CN116709331A

CN116709331A - 数据包的完整性保护方法及装置、存储介质

Info

Publication number: CN116709331A
Application number: CN202210182295.3A
Authority: CN
Inventors: 酉春华; 娄崇; 刘南南; 赵旸
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2022-02-25
Filing date: 2022-02-25
Publication date: 2023-09-05
Also published as: WO2023160347A1

Abstract

本申请公开了一种数据包的完整性保护方法及装置、存储介质。第一网络设备配置终端对MAC PDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包和第二数据包后，向第一网络设备发送第一数据包、第二数据包和第一指示信息，指示这两个数据包属于同一个MAC PDU，第一网络设备根据第一指示信息对第一数据包进行完整性校验失败时，丢弃上述两个数据包，从而降低了完整性保护的复杂度。

Description

数据包的完整性保护方法及装置、存储介质

技术领域

本申请涉及通信技术领域，尤其涉及一种数据包的完整性保护方法及装置、存储介质。

背景技术

在第五代(5^th generation，5G)移动通信网络中，为了传输的数据包的安全性，支持完整性保护(简称“完保”)功能。然而，对于来自一个无线承载(radio bearer，RB)的数据包，要么对所有数据包都进行完整性保护，在大数据量的场景下，每个数据包都做完整性保护，处理负荷会很大；要么对所有数据包都不做完整性保护，则会有安全风险，无法获知数据包是否被篡改了。

发明内容

本申请提供一种数据包的完整性保护方法及装置、存储介质，以降低完整性保护的复杂度。

第一方面，提供了一种数据包的完整性保护方法，所述方法包括：第一网络设备向终端发送配置信息，所述配置信息用于配置所述终端对媒体接入控制(media accesscontrol，MAC)协议数据单元(protocol data unit，PDU)中的部分数据包进行完整性保护；所述第一网络设备接收来自第二网络设备的第一数据包、第二数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MACPDU；所述第一网络设备根据所述第一指示信息对所述第一数据包进行完整性校验；以及当所述第一数据包的完整性校验失败时，所述第一网络设备丢弃所述第一数据包和所述第二数据包。

在该方面中，由第一网络设备进行完整性校验时，第一网络设备配置终端对MACPDU中的部分数据包进行完整性保护，第一网络设备接收到两个数据包属于同一个MAC PDU的指示，则根据该指示对部分数据包进行完整性校验，且在校验失败时，丢弃上述两个数据包，从而降低了完整性保护的复杂度。

在一种可能的实现中，所述方法还包括：所述第一网络设备向所述第二网络设备发送第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

在该实现中，校验失败时，第一网络设备向第二网络设备指示校验失败，该第二指示信息中包括上述信息，第二网络设备根据上述信息，可以确定第一数据包校验失败，或者该MAC PDU被篡改。

在另一种可能的实现中，所述第一指示信息为所述MAC PDU的标识信息。

在该实现中，第一网络设备通过接收第二网络设备发送的MAC PDU的标识信息，可以确定第一数据包和第二数据包来自同一个MAC PDU。

在又一种可能的实现中，所述方法还包括：所述第一网络设备向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；以及所述第一网络设备接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备不进行所述完整性校验。

在该实现中，第一网络设备通过确认第二网络设备不进行完整性校验，则由第一网络设备自身进行完整性校验。

第二方面，提供了一种数据包的完整性保护方法，所述方法包括：第二网络设备接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；所述第二网络设备向第一网络设备发送所述第一数据包、所述第二数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MACPDU；以及当所述第一网络设备对所述第一数据包的完整性校验失败时，所述第二网络设备接收来自所述第一网络设备的第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

在该方面中，由第一网络设备进行完整性校验时，第二网络设备接收到来自终端的两个数据包时，向第一网络设备发送两个数据包和第一指示信息，该第一指示信息用于指示两个数据包属于同一个MAC PDU，使得第一网络设备可以根据该第一指示信息对部分数据包进行完整性校验，且在校验失败时，丢弃上述两个数据包，从而降低了完整性保护的复杂度。

校验失败时，第二网络设备接收第一网络设备发送的第二指示信息，该第二指示信息指示校验失败，该第二指示信息中包括上述信息，第二网络设备根据上述信息，可以确定第一数据包校验失败，或者该MAC PDU被篡改。

在一种可能的实现中，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，所述方法还包括：所述第二网络设备根据所述第二指示信息，丢弃所述第一数据包。

在该实现中，第二网络设备接收到第二指示信息后，该第二指示信息指示校验失败，则第二网络设备丢弃缓存的第一数据包，以提高缓存空间的利用率。

在该实现中，第二网络设备通过发送MAC PDU的标识信息，可以确定第一数据包和第二数据包来自同一个MAC PDU。

在又一种可能的实现中，所述方法还包括：所述第二网络设备接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MACPDU中的部分数据包的完整性校验；以及所述第二网络设备向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备不进行所述完整性校验。

在又一种可能的实现中，所述方法还包括：所述第二网络设备回退无线链路控制接收窗口，以接收重传的所述第一数据包。

在该实现中，第二网络设备接收到第二指示信息后，确定第一数据包校验失败，或者该MAC PDU被篡改，则回退无线链路控制接收窗口，以接收重传的第一数据包。提高了数据传输的可靠性。

第三方面，提供了一种数据包的完整性保护方法，所述方法包括：第二网络设备接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一数据包和所述第二数据包属于同一个MACPDU；所述第二网络设备对所述第一数据包进行完整性校验；以及当所述第一数据包的完整性校验失败时，所述第二网络设备丢弃所述第一数据包和所述第二数据包。

在该方面中，第二网络设备接收到来自终端的第一数据包和第二数据包后，由第二网络设备对第一数据包进行完整性校验，当完整性校验失败时，第二网络设备丢弃上述两个数据包，从而降低了完整性保护的复杂度。

在一种可能的实现中，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，当所述第一数据包的完整性校验成功时，所述方法还包括：所述第二网络设备对所述第二数据包进行处理，得到第三数据包；以及所述第二网络设备向第一网络设备发送所述第三数据包。

在该实现中，当第二网络设备对MAC PDU中的部分数据包校验成功后，则可对其它发送给第一网络设备的数据包进行处理，并将处理后的数据包发送给第一网络设备，无需第一网络设备再进行校验，提高了校验效率，降低了完整性保护的复杂度。

在另一种可能的实现中，所述方法还包括：所述第二网络设备接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MACPDU中的部分数据包的完整性校验；以及所述第二网络设备向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备进行所述完整性校验。

在该实现中，第二网络设备通过确认由其进行完整性校验，则第一网络设备无需进行完整性校验，提高了完整性校验过程的准确性和效率。

第四方面，提供了一种数据包的完整性保护方法，所述方法包括：终端接收来自第一网络设备的配置信息，所述配置信息用于配置所述终端对MACPDU中的终结的网络设备是所述第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护；以及所述终端向所述第二网络设备发送第一数据包、第二数据包，第三数据包和/或第四数据包，其中，所述第一数据包、所述第二数据包是被完整性保护的，所述第三数据包、所述第四数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第二数据包、第四数据包的终结的网络设备是所述第二网络设备。

在该方面中，终端接收第一网络设备的配置，对MAC PDU中的终结的网络设备是第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护，降低了完整性保护的复杂度，提高了完整性校验的效率。

第五方面，提供了一种数据包的完整性保护方法，所述方法包括：第一网络设备向终端发送配置信息，所述配置信息用于配置所述终端对MACPDU中的终结的网络设备是所述第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护；所述第一网络设备接收来自所述第二网络设备的第一数据包、第三数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第三数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第一指示信息用于指示所述第一数据包和所述第三数据包属于同一个MACPDU；所述第一网络设备根据所述第一指示信息对所述第一数据包进行完整性校验；以及当所述第一数据包的完整性校验失败时，所述第一网络设备丢弃所述第一数据包和所述第三数据包。

在该方面中，第一网络设备配置终端对MAC PDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包、第二数据包，第三数据包和/或第四数据包后，由第一网络设备对终结的网络设备是其自身的第一数据包进行完整性校验，当完整性校验失败时，第一网络设备丢弃第一数据包和第三数据包；由第二网络设备对终结的网络设备是其自身的第二数据包进行完整性校验，当完整性校验失败时，第二网络设备丢弃第二数据包和第四数据包，从而降低了完整性保护的复杂度。

在一种可能的实现中，所述第一指示信息为所述MAC PDU的标识信息。

在另一种可能的实现中，所述方法还包括：所述第一网络设备向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验；以及所述第一网络设备接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验。

在该实现中，第二网络设备和第一网络设备通过交互，确认各自分别进行完整性校验，提高了完整性校验过程的准确性和效率。

第六方面，提供了一种数据包的完整性保护方法，所述方法包括：第二网络设备接收来自终端的第一数据包、第二数据包，第三数据包和/或第四数据包，其中，所述第一数据包、所述第二数据包是被完整性保护的，所述第三数据包、所述第四数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第二数据包、第四数据包的终结的网络设备是所述第二网络设备；所述第二网络设备向所述第一网络设备发送所述第一数据包、所述第三数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第三数据包属于同一个MACPDU；所述第二网络设备对所述第二数据包进行完整性校验；以及当所述第二数据包的完整性校验失败时，所述第二网络设备丢弃所述第二数据包和所述第四数据包。

在该实现中，第二网络设备通过向第一网络设备发送MAC PDU的标识信息，以指示第一数据包和第二数据包来自同一个MAC PDU。

在另一种可能的实现中，所述方法还包括：所述第二网络设备接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验；以及所述第二网络设备向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于确认所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验。

第七方面，提供了一种数据包的完整性保护方法，所述方法包括：第一网络设备向第二网络设备发送辅助信息，所述辅助信息包括期望的MACPDU中的完整性保护的数据包的第一占比信息；所述第一网络设备接收来自所述第二网络设备的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；以及所述第一网络设备向终端发送MAC PDU，所述MAC PDU包括所述第一数据包和所述第二数据包。

在该方面中，第一网络设备通过向第二网络设备发送期望的MAC PDU中的完整性保护的数据包的第一占比信息，使得第二网络设备根据该第一占比信息确定部分完整性保护的数据包的数量，从而可以实现更加有效的部分完保。

