WO2010139147A1

WO2010139147A1 - 用户接入方法及系统、闭合用户组用户管理方法及系统

Info

Publication number: WO2010139147A1
Application number: PCT/CN2009/073973
Authority: WO
Inventors: 骆文; 周娜; 霍玉臻
Original assignee: 中兴通讯股份有限公司
Priority date: 2009-06-04
Filing date: 2009-09-16
Publication date: 2010-12-09
Also published as: CN101909248A; CN101909248B

Description

用户接入方法及系统、闭合用户组用户管理方法及系统技术领域

本发明涉及通信领域，尤其涉及一种用户接入方法及系统、闭合用户组用户管理方法及系统。

背景技术

为了给用户提供更高的业务速率并降低使用高速率服务所需要的费用，同时，为了弥补已有分布式蜂窝无线通信系统覆盖的不足，通常会在家庭、办公区域等场所设置家用基站。家用基站是一种小型、低功率的基站，具有实惠、便捷、低功率输出等优点。

图 1和图 2是包含家用基站的通信网络示意图。如图 1和图 2所示，家用基站可以通过接入网关这个逻辑网元接入到核心网。

家用基站和接入网关之间可以存在一个安全网关。安全网关可以与接入网关合设也可以与接入网关分设。安全网关的主要作用是保障家用基站和接入网关、用户数据服务器之间的链路安全。

接入网关的主要功能包括：验证家用基站的安全性、处理家用基站的注册、对家用基站进行运行维护管理、根据运营商的要求对家用基站进行配置和控制、在核心网和家用基站之间进行数据交换。

鉴权授权计费（ Authentication\Authorization\Accounting, 简称为 AAA ) 服务器是通信网络中的重要设施，用于实现网络运营商对数据、用户的控制和管理，提供认证授权及账户服务，通常与网络访问控制、网关服务器、数据库以及用户信息目录等协同工作。

在家用基站系统中存在闭合用户组（Closed Subscriber Group, 简称为 CSG ) 的概念，允许用户接入一个或多个访问受限的 CSG Cell (基站）。家用基站的工作模式可分为闭合模式、混合模式和开放模式。

当家用基站的工作模式是闭合模式时，只有该家用基站所属 CSG的用户可以接入该家用基站并享受该家用基站提供的业务；当家用基站的工作模式是开放模式时，任何用户都可以接入该家用基站，此时的家用基站等同于宏基站使用；当家用基站的工作模式是混合模式时，既允许 CSG用户接入，同时也允许其他用户接入使用，不过会根据用户是否属于 CSG列表来区分不同的用户类型、实现差异化的服务质量处理，也就是说 CSG用户在使用混合模式家用基站的时候具有更高的业务优先级，拥有更好的服务质量和业务类别。

用户数据服务器用于存储家用基站的签约信息，如家用基站允许接入的用户，即 CSG相关信息（其中包含 CSG成员信息）等。

家用基站的 CSG成员信息一般存放在家用基站本地以及网络侧的用户数据服务器中，且这两处保存的数据是同步的，即无论是在家用基站本地，还是在用户数据服务器上修改了家用基站的 CSG成员信息，都需要在两者之间执行同步操作。而且，一般来说，修改家用基站的 CSG成员信息需要征得家用基站拥有者和运营商（即用户数据服务器）双方的同意。

当终端用户进行网络接入时，处于闭合模式的家用基站会利用 CSG成员信息对终端用户进行接入控制，若终端用户不是其 CSG成员用户，闭合模式家用基站将拒绝该终端用户接入网络；处于混合模式的家用基站根据 CSG成员信息进行用户类别（如， CSG用户、非 CSG用户）的区分，便于实施差异化计费、服务质量授权等操作，若终端用户不是其 CSG成员用户，家用基站将只会对其提供低优先级服务。为了简化描述，以下将家用基站判断用户是否属于 CSG列表（即判断用户是否为该家用基站的 CSG用户）的操作称为接入控制。

图 3为现有技术中终端用户以图 1所示的系统参考模型接入家用基站的方法流程图；在该流程中，家用基站根据终端用户发送的用户标识来检查该终端用户是否属于 CSG列表（即是否为该家用基站的 CSG用户），具体包括如下步骤：

步骤 301 , 终端请求进行鉴权认证能力（例如，用户的认证策略等）的协商，并与基站、接入网关完成鉴权认证能力的协商工作。

步骤 302 , 接入网关向家用基站发送用户标识请求，家用基站将该请求转发给终端。步骤 303 , 收到用户标识请求消息后，终端向家用基站回复用户标识响应，其中携带用户标识信息，如 NAI ( Network Access Identifier , 网络接入标识 ) 、 IMSI ( International Mobile Subscriber Identification Number, 国际移动客户识别码）。

步骤 304, 家用基站根据上述用户标识信息对终端用户进行接入控制。闭合模式的家用基站检查该终端用户是否存在于 CSG列表中，如果存在，则允许终端用户接入，执行步骤 305; 否则拒绝终端用户接入，并且可以发起用户释放流程。

混合模式的家用基站检查该终端用户是否存在于 CSG列表中，如果存在，则在后续流程中告知接入网关该终端用户为 CSG用户，如果不存在，则在后续流程中告知接入网关该用户为非 CSG用户。

步骤 305 , 家用基站向接入网关发送用户标识响应，其中携带上述用户标识信息。

本步骤与步骤 304不分先后顺序，可以与步骤 304并行执行。

步骤 306, AAA服务器与终端交互，执行用户鉴权流程，通过用户鉴权流程 AAA服务器完成对用户合法性的审核，并授权用户执行业务。

步骤 307 , 继续执行与用户接入相关的其他流程。

由以上描述可知，在步骤 304中，家用基站需要根据终端发送的用户标识响应中携带的用户标识信息进行接入控制，检查该终端用户是否为该家用基站的 CSG成员。因此，在步骤 303中，需要强制终端传递终端用户的真实用户标识，且此消息是以明文方式来传递的，无法保证安全性和私密性。这就带来了安全隐患，例如该终端用户的真实用户标识暴露以后，会给恶意攻击者以跟踪该终端用户的通信以及业务的机会，对于保护终端用户的隐私和安全不利。

需要注意的是，在步骤 306中， AAA服务器需要知道终端用户的真实用户标识，但是，出于安全的考虑，终端与 AAA服务器之间会釆用支持隐藏终端用户的真实用户标识的鉴权方法，来到达使 AAA服务器得到终端用户的真实用户标识的目的，例如使用 EAP ( Extensible Authentication Protocol, 可扩 Key Agreement, 可扩展认证协议 -认证和密钥协商）方法。该方法能够隐藏终端用户的真实用户标识，使得终端用户的真实用户标识只对终端和 AAA服务器可见，而家用基站无法在步骤 306中获取被该方法隐藏的真实用户标识。而在 EAP消息中以明文方式传递的用户标识是一个终端用户的伪标识（其作用是主要用于路由），虽然家用基站可以解析该标识，但是由于其不是真实用户标识，所以无法使用该标识在家用基站上进行上述接入控制。也就是说，即使将接入控制操作放在步骤 306之后进行，家用基站也无法获得真实的用户标识，用以进行接入控制，而只能使用终端在步骤 303中以明文的方式传递的真实的用户标识信息进行接入控制，造成了安全隐患。安全隐患外，釆用图 3所示的方法在步骤 305中也需要以明文方式向接入网关传递真实的用户标识。由于接入网关与 AAA服务器可能属于不同的运营商，以明文方式向接入网关传递真实的用户标识会暴露用户的隐私。

发明内容

本发明所要解决的技术问题是，克服现有技术的不足，提供一种可增强安全性的用户接入方法及系统，以及与之相关的闭合用户组用户管理方法及系统。

为了解决上述问题，本发明提供一种用户接入方法，该方法包括：终端接收到接入网关发送的用户标识请求后，通过家用基站向接入网关发送用户标识响应消息，该消息中携带终端用户的伪标识；接入网关将所述伪标识发送给鉴权授权计费 AAA服务器；

AAA服务器使用所述伪标识发起对终端用户的鉴权流程，在所述鉴权流程中获取终端用户的真实用户标识；

AAA服务器将接入成功消息发送给所述家用基站；

从而实现使家用基站通过真实用户标识、或真实用户标识对应的用户标识代号对终端用户接入无线通信网进行控制，其中所述用户标识代号由家用基站或用户数据服务器或 AAA服务器在管理家用基站的闭合用户组 CSG成员的过程中为该终端用户分配。

此外，所述方法在通过家用基站向接入网关发送用户标识响应消息的所述步骤之前还包括：

终端将真实用户标识对应的用户标识代号通过无线空口发送给家用基站，家用基站使用所述用户标识代号，或者将所述用户标识代号对应成所述真实用户标识后，对终端用户进行接入控制。

此外，上述方法中，进行接入控制的所述步骤包括：

家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为所述家用基站的 CSG成员。如果是，则允许所述终端用户接入或为其分配高接入优先级，并继续执行后续的步骤；否则不允许所述终端用户接入或为其分配低接入优先级，如果判定不允许所述终端用户接入，则结束流程；如果判定为所述终端用户分配低接入优先级，则继续执行后续的步骤。

