CN115769611A - 用于操作具有个性化身份模块简档的用户设备的系统和方法 - Google Patents

Abstract

本发明涉及一种用于操作具有个性化身份模块简档的用户设备(110)的系统(100)，其中，在识别了所述用户设备(110)的用户(120)的情况下以安全的方式将身份模块简档从订阅管理器(130)自动下载到用户设备(110)上。所述系统(100)特别地包括：服务系统(140)，其用于识别对应于所导出的用户身份的用户；以及订阅管理器(130)，其用于准备由所述服务系统(140)请求的个性化身份模块简档并且向所述用户设备(110)发送准备的个性化身份模块简档。

Description

用于操作具有个性化身份模块简档的用户设备的系统和方法

技术领域

本发明涉及用户设备、用于操作具有个性化身份模块(例如，SIM)简档的用户设备的系统和方法，其中，可以为用户设备远程提供身份模块简档。

背景技术

随着eSIM(嵌入式订户身份模块)技术的出现，例如使用如例如SGP.21和SGP.22中指定的GSMA RSP(远程SIM提供)框架，或者在M2M或IoT设备的情况下使用如例如SGP.01和SGP.02中指定的GSMA嵌入式SIM远程提供框架，向移动设备远程提供SIM简档是可能的。GSMA(全球移动通信系统协会)还负责向3GPP兼容设备的所有制造商分配官方IMEI(国际移动设备身份码)号码范围，并将这些范围和设备型号信息记录在数据库中。它提供基于该数据库的设备查找和标识服务，其允许授权的第三方组织使用IMEI识别移动设备的制造商和型号。

此外，在诸如汽车、医疗保健、娱乐、金融和教育的许多垂直行业中，多个用户之间连接设备的共享使用正在变得普遍。在这些设备连接到移动网络的情况下，考虑到当前技术限制，多个用户将需要共享相同的SIM简档和相同的移动网络订阅来访问网络，因为设备的SIM简档通常链接到为其发行和注册SIM的主要用户。如果没有单个主要用户，即，如果设备可以在不同的人之间共享(例如，在共享汽车的情况下)，则使用他们自己的订阅对每个用户单独收费是不可能的。其还隐含该设备将使用初始配置该设备并且网络已为其配置SIM简档的主要用户的个性化设置。为特定用户个性化这些共享设备，特别是无头设备或具有有限用户接口的设备，诸如药物分配器、AED、汽车、支付终端，对用户来说是麻烦的过程。特别地，如果设备仅临时使用，用户可能不会费心对设备进行个性化，从而导致更差的用户体验。

当前，为了向设备提供个人SIM简档，要求主要地手动的注册过程来将设备链接到特定用户，例如通过当购买与移动网络订阅捆绑的设备时移交标识文档(例如护照)，或者例如通过登录到因特网上的注册服务器，该注册服务器然后可以生成可以由移动设备扫描以便下载SIM简档的QR码。每次用户购买或想要使用另一设备时，必须重复该过程。特别是对于无头设备或具有有限用户接口的设备，这可能是乏味的。另外，其不能容易扩展到多个设备，并且特别是共享设备。

发明内容

本发明的目标是为用户提供一种更容易和更舒适的方式，以向用户设备提供个性化身份模块简档。

该目的通过根据权利要求1所述的用户设备、根据权利要求6所述的系统以及根据权利要求12所述的方法来实现。

本公开总体上提出了一种能够在识别想要使用所述用户设备的活动用户A时自动下载个性化身份模块(例如SIM)简档以个性化(共享)用户设备的用户设备、系统和方法，例如能够使用所述用户设备来访问网络(例如蜂窝公共陆地移动网络或蜂窝非公共网络或Wi-Fi热点网络)，并允许网络访问对所识别用户的订阅收费。

根据本发明的第一方面，适于与个性化身份模块简档一起操作的用户设备包括：控制器，其被配置为为用户操作所述用户设备，针对所述用户，在所述用户设备中启用或能够启用所分配的个性化身份模块简档；存储器设备，其用于存储个性化身份模块简档和秘密凭证以安全地连接到订阅管理器；检测器，其用于导出所述用户设备的用户(诸如尚未具有分配的个性化身份模块简档的新用户)的用户身份(UID)；以及通信器，其用于基于在所述存储器设备中存储的所述秘密凭证在所述用户设备与订阅管理器之间进行安全数据通信。此外，所述控制器被布置用于使得所述通信器向订阅管理器传送所导出的用户身份和针对所述订阅管理器的设备身份，并且所述通信器适于从所述订阅管理器接收在由服务系统基于所导出的用户身份识别用户之后准备的个性化身份模块简档。

根据本发明的第二方面，用于操作具有个性化身份模块简档的用户设备的系统，包括用户设备，其包括：控制器，其被配置为为用户操作所述用户设备，针对所述用户，在所述用户设备中启用或能够启用所分配的个性化身份模块简档；存储器设备，其用于存储个性化身份模块简档和秘密凭证以安全地连接到订阅管理器；检测器，其用于导出所述用户设备的用户的用户身份(UID)；以及通信器，其用于基于在所述存储器设备中存储的所述秘密凭证在所述用户设备与订阅管理器之间进行安全数据通信。所述系统还包括：服务系统，其被配置为识别对应于所述导出的用户身份的用户并且请求用于所述用户设备的个性化身份模块简档；以及订阅管理器，其被配置为将所导出的用户身份和从所述用户设备接收的设备身份EID转发到所述服务系统，并且向由所述服务系统请求的用户设备发送准备的个性化身份模块简档。

通过向所述用户设备提供用于导出想要使用所述用户设备的活动用户的用户身份的检测器，并且向所述系统提供用于识别对应于导出的用户身份的活动用户并从所述订阅管理器请求用于所述用户设备的个性化身份模块简档的服务系统，分配给想要使用所述用户设备的活动用户的个性化身份模块简档可以从所述订阅管理器自动下载到所述用户设备，使得所述活动用户可以以简单和舒适的方式使用所述用户设备(例如访问网络)而没有复杂或密集的手动过程。并且通过基于在所述存储器设备中存储的秘密凭证向所述用户设备提供用于安全数据通信的通信器，所述个性化身份模块简档的自动下载可以比例如仅通过在因特网上连接某个网页(例如经由Wi-Fi或设备的另一用户的蜂窝连接)并从这样的网页下载所述SIM简档更安全地执行。

所述身份模块简档是例如USIM(通用订户身份模块)简档或ISIM(IMS订户身份模块)简档，其可以被下载并存储在所述用户设备上，例如在eSIM模块、eUICC(嵌入式通用集成电路卡)、安全存储或其他安全硬件元件中，并且可以使用例如EAP-AKA来使能对网络的认证访问。身份模块简档还可以采取公钥证书的形式(例如，由证书颁发机构签名)，公钥证书可以存储在安全或非安全存储/硬件元件中，并且可以使用例如EAP-TLS使能对网络的认证访问。个性化身份模块简档不仅可以包含唯一地识别所述设备的信息，而且可以通过其订阅数据(例如存储在所述UDM中)直接或间接地识别关联用户，这允许所述服务提供商/网络运营商为所述数据通信向正确的人收费。通常，这样的简档还包含一组凭证(例如，唯一标识符和根密钥)，以允许访问与订阅相关的网络(例如，蜂窝公共陆地移动网络或蜂窝非公共网络或Wi-Fi热点网络)(即，允许设备被唯一认证并链接到特定用户的订阅)。它还可以包含关于链接到所述特定用户的订阅的一组网络服务的信息(例如，安全凭证、服务相关标识符、策略)或与其相关联(例如，对5G而不是4G的访问、对某些切片和/或非公共网络的访问以及服务区域限制的配置、对语音邮件/呼叫者身份特征的访问、RAT策略等)。另外，个性化身份模块简档还可以包括对安全地存储在(e)UICC或其他安全硬件元件中有用的额外的个人信息，诸如第三方服务(诸如特定的云服务或因特网应用，如例如Spotify)的用户身份和凭证、姓名、姓氏、地址信息、联系人列表或地址薄、包含用于数据通信(例如，访问公司网络基础设施或非公共网络)的对称加密和证书签名的算法和密钥的小程序、急救健康信息、健康数据标识符、紧急情况下的第一人联系、银行标识符和小程序、隐私偏好(例如，不允许共享UE位置信息)等。

所述服务系统是电子系统，并且优选地包括一个或多个电子设备。

在本发明的第一方面的变型中，所述控制器被布置用于使得所述通信器基于触发向所述订阅管理器发送导出的用户身份和针对订阅的设备身份。此外，在该变型的示例中，所述触发可以是以下触发中的一个或多个：在所述用户设备或外部设备的指纹扫描器上成功识别用户的指纹并且所述用户设备或外部设备确定在对应于所述用户的设备上没有个性化身份模块简档可用之后，或在安全SIM应用要求所述用户识别他/她自己(其可以在首次使用时自动启动)之后，通过所述用户在所述设备上安装和/或启动配置应用(例如，示出所述用户可以与之交互的配置对话框)，或在由所述用户按下所述设备上或所述设备的GUI中的按钮之后。

在优选实施例中，所述用户设备的所述存储器设备包括eUICC(嵌入式通用集成电路卡)。在这种情况下，所述用户设备的通信器优选地使用蜂窝网络通信。优选地，eUICC被提供有活动引导简档(例如如由SGP.01v1.1指定的主安全域-根(ISD-R))，其包含(不可修改的)秘密凭证以安全地连接到订阅管理器(例如如由SGP.01和SGP.02指定)，并且通常还包含所述用户设备的唯一设备身份(例如eUICC身份)。在不同的实施例中，所述设备具有一些默认凭证(例如，共享密钥或公钥和/或设备/用户身份)以安全地连接到所述订阅管理器，所述订阅管理器可以存储在安全或非安全存储或硬件元件中，并且可以由所述设备或安全存储/硬件元件的制造商提供/配置，或者由部署所述设备的组织或用户提供/配置(例如，通过使用NFC来传递凭证信息或读取对凭证进行编码的QR码)。

在优选实施例中，所述订阅管理器包括被配置为管理与所述用户设备和所述服务系统的安全数据通信的路由实体(SM-SR)，以及用于特别是基于从所述服务系统接收的信息(诸如策略信息)来准备个性化身份模块简档的简档准备实体(SM-DP)。该路由实体可以是由操作所述服务系统和/或简档准备实体的同一运营商运营的通信网络的一部分，并且可以是将为其向所述用户设备提供个性化身份模块简档的运营商。然而，所有这些实体也可以由不同的运营商和/或由不同的网络和/或在不同的安全域中运行。在备选实施例中，所述订阅管理器包括：发现服务器(SM-DS)，其被配置为执行所述用户设备的初始认证，为一个或多个简档准备实体(SM-DP+)提供地址，并且充当所述用户设备与一个或多个简档准备实体(SM-D-P+)之间的事件消息代理；以及至少一个简档准备实体(SM-DP+)，其负责根据移动网络运营商的输入/请求(如例如由SGP.21和SGP.22指定)创建、生成、管理和保护个性化身份模块简档。在实施例中，可以经由到网络的受限访问连接来访问所述订阅管理器，例如，由此所述网络可以例如通过提供未认证的访问(例如，通过如3GP TS 33.401中指定的受限本地运营商服务(RLOS))来限制所述用户设备仅对所述订阅管理器和/或服务系统的访问，而没有对其他服务或数据网络的访问。补充或者代替于受限接入连接，所述网络还可以在连接建立时执行所述用户设备的初始认证，例如使用(预先)提供给所述用户设备并且由网络已知和/或被授权接入网络和/或由可信第三方授权的默认凭证(例如经由默认凭证服务器或AAA服务器)，或者通过在所述用户设备中使用允许授权访问所述网络的现有USIM简档。这允许在所述用户设备与所述订阅管理器和/或服务系统之间建立安全连接。

在优选实施例中，所述服务系统包括：至少一个网络运营商系统，特别是至少一个移动网络运营商(MNO)系统，用户订阅到该系统，并且该系统被配置为请求所述订阅管理器为所述用户设备准备个性化身份模块简档；以及标识符系统，特别是身份服务提供商(ISP)系统，其被配置为识别对应于所导出的用户身份的活动用户，并将关于所识别的用户的信息发送到所述所识别的用户订阅到的至少一个网络运营商系统之一。例如，所述订阅管理器可以将所导出的用户身份和设备身份两者发送给所述身份服务提供商，其继而将所述设备身份(而不实际上使用它)转发给所述网络运营商系统。备选地，所述订阅管理器将所述设备身份直接发送到所述移动网络运营商系统，并且将导出的用户身份发送到所述身份服务提供商。在另一备选方案中，所述订阅管理器向所述网络运营商系统发送导出的用户身份和设备身份，所述网络运营商继而向所述身份服务提供商发送导出的用户身份。

至少一个网络运营商系统是电子系统，并且优选地包括一个或多个电子设备。而且，所述标识符系统是电子系统，并且优选地包括一个或多个电子设备。

在优选实施例中，所述用户设备的通信器被配置为加密要发送到所述订阅管理器的数据并解密从所述订阅管理器接收的数据。优选地，所述用户设备的存储器设备包括eUICC，该eUICC还被提供有身份提供商简档，该身份提供商简档包含由所述服务系统的ISP系统发布的用于加密发送到所述ISP系统的用户身份的秘密凭证，以便出于隐私原因不向所述订阅管理器泄露所述订阅管理器的任何用户特异性身份数据。优选地，所述通信器基于由ISP系统发布并存储在所述存储器设备(特别是eUICC)中的秘密凭证来加密所导出的用户身份，并且在基于由所述订阅管理器发布并存储在所述存储器设备中(特别是在所述eUICC的引导简档中)的秘密凭证建立安全信道之后，从所述用户设备向所述订阅管理器传送加密的用户身份。备选地，所述用户设备可以具有一些默认凭证(例如，共享密钥或公钥和/或设备/用户身份)以加密导出的用户身份和/或安全地连接到所述身份服务提供商，由此这些默认凭证可以存储在安全或非安全存储或硬件元件中，并且可以由所述设备或安全存储/硬件元件的制造商或由部署所述设备的组织或用户(例如通过使用NFC来传递凭证信息或读取对凭证进行编码的QR码)来提供/配置。

在优选实施例中，所述用户设备的控制器还被配置为检测所述用户设备的当前用户是否仍然是针对其已经从所述订阅管理器接收到个性化身份模块简档的同一用户，作为额外的安全动作。

在优选实施例中，所述服务系统，特别是所述服务系统的网络运营商系统，还被配置为验证是否对应于导出的用户身份的用户合法使用所述用户设备，作为额外的安全动作。

在优选实施例中，所述服务系统，特别是所述服务系统的网络运营商系统，还被配置为导出用于(相应活动用户的)用户设备的用户特异性设置，并且所述订阅管理器还被配置为准备与用于所述用户设备的用户特异性设置绑定的个性化身份模块简档(如从所述服务系统接收的)。

在优选实施例中，所述用户设备的控制器和所述服务系统(特别是其网络运营商系统)中的至少一项还被配置为向所述订阅管理器发送关于所述用户的当前会话可以结束或者已经达到会话数目的限制或时间限制的消息，或在离开或到达所述网络的覆盖区域或指定服务区域的边界或者通过将设备移动到远离某个区域或位置或距参考设备的距离时，并且所述订阅管理器还被配置为使得停用或删除分配给该用户的个性化身份模块简档(存储在所述用户设备的存储器设备中)。例如，所述用户设备的控制器可以基于所述用户设备的用户的指示来发送该消息。例如，所述网络运营商系统可以基于所述用户想要使用另一用户设备的检测来发送该消息。

在优选实施例中，所述用户设备的控制器和所述服务系统(特别是其网络运营商系统)中的至少一项还被配置为导出关于所述用户设备将在时间帧内由特定用户多次使用的信息，并且所述订阅管理器还被配置为如果所述用户设备在时间帧内由所述特定用户多次使用，则使得临时启用或停用分配给所述特定用户的所述个性化身份模块简档(存储在所述用户设备的存储器设备中)。备选地，所述用户可以被提供有用户接口，以配置个性化用户身份简档在去激活所述用户简档时是否应当被移除或保持存储在所述用户设备的存储器中。如果用户(合法使用所述用户设备)频繁使用所述用户设备，则该方面避免删除存储在所述用户设备的存储器设备中的个性化身份模块简档。这导致针对所述用户的改进舒适度，因为每次使用所述用户设备时不必下载分配给他的个性化身份模块简档。

在优选实施例中，所述服务系统(特别是其网络运营商系统)包括用于接收属于特定用户的用户设备的位置信息或来自特定用户的用户消息的接收器，以及用于存储属于特定用户的用户设备的列表的存储器。在这种情况下，所述服务系统(特别是其网络运营商系统)优选地被配置为请求所述订阅管理器使得停用或删除分配给所述特定用户的个性化身份模块简档或者激活针对用户设备或所有列出的用户设备(属于所述特定用户)的分配给所述特定用户的停用的个性化身份模块简档，这取决于属于所述特定用户的用户设备的位置信息(或取决于用户设备与参考设备(例如，所述用户的指定主要用户设备或网关设备)之间的配置距离)或从所述特定用户接收的用户消息。这导致了改进的安全性，因为所述系统能够减少非合法用户可以基于存储在所述用户设备中的分配给合法用户的个性化身份模块简档来使用所述用户设备的风险。

根据本发明的第三方面，用于操作具有个性化身份模块(例如SIM)简档的方法包括：所述用户设备导出所述用户设备的用户的用户身份；在可选地检查是否在所述用户设备中没有启用分配给所述用户设备的用户的个性化身份模块简档之后，所述用户设备经由订阅管理器向服务系统发送导出的用户身份和所述用户设备的设备身份；所述服务系统识别对应于所述导出的用户身份的用户并且请求用于所识别的用户的个性化身份模块简档以在所述用户设备中使用，并且提供要在个性化身份简档准备中使用的必要信息(诸如策略信息)；并且所述订阅管理器为活动用户准备个性化身份模块简档并且向所述用户设备发送准备的个性化身份模块简档，其中，所述用户设备与所述订阅管理器之间的所述数据通信是基于存储在所述用户设备中的秘密凭证的安全数据通信。

通过由所述用户设备导出想要使用所述用户设备的活动用户的用户身份并且识别对应于导出的用户身份的活动用户并且由服务系统从所述订阅管理器请求用于所述用户设备的个性化身份模块简档，分配给想要使用所述用户设备的活动用户的个性化身份模块简档可以从所述订阅管理器自动下载到所述用户设备，使得活动用户可以以简单和舒适的方式使用所述用户设备而没有复杂或密集的手动过程。并且通过使用基于存储在所述用户设备中的秘密凭证的安全数据通信，可以更安全地执行所述个性化身份模块简档的自动下载。

所述身份模块简档是例如SIM(订户身份模块)简档。

优选地，所导出的用户身份和设备身份被加密发送到所述订阅管理器，并且准备的个性化身份模块简档被加密发送到所述用户设备。优选地，所导出的用户身份和所述用户设备的设备身份两者是基于由所述服务系统的身份服务提供商系统发布的秘密凭证来加密的，并且在基于由所述订阅管理器发布的秘密凭证建立安全信道之后，将加密的用户身份和加密的设备身份从所述用户设备发送到所述订阅管理器。

在优选实施例中，在接收到用于所述用户的个性化身份模块简档之后，所述用户设备检测到所述用户设备的当前用户是否仍然是已经从所述订阅管理器接收到所述个性化身份模块简档的同一用户，作为额外的安全步骤。

在优选实施例中，作为额外的安全步骤，在请求所述订阅管理器以为所识别的用户准备所述个性化身份模块简档之前或者在将准备的个性化身份模块简档安装在所述用户设备中之前，所述服务系统(特别是所述服务系统的网络运营商系统)验证对应于所导出的用户身份的用户是否合法使用所述用户设备，作为额外的安全步骤。

在优选实施例中，所述服务系统(特别是所述服务系统的网络运营商系统)还检索用于所述用户设备的用户特异性设置(相应活动用户的)，并且将该信息提供给所述订阅管理器。在这种情况下，所述订阅管理器优选地准备与用于所述用户设备的用户特异性设置绑定的个性化身份模块简档。

在优选实施例中，所述方法还包括：所述用户设备或所述服务系统(特别是所述服务系统的网络运营商系统)向所述订阅管理器发送关于所述用户的当前会话可以结束或者已经达到会话数目的限制或时间限制的消息，并且所述订阅管理器停用或删除分配给该用户(存储在所述用户设备中)的个性化身份模块简档。例如，所述用户设备可以基于所述用户设备的用户的指示来发送该消息。例如，所述服务系统(特别是它的网络运营商系统)可以基于所述用户想要使用另一用户设备的检测来发送该消息。

在优选实施例中，所述方法还包括：所述服务系统(特别是所述服务系统的网络运营商系统)请求所述订阅管理器使得停用或删除分配给特定用户的个性化身份模块简档，或者激活针对属于所述特定用户的用户设备或所有用户设备的分配给特定用户的停用的个性化身份模块简档，这取决于属于所述特定用户的用户设备的位置信息或从所述特定用户接收的用户消息。

根据本发明的第四方面，一种计算机程序产品包括用于在由计算机系统执行时实施上文解释的方法的指令。

此外，本发明的优选实施例也可以是上文所讨论的实施例的任何组合或任何数目的附加从属权利要求的任何组合。

本发明可以应用于例如蜂窝设备，如移动电话、生命体征监测/遥测设备、智能手表、跌倒检测器或任何类型的可远程提供的设备。

本发明的这些和其他方面将参考在下文中所描述的实施例而显而易见并且得到阐述。

附图说明

现在将参考附图以示例的方式更详细地描述本发明，其中，主要图解性地：

图1示出了根据实施例的系统；

图2示出了根据实施例的方法的流程图；并且

图3示出了可选地添加到图2的方法的方法步骤的流程图。

具体实施方式

图1示例性地示出了系统的实施例，用于操作具有个性化身份模块简档(特别是订户身份模块)SIM简档的用户设备并且在识别想要使用用户设备的活动用户A时自动下载个性化SIM简档以个性化(共享)用户设备。

系统100包括用户设备，特别是移动用户设备110。用户设备110可以是IoT设备，诸如连接的汽车、药物分配器和智能手表或移动电话，或者具有或不具有图形用户接口的另一设备。

系统100还包括具有安全路由实体(SM-SR)132和简档准备实体(SM-DP)134的订阅管理器(SM)130(可能在与SM-SR相同的IP域中或在单独的域中运行，例如单独的提供服务器)、具有电子标识符系统145的电子服务系统140和电子网络运营商系统150。标识符系统145例如是身份服务提供商(ISP)系统，并且网络运营商系统150特别地是移动网络运营商(MNO)系统(通常称为公共陆地移动网络或PLMN)，其操作诸如EPC或5GC的移动核心网络或在MNO核心网络之上操作其自己的移动核心网的非公共网络(NPN)服务提供商(可能使用由MNO操作的部件的子集和由NPN服务提供商操作的子集，或作为独立的移动核心网路)。在文档的剩余部分中，术语MNO系统将被用于表示PLMN或NPN。系统100的所有这些部件经由诸如因特网的网络的安全信道连接。

如图1中所图示的，用户设备110包括控制器112，其被配置为针对用户操作用户设备110，针对所述用户，用户设备具有个性化SIM简档的。控制器112特别地允许在个性化SIM简档已经被提供(例如使用由本发明所描述的方法)并且在设备上启用之后(在其之后用户设备可以选择并且使用个性化SIM简档主动开始)用户设备110的操作(例如连接到蜂窝网络)。优选地，用户设备的控制器可以保持跟踪(例如，使用其自己的操作系统登录)设备的当前用户，并且可以根据针对该用户的个性化SIM简档仅启用用户设备的当前用户完全访问。控制器可以在用户设备具有启用的个性化SIM简档的所有用户的个性化SIM简档之间切换。取决于用户设备或个性化SIM简档(及其相关订阅)的类型，用户设备还可以允许例如紧急呼叫或每个人(即设备的所有用户)访问某些网络服务集。

如果不同的/新的/额外的用户想要使用用户设备，则控制器可以被触发(例如，由应用、用户设备操作系统登录或用于导出用户身份的检测器)以发起不同的/新的/额外的个性化SIM简档的提供和获取，并且在已经提供个性化SIM简档之后启用个性化SIM简档。类似地，控制器还可以触发用于现有用户的用户设备的重新配置(例如以发起新的/经更新的个性化SIM简档的委托，以替换用于用户的旧的启用的个性化SIM简档)。用户设备110还可以具有操作eUICC(嵌入式通用集成电路卡)或操作具有安全存储器和/或安全处理能力的安全元件的存储器设备114，该存储器设备114具有提供SIM简档和凭证的安全存储和/或处理的必要保护机制。存储器设备114可以具有优选地由其制造商在制造期间预提供的活动引导简档(BP)。引导简档可以具有(不可修改的)秘密凭证以安全地连接到订阅管理器130的安全路由实体(SM-SR)132(如例如由SGP.01和SGP.02指定的)，并且可以包含用户设备110的唯一设备身份EID。唯一设备身份EID也可以从秘密凭证中的一个或多个动态地导出。

到安全路由实体的连接可以由不同的网络(即，“登录网络”)提供，该网络由不同的移动网络运营商或网络服务提供商操作，而不是用户想要接入的蜂窝网络，并且需要在用户设备110上提供个性化身份模块简档。安全路由实体可以在登录网络外部运行，例如作为例如由存储器设备114的制造商提供的因特网上的服务，在这种情况下，登录网络在用户设备与外部网络之间提供必要的IP连接，或者安全路由实体可以作为单独的网络功能在登录网络内部运行，或者与例如移动性管理实体(MME)或接入管理功能(AMF)或其他核心网络功能组合。为了允许用户设备连接到SM-SR，SM-SR可以通过检查从用户设备接收的凭证(例如，从作为引导简档的一部分存储的凭证导出)与在登录网络内部或外部运行的默认/引导凭证数据库(例如，在用户设备的用户想要访问的PLMN或NPN的核心网络中)来认证用户设备。SM-SR可以在与用户设备的连接上运行认证协议，并且例如执行挑战/响应机制(例如使用预共享密钥或其他唯一设备认证信息)或安全握手(例如Diffie-Helman)或执行公钥验证(例如通过检查在SM-SR处对于特定用户设备(例如，从用户设备的数据库检索)是否可用的公钥或证书(其也可以包含唯一身份)，并且验证用户设备是否具有对应的私钥)。为了防止用户设备连接到伪SM-SR，用户设备还可以通过利用存储在引导简档中的凭证来检查从SM-SR接收的凭证来执行SM-SR的凭证的认证。

备选地，用户设备初始地被提供有安全地访问可信Wi-Fi网络或其他非3GPP网络的凭证，例如，使用用于与EAP-TLS、EAP-AKA一起使用的证书或其他凭证来安全地连接到AAA服务器以用于认证(例如，使用WPA2 Enterprise)，或者具有凭证以经由例如不可信的Wi-Fi网络安全地连接到访问或归属运营商网络中的演进分组数据网关(ePDG)或非3GPP互通功能(N3IWF)功能，用户设备可以通过该网络连接到订阅管理器。

代替于使用安全路由实体(SM-SR)，可以预先向用户设备提供订阅管理器和/或服务系统和/或身份服务器和/或简档准备实体和/或提供服务器和/或提供中涉及的其他实体的相应网络地址。

可以通过使用引导简档(BP)来下载、安装、启用、停用或删除所述用户设备110中的任何操作简档/个性化身份模块简档(即，具有供用户设备连接到蜂窝网络的身份、安全凭证和策略的简档，相当于SIM卡)，其是SM-SR 132或上文所讨论的任何示例的卡上代表。这样的简档通常可以是eSIM或USIM简档，并且通常在eUICC(例如作为另一ISD-P(主安全域-简档)实例)或另一安全元件(具有安全存储器和/或安全处理能力)内的其自身安全领域中运行，其与引导简档分离。PLMN的简档通常包含国际移动订户身份(IMSI)，以识别设备和凭证以执行EAP-AKA流程并导出其他密钥。在非公共网络或非SIM设备访问PLMN的情况下，简档可以包含一个或多个其他网络特异性标识符、设备标识符(例如全球唯一标识符(GUID))、单点登录标识符(例如Open ID标识符)、预共享密钥、证书、AAA凭证，以便获得对网络的访问。注意，这样的简档不仅可以包含连接到蜂窝网络的必要凭证，而且它可以包含连接到其他网络(诸如Wi-Fi网络)的额外的凭证。此外，其可以包含连接到由第三方服务提供商在由MNO操作的蜂窝核心网络之上操作的网络切片或非公共网络的次要认证凭证，由此，主要认证凭证被用于安全地连接到由MNO操作的蜂窝核心网络，并且次要认证凭证被用于安全地连接到由第三方服务提供商操作的网络切片或非公共网络。主要和次要认证/安全凭证可以在它们自己的分离的安全领域和操作环境中存储和操作，由此，主要和次要认证/安全凭证例如可以存储为eUICC内的分离的简档/ISD-P，或者由此，主要认证/安全凭证被存储在eUICC中并且在eUICC安全操作环境内被处理，但是由此，次要凭证存储在不同的安全存储器(例如软件和/或硬件保护的非易失性存储器区域)或安全存储设备(例如硬盘上的密码保护区域)中，并且由用户设备上的另一处理器(例如通用CPU)操作。用户设备110本身具有不同于eSIM的设备身份EID(例如如由SGP.02中的GSMA指定的EID)和引导/操作简档的身份(例如如由SGP.02中的GSMA指定的ICCID)的物理身份(例如MAC地址)。根据GSMA规范，当用户设备110连接到SM-SR 132时，SM-SR 132通常将仅仅基于设备身份EID来选择并触发用户设备110的SIM简档的下载，因为假设用户设备110仅链接到用户设备110的单个主要用户的单个订阅或链接到单个预付费订阅。此外，除了GSMA规范之外，由用户拥有/操作的多个设备可以链接到单个用户订阅。为了允许代表特定用户下载SIM简档(例如，在设备的首次使用时，或者如果设备可以在多个用户之间共享或将额外的设备链接到同一用户订阅)，需要使用用户身份信息。为了能够与身份服务提供商建立安全连接，除了引导简档之外，身份服务提供商的安全凭证优选地存储在用户设备的eUICC114中其自己的单独安全领域内，例如存储在称为身份提供商简档的单独简档(ISD-P)下。

用户设备110还可以包括用于导出想要使用用户设备110的用户20的用户身份UID的检测器118。例如，检测器118可以包括生物测定传感器(例如指纹扫描器、相机)，其可以感测用户的生物测定并且导出用户特异性身份UID。在可以应用于此处所描述的任何实施例的示例中，UID可以由生物测定传感器导出，诸如指纹扫描器、面部识别装置、虹膜识别。备选地，用户设备的用户的其他身份，诸如但不限于用户名密码组合、唯一秘密PIN码、用户特异性行为模式或可以由用户设备上的功能(或应用)(其可以根据身份服务提供商(ISP)系统的编码和标识规则对该组动作进行编码)识别的任何预商定的唯一动作集(特定密钥序列、解锁模式、手写、音频输入)，也可以代替于或者补充用户的生物测定身份由检测器118获得。备选地，如果用户设备110本身不具有生物测定传感器，则用户设备的用户可以使用另一设备(例如移动电话)上的生物测定传感器来导出用户的用户特异性身份UID，并且经由带外机制(例如NFC)或经由用户设备110与另一设备之间的安全连接(例如蜂窝、Wi-Fi、蓝牙)将其传递到用户设备110以由用户设备110的身份提供商简档加密。在该实施例的意义上，另一设备上的这样的外部生物测定传感器也是用户设备110的检测器118。在图1中，示例性地示出了用户A，用户设备110尚未为其委托分配给该用户A的个性化SIM简档。在备选实施例中，并且其可以独立于所有先前实施例和选项应用和/或可以与所有先前实施例/选项组合，不仅检测器由另一设备操作，而且另一设备提供通信器也安全地连接到订阅管理器和/或服务系统和/或身份提供商，并且在个性化SIM简档的提供/配置流程中帮助用户设备110。在用户已经通过检测器提供了他的身份之后，该另一设备可以安全地连接(使用其自己的凭证或通过使用通过带外信道或两个设备之间的安全连接从用户设备110接收的凭证(例如安全材料或设备身份信息))到订阅管理器，并且类似地从检测器(经由订阅管理器)向服务系统发送导出的用户身份信息，在其之后服务系统可以识别用户并为相应的用户设备生成个性化SIM简档。在由另一设备接收到个性化SIM简档之后，另一设备可以使用带外信道或两个设备之间的安全连接来传送接收到的个性化SIM简档。

此外，用户设备110包括用于与订阅管理器130的SM-SR 132进行数据通信的通信器116。在优选实施例中，数据通信基于蜂窝通信(例如，4G LTE或5G NR)。eUICC 112与SM-SR 132之间的所有数据通信应该基于存储在引导简档BP上的安全凭证来加密。因此，用户设备110的通信器116被配置为加密要发送到SM-SR 132的数据，并且还解密从SM-SR 132接收的数据。

例如，用户设备110，特别地用户设备110的控制器112具有应用，该应用优选地在eUICC 114内的身份提供商简档的安全上下文内运行(例如如全球平台卡规范V 2.1.1中指定的JAVA应用)，其能够从标识符118检索或接收用户特异性身份信息UID。该应用还能够获得eUICC 114的设备身份EID，并且能够加密用户特异性身份UID和设备身份EIID本身或者通过使用分离的加密应用。使用由ISP系统145发布的安全凭证来执行加密，该安全凭证存储在身份提供商简档的安全上下文下。ISP系统145的联系人细节(例如IP地址、URL)也存储在身份提供商简档的安全上下文下。与引导简档协作，加密的用户特异性身份UID和加密的设备身份EID，可能连同ISP系统145的联系人细节一起，应该使用用户设备110与SM-SR 132之间的安全信道(使用引导简档的凭证建立)发送到订阅管理器130的SM-SR 132。为此，用户设备110和SM-SR 132可以使用扩展有一个或多个额外消息或消息属性或额外数据字段的ES5接口(如SGP.01/SGP.02指定的)。备选地，存储在引导简档的安全上下文中的通用加密应用可以被用于基于由公共ISP系统(例如政府机构)发布的公钥来加密用户特异性身份UID，该公钥在由ISP系统145接收时使用公共ISP系统的私钥解密。ISP系统145的联系人细节(例如IP地址、URL)也被发送到SM-SR 132，以将加密的用户特异性身份UID和用户设备110的设备身份EID转发到对应的ISP系统145，这些联系细节连同ISP的公钥一起存储在引导简档的安全上下文下。使用ISP系统145的联系人细节，SM-SR 132在用户设备与ISP之间建立逻辑通信信道(要么直接要么间接)。ISP可以使用该逻辑通信信道来执行认证和/或身份验证协议，诸如EAP-TLS或EAP-AKA。备选地，用户设备可以例如通过扫描QR码或通过NFC来检索订阅管理器和/或ISP系统的联系人细节，并且还可能检索将安全性与订阅管理器或ISP连接的公钥。

ISP系统145属于的身份服务提供商例如可以是移动电话公司、因特网服务提供商、电力提供商、医院等。ISP系统145被配置为基于导出的用户特异性身份UID来识别活动用户120。特别地，ISP系统145能够解密接收到的用户特异性身份UID以识别活动用户120，并且确定活动用户120订阅到的对应网络运营商，并且可选地还能够解密用户设备110的接收的唯一设备身份EID。为此，ISP系统145具有用户身份信息的数据库，并且可能具有可以识别用户的不同方式。如果在接收到的身份信息UID与数据库中包括的用户之间找到匹配，则ISP系统145可以联系另一数据库(可能由网络或其他组织中的另一实体服务)以检索关于活动用户120订阅到的对应MNO的信息。此外，ISP系统145被配置为向所确定的MNO的MNO系统150发送针对具有唯一设备身份EID的用户设备110处的活动用户120请求SIM简档的通知。ISP系统145还可以被进一步配置为作为身份代理进行操作，并运行诸如OpenID、OpenAuth、SAML或其他变型的协议，以将身份相关信息和/或用户认证信息传递给所确定的MNO。

在备选配置中，订阅管理器130的SM-SR 132仅向ISP系统145发送导出的用户身份UID，并且直接向MNO系统150发送设备身份EID。在另一备选配置中，订阅管理器130的SM-SR132将导出的用户身份UID和设备身份EID两者发送到MNO系统150，其继而将导出的用户身份UID发送到IPS系统145。在又一备选配置中，订阅管理130的SM-SR 132将导出的用户身份UID和设备身份EID两者发送到SM-DP 134，其继而将这些身份转发到MNO系统150。

MNO系统150被配置为请求要在用户设备110中使用的所识别的用户120的个性化SIM简档。而且，MNO系统150包括用于存储属于特定用户的活动用户设备的列表的存储器152。特别地，MNO系统150能够将用户设备110自动注册为存储在其存储器152中的活动用户设备的列表中的用户120的额外设备。优选地，MNO系统150还包括接收器154，其用于接收特定用户的用户设备(特别地包括主要用户设备125)的位置信息LOC。优选地，接收器154还能够从特定用户122接收用户消息UM。