第八方面，提供了一种数据包的完整性保护方法，所述方法包括：第二网络设备接收来自第一网络设备的辅助信息，所述辅助信息包括期望的MACPDU中的完整性保护的数据包的第一占比信息；所述第二网络设备根据所述第一占比信息，确定第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；以及所述第二网络设备向所述第一网络设备发送所述第一数据包和所述第二数据包。

在该方面中，第二网络设备通过接收第一网络设备发送的期望的MAC PDU中的完整性保护的数据包的第一占比信息，第二网络设备根据该第一占比信息确定部分完整性保护的数据包的数量，从而可以实现更加有效的部分完保。

在一种可能的实现中，所述方法还包括：所述第二网络设备确定期望的MACPDU中的完整性保护的数据包的第二占比信息；以及所述第二网络设备根据所述第二占比信息，向所述终端发送第二MAC PDU，所述第二MAC PDU包括至少一个第三数据包和至少一个第四数据包，其中，所述至少一个第三数据包是被完整性保护的，所述至少一个第四数据包是未被完整性保护的。

在该实现中，第二网络设备确定其自身与终端通信的链路上发送的MAC PDU中的完整性保护的数据包的第二占比信息，并根据该第二占比信息，确定部分完整性保护的数据包的数量，提高了完整性保护的效率，降低了完整性保护的复杂度。

第九方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第一方面中的方法。例如所述数据包的完整性保护装置可以芯片或者第一网络设备。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现方式中，所述装置包括：收发单元和处理单元；其中，所述收发单元用于向终端发送配置信息，所述配置信息用于配置所述终端对MACPDU中的部分数据包进行完整性保护；所述收发单元，还用于接收来自第二网络设备的第一数据包、第二数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MACPDU；所述处理单元，用于根据所述第一指示信息对所述第一数据包进行完整性校验；以及所述处理单元，还用于当所述第一数据包的完整性校验失败时，丢弃所述第一数据包和所述第二数据包。

可选地，所述收发单元，还用于向所述第二网络设备发送第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元，还用于向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；以及所述收发单元，还用于接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备不进行所述完整性校验。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第一方面及其各种可能的实现中的方法。

第十方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第二方面中的方法。例如所述数据包的完整性保护装置可以芯片或者第二网络设备。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现中，所述装置包括：收发单元和处理单元；其中，所述收发单元，用于接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；所述收发单元，还用于向第一网络设备发送所述第一数据包、所述第二数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MACPDU；以及所述收发单元，还用于当所述第一网络设备对所述第一数据包的完整性校验失败时，接收来自所述第一网络设备的第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

可选地，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，所述处理单元，用于根据所述第二指示信息，丢弃所述第一数据包。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元，还用于接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；以及所述收发单元，还用于向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备不进行所述完整性校验。

可选地，所述处理单元，还用于回退无线链路控制接收窗口，以接收重传的所述第一数据包。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第二方面及其各种可能的实现中的方法。

第十一方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第三方面中的方法。例如所述数据包的完整性保护装置可以芯片或者第二网络设备。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现方式中，所述装置包括：收发单元和处理单元；其中，所述收发单元，用于接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一数据包和所述第二数据包属于同一个MACPDU；所述处理单元，用于对所述第一数据包进行完整性校验；以及所述处理单元，还用于当所述第一数据包的完整性校验失败时，丢弃所述第一数据包和所述第二数据包。

可选地，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，所述处理单元，还用于当所述第一数据包的完整性校验成功时，对所述第二数据包进行处理，得到第三数据包；以及所述收发单元，还用于向第一网络设备发送所述第三数据包。

可选地，所述收发单元，还用于接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；以及所述收发单元，还用于向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备进行所述完整性校验。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第三方面及其各种可能的实现中的方法。

第十二方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第四方面中的方法。例如所述数据包的完整性保护装置可以芯片或者终端。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现中，所述装置包括：收发单元；其中，所述收发单元，用于接收来自第一网络设备的配置信息，所述配置信息用于配置所述终端对MACPDU中的终结的网络设备是所述第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护；以及所述收发单元，还用于向所述第二网络设备发送第一数据包、第二数据包，第三数据包和/或第四数据包，其中，所述第一数据包、所述第二数据包是被完整性保护的，所述第三数据包、所述第四数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第二数据包、第四数据包的终结的网络设备是所述第二网络设备。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第四方面及其各种可能的实现中的方法。

第十三方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第五方面中的方法。例如所述数据包的完整性保护装置可以芯片或者第一网络设备。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现方式中，所述装置包括：收发单元和处理单元；其中，所述收发单元，用于向终端发送配置信息，所述配置信息用于配置所述终端对MACPDU中的终结的网络设备是所述第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护；所述收发单元，还用于接收来自所述第二网络设备的第一数据包、第三数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第三数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第一指示信息用于指示所述第一数据包和所述第三数据包属于同一个MACPDU；所述处理单元，用于根据所述第一指示信息对所述第一数据包进行完整性校验；以及所述处理单元，还用于当所述第一数据包的完整性校验失败时，丢弃所述第一数据包和所述第三数据包。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元，还用于向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验；以及所述收发单元，还用于接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第五方面及其各种可能的实现中的方法。

第十四方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第六方面中的方法。例如所述数据包的完整性保护装置可以芯片或者第二网络设备。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现中，所述装置包括：收发单元和处理单元；其中，所述收发单元，用于接收来自终端的第一数据包、第二数据包，第三数据包和/或第四数据包，其中，所述第一数据包、所述第二数据包是被完整性保护的，所述第三数据包、所述第四数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第二数据包、第四数据包的终结的网络设备是所述第二网络设备；所述收发单元，还用于向所述第一网络设备发送所述第一数据包、所述第三数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第三数据包属于同一个MACPDU；所述处理单元，用于对所述第二数据包进行完整性校验；以及所述处理单元，还用于当所述第二数据包的完整性校验失败时，丢弃所述第二数据包和所述第四数据包。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元，还用于接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验；以及所述收发单元，还用于向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于确认所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第六方面及其各种可能的实现中的方法。

第十五方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第七方面中的方法。例如所述数据包的完整性保护装置可以芯片或者第一网络设备。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现方式中，所述装置包括：收发单元；其中，所述收发单元，用于向第二网络设备发送辅助信息，所述辅助信息包括期望的MACPDU中的完整性保护的数据包的第一占比信息；所述收发单元，还用于接收来自所述第二网络设备的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；以及所述收发单元，还用于向终端发送MAC PDU，所述MAC PDU包括所述第一数据包和所述第二数据包。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第七方面及其各种可能的实现中的方法。

第十六方面，提供了一种数据包的完整性保护装置。所述数据包的完整性保护装置可以实现上述第八方面中的方法。例如所述数据包的完整性保护装置可以芯片或者第二网络设备。可以通过软件、硬件、者通过硬件执行相应的软件实现上述方法。

在一种可能的实现中，所述装置包括：收发单元和处理单元；其中，所述收发单元，用于接收来自第一网络设备的辅助信息，所述辅助信息包括期望的MACPDU中的完整性保护的数据包的第一占比信息；所述处理单元，用于根据所述第一占比信息，确定第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；以及所述收发单元，还用于向所述第一网络设备发送所述第一数据包和所述第二数据包。

可选地，所述处理单元，还用于确定期望的MACPDU中的完整性保护的数据包的第二占比信息；以及所述处理单元，还用于根据所述第二占比信息，向所述终端发送第二MACPDU，所述第二MAC PDU包括至少一个第三数据包和至少一个第四数据包，其中，所述至少一个第三数据包是被完整性保护的，所述至少一个第四数据包是未被完整性保护的。

在另一种可能的实现方式中，该数据包的完整性保护装置用于执行上述第八方面及其各种可能的实现中的方法。

在又一种可能的实现方式中，上述第九方面至第十六方面中的数据包的完整性保护装置包括与存储器耦合的处理器；所述处理器被配置为支持所述装置执行上述数据包的完整性保护方法中相应的功能。存储器用于与处理器耦合，其保存所述装置必要的计算机程序(或计算机可执行指令)和/或数据。可选的，所述数据包的完整性保护装置还可以包括通信接口用于支持所述装置与其他网元之间的通信，例如数据和/或信号的发送或接收。示例性的，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口。可选的，该存储器可以位于该数据包的完整性保护装置内部，和处理器集成在一起；也可以位于该数据包的完整性保护装置外部。

在又一种可能的实现方式中，上述第九方面至第十六方面中的数据包的完整性保护装置包括处理器和收发装置，所述处理器与所述收发装置耦合，所述处理器用于执行计算机程序或指令，以控制所述收发装置进行信息的接收和发送；当所述处理器执行所述计算机程序或指令时，所述处理器还用于通过逻辑电路或执行代码指令实现上述方法。其中，所述收发装置可以为收发器、收发电路或输入输出接口，用于接收来自所述数据包的完整性保护装置之外的其它数据包的完整性保护装置的信号并传输至所述处理器或将来自所述处理器的信号发送给所述数据包的完整性保护装置之外的其它数据包的完整性保护装置。当所述数据包的完整性保护装置为芯片时，所述收发装置为收发电路或输入输出接口。

当上述第九方面至第十六方面中的数据包的完整性保护装置为芯片时，发送单元可以是输出单元，比如输出电路或者通信接口；接收单元可以是输入单元，比如输入电路或者通信接口。当所述数据包的完整性保护装置为终端时，发送单元可以是发射器或发射机；接收单元可以是接收器或接收机。

第十七方面，提供了一种通信系统，所述通信系统包括如第九方面、第十方面所述的数据包的完整性保护装置、或者包括如第十一方面所述的数据包的完整性保护装置、或者包括如第十二方面至第十四方面所述的数据包的完整性保护装置、或者包括如第十五方面至第十六方面所述的数据包的完整性保护装置。

第十八方面，提供了一种计算机可读存储介质，其上存储有计算机程序或指令，该程序或指令被处理器执行时，如第一方面至第八方面中的任一方面所述的方法被执行。

第十九方面，提供了一种计算机程序产品，当其在计算设备上执行时，使得如第一方面至第八方面中的任一方面所述的方法被执行。

附图说明

图1为发送方和接收方进行完整性保护的示意图；

图2为本申请实施例具体示例的一种5G通信系统的示意图；

图3为本申请涉及的一种通信系统的示意图；

图4为本申请提供的一种CU/DU分离的架构示意图；

图5为本申请提供的一种NR-DC与EN-DC的结构示意图；

图6为本申请实施例提供的一种数据包的完整性保护方法的流程示意图；

图7为本申请实施例提供的另一种数据包的完整性保护方法的流程示意图；

图8为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图9为图8所示实施例中的MAC PDU的格式示意图；

图10为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图11为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图12为图11所示实施例中MAC PDU的格式示意图；

图13为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图14为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图15为图14所示实施例中MAC PDU的格式示意图；

图16为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图17为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图18为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图；

图19为本申请实施例提供的一种数据包的完整性保护装置的结构示意图；

图20为本申请实施例提供的另一种数据包的完整性保护装置的结构示意图。

具体实施方式

下面结合本申请实施例中的附图对本申请实施例进行描述。

首先介绍一下完整性保护的概念。

完整性保护的目的是通过阻止威胁或探测威胁，保护可能遭到不同方式危害的数据的完整性和数据相关属性的完整性。许多开放系统应用都有依赖于数据完整性的安全需求。

完整性包含的目标是保护数据免受未授权的修改，包括数据的未授权创建和删除。可以通过如下行为，完成完整性保护：

(1)屏蔽，从数据生成受完整性保护的数据。

(2)证实，对受完整性保护的数据进行检查，以检测完整性故障。

(3)去屏蔽，从受完整性保护的数据中重新生成数据。

3GPP在5G网络中，为了数据的安全性，支持完整性保护功能。具体地，如图1所示的发送方和接收方进行完整性保护的示意图，发送方采用规律变化的输入参数与传送的数据通过一定规则的运算，得到一个完整性校验码(message authentication code forintegrity，MAC-I)。其中，完整性保护算法的输入参数包括完整性保护密钥(KEY)、分组数据汇聚协议(packet data convergence protocol，PDCP)包计数(COUNT)、承载标识(BEARERID)、传输方向(DIRECTION)以及消息(MESSAGE)本身。发送方根据这些输入参数，使用完整性保护算法NIA，计算一个32位(以128bit算法为例)的MAC-I。

其中，上述输入参数的含义说明如下表1所示：

表1

发送方在数据包的后面添加该MAC-I。

接收方采用同样参数，并使用相同规则计算得到一个期望的完整性校验码(expected message authentication code for integrity，XMAC-I)，并对MAC-I和XMAC-I进行比较，以确定数据接收是否完整。如果MAC-I和XMAC-I相同，说明数据是完整的。从而达到对数据完整性进行保护的目的。

然而，在新一代无线通信网络中，对于来自一个RB的数据包，要么对所有数据包都进行完整性保护，在大数据量的场景下，每个数据包都做完整性保护，处理负荷会很大；要么对所有数据包都不做完整性保护，则会有安全风险，无法获知数据包是否被篡改了。

本申请提供一种数据包的完整性保护方案，第一网络设备配置终端对MAC PDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包和第二数据包后，向第一网络设备发送第一数据包、第二数据包和第一指示信息，指示这两个数据包属于同一个MAC PDU，第一网络设备根据第一指示信息对第一数据包进行完整性校验失败时，丢弃上述两个数据包，从而降低了完整性保护的复杂度。

本申请实施例的技术方案可以应用于各种通信系统，例如：全球移动通讯(globalsystem of mobile communication，GSM)系统、码分多址(code division multipleaccess，CDMA)系统、宽带码分多址(wideband code division multiple access，WCDMA)系统、通用分组无线业务(general packet radio service，GPRS)、长期演进(long termevolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time division duplex，TDD)、通用移动通信系统(universal mobiletelecommunication system，UMTS)、全球互联微波接入(worldwide interoperabilityfor microwave sccess，WiMAX)通信系统、未来的第五代(5th generation，5G)系统或新无线(new radio，NR)等。

如图2所示，为本申请实施例具体示例的一种5G通信系统的示意图。该通信系统包括终端(图中未示出)、无线接入网(radio access network，RAN)节点和5G核心网(5^thgeneration core，5GC)。其中，RAN节点包括gNB或ng-eNB，对于gNB，它提供NR用户面和控制面协议的终结点，对于ng-eNB，它提供E-UTRAN用户面和控制面协议栈的终结点。

gNB与gNB，gNB与ng-eNB，ng-eNB与ng-eNB之间通过Xn接口进行连接。

gNB和ng-eNB，它们与5GC通过NG接口进行连接，具体的，与接入移动管理功能(access and mobility manage fuction，AMF)通过NG-C接口进行连接，与用户面功能(user plane function，UPF)通过NR-U接口进行连接。

图3给出了本申请涉及的一种通信系统的示意图。该通信系统1000包括终端101、第一网络设备102和第二网络设备103。终端101、第一网络设备102和第二网络设备103之间可以相互通信。

在一个实现中，在集中单元(centralized unit，CU)/分布式单元(distributedunit，DU)分离的场景中，上述第一网络设备102可以是gNB CU，上述第二网络设备103可以是gNB DU。

具体地，传统的基带处理单元(base band unit，BBU)采用CU/DU合一部署。如图4所示的CU/DU分离的架构示意图，5G基站支持CU/DU分离部署，gNB CU(非实时部分)可集中部署在通用服务器上，gNB DU(实时部分)部署在BBU专用硬件上。具体地，CU/DU分离是指，把BBU里面的非实时部分(分组数据汇聚协议(packet data convergence protocol，PDCP)/无线资源控制(radio resource control，RRC))分离出来作为gNB CU单元，gNB CU单元可以进行云化部署，但实时部分(物理层(physical layer，PHY)/媒体接入控制(mediaaccess control，MAC)/无线链路控制(radio link control，RLC)层)仍然需要专用芯片处理，通用X86芯片目前无法高效处理实时部分，专用芯片能效比是通用芯片10倍以上。

在另一个实现中，在NR双连接场景下，上述第一网络设备102可以是主站(mastergNodeB，MN)，上述第二网络设备103可以是辅站(secondary gNodeB，SN)。NR双连接即所谓的NR-DC。如图5所示的NR-DC与EN-DC的结构示意图，NR-DC是与EN-DC(NSA)接近的一种组网类型，只不过终端连接的两个接入网设备都为5G接入网设备。双连接(dual connection，DC)场景下，主站和辅站间数据通过XN分流，因此在主辅站都需要申请Xn分流承载(Xn GTP-U)。NSA场景下，分流承载建立流程如下：1、MN首先向平台申请通用分组无线服务(generalpacket radio service，GPRS)隧道协议用户平面(GPRS tunneling protocol userplane，GTPU)(发送ALLOC消息)，由于MN此时还不知晓SN地址，因此GTPU未激活；2、MN侧申请GTPU成功后，携带本端地址到SN侧，SN得到MN地址后，向平台申请GTPU并完成GTPU激活。

其中，终端101是一种具有无线收发功能的设备，可以部署在陆地上，包括室内或室外、手持、穿戴或车载；也可以部署在水面上，如轮船上等；还可以部署在空中，如飞机、气球和卫星上等。终端可以是手机(mobile phone)、平板电脑(pad)、带无线收发功能的电脑、虚拟现实(virtual reality，VR)终端、增强现实(augmented reality，AR)终端、工业控制(industrial control)中的无线终端、无人驾驶(self-driving)中的无线终端、远程医疗(remote medical)中的无线终端、智能电网(smart grid)中的无线终端、运输安全(transportation safety)中的无线终端、智慧城市(smart city)中的无线终端、智慧家庭(smart home)中的无线终端等等。本申请的实施例对应用场景不做限定。终端有时也可以称为用户设备(user equipment，UE)、接入终端、UE单元、移动站、移动台、远方站、远程终端、移动设备、终端(terminal)、无线通信设备、UE代理或UE装置等。

第一网络设备102/第二网络设备103可以是基站(base station)、演进型基站(evolved NodeB，eNodeB)、发送接收点(transmission reception point，TRP)、第五代(5th generation，5G)移动通信系统中的下一代基站(next generation NodeB，gNB)、第六代(6th generation，6G)移动通信系统中的下一代基站、未来移动通信系统中的基站或WiFi系统中的接入节点等；也可以是完成基站部分功能的模块或单元，例如，可以是集中式单元(central unit，CU)，也可以是分布式单元(distributed unit，DU)。第一网络设备102/第二网络设备103可以是宏基站，也可以是微基站或室内站，还可以是中继节点或施主节点等。本申请的实施例对第一网络设备102/第二网络设备103所采用的具体技术和具体设备形态不做限定。为了便于描述，下文以基站作为第一网络设备102/第二网络设备103的例子进行描述。

在本申请的实施例中，第一网络设备102/第二网络设备103的功能也可以由第一网络设备102/第二网络设备103中的模块(如芯片)来执行，也可以由包含有第一网络设备102/第二网络设备103功能的控制子系统来执行。这里的包含有第一网络设备102/第二网络设备103功能的控制子系统可以是智能电网、工业控制、智能交通、智慧城市等上述应用场景中的控制中心。终端101的功能也可以由终端101中的模块(如芯片或调制解调器)来执行，也可以由包含有终端101功能的装置来执行。

在本申请中，第一网络设备102/第二网络设备103向终端101发送下行信号或下行信息，下行信息承载在下行信道上；终端101向第一网络设备102/第二网络设备103发送上行信号或上行信息，上行信息承载在上行信道上。终端101为了与第一网络设备102/第二网络设备103进行通信，需要与第一网络设备102/第二网络设备103控制的小区建立无线连接。与终端101建立了无线连接的小区称为该终端101的服务小区。当终端101与该服务小区进行通信的时候，还会受到来自邻区的信号的干扰。

第一网络设备102/第二网络设备103与终端101可以是固定位置的，也可以是可移动的。第一网络设备102/第二网络设备103与终端101可以部署在陆地上，包括室内或室外、手持或车载；也可以部署在水面上；还可以部署在空中的飞机、气球和人造卫星上。本申请的实施例对第一网络设备102/第二网络设备103与终端101的应用场景不做限定。

如图6所示，为本申请实施例提供的一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S601.第一网络设备向终端发送配置信息。该配置信息用于配置终端对MAC PDU中的部分数据包进行完整性保护。

该配置信息用于配置终端对MAC PDU中的部分PDCP PDU进行完整性保护。该MACPDU可以包括一个或多个MAC业务数据单元(service data unit，SDU)。每个MAC SDU封装有一个MAC PDU。gNB CU可以配置终端对待发送的MAC PDU中的部分PDCP PDU进行完整性保护，而对MAC PDU中的其余PDCP PDU不进行完整性保护。这样可以降低完整性保护的负荷。

可选地，该方法还可以进一步地包括以下步骤：

第一网络设备向第二网络设备发送完整性校验请求(subset based integrityverification request)。该请求用于请求第二网络设备进行MAC PDU中的部分数据包的完整性校验。

第二网络设备接收到上述请求后，向第一网络设备发送完整性校验响应(subsetbased integrity verification response)。该响应用于确认第二网络设备不进行完整性校验。

相应地，MN接收该响应，并且MN确认由自身进行MAC PDU中的部分数据包的完整性校验。

S602.终端向第二网络设备发送MAC PDU。其中，该MAC PDU包括第一数据包和第二数据包，第一数据包是被完整性保护的(UPIPed PDCP PDU)，第二数据包是未被完整性保护(non-UPIPed PDCP PDU)的。

相应地，第二网络设备接收来自终端的MAC PDU。

终端向第二网络设备发送MAC PDU，该MAC PDU中包括第一MAC SDU和第二MACSDU。其中，第一MAC SDU中包括第一PDCP PDU，第一PDCP PDU是有完整性保护的，即该第一PDCP PDU中包括MAC-I；第二MAC SDU中包括第二PDCP PDU，第二PDCP PDU是没有完整性保护的，第二PDCP PDU中不包括MAC-I。

其中，第一PDCP PDU和第二PDCP PDU可以是来自不同的无线承载(radio bearer，RB)，也可以来自相同的RB。

S603.第二网络设备向第一网络设备发送第一数据包、第二数据包和第一指示信息。该第一指示信息用于指示第一数据包和第二数据包属于同一个MAC PDU。

相应地，第一网络设备接收来自第二网络设备的第一数据包、第二数据包和第一指示信息。

第二网络设备接收到上述MAC PDU后，解析该MAC PDU，得到第一PDCP PDU和第二PDCP PDU，并给该MAC PDU分配MAC SN。

不同的MAC PDU对应不同的MAC SN。gNB DU为不同的MAC PDU各自分配MAC SN。

第二网络设备向第一网络设备发送第一数据包、第二数据包和第一指示信息。该第一指示信息用于指示第一数据包和第二数据包属于同一个MAC PDU。该第一指示信息可以为MAC PDU的标识信息。示例性地，该第一指示信息可以是MAC SN。第二网络设备在向第一网络设备发送第一PDCP PDU和第二PDCP PDU的时候，同时发送第一PDCP PDU和第二PDCPPDU的MAC SN。如果这两个PDCP PDU的MAC SN号相同，那么第一PDCP PDU和第二PDCP PDU是来自相同的MAC PDU。

可选地，若上述第二数据包是发送给第二网络设备的，则第二网络设备还可以缓存该第二数据包。

S604.第一网络设备根据第一指示信息对第一数据包进行完整性校验。

第一网络设备接收到第一PDCP PDU、第二PDCP PDU和第一指示信息后，根据第一指示信息，对第一PDCP PDU进行完整性校验。

S605.当所述第一数据包的完整性校验失败时，第一网络设备丢弃第一数据包和第二数据包。

如果完整性校验失败，说明对应的MAC PDU都可能被篡改，gNB CU根据第一指示信息，丢弃来自相同的MAC PDU的PDCP PDU，那么丢弃第一PDCP PDU和第二PDCP PDU。

进一步地，还可以包括以下步骤(图中以虚线表示)：

S606.第一网络设备向第二网络设备发送第二指示信息。该第二指示信息包括以下至少一个信息：第一数据包的标识信息、第一数据包和第二数据包所属的MAC PDU的标识信息。

相应地，第二网络设备接收来自第一网络设备的第二指示信息。

示例性地，如果完整性校验失败，第一网络设备向第二网络设备发送第一PDCPPDU的标识信息，例如，第一PDCP PDU的标识信息，和/或第一PDCP PDU和第二PDCP PDU所属的MAC PDU的MAC SN。

第二网络设备接收到该第二指示信息，可以进行进一步的处理。

根据本申请实施例提供的一种数据包的完整性保护方法，第一网络设备配置终端对MAC PDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包和第二数据包后，向第一网络设备发送第一数据包、第二数据包和第一指示信息，指示这两个数据包属于同一个MAC PDU，第一网络设备根据第一指示信息对第一数据包进行完整性校验失败时，丢弃上述两个数据包，从而降低了完整性保护的复杂度。

下面以CU/DU分离架构为例对图6所示的实施例进行进一步详细地描述。则在该示例中，上述第一网络设备为gNB CU，上述第二网络设备为gNB DU。

如图7所示，为本申请实施例提供的另一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S701.gNB CU向终端发送配置信息。

示例性地，gNB CU通过gNB DU向终端发送配置信息。该配置信息用于配置终端对MAC PDU中的部分PDCP PDU进行完整性保护。该MAC PDU可以包括一个或多个MACSDU。每个MAC SDU封装有一个MAC PDU。gNB CU可以配置终端对待发送的MAC PDU中的部分PDCP PDU进行完整性保护，而对MAC PDU中的其余PDCP PDU不进行完整性保护。这样可以降低完整性保护的负荷。

S702.终端向gNB DU发送MAC PDU。

相应地，gNB DU接收来自终端的MAC PDU。

示例性地，终端向gNB DU发送MAC PDU，该MAC PDU中包括第一MAC SDU和第二MACSDU。其中，第一MAC SDU中包括第一PDCP PDU，第一PDCP PDU是有完整性保护的，即该第一PDCP PDU中包括MAC-I；第二MAC SDU中包括第二PDCP PDU，第二PDCP PDU是没有完整性保护的，第二PDCP PDU中不包括MAC-I。

其中，第一PDCP PDU和第二PDCP PDU可以是来自不同的RB，也可以来自相同的RB。

S703.gNB DU解析该MAC PDU，得到第一PDCP PDU和第二PDCP PDU，并给该MAC PDU分配MAC SN。

S704.gNB DU向gNB CU发送第一PDCP PDU、第二PDCP PDU和第一指示信息。该第一指示信息用于指示第一PDCP PDU和第二PDCP PDU属于/来自同一个MAC PDU。

相应地，gNB CU接收来自gNB DU的第一PDCP PDU、第二PDCP PDU和第一指示信息。

该第一指示信息为MAC PDU的标识信息。示例性地，该第一指示信息可以是MACSN。gNB DU在向gNB CU发送第一PDCP PDU和第二PDCP PDU的时候，同时发送第一PDCP PDU和第二PDCP PDU的MAC SN。如果这两个PDCP PDU的MAC SN号相同，那么第一PDCP PDU和第二PDCP PDU是来自相同的MAC PDU。

S705.gNB CU根据第一指示信息对第一PDCP PDU进行完整性校验。当所述第一PDCP PDU的完整性校验失败时，gNB CU丢弃第一PDCP PDU和第二PDCP PDU。

gNB CU接收到第一PDCP PDU、第二PDCP PDU和第一指示信息后，根据第一指示信息，对第一PDCP PDU进行完整性校验。

如果完整性校验成功，gNB CU对第一PDCP PDU和第二PDCP PDU进行处理，包括解密、按序递交等处理。

S706.gNB CU向gNB DU发送第二指示信息。该第二指示信息包括以下至少一个信息：第一PDCP PDU的标识信息、第一PDCP PDU和第二PDCP PDU所属的MAC PDU的标识信息。

相应地，gNB DU接收来自gNB CU的第二指示信息。

示例性地，如果完整性校验失败，gNB CU向gNB DU发送第一PDCP PDU的标识信息，例如，第一PDCP PDU的标识信息，和/或第一PDCP PDU和第二PDCP PDU所属的MAC PDU的MACSN。

S707.gNB DU在接收到该第二指示信息，从而确定之前从终端接收到的第一PDCPPDU是被篡改的，所以gNB DU的RLC接收窗口需要回退，以保证gNB DU可以再次接收到终端后续发送的第一PDCP PDU的重传。

在该实施例中，gNB DU向gNB CU指示哪些PDCP PDU是来自相同的MAC PDU，以便gNB CU在完整性校验失败的情况下，进行统一的丢弃，实现CU-DU的部分完保，减少完保的处理开销。

下面以DC架构为例对图6所示的实施例进行进一步详细地描述。在DC架构下，部分完保的实现，主要应用于DAPS，分裂(split)承载，复制(duplicated)承载。在该实施例中，上述第一网络设备为MN，上述第二网络设备为SN，即由MN负责完整性校验功能。

如图8所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S801.MN向SN发送完整性校验请求。该请求用于请求SN进行MAC PDU中的部分数据包的完整性校验。

S802.SN接收到上述请求后，向MN发送完整性校验响应。该响应用于确认SN不进行完整性校验。

S803.MN向终端发送配置信息。

示例性地，MN向终端发送配置信息。该配置信息用于配置终端对MAC PDU中的部分PDCP PDU进行完整性保护。该MAC PDU可以包括一个或多个MACSDU。每个MAC SDU封装有一个MAC PDU。MN可以配置终端对待发送的MAC PDU中的部分PDCP PDU进行完整性保护，而对MAC PDU中的其余PDCP PDU不进行完整性保护。这样可以降低完整性保护的负荷。

