12 Interdigital Patent Holdings, Inc. Layered connectivity in wireless systems
CN104540107A (zh) * 2014-12-03 2015-04-22 东莞宇龙通信科技有限公司 Mtc终端群组的管理方法、管理系统和网络侧设备
US10454686B2 (en) 2015-04-08 2019-10-22 Telefonaktiebolaget Lm Ericsson (Publ) Method, apparatus, and system for providing encryption or integrity protection in a wireless network
US10362011B2 (en) 2015-07-12 2019-07-23 Qualcomm Incorporated Network security architecture

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
Lucent Technologies.N3-050069 "IMS SIP profile for ISUP transparency".3GPP tsg_cn\WG3_interworking.2005,(TSGN3_35),全文. *

Also Published As

Publication number Publication date
US20190306140A1 (en) 2019-10-03
EP3320707B1 (en) 2021-11-17
KR102447299B1 (ko) 2022-09-23
JP2018528647A (ja) 2018-09-27
CN113329006A (zh) 2021-08-31
JP2021145342A (ja) 2021-09-24
US11329969B2 (en) 2022-05-10
CN107736047B (zh) 2021-06-08
US20220263812A1 (en) 2022-08-18
US20190306141A1 (en) 2019-10-03
EP3905744A1 (en) 2021-11-03
US10362011B2 (en) 2019-07-23
JP7246430B2 (ja) 2023-03-27
WO2017011114A1 (en) 2017-01-19
BR112018000644A2 (pt) 2018-09-18
JP6882255B2 (ja) 2021-06-02
EP3320707A1 (en) 2018-05-16
TW201703556A (zh) 2017-01-16
CN107736047A (zh) 2018-02-23
US20170012956A1 (en) 2017-01-12
TWI708513B (zh) 2020-10-21
KR20180030023A (ko) 2018-03-21

Similar Documents

Publication Publication Date Title
CN113329006B (zh) 用于蜂窝物联网的网络安全架构
US11172357B2 (en) Network architecture and security with encrypted client device contexts
US11716615B2 (en) Network architecture and security with simplified mobility procedure
US10097995B2 (en) Network architecture and security with encrypted network reachability contexts
US12010107B2 (en) Network security architecture

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant