CN113840285A - 基于5g的物理层协同认证方法、系统及电子设备 - Google Patents

Abstract

本公开提供一种基于5G的物理层协同认证方法、系统及电子设备，方法包括：利用基站对用户终端进行认证，确定用户终端合法后，基站与用户终端建立业务连接；用户终端接收到新业务到达请求时，向基站发起双向物理层认证请求，用户终端和基站均分别对对方进行物理层认证；用户终端确定基站的物理层认证合法，且基站确定用户终端的物理层认证合法后，用户终端通过基站与对应的服务器建立业务通道，用户终端接收新业务到达请求，服务器通过基站为用户终端提供新业务服务；用户终端确定基站的物理层认证不合法，或基站确定用户终端的物理层认证不合法，则用户终端拒绝新业务到达请求。能够提高安全性，减少计算量，缩小延时时间。

Description

基于5G的物理层协同认证方法、系统及电子设备

技术领域

本公开涉及通信处理技术领域，尤其涉及一种基于5G的物理层协同认证方法、系统及电子设备。

背景技术

5G无线通信系统网络面临异构接入和异构设备等问题。不同的无线接入技术在网络系统、接入技术、类型站点方面有所不同，需要采用统一的认证框架，才能灵活应用于各种场景。

此外，5G网络将更多地为垂直行业提供服务，而垂直行业对5G网络提出了更多的需求。例如，需要通过5G新增的网络切片特性来为垂直行业提供定制化的服务，包括为特定的业务提供数据通道建立前的认证机制。

现有认证机制在高层采用密码机制实现，具有较大的时延和计算开销。未来网络场景中会出现大量功率较低的传感器等终端，这给这些能量受限的终端的认证带来了诸多弊端。同时时延较长大大影响了用户体验。并且无线信道具有脆弱性和开放性，容易遭受到物理层的攻击。

发明内容

有鉴于此，本公开的目的在于提出一种基于5G的物理层协同认证方法、电子设备和存储介质，能够解决或部分解决上述技术问题。

基于上述目的，本公开第一方面提供了一种基于5G的物理层协同认证方法，包括：

利用基站对用户终端进行认证，确定所述用户终端合法后，所述基站与所述用户终端建立业务连接；

所述用户终端接收到新业务到达请求时，向所述基站发起双向物理层认证请求，所述用户终端和所述基站均分别对对方进行物理层认证；

所述用户终端确定所述基站的物理层认证合法，且所述基站确定所述用户终端的物理层认证合法后，所述用户终端通过所述基站与对应的服务器建立业务通道，所述用户终端接收所述新业务到达请求，所述服务器通过所述基站为所述用户终端提供新业务服务；

所述用户终端确定所述基站的物理层认证不合法，或所述基站确定所述用户终端的物理层认证不合法，则所述用户终端拒绝所述新业务到达请求。

本公开第二方面提供了一种基于5G的物理层协同认证系统，包括：

初次认证模块，用于利用基站对用户终端进行认证，确定所述用户终端合法后，所述基站与所述用户终端建立业务连接；

再次认证模块，用于在所述用户终端接收到新业务到达请求时，向所述基站发起双向物理层认证请求，所述用户终端和所述基站均分别对对方进行物理层认证；

业务服务模块，用于在所述用户终端确定所述基站的物理层认证合法，且所述基站确定所述用户终端的物理层认证合法后，所述用户终端通过所述基站与对应的服务器建立业务通道，所述用户终端接收所述新业务到达请求，所述服务器通过所述基站为所述用户终端提供新业务服务；或者，在所述用户终端确定所述基站的物理层认证不合法/所述基站确定所述用户终端的物理层认证不合法，则所述用户终端拒绝所述新业务到达请求。

本公开第三方面提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面所述的方法。

从上面所述可以看出，本公开提供的基于5G的物理层协同认证方法、系统及电子设备，首先对用户终端进行认证，用户终端合法后，建立基站与用户终端之间的通信连接；然后在接收新业务之前，基站和用户终端再进行双向物理层认证，认证全部通过后，服务器才能通过基站为用户终端提供新业务服务，如果认证有一个不通过，则拒绝该新业务。这样，在对新业务的服务开始之前，基于通信信道无线通信的特点，用户终端和基站进行双向物理层认证，能够在节约资源利用的同时，提高物理层的安全性，并且利用物理层认证的方式使得整体计算量得到减小，延时较小，有助于提升用户体验。

附图说明

为了更清楚地说明本公开或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本公开一个实施例的基于5G的物理层协同认证方法的流程图；

图2为本公开一个实施例的基于5G的物理层协同认证方法中步骤100的展开流程图；

图3为本公开另一个实施例的基于5G的物理层协同认证方法的流程图；

图4为本公开一个实施例的基于5G的物理层协同认证系统的结构框图；

图5为本公开实施例的电子设备的硬件结构示意图。

具体实施方式

为使本公开的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本公开进一步详细说明。

需要说明的是，除非另外定义，本公开实施例使用的技术术语或者科学术语应当为本公开所属领域内具有一般技能的人士所理解的通常意义。本公开实施例中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。