S804.终端向SN发送MAC PDU。

相应地，SN接收来自终端的MAC PDU。

示例性地，终端向SN发送MAC PDU，该MAC PDU中包括第一MAC SDU和第二MAC SDU。其中，第一MAC SDU中包括第一PDCP PDU，第一PDCP PDU的终结的网络设备是MN，其PDCP实体是在MN，所以需要发送给MN，且第一PDCP PDU是有完整性保护的，即该第一PDCP PDU中包括MAC-I；第二MAC SDU中包括第二PDCP PDU，第二PDCP PDU的终结的网络设备是SN，其PDCP实体是在SN，所以不需要发送给MN，且第二PDCP PDU是没有完整性保护的，第二PDCP PDU中不包括MAC-I。

如图9所示的MAC PDU包括混合的数据，其中，数据1和数据2对应第一PDCP PDU，其终结的网络设备是MN，其被完整性保护；数据3和数据4对应第二PDCP PDU，其终结的网络设备是SN，其未被完整性保护。

S805.SN解析该MAC PDU，得到第一PDCP PDU和第二PDCP PDU，缓存第二PDCP PDU，并给该MAC PDU分配MAC SN。

不同的MAC PDU对应不同的MAC SN。SN为不同的MAC PDU各自分配MAC SN。

S806.SN向MN发送第一PDCP PDU、第二PDCP PDU和第一指示信息。该第一指示信息用于指示第一PDCP PDU和第二PDCP PDU属于/来自同一个MAC PDU。

相应地，MN接收来自SN的第一PDCP PDU、第二PDCP PDU和第一指示信息。

该第一指示信息为MAC PDU的标识信息。示例性地，该第一指示信息可以是MACSN。SN在向MN发送第一PDCP PDU和第二PDCP PDU的时候，同时发送第一PDCP PDU和第二PDCP PDU的MAC SN。如果这两个PDCP PDU的MAC SN号相同，那么第一PDCP PDU和第二PDCPPDU是来自相同的MAC PDU。

S807.MN根据第一指示信息对第一PDCP PDU进行完整性校验。

MN接收到第一PDCP PDU、第二PDCP PDU和第一指示信息后，根据第一指示信息，对第一PDCP PDU进行完整性校验。

如果完整性校验失败，说明对应的MAC PDU都可能被篡改，MN根据第一指示信息，丢弃来自相同的MAC PDU的PDCP PDU，那么丢弃第一PDCP PDU。

如果完整性校验成功，MN对第一PDCP PDU进行处理，得到第一PDCP SDU，将这个第一PDCP SDU发送给UPF。

S808.MN向SN发送第二指示信息。该第二指示信息用于指示校验成功或失败。该第二指示信息包括以下至少一个信息：第一PDCP PDU的标识信息、第一PDCP PDU和第二PDCPPDU所属的MAC PDU的标识信息。

相应地，SN接收来自MN的第二指示信息。

示例性地，MN指示SN校验成功或失败，并向SN发送第一PDCP PDU的标识信息，例如，第一PDCP PDU的标识信息，和/或第一PDCP PDU和第二PDCP PDU所属的MAC PDU的MACSN。

S809.SN接收到该第二指示信息，如果该第二指示信息指示校验失败，则SN根据第二指示信息丢弃已经缓存的第二PDCP PDU；如果该第二指示信息指示校验成功，则SN处理该第二PDCP PDU，得到第二PDCP SDU，然后将这个第二PDCP SDU发送给UPF。

在该实施例中，MN负责MAC PDU中的部分数据包的完整性校验，从而实现部分完整性保护，减少完整性保护的处理开销。

本申请还提供又一种数据包的完整性保护方案，第一网络设备配置终端对MACPDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包和第二数据包后，由第二网络设备对第一数据包进行完整性校验，当完整性校验失败时，第二网络设备丢弃上述两个数据包，从而降低了完整性保护的复杂度。

如图10所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S1001.第一网络设备向第二网络设备发送完整性校验请求。该请求用于请求第二网络设备进行MAC PDU中的部分数据包的完整性校验。

S1002.第二网络设备接收到上述请求后，向第一网络设备发送完整性校验响应。该响应用于确认第二网络设备进行完整性校验。

相应地，第一网络设备接收该响应。

示例性地，上述步骤S1001和S1002为可选的步骤，图中以虚线表示。第一网络设备和第二网络设备可以出厂设置或通过协议规定由第二网络设备进行完整性校验。

S1003.第一网络设备向终端发送配置信息。

该步骤的具体实现可参数上述实施例中的步骤S601、S701或S803，在此不再赘述。

S1004.终端向第二网络设备发送MAC PDU。

相应地，第二网络设备接收来自终端的MAC PDU。

示例性地，终端向第二网络设备发送MAC PDU，该MAC PDU中包括第一数据包和第二数据包。其中，第一数据包的终结的网络设备是第二网络设备，其PDCP实体是在第二网络设备，所以不需要发送给第一网络设备，且第一数据包是有完整性保护的，第一数据包中包括MAC-I；第二数据包的终结的网络设备是第一网络设备，其PDCP实体是在第一网络设备，所以需要发送给第一网络设备，且第二数据包是没有完整性保护的，即该第二数据包中不包括MAC-I。

其中，第一数据包和第二数据包可以是来自不同的RB，也可以来自相同的RB。

S1005.第二网络设备解析该MAC PDU，得到第一数据包和第二数据包，并对第一数据包进行完整性校验。

第二网络设备还可缓存第二数据包直到第二网络设备完成完整性校验。

完整性校验成功，则执行下述步骤S1006a和S1007：

S1006a.第二网络设备对第二数据包进行处理，得到第三数据包，并向第一网络设备发送第三数据包。

相应地，第一网络设备接收该第三数据包，并处理该第三数据包，得到第四数据包，并将该第四数据包发送给UPF。

示例性地，第二网络设备将第二数据包进行封装，得到第三数据包。

S1007.第二网络设备处理该第一数据包，得到第五数据包，并将该第五数据包发送给UPF。

完整性校验失败，则执行下述步骤S1006b：

S1006b.第二网络设备丢弃第一数据包和第二数据包。

根据本申请实施例提供的一种数据包的完整性保护方法，第一网络设备配置终端对MAC PDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包和第二数据包后，由第二网络设备对第一数据包进行完整性校验，当完整性校验失败时，第二网络设备丢弃上述两个数据包，从而降低了完整性保护的复杂度。

下面以DC架构为例对图10所示的实施例进行进一步详细地描述。在DC架构下，部分完保的实现，主要应用于DAPS，分裂承载，复制承载。在该实施例中，上述第一网络设备为MN，上述第二网络设备为SN，即由MN负责完整性校验功能。

如图11所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S1101.MN向SN发送完整性校验请求。该请求用于请求SN进行MAC PDU中的部分数据包的完整性校验。

S1102.SN接收到上述请求后，向MN发送完整性校验响应。该响应用于确认SN进行完整性校验。

相应地，MN接收该响应。

S1103.MN向终端发送配置信息。

S1104.终端向SN发送MAC PDU。

相应地，SN接收来自终端的MAC PDU。

示例性地，终端向SN发送MAC PDU，该MAC PDU中包括第一MAC SDU和第二MAC SDU。其中，第一MAC SDU中包括第一PDCP PDU，第一PDCP PDU的终结的网络设备是SN，其PDCP实体是在SN，所以不需要发送给MN，且第一PDCP PDU是有完整性保护的，第一PDCP PDU中包括MAC-I；第二MAC SDU中包括第二PDCP PDU，第二PDCP PDU的终结的网络设备是MN，其PDCP实体是在MN，所以需要发送给MN，且第二PDCP PDU是没有完整性保护的，即该第二PDCP PDU中不包括MAC-I。

如图12所示的MAC PDU包括混合的数据，其中，数据1和数据2对应第一PDCP PDU，其终结的网络设备是SN，其被完整性保护；数据3和数据4对应第二PDCP PDU，其终结的网络设备是MN，其未被完整性保护。

S1105.SN解析该MAC PDU，得到第一PDCP PDU和第二PDCP PDU，并对第一PDCP PDU进行完整性校验。

SN还可缓存第二PDCP PDU直到SN完成完整性校验。

完整性校验成功，则执行下述步骤S1106a和S1107：

S1106a.SN向MN发送第二PDCP PDU。

相应地，MN接收该第二PDCP PDU，并处理该第二PDCP PDU，得到第二PDCP SDU，并将该第二PDCP SDU发送给UPF。

S1107.SN处理该第一PDCP PDU，得到第一PDCP SDU，并将该第一PDCP SDU发送给UPF。

完整性校验失败，则执行下述步骤S1106b：

S1106b.SN丢弃第一PDCP PDU和第二PDCP PDU。

在该实施例中，通过协商SN负责完整性校验，校验通过，则将终结的网络设备是MN的数据包递交给MN，从而实现部分完保，减少完保的处理开销。

本申请还提供又一种数据包的完整性保护方案，第一网络设备配置终端对MACPDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包、第二数据包，第三数据包和/或第四数据包后，由第一网络设备对终结的网络设备是其自身的第一数据包进行完整性校验，当完整性校验失败时，第一网络设备丢弃第一数据包和第三数据包；由第二网络设备对终结的网络设备是其自身的第二数据包进行完整性校验，当完整性校验失败时，第二网络设备丢弃第二数据包和第四数据包，从而降低了完整性保护的复杂度。

如图13所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S1301.第一网络设备向第二网络设备发送完整性校验请求。该请求用于请求第二网络设备进行终结的网络设备是第二网络设备的数据包的完整性校验。

其中，终结的网络设备是第二网络设备的数据包，即该数据包是发送给第二网络设备，无需发送给第一网络设备。

S1302.第二网络设备接收到上述请求后，向第一网络设备发送完整性校验响应。该响应用于确认第二网络设备进行终结的网络设备是第二网络设备的数据包的完整性校验。

相应地，第一网络设备接收该响应。

S1303.第一网络设备向终端发送配置信息。

该配置信息用于配置所述终端对MAC PDU中的终结的网络设备是所述第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护。

