CN1154326C

CN1154326C - 监听系统和方法

Info

Publication number: CN1154326C
Application number: CNB998164305A
Authority: CN
Inventors: 马迪・鲁米; 马迪·鲁米; 埃罗兰塔; 加那·埃罗兰塔; T・约肯恩; 汗努·T·约肯恩
Original assignee: Nokia Networks Oy
Current assignee: Nokia Oyj; Nokia Technologies Oy
Priority date: 1999-03-12
Filing date: 1999-03-12
Publication date: 2004-06-16
Anticipated expiration: 2019-03-12
Also published as: US6711689B2; AU3517899A; EP1159817A1; US20020049913A1; CN1338173A; JP2002539716A; WO2000056029A1; JP3745230B2; EP1159817B1

Abstract

描述了一种在诸如GPRS或UMTS网络之类的分组网络中，实现合法监听的监听系统和方法。监听系统包括监听启用监视功能块，监听启用和停用功能块，监听数据收集功能块和监听数据目的地功能块。监听数据收集功能块可实现于现有的网络节点，例如GPRS支持节点中，其中监听信息被设置在相应的PDP语境中，并且响应设置的监听信息，执行监听数据的收集。此外，监听数据目的地功能块可设置在监听浏览部件中，监听浏览部件用于根据从包含监听启用和停用功能块的另一网络单元接收的外部命令，浏览监听数据。从而，可把合法监听的浏览和管理分离到不同的网络单元中。总之，可提供一种灵活的监听系统，所述监听系统易于适用于分组网络的各种体系结构。

Description

监听系统和方法

技术领域

本发明涉及在分组交换网，例如GPRS(通用分组无线电服务)或者UMTS(通用移动电信系统)网络中，实现合法监听的监听系统和方法。

背景技术

合法监听的提供是国家法律的要求，这种要求通常是强制性的。根据合法的授权，经常要求网络运营商或者服务提供商向特定的监听当局或者执法机构(LEA)提供和特定身份相关的监听结果。

存在各种各样方式的监听。相应的国家法律规定了在什么条件及什么限制情况下，允许监听。如果LEA希望使用合法监听作为一种工具，LEA将向检察官或者其它负责机关请求合法的授权，例如许可证。如果批准了合法的授权，LEA将通过行政接口或程序，向提供从用户终端到网络的接入服务的接入提供商，网络运营商，或者服务提供商出示合法授权。

在诸如GPRS和UMTS之类的新型移动数据网络的分组交换部分中，也需要这种合法的监听功能。

迄今，已提出了几种方法。按照集线器方法，在GPRS主干线中加入一个集线器，从而所有的对话将通过该集线器。这种系统的优点在于SGSN(服务GPRS支持节点)和GGSN(网关GPRS支持节点)不必知道和合法监听功能有关的任何事。集线器由伪GGSN接口和伪SGSN接口组成，合法监听节点(LIN)设置在伪GGSN接口和伪SGSN接口之间。

按照另一种所谓的SGSN/GGSN方法，整个监听功能被集成到一个组合SGSN/GGSN元件中。借助自身的接口，每个物理SGSN/GGSN元件与管理功能块链接。传送GPRS监听信息的接入方法以通过SGSN/GGSN元件，从被监听用户传输给另一方的分组的副本为基础。复制的分组被发送给用于把相应的监听信息传送给LEA的传送功能块。

但是，国家法律可能要求某些类型的监听政策，其中可供网络运营商之用的监听功能会发生变化。

此外，需要各种各样的监听功能，例如存储和转发监听数据，实时数据测览，在移动站进行浏览，不同的监听数据处理，不同目的地的监听数据的倍增，等等。

于是，需要一种灵活的监听系统和方法，该系统和方法易于适用于改变监听要求。

发明内容

于是，本发明的目的是提供一种灵活的监听方法和系统。

上述目的是由一种在分组网络中实现合法监听的监听系统实现的，所述监听系统包括：

根据接收的和监听相关的命令，启用和停用当前的监听目标的监听启用和停用装置；

监视PDP语境的启用，并把PDP语境中的变化通知监听启用和停用装置的监听启用监视装置；

响应所述监听启用和停用装置的监听目标启用，收集监听数据的监听数据收集装置；

接收收集的监听数据，并将其转发给最终监听目的地的监听数据目的地装置。

此外，上述目的是由一种在分组网络中实现合法监听的方法实现的，所述方法包括下述步骤：

监视PDP语境的启用，以便检测PDP语境中的变化；

根据和监听相关的命令，以及PDP语境中的变化，启用和停用当前的监听目标；

响应监听目标启用，收集监听数据；和

把收集的监听数据提供给监听目的地。

因此，由于监视PDP语境的缘故，合法监听的管理人员可获得和所有启用及删除的用户连接有关的信息。从而，可选择受监听的连接，并且可请求特定隧道的监听，而不是指定标准的监听。这样，可在例如GGSN网络单元中，以分布式方式更容易地实现监听数据收集，从而提供更高的灵活性。

相对于早期提议的解决方案的主要差别在于可在无论如何必须研究分组数据的网络单元中过滤监听数据。从而，根据总的网络实现体系结构，允许实现不同的备选方案。

此外，由于即使类似于合法监听网关之类的特定合法监听节点过载，或者甚至不可操作，GGSN-SGSN通信也是可操作的，因此可建立使系统更坚固的协议。

此外，由于在无论如何必须研究分组数据的场所实现过滤，因此，可更经济地过滤监听数据。另外，监听标准可以只保存在实现监听启用和停用功能的网络单元中。从而，只需在实现监听启用和停用功能的网络单元中，改变配置，从而不需要配置数据的分配。

由于监听启用和停用装置接收和每个隧道的启用及停用相关的信息，因此监听启用和停用装置可收集满足预定标准的隧道的统计信息。此外，可收集满足预定标准的隧道的统计信息，以便用作启动实际监听的门限值。

由于分布式监听功能的缘故，即使不同的功能部件实现于相同的网络单元中，也可向不同的功能部件应用不同的安全要求。

如果一个或多个功能部件毁损，则网络可在有限监听或者不存在监听的情况下继续。换句话说，可以一种坚固的方式实现监听系统。如果监听系统的功能部件分布在几个现有的网络单元中，则系统能够自动缩放。于是原因在于如果网络通信增加，则无论如何，在网络中需要更多的网络单元。此外，如果实现被分配给现有的网络单元，则可自动获得冗余。如果现有的网络单元被复制，则实现于该网络单元中的功能部件也被复制。

由于提议的监听系统的分布式功能的缘故，合法监听功能不依赖于分组网络的实现体系结构，并且不会在分组网络中导致任何瓶颈。此外，由于监听功能可分配给其它现有的网络单元，因此不需要实现已知的合法监听节点(LIN)。

收集的监听数据被转送往的最终目的地可以是法定机构或者网络运营商的代表。

此外，监听数据目的地装置可被设置成对所述监听数据进行后处理。后处理可包括监听数据的解密，格式化和/或转换。

监听启用和停用装置最好从合法监听的用户接口接收和监听相关的命令，其中和监听相关的命令是用于改变当前的监听标准的命令。这种情况下，监听启用和停用装置及监听数据目的地装置可设置在包含合法监听的用户接口的网络单元中。此外，监听启用监视装置及监听数据收集装置可设置在GPRS支持节点中。

监听启用监视装置最好被设置成通过监视相应的GTP协议消息，监视隧道启用和停用，并把可能的新的监听目标和/或当前被监听的隧道以及目前结束的隧道通知监听启用和停用装置。

监听启用监视装置可设置在合法监听节点中，并且适于根据GTP协议消息，识别隧道启用和停用请求。

此外，监听启用监视装置可设置在网关GPRS支持节点中，服务GPRS支持节点中，或者边界网关中。

监听启用和停用装置可包括监听数据库，并且可被设置成响应和监听相关的命令，修改监听数据库。

监听启用和停用装置最好被设置成借助启用消息，通知监听数据收集装置收集和有效隧道相关的数据，并借助停用消息，停止收集数据。此外，监听启用和停用装置可被设置成检查从监听启用监视装置接收的隧道标识，并且如果隧道标识和监听数据库中的某一标准匹配，则把隧道停用消息发送给监听数据目的地装置。

监听启用和停用装置可设置在合法监听网关中，网关GPRS支持节点中，或者服务GPRS支持节点中。

监听数据收集装置最好被设置成响应哪个监听数据目的地装置开始存储新的被监听隧道的接收监听数据，通过把监听启用消息传输给监听数据目的地装置，从而把启用的监听数据收集通知监听数据目的地装置。这种情况下，监听启用消息可包括隧道标识和监听数据的目的地。

监听数据收集装置可设置在合法监听节点中，GPRS支持节点中或者边界网关中。

监听数据目的地最好同时接收收集的监听数据和所述监听数据的预定目的地。

监听数据目的地装置可设置在合法监听网关中，监听浏览部件中，或者包含特定的监听数据目的地处理能力的用户设备中。

此外，上述目的是由分组网络的一种网络单元实现的，所述网络单元包括：

响应所述网络单元接收的监听请求，在网络单元的PDP语境中设置监听信息的设置装置；和

响应监听信息，收集监听数据，并把收集的监听数据提供给监听目的地的监听数据收集装置。

另外，上述目的是由一种在分组网络中实现合法监听的方法实现的，所述方法包括下述步骤：

响应监听请求，在网络单元的PDP语境中设置监听信息；

响应监听信息，在所述网络单元中收集监听数据；并且

把收集的监听数据提供给监听目的地。

因此，由于在网络单元的PDP语境中设置监听信息的缘故，分组网络的任意网络单元都可用于收集监听数据。从而，监听系统可随着每个新的网络单元而自动缩放，可避免由已知解决方案引起的瓶颈问题。

此外，由于监听数据的收集是以包含在网络单元的PDP语境中的监听信息为基础进行的，因此可同时存在多个合法的监听网关。

监听信息最好是位掩码，或者诸如链接表之类的任意等同快速数据结构，其中每个二进制位表示可请求数据分组的副本的一个实体。具体地说，所述位掩码的每个二进制位可表示包含和监听目的地相关的信息的收听语境。和监听目的地相关的信息可包含目的地地址，鉴权密钥，主控制监听网关地址，以及协议信息。

监听数据收集装置最好根据数据分组的IMSI编号或者IP地址，完成收集。

监听数据收集装置被设置成借助安全鉴权，产生安全隧道，其中通过利用安全数据加密，通过所述隧道传送收集的监听数据。从而，保密信息只位于合法的监听网关处，所述合法的监听网关可以是收集的监听数据的目的地。通过利用VPN或SSH，可实现鉴权和隧道信息传送。从而，在不存在每个网络段中的VPN装置的情况下，VPN隧道信息传送也是可能的。

网络单元可被设置成存储鉴权的监听目的地的输入项，所述输入项可设置和重设监听信息。

具体地说，网络单元可以是网关GRPS支持节点。

此外，上述目的是由分组网络的监听浏览部件实现的，所述监听浏览部件包含：

从具有监听数据收集功能的网络单元接收监听数据的接收装置；

存储从网络单元接收的监听数据的存储装置；和

根据外部命令测览存储的监听数据，并把浏览结果提供给监听机构的浏览装置。

提供具有监听数据收集功能的第一网络单元；

把来自于第一网络单元的收集的监听数据传输给监听浏览部件，根据来自于具有监听启用和停用功能的第二网络单元的外部命令，在监听浏览部件处，浏览传输的监听数据；和

把测览步骤的结果传输给监听机构。

因此，可在两个不同的网络单元中，单独实现合法监听的浏览和管理。监听浏览部件不必是坚固的，因为它不会影响具有监听数据收集功能的第一网络单元的正常行为。

由于可同时存在多个监听浏览部件，因此易于增大并冗余实现浏览能力。此外，在监听测览部件中，不必处理任何不必要的保密信息。

从而，可提供一种灵活的监听系统。

外部命令可来自于具有监听启用和停用功能的网络单元。此外，可通过安全隧道，从具有监听数据收集功能的网络单元接收监听数据。这种情况下，具有监听启用和停用功能的网络单元可具有和监听测览部件的鉴权密钥不同的鉴权密钥。从而，可确保监听浏览部件和第一网络单元的安全控制。

监听浏览部件可设置在网络运营商位置处，设置在监听机构位置处，或者设置在公共网络站点处。此外，监听浏览部件可以是设置在与分组网络相连的移动网络中的移动终端。

附图说明

下面，将参考附图，根据优选实施例，更详细地说明本发明，其中：

图1表示了根据本发明的合法监听系统的功能方框图，

图2表示了根据本发明的优选实施例的合法监听系统的实现的通用方框图，

图3表示了和根据本发明优选实施例的隧道监听相关的传输图，

图4表示了根据本发明优选实施例的监听参数的更新的传输图，

图5表示了和没有任何一个隧道被监听的情况相关的传输图，

图6表示了GGSN中，监听数据收集功能的实现，

图7表示了根据本发明优选实施例的合法监听系统，其中网络运营商管理整个合法监听，

图8表示了根据本发明优选实施例的合法监听系统，其中网络运营商管理监听的启用和停用，监听机构拥有在该处收集数据的网络单元，

图9表示了根据本发明优选实施例的合法监听系统，其中监听机构控制监听，

图10表示了根据本发明优选实施例的合法监听系统，其中网络运营商和监听机构都对监听进行控制。

具体实施方式

下面，将以GPRS网络为基础，说明根据本发明的监听系统和方法的优选实施例。

图1表示了诸如GPRS网之类分组网络的合法监听系统的功能图。按照图1，监听系统的主功能部件是彼此区分的，从而可实现于不同的真实GPRS网络单元中。按照优选实施例，存在不同的实现可能性，必须根据整体的GPRS实现体系结构，选择最适宜的实现。

在下面的说明中，路径表示GGSN和SGSN之间的连接，并用于多路复用GTP(GPRS隧道协议)隧道。隧道表示SGSN和GGSN之间的GTP隧道，它传送属于一个用户连接的数据分组。用户数据分组被称为T-PDU，并被包含在G-PDU分组中。隧道标识符TID包含在每个GTP分组中，并含有IMSI(国际移动用户身份)编号。

隧道启用指的是借助为用户连接产生PDP(分组数据协议)语境的隧道启用。SGSN通过向GGSN发送Creat_PDP_Context_Request消息，开始PDP语境产生。GGSN通过向SGSN发送Creat_PDP_Context_Response消息，作出应答。在启用隧道之后，通过该隧道，在G-PDU分组内传送用户数据，其中GPDU分组含有GTP报头和用户数据T-PDU。

通过删除先前为用户连接产生的PDP语境，停用所述隧道。SGSN通过向GGSN发送Delete_PDP_Context_Request消息，开始PDP语境删除。GGSN通过向SGSN发送Delete_PDP_Context_Response消息，作出应答。

图1中所示的功能图由四个功能部件组成。监听启用监视功能块IAM监视产生和删除的隧道，以便收集和任意其它部件中，任意监听的启用要求相关的信息。此外，监听启用和停用功能块IAD按照IAM提供的信息，以及用户接口UI提供的命令，启用和停用当前的监听目标，即隧道，以便改变监听标准。另外，提供了监听数据收集功能块IDC，监听数据收集功能块IDC实际上收集在隧道中传送的监听数据，并把监听数据转发给监听数据目的地功能块IDD，监听数据目的地功能块IDD接收监听数据，可能对监听数据进行后期处理，并把监听数据转发给最终目的地，最终目的地可以是某些执法机构或网络运营商的代表。

图2中表示了根据本发明的优选实施例的一种可能的备选实现。这种备选实现适用于GGSN被实现为单独的网络单元的情况。

按照图2，网络单元UG实现功能部件IAD和IDD。除此之外，LIG还包含用于合法监听的用户接口UI。功能部件IAM和IDC被加入已有的GGSN中。GGSN是这些功能部件的适宜场所，因为无论如何，GGSN都必须检查它所接收的每个GTP分组，于是，检查Creat_PDP_Context_Request和Delete_PDP_Context_Request消息，并据此更新内部数据结构所需的额外负载很少。出于同样的原因，GGSN能够以较少的努力，复制被监听目标的G-PDU分组。

GGSN不必保存任何监听标准，因为它只检查有效的隧道，即，生成的PDP语境。此外，如果只监听在监听标准被改变之后将产生的隧道就足够的话，则GGSN根据不必知道监听标准。这是因为LIG会通知GGSN监听具体的隧道，并且不会提供将要应用的任何监听标准。

但是，如果需要监听在监听请求时该打开的隧道，则LIG必须向GGSN通知监听标准。这种情况下，GGSN随后将把监听标准应用于所有有效隧道，并且GGSN不必保存监听标准。

下面，将说明根据优选实施例的监听系统的上述功能部件的操作。

IAM监视是否需要启用隧道监听。这种检查以监视隧道启用和停用为基础，最好通过监视相应的GTP消息进行。IAM功能块把可能的新监听目标，当前可能正被监听的隧道以及目前已完成的隧道通知IAD功能块。如果IAM功能块检测到隧道的启用，则IAM功能块把Tunnel_Activated(TID)消息传输给IAD功能块。可以多种方式检测隧道的开始。例如，如果使用图2的备选实现，则当隧道被启用时，GGSN接收Creat_PDP_Context_Request(TID)消息。如果在同一网络单元中实现IAM功能块和IAD功能块，通过更新数据库，而不是发送数据消息，可通知检测到隧道启用。

如果IAM功能块检测到GPRS隧道的停用，则IAM功能块向IAD功能块传输Tunnel_Deactivated(TID)消息。可根据Delete_PDP_Context_Request(TID)消息检测隧道的停用。和前面的情况一样，不必通过传输数据消息通知隧道停用。

IAM功能块可位于下述网络单元中：

·LIN(合法监听节点)，它能够根据相应网络段中的被监听GTP协议消息，识别隧道启用和停用请求；

·接收PDP语境产生和删除请求的GGSN；

·发送PDP语境产生和删除请求的SGSN；

·检测使其另一端位于另一GPRS网络的隧道启用和停用的边缘(boarder)网关(BG)。

IAD根据它所获得的，和监听标准及产生的或者删除的隧道相关的信息，启用和停用当前的监听目标。IAD通过其用户接口UI，从IAM功能块接收监听标准，并从IAM功能块接收和新隧道及结束的隧道有关的信息。监听标准包含和监听数据的目的地有关的信息，例如用户和目的地地址。根据监听标准和隧道变化，IAD功能块通知IDC功能块收集正确的监听数据。

IAD功能块包含和借助用户接口UI获得的监听标准的任何变化同步修改的监听数据库。此外，IAD功能块借助启用(标准)消息，通知IDC功能块收集和新的有效隧道相关的数据，并借助停用(标准)消息，通知IDC功能块停止收集数据。要指出的是，这只是需要从IAD功能块向别处传输监听标准时的情况。

如果只需要监听整个隧道，则不需要启用(标准)和停用(标准)消息。这是因为IAM功能块借助Tunnel_Activated(TID)消息，把每个新隧道告之IAD功能块。随后，IAD功能块检查其监听数据库中的某些监听标准是否和隧道标识符TID相符。如果是，则IAD功能块把Activate_Inter(TID，D)消息传输给IDC功能块，以便启用关于目的地D的隧道TID的监听。

如果IAD功能块从IAM功能块接收Tunnel_Deactivate(TID)消息，则IAD功能块首先检查隧道标识符TID是否和监听数据库中的任何标准相符。如果是，则向IDD功能块传输Tunnel_Deactivated(TID，D)消息。从而，IDD功能块接到当前被监听隧道的停用的通知，其中D表示被监听数据的目的地。

IAD功能块可位于下述网络单元中：

·以单独的网络单元的形式实现的UG(合法监听网关)；

·SGSN；

·GGSN。

要指出的是IAD功能块是需要保存监听标准，以供未来之用的唯一功能部件。这样，可在不需分配监听标准的情况下，在GPRS中实现合法监听，并且配置管理可由IAD功能块统一进行。

IDC功能块实际上收集被监听数据，并将其转发给作为目的地的IDD功能块。IDC功能块从IAD功能块接收和被监听目标相关的信息。要指的是IDC功能块不必保存任何监听标准。此外，在只监听设置监听标准之后启用的隧道的情况下，IDC功能块不必知道任何监听标准，但是被告之收集和借助隧道标识符TID区分的特定隧道相关的数据。

如果IDC功能块从IAD功能块接收Activate_Inter(TID，D)消息，则IDC功能块启动具有相应隧道符TID的隧道的数据收集，从而被监听数据将被传输给目的地D。但是，IDC功能块通过传输Activated_Inter(TID，D)消息，通知IDD功能块。根据该消息，IDD功能块开始保存被监听的新隧道的数据。

如果IDC功能块从IAD功能块接收启用(标准)或停用(标准)消息，则IDC功能块在其当前有效隧道内，启用或停用监听数据收集。所述标准含有和被监听数据目的地有关的信息。IDC功能块不必保存任何标准以供将来使用。IDC功能块关于每个启用或停用的隧道，向IDD功能块传输一条Activated(TID，D)消息或者Deactivated(TID，D)消息。IDD功能块要求这些消息开始或停止特定隧道的数据保存。要注意的是，这种情况下，不向IDD功能块传输Activate_Inter(TID，D)或者Tunnel_Deactivated(TID，D)消息。

如果IDC功能块识别出被监听隧道的G-PDU(TID)中的数据，则IDC功能块利用GTP_DATA(TID，D)消息，把所述数据转发给IDD功能块。其中D表示为IDC功能块已知的被监听数据的数据目的地。由于IDC功能块(及IAD功能块)把任意的隧道或监听开始和停止告之IDD功能块，因此在IDD功能块接收任何数据分组之前，IDD功能块已对相应隧道TID和目的地D的数据接收进行了初始化。

IDC功能块可位于下述网络单元中：

·监听其网络段，并把监听数据传输给IDD功能块的LIN；

·复制要监听的所有用户数据，并把复制的数据流转发给IDD功能块的GGSN；

·复制要监听的所有用户数据，并把复制的数据流转发给IDD功能块的SGSN；

·检测去往外部GPRS网络的所有数据通信的BG(边界网关)。

IDD功能块接收监听数据，并了解和隧道或监听启用和停用相关的信息。IDD功能块可对数据进行后处理，例如解密，格式化或者转换，并把数据转发给最终目的地。最终目的地可以是执法机构或网络运营商的代表。

如果IDD功能块接收Activated_Inter(TID，D)或者Tunnel_Deactivated(TID，D)消息，则IDD功能块知道被监听隧道或者被启用，或者被停用。根据该信息，IDD功能块可初始化或释放保存相应隧道TID和目的地D的监听数据所需的内部数据结构。类似地，消息Activated(TID，D)或Deactivated(TID，D)告之IDD功能块已开始或者完成某一有效隧道的监听。在这种控制消息中，IDD功能块接收隧道的监听数据，及其预定目的地。IDD功能块对监听数据进行后处理，并将其转发给数据的最终目的地。这种后处理取决于具体的应用。于是，IDD功能块的实现应足够灵活，以便接受可由用户确定的新的后处理功能。

IDD功能块可位于下述网络单元中：

·含有监听启动，监听数据的后处理及传送的LIG；

·诸如监听浏览部件(LIB)之类的独立网络单元；

·含有特定的IDD功能块的用户设备。

上面描述的功能部件相互通信，以便在GPRS中实现合法监听。

下面，将参考图3-5说明一些具体情况。

图3图解说明了应监听隧道，并且在所述隧道的活动过程中，监听标准保持不变的情况。按照图3，IDD接收隧道启用消息，隧道停用消息，以及传送的所有用户数据。此外，IDD功能块能够利用相应的隧道标识符TID，把一个隧道的所有日期收集在一起。IDD功能块把监听的数据传送给相应的目的地D。

要注意的是，按照图3-5的传输图中的实线箭头表示功能部件IAM，IAD，IDC和IDD之间的消息或数据分组的传输，而虚线箭头表示相应的功能部件从外部接收的消息或数据分组。

按照图4，图4表示了一开始不监听某一隧道，但是在监听标准发生变化之后，将监听所述隧道的情况。在IAM功能块告之隧道终止之前，借助用户接口UI，外部用户再次改变了监听标准，从而不再监听所述隧道。从图中可看出，IDD功能块被告之所述隧道的监听开支及监听终止。此外，IDD功能块接收在监听启用和监听停用之间传送的所有GTP数据分组。

图5表示了某一隧道根本不应被监听的情况。按照图5，IDD功能块不接收和对应的隧道TID相关的任何信息。事实上，对于不被监听的隧道来说，在IAM功能块和IAD功能块之间，只交换两种协议消息。和相应隧道相关，并被IDC功能块接收的G-PDU数据分给不会被传输给IDD功能块。

要注意的是可在单个网络单元中，实现上述功能部件，或者如上所述，上述功能部件可分布在几个网络单元之中。

图6表示了根据本发明的优选实施例的另一种备选实现，其中IDC功能块被设置在GPRS网络的GGSN中。要监听的数据分组通过GGSN，从因特网传输给SGSN。在这种情况下，IAD功能块和IDD功能块位于LIG中。IAM功能块可位于GGSN或者SGSN中。

由于GGSN包括IDC功能块，因此它能够响应从LIG接收的启用或停用消息，收集监听数据。启用可以IMSI编号或者IP地址为基础。GGSN借助图6中由虚线箭头表示的安全隧道，把收集的监听数据传送给在LIG中提供的IDD功能块。隧道产生以安全鉴权为基础，并通过使用安全数据加密，执行下述数据传送。

PDP语境被保存在GGSN中，响应LIG发出的命令，IDC功能块在PDP语境中安置或关闭诸如探查位(spy-bit)之类的监听信息。探查位可以是链接表或者位屏幕，例如32位字，其中每个二进制位指的是可请求数据分组的副本的实体。此外，可设置和重设监听信息的鉴权LIG的输入项也可保存在GGSN中。以一种安全方式，即使用VPN(虚拟专用网络)或者SSH，鉴权并隧道传送LIG和GGSN之间的协议。

要注意的是，IDC功能块也可包含在SGSN中，因为在进行GPRS间通信的情况下，GGSN可位于另一运营商的场所。

GGSN接收或传输的每个分组与PDP语境链接，从而易于并且足以关于数据中感兴趣的所有可能目的地，以额外结果的形式检查探查位。在完成检查之后，只需要另外的几条指令即可检查每条消息，从而GGSN不会构成瓶颈。把监听数据拷贝或复制到一个或多个位置只需要几条消息。只需对被监听消息进行相对于安全隧道的独立传输，以及其它辅助操作。

如果PDP语境在其探查位掩码中包括激活二进制位(on-bits)，每个二进制位指的是其中保存关于相应目的地的信息的收听语境。这种信息至少含有监听数据将被送往的目的地地址，鉴权密钥(自有密钥和公有密钥)，控制LIG的地址及鉴权密钥，以及建立GGSN和LIG之间的协议所需的其它相关信息。

因此，可由现有的网络单元收集监听数据。根据正常的数据传送负载，自动均衡监听负载。每个网络单元可监听流经其的数据分组。安全的隧道信息传送(tunneling)还可用于控制探查位设置。

下面，将参考图7-10说明本发明的优选实施例的另一备选实现。

按照这种备选实现，在用于收集并浏览监听数据的新网络单元中提供IDD功能块。这种新部件被称为合法监听浏览器(LIB)。要注意的是，LIB可以和LIG一起设置在同一个网络单元中。

由于LIB包括IDD功能块，因此它是起始于IDC功能块的安全隧道的目的地。通过利用成对的密钥，鉴权LIB和IDC功能块之间的连接。密钥的管理由可配置在LIG中的IAD功能块完成。

LIB接收，保存，浏览并分析监听的数据分组。如果使用了加密，则如同后面说明的那样，LIB可位于网络运营商位置处，位于监听机构处，或者网络中的任何地方。

在这种情况下，浏览和管理合法监听被分离到不同的网络单元中。LIG被设置成引入它所能控制的那些监听网络单元以及LIB。之后，LIG可安全地控制LIB及监听部件，并进一步交换它们的密钥。监听网络将具有独立的LIG和LIB鉴权密钥。

当LIG启动监听时，除了收听LIB之外，还启动监听部件。这种启动包括LIB和对应的数据监听部件之间的公钥交换。甚至可为每个监听话路，单独地产生这些监听话路密钥。随后在LIB和IDC功能块之间建立安全隧道。LIG可启动任意数目的网络单元监听同一连接。

监听网络单元将把监听数据提供给安全隧道。包含在LIG中的IAD功能块并不参与这一阶段。包含在LIG中的IAD功能块开始监听话路的停用。该任务包括LIB和监听网络单元之间的隧道的停用。

图7表示了根据本发明优选实施例的合法监听系统，其中网络运营商管理所述合法监听。在这种情况下，监听网络单元是GGSN，并由LIG控制，以便把监听数据(检错数据)传输给一个或多个LIB。

由于网络运营商管理合法监听，因此LIG和LIB都位于运营商的场所。通过加密隧道，实现用虚线箭头表示的LIG，GGSN和LIB之间的通信。

图8表示了网络运营商管理监听的启用和停用，并且监听机构拥有在该处数据被搜集的网络单元(LIB)的情况。在警察机构向网络运营商出示法院授权书的国家中，情况应该是这样的。网络运营商随后启动数据收集，并且把收集的数据传送给监听机构的地点。

此外，图9表示了由于LIG和LIB均位于监听机构场所处，监听机构对所有通信的监听的完全控制的情况。对于绝大多数国家调查机构来说，情况是这样的。

最后，图10表示了一种复杂的情况，这里网络运营商和监听机构具有他们自己的LIG和LIB。在这种情况下，只表示了一个监听机构。但是，机构或LIG的数目不受限制。LIB可由网络运营商，监听机构，或者这两者管理和拥有。