在5G时代，接入网络中的不仅包括传统的移动终端，还有各种物联网设备，包括传感器，摄像头，医疗器械等。它们通过5G基站接入无线网络，并且向业务提供商申请服务。

如图1所示，本公开的实施例提供的基于5G的物理层协同认证方法，具体执行步骤包括：

步骤100，利用基站对用户终端进行认证，确定用户终端合法后，基站与用户终端建立业务连接。

在该步骤中，在5G连接网络中，一般都是通过基站与用户终端建立业务连接，但是，并不是所有用户终端都能通过基站进行通信连接，需要对用户终端进行认证。认证通过，则基站与用户终端建立业务连接，认证不通过，基站与用户终端不进行通信连接。

其中，一个基站可以与多个用户终端连接，对应的基站为5G网络基站。

步骤200，用户终端接收到新业务到达请求时，向基站发起双向物理层认证请求，用户终端和基站均分别对对方进行物理层认证。

在该步骤中，用户终端与基站建立通信连接后，就处于业务等待状态，如果接收到新业务到达请求，先不对新业务进行处理，先向基站发送一个双向物理层认证请求。然后用户终端和基站互相进行物理层认证，只要有一方物理层认证不通过，就不对新业务进行处理。

该新业务可以包括但不限于下列至少之一：下载业务、浏览业务、广告推送业务、软件更新业务等。

步骤300，判断是否用户终端确定基站的物理层认证合法，且基站确定用户终端的物理层认证合法，是则进入步骤400，否则进入步骤500。

步骤400，用户终端通过基站与对应的服务器建立业务通道，用户终端接收新业务到达请求，服务器通过基站为用户终端提供新业务服务。

在该步骤中，双向物理认证通过后，服务器、基站和用户终端就构建一个业务通道，这样服务器就可以通过基站为用户终端提供对应新业务的服务(例如，服务器将对应的广告内容推送至用户终端)。

步骤500，用户终端拒绝新业务到达请求。

通过上述方案，首先对用户终端进行认证，用户终端合法后，建立基站与用户终端之间的通信连接；然后在接收新业务之前，基站和用户终端再进行双向物理层认证，认证全部通过后，服务器才能通过基站为用户终端提供新业务服务，如果认证有一个不通过，则拒绝该新业务。这样，在处理新业务之前，基于通信信道无线通信的特点，进行双向物理层认证，能够在节约资源利用的同时，提高物理层的安全性，并且物理层认证计算量得到减小，进而使得延时较小，提升用户体验。

在具体实施例中，如图2所示，步骤100具体包括：

步骤110，用户终端将身份信息发送至基站。

步骤120，基站确定身份信息是否属于初次接入，是则进入步骤130，否则进入步骤140。

步骤130，基站将身份信息进行保存，并对用户终端进行上层认证，判断上层认证是否通过，是则进入步骤140，否则结束。

步骤140，基站直接与用户终端连接建立通信信道。

步骤150，基站基于通信信道进行物理层认证，判断物理层认证是否通过，是则进入步骤160，否则结束。

步骤160，确定用户终端合法，基站与用户终端建立业务连接。

在上述方案中，用户终端要与对应覆盖下的5G基站进行通信连接之前，先将自己的身份信息发送至对应的基站后。基站的核心网中包含AMF(Access and MobilityManagement Function，接入和移动管理功能)模块，AMF模块中保存有该基站连接过的所有用户终端的Mac地址等信息。这样，当用户终端接入时，用户终端将身份信息(身份信息中包含Mac地址)发送给基站，基站将身份信息传送至核心网的AMF模块中。AMF模块从身份信息中提取Mac地址，判断提取的Mac地址在存储库中有没有，若有，证明该用户终端是再次接入的，直接进行物理层认证即可；若没有，证明该用户终端属于初次接入，需要对该用户终端先进行上层认证，再进行物理层认证。

经过上述认证通过以后才能将基站与用户建立业务连接，这样避免了一些不合法用户终端与基站连接对基站造成影响，并且经过上述方案，能够减少整个认证过程的计算量，进而提高认证效率，降低时延时间。

在具体实施例中，基站包括：数据管理模块、鉴权服务模块和安全锚模块，基站对用户终端进行上层认证的步骤包括：

步骤A1，基站接收到用户终端发来的上层认证请求。

步骤A2，基站中的数据管理模块根据上层认证请求创建第一鉴权向量，并将第一鉴权向量发送至鉴权服务模块，第一鉴权向量中包含第一响应XRES*(expectedRESponse)。

步骤A3，鉴权服务模块将第一鉴权向量中的第一响应XRES*进行存储，并根据第一响应XRES*计算第二响应HXRES*，生成包含第二响应HXRES*(Hash expected RESponse)的第二鉴权向量，将第二鉴权向量发送至安全锚模块。

步骤A4，安全锚模块根据第二鉴权向量生成鉴权请求，并将鉴权请求发送至用户终端，其中鉴权请求中包括鉴权参数。

步骤A5，用户终端将鉴权请求中携带的鉴权参数发送至全球用户识别卡中。

步骤A6，全球用户识别卡对鉴权参数进行验证，验证通过后，生成第三响应RES(RESponse)，将第三响应RES发送至用户终端。

步骤A7，用户终端根据第三响应RES生成第四响应RES*，并将第四响应RES*发送至安全锚模块中。

步骤A8，安全锚模块根据接收到的第四响应RES*生成第五响应HRES*(HashRESponse)，确定第五响应HRES*与第二鉴权向量中的第二响应HXRES*相同后，将第四响应RES*发送至鉴权服务模块。