订阅管理器130的SM-DP 134被配置为准备个性化SIM简档。SM-DP 134还能够例如通过从MNO系统150接收必要的信息或通过查询中央发现服务器来识别对应于用户设备110的SM-SR132。订阅管理器130的SM-SR 132被配置为加密由SM-DP 134准备的SIM简档，并且将加密的SIM简档发送到用户设备110。备选地，用户设备110和SM-DP 134可能能够使用例如基于作为用户设备中的引导简档的一部分存储的凭证的安全连接直接通过提供网络进行通信。

参考图2，现在将描述由图1的上文所讨论的系统100执行的用于操作具有个性化SIM简档的用户设备的方法200的示例性实施例。

为了更好地理解图2中所图示的方法200的流程图，应注意方法步骤的以下简短解释：

S210导出想要使用用户设备110的用户的用户身份UID；

S212检查在用户设备110中是否启用了分配给用户120的个性化SIM简档；

S214加密用户设备110的导出的用户身份UID和设备身份EID；

S216经由SM 130向服务系统140发送加密数据；

S216a向SM 130发送加密数据；

S216b向服务系统140转发加密数据；

S220识别想要使用用户设备110的用户120；

S222检索关于所识别的用户120订阅到的MNO的信息；

S224向所确定的MNO的MNO系统150发送关于设备身份EID和关于所识别的用户120的信息；

S230验证活动用户120合法使用用户设备110；

S232检索用于用户设备110的用户120的用户特异性设置；

S234请求用于(合法)用户120的个性化SIM简档；

S240为用户120准备个性化SIM简档；

S242向用户设备110发送准备的SIM简档；

S242a请求SM-SR 132将准备的SIM简档转发给用户设备110；

S242b从SM-DP 134下载SIM简档；

S242c加密SIM简档；

S242d向用户设备110发送加密的SIM简档；

S250确保当前用户120是已经为其准备了接收的SIM简档的同一用户；

S260由用户120开始用户设备110的操作。

如果用户120想要使用用户设备110，则方法200开始。在示例性图1中，用户120是用户A，并且用户设备110具有eUICC 114，该eUICC 114还未被委托使用分配给用户A的SIM简档。在第一步S210中，用户设备110的检测器118导出想要使用用户设备110的用户120的用户身份UID。然后，在步骤S212中，用户设备110的控制器112可以检查分配给用户120的个性化SIM简档是否被存储并在用户设备110的eUICC 114中启用。在用户设备的eUICC 114已经被委托使用分配给用户的个性化SIM简档的情况下(步骤S212中的Y)，控制器112允许通过用户120操作用户设备110，并且在步骤S260中，开始由用户120对用户设备110的操作。作为步骤S212的备选方案，控制器可以触发用户设备的重新配置(例如，发起新的/经更新的个性化SIM简档的委托以替换旧的启用的个性化SIM简档)。

在用户设备110的eUICC 114还未被委托使用分配给用户的个性化SIM简档的情况下(步骤S212中的N)，控制器112决定自动下载分配给用户120的个性化SIM简档，并且转到步骤S214。在步骤S214中，用户设备110的通信器116对由检测器118导出的用户身份UID和存储在eUICC 114中的用户设备110的设备身份EID进行加密。然后，在步骤S216中，通信器116经由订阅管理器130向服务系统140发送加密数据。发送步骤S216包括：步骤S216a，其中，用户设备110的通信器116将加密数据发送给订阅管理器130，特别是发送给订阅管理器130的SM-SR 132；以及步骤S216b，其中，订阅管理器130的SM-SR 132将加密数据转发给服务系统140，特别是转发给服务系统140的ISP系统145。特别地，在步骤S216b中，从用户设备110接收到加密的用户特异性身份UID和加密的唯一设备身份EID的SM-SR 132在SM-SR 132与ISP系统145之间建立安全连接，以将加密的身份传送到ISP系统145。在接收到加密的身份时，SM-SR 132取决于ISP系统145的联系人细节(例如IP地址、URL)自动将加密的用户特异性身份UID和设备身份EID转发到要么公共ISP系统要么私有ISP系统。

然后，在步骤S220中，ISP系统145标识想要使用对应于由用户设备110的检测器118导出的用户身份UID的用户设备110的活动用户A。在该上下文中，在从订阅管理器130的SM-SR 132接收到加密的用户特异性身份UID时，ISP系统145解密加密的用户特异性身份UID和用户设备110的加密的唯一设备身份EID。在已经识别用户A之后，在步骤S222中，ISP系统145检索关于所确定的用户A订阅到的网络运营商的信息。然后，在步骤S224中，ISP系统145将关于设备身份EID和关于所识别的用户A的信息发送到所确定的网络运营商的网络运营系统150，特别是发送到所确定的MNO的移动网络运营商(MNO)系统150。

关于方法步骤S216b至S224，备选地，订阅管理器130的SM-SR 132将加密的设备身份EID直接转发给MNO系统150并且将加密的用户身份UID转发给ISP系统145，此后，ISP系统解密接收到的用户身份UID并标识用户A，并且向MNO系统150发送关于所识别的用户A的信息。在另一备选方案中，订阅管理器130的SM-SR 132向MNO系统150转发加密的用户身份UID和加密的设备身份EID，此后，MNO系统150将加密的用户身份UID发送到ISP系统145以用于识别用户A。

优选地，作为额外的安全步骤，在可选步骤S230中，MNO系统150验证所识别的用户A合法使用用户设备110。例如，MNO系统150可以使用带外技术(例如，SMS、通过用户A的不同设备上的MNO拥有的app的屏幕确认、用户A登录时MNO网站中的QR码确认)来检查用户A是否合法使用用户设备110。备选地，用户A可以在用户A的头部设备上使用行为度量(例如3X3网格中的模式解锁、基于位置的标识)以向MNO系统150证明其完整性。此外，MNO系统可以可选地在由ISP系统识别用户时和/或在提供个性化SIM简档时，指示用户设备存储用户标识相关信息，并且在随后的使用时，使用用户设备上的本地身份检查来检查用户是否合法使用该设备并随后启用访问。

如果用户A未合法使用用户设备110(步骤S230中的N)，则方法结束。如果用户A合法使用用户设备110(步骤S230中的Y)，则方法继续。

在另一可选步骤S232中，MNO系统150额外地为用户设备110检索所识别的用户A的用户特异性设置。例如，在从ISP系统145接收到设备身份EID时，MNO系统150可以识别设备类型(例如，药物分配器)，并且从对应的服务提供商(例如诊所、药房)请求用户设备110的用户特异性设置(例如，用户A的每天药物剂量)。另外，在从ISP系统145接收到通知之后，MNO系统150可以将用户设备110自动注册为存储在其存储器152中的用户设备的列表中的用户A的额外的用户设备。

在下一步S234中，MNO系统150请求针对用户A的个性化SIM简档。特别地，MNO系统150请求订阅管理器130的SM-DP 134为特定于用户设备110的用户A准备个性化SIM简档。优选地，MNO系统150将信息安全地发送到SM-DP 134(例如，经由如由在SGP.02中的GSMA指定的ES2接口)。然后，在步骤S240中，SM-DP 134为特定于用户设备110的用户A准备个性化SIM简档，如例如由SGP.01中的RSP架构所指定的。在MNO系统150还在步骤S232中检索到用户特异性设置并且在步骤S234中将该信息连同SIM简档准备请求一起转发到SM-DP 134的情况下，SM-DP 134为用户A准备与用户设备110的用户特异性设置绑定的个性化SIM简档。