或者，

家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为所述家用基站的 CSG成员，并根据所述终端的属性参数判断所述终端用户是否使用预先指定的终端接入。如果所述终端用户是 CSG成员，且使用预先指定的终端接入，则允许所述终端用户接入或为其分配高接入优先级，并继续执行后续的步骤；否则不允许所述终端用户接入或为其分配低接入优先级，如果判定不允许所述终端用户接入，则结束流程；如果判定为所述终端用户分配低接入优先级，则继续执行后续的步骤。

此外， AAA服务器将接入成功消息通过接入网关发送给所述家用基站的所述步骤包括：

AAA服务器向接入网关发送接入成功消息，所述接入成功消息中携带 AAA服务器在鉴权流程中所获取的真实用户标识对应的用户标识代号；

接收到所述接入成功消息后，接入网关通过可扩展认证协议 EAP转发消息或密钥改变指示消息将所述真实用户标识或所述用户标识代号发送给家用基站。此外，上述方法还包括： AAA服务器通过如下方式之一获取所述真实用户标识的用户标识代号：

AAA服务器使用所述真实用户标识、或使用所述真实用户标识结合所述家用基站的标识在本地获取所述用户标识代号；或

AAA服务器使用所述真实用户标识、或使用所述真实用户标识结合所述家用基站的标识从用户数据服务器获取所述用户标识代号。

此外，所述方法还包括：家用基站使用所述真实用户标识或所述用户标识代号，或者将所述用户标识代号对应成所述真实用户标识后，对终端用户进行接入控制。

此外，所述用户标识代号具有如下特征：

在家用基站上，一个用户标识代号、或一个用户标识代号结合一个网络标识对应一个终端用户的真实用户标识；

和 /或，

在 AAA服务器上，一个终端用户的真实用户标识、或一个终端用户的真实用户标识结合一个家用基站标识对应一个终端用户的用户标识代号；

和 /或，

在用户数据服务器上，一个终端用户的真实用户标识、或一个终端用户的真实用户标识结合一个家用基站标识、或一个终端用户的真实用户标识结合一个家用基站标识和一个网络标识对应一个终端用户的用户标识代号。

此外，家用基站釆用如下方式之一对终端用户进行接入控制：

家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为该家用基站的 CSG成员；如果所述终端用户是该家用基站的 CSG成员，则允许其接入或为其分配高接入优先级，否则不允许其接入或为其分配低接入优先级；或

家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为该家用基站的 CSG成员，并根据所述终端的属性参数判断所述终端用户是否使用为其预先指定的终端接入；如果所述终端用户是 CSG成员，且使用为其预先指定的终端接入，则允许其接入或为其分配高接入优先级，否则不允许其接入或为其分配低接入优先级。

本发明还提供一种闭合用户组用户管理方法，该方法包括：

家用基站接收到将终端用户增加为其闭合用户组 CSG成员的 CSG成员管理请求后，请求用户数据服务器、或请求用户数据服务器和 AAA服务器授权将所述终端用户增加为该家用基站的 CSG成员；

用户数据服务器、或用户数据服务器和 AAA服务器对所述 CSG成员管理请求进行认证授权，认证授权通过后保存更新的 CSG成员信息，并授权将所述终端用户增加为所述家用基站的 CSG成员；

用户数据服务器、或用户数据服务器和 AAA服务器授权后，家用基站将所述终端用户增加为 CSG成员，并保存更新的 CSG成员信息；

所述 CSG成员信息中包含：所述终端用户的真实用户标识、或所述家用基站标识、或所述终端用户的真实用户标识和所述家用基站标识。

此外，家用基站接收到所述 CSG成员管理请求后，还为所述终端用户分配用户标识代号，并将其与所述终端用户的真实用户标识一起或将其与所述终端用户的真实用户标识和所述家用基站标识一起发送给用户数据服务器、或发送给用户数据服务器和 AAA服务器；或

用户数据服务器认证授权通过后 ,还为所述终端用户分配用户标识代号 , 并将其发送给家用基站、或将其发送给家用基站并将其与所述终端用户的真实用户标识一起或将其与所述终端用户的真实用户标识和所述家用基站标识一起发送给 AAA服务器；或

AAA服务器认证授权通过后，还为所述终端用户分配用户标识代号，并将其发送给家用基站和用户数据服务器；

所述 CSG成员信息中还包含：所述用户标识代号。

此外，用户数据服务器认证授权通过后，还向 AAA服务器发送 CSG信息更新消息，该消息中携带所述终端用户的真实用户标识、或携带所述终端用户的真实用户标识和所述家用基站的标识；

接收到所述 CSG信息更新消息后， AAA服务器为所述终端用户分配用户标识代号，并将所述用户标识代号发送给用户数据服务器和家用基站；所述 CSG成员信息中还包含：所述用户标识代号。

此外，所述用户标识代号具有如下特征：

和 /或，

本发明还提供一种闭合用户组用户管理方法，该方法包括：

用户数据服务器接收到将终端用户增加为家用基站的 CSG成员的 CSG 成员管理请求后，用户数据服务器、或用户数据服务器和 AAA服务器对所述 CSG成员管理请求进行认证授权；认证授权通过后保存更新的 CSG成员信息，并由用户数据服务器将更新的 CSG成员信息发送给家用基站；

家用基站保存更新的 CSG成员信息；

此外，用户数据服务器认证授权通过后，还为所述终端用户分配用户标识代号，并将其发送给家用基站、或将其发送给家用基站并将其与所述终端用户的真实用户标识一起或将其与所述终端用户的真实用户标识和所述家用基站标识一起发送给 AAA服务器；或

所述 CSG成员信息中还包含：所述用户标识代号。

接收到所述 CSG信息更新消息后， AAA服务器为所述终端用户分配用户标识代号，并将其发送给用户数据服务器和家用基站；

所述 CSG成员信息中还包含：所述用户标识代号。

此外，所述用户标识代号具有如下特征：

和 /或，

在 AAA月良务器上，一个终端用户的真实用户标识、或一个终端用户的真实用户标识结合一个家用基站标识对应一个终端用户的用户标识代号；

和 /或，

此外，用户数据服务器釆用如下方式之一将更新的 CSG成员信息发送给家用基站：

认证授权通过后，用户数据服务器将所述 CSG成员信息包含在 CSG成员信息更新消息中发送给家用基站；或

认证授权通过后，在执行家用基站的接入鉴权授权的过程中，用户数据服务器将所述 CSG成员信息包含在鉴权成功响应消息中发送给家用基站。

本发明还提供一种用户接入系统，该系统包含：家用基站、接入网关、 AAA服务器；其中：

所述接入网关设置成向终端发送用户标识请求，接收所述终端通过所述家用基站发送的用户标识响应消息；并将所述用户标识响应消息中携带的终端用户的伪标识发送给所述 AAA服务器；

所述 AAA服务器设置成使用所述伪标识发起对终端用户的鉴权流程，在所述鉴权流程中获取终端用户的真实用户标识；

所述 AAA服务器还设置成将所述真实用户标识、或所述真实用户标识对应的用户标识代号通过所述接入网关发送给所述家用基站；

所述家用基站设置成使用所述真实用户标识或所述用户标识代号对终端用户进行接入控制。

此外，所述 AAA服务器还设置成使用所述真实用户标识、或使用所述真实用户标识和所述家用基站的标识在本地获取所述用户标识代号；或

所述系统中还包含用户数据服务器；所述 AAA服务器还设置成使用所述真实用户标识、或使用所述真实用户标识和所述家用基站的标识从所述用户数据服务器获取所述用户标识代号。

本发明还提供一种闭合用户组用户管理系统，该系统包含：家用基站、用户数据服务器；其中：

所述家用基站设置成在接收到将终端用户增加为其闭合用户组 CSG成员的 CSG成员管理请求后，请求用户数据服务器授权将所述终端用户增加为该家用基站的 CSG成员；

所述用户数据服务器设置成对所述 CSG成员管理请求进行认证授权，认证授权通过后保存更新的 CSG成员信息，并授权将所述终端用户增加为所述家用基站的 CSG成员；

所述家用基站还设置成在获得所述用户数据服务器的授权后，将所述终端用户增加为 CSG成员，并保存更新的 CSG成员信息；

所述 CSG成员信息中包含：所述终端用户的真实用户标识、或所述终端用户的真实用户标识和所述家用基站标识。

此外，所述系统中还包含 AAA服务器，所述 AAA服务器设置成对所述 CSG成员管理请求进行认证授权，并保存更新的 CSG成员信息；

所述家用基站还设置成在所述用户数据服务器和所述 AAA服务器都认证授权通过后，将所述终端用户增加为其 CSG成员。

此外，所述家用基站还设置成为所述终端用户分配用户标识代号，并将其与所述终端用户的真实用户标识一起、或将其与所述终端用户的真实用户标识和所述家用基站标识一起发送给所述用户数据服务器、或发送给所述用户数据服务器和所述 AAA服务器；或

所述用户数据服务器还设置成为所述终端用户分配用户标识代号，并将其发送给所述家用基站、或将其发送给所述家用基站并将其与所述终端用户的真实用户标识一起或将其与所述终端用户的真实用户标识和所述家用基站标识一起发送给所述 AAA服务器；或

所述 AAA服务器还设置成为所述终端用户分配用户标识代号，并将其发送给所述家用基站和所述用户数据服务器；

所述 CSG成员信息中还包含：所述用户标识代号。

所述用户数据服务器设置成在接收到将终端用户增加为家用基站的 CSG 成员的 CSG成员管理请求后，对所述 CSG成员管理请求进行认证授权；认证授权通过后保存更新的 CSG成员信息，并将更新的 CSG成员信息发送给所述家用基站；

所述家用基站设置成保存更新的 CSG成员信息；

此外，所述系统中还包含 AAA服务器，所述 AAA服务器设置成对所述 CSG成员管理请求进行认证授权，认证授权通过后保存更新的 CSG成员信息，并授权将所述终端用户增加为所述家用基站的 CSG成员；

所述用户数据服务器还设置成在获得所述 AAA服务器的授权后，才保存所述更新的 CSG成员信息，并将所述更新的 CSG成员信息发送给所述家用基站。

此外，所述用户数据服务器还设置成为所述终端用户分配用户标识代号，并将其发送给所述家用基站、或将其发送给所述家用基站并将其与所述终端用户的真实用户标识一起或将其与所述终端用户的真实用户标识和所述家用基站标识一起发送给所述 AAA服务器；或所述 AAA服务器还设置成为所述终端用户分配用户标识代号，并将其发送给所述家用基站和所述用户数据服务器；

所述 CSG成员信息中还包含：所述用户标识代号。终端用户分配用户标识代号，并将该参数在家用基站、用户数据服务器和 AAA服务器进行同步；该参数本身或该参数结合其它参数可以唯一指代一个终端用户的真实用户标识；在家用基站、用户数据服务器和 AAA服务器之间传递和使用该参数可以隐藏终端用户的真实用户标识。

此外，釆用本发明提供的用户接入方法及系统，家用基站可以根据终端提供的，或者 AAA服务器返回的参数用户标识代号（ SIS ) , 如终端用户使用的终端的 MAC地址，获知当前通过该家用基站执行接入鉴权的用户的真实用户标识，依据此标识，家用基站可以结合家用基站上保存的 CSG信息对该用户进行接入控制。

本发明不仅填补了当前 CSG用户管理的方法及系统的空白，还能避免在用户接入控制时在空口频繁传递用户真实标识，提供了用户标识私密性保护，降低了家用基站系统的安全隐患。附图概述

图 1是现有技术中的一种包含家用基站的通信网络示意图；

图 2是现有技术中的另一种包含家用基站的通信网络示意图；

图 3为现有技术中终端用户以图 1所示的系统参考模型接入家用基站的方法流程图；

图 4为本发明定义的参数 SIS与终端用户的真实用户标识之间的关系示意图；

图 5是本发明的 CSG成员管理方法的第一实施例流程图；

图 6是本发明的 CSG成员管理方法的第二实施例流程图；

图 7是本发明的 CSG成员管理方法的第三实施例流程图；图 8是本发明的 CSG成员管理方法的第四实施例流程图；图 9是本发明的 CSG成员管理方法的第五实施例流程图；

图 10是本发明的 CSG成员管理方法的第六实施例流程图；

图 11是本发明的 CSG成员管理方法的第七实施例流程图；

图 12是本发明的 CSG成员管理方法的第八实施例流程图；

图 13是本发明第十实施例终端用户通过图 1所示的家用基站系统接入移动通信网的方法流程图；

图 14是本发明第十一实施例终端用户通过图 1所示的家用基站系统接入移动通信网的方法流程图；

图 15是本发明第十二实施例终端用户通过图 1所示的家用基站系统接入移动通信网的方法流程图；

图 16 是本发明实施例的用户接入系统和闭合用户组用户管理系统的结构示意图。本发明的较佳实施方式

本发明的核心思想是，由于 AAA服务器可以在鉴权流程中以安全的方式获取终端用户的真实用户标识，因此可以在终端用户接入网络的过程中由 AAA服务器将该终端用户的真实用户标识通过接入网关发送给家用基站，以便家用基站使用该真实用户标识对终端用户进行接入控制。

此外，本发明还定义了用于表示用户身份的参数：用户标识代号

( Subscriber Identity Symbol, 简称为 SIS ) , SIS是终端用户真实用户标识的代号；在终端用户接入网络的过程中， AAA服务器也可以将终端用户的参数 SIS通过接入网关发送给家用基站，以便家用基站使用该终端用户的参数 SIS 进行接入控制。

此外，当终端可以直接向家用基站提供网络为终端用户分配的用户标识代号时，也可以在终端用户接入网络的过程中，由家用基站使用终端提供的用户标识代号对终端用户进行接入控制。图 4为本发明定义的参数 SIS与终端用户的真实用户标识之间的关系示意图；如图 4所示，使用参数 SIS, 或者将参数 SIS与家用基站标识相结合、或将参数 SIS,家用基站标识和网络标识三者相结合可以唯一确定一个终端用户的真实用户标识（Real-NAI ) 。

用户标识代号（ SIS )具有如下特征：

在家用基站上，可以使用用户标识代号（ SIS )、或使用用户标识代号（ SIS ) 结合网络标识唯一确定（即对应）一个终端用户的真实用户标识；

和 /或，

在用户数据服务器上，可以使用终端用户的真实用户标识、或使用终端用户的真实用户标识结合家用基站标识、或使用终端用户的真实用户标识结合家用基站标识和网络标识唯一确定（即对应）一个（组）终端用户的用户标识代号 ( SIS ) ；

和 /或，

在 AAA服务器上，可以使用终端用户的真实用户标识、或使用终端用户的真实用户标识结合家用基站标识唯一确定（即对应）一个（组）终端用户的用户标识代号（SIS ) 。

上述网络标识可以是终端用户的归属运营商的标识，如 NSP ID ( Network Service Provider ID, 网络服务提供商标识符）。

上述家用基站标识可以是家用基站的 BSID ( Base Station ID, 基站标识符），或者是家用基站的 NAI ( Network Access Identifier, 网络接入标识符 )。

用户标识代号（ SIS )可以是终端用户所使用的移动终端（简称终端）的标识，例如，该终端的 MSID ( Mobile Station ID, 移动台标识符），或者是该终端的 MAC地址；或者是由无线移动网络中的相关的网元（例如，由家用基站、或由用户数据服务器、或由 AAA服务器生成）为终端用户生成的其他参数，例如用户别名，序列号，安全参数索引（SPI )等，无论是什么参数，使用现成的还是另外生成的，都认为是网络为终端用户分配的用户标识代号。

为了在终端用户接入网络的过程中使用本发明定义的用户标识代号 ( SIS ) , 本发明提出了管理家用基站的 CSG成员的方法，下面先结合附图和实施例对本发明提出的管理家用基站的 CSG成员的方法进行详细描述。管理家用基站的 CSG成员的操作包括：增加一个终端用户（subscriber ) 作为家用基站的 CSG成员，或者修改一个 CSG成员的属性，或者删除家用基站的一个 CSG成员等。以下各实施例以增加一个终端用户作为家庭基站的图 5至图 12是本发明提供的以图 1所示系统参考模型为例的家用基站 CSG成员管理方法的流程图。

实施例一

图 5是本发明的 CSG成员管理方法的第一实施例流程图；本实施例中，用户（家用基站的拥有者）通过操作家用基站来管理该家用基站的 CSG成员，并且由用户数据服务器分配 SIS; 如图 5所示，该方法包括如下步骤：

步骤 501 : 家用基站接入移动通信网络，一般包括如下子步骤：首先，家用基站发现其所需要连接的安全网关并与该安全网关建立安全通道；

其次，在家用基站的 AAA服务器的参与下，家庭基站和与其连接的移动通信网之间进行相互认证；

最后，家用基站通过与网络进行交互，以获取家用基站初始化时所需要的一系列参数，并完成移动通信网的接入。

步骤 502: 家用基站收到增加终端用户为其 CSG成员的请求。

家用基站的拥有者可以通过家用基站上的管理接口将终端用户增加为家用基站的 CSG成员。

值得注意的是，上述请求中至少需要包含终端用户的真实用户标识，例如， Real-NAI (真实用户标识， Real Network Access Identity ) 、 IMSI (国际移动用户识另¹ J码， International Mobile Subscriber Identity), USI ID (通用业务接口标识， Universal Services Interface Identity)等。上述请求中携带的参数还可以包含：终端用户使用的终端的属性参数，例如终端的 MAC地址、终端的 MSID 等。

家用基站的拥有者可以通过手工输入的方式，将相关的参数传递给家用基站。

步骤 503: 家用基站向用户数据服务器发起认证授权请求，以请求用户数据服务器授权将所述终端用户增加为该家用基站的 CSG成员。

上述认证授权请求消息中携带：终端用户的真实用户标识、该家用基站标识（例如，家用基站的全球唯一标识、家用基站的 BSID等）。

此外，上述认证授权请求消息中还可以包含终端用户使用的终端的属性参数，例如终端的 MAC地址、终端的 MSID等。

这里，家用基站可以使用与用户数据服务器之间的共享密钥给上述的终端用户的真实用户标识、家用基站标识、以及终端用户使用的终端的属性等参数加密保护；使得只有家用基站和用户数据服务器可以加密读取这些参数。

步骤 504: 用户数据服务器对将终端用户增加为该家用基站的 CSG成员的请求进行认证授权，此处的认证授权可被看作初步认证授权；如果通过了初步认证授权，则用户数据服务器为该终端用户分配参数 SIS。

用户数据服务器进行的认证授权可以包含如下操作：

检查家用基站所拥有的 CSG成员是否达到上限，若已经达到上限，则不允许该家用基站增加新的 CSG成员；以及

待加入的终端用户（目标用户）归属的运营商与家用基站归属的运营商之间是否有签约关系，如果没有，则不允许该家用基站将该目标用户增加为其 CSG成员。

如果终端用户归属的运营商与家用基站归属的运营商是同一个运营商，则可理解为终端用户归属的运营商与家用基站归属的运营商之间有签约关系。

用户数据服务器可以根据发送所述认证授权请求的家用基站的标识结合所述终端用户的真实用户标识来生成参数 SIS。例如，用户数据服务器检查该家用基站的档案，并找出与该家用基站有关联的所有 SIS值，然后生成一个与这些 SIS值都不相同的新的 SIS, 作为该终端用户的 SIS。

用户数据服务器也可以直接将终端用户使用的终端的属性参数 (例如，终端的 MAC地址、终端的 MSID )作为该终端用户的 SIS。此外，用户数据服务器还可以直接使用所述终端用户的真实用户标识来生成参数 SIS, 例如，对终端用户的真实用户标识进行哈希运算，将哈希运算得到的哈希值作为参数 SIS, 使参数 SIS能与用户的真实用户标识——对应。

总之，此时，用户数据服务器为该终端用户分配用户标识代号。

步骤 505:用户数据服务器向终端用户的 AAA服务器发起认证授权请求，以请求授权将终端用户增加为该家用基站的 CSG成员。

上述认证授权请求消息中包含：用户数据服务器分配的所述参数 SIS、终端用户的真实用户标识以及家用基站标识。

本步骤中，用户数据服务器可通过解析终端用户的真实用户标识（格式通常为 user@domain )来确定终端用户的 AAA月良务器。

步骤 506: AAA服务器对上述请求进行认证及授权，这里的认证授权可以看作为最终认证授权；认证授权成功后， AAA服务器保存上述认证授权请求消息中携带的 SIS、终端用户的真实用户标识以及家用基站标识。

上述最终认证授权操作可以包含： AAA服务器检查该终端用户的档案，以判断该终端用户是否有权限通过该家用基站接入。

步骤 507: AAA服务器向用户数据服务器返回认证授权响应消息。

若用户数据服务器在向 AAA服务器发送认证授权请求之前没有緩存上述 SIS、终端用户的真实用户标识以及家用基站标识，则认证授权响应消息中需要包含上述参数。

步骤 508: 用户数据服务器保存 SIS、终端用户的真实用户标识以及家用基站标识。

用户数据服务器可将上述 SIS、终端用户的真实用户标识保存在上述家用基站的档案中。例如，在该家用基站的 CSG成员列表中，插入终端用户的真实用户标识，作为一个新的 CSG成员；同时将上述参数 SIS作为所述成员的属性之一。

步骤 509: 用户数据服务器向家用基站返回认证授权响应，授权家用基站将所述终端用户增加为该家用基站的 CSG成员。

认证授权响应消息中至少需要携带用户数据服务器生成的上述参数 SIS。用户数据服务器与家用基站之间的交互可以通过安全网关进行，以便双方之间交互的参数以及信息不会被第三方获知。

步骤 510: 家用基站保存上述参数 SIS, 更新其 CSG成员信息，完成增加终端用户为其 CSG成员的过程。

该家用基站可以在其本地存储的 CSG成员列表中插入所述终端用户的真实用户标识作为一个新的 CSG成员；同时将上述参数 SIS作为所述成员的属性之一。此时，给定一个参数 SIS, 该家用基站可以唯一确定一个终端用户的真实用户标识。此外，家用基站本地存储的 CSG成员列表与用户数据服务器中家用基站的档案中存储的 CSG成员列表的格式可以相同。

上述实施例描述的方案实现了将终端用户增加为家用基站的 CSG成员的功能。通过使用该方案，能实现家用基站与用户数据服务器之间 CSG信息的同步；同时能使家用基站、用户数据服务器以及终端用户的 AAA服务器三者共享用户数据服务器分配的所述参数 SIS, 即实现了参数 SIS在家用基站、用户数据服务器、 AAA服务器上的同步。

将参数 SIS与家用基站的标识相结合，能在该家用基站上、用户数据服务器上、以及 AAA服务器上唯一地标识所述终端用户的真实用户标识。

实施例二

图 6是本发明的 CSG成员管理方法的第二实施例流程图；本实施例中，用户（家用基站的拥有者）通过操作家用基站来管理该家用基站的 CSG成员，并且由家用基站分配 SIS; 如图 6所示，该方法包括如下步骤：

步骤 601 : 与步骤 501相同。

步骤 602: 如步骤 502所述，家用基站收到将终端用户增加为其 CSG成员的请求，例如，家用基站的拥有者通过家用基站上的管理接口将所述终端用户增加为家用基站的 CSG成员。

在本步骤中，家用基站收到上述请求后，还需要为所述终端用户分配参数 SIS。

家用基站可以检查本地记录的所有 SIS 的值，然后生成一个与这些 SIS 都不相同的新的 SIS作为所述参数 SIS。

此外，家用基站也可以直接使用所述终端用户所使用的终端的属性参数

(例如，终端的 MAC地址、终端的 MSID )作为所述参数 SIS。

总之，此时，家用基站为该终端用户分配用户标识代号。

步骤 603: 家用基站向用户数据服务器发起认证授权请求，以请求用户数据服务器授权将所述终端用户增加为该家用基站的 CSG成员。

上述认证授权请求中携带：终端用户的真实用户标识、该家用基站标识以及家用基站分配的所述参数 SIS。

步骤 604: 用户数据服务器对将终端用户增加为该家用基站的 CSG成员的请求进行认证，此处的认证可被看作初步认证授权。

步骤 605:用户数据服务器向终端用户的 AAA服务器发起认证授权请求，以请求授权将终端用户增加为该家用基站的 CSG成员。

上述认证授权请求消息中包含：家用基站分配的所述参数 SIS、所述终端用户的真实用户标识以及所述家用基站标识。

本步骤中，用户数据服务器可通过解析终端用户的真实用户标识来确定终端用户的 AAA服务器。

步骤 606 ~ 608: 与步骤 506 ~ 508相同。

步骤 609: 用户数据服务器向家用基站返回认证授权响应，授权家用基站将所述终端用户增加为该家用基站的 CSG成员。

如果在步骤 602中家用基站没有暂存其分配的参数 SIS,则上述认证授权响应消息中要携带参数 SIS。

步骤 610: 与步骤 510相同。

实施例三

图 7是本发明的 CSG成员管理方法的第三实施例流程图；本实施例中，用户 (家用基站的拥有者）通过用户数据服务器来管理该家用基站的 CSG成员（例如，家用基站的拥有者通过给运营商打电话来请求将终端用户添加为其拥有的家用基站的 CSG成员），并且由用户数据服务器分配 SIS; 如图 7 所示，该方法包括如下步骤：

步骤 701 : 与步骤 501相同。

步骤 702: 用户数据服务器收到将终端用户增加为家用基站的 CSG成员的请求。

上述请求中至少包含家用基站标识、所述终端用户的真实用户标识。此外，上述请求中还可以包含终端用户使用的终端的属性参数，例如终端的 MAC地址、终端的 MSID等。

步骤 703 ~ 707: 与步骤 504 ~ 508相同。

步骤 708: 用户数据服务器向家用基站发送更新家用基站 CSG成员信息的消息（可以称为 CSG成员信息更新消息），通过此消息，用户数据服务器可将最新的家用基站的 CSG成员信息同步到所家用基站中。与家用基站相关的所有 CSG成员信息。

上述 CSG成员信息中至少包含 CSG成员的真实用户标识，以及用户数据服务器分配的参数 SIS。本实施例中， CSG成员信息至少包含终端用户的真实用户标识，用户数据服务器分配的参数 SIS。

步骤 709: 如步骤 510所述，家用基站使用上述 CSG成员信息更新消息中的参数更新该家用基站本地保存的 CSG成员信息。

步骤 710: 家用基站向用户数据服务器返回 CSG成员信息更新响应。实施例四

图 8是本发明的 CSG成员管理方法的第四实施例流程图；本实施例中，用户 (家用基站的拥有者）通过用户数据服务器来管理该家用基站的 CSG成员，并且由用户数据服务器分配 SIS; 在家用基站上线以后，用户数据服务器将变更后的 CSG成员信息同步到该家用基站。如图 8所示，该方法包括如下步骤：

步骤 801 - 806: 与步骤 702 ~ 707相同。

其中，在步骤 806中，用户数据服务器可以为家用基站设置一个标志，用来表示该家用基站的 CSG成员信息是否发生了变化；或者，用户数据服务器可以为家用基站的每一个 CSG成员都设置一个标志，用来表示该 CSG成员的信息是否发生了变化。

步骤 807: 家用基站接入移动通信网络，并执行家用基站的接入鉴权授权流程。

步骤 808: 对家用基站的接入鉴权成功以后，用户数据服务器向该家用基站返回鉴权成功响应；该响应中可以包含家用基站的 CSG成员信息，也可以不包含该家用基站的 CSG成员信息。下面分这两种情况分别叙述：

a、若上述响应中包含 CSG成员信息，则用户数据服务器使用该响应消息实现其与家用基站之间的 CSG信息同步。

用户数据服务器可以先将家用基站的 CSG信息发送到安全网关，进而由安全网关将该 CSG信息发送到家用基站。

此外，如果家用基站与安全网关之间使用 IPSec( Internet Protocol Security, 互联网协议安全）隧道来保障家用基站与安全网关之间的安全性，则上述接入鉴权过程可以与安全隧道的建立同时执行。在这种情况下，上述向家用基站发送鉴权成功响应消息的过程可以理解为：用户数据服务器首先将携带该家用基站的 CSG信息的消息发到安全网关上，例如，此时的消息可以是 RADIUS ( Remote Authentication Dial-In User Service,远程用户拨入认证系统） /Diameter消息；然后安全网关再通过另一消息（例如， IKE— AUTH消息）把上述 CSG信息转发至家用基站。

执行完步骤 808后，直接跳转执行步骤 811 , 此时步骤 809, 810和步骤 812都不需要执行。

b、如果上述响应不包含 CSG成员信息，则从步骤 809开始执行。

值得注意的是，鉴权成功响应消息中可携带一个提示家用基站其 CSG成员信息已发生变更的标识。

步骤 809: 可选地，收到鉴权成功响应消息后，家用基站向用户数据服务器发送请求更新该家用基站 CSG成员的消息。例如，家用基站在上述鉴权成功响应消息中解析出该家用基站的 CSG成员信息发生了变更的标识，家用基站根据该标识向用户数据服务器发送请求更新该家用基站 CSG成员的消息 (可以称为 CSG成员信息更新请求消息）。

步骤 810: 如步骤 708所述，用户数据服务器发现家用基站的 CSG信息发生了变更，向该家用基站发送更新家用基站 CSG成员信息的消息（可以称为 CSG成员信息更新消息）。

步骤 811 ~ 812: 与步骤 709 ~ 710相同。

实施例五

图 9是本发明的 CSG成员管理方法的第五实施例流程图；本实施例与图 8 所示的实施例四的不同之处在于：家用基站接入移动通信网络以后，用户数据服务器为该家用基站分配参数 SIS。如图 9所示，该方法包括如下步骤：步骤 901 - 906: 与步骤 801 ~ 806基本相同，所不同的是，在本实施例中，步骤 901 - 906不处理所述参数 SIS, 即：步骤 902中，用户数据服务器不生成参数 SIS; 步骤 903中用户数据服务器不将参数 SIS发送给 AAA服务器；步骤 904中， AAA服务器不保存参数 SIS; 步骤 906中，用户数据服务器不保存参数 SIS。

步骤 907: 与步骤 807相同，家用基站接入移动通信网络，并执行家用基站的接入鉴权授权过程。

步骤 908: 如步骤 802 (步骤 504 )所述，用户数据服务器为新加入 CSG 的终端用户分配参数 SIS。

步骤 909 ~ 911 : 用户数据服务器将分配的上述参数 SIS同步到 AAA服务器， AAA服务器保存参数 SIS。

此外，如果在家用基站入网之前，有多个终端用户被增加为该家用基站的 CSG成员，则用户数据服务器需要为每个终端用户分别分配一个 SIS, 同时将分配的 SIS同步到这些用户各自的 AAA服务器保存。

步骤 912: 与步骤 808相同。如果鉴权成功响应消息中携带家用基站的

CSG成员信息，则跳转至步骤 915,步骤 913 , 914和步骤 916都不需要执行；否则，从步骤 913开始执行。

步骤 913 ~ 916: 与步骤 809 ~ 812相同。需要注意的是，作为本实施例的变形，步骤 908 ~ 911可以发生在家用基站接入移动通信网络、执行家用基站的接入鉴权授权之前，也可以发生在家用基站的接入鉴权授权之后。例如，步骤 908 ~ 911可以发生在步骤 912之后、步骤 914之前的任意时刻。但是，若步骤 912中的鉴权成功消息中需要携带家用基站的 CSG信息，则步骤 909 ~ 911必须在如图 9所示的位置执行。

实施例六

在上述实施例中，管理家用基站的 CSG成员需要家用基站的拥有者、用户数据服务器以及 AAA服务器三方都认证授权。实际上，基于运营商的实际管理配置，管理家用基站的 CSG成员的操作可以不需要经过 AAA服务器的认证授权，实施例一至实施例五经过适当的变形和修改，就可以满足该场景的需求，没有本质上的差别。以下以第一实施例为例，详细描述所述的变形。

图 10是本发明的 CSG成员管理方法的第六实施例流程图；本实施例与图 5所示的第一实施例的区别在于 AAA服务器不对 CSG成员管理操作进行认证授权；具体步骤如下：

步骤 1001 ~ 1003: 与步骤 501 ~ 503相同。

步骤 1004: 与步骤 504基本相同；所不同的是，在本步骤中用户数据服务器对增加 CSG成员的请求进行最终认证授权（具体的认证授权方法可参考步骤 504 ) , 认证授权通过后依照步骤 504所述的方法，分配参数 SIS。

步骤 1005: 用户数据服务器向 AAA服务器发送 CSG信息更新消息；该消息中携带：家用基站标识，终端用户的真实用户标识以及该用户数据服务器分配的参数 SIS。

步骤 1006: 接收到 CSG信息更新消息后， AAA服务器将该消息中携带的参数 SIS, 终端用户的真实用户标识以及家用基站标识等信息保存在本地。

步骤 1007: AAA服务器向用户数据服务器返回 CSG信息更新响应消息。参照步骤 507, 若在步骤 1004中用户数据服务器没有保存或者緩存 SIS、终端用户的真实用户标识以及家用基站标识等参数，则 CSG信息更新响应消息中需要携带上述参数。

步骤 1008: 用户数据服务器收到来自 AAA服务器的 CSG信息更新响应消息后，若在步骤 1004中用户数据服务器没有保存 SIS、终端用户的真实用户标识以及家用基站标识等参数，则需要参照步骤 508所述的方法，将这些参数保存在用户数据服务器本地。

步骤 1009 ~ 1010: 与步骤 509 ~ 510相同。

可见， CSG成员管理方法的实施例六是对实施例一的变形，两者之间的主要差别是将实施例一的步骤 504 ~ 508变形为步骤 1004 ~ 1008。

同样，可以将 CSG成员管理方法的实施例二至实施例五做类似的变形。例如，实施例二的步骤 604 ~ 608变形为步骤 1004 ~ 1008；实施例三的步骤 703 - 707 变换为步骤 1004 ~ 1008; 实施例四的步骤 802 ~ 806 变换为步骤 1004 ~ 1008; 实施例五的步骤 902 ~ 906变形为步骤 1004 ~ 1008。

实施例七

在实施例六的基础上，用户数据服务器在对将终端用户增加为 CSG成员的请求进行认证授权后，不一定需要将变更以后的 CSG信息通知到终端用户的 AAA服务器上。对本发明中的实施例一至实施例五做适当的变形和修改，可以满足该场景的需求。以下以第一实施例为例，详细描述所述变形。

图 11是本发明的 CSG成员管理方法的第七实施例流程图；本实施例中与图 5所示的实施例一的不同之处在于整个过程无需 AAA服务器参与；如图 11所示，该方法包括如下步骤：

步骤 1101 ~ 1103: 与步骤 501 ~ 503相同。

步骤 1104:用户数据服务器对将终端用户增加为家用基站的 CSG成员的请求进行最终认证授权，并按照步骤 504中所述的方法分配参数 SIS。

步骤 1105: 用户数据服务器依照步骤 508中所述的方法，保存参数 SIS, 终端用户的真实用户标识以及家用基站标识。

步骤 1106 ~ 1107: 与步骤 509 ~ 510相同。

可见， CSG成员管理方法的实施例七是对实施例一的一种简化变形，具体地说，实施例七删除了实施例一的步骤 505 ~ 507 , 并对步骤 504和 508做了适当的修改（变更为步骤 1104和 1105所述的方法）。

同样，可以将 CSG成员管理方法的实施例二至实施例五做类似的简化和变形。具体地说，实施例二的步骤 605 ~ 607可删除，并使用同样的方法修改步骤 604和 608；实施例三的步骤 704 ~ 706可删除，并使用同样的方法修改步骤 703和 707；实施例四的步骤 803 ~ 805可删除，并使用同样的方法修改步骤 802和 806; 实施例五的步骤 903 ~ 905, 909 ~ 911可删除。

实施例八

图 12是本发明的 CSG成员管理方法的第八实施例流程图。

在 CSG成员管理方法的实施例一至实施例六中，参数 SIS由家用基站或者用户数据服务器分配并同步到 AAA服务器中。除了家用基站和用户数据服务器可实现分配参数 SIS以夕卜，终端用户的 AAA服务器也可以实现分配参数 SIS, 其原理与上述各实施例相同，差别仅在于将分配参数 SIS的执行点放到了 AAA服务器上，没有本质的区别。以下以第一实施例为例，详细描述所述差别。具体步骤如下：