步骤A9，鉴权服务模块将第四响应RES*与第一响应XRES*进行比对，确定第四响应RES*与第一响应XRES*相同，生成鉴权成功响应；或者确定第四响应RES*与第一响应XRES*不同，生成鉴权失败响应；将鉴权成功响应或鉴权失败响应发送至安全锚模块。

步骤A10，安全锚模块接收到鉴权成功响应后，基站与用户终端建立连接，安全锚模块接收到鉴权失败响应后，基站与用户终端终止通信。

在上述方案中，各个响应是基于对应的情况基站或者用户终端做出的反应信息(也可以称作鉴权向量)。通过上述步骤进而实现对用户终端做出的响应进行识别鉴权的过程，只有鉴权成功后，才能知道该用户终端合法，属于安全的用户终端，进而完成上层认证的过程，这样基站才能与用户终端建立连接。

只有建立通信连接才能形成通信信道，才能进一步对通信信道进行物理层认证的过程。

在具体实施例中，确定接收方为基站或用户终端，发送方为用户终端或基站，则物理层认证(即，步骤200和步骤150中的物理层认证)的具体步骤包括：

步骤B1，利用接收方提取发送方当前时间段的通信信道的当前状态信息。

步骤B2，将当前状态信息与通信信道在之前至少一个时间段的历史状态信息利用预定规则进行比较，得到比较结果，其中，之前至少一个时间段的历史状态信息为相互业务连接通信的用户终端和基站之间的历史互通信号，并对历史互通信号进行处理得到的历史状态信息。

步骤B3，将比较结果与设定门限值进行比较，确定比较结果大于设定门限值则物理层认证失败，确定比较结果小于等于设定门限值则物理层认证成功。

在上述方案中，基于上述步骤160在建立业务连接之前，接收方基站先对与之连接的发送方用户终端进行第一次物理层认证，只有第一次物理层认证通过后，二者才能建立业务连接，这样用户终端开始处于等待业务到达的状态。

然后，如果用户终端接收到新业务到达请求，进入步骤200，在针对新业务到达请求建立新业务的服务通道之前，用户终端先向基站发起双向的第二次物理层认证。用户终端作为接收方对发送方为基站的通信信道进行第二次物理层认证，以及基站作为接收方对发送方为用户终端的通信信道进行第二次物理层认证。只有双方的第二次物理层认证全通过后，用户终端才能通过基站与服务器建立新业务的服务通道，这样服务器就可以基于该新业务的服务通道为用户终端提供新业务的服务。如果第二次物理层认证不通过，则直接拒绝该新业务到达请求，用户终端仍然处于等待业务到达的状态。

通过上述方案，作为一个合法的通信连接，连续两个时间段内的通信信道的状态信息变化不会特别大，因此本公开采用基于当前时间段的当前状态信息以及之前一个或多个时间段的历史状态信息进行比较，比较之间的差异变化，将差异变化作为比较结果与对应的门限值进行比较判断，低于该门限值证明符合要求，该通信连接合法。这种认证方式简单快速，在能够进行合法认证的同时，还能减少认证过程的计算量。

在具体实施例中，确定当前状态信息为当前状态向量，历史状态信息为历史状态向量；

则步骤B2具体包括：

计算当前状态向量与上一个时间段的历史状态向量之间的欧氏距离，将欧氏距离作为比较结果。

或者，

计算当前状态向量与上一个时间段的历史状态向量的第一差值，并对第一差值进行归一化处理，将归一化后的第一差值作为比较结果。

或者，

计算当前状态向量与上一个时间段的历史状态向量的第一差值，以及计算上一个时间段的历史状态向量与上两个时间段的历史状态向量的第二差值，计算第一差值与第二差值之间的第三差值，对第三差值进行归一化处理，将归一化后的第三差值作为比较结果。

或者，

计算当前状态向量与上一个时间段的历史状态向量的第一差值，以及计算距离当前时间最近的N个相邻时间段的历史状态向量之间的N个第二差值，计算第一差值与N个第二差值的平均差值，将平均差值作为比较结果。

通过上述方案，可以从上述四种计算方式中任选其一，来计算当前通信信道的状态与当前时间段之前的一个或者多个时间段的状态之间的差异变化，具体如何选择，可以根据实际情况进行确定，这样就能够通过差异变化的具体值来确定当前时间段的通信信道是否合法。这种物理认证方式，比较简单快捷，计算量较小，能够减小整体的时延，提高用户体验。

进一步优选为计算欧氏距离的方式，来确定差异变化情况。欧氏距离计算量较小，并且得到的结果数值不会太大。

在具体实施例中，当前状态信息或历史状态信息包括下列至少之一：

信道冲激响应信息、信号幅度信息和信号到达角信息。

其中，状态信息至少包括上述几部分，还可以包括属于通信信道状态的其他的信息，具体其他的信息这里不做具体限定。这样对应的当前状态向量或者历史状态向量可以将上述包含的每部分分别作为一个维度的值，进而对应得到的当前状态向量或者历史状态向量属于多维度的向量值。进而对多维度的向量值按照上述B2步骤对应展开的四种具体计算方式中的一种进行计算。