然后，在步骤S242中，订阅管理器130将准备的个性化SIM简档安全地发送给用户设备110。在图2所示的实施例中，该步骤S242包括若干子步骤S242a-d。首先，在步骤S242a中，在准备SIM简档之后，SM-DP 134例如通过从MNO系统150接收必要的信息或通过向中央发现服务器查询用户设备的EID来自动识别对应的SM-SR 132，并且例如经由如由SGP.02中的GSMA指定的ES3接口自动请求SM-SR 132将准备的SIM简档转发给用户设备110。然后，在步骤S242b中，SM-SR 132自动从SM-DP 134下载准备的SIM简档，并且在步骤S242中，加密准备的SIM简档。最后，在步骤S242d中，SM-SR 132使用用户设备110与SM-SR 132之间的安全信道设置将加密的SIM简档发送到用户设备110。

在从订阅管理器130接收到个性化SIM简档之后，在步骤S250中，优选地，用户设备110的控制器112确保当前用户仍然是SM-DP 134已经为其准备了接收的SIM简档的用户A，同时没有其他用户120已开始使用该设备。在同一用户A仍然想要使用用户设备110的情况下(步骤S250中的Y)，控制器112允许由用户A操作用户设备110，并且在步骤S260中，开始由用户A对用户设备110进行操作。然而，在想要使用用户设备110的当前用户120不再是SM-DP134已经为其准备了所接收的SIM简档的用户A(步骤S250中的N)的情况下，控制器112阻止通过当前用户120操作用户设备110，并且方法200结束。

现在参考图3，将描述可选地添加到图2的方法200的一些实施例。

为了更好地理解图3的流程图中所图示的选项，应注意方法步骤的以下简短解释：

S310从用户120接收会话结束和解除委托的输入；

S312向SM 130发送会话结束的消息；

S320经由另一用户设备检测用户的位置；

S322提示用户确认会话结束；

S324指示SM 130停用或删除针对用户设备110分配给用户120的SIM简档；

S330检查用户设备110是否由用户120频繁使用；

S340删除针对用户设备110分配给用户120的SIM简档；

S340停用针对用户设备110分配给用户120的SIM简档；

S350检测用户120的主要设备125从与用户设备110的位置不同的位置进行通信；

S352检测到存在另一用户想要使用同一用户设备110；

S354检测用户设备110在用户120的第一次使用之后在预定时间内处于空闲模式；

S356检测到特定用户关于MNO的订阅中存在变化；

S358从特定用户122接收用户消息UM以删除分配给他的所有个性化SIM简档；

S360从特定用户122接收其用户设备之一已被窃取的用户消息UM；

S370检测到特定用户已经识别了他自己以经由其主要用户设备125在用户设备110附近连接到用户设备110；

S372激活针对用户设备110分配给特定用户的停用SIM简档。

在一个实施例中，用户A向用户设备110指示用户A在用户设备110上的当前会话可以结束，或者已经达到会话数目的限制或时间限制，并且用户设备110可以要么直接经由用户设备110的用户接口要么经由用户A的另一设备的用户接口解除委托。在从用户接收到会话结束和解除委托的输入之后(步骤S310中的Y)，在步骤S312中，用户设备110经由安全信道向SM-SR 132发送“会话结束”消息。在接收到这样的“会话结束”消息之后，SM-SR 132将经由用户设备110的引导简档自动停用(S345)或删除(S340)分配给用户的SIM简档。备选地，如果服务系统140，特别是其MNO系统150，经由另一用户设备检测到用户120的位置(步骤S320中的Y)，则在步骤S322中，MNO系统150可以在用户接口上提示用户120确认他想要从用户设备110D注销会话，并且解除委托用户设备110。一旦来自用户120的确认，在步骤S324中，MNO系统150可以向SM-SR 132指示停用或删除为用户设备110分配给用户A的个性化SIM简档。在接收到这样的指示之后，SM-SR132将经由用户设备110引导简档自动停用(S345)或删除(S340)分配给用户的SIM简档。

在该实施例中，优选的是，在步骤S330中，检查用户设备110是否预期在特定时间帧内由用户120多次使用(即，多次会话)。例如，可以查询用户设备110是否将由他频繁使用和/或用户设备是否预期将很快再次使用。在确认由用户120多次使用用户设备110时(步骤S330中的Y)，分配给用户设备110上的用户120的个性化SIM简档将仅被停用(步骤S345)，但是不由SM-SR 132删除，并且如果识别用户再次使用设备，则将再次启用。备选地，服务系统140(特别是其MNO系统150)可以在监测和识别由用户120对用户设备110的连续使用时(例如如果用户设备利用用户特异性身份UID登录三天)，请求SM-SR 132仅停用而不删除分配给用户的个性化SIM简档，并且在识别由用户120对用户设备110的少有使用时(例如如果用户设备110不利用用户特异性身份UID登录三天)，则永久删除分配给用户120的个性化SIM简档。在又一备选方案中，MNO系统150可以随机地向用户查询关于用户设备110的连续使用的身份和确认。在这种情况下，当特定用户不能够向MNO系统150确认分配给特定用户的个性化SIM简档时，MNO系统150可以暂时停用个性化SIM简档。备选地，带外技术(例如SMS)可以被用于指向SM-SR 132的安全URL或由MNO系统150提供的服务器，该服务器可以在特定用户的另一设备的用户接口上呈现包含各种选项(例如停用、删除、激活)的菜单。取决于其他用户设备中的特定用户的选择，SM-SR 132可以自动执行用户设备110上的特定用户的选择。

在另外的实施例中，服务系统140(特别是其MNO系统150)可以使用属于特定用户的用户设备(特别是特定用户的主要设备125)的位置信息LOC、例如存储在MNO系统150的存储器152中的属于特定用户的用户设备的列表和/或从特定用户122A接收的用户消息UM，以自动删除或停用分配给针对用户设备的特定用户的个性化SIM简档。例如，

-如果用户120的主要设备125正从与用户设备110的位置不同的位置主动地与网络通信(步骤S350中的Y)，则可以为用户设备110停用分配给用户120的SIM简档(步骤S345)；

-如果向MNO系统150发送具有针对用户设备110的SIM简档的用户的用户特异性身份UID的新请求，同时存在到具有相同设备身份的设备D的活动网络连接(步骤S352中的Y)，则可以为用户设备110停用分配给用户120的SIM简档(步骤S345)；

-如果用户设备110在预定时间内处于空闲模式(例如，在首次使用之后的3小时)(步骤S354中的Y)，则可以为用户设备110停用分配给用户120的SIM简档(步骤S345)；

-如果存在特定用户关于MNO的订阅的变化(步骤S356中的Y)，则可以为用户设备110自动删除分配给特定用户的SIM简档(步骤S340)；

-如果特定用户已经请求MNO系统150删除分配给他的所有个性化SIM简档(步骤S358中的Y)，则可以为用户设备110自动删除分配给特定用户的SIM简档(步骤S340)；

-如果特定用户已经向MNO系统150报告他的用户设备之一已经被窃取(步骤S360中的Y)，则可以为用户设备110自动删除分配给特定用户的SIM简档(步骤S340)；

-如果特定用户的主要设备125接近用户设备110并且特定用户已经识别其自己要经由主要设备125连接到用户设备D(步骤S370中的Y)，则可以为用户设备110再次自动激活分配给特定用户的停用SIM简档(步骤S372)。

虽然已经在附图和前述描述中详细图示和描述本发明，但是这样的图示和描述将仅被认为是说明性或者示例性而非限制性的。本发明不限于所公开的特定实施例。已经提供了本申请的描述和说明，本领域技术人员可以设想落入权利要求书的范围内的所公开的实施例的变化、修改和备选方面。

