CN115633353A - 一种面向特定区域的通信终端管控方法 - Google Patents

Abstract

一种面向特定区域的通信终端管控方法，包括：通信管控基站获取进通信终端身份识别信息，并向通信终端发起管控请求；通信管控基站将通信终端身份识别信息和鉴权请求消息发送给管控服务器；管控服务器查询该通信终端的权限信息及其对应权限业务，并将查询的鉴权结果发送给通信管控基站；通信管控基站保存鉴权结果；待通信终端向通信管控基站发送业务请求时，通信管控基站根据鉴权结果判断是否需要管控，若需要管控，通信管控基站将截断此业务请求，若不需要管控，通信管控基站允许此种业务通信；本发明根据预设权限信息及其对应权限业务，实现对管控区域提供公网无线覆盖的同时对不同权限的通信终端进行不同策略的灵活通信管控。

Description

一种面向特定区域的通信终端管控方法

技术领域

本发明涉及一种面向特定区域的通信终端管控方法，属于无线通讯技术及计算机网络技术相结合的领域。

背景技术

随着移动互联网的飞速发展，智能移动通信用户终端的快速普及，过去一些不允许使用通信设备的相关机构，目前也已对所属区域内人员开放普通通信设备的使用，而对这些相关机构内部的重要涉密场所和涉密活动的保密安全管控，一般有以下几种方法：无线信号干扰器、基站模拟器设置黑白名单管理以及人工管理等方式。但无线信号干扰器会对区域内的所有通信设备进行无差别的干扰，使得特定人员的合理通信需求无法及时得到满足，同时还会对周围的无线通信造成干扰；基站模拟器虽然可以设置黑白名单，满足部分合法通信需求，但是无法对相关人员在通信管控区域以及各子区域内的权限进行灵活的管理；人工管理方式不仅成本比较高，而且效率低下，且对被管控人员友好度欠佳。

发明内容

本发明的目的在于：本发明提供一种面向特定区域的通信终端管控方法，本通信终端管控方法根据预设权限信息及其对应权限业务，允许或禁止该通信终端的通信业务，对管控区域内的通信终端通信行为进行控制，从而实现对整个控制区域的保护。

为实现上述目的，本发明提供如下技术方案：一种面向特定区域的通信终端管控方法，基于管控服务器、各管控区域内的通信管控基站和管控区域内的各通信终端所构成的手机管控系统，按以下步骤，实现通信终端管控方法：

S1：基于管控服务器上对各管控区域内不同用户通信终端的权限信息及对应权限业务的预设置，各通信管控基站分别获取其管控区域内的通信终端的身份识别信息，并向通信终端发起管控请求，然后进入步骤S2；

S2：若通信终端拒绝管控请求，通信管控基站将截断该通信终端在本管控区域内的一切业务请求；若通信终端接受管控请求，通信管控基站向管控服务器发送该通信终端的身份识别信息和鉴权请求消息，然后进入步骤S3；

S3：管控服务器根据接收的身份识别信息，在预设的权限信息及其对应权限业务中查询该通信终端的权限信息及对应权限业务，并将查询的鉴权结果发送给通信管控基站，然后进入步骤S4；

S4：通信管控基站将该通信终端的鉴权结果进行保存,待该通信终端发起业务请求，然后进入步骤S5；

S5：基于该通信终端向通信管控基站发送业务请求，通信管控基站根据该通信终端的鉴权结果进行管控，然后进入步骤S6；

S6：通信管控基站将该通信终端的业务类型、位置、时间信息以及所在通信管控基站的识别信息发送给管控服务器，管控服务器根据接收信息进行数据挖掘和分析，对该通信终端在管控区域内的通信行为和轨迹进行审计；若管控服务器审计出该通信终端在管控区域内有违规行为，则进入步骤S7，否则不做任何处理；

S7：管控服务器向该通信终端发送违规警示，若管控服务器向该通信终端发送违规警示次数达到预设次数，则管控服务器将该通信终端列入无权限的黑名单用户，禁止该通信终端再次发起业务请求。

进一步地，前述的通信管控基站包括通信管控装置，所述通信管控装置包括管控模块和通信模块；所述管控模块，用于通信终端身份信息获取、与通信模块的信息交换以及对协议栈进行功能配置；所述通信模块，用于建立与管控服务器的消息通道，传输管控模块和管控服务器的各种交互信息，在通信管控基站启动之后负责自主向进入本管控区域的通信终端发起管控请求。

进一步地，前述的管控模块包括取号子模块、鉴权子模块、判断子模块；取号子模块，用于缓存既有标准信令内容，构造相关信令向所述通信终端要求上报身份信息；

鉴权子模块，用于利用通信终端的身份信息向管控服务器发起鉴权请求，并处理管控服务器返回的鉴权结果；判断子模块，当通信终端发起业务请求时，首先判断其业务类型，再依据通信终端鉴权结果，判断是否具有该类型业务权限，根据判决结果决定是否提供正常业务通信服务。

进一步地，前述的管控服务器包括区域管理装置，所述区域管理装置包括消息处理模块、审计及界面模块、数据库模块；消息处理模块，用于处理与所述通信管控基站的交互信息，同时将数据写入数据库或者从数据库中读取相应的数据；审计及界面模块，用于提供可视化交互界面，进行信息录入、规则制定及数据分析；数据库模块，用于存储管控系统的各种数据信息，包括各通信终端身份识别信息、区域、权限和业务数据。

进一步地，前述的审计及界面模块提供可视化登录管理界面，区分管理员权限以及普通用户权限；提供管控区域的子区域划分和通信终端权限设置以及其他规则的设定；提供区域内通信终端业务行为的分析和呈现；提供区域内通信终端的轨迹查询以及定位；提供敏感区域告警。

进一步地，前述的通信管控基站获取通信终端的身份识别信息的方法包括：若该通信管控基站获取通信终端的身份识别信息的方法包括：

若该通信终端从外部公网基站或其他公共基站重选进入到管控区域内，通信管控基站利用伪信令方式让通信终端上报身份识别信息；若该通信终端从外部公网基站或其他公共基站切换进入到管控区域内，需要先强行释放通信终端与原所在基站之间的RRC连接，再将通信终端唤醒重新进行通信终端管控流程，现所在通信管控基站利用伪信令方式获取身份识别信息；若该通信终端是在管控基站之间移动，管控基站利用伪信令方式或系统内切换鉴权法获取身份识别信息。

进一步地，前述的业务类型包括短信业务、上网业务、语音通话业务。

进一步地，前述的权限信息及对应权限业务的标记方式包括：每项业务类型的权限按照比特位进行表示，比特位为0表示该类业务无权限，比特位为1表示该类业务具有权限，将所有需管控业务类型的权限按照固定的顺序排列在一起，组成一个二进制数，记作各通信终端的权限值。

进一步地，前述的管控服务器查询通信终端的权限信息及对应权限业务的步骤包括：管控服务器接收通信管控基站的鉴权请求消息，获取该通信管控基站的的识别信息和通信终端的身份识别信息，根据通信管控基站的的识别信息在对应的数据库内查询该通信终端的权限值，查询不到权限值的通信终端视为无权限的黑名单用户，权限值设置为全零，管控服务器将通信终端的权限值作为鉴权结果发送给通信管控基站。

进一步地，前述的通信管控基站根据鉴权结果进行管控的步骤包括：若权限值为全零，则表示该通信终端为无权限的黑名单用户，通信管控基站将阻断该通信终端的所有业务请求；若权限值不为零，当该通信终端发起业务请求时，对比权限值，若所请求业务类型具有权限，通信管控基站对该通信终端不作任何限制；若所请求业务类型没有权限，通信管控基站对该通信终端进行阻断，并向通信终端发送无权限提示。

本发明所述一种面向特定区域的通信终端管控方法，采用以上技术方案与现有技术相比，具有以下技术效果：

1、本发明的区域管控方法可以在正常模式和管控模式之间自由切换，正常模式下可以为区域内提供公网信号覆盖，为所有用户提供正常的无线通信服务；当开启管控模式后，区域内只有具有权限的通信终端才能进行相应的权限业务，没有权限的通信终端能够正常驻留，但是无法进行业务通信，实现对整个管控区域的保护；

2、通过本发明可实现对管控区域提供公网无线覆盖的同时对特定管控区域内的通信终端进行通信管控，可在管控区域中根据实际场景划分多个子区域，采用不同的策略灵活管控；根据实际部署情况和具体用户情况，同一个通信终端在各子区域中可以具有不同的权限；

3、管控系统可以根据通信终端的轨迹和业务情况对用户进行行为审计，评估区域管控效果，对违规行为进行告警；

4、本区域管控方法不需要经过核心网和运营商，在本地就能够禁止无权限通信终端的通信业务，而不影响有权限通信终端的正常通信，同时也不会对周围环境造成无线信号污染。

附图说明

图1是通信终端管控系统架构；

图2是通信终端管控方法流程。

具体实施方式

为了更了解本发明的技术内容，特举具体实施例并配合所附图式说明如下。

在本发明中参照附图来描述本发明的各方面，附图中示出了许多说明性实施例。本发明的实施例不局限于附图所述。应当理解，本发明通过上面介绍的多种构思和实施例，以及下面详细描述的构思和实施方式中的任意一种来实现，这是因为本发明所公开的构思和实施例并不限于任何实施方式。另外，本发明公开的一些方面可以单独使用，或者与本发明公开的其他方面的任何适当组合来使用。

参考图1和图2，本发明提供一种面向特定区域的通信终端管控方法，本发明是基于由管控服务器、各管控区域内的通信管控基站所构成的通信终端管控系统实现的。

在本实施例中，管控服务器包括区域管理装置，区域管理装置包括消息处理模块、数据库模块、审计及界面模块；消息处理模块用于处理与所述通信管控基站的交互信息，同时将数据写入数据库或者从数据库中读取相应的数据；数据库模块用于存储管控系统的各种数据信息，包括各通信终端身份识别信息、区域、权限和业务数据；审计及界面模块提供可视化登录管理界面，区分管理员权限以及普通用户权限；提供管控区域的子区域划分和通信终端权限设置以及其他规则的设定；提供区域内通信终端业务行为的分析和呈现；提供区域内通信终端的轨迹查询以及定位；提供敏感区域告警。

通信管控基站包括通信管控装置，通信管控装置包括通信模块和管控模块；通信模块用于建立与管控服务器的消息通道，传输管控模块和管控服务器的各种交互信息，在通信管控基站启动之后负责自主向进入本管控区域的通信终端发起管控请求；管控模块包括取号子模块、鉴权子模块、判断子模块；取号子模块，用于缓存既有标准信令内容，构造相关信令向所述通信终端要求上报身份信息；鉴权子模块，用于利用通信终端的身份信息向管控服务器发起鉴权请求，并处理管控服务器返回的鉴权结果；判断子模块，当通信终端发起业务请求时，首先判断其业务类型，再依据通信终端鉴权结果，判断是否具有该类型业务权限，根据判决结果决定是否提供正常业务通信服务。

本实施例中，通信终端包括但不限于2G、3G、4G、5G移动通信终端；通信管控基站指连接核心网的公网小基站，可以是室内基站等小范围覆盖的公网基站。通信管控基站的无线信号有一定的覆盖范围，通信管控基站的覆盖范围是可控的，利用该特点控制管控区域的大小和位置，如图1所示，在一个管控区域内，可包括多个基站，即在每个特定子区域内，都包括独立的基站作为通信管控基站。按照区域特性，如会议室、办公室、保密办公室，对管控区域进行子区域划分，在管控服务器上对各个子区域进行不同的管控设定，实现对通信终端用户的业务权限进行灵活的设置。各通信管控基站与管控服务器通过Internet和运营商核心网相连。各通信管控基站的频点优先级设置为最高优先级，同时在与已有外部公网基站或者其他公网之间要配置切换和重选参数，使得通信终端进入管控区域后，优先接入通信管控基站，进而对整个管控区域内人员进行通信和行为管控。

如图2所示，基于通信终端管控系统，按以下步骤，实现通信终端管控方法：

S1：基于管控服务器上对各管控区域内不同用户通信终端的权限信息及对应权限业务的预设置，各通信管控基站分别获取其管控区域内的通信终端的身份识别信息，并向通信终端发起管控请求，然后进入步骤S2；

S2：若通信终端拒绝管控请求，通信管控基站将截断该通信终端在本管控区域内的一切业务请求；若通信终端接受管控请求，通信管控基站向管控服务器发送该通信终端的身份识别信息和鉴权请求消息，然后进入步骤S3；

S3：管控服务器根据接收的身份识别信息，在预设的权限信息及其对应权限业务中查询该通信终端的权限信息及对应权限业务，并将查询的鉴权结果发送给通信管控基站，然后进入步骤S4；

S4：通信管控基站将该通信终端的鉴权结果进行保存,待该通信终端发起业务请求，然后进入步骤S5；

S5：基于该通信终端向通信管控基站发送业务请求，通信管控基站根据该通信终端的鉴权结果进行管控，然后进入步骤S6；

S6：通信管控基站将该通信终端的业务类型、位置、时间信息以及所在通信管控基站的识别信息发送给管控服务器，管控服务器根据接收信息进行数据挖掘和分析，对该通信终端在管控区域内的通信行为和轨迹进行审计；若管控服务器审计出该通信终端在管控区域内有违规行为，则进入步骤S7，否则不做任何处理；

S7：管控服务器向该通信终端发送违规警示，若管控服务器向该通信终端发送违规警示次数达到预设次数，则管控服务器将该通信终端列入无权限的黑名单用户，禁止该通信终端再次发起业务请求。

任何人一旦进入管控子区域，其通信终端便会自动注册该通信管控系统，所属通信管控基站获取通信终端的身份识别信息，如IMSI或其他可以唯一确定通信终端身份的其他信息。

本实施例中，通信管控基站获取通信终端的身份识别信息的方法包括：若该通信管控基站获取通信终端的身份识别信息的方法包括：若该通信终端从外部公网基站或其他公共基站重选进入到管控区域内，通信管控基站利用伪信令方式让通信终端上报身份识别信息；若该通信终端从外部公网基站或其他公共基站切换进入到管控区域内，需要先强行释放通信终端与原所在基站之间的RRC连接，再将通信终端唤醒重新进行通信终端管控流程，现所在通信管控基站利用伪信令方式获取身份识别信息；若该通信终端是在管控基站之间移动，管控基站利用伪信令方式或系统内切换鉴权法获取身份识别信息。

通信管控基站获取通信终端的身份识别信息之后会向该通信终端发起管控请求，若通信终端拒绝管控请求，通信管控基站将截断该通信终端在本管控区域内的一切业务类型的请求，本实施例中，业务类型包括短信业务、上网业务、语音通话业务。若通信终端接受管控请求，通信管控基站向管控服务器发送该通信终端的身份识别信息和鉴权请求消息。管控服务器根据接收的身份识别信息，在预设的权限信息及其对应权限业务中查询该通信终端的权限信息及对应权限业务，并将查询的鉴权结果发送给通信管控基站。

本实施例中，权限信息及对应权限业务的标记方式包括：每项业务类型的权限按照比特位进行表示，比特位为0表示该类业务无权限，比特位为1表示该类业务具有权限，将所有业务类型的权限按照固定的顺序排列在一起，组成一个二进制数，记作各通信终端的权限值。

本实施例中，管控服务器查询通信终端的权限信息及对应权限业务的步骤包括：管控服务器接收通信管控基站的鉴权请求消息，获取该通信管控基站的的识别信息和通信终端的身份识别信息，根据通信管控基站的的识别信息在对应的数据库内查询该通信终端的权限值，查询不到权限值的通信终端视为无权限的黑名单用户，权限值设置为全零，管控服务器将通信终端的权限值作为鉴权结果发送给通信管控基站。通信管控基站将该通信终端的鉴权结果进行保存,待该通信终端发起业务请求，通信管控基站根据该通信终端的鉴权结果进行管控。