在具体实施例中，步骤200具体包括：

步骤210，用户终端接收到新业务到达请求时，利用网络切片技术将用户终端和基站的物理资源转换成虚拟资源，并根据虚拟资源的网络功能和接入网技术构建逻辑网络。

步骤220，基于逻辑网络，用户终端向基站发起双向物理层认证请求，用户终端和基站均分别对对方进行物理层认证。

则步骤400具体包括：

用户终端基于逻辑网络进行数据传输处理，用户终端与基站建立业务通道，用户终端接收新业务到达请求，服务器通过基站为用户终端提供新业务服务。

在上述方案中，网络切片就是将用户终端和基站的整体的物理资源进行切分，划分成各个不同功能的子切片，具体包括：无线网络子切片、承载网络子切片和核心网络子切片，这样由无线网络子切片、承载网络子切片和核心网络子切片构成一个虚拟资源，基于这些网络子切片进行虚拟构建逻辑网络。

无线网络子切片：用于切片资源划分和隔离，切片感知，切片选择，移动性管理，每个切片的服务质量保障。

一、无线网络子切片分为：

(1)协议栈功能模块化分离

根据业务需求的不同，对无线网侧协议栈功能进行定制切分。无线侧基站分为CU(集中单元)和DU(分布单元)两个单元。解耦后的CU用于集中承载非实时业务，DU则主要负责对实时业务的处理，因此可以把跟时延相关性不大的功能上移到CU，跟时延强相关的下放到DU。像单向多播类业务就可以让这个切片功能最简化，而低时延类业务可以把CU里的一些功能下沉到DU。

(2)无线时频资源的切分

无线时频资源硬切：频率、时间资源以固定的方式分配给每个特定的切片，用户可利用这些静态的无线资源接入切片网络。

无线时频资源软切：对频谱资源来讲，可以独立预留出一些资源给URLLC(Ultra-Reliable and Low-Latency Communication，超高可靠超低时延通信)这种紧急性的业务使用，然后网络切片的调度管理服务根据切片业务请求的实时到达情况按需分配时频资源，并确保各切片间的资源平衡分配，这种切分方式让整个频谱资源利用率大幅提升，不会造成资源的浪费。

二、承载网络子切片：基于SDN的统一管理，承载也可以被抽象成资源池来进行灵活分配，从而切割成网络切片。

传输网切片运用虚拟化技术，将网络的链路、节点、端口等拓扑资源虚拟化，在传输硬件设施中切分出多个逻辑的虚拟传输子网，在物理网络层构建虚拟子网层。虚拟网络具有独立的管理面、控制面和转发面，各虚拟网络之上可独立支持各种业务，以此实现不同业务之间的隔离。

三、核心网络子切片：核心网在5G时代可谓大变样，基于SBA(服务化架构ServiceBased Architecture)，将网络中所有的网元重构为一个个实现基本功能集合的微服务，再由这些微服务像搭积木一样按需拼装成核心网络子切片。

核心网络子切片功能模块化：包括控制面及用户面，以库的方式调用。控制面功能模块包括:移动性管理、策略控制、网络功能(Function)库、用户数据、会话控制等；用户面功能模块包括：话单、转发、业务感知、数据优化等。

在具体实施例中，在步骤100之后，方法还包括：

步骤600，在预定时间内用户终端没有接收到新业务到达请求时，用户终端处于等待业务状态。

步骤700，用户终端在等待业务状态下连续超过预定时间后，基站与用户终端断开通信连接。

通过上述方案，如果用户终端在等待业务状态下的时间较长超过了预定时间，为了避免占用通信信道，就会断开基站与用户终端的通信连接。如果用户终端需要进行再次接通，则需要重新按照上述的步骤110至150进行再次连接。

基于上述实施例的描述，本实施例的基于5G的物理层协同认证方法的具体实现过程如下：

一、用户终端进行通信时，基站确定是否该用户终端为初次接入。

终端与5G基站进行通信后，会将终端的身份信息上传至核心网的AMF(Access andMobility Management Function，接入和移动管理功能)模块，AMF会保存终端的Mac地址等信息。当终端再次接入时，基站上传用户信息至核心网的AMF模块，AMF通过检查是否保存有相应信息来判断是否为初次接入。

(1)假如用户终端为初次接入，基站对用户终端进行传统上层认证和物理层认证。验证用户终端是否为合法。如果正确，则继续，否则，判定为非法用户终端，用户终端身份认证失败。

(2)假如用户终端不是初次接入，基站会对接入的终端进行物理层认证，如果正确，则继续，否则，判定为非法用户终端，用户终端身份认证失败。

具体上层认证过程包括：

1、当用户需要进行鉴权时，会向基站发送认证请求，在收到认证请求后。UDM/ARPF(Unified Data Management统一数据管理/Authentication credential Repository andProcessing Function身份验证凭据存储库和处理功能)会创建5G归属地鉴权向量，并将鉴权向量发送给AUSF。

2、AUSF(Authentication Server Function鉴权服务器功能)创建5G鉴权向量(5GAV)，并将其发送给归属网络的SEAF(Security Anchor Function安全锚模块)。

3、SEAF发送鉴权请求到用户终端，该认证请求携带鉴权参数RAND(随机生成的一个鉴权参数)和AUTN(AuthenticationToken，鉴权令牌)，用户终端会将收到RAND和AUTN传给USIM(Universal Subscriber Identity Module全球用户识别卡)。

4、USIM收到RAND和AUTN后，首先验证5G AV的新鲜度和验证，这些验证通过后，USIM接着计算出响应RES，USIM将响应RES返回给ME(Mobile Equipment移动设备)后；ME从RES推导出RES*。

5、SEAF将用户终端发上来的RES*推导出HRES*，然后将HRES*和5G鉴权向量中的HXRES*进行比较，如果比较通过，在访问网络的角度来说认为鉴权成功了。

6、访问网络将RES*发送至归属网络，归属网络AUSF接收到请求后，首先判断鉴权向量是否过期，如果过期了则认为鉴权失败；否则，对RES*和XRES*进行比较，如果相等，在归属网络的角度来说认为鉴权成功了。

7、AUSF给SEAF发送鉴权结果，将鉴权结果告诉SEAF，这样就可以根据鉴权结果确定上层认证是否成功。

具体物理层认证过程为：

携带信息的电磁波在传输过程中会受天气、建筑物、地形等因素的影响而产生衰落，电磁波在不同路径上的衰落具有独特性、随机性而难以被模仿和破解。正因如此，它形成的状态信息也难以被模仿与破解。因此，可以利用接收方，提取信道的状态信息，利用当前传输消息的状态信息(例如，信道冲激响应信息、信号幅度信息和信号到达角信息)与已认证的合法路径的状态信息(即上一个时间段对应的状态信息)，通过预定规则计算二者的差异变化量，将得到的差异变化量与门限值进行比较，若大于门限值则表示当前消息来自非法攻击者，认证失败；若小于门限值，则表示消息来自预期的合法发送者，认证成功。

二、确定用户终端为合法后，用户终端进入业务等待阶段。当有新业务到达时，网络切片通过网络虚拟化技术，将网络中的各类物理资源抽象成虚拟资源，并基于指定的网络功能和特定的接入网技术，按需构建端到端的逻辑网络。为了检验网络切片的合理性，用户端发起物理层认证(具体认证过程同上)。判定该网络切片是否为合法。假如判定均为合法，那么允许网络切片提供服务，此后建立业务通道，业务提供商为终端提供服务，否则，用户终端拒绝该业务，并继续等待新的业务到达。

三、当无业务到达时，基站向用户终端发送中断信号，终止连接。

如图3所示，具体的流程包括：

步骤1，判断用户终端是否为初次接入，是则进入步骤2，否则进入步骤3。

步骤2，进行上层认证，判断认证是否成功，是则进入步骤3，否则结束。

步骤3，进行物理层认证，判断认证是否成功，是则进入步骤4，否则结束。

步骤4，用户终端等待业务到达。

步骤5，判断等待时间是否超过预定时间，是则结束，否则进入步骤6

步骤6，判断是否有新业务到达，是则，进入步骤7，否则返回步骤4。

步骤7，基站和用户终端分别进行双向物理层认证，判断二者是否全部认证成功，是则进入步骤8，否则，返回步骤4。

步骤8，为新业务提供服务通道，并处理新业务，处理完成后返回步骤4。

需要说明的是，本公开实施例的方法可以由单个设备执行，例如一台计算机或服务器等。本实施例的方法也可以应用于分布式场景下，由多台设备相互配合来完成。在这种分布式场景的情况下，这多台设备中的一台设备可以只执行本公开实施例的方法中的某一个或多个步骤，这多台设备相互之间会进行交互以完成所述的方法。

需要说明的是，上述对本公开的一些实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于上述实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

基于同一发明构思，与上述任意实施例方法相对应的，本公开还提供了一种基于5G的物理层协同认证系统。

参考图4，所述基于5G的物理层协同认证系统，包括：

初次认证模块21，用于利用基站对用户终端进行认证，确定用户终端合法后，基站与用户终端建立业务连接；

再次认证模块22，用于在用户终端接收到新业务到达请求时，向基站发起双向物理层认证请求，用户终端和基站均分别对对方进行物理层认证；

业务服务模块23，用于在用户终端确定基站的物理层认证合法，且基站确定用户终端的物理层认证合法后，用户终端通过基站与对应的服务器建立业务通道，用户终端接收新业务到达请求，服务器通过基站为用户终端提供新业务服务；或者在用户终端确定基站的物理层认证不合法，或基站确定用户终端的物理层认证不合法后，用户终端拒绝新业务到达请求。

在具体实施例中，初次认证模块21具体用于：

用户终端将身份信息发送至基站；基站确定身份信息属于初次接入，将身份信息进行保存，并对用户终端进行上层认证，上层认证通过后基站与用户终端连接建立通信信道；基站确定身份信息属于再次接入，直接与用户终端连接建立通信信道；基站基于通信信道进行物理层认证，物理层认证通过后，确定用户终端合法，基站与用户终端建立业务连接。

在具体实施例中，基站包括：数据管理模块、鉴权服务模块和安全锚模块，上层认证的过程为：

基站接收到用户终端发来的上层认证请求；

基站中的数据管理模块根据上层认证请求创建第一鉴权向量，并将第一鉴权向量发送至鉴权服务模块，第一鉴权向量中包含第一响应XRES*；

鉴权服务模块将第一鉴权向量中的第一响应XRES*进行存储，并根据第一响应XRES*计算第二响应HXRES*，生成包含第二响应HXRES*的第二鉴权向量，将第二鉴权向量发送至安全锚模块；

安全锚模块根据第二鉴权向量生成鉴权请求，并将鉴权请求发送至用户终端，其中鉴权请求中包括鉴权参数；

用户终端将鉴权请求中携带的鉴权参数发送至全球用户识别卡中；

全球用户识别卡对鉴权参数进行验证，验证通过后，生成第三响应RES，将第三响应RES发送至用户终端；

用户终端根据第三响应RES生成第四响应RES*，并将第四响应RES*发送至安全锚模块中；

安全锚模块根据接收到的第四响应RES*生成第五响应HRES*，确定第五响应HRES*与第二鉴权向量中的第二响应HXRES*相同后，将第四响应RES*发送至鉴权服务模块；

鉴权服务模块将第四响应RES*与第一响应XRES*进行比对，确定第四响应RES*与第一响应XRES*相同，生成鉴权成功响应；或者确定第四响应RES*与第一响应XRES*不同，生成鉴权失败响应；将鉴权成功响应或鉴权失败响应发送至安全锚模块；

安全锚模块接收到鉴权成功响应后，基站与用户终端建立业务连接，安全锚模块接收到鉴权失败响应后，基站与用户终端终止通信。

在具体实施例中，确定接收方为基站或用户终端，发送方为用户终端或基站，物理层认证的过程为：

利用接收方提取发送方当前时间段的通信信道的当前状态信息；将当前状态信息与通信信道在之前至少一个时间段的历史状态信息利用预定规则进行比较，得到比较结果；将比较结果与设定门限值进行比较，确定比较结果大于设定门限值则物理层认证失败，确定比较结果小于等于设定门限值则物理层认证成功。

在具体实施例中，确定当前状态信息为当前状态向量，历史状态信息为历史状态向量；

则对应的预定规则具体包括：

计算当前状态向量与上一个时间段的历史状态向量之间的欧氏距离，将欧氏距离作为比较结果；

或者，

计算当前状态向量与上一个时间段的历史状态向量的第一差值，并对第一差值进行归一化处理，将归一化后的第一差值作为比较结果；

或者，

计算当前状态向量与上一个时间段的历史状态向量的第一差值，以及计算上一个时间段的历史状态向量与上两个时间段的历史状态向量的第二差值，计算第一差值与第二差值之间的第三差值，对第三差值进行归一化处理，将归一化后的第三差值作为比较结果；

或者，

计算当前状态向量与上一个时间段的历史状态向量的第一差值，以及计算距离当前时间最近的N个相邻时间段的历史状态向量之间的N个第二差值，计算第一差值与N个第二差值的平均差值，将平均差值作为比较结果。

在具体实施例中，当前状态信息或历史状态信息包括下列至少之一：

信道冲激响应信息、信号幅度信息和信号到达角信息。

在具体实施例中，再次认证模块22具体用于：

用户终端接收到新业务到达请求时，利用网络切片技术将用户终端和基站的物理资源转换成虚拟资源，并根据虚拟资源的网络功能和接入网技术构建逻辑网络；

基于逻辑网络，用户终端向基站发起双向物理层认证请求，用户终端和基站均分别对对方进行物理层认证；

则业务服务模块23具体用于：

用户终端确定基站的物理层认证合法，且基站确定用户终端的物理层认证合法后，用户终端基于逻辑网络进行数据传输处理，用户终端与基站建立业务通道，用户终端接收新业务到达请求，服务器通过基站为用户终端提供新业务服务。

在具体实施例中，装置还包括：等待计时模块，用于在基站与用户终端建立业务连接之后，进行计时，确定在预定时间内用户终端没有接收到新业务到达请求时，用户终端处于等待业务状态；用户终端在等待业务状态下连续超过预定时间后，基站与用户终端断开通信连接。

为了描述的方便，描述以上装置时以功能分为各种模块分别描述。当然，在实施本公开时可以把各模块的功能在同一个或多个软件和/或硬件中实现。

上述实施例的装置用于实现前述任一实施例中相应的基于5G的物理层协同认证方法，并且具有相应的方法实施例的有益效果，在此不再赘述。

基于同一发明构思，与上述任意实施例方法相对应的，本公开还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上任意一实施例所述的基于5G的物理层协同认证方法。

图5示出了本实施例所提供的一种更为具体的电子设备硬件结构示意图，该设备可以包括：处理器1010、存储器1020、输入/输出接口1030、通信接口1040和总线1050。其中处理器1010、存储器1020、输入/输出接口1030和通信接口1040通过总线1050实现彼此之间在设备内部的通信连接。

处理器1010可以采用通用的CPU(Central Processing Unit，中央处理器)、微处理器、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本说明书实施例所提供的技术方案。

存储器1020可以采用ROM(Read Only Memory，只读存储器)、RAM(Random AccessMemory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1020可以存储操作系统和其他应用程序，在通过软件或者固件来实现本说明书实施例所提供的技术方案时，相关的程序代码保存在存储器1020中，并由处理器1010来调用执行。