按照图10，为了清楚起见，图中没有表示LIG，以及LIB2和LIB4的命令接口。LIB2和在因特网的任何站点发生监听浏览的情况相关。合法监听浏览机构只需要拥有该LIB即可，该LIB也可以独立软件或窗口软件的形式出售。

LIB4表示了借助通过移动网络与SGSN连接的移动终端，实现移动监听浏览的可能性。LIB1和LIB3的情况对应于上面结合图7和图9已描述的情况。

从而，可在不同的机构或者场所安排监听的浏览和启动。当监听机构位于运营商的房屋之外时，运营商不知道谁正在受到监听，并且不能获得监听数据。运营商只可确定通信总量。

IDC网络单元总是被设置在运营商位置处，并借助密钥交换，被引入拥有LIG的机构中。在法院授权书的情况下，法院可拥有能够实现“警察”LIB监听的LIG。可以相同的方式实现许可使用，即，超级机构拥有可命令网络中，或者位于运营商位置处的所有LIB的LIG。实时并且不依赖于场所的浏览是可能的，因为浏览功能块是独立的，并与安全隧道相连。另一种备选方案是收集监听数据，并人工安全地将其传送给浏览机构。当实时进行浏览时，即时的机构行动是可能的。此外，在网络的无线位置处，不依赖于场所的浏览是可能的。

可同时存在多个LIB，从而可分配解密任务。多个LIB接收相同的数据，并使用不同的方法解密。

LIB可具有跟踪用户的功能，例如查找类似“药物”及其所有同义词的字词，或者为远东国家的sex-authorities查找字词“色情”，等等。

LIB只知道指令要浏览的连接，对于LIB来说，其它各个连接是不可见的。LIG记录被监听的站点和它们的名称。通过执行假监听，并使监听通信保持一定的容量，可使监听通信的数量变得模糊不清。

要注意的是，优选实施例中描述的监听系统和方法可应用于任何分组网络。优选实施例和附图的上述说明只是用于举例说明本发明。从而，本发明的优选实施例可在附加的权利要求的范围内变化。

总之，描述了一种在诸如GPRS或UMTS网络之类的分组网络中，实现合法监听的监听系统和方法。监听系统包括监听启用监视功能块，监听启用和停用功能块，监听数据收集功能块和监听数据目的地功能块。监听数据收集功能块可实现于现有的网络节点，例如GPRS节点中，其中监听信息被设置在相应的PDP语境中，并且响应设置的监听信息，执行监听数据的收集。此外，监听数据目的地功能块可设置在监听浏览部件中，监听浏览部件用于根据从包含监听启用和停用功能块的另一网络单元接收的外部命令，浏览监听数据。从而，可把合法监听的浏览和管理分离到不同的网络单元中。总之，可提供一种灵活的监听系统，所述监听系统易于适用于分组网络的各种体系结构。

Claims

1.一种在分组网络中实现合法监听的监听系统，所述监听系统包括：

a)根据接收的和监听相关的命令，启用和停用当前监听目标的监听启用和停用装置；

b)监视PDP语境的启用，并把所述PDP语境中的变化通知所述监听启用和停用装置的监听启用监视装置；

c)响应所述监听启用和停用装置的监听目标启用，收集监听数据的监听数据收集装置；和

d)接收所述收集的监听数据，并将其转发给最终监听目的地的监听数据目的地装置。

2.按照权利要求1所述的系统，其中所述最终目的地是法定机构或网络运营商的代表。

3.按照权利要求1或2所述的系统，其中所述监听数据目的地装置被设置成对所述监听数据进行后处理。

4.按照权利要求3所述的系统，其中所述后处理包括所述监听数据的解密，格式化和/或转换。

5.按照权利要求1所述的系统，其中所述监听启用和停用装置从合法监听的用户接口接收所述和监听相关的命令，其中所述和监听相关的命令是用于改变当前的监听标准的命令。

6.按照权利要求5所述的系统，其中所述监听启用和停用装置和所述监听数据目的地装置被设置在包括合法监听的所述用户接口的网络单元中。

7.按照权利要求1所述的系统，其中所述监听启用监视装置和所述监听数据收集装置被设置在网关GPRS支持节点中。

8.按照权利要求1所述的系统，其中所述监听启用监视装置被设置成通过监视相应的GTP协议消息，监视隧道启用和停用，并把可能的新的监听目标和/或当前被监听的隧道以及目前结束的隧道通知监听启用和停用装置。

9.按照权利要求1所述的系统，其中所述监听启用监视装置被设置在合法监听节点中，并且适于根据GTP协议消息，识别隧道启用和停用请求。

10.按照权利要求1所述的系统，其中所述监听启用监视装置被设置在服务GPRS支持节点中。

11.按照权利要求1所述的系统，其中所述监听启用电视装置被设置在边界网关中。

12.按照权利要求1所述的系统，其中所述监听启用和停用装置包括监听数据库，并且被设置成响应所述和监听相关的命令，修改所述监听数据库。

13.按照权利要求12所述的系统，其中所述监听启用和停用装置被设置成检查从监听启用监视装置接收的隧道标识，并且如果所述隧道标识和所述监听数据库中的某一标准匹配，则把隧道停用消息传送给监听数据目的地装置。