步骤 1201 ~ 1203: 与步骤 501 ~ 503相同。

步骤 1204: 如步骤 504所述的方法，用户数据服务器对将终端用户增加为该家用基站的 CSG成员的请求进行初步认证授权；与步骤 504所不同的是，在本步骤中，用户数据服务器不为终端用户分配参数 SIS。

步骤 1205: 用户数据服务器向 AAA服务器发起认证授权请求，以请求将终端用户增加为家用基站的 CSG成员；上述认证授权请求消息中至少携带终端用户的真实用户标识以及家用基站标识。

步骤 1206: 如步骤 506所述的方法， AAA服务器对上述增加 CSG成员的请求进行认证以及授权，本步骤中的认证授权可以看作为最终认证授权；认证授权成功后， AAA服务器为终端用户分配参数 SIS。

AAA服务器可以根据发送所述认证授权请求的家用基站的标识，结合终端用户的归属运营商标识（如 NSP-ID )来生成唯一的参数 SIS。

此外， AAA服务器还可以直接将终端用户使用的终端的属性参数（例如，终端的 MAC地址、终端的 MSID )作为该终端用户的 SIS。该终端的属性参数可以是从上述的增加 CSG成员的请求中获取的；或者是 AAA服务器在本地取得的。例如，基于运营商的策略，在用户档案中保存了与该用户绑定的中的属性参数（MAC地址， MSID等），则，此时， AAA服务器可以使用上总之，此时，由 AAA服务器为该终端用户分配用户标识代号。

步骤 1207: AAA服务器向用户数据服务器返回认证授权响应消息；该消息中至少携带 AAA服务器分配的所述参数 SIS; 此外，认证授权响应消息中还需要携带终端用户标识、家用基站标识等参数。

步骤 1208 ~ 1210: 与步骤 508 ~ 510相同。

可见， CSG成员管理方法的实施例八是对实施例一的变形，两者之间的主要差别是将实施例一的步骤 504 ~ 508变形为步骤 1204 ~ 1208。通过上述变形处理，可以实现由 AAA服务器负责分配所述参数 SIS。

同样，可以将 CSG成员管理方法的实施例三和实施例四做类似的变形。例如，实施例三的步骤 703 ~ 707变换为步骤 1204 ~ 1208；实施例四的步骤 802 ~ 806变换为步骤 1204 ~ 1208。

为了在实施例五中实现类似的变形，需要将步骤 908 ~ 911 修改为步骤 908' ~ 911' , 具体描述如下：

步骤 908' : 不执行；

步骤 909，：用户数据服务器向 AAA服务器发送消息，以向 AAA服务器请求获取终端用户的参数 SIS; 上述请求中至少包含终端用户的真实用户标识、家用基站标识；此外，上述请求中还可以包含终端用户使用的终端的属性参数，如终端的 MAC地址， MSID等。

步骤 910': 如步骤 1106所述的方法， AAA服务器分配并保存终端用户的参数 SIS。

步骤 91 Γ: AAA服务器向用户数据服务器返回响应消息；该响应消息中至少携带 AAA服务器为所述终端用户分配的参数 SIS; 用户数据服务器收到该响应消息以后，按步骤 510所述的方法，保存 AAA服务器生成的参数 SIS, 更新其 CSG成员信息。实施例九

基于运营商的实际管理配置，即使由 AAA服务器负责分配参数 SIS, 对家用基站的 CSG成员进行管理的操作也可以不需要 AAA服务器进行认证授权。通过对实施例八做适当的变形，可以实现这种场景。在实施例八的基础上进行上述变形与实施例六对实施例一所作的变形的原理一致，没有本质的区别；具体地说，只需将步骤 1205的认证授权请求改为 CSG信息更新消息，将步骤 1207的认证 4受权响应改为 CSG信息更新响应消息；并取消步骤 1206 中的认证授权操作即可。

需要注意的是，在上述九个实施例中，用户数据服务器可以是家用基站的鉴权授权计费服务器（AAA服务器），也可以是专门用于 CSG成员管理的服务器，例如，管理系统（Management System ) 、网管系统（Network Management System )等。

根据本发明的基本原理，图 5 ~ 12所示的实施例还可以有多种变换方式，例如：

1 )在上述实施例中，考虑到一个终端用户可以是多个家用基站的 CSG 成员，因此分配和同步终端用户的参数 SIS时需要使用家用基站标识；如果不考虑以上因素，分配和同步终端用户的参数 SIS时可以不使用家用基站标识。

2 )考虑到以下场景：多个属于不同运营商（对应不同的网络标识）的用户使用各自的或者相同的终端、并通过相同的家用基站接入网络，不同运营商的 AAA服务器可能会分别为不同用户分配相同的参数 SIS, 即在家用基站和用户数据服务器上一个参数 SIS会对应不同终端用户的真实用户标识；在这种情况下，需要将参数 SIS与家用基站标识和网络标识三者相结合才能唯一确定一个终端用户的真实用户标识，因此在家用基站和用户数据服务器上存储参数 SIS和终端用户的真实用户标识时还需要同时存储对应的网络标识。

以下将结合附图和实施例对终端用户通过家用基站接入移动通信网，家用基站在终端用户接入的过程中进行接入控制的方法进行描述。

实施例十图 13是本发明第十实施例终端用户通过图 1所示的家用基站系统接入移动通信网的方法流程图；在本实施例中， AAA服务器查找终端用户的参数 SIS, 并将其传递给家用基站，家用基站将参数 SIS映射为该终端用户的真实用户标识，然后使用终端用户的真实用户标识，以及对应的 CSG信息对该终端用户进行接入控制；具体包括如下步骤：

步骤 1301 : 终端与家用基站之间完成空口参数同步及测距。

步骤 1302: 终端请求协商认证能力（如用户的认证策略等），并与家用基站、接入网关完成能力协商工作。

步骤 1303:接入网关启动 EAP鉴权流程，向家用基站发送用户标识请求，家用基站将该请求转发给终端。

步骤 1304: 收到用户标识请求后，终端向家用基站回复用户标识响应，其中携带终端用户的伪标识，家用基站将该响应透传给接入网关。

此外，终端还可以将终端标识（例如 MSID ) , 终端的 MAC地址等终端属性参数传递给家用基站，家用基站可以将这些信息保存在上下文中。

需要注意的是，上述终端用户的伪标识主要起到路由作用，且终端用户每次接入网络时都可能改变。

步骤 1305: 收到用户标识响应后，接入网关向 AAA服务器发送接入请求消息，并在该消息中携带终端用户的伪标识、家用基站工作模式信息和家用基站标识。

需要注意的是，接入网关能够区分终端接入的是家用基站或者是普通宏基站。例如，接入网关可以根据自己拥有的信息来判断，也可以根据家用基站上报的信息来判断（如，家用基站可以发送用户标识响应时，同时将自己是家用基站的指示传递到接入网关）。

家用基站工作模式信息用于标识家用基站工作在闭合模式、或开放模式、或混合模式。例如，接入网关可以根据自己拥有的信息来判断，也可以根据家用基站上报的信息来判断（如，家用基站可以发送用户标识响应时，同时将自己的工作模式传递到接入网关 ) 。

步骤 1306: AAA服务器基于终端用户的伪标识，使用 AAA服务器与终端协商好的鉴权方法，发起对终端的鉴权流程；在鉴权流程中， AAA服务器可以以安全的方式获得终端用户的真实用户标识。

终端与 AAA服务器之间可以釆用支持隐藏终端用户的真实用户标识的鉴权方法，例如 EAP-AKA方法、或 EAP-TTLS ( Extensible Authentication Protocol-Tunneled Transport Layer Security,可扩展认证协议-隧道传输层安全 ) 等方法进行接入鉴权。这些鉴权方法能够使 AAA服务器在获得终端用户的真实用户标识的同时，保障终端用户的真实用户标识的安全性和私密性。

步骤 1307: 在 AAA服务器通过了对终端用户的鉴权认证后， AAA服务器使用在鉴权过程中获取的终端用户的真实用户标识查找该终端用户相关的 CSG信息，其中包含该终端用户的参数 SIS。

AAA服务器可以使用终端用户的真实用户标识，并结合家用基站标识 (如 BSID )查找终端用户的 SIS。例如， AAA服务器可以在终端用户的用户档案中查找终端用户的 SIS。

如果 AAA服务器找不到终端用户的 SIS, 可以向用户数据服务器请求该终端用户的 SIS。

需要注意的是，只有当终端通过家用基站实施接入鉴权时 AAA服务器才执行本步骤。 AAA服务器可以自行判断终端是否通过家用基站接入（例如，通过基站标识来判断），也可以根据来自接入网关的提示来判断（例如通过接入网关带来的家用基站工作模式信息来判断）；或者，只有在终端通过家用基站实施接入鉴权，且该家用基站工作于闭合模式或者混合模式时， AAA 服务器才执行本步骤，在这种情况下， AAA服务器可以根据接入网关的提示来判断（例如通过接入网关带来的家用基站工作模式信息来判断）。

步骤 1308: AAA服务器向接入网关发送接入成功消息，表示接受用户接入（其中包含鉴权成功消息，表示鉴权成功），该消息中需要携带该终端用户相关的 CSG信息，其中至少包含终端用户的 SIS。