S1304.终端向第二网络设备发送MAC PDU。

相应地，第二网络设备接收来自终端的MAC PDU。

示例性地，终端向第二网络设备发送MAC PDU，该MAC PDU中包括第一数据包、第二数据包、第三数据包和/或第四数据包。其中，第一数据包的终结的网络设备是第一网络设备，其PDCP实体是在第一网络设备，所以需要发送给第一网络设备，且第一数据包是有完整性保护的，即该第二数据包中包括MAC-I；第二数据包的终结的网络设备是第二网络设备，其PDCP实体是在第二网络设备，所以不需要发送给第一网络设备，且第二数据包是有完整性保护的，第二数据包中包括MAC-I；第三数据包的终结的网络设备是第一网络设备，其PDCP实体是在第一网络设备，所以需要发送给第一网络设备，且第三数据包是没有完整性保护的，即该第三数据包中不包括MAC-I；第四数据包的终结的网络设备是第二网络设备，其PDCP实体是在第二网络设备，所以不需要发送给第一网络设备，且第四数据包是没有完整性保护的，第四数据包中不包括MAC-I。

其中，第一数据包、第二数据包、第三数据包和第四数据包可以是来自不同的RB，也可以来自相同的RB。

S1305.第二网络设备解析该MAC PDU，得到第一数据包、第二数据包、第三数据包和第四数据包，并给该MAC PDU分配MAC第二网络设备。

不同的MAC PDU对应不同的MAC第二网络设备。第二网络设备为不同的MAC PDU各自分配MAC第二网络设备。

S1306.第二网络设备向第一网络设备发送第一数据包、第三数据包和第一指示信息。

相应地，第一网络设备接收上述第一数据包、第三数据包和第一指示信息。

其中，该第一指示信息用于指示第一数据包和第三数据包属于同一个MAC PDU。

该第一指示信息为MAC PDU的标识信息。示例性地，该第一指示信息可以是MAC第二网络设备。第二网络设备在向第一网络设备发送第一数据包和第三数据包的时候，同时发送第一数据包和第三数据包的MAC第二网络设备。如果这两个数据包的MAC第二网络设备号相同，那么第一数据包和第三数据包是来自相同的MAC PDU。

S1307.第一网络设备对第一数据包进行完整性校验。

S1308.第一网络设备对第一数据包完整性校验失败，则第一网络设备丢弃第一数据包和第三数据包。

示例性地，第一网络设备对第一数据包完整性校验成功，则第一网络设备处理第一数据包和第三数据包，分别得到第五数据包和第六数据包，并将第五数据包和第六数据包发送给UPF。

S1309.第二网络设备对第二数据包进行完整性校验。

S1310.第二网络设备对第二数据包完整性校验失败，则第二网络设备丢弃第二数据包和第四数据包。

示例性地，第二网络设备对第二数据包完整性校验成功，则第二网络设备处理第二数据包和第四数据包，分别得到第七数据包和第八数据包，并将第七数据包和第八数据包发送给UPF。

根据本申请实施例提供的一种数据包的完整性保护方法，第一网络设备配置终端对MAC PDU中的部分数据包进行完整性保护，第二网络设备接收到来自终端的第一数据包、第二数据包，第三数据包和/或第四数据包后，由第一网络设备对终结的网络设备是其自身的第一数据包进行完整性校验，当完整性校验失败时，第一网络设备丢弃第一数据包和第三数据包；由第二网络设备对终结的网络设备是其自身的第二数据包进行完整性校验，当完整性校验失败时，第二网络设备丢弃第二数据包和第四数据包，从而降低了完整性保护的复杂度。

下面以DC架构为例对图13所示的实施例进行进一步详细地描述。在DC架构下，部分完保的实现，主要应用于DAPS，分裂承载，复制承载。在该实施例中，上述第一网络设备为MN，上述第二网络设备为SN，即由MN负责终结的网络设备是MN的进行了完保的数据包的完整性校验，由SN负责终结的网络设备是SN的进行了完保的数据包的完整性校验。

如图14所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S1401.MN向SN发送完整性校验请求。该请求用于请求SN进行MAC PDU中终结的网络设备是SN(SN terminated)的部分数据包的完整性校验。

其中，终端的网络设备是SN的部分数据包，即该部分数据包是发送给SN的，无需发送给MN。

S1402.SN接收到上述请求后，向MN发送完整性校验响应。该响应用于确认SN进行终结的网络设备是SN的部分数据包的完整性校验。

相应地，MN接收该响应。

S1403.MN向终端发送配置信息。

该配置信息用于配置终端对MAC PDU中的终结的网络设备是MN的部分数据包和终结的网络设备是SN的部分数据包分别进行完整性保护。

S1404.终端向SN发送MAC PDU。

相应地，SN接收来自终端的MAC PDU。

示例性地，终端向SN发送MAC PDU，该MAC PDU中包括第一MAC SDU、第二MAC SDU和第三MAC SDU。其中，第一MAC SDU中包括第一PDCP PDU，第一PDCP PDU的终结的网络设备是MN(MN terminated)，其PDCP实体是在MN，所以需要发送给MN，且第一PDCP PDU是有完整性保护的，即该第二PDCP PDU中包括MAC-I；第二MAC SDU中包括第二PDCP PDU，第二PDCP PDU的终结的网络设备是SN，其PDCP实体是在SN，所以不需要发送给MN，且第二PDCP PDU是有完整性保护的，第二PDCP PDU中包括MAC-I；第三MAC SDU中包括第三PDCP PDU，第三PDCP PDU的终结的网络设备是MN，其PDCP实体是在MN，所以需要发送给MN，且第三PDCP PDU是没有完整性保护的，即该第三PDCP PDU中不包括MAC-I。

如图15所示的MAC PDU包括混合的数据，其中，数据1和数据2其终结的网络设备是MN，数据1被完整性保护，数据2未被完整性保护；数据3和数据4终结的网络设备是MN，数据2被完整性保护，数据4未被完整性保护。数据1对应第一PDCP PDU，数据3对应第二PDCP PDU，数据2和数据4对应第三PDCP PDU。

其中，第一PDCP PDU、第二PDCP PDU和第三PDCP PDU可以是来自不同的RB，也可以来自相同的RB。

S1405.SN解析该MAC PDU，得到第一PDCP PDU、第二PDCP PDU和第三PDCP PDU，并给该MAC PDU分配MAC SN。

S1406.SN向MN发送第一PDCP PDU、第三PDCP PDU和第一指示信息。

相应地，MN接收上述第一PDCP PDU、第三PDCP PDU和第一指示信息。

其中，该第一指示信息用于指示第一PDCP PDU和第三PDCP PDU属于同一个MACPDU。

该第一指示信息为MAC PDU的标识信息。示例性地，该第一指示信息可以是MACSN。SN在向MN发送第一PDCP PDU和第三PDCP PDU的时候，同时发送第一PDCP PDU和第三PDCP PDU的MAC SN。如果这两个PDCP PDU的MAC SN号相同，那么第一PDCP PDU和第三PDCPPDU是来自相同的MAC PDU。

S1407.MN对第一PDCP PDU进行完整性校验。

S1408.MN对第一PDCP PDU完整性校验失败，则MN丢弃第一PDCP PDU和第三PDCPPDU；MN对第一PDCP PDU完整性校验成功，则MN处理第一PDCP PDU和第三PDCP PDU，分别得到第一PDCP SDU和第三PDCP SDU，并将第一PDCP SDU和第三PDCP SDU发送给UPF。

S1409.SN对第二PDCP PDU进行完整性校验。

S1410.SN对第二PDCP PDU完整性校验失败，则SN丢弃第二PDCP PDU；SN对第二PDCP PDU完整性校验成功，则SN处理第二PDCP PDU，得到第二PDCP SDU，并将第二PDCP SDU发送给UPF。

在该实施例中，MN和SN各自负责终结的网络设备是自身的部分数据包的完整性校验，从而实现各自数据的部分完整性保护，减少了完整性保护的处理负载。

上述实施例描述了上行数据的完整性保护。下面实施例描述下行数据的完整性保护。

如图16所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S1601.第一网络设备向第二网络设备发送辅助信息。

相应地，第二网络设备接收该辅助信息。

该辅助信息包括期望的MAC PDU中的完整性保护的数据包的第一占比信息。

在本实施例中，实施部分完整性保护。具体是由第二网络设备确定被完整性保护的数据包的数量和未被完整性保护的数据包的数量。第一网络设备可以向第二网络设备发送辅助信息，在该辅助信息中携带期望的MAC PDU中的完整性保护的数据包的第一占比信息。

例如，第一占比信息为20％，表示期望在后续生成完整性保护的MAC PDU中，10个PDCP PDU中包括2个完整性保护的PDCP PDU。

S1602.第二网络设备根据第一占比信息，确定第一数据包和第二数据包，其中，第一数据包是被完整性保护的，第二数据包是未被完整性保护的。

第二网络设备接收到上述辅助信息后，根据该辅助信息中的第一占比信息，确定被完整性保护的数据包的数量和未被完整性保护的数据包的数量。示例性地，第二网络设备根据第一占比信息，确定第一数据包和第二数据包。当然，本申请不限制完整性保护的数据包的数量和无完整性保护的数据包的数量。

S1603.第二网络设备向第一网络设备发送第一数据包和第二数据包。

相应地，第一网络设备接收该第一数据包和第二数据包。

S1604.第一网络设备向终端发送MAC PDU。该MAC PDU包括第一数据包和第二数据包。

相应地，终端接收该MAC PDU，解析该MAC PDU，获取该第一数据包和第二数据包。

第一网络设备接收到第二网络设备发送的第一数据包和第二数据包后，生成MACPDU，该MAC PDU包括上述第一数据包和第二数据包。第一网络设备向终端发送MAC PDU。

根据本申请实施例提供的一种数据包的完整性保护方法，第一网络设备通过向第二网络设备发送期望的MAC PDU中的完整性保护的数据包的第一占比信息，使得第二网络设备根据该第一占比信息确定部分完整性保护的数据包的数量，从而可以实现更加有效的部分完保。

下面以CU/DU分离架构为例对图16所示的实施例进行进一步详细地描述。则在该示例中，上述第一网络设备为gNB DU，上述第二网络设备为gNB CU。gNB CU与gNB DU之间的接口是F1接口，下面的流程主要涉及F1接口上的信息交互。

如图17所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S1701.gNB DU向gNB CU发送辅助信息。