在权利要求中，词语“包括”、“具有”和“包含”不排除其他元件或者步骤，并且词语“一”或“一个”不排除多个。在权利要求中，术语“A和B中的至少一个”意指“A和/或B”，并且确实包括“仅A”、“仅B”和“A和A两者”的所有变型。在权利要求中，术语“被配置为执行流程的部件”意指部件本身包括用于执行流程的硬件元件或软件应用，或者部件被耦合到用于执行流程的另一部件。单个处理器或其他单元可以实现权利要求中记载的若干项的功能。尽管在互不相同的从属权利要求中记载了特定措施，但是这并不指示不能有利地使用这些措施的组合。计算机程序可以被存储/被分布在适合的介质商，诸如与其他硬件一起或作为其一部分提供的光学存储介质或固态介质，但是计算机程序也可以以其他形式分布，诸如经由因特网或其他有线或无线电信系统分布。权利要求中的任何附图标记不应当解释为对范围的限制。

Claims (15)

1.一种适于利用个性化身份模块简档进行操作的用户设备，包括：

-控制器(112)，其被配置为针对用户操作所述用户设备，针对所述用户，所分配的个性化身份模块简档在所述用户设备中被启用或能够被启用，

-存储器设备(114)，其用于存储个性化身份模块简档和秘密凭证以安全地连接到订阅管理器，

-检测器(118)，其用于导出所述用户设备的用户(120)的用户身份(UID)，以及

-通信器(116)，其用于基于在所述存储器设备中存储的所述秘密凭证在所述用户设备与订阅管理器之间进行安全数据通信；

其中，所述控制器(112)被布置用于使所述通信器(116)向所述订阅管理器(130)传送所导出的用户身份和针对所述订阅管理器的设备身份，

并且其中，所述通信器(116)适于从所述订阅管理器接收在由服务系统基于所导出的用户身份识别所述用户之后准备的个性化身份模块简档。

2.根据权利要求1所述的用户设备，其中，所述存储器设备(114)包括eUICC，并且所述通信器(116)使用蜂窝网络通信。

3.根据权利要求1所述的用户设备，其中，所述用户设备(110)的所述控制器(112)被配置为向所述订阅管理器发送关于所述用户的当前会话能够结束或已经达到会话数目的限制或时间限制的消息，从而使得停用或删除被分配给该用户的所述个性化身份模块简档。

4.根据权利要求1所述的用户设备，其中，所述控制器(112)被配置为导出关于所述用户设备将在时间帧内由特定用户多次使用的信息，并且如果所述用户设备在时间帧内由所述特定用户多次使用，则临时启用或停用被分配给所述特定用户的所述个性化身份模块简档。

5.根据权利要求1所述的用户设备，其中，所述控制器(112)被布置用于使所述通信器(116)基于触发向所述订阅管理器(130)传送所导出的用户身份和针对订阅的设备身份。

6.一种用于操作具有个性化身份模块简档的用户设备的系统(100)，包括：

-用户设备(110)，其包括：

-控制器(112)，其被配置为针对用户操作所述用户设备，针对所述用户，所分配的个性化身份模块简档在所述用户设备中被启用或能够被启用，

-存储器设备(114)，其用于存储个性化身份模块简档和秘密凭证以安全地连接到订阅管理器，

-检测器(118)，其用于导出所述用户设备的用户(120)的用户身份(UID)，以及

-通信器(116)，其用于基于在所述存储器设备中存储的所述秘密凭证在所述用户设备与订阅管理器之间进行安全数据通信；

-服务系统(140)，其被配置为识别对应于所导出的用户身份的所述用户并且请求针对所述用户设备的个性化身份模块简档；以及

-订阅管理器(130)，其被配置为将所导出的用户身份和从所述用户设备接收的设备身份EID转发到所述服务系统，并且向所述用户设备发送由所述服务系统(140)请求的准备的个性化身份模块简档。

7.根据权利要求6所述的系统，其中，所述订阅管理器(130)包括：路由实体(132)，其被配置为管理与所述用户设备和所述服务系统的安全数据通信；以及简档准备实体(134)，其被配置为准备个性化身份模块简档。

8.根据权利要求6所述的系统，其中，所述服务系统(140)包括：至少一个网络运营商系统(150)，用户订阅到所述至少一个网络运营商系统，并且所述至少一个网络运营商系统被配置为请求所述订阅管理器(130)为所述用户设备准备个性化身份模块简档；以及标识符系统(145)，其被配置为识别对应于所导出的用户身份的活动用户并且将关于所识别的用户的信息发送到所识别的用户订阅到的所述至少一个网络运营商系统中的一个网络运营商系统。

9.根据权利要求6所述的系统，其中，所述用户设备(110)的所述控制器(112)和所述服务系统(140)中的至少一项还被配置为向所述订阅管理器发送关于所述用户的当前会话能够结束或已经达到会话数目的限制或时间限制的消息，并且所述订阅管理器(130)还被配置为使得停用或删除被分配给该用户的所述个性化身份模块简档。

10.根据权利要求6所述的系统，其中，所述用户设备(110)的所述控制器(112)和所述服务系统(140)中的至少一项还被配置为导出关于所述用户设备将在时间帧内由特定用户多次使用的信息，并且所述订阅管理器(130)还被配置为使得如果所述用户设备在时间帧内由所述特定用户多次使用，则临时启用或停用被分配给所述特定用户的所述个性化身份模块简档。

11.根据权利要求6所述的系统，其中，所述服务系统(140)包括：接收器(154)，其用于从特定用户(122)接收属于特定用户的用户设备的位置信息(LOC)或用户消息(UM)；以及存储器(152)，其用于存储属于特定用户的用户设备的列表，并且所述服务系统(140)被配置为根据属于所述特定用户的用户设备的位置信息或从所述特定用户接收的用户消息来请求所述订阅管理器使得停用或删除被分配给所述特定用户的所述个性化身份模块简档或者为用户设备或所有列出的用户设备激活被分配给所述特定用户的停用的个性化身份模块简档。

12.一种用于操作具有个性化身份模块简档的用户设备(110)的方法(200)，包括以下步骤：

-由所述用户设备(110)导出(S210)所述用户设备的用户(120)的用户身份(UID)；

-如果被分配给所述用户设备的所述用户的个性化身份模块简档未在所述用户设备中被启用，则由所述用户设备(110)经由订阅管理器(130)向服务系统(140)发送(S216)所导出的用户身份(UID)和所述用户设备的设备身份(EID)；

-由所述服务系统(140)识别(S220)对应于所导出的用户身份的用户，并且请求(S234)要在所述用户设备中使用的针对所识别的用户的个性化身份模块简档；并且

-由所述订阅管理器(130)为所识别的用户准备(S240)个性化身份模块简档，并且向所述用户设备发送(S242)所准备的个性化SIM简档，

其中，所述用户设备与所述订阅管理器之间的数据通信是基于在所述用户设备中存储的秘密凭证的安全数据通信。

13.根据权利要求12所述的方法，其中，在请求(S234)所述订阅管理器(130)为所识别的用户准备所述个性化身份模块简档之前或在所述用户设备中安装所准备的个性化身份模块简档之前，所述服务系统(140)验证(S230)是否对应于所导出的用户身份的用户合法使用所述用户设备。

14.根据权利要求12所述的方法，其中，所述服务系统(140)还检索(S232)针对所述用户设备的用户特异性设置并且将该信息提供给所述订阅管理器，并且所述订阅管理器(130)准备(S240)与针对所述用户设备的用户特异性设置绑定的所述个性化身份模块简档。

15.根据权利要求12所述的方法，还包括：由所述服务系统(140)根据属于特定用户的用户设备的位置信息或从所述特定用户接收的用户消息来请求所述订阅管理器(130)使得停用(S345)或删除(S340)被分配给所述特定用户的个性化身份模块简档或者为属于所述特定用户的用户设备或所有用户设备激活(S372)被分配给所述特定用户的停用的个性化身份模块简档。

Images