14.按照权利要求1所述的系统，其中所述监听启用和停用装置设置在合法监听网关中，或者设置在GPRS服务节点中。

15.按照权利要求1所述的系统，其中所述监听数据收集装置被设置成响应哪个监听数据目的地装置开始存储新的被监听隧道的接收监听数据，通过把监听启用消息传输给所述监听数据目的地装置)，从而把启用的监听收集通知监听数据目的地装置。

16.按照权利要求15所述的系统，其中所述监听启用消息包括隧道标识和监听数据的目的地。

17.按照权利要求1所述的系统，其中所述监听数据收集装置设置在合法监听节点中，GPRS支持节点中，或者边界网关中。

18.按照权利要求1所述的系统，其中所述监听数据目的地装置同时接收所述收集的监听数据和所述监听数据的预定目的地。

19.按照权利要求1所述的系统，其中所述监听数据目的地装置被设置在合法监听网关中，监听浏览部件中，或者包含特定的监听数据目的地处理能力的用户设备中。

20.一种分组网络的网络单元，所述网络单元包括：

a)响应所述网络单元接收的监听请求，在网络单元的PDP语境中设置监听信息的设置装置；和

b)响应所述监听信息，收集监听数据，并把所述收集的监听数据提供给监听目的地的监听数据收集装置。

21.按照权利要求20所述的网络单元，其中所述监听信息是位掩码或者链接表，其中每个二进制位表示可请求数据分组的副本的一个实体。

22.按照权利要求21所述的网络单元，其中所述位掩码或者链接表的每个二进制位表示包含和所述监听目的地相关的信息的收听语境。

23.按照权利要求22所述的网络单元，其中和监听目的地相关的所述信息包含目的地地址，鉴权密钥，主控制监听网关地址，以及协议信息。

24.按照权利要求20所述的网络单元，其中所述监听数据收集装置根据数据分组的IMSI编号或者IP地址，完成收集。

25.按照权利要求20所述的网络单元，其中所述监听数据收集装置被设置成借助安全鉴权，产生安全隧道，其中利用安全数据加密，通过所述隧道传送所述收集的监听数据。

26.按照权利要求25所述的网络单元，其中通过利用VPN或SSH，实现所述鉴权和隧道传送。

27.按照权利要求20所述的网络单元，其中所述网络单元被设置成存储鉴权的监听目的地的输入项，所述输入项可设置和重设监听信息。

28.按照权利要求20所述的网络单元，其中所述网络单元是网关GRPS支持节点。

29.一种分组网络的监听浏览部件，所述监听浏览部件包含：

a)从具有监听数据收集功能的网络单元接收监听数据的接收装置；

b)存储从所述网络单元接收的监听数据的存储装置；和

c)根据外部命令浏览所述存储的监听数据，并把所述浏览的结果提供给监听机构的浏览装置，其中所述外部命令来自于具有监听启用和停用功能的网络单元。

30.按照权利要求29所述的监听浏览部件，其中具有监听启用和停用功能的所述网络单元具有不同于所述监听浏览部件的另一鉴权密钥。

31.按照权利要求29所述的监听浏览部件，其中通过安全隧道，从具有监听数据收集功能的所述网络单元接收所述监听数据。

32.按照权利要求29所述的监听浏览部件，其中所述监听浏览部件是设置在网络运营商位置处的网络单元。

33.按照权利要求29所述的监听浏览部件，其中所述监听浏览部件是设置在监听机构处的网络单元。

34.按照权利要求29所述的监听浏览部件，其中所述监听浏览部件是设置在公共网络站点处的网络单元。

35.按照权利要求29所述的监听浏览部件，其中所述监听浏览部件是设置在与所述分组网络相连的移动网络中的移动终端。

36.一种在分组网络中实现合法监听的方法，所述方法包括下述步骤：

a)监视PDP语境的启用，以便检测所述PDP语境中的变化；

b)根据和监听相关的命令，以及所述PDP语境中的所述变化，启用和停用当前的监听目标；

c)响应监听目标启用，收集监听数据；和

d)把所述收集的监听数据提供给监听目的地。

37.按照权利要求36所述的方法，其中在第一网络单元中进行所述监视收集的步骤，并在第二网络单元中进行所述启用和停用步骤。

38.一种在分组网络中实现合法监听的方法，所述方法包括下述步骤：

a)响应监听请求，在网络单元的PDP语境中设置监听信息；

b)响应所述监听信息，在所述网络单元中收集监听数据；和

c)把所述收集的监听数据提供给监听目的地。

39.按照权利要求38所述的方法，其中所述监听信息是位掩码，在位掩码中，每个二进制位表示可请求数据分组的副本的一个实体。

40.一种在分组网络中实现合法监听的方法，所述方法包括下述步骤：

a)提供具有监听数据收集功能的第一网络单元；

b)把来自于所述第一网络单元的收集的监听数据传输给监听浏览部件；

c)根据来自于具有监听启用和停用功能的第二网络单元的外部命令，在所述监听浏览部件处，浏览所述传输的监听数据；和

d)把所述浏览步骤的结果传输给监听机构。