相应地，gNB CU接收该辅助信息。

示例性地，还可以是gNB DU向gNB CU发送调度信息，该调度信息包括期望的MACPDU中的完整性保护的数据包的第一占比信息，以便gNB CU根据该调度信息生成完整性保护的数据包。

S1702.gNB CU根据第一占比信息，确定第一数据包和第二数据包，其中，第一数据包是被完整性保护的，第二数据包是未被完整性保护的。

示例性地，gNB CU根据第一占比信息，确定完整性保护的数据包的数量和无完整性保护的数据包的数量。示例性地，gNB CU根据第一占比信息，确定第一数据包和第二数据包。当然，本申请不限制完整性保护的数据包的数量和无完整性保护的数据包的数量。

S1703.gNB CU向gNB DU发送第一数据包和第二数据包。

相应地，gNB DU接收该第一数据包和第二数据包。

S1704.gNB DU向终端发送MAC PDU。

gNB DU接收到gNB CU发送的第一数据包和第二数据包后，生成MAC PDU，该MACPDU包括上述第一数据包和第二数据包。gNB DU向终端发送MAC PDU。

相应地，终端接收该MAC PDU，解析该MAC PDU，获取该第一数据包和第二数据包。终端可以对被完整性保护的第一数据包进行完整性校验，并根据校验结果处理第一数据包和第二数据包。

在该实施例中，通过F1之间的辅助信息交互，可以实现更加有效的部分完保。

下面以DC架构为例对图16所示的实施例进行进一步详细地描述。在DC架构下，部分完保的实现，主要应用于DAPS，分裂承载，复制承载。MN与SN之间的接口是Xn接口，下面的流程主要涉及Xn接口上的信息交互。

如图18所示，为本申请实施例提供的又一种数据包的完整性保护方法的流程示意图，该方法可以包括以下步骤：

S1801.SN向MN发送辅助信息。

相应地，MN接收该辅助信息。

不同的承载或不同的链路提供各自期望的占比信息。SN通过第二链路(secondelink)与终端通信，因此该辅助信息包括在第二链路。

例如，第一占比信息为20％，表示期望MN在后续生成完整性保护的MAC PDU中，10个PDCP PDU中包括2个完整性保护的PDCP PDU。

S1802.MN确定第一链路(first link)期望的完整性保护的数据包的第二占比信息。

MN通过第一链路与终端通信。因此，由MN确定第一链路期望的完整性保护的数据包的第二占比信息。

S1803.MN根据第二占比信息，生成第一MAC PDU。该第一MAC PDU包括第三数据包和第四数据包，其中，第三数据包是被完整性保护的，第四数据包是未被完整性保护的。

S1804.MN向终端发送第一MAC PDU。

相应地，终端接收该第一MAC PDU。

S1805.MN根据第一占比信息，确定第一数据包和第二数据包，其中，第一数据包是被完整性保护的，第二数据包是未被完整性保护的。

MN根据第一占比信息，确定第二链路的完整性保护的数据包的数量和无完整性保护的数据包的数量。示例性地，MN根据第一占比信息，确定第一数据包和第二数据包。当然，本申请不限制完整性保护的数据包的数量和无完整性保护的数据包的数量。

S1806.MN向SN发送第一数据包和第二数据包。

相应地，SN接收该第一数据包和第二数据包。

S1807.SN生成第二MAC PDU。该第二MAC PDU包括上述第一数据包和第二数据包。

S1808.SN向终端发送第二MAC PDU。

在该实施例中，通过Xn之间的辅助信息交互，可以实现更加有效的部分完保。

上面详细描述了数据包的完整性保护的方法的实施例，下面基于该方法的同一构思，描述数据包的完整性保护的装置。该数据包的完整性保护的装置可以是上述终端、第一网络设备或第二网络设备。

示例性地，在本申请实施例中，终端、第一网络设备或第二网络设备包括硬件层、运行在硬件层之上的操作系统层，以及运行在操作系统层上的应用层。该硬件层包括中央处理器(central processing unit，CPU)、内存管理单元(memory management unit，MMU)和内存(也称为主存)等硬件。该操作系统可以是任意一种或多种通过进程(process)实现业务处理的计算机操作系统，例如，Linux操作系统、Unix操作系统、Android操作系统、iOS操作系统或windows操作系统等。该应用层包含浏览器、通讯录、文字处理软件、即时通信软件等应用。并且，本申请实施例并未对本申请实施例提供的方法的执行主体的具体结构特别限定，只要能够通过运行记录有本申请实施例的提供的方法的代码的程序，以根据本申请实施例提供的方法进行通信即可，例如，本申请实施例提供的方法的执行主体可以是终端，或者，是终端、第一网络设备或第二网络设备中能够调用程序并执行程序的功能模块。

换言之，本申请实施例中的终端、第一网络设备或第二网络设备的相关功能可以由一个设备实现，也可以由多个设备共同实现，还可以是由一个设备内的一个或多个功能模块实现，本申请实施例对此不作具体限定。可以理解的是，上述功能既可以是硬件设备中的网络元件，也可以是在专用硬件上运行的软件功能，或者是硬件与软件的结合，或者是平台(例如，云平台)上实例化的虚拟化功能。

可以理解的是，为了实现上述实施例中的功能，终端、第一网络设备或第二网络设备包括了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本申请中所公开的实施例描述的各示例的单元及方法步骤，本申请能够以硬件或硬件和计算机软件相结合的形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用场景和设计约束条件。

图19和图20为本申请的实施例提供的可能的数据包的完整性保护装置的结构示意图。该数据包的完整性保护装置也可以是通信装置。这些数据包的完整性保护装置可以用于实现上述方法实施例中终端、第一网络设备或第二网络设备的功能，因此也能实现上述方法实施例所具备的有益效果。在本申请的实施例中，该数据包的完整性保护装置可以是终端、第一网络设备或第二网络设备，还可以是应用于终端、第一网络设备或第二网络设备的模块(如芯片)。

如图19所示，为本申请实施例提供的一种数据包的完整性保护装置的结构示意图，该装置1900包括收发单元191和处理单元192。

在一个实施例中，该装置可以是图6所示实施例中的第一网络设备，其中，所述收发单元191用于向终端发送配置信息，所述配置信息用于配置所述终端对MAC PDU中的部分数据包进行完整性保护；所述收发单元191，还用于接收来自第二网络设备的第一数据包、第二数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MACPDU；所述处理单元192，用于根据所述第一指示信息对所述第一数据包进行完整性校验；以及所述处理单元192，还用于当所述第一数据包的完整性校验失败时，丢弃所述第一数据包和所述第二数据包。

可选地，所述收发单元191，还用于向所述第二网络设备发送第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元191，还用于向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；以及所述收发单元191，还用于接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备不进行所述完整性校验。

在另一个实施例中，该装置可以是图6所示实施例中的第二网络设备，其中，所述收发单元191，用于接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；所述收发单元191，还用于向第一网络设备发送所述第一数据包、所述第二数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MAC PDU；以及所述收发单元191，还用于当所述第一网络设备对所述第一数据包的完整性校验失败时，接收来自所述第一网络设备的第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

可选地，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，所述处理单元192，用于根据所述第二指示信息，丢弃所述第一数据包。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元191，还用于接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；以及所述收发单元191，还用于向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备不进行所述完整性校验。

可选地，所述处理单元192，还用于回退无线链路控制接收窗口，以接收重传的所述第一数据包。

在又一个实施例中，该装置可以是图10所示实施例中的第二网络设备，其中，所述收发单元191，用于接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一数据包和所述第二数据包属于同一个MAC PDU；所述处理单元192，用于对所述第一数据包进行完整性校验；以及所述处理单元192，还用于当所述第一数据包的完整性校验失败时，丢弃所述第一数据包和所述第二数据包。

可选地，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，所述处理单元192，还用于当所述第一数据包的完整性校验成功时，对所述第二数据包进行处理，得到第三数据包；以及所述收发单元191，还用于向第一网络设备发送所述第三数据包。

可选地，所述收发单元191，还用于接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；以及所述收发单元191，还用于向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备进行所述完整性校验。

在又一个实施例中，该装置可以是图13所示实施例中的终端，其中，所述收发单元191，用于接收来自第一网络设备的配置信息，所述配置信息用于配置所述终端对MAC PDU中的终结的网络设备是所述第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护；以及所述收发单元191，还用于向所述第二网络设备发送第一数据包、第二数据包，第三数据包和/或第四数据包，其中，所述第一数据包、所述第二数据包是被完整性保护的，所述第三数据包、所述第四数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第二数据包、第四数据包的终结的网络设备是所述第二网络设备。

在又一个实施例中，该装置可以是图13所示实施例中的第一网络设备，其中，所述收发单元191，用于向终端发送配置信息，所述配置信息用于配置所述终端对MAC PDU中的终结的网络设备是所述第一网络设备的部分数据包和终结的网络设备是第二网络设备的部分数据包分别进行完整性保护；所述收发单元191，还用于接收来自所述第二网络设备的第一数据包、第三数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第三数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第一指示信息用于指示所述第一数据包和所述第三数据包属于同一个MACPDU；所述处理单元192，用于根据所述第一指示信息对所述第一数据包进行完整性校验；以及所述处理单元192，还用于当所述第一数据包的完整性校验失败时，丢弃所述第一数据包和所述第三数据包。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元191，还用于向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验；以及所述收发单元191，还用于接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验。

在又一个实施例中，该装置可以是图13所示实施例中的第二网络设备，其中，所述收发单元191，用于接收来自终端的第一数据包、第二数据包，第三数据包和/或第四数据包，其中，所述第一数据包、所述第二数据包是被完整性保护的，所述第三数据包、所述第四数据包是未被完整性保护的，所述第一数据包、所述第三数据包的终结的网络设备是所述第一网络设备，所述第二数据包、第四数据包的终结的网络设备是所述第二网络设备；所述收发单元191，还用于向所述第一网络设备发送所述第一数据包、所述第三数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第三数据包属于同一个MACPDU；所述处理单元192，用于对所述第二数据包进行完整性校验；以及所述处理单元192，还用于当所述第二数据包的完整性校验失败时，丢弃所述第二数据包和所述第四数据包。