输入/输出接口1030用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。

通信接口1040用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如USB、网线等)实现通信，也可以通过无线方式(例如移动网络、WIFI、蓝牙等)实现通信。

总线1050包括一通路，在设备的各个组件(例如处理器1010、存储器1020、输入/输出接口1030和通信接口1040)之间传输信息。

需要说明的是，尽管上述设备仅示出了处理器1010、存储器1020、输入/输出接口1030、通信接口1040以及总线1050，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本说明书实施例方案所必需的组件，而不必包含图中所示的全部组件。

上述实施例的电子设备用于实现前述任一实施例中相应的基于5G的物理层协同认证方法，并且具有相应的方法实施例的有益效果，在此不再赘述。

基于同一发明构思，与上述任意实施例方法相对应的，本公开还提供了一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使所述计算机执行如上任一实施例所述的基于5G的物理层协同认证方法。

本实施例的计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。

上述实施例的存储介质存储的计算机指令用于使所述计算机执行如上任一实施例所述的基于5G的物理层协同认证方法，并且具有相应的方法实施例的有益效果，在此不再赘述。

所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本公开的范围(包括权利要求)被限于这些例子；在本公开的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本公开实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。

另外，为简化说明和讨论，并且为了不会使本公开实施例难以理解，在所提供的附图中可以示出或可以不示出与集成电路(IC)芯片和其它部件的公知的电源/接地连接。此外，可以以框图的形式示出装置，以便避免使本公开实施例难以理解，并且这也考虑了以下事实，即关于这些框图装置的实施方式的细节是高度取决于将要实施本公开实施例的平台的(即，这些细节应当完全处于本领域技术人员的理解范围内)。在阐述了具体细节(例如，电路)以描述本公开的示例性实施例的情况下，对本领域技术人员来说显而易见的是，可以在没有这些具体细节的情况下或者这些具体细节有变化的情况下实施本公开实施例。因此，这些描述应被认为是说明性的而不是限制性的。

尽管已经结合了本公开的具体实施例对本公开进行了描述，但是根据前面的描述，这些实施例的很多替换、修改和变型对本领域普通技术人员来说将是显而易见的。例如，其它存储器架构(例如，动态RAM(DRAM))可以使用所讨论的实施例。

本公开实施例旨在涵盖落入所附权利要求的宽泛范围之内的所有这样的替换、修改和变型。因此，凡在本公开实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本公开的保护范围之内。

Claims (10)

1.一种基于5G的物理层协同认证方法，包括：

利用基站对用户终端进行认证，确定所述用户终端合法后，所述基站与所述用户终端建立业务连接；

所述用户终端接收到新业务到达请求时，向所述基站发起双向物理层认证请求，所述用户终端和所述基站均分别对对方进行物理层认证；

所述用户终端确定所述基站的物理层认证合法，且所述基站确定所述用户终端的物理层认证合法后，所述用户终端通过所述基站与对应的服务器建立业务通道，所述用户终端接收所述新业务到达请求，所述服务器通过所述基站为所述用户终端提供新业务服务；

所述用户终端确定所述基站的物理层认证不合法，或所述基站确定所述用户终端的物理层认证不合法，则所述用户终端拒绝所述新业务到达请求。

2.根据权利要求1所述的方法，其中，所述利用基站对用户终端进行认证，确定所述用户终端合法后，所述基站与所述用户终端建立业务连接，具体包括：

所述用户终端将身份信息发送至所述基站；

所述基站确定所述身份信息属于初次接入，将所述身份信息进行保存，并对所述用户终端进行上层认证，上层认证通过后所述基站与所述用户终端连接建立通信信道；

所述基站确定所述身份信息属于再次接入，直接与所述用户终端连接建立通信信道；

所述基站基于所述通信信道进行物理层认证，物理层认证通过后，确定所述用户终端合法，所述基站与所述用户终端建立业务连接。

3.根据权利要求2所述的方法，其中，所述基站包括：数据管理模块、鉴权服务模块和安全锚模块，所述基站对所述用户终端进行上层认证的步骤包括：

所述基站接收到所述用户终端发来的上层认证请求；

所述基站中的数据管理模块根据所述上层认证请求创建第一鉴权向量，并将所述第一鉴权向量发送至鉴权服务模块，所述第一鉴权向量中包含第一响应XRES*；

所述鉴权服务模块将所述第一鉴权向量中的第一响应XRES*进行存储，并根据所述第一响应XRES*计算第二响应HXRES*，生成包含第二响应HXRES*的第二鉴权向量，将第二鉴权向量发送至安全锚模块；

所述安全锚模块根据所述第二鉴权向量生成鉴权请求，并将所述鉴权请求发送至所述用户终端，其中所述鉴权请求中包括鉴权参数；

所述用户终端将所述鉴权请求中携带的鉴权参数发送至全球用户识别卡中；

所述全球用户识别卡对所述鉴权参数进行验证，验证通过后，生成第三响应RES，将所述第三响应RES发送至所述用户终端；

所述用户终端根据所述第三响应RES生成第四响应RES*，并将所述第四响应RES*发送至所述安全锚模块中；

所述安全锚模块根据接收到的第四响应RES*生成第五响应HRES*，确定所述第五响应HRES*与所述第二鉴权向量中的第二响应HXRES*相同后，将第四响应RES*发送至所述鉴权服务模块；