如果 AAA服务器没有找到终端用户的 SIS,则可以不在接入成功消息中携带 SIS值，或携带一个无意义的 SIS值（例如，空值（NONE ) ) 。

步骤 1309:接入网关通过 EAP转发消息将接入成功消息中的鉴权成功消息转发给家用基站，同时携带与终端用户相关的 CSG信息，其中至少包含终端用户的 SIS。

步骤 1310: 家用基站收到 EAP转发消息后，使用该消息中携带的终端用户的参数 SIS查找对应的真实用户标识，并使用终端用的真实用户标识以及对应的 CSG信息对终端用户进行接入控制。

如果家用基站处于开放模式，则可以不执行上述接入控制操作；如果家用基站处于闭合模式或者混合模式，则上述 CSG信息可以是家用基站的 CSG 成员列表，接入控制操作就是查看终端用户的真实用户标识是否在该家用基站的 CSG成员列表中；若家用基站处于混合模式，除了查看终端用户的真实用户标识是否在该家用基站的 CSG成员列表中夕卜，接入控制操作还可以包括：家用基站给属于 CSG成员的终端用户和不属于 CSG成员的终端用户分配不同的接入优先级等。

此外，家用基站可以结合终端用户的真实用户标识和终端的属性参数（如 MSID, 终端的 MAC地址）等信息、以及 CSG信息来进行接入控制操作。例如，家用基站使用终端用户的真实用户标识判断该终端是否为 CSG成员，并根据终端的属性参数判断该终端用户是否使用为其预先指定的特定终端接入；如果终端用户是 CSG成员，且使用上述特定终端接入，则允许其接入（或为其分配高接入优先级），否则不允许其接入（或为其分配低接入优先级）。

如果家用基站无法将参数 SIS映射成为一个有效的真实用户标识，则家用基站可以简单的认为用户不是其 CSG成员。

此外，当家用基站处于闭合模式，且终端用户不是其 CSG成员，则家用基站应当标记该家用基站接入失败（即不允许其接入）。

步骤 1311 : 家用基站通过 EAP转发消息将鉴权成功消息转发给终端。步骤 1312 , 继续执行用户接入相关的其他流程。

通过上述流程，可以实现由家用基站控制的与 CSG相关的用户接入过程。其中，如果家用基站判断接入失败（例如，在步骤 1310中，家用基站处于闭合模式并且终端用户不是该家用基站的 CSG成员），家用基站可在接入鉴权完毕以后强制所述终端执行退网流程。实施例十一

由于存在不需要 AAA服务器参与的 CSG成员管理场景（如图 11所示的实施例），因此 AAA服务器可能没有存储终端用户的参数 SIS, 在这种场景下， AAA服务器需要从用户数据服务器获取终端用户的参数 SIS。

图 14是本发明第十一实施例终端用户通过图 1所示的家用基站系统接入移动通信网的方法流程图；在本实施例中， AAA服务器从用户数据服务器获取终端用户的参数 SIS, 并将其传递给家用基站，家用基站将参数 SIS映射为该终端用户的真实用户标识，然后使用终端用户的真实用户标识，以及对应的 CSG信息对该终端用户进行接入控制；具体包括如下步骤：

步骤 1401 ~ 1406: 与步骤 1301 ~ 1306相同。

步骤 1407: AAA服务器使用在接入鉴权过程中获取的终端用户的真实用户标识向用户数据服务器发起 CSG信息获取请求，以请求获取与该用户相关的 CSG信息；该请求消息中携带终端用户的真实用户标识以及所述家用基站的标识（例如， BSID等）。

本步骤中， AAA服务器可以根据家用基站标识找到对应的用户数据服务器。

需要注意的是，只有在所述家用基站处于闭合模式或者混合模式的情况下， AAA服务器才需要执行此步骤。 AAA服务器可以根据接入网关的提示来判断所述家用基站所处的工作模式（例如通过接入网关带来的家用基站工作模式信息来判断家用基站所处的工作模式）。

步骤 1408:接收到 CSG信息获取请求后，用户数据服务器查找与终端用户相关的 CSG信息，其中包含终端用户的参数 SIS。

本步骤中，用户数据服务器可以使用终端用户的真实用户标识结合家用基站的标识（如 BSID )唯一的找到终端用户的参数 SIS。

步骤 1409: 用户数据服务器将与终端用户相关的 CSG信息返回给 AAA 服务器， CSG信息中至少包含终端用户的参数 SIS; 如果用户数据服务器找不到终端用户的参数 SIS, 可以不向 AAA返回参数 SIS、或返回一个无意义的 SIS值（例如，空值（NONE ) ) 。步骤 1410至 ~ 1414: 与步骤 1308 ~ 1312相同。

实施例十二

图 15是本发明第十二实施例终端用户通过图 1所示的家用基站系统接入移动通信网的方法流程图。在实施例十和实施例十一中，接入网关使用 EAP 转发消息将 AAA服务器发送的参数 SIS传递给家用基站，接入网关也可以通过密钥改变指示消息将参数 SIS传递给家用基站；对实施例十进行上述变形后的具体步骤如下：

步骤 1501 ~ 1508: 与步骤 1301 ~ 1308相同。

步骤 1509: 接入网关通过 EAP转发消息将鉴权成功消息转发给家用基站。

步骤 1510: 接入网关向家用基站发送密钥改变指示消息，该消息中携带终端用户相关的 CSG信息，其中至少包含终端用户的参数 SIS。

步骤 1511 : 与步骤 1310相同。

步骤 1512: 与步骤 1312相同。

对实施例十一也可以做类似的修改，原理相同，不再赘述。

根据本发明的基本原理，图 13 ~ 15 所示的实施例还可以有多种变换方式，例如：

( 1 )在上述实施例中，家用基站使用参数 SIS查找对应的真实用户标识，并使用该真实用户标识对终端用户进行接入控制；在本发明的其它实施例中，也可以建立以参数 SIS为索引的 CSG信息，家用基站在步骤 1310中直接使用终端用户的参数 SIS进行接入控制。

( 2 )在上述实施例中， AAA服务器将终端用户的参数 SIS通过接入网关发送给家用基站，家用基站使用参数 SIS查找对应的真实用户标识，并使用该真实用户标识对终端用户进行接入控制；在本发明的其它实施例中， AAA 服务器可以直接将终端用户的真实用户标识通过接入网关发送给家用基站，家用基站直接使用终端用户的真实用户标识进行接入控制。

当然，如果 AAA服务器将终端用户的真实用户标识通过接入网关发送给家用基站，则无法防止接入网关获取终端用户的真实用户标识，因此通常不适用于接入网关与 AAA服务器不属于同一运营商的情况；即使接入网关与 AAA服务器同属于一个运营商，但是接入网关与 AAA服务器之间的连接的安全得不到保障时，也不适用。

( 3 )在上述实施例中，考虑到一个终端用户可以是多个家用基站的 CSG 成员，因此 AAA服务器在使用终端用户的真实用户标识查找终端用户的参数 SIS时需要结合家用基站标识。如果所述 SIS的取值是全局唯一的，则 AAA 服务器使用终端用户的真实用户标识在本地或从用户数据服务器中仅能查找到一个参数 SIS, 则可以不使用家用基站标识。

( 4 )在上述实施例中（图 13至图 15 ) , 家用基站是从 AAA服务器获取终端用户的参数 SIS的，在本发明的其它实施例中，家用基站也可以直接从终端获取终端用户的参数 SIS, 例如，当直接使用终端的属性（如 MAC地址， MSID等 )作为参数 SIS时（参见步骤 504的相关描述 )。在这种情况下，家用基站就无需等待 AAA服务器向其返回终端用户的参数了。

以第九实施例（图 13 )为例，终端可以使用任意一条其与家用基站交互的消息，将终端的属性发送到家用基站，例如步骤 1301的空口参数同步及测距消息、步骤 1302的鉴权能力协商消息、步骤 1304的用户标识响应等等。在这种情况下，家用基站在获得了参数 SIS之后，可以立刻执行对终端用户的接入控制。

( 5 ) 除了使用 AAA服务器发送的真实用户标识或对应的 SIS进行接入控制外，家用基站还可以使用真实用户标识或对应的 SIS进行如下操作：移动终端从宏基站切换到家用基站；移动终端在家用基站下执行位置更新；移动终端在家用基站下执行空闲模式退出，以及重入网等等。

为了简化描述，根据本发明的基本原理，图 5 ~ 15所示的实施例是基于图 1所示的模型进行的。对于其他可能的模型，如图 2所示的模型，本发明一样能够适用。此外，图 1 (图 2 ) 中的安全网关可以与接入网关单独设置，也可以与接入网关合设，甚至不需要该完全网关，对本发明提供的方法没有冲突，同样适用，原理相同，在此不再赘述。

所述的用户数据服务器也可以被称作家用基站的 AAA服务器，或者被称作家用基站的 CSG服务器。

此外，如果分配所述 SIS、才艮据所述终端用户的真实标识查找对应的 SIS 不需要结合所述的家用基站标识时（例如， SIS的取值是全局唯一的，或者不仅 SIS的取值全局唯一而且与所述终端用户的真实标识是——对应的），那么所述用户数据服务器在发给所述 AAA服务器的请求中（例如，步骤 505 中的认证授权请求消息 )可以不用携带所述的家用基站标识。