本实施例中，通信管控基站根据鉴权结果进行管控的步骤包括：若权限值为全零，则表示该通信终端为无权限的黑名单用户，通信管控基站将阻断该通信终端的所有业务请求；若权限值不为零，当该通信终端发起业务请求时，对比权限值，若所请求业务类型具有权限，通信管控基站对该通信终端不作通信限制；若所请求业务类型没有权限，通信管控基站对该通信终端进行通信阻断，并向通信终端发送无权限提示。

通信管控基站将该通信终端的业务类型、位置、时间信息以及所在通信管控基站的识别信息发送给管控服务器，管控服务器根据接收信息进行数据挖掘和分析，对该通信终端在管控区域内的通信行为和轨迹进行审计；若管控服务器审计出该通信终端在管控区域内有违规行为，管控服务器向该通信终端发送违规警示，若管控服务器向该通信终端发送违规警示次数达到预设次数，则管控服务器将该通信终端列入无权限的黑名单用户，禁止该通信终端再次发起业务请求。

本实施例中，管控服务器根据接收信息进行数据挖掘和分析可理解为，根据通信终端身份、时间点、位置、业务类型、业务时长就能分析某人在某个时刻在某个地点进行了特定时长的某种业务，通过一天的时刻和位置统计，就能勾勒出轨迹图，通过身份识别信息就能分辨出一定时间内管控区域内出现了几个陌生用户以及他们的轨迹和业务行为，可以主动告警无权限用户靠近敏感区域（通过敏感区域停留时长或者接近敏感区域的次数）。

虽然本发明已以较佳实施例阐述如上，然其并非用以限定本发明。本发明所属技术领域中具有通常知识者，在不脱离本发明的精神和范围内，当可作各种的更动与润饰。因此，本发明的保护范围当视权利要求书所界定者为准。

Claims (10)

1.一种面向特定区域的通信终端管控方法，通过对至少一个管控区域内不同用户通信终端的通信行为进行控制实现对各管控区域的保护，其特征在于，基于管控服务器、各管控区域内的通信管控基站所构成的通信终端管控系统，按以下步骤，实现通信终端管控方法：

S1：基于管控服务器上对各管控区域内不同用户通信终端的权限信息及对应权限业务的预设置，各通信管控基站分别获取其管控区域内的通信终端的身份识别信息，并向通信终端发起管控请求，然后进入步骤S2；

S2：若通信终端拒绝管控请求，通信管控基站将截断该通信终端在本管控区域内的一切业务请求；若通信终端接受管控请求，通信管控基站向管控服务器发送该通信终端的身份识别信息和鉴权请求消息，然后进入步骤S3；

S3：管控服务器根据接收的身份识别信息，在预设的权限信息及其对应权限业务中查询该通信终端的权限信息及对应权限业务，并将查询的鉴权结果发送给通信管控基站，然后进入步骤S4；

S4：通信管控基站将该通信终端的鉴权结果进行保存,待该通信终端发起业务请求，然后进入步骤S5；

S5：基于该通信终端向通信管控基站发送业务请求，通信管控基站根据该通信终端的鉴权结果进行管控，然后进入步骤S6；

S6：通信管控基站将该通信终端的业务类型、位置、时间信息以及所在通信管控基站的识别信息发送给管控服务器，管控服务器根据接收信息进行数据挖掘和分析，对该通信终端在管控区域内的通信行为和轨迹进行审计；若管控服务器审计出该通信终端在管控区域内有违规行为，则进入步骤S7，否则不做任何处理；

S7：管控服务器向该通信终端发送违规警示，若管控服务器向该通信终端发送违规警示次数达到预设次数，则管控服务器将该通信终端列入无权限的黑名单用户，禁止该通信终端再次发起业务请求。