所述鉴权服务模块将所述第四响应RES*与所述第一响应XRES*进行比对，确定所述第四响应RES*与所述第一响应XRES*相同，生成鉴权成功响应；或者确定所述第四响应RES*与所述第一响应XRES*不同，生成鉴权失败响应；将所述鉴权成功响应或所述鉴权失败响应发送至所述安全锚模块；

所述安全锚模块接收到所述鉴权成功响应后，所述基站与所述用户终端建立业务连接，所述安全锚模块接收到所述鉴权失败响应后，所述基站与所述用户终端终止通信。

4.根据权利要求1或2所述的方法，其中，确定接收方为所述基站或所述用户终端，发送方为所述用户终端或所述基站，则所述物理层认证的具体步骤包括：

利用接收方提取发送方当前时间段的通信信道的当前信号，对所述当前信息进行处理得到当前状态信息；

将所述当前状态信息与所述通信信道在之前至少一个时间段的历史状态信息利用预定规则进行比较，得到比较结果，其中，所述之前至少一个时间段的历史状态信息为相互业务连接通信的用户终端和基站之间的历史互通信号，并对所述历史互通信号进行处理得到的历史状态信息；

将所述比较结果与设定门限值进行比较，确定所述比较结果大于所述设定门限值则物理层认证失败，确定所述比较结果小于等于所述设定门限值则物理层认证成功。

5.根据权利要求4所述的方法，其中，确定所述当前状态信息为当前状态向量，历史状态信息为历史状态向量；

则将所述当前状态信息与所述通信信道在之前至少一个时间段的历史状态信息利用预定规则进行比较，得到比较结果，具体包括：

计算所述当前状态向量与上一个时间段的历史状态向量之间的欧氏距离，将所述欧氏距离作为比较结果；

或者，

计算所述当前状态向量与上一个时间段的历史状态向量的第一差值，并对所述第一差值进行归一化处理，将归一化后的第一差值作为比较结果；

或者，

计算所述当前状态向量与上一个时间段的历史状态向量的第一差值，以及计算上一个时间段的历史状态向量与上两个时间段的历史状态向量的第二差值，计算所述第一差值与所述第二差值之间的第三差值，对所述第三差值进行归一化处理，将归一化后的第三差值作为比较结果；

或者，

计算所述当前状态向量与上一个时间段的历史状态向量的第一差值，以及计算距离当前时间最近的N个相邻时间段的历史状态向量之间的N个第二差值，计算所述第一差值与N个所述第二差值的平均差值，将所述平均差值作为比较结果。

6.根据权利要求4或5所述的方法，其中，所述当前状态信息或所述历史状态信息包括下列至少之一：

信道冲激响应信息、信号幅度信息和信号到达角信息。

7.根据权利要求1所述的方法，其中，所述用户终端接收到新业务到达请求时，向所述基站发起双向物理层认证请求，所述用户终端和所述基站均分别对对方进行物理层认证，具体包括：

所述用户终端接收到新业务到达请求时，利用网络切片技术将所述用户终端和所述基站的物理资源转换成虚拟资源，并根据所述虚拟资源的网络功能和接入网技术构建逻辑网络；

基于所述逻辑网络，所述用户终端向所述基站发起双向物理层认证请求，所述用户终端和所述基站均分别对对方进行物理层认证；

则所述用户终端确定所述基站的物理层认证合法，且所述基站确定所述用户终端的物理层认证合法后，所述用户终端通过所述基站与对应的服务器建立业务通道，所述用户终端接收所述新业务到达请求，所述服务器通过所述基站为所述用户终端提供新业务服务，具体包括：

所述用户终端确定所述基站的物理层认证合法，且所述基站确定所述用户终端的物理层认证合法后，所述用户终端基于所述逻辑网络进行数据传输处理，所述用户终端与所述基站建立业务通道，所述用户终端接收所述新业务到达请求，所述服务器通过所述基站为所述用户终端提供新业务服务。

8.根据权利要求1所述的方法，其中，在所述基站与所述用户终端建立业务连接之后，所述方法还包括：

在预定时间内所述用户终端没有接收到新业务到达请求时，所述用户终端处于等待业务状态；

所述用户终端在所述等待业务状态下连续超过预定时间后，所述基站与所述用户终端断开通信连接。

9.一种基于5G的物理层协同认证系统，包括：

初次认证模块，用于利用基站对用户终端进行认证，确定所述用户终端合法后，所述基站与所述用户终端建立业务连接；

再次认证模块，用于在所述用户终端接收到新业务到达请求时，向所述基站发起双向物理层认证请求，所述用户终端和所述基站均分别对对方进行物理层认证；

业务服务模块，用于在所述用户终端确定所述基站的物理层认证合法，且所述基站确定所述用户终端的物理层认证合法后，所述用户终端通过所述基站与对应的服务器建立业务通道，所述用户终端接收所述新业务到达请求，所述服务器通过所述基站为所述用户终端提供新业务服务；或者，在所述用户终端确定所述基站的物理层认证不合法/所述基站确定所述用户终端的物理层认证不合法，则所述用户终端拒绝所述新业务到达请求。

10.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如权利要求1至8任意一项所述的方法。

Images