可选地，所述第一指示信息为所述MAC PDU的标识信息。

可选地，所述收发单元191，还用于接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验；以及所述收发单元191，还用于向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于确认所述第二网络设备进行终结的网络设备是所述第二网络设备的数据包的完整性校验。

在又一个实施例中，该装置可以是图16所示实施例中的第一网络设备，其中，所述收发单元191，用于向第二网络设备发送辅助信息，所述辅助信息包括期望的MAC PDU中的完整性保护的数据包的第一占比信息；所述收发单元191，还用于接收来自所述第二网络设备的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；以及所述收发单元191，还用于向终端发送MAC PDU，所述MAC PDU包括所述第一数据包和所述第二数据包。

在又一个实施例中，该装置可以是图16所示实施例中的第二网络设备，其中，所述收发单元191，用于接收来自第一网络设备的辅助信息，所述辅助信息包括期望的MAC PDU中的完整性保护的数据包的第一占比信息；所述处理单元192，用于根据所述第一占比信息，确定第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；以及所述收发单元191，还用于向所述第一网络设备发送所述第一数据包和所述第二数据包。

可选地，所述处理单元192，还用于确定期望的MAC PDU中的完整性保护的数据包的第二占比信息；以及所述处理单元192，还用于根据所述第二占比信息，向所述终端发送第二MAC PDU，所述第二MAC PDU包括至少一个第三数据包和至少一个第四数据包，其中，所述至少一个第三数据包是被完整性保护的，所述至少一个第四数据包是未被完整性保护的。

有关上述收发单元191和处理单元192的具体实现，可参考相应的方法实施例，在此不再赘述。

如图20所示，数据包的完整性保护装置2000包括处理器201和接口电路202。处理器201和接口电路202之间相互耦合。可以理解的是，接口电路202可以为收发器或输入输出接口。示例性地，数据包的完整性保护装置2000还可以包括存储器203，用于存储处理器201执行的指令或存储处理器201运行指令所需要的输入数据或存储处理器201运行指令后产生的数据。

当数据包的完整性保护装置2000用于实现上述方法实施例所示的方法时，处理器201用于实现上述处理单元192的功能，接口电路202用于实现上述收发单元191的功能。

当上述数据包的完整性保护装置为应用于终端、第一网络设备或第二网络设备的芯片时，该芯片实现上述方法实施例中终端、第一网络设备或第二网络设备的功能。该芯片从终端、第一网络设备或第二网络设备中的其它模块(如射频模块或天线)接收信息，该信息是其它用户设备发送给该终端、第一网络设备或第二网络设备的；或者，该芯片向终端、第一网络设备或第二网络设备中的其它模块(如射频模块或天线)发送信息，该信息是终端、第一网络设备或第二网络设备发送给其它用户设备的。

可以理解的是，本申请的实施例中的处理器可以是中央处理单元(centralprocessing unit，CPU)，还可以是其它通用处理器、数字信号处理器(digital signalprocessor，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现场可编程门阵列(field programmable gate array，FPGA)或者其它可编程逻辑器件、晶体管逻辑器件，硬件部件或者其任意组合。通用处理器可以是微处理器，也可以是任何常规的处理器。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本申请的实施例中的方法步骤可以通过硬件的方式来实现，也可以由处理器执行软件指令的方式来实现。软件指令可以由相应的软件模块组成，软件模块可以被存放于随机存取存储器、闪存、只读存储器、可编程只读存储器、可擦除可编程只读存储器、电可擦除可编程只读存储器、寄存器、硬盘、移动硬盘、紧凑型光盘只读存储器(compact disc read-only memory，CD-ROM)或者本领域熟知的任何其它形式的存储介质中。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于ASIC中。另外，该ASIC可以位于基站或终端中。当然，处理器和存储介质也可以作为分立组件存在于基站或终端中。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机程序或指令。在计算机上加载和执行所述计算机程序或指令时，全部或部分地执行本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、基站、用户设备或者其它可编程装置。所述计算机程序或指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机程序或指令可以从一个网站站点、计算机、服务器或数据中心通过有线或无线方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是集成一个或多个可用介质的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，例如，软盘、硬盘、磁带；也可以是光介质，例如，数字视频光盘；还可以是半导体介质，例如，固态硬盘。

在本申请的各个实施例中，如果没有特殊说明以及逻辑冲突，不同的实施例之间的术语和/或描述具有一致性、且可以相互引用，不同的实施例中的技术特征根据其内在的逻辑关系可以组合形成新的实施例。

本申请实施例中的术语“系统”和“网络”可被互换使用。

可以理解的是，在本申请的实施例中涉及的各种数字编号仅为描述方便进行的区分，并不用来限制本申请的实施例的范围。上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定。还应理解，本申请实施例提及“第一”、“第二”等序数词是用于对多个对象进行区分，不用于限定多个对象的大小、内容、顺序、时序、优先级或者重要程度等。

本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A，B可以是单数或者复数。在本申请的文字描述中，字符“/”，一般表示前后关联对象是一种“或”的关系；在本申请的公式中，字符“/”，表示前后关联对象是一种“相除”的关系。

可以理解的是，在本申请的实施例中涉及的各种数字编号仅为描述方便进行的区分，并不用来限制本申请的实施例的范围。上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定。

Claims

1.一种数据包的完整性保护方法，其特征在于，所述方法包括：

第一网络设备向终端发送配置信息，所述配置信息用于配置所述终端对媒体接入控制MAC协议数据单元PDU中的部分数据包进行完整性保护；

所述第一网络设备接收来自第二网络设备的第一数据包、第二数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MACPDU；

所述第一网络设备根据所述第一指示信息对所述第一数据包进行完整性校验；

当所述第一数据包的完整性校验失败时，所述第一网络设备丢弃所述第一数据包和所述第二数据包。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述第一网络设备向所述第二网络设备发送第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

3.根据权利要求1或2所述的方法，其特征在于，所述第一指示信息为所述MAC PDU的标识信息。

4.根据权利要求1-3中任一项所述的方法，其特征在于，所述方法还包括：

所述第一网络设备向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；

所述第一网络设备接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备不进行所述完整性校验。

5.一种数据包的完整性保护方法，其特征在于，所述方法包括：

第二网络设备接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；

所述第二网络设备向第一网络设备发送所述第一数据包、所述第二数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个媒体接入控制MAC协议数据单元PDU；

当所述第一网络设备对所述第一数据包的完整性校验失败时，所述第二网络设备接收来自所述第一网络设备的第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

6.根据权利要求5所述的方法，其特征在于，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，所述方法还包括：

所述第二网络设备根据所述第二指示信息，丢弃所述第一数据包。

7.根据权利要求5或6所述的方法，其特征在于，所述第一指示信息为所述MAC PDU的标识信息。

8.根据权利要求5-7中任一项所述的方法，其特征在于，所述方法还包括：

所述第二网络设备接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；

所述第二网络设备向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备不进行所述完整性校验。

9.根据权利要求5-8中任一项所述的方法，其特征在于，所述方法还包括：

所述第二网络设备回退无线链路控制接收窗口，以接收重传的所述第一数据包。

10.一种数据包的完整性保护装置，其特征在于，所述装置包括：

收发单元，用于向终端发送配置信息，所述配置信息用于配置所述终端对媒体接入控制MAC协议数据单元PDU中的部分数据包进行完整性保护；

所述收发单元，还用于接收来自第二网络设备的第一数据包、第二数据包和第一指示信息，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个MACPDU；

处理单元，用于根据所述第一指示信息对所述第一数据包进行完整性校验；

所述处理单元，还用于当所述第一数据包的完整性校验失败时，丢弃所述第一数据包和所述第二数据包。

11.根据权利要求10所述的装置，其特征在于，所述收发单元，还用于向所述第二网络设备发送第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

12.根据权利要求10或11所述的装置，其特征在于，所述第一指示信息为所述MAC PDU的标识信息。

13.根据权利要求10-12中任一项所述的装置，其特征在于，所述收发单元，还用于向所述第二网络设备发送完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；

所述收发单元，还用于接收来自所述第二网络设备的完整性校验响应，所述完整性校验响应用于确认所述第二网络设备不进行所述完整性校验。

14.一种数据包的完整性保护装置，其特征在于，所述装置包括：

收发单元，用于接收来自终端的第一数据包和第二数据包，其中，所述第一数据包是被完整性保护的，所述第二数据包是未被完整性保护的；

所述收发单元，还用于向第一网络设备发送所述第一数据包、所述第二数据包和第一指示信息，所述第一指示信息用于指示所述第一数据包和所述第二数据包属于同一个媒体接入控制MAC协议数据单元PDU；

所述收发单元，还用于当所述第一网络设备对所述第一数据包的完整性校验失败时，接收来自所述第一网络设备的第二指示信息，所述第二指示信息包括以下至少一个信息：所述第一数据包的标识信息、所述第一数据包和所述第二数据包所属的MAC PDU的标识信息。

15.根据权利要求14所述的装置，其特征在于，所述第一数据包的终结的网络设备为所述第二网络设备，所述第二数据包的终结的网络设备为所述第一网络设备，所述装置还包括：

处理单元，用于根据所述第二指示信息，丢弃所述第一数据包。

16.根据权利要求14或15所述的装置，其特征在于，所述第一指示信息为所述MAC PDU的标识信息。

17.根据权利要求14-16中任一项所述的装置，其特征在于，所述收发单元，还用于接收来自所述第一网络设备的完整性校验请求，所述完整性校验请求用于请求所述第二网络设备进行MAC PDU中的部分数据包的完整性校验；

所述收发单元，还用于向所述第一网络设备发送完整性校验响应，所述完整性校验响应用于指示确认所述第二网络设备不进行所述完整性校验。

18.根据权利要求14-17中任一项所述的装置，其特征在于，所述处理单元，还用于回退无线链路控制接收窗口，以接收重传的所述第一数据包。

19.一种数据包的完整性保护装置，其特征在于，包括处理器，所述处理器与存储器耦合，所述处理器用于读取所述存储器中的指令，以实现如权利要求1-4中任一项所述的方法，或者，实现如权利要求5-9中任一项所述的方法。

20.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-4中任一项所述的方法，或者，实现如权利要求5-9中任一项所述的方法。