2.根据权利要求1所述的一种面向特定区域的通信终端管控方法，其特征在于，所述通信管控基站包括通信管控装置，所述通信管控装置包括管控模块和通信模块；

所述管控模块，用于通信终端身份信息获取、与通信模块的信息交换以及对协议栈进行功能配置；

所述通信模块，用于建立与管控服务器的消息通道，传输管控模块和管控服务器的各种交互信息，在通信管控基站启动之后负责自主向进入本管控区域的通信终端发起管控请求。

3.根据权利要求2所述的一种面向特定区域的通信终端管控方法，其特征在于，所述管控模块包括取号子模块、鉴权子模块、判断子模块；

取号子模块，用于缓存既有标准信令内容，构造相关信令向所述通信终端要求上报身份信息；

鉴权子模块，用于利用通信终端的身份信息向管控服务器发起鉴权请求，并处理管控服务器返回的鉴权结果；

判断子模块，当通信终端发起业务请求时，首先判断其业务类型，再依据通信终端鉴权结果，判断是否具有该类型业务权限，根据判决结果决定是否提供正常业务通信服务。

4.根据权利要求1所述的任一种面向特定区域的通信终端管控方法，其特征在于，所述管控服务器包括区域管理装置，所述区域管理装置包括消息处理模块、审计及界面模块、数据库模块；

消息处理模块，用于处理与所述通信管控基站的交互信息，同时将数据写入数据库或者从数据库中读取相应的数据；

审计及界面模块，用于提供可视化交互界面，进行信息录入、规则制定及数据分析；

数据库模块，用于存储管控系统的各种数据信息，包括各通信终端身份识别信息、区域、权限和业务数据。

5.根据权利要求4所述的一种面向特定区域的通信终端管控方法，其特征在于，所述审计及界面模块提供可视化登录管理界面，区分管理员权限以及普通用户权限；

提供管控区域的子区域划分和通信终端权限设置以及其他规则的设定；

提供区域内通信终端业务行为的分析和呈现；

提供区域内通信终端的轨迹查询以及定位；

提供敏感区域告警。

6.根据权利要求1所述的一种面向特定区域的通信终端管控方法，其特征在于，所述通信管控基站获取通信终端的身份识别信息的方法包括：

若该通信终端从外部公网基站或其他公共基站重选进入到管控区域内，通信管控基站利用伪信令方式让通信终端上报身份识别信息；

若该通信终端从外部公网基站或其他公共基站切换进入到管控区域内，需要先强行释放通信终端与原所在基站之间的RRC连接，再将通信终端唤醒重新进行通信终端管控流程，现所在通信管控基站利用伪信令方式获取身份识别信息；

若该通信终端是在管控基站之间移动，管控基站利用伪信令方式或系统内切换鉴权法获取身份识别信息。

7.根据权利要求1所述的一种面向特定区域的通信终端管控方法，其特征在于，所述业务类型包括短信业务、上网业务、语音通话业务。

8.根据权利要求7所述的一种面向特定区域的通信终端管控方法，其特征在于，所述权限信息及对应权限业务的标记方式包括：每项业务类型的权限按照比特位进行表示，比特位为0表示该类业务无权限，比特位为1表示该类业务具有权限，将所有需管控业务类型的权限按照固定的顺序排列在一起，组成一个二进制数，记作各通信终端的权限值。

9.根据权利要求8所述的一种面向特定区域的通信终端管控方法，其特征在于，管控服务器查询通信终端的权限信息及对应权限业务的步骤包括：管控服务器接收通信管控基站的鉴权请求消息，获取该通信管控基站的的识别信息和通信终端的身份识别信息，根据通信管控基站的的识别信息在对应的数据库内查询该通信终端的权限值，查询不到权限值的通信终端视为无权限的黑名单用户，权限值设置为全零，管控服务器将通信终端的权限值作为鉴权结果发送给通信管控基站。

10.根据权利要求9所述的一种面向特定区域的通信终端管控方法，其特征在于，通信管控基站根据鉴权结果进行管控的步骤包括：

若权限值为全零，则表示该通信终端为无权限的黑名单用户，通信管控基站将阻断该通信终端的所有业务请求；

若权限值不为零，当该通信终端发起业务请求时，对比权限值，若所请求业务类型具有权限，通信管控基站对该通信终端不作任何限制；若所请求业务类型没有权限，通信管控基站对该通信终端进行阻断，并向通信终端发送无权限提示。

Images