除了上述方法实施例外，本发明还提供实施上述方法的用户接入系统和闭合用户组用户管理系统。

图 16是本发明实施例的用户接入系统结构示意图；如图 16所示，用户接入系统中包含：家用基站、安全网关、接入网关、 AAA服务器和用户数据服务器；其中，用户数据服务器可以通过安全网关或直接与家用基站相连、或通过接入网关与家用基站相连、或通过接入网关和安全网关与家用基站相连；用户数据服务器与 AAA服务器相连。该系统中各网元的功能和网元之间的连接关系（消息交互关系）详见对图 13 ~ 15所示的方法实施例的描述部分。

本发明实施例的闭合用户组用户管理系统结构示意图与用户接入系统结构示意图相同；如图 16所示，闭合用户组用户管理系统中包含：家用基站、安全网关、接入网关、 AAA服务器和用户数据服务器；其中，用户数据服务器可以通过安全网关或直接与家用基站相连、或通过接入网关与家用基站相连、或通过接入网关和安全网关与家用基站相连；用户数据服务器与 AAA服务器相连。该系统中各网元的功能和网元之间的连接关系（消息交互关系）详见对图 5 ~ 12所示的方法实施例的描述部分。

工业实用性

与现有技术相比，本发明不仅填补了当前 CSG用户管理的方法及系统的空白，还能避免在用户接入控制时在空口频繁传递用户真实标识，提供了用户标识私密性保护，降低了家用基站系统的安全隐患。

Claims

权利要求书

1、一种终端用户通过家用基站接入无线通信网络的接入方法，该方法包括：

终端接收到接入网关发送的用户标识请求后，通过家用基站向接入网关发送用户标识响应消息，所述响应消息中携带所述终端用户的伪标识；接入网关将所述伪标识发送给鉴权授权计费 AAA服务器；

AAA服务器使用所述伪标识发起对终端用户的鉴权流程，在所述鉴权流程中获取终端用户的真实用户标识；以及

AAA服务器将接入成功消息通过接入网关发送给所述家用基站；从而实现使家用基站通过真实用户标识、或真实用户标识对应的用户标识代号对终端用户接入无线通信网进行控制，其中，所述用户标识代号由家用基站或用户数据服务器或 AAA服务器在管理家用基站的闭合用户组 CSG 成员的过程中分配。

2、如权利要求 1所述的方法，所述方法在通过家用基站向接入网关发送用户标识响应消息的所述步骤之前还包括：

3、如权利要求 2所述的方法，进行接入控制的所述步骤包括：家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为所述家用基站的 CSG成员，

如果是，则允许所述终端用户接入或为其分配高接入优先级，并继续执行后续的步骤；

否则不允许所述终端用户接入或为其分配低接入优先级，如果判定不允许所述终端用户接入，则结束流程；如果判定为所述终端用户分配低接入优先级，则继续执行后续的步骤。

或者，家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为所述家用基站的 CSG成员，并根据所述终端的属性参数判断所述终端用户是否使用预先指定的终端接入，

如果所述终端用户是 CSG成员，且使用预先指定的终端接入，则允许所述终端用户接入或为其分配高接入优先级，并继续执行后续的步骤；

4、如权利要求 1所述的方法，其中，

AAA服务器将接入成功消息通过接入网关发送给所述家用基站的所述步骤包括：

AAA服务器向接入网关发送接入成功消息，所述接入成功消息中携带 AAA服务器在鉴权流程中所获取的真实用户标识对应的用户标识代号；接收到所述接入成功消息后，接入网关通过可扩展认证协议 EAP转发消息或密钥改变指示消息将所述真实用户标识或所述用户标识代号发送给家用基站。

5、如权利要求 4所述的方法，其还包括， AAA服务器通过如下方式之一获取所述真实用户标识对应的用户标识代号：

AAA服务器使用所述真实用户标识、或使用所述真实用户标识结合所述家用基站的标识在本地获取所述用户标识代号；或者

6、如权利要求 5所述的方法，其还包括：

家用基站使用所述真实用户标识或所述用户标识代号，或者将所述用户标识代号对应成所述真实用户标识后，对终端用户进行接入控制。

7、如权利要求 1至 6中任一权利要求所述的方法，其中，所述用户标识代号具有如下特征：在家用基站上，一个用户标识代号、或一个用户标识代号结合一个网络标识对应一个终端用户的真实用户标识；

和 /或，

在 AAA服务器上，一个终端用户的真实用户标识、或一个终端用户的真实用户标识结合一个家用基站的标识对应一个（组）终端用户的用户标识代号；

和 /或，

在用户数据服务器上，一个终端用户的真实用户标识、或一个终端用户的真实用户标识结合一个家用基站的标识、或一个终端用户的真实用户标识结合一个家用基站的标识和一个网络标识对应一个（组）终端用户的用户标识代号。

8、如权利要求 4所述的方法，其中，对终端用户进行接入控制的所述步骤包括：

家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为所述家用基站的 CSG成员；如果是，则允许所述终端用户接入或为其分配高接入优先级，否则不允许所述终端用户接入或为其分配低接入优先级；或者，

家用基站使用所述真实用户标识或所述用户标识代号判断所述终端用户是否为所述家用基站的 CSG成员，并根据所述终端的属性参数判断所述终端用户是否使用预先指定的终端接入；如果所述终端用户是 CSG成员，且使用预先指定的终端接入，则允许所述终端用户接入或为其分配高接入优先级，否则不允许所述终端用户接入或为其分配低接入优先级。

9、一种闭合用户组用户管理方法，其包括：

家用基站接收到将终端用户增加为闭合用户组 CSG成员的 CSG成员管理请求后，请求用户数据服务器、或请求用户数据服务器和鉴权授权计费 AAA服务器授权将所述终端用户增加为所述家用基站的 CSG成员；

所述用户数据服务器、或用户数据服务器和 AAA服务器对所述家用基站的请求进行认证授权，认证授权通过后，保存更新的 CSG成员信息，并授权将所述终端用户增加为所述家用基站的 CSG成员；以及

所述家用基站将所述终端用户增加为 CSG成员，并保存更新的 CSG成员信息；

其中，

所述 CSG成员信息包括：所述终端用户的真实用户标识、或所述家用基站标识、或所述终端用户的真实用户标识和所述家用基站的标识。

10、如权利要求 9所述的方法，其中，

所述方法在家用基站接收到将终端用户增加为闭合用户组 CSG成员的 CSG成员管理请求的所述步骤之后还包括：

家用基站为所述终端用户分配用户标识代号，并将所分配的用户标识代号与所述终端用户的真实用户标识一起、或与所述终端用户的真实用户标识和所述家用基站的标识一起发送给用户数据服务器、或发送给用户数据服务器和 AAA服务器；或者

所述方法在用户数据服务器对所述家用基站的请求进行认证授权且认证授权通过的步骤之后还包括：

用户数据服务器为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给家用基站、或将所分配的用户标识代号发送给家用基站并将该用户标识代号与所述终端用户的真实用户标识或与所述终端用户的真实用户标识和所述家用基站的标识一起发送给所述 AAA服务器；或者

所述方法在用户数据服务器和 AAA服务器对所述家用基站的请求进行认证授权且认证授权通过的步骤之后还包括：

AAA服务器为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给所述家用基站和用户数据服务器；

所述 CSG成员信息还包括：所述用户标识代号。

11、如权利要求 9所述的方法，所述方法在用户数据服务器对所述家用基站的请求进行认证授权且认证授权通过的步骤之后还包括：所述用户数据服务器向 AAA服务器发送 CSG信息更新消息，该消息中携带所述终端用户的真实用户标识、或携带所述终端用户的真实用户标识和所述家用基站的标识；

接收到所述 CSG信息更新消息后，所述 AAA服务器为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给所述用户数据服务器和家用基站；

所述 CSG成员信息还包括：所述用户标识代号。

12、如权利要求 10或 11所述的方法，其中，所述用户标识代号具有如下特征：

和 /或，

13、一种闭合用户组用户管理方法，其包括：

用户数据服务器接收到将终端用户增加为家用基站的闭合用户组 CSG 成员的 CSG成员管理请求后，用户数据服务器、或用户数据服务器和鉴权授权计费 AAA服务器对所述 CSG成员管理请求进行认证授权，认证授权通过后保存更新的 CSG成员信息，并由用户数据服务器将更新的 CSG成员信息发送给家用基站；

家用基站保存更新的 CSG成员信息；所述 CSG成员信息包括：所述终端用户的真实用户标识、或所述家用基站标识、或所述终端用户的真实用户标识和所述家用基站的标识。

14、如权利要求 13所述的方法，其中，

所述方法在用户数据服务器对所述 CSG成员管理请求进行认证授权且认证授权通过的步骤之后还包括：

所述用户数据服务器为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给家用基站、或将所分配的用户标识代号发送给家用基站并将该用户标识代号与所述终端用户的真实用户标识或与所述终端用户的真实用户标识和所述家用基站的标识一起发送给所述 AAA服务器；或者

所述方法在用户数据服务器和 AAA服务器对所述 CSG成员管理请求进行认证授权且认证授权通过的步骤之后还包括：

所述 AAA服务器为所述终端用户分配用户标识代号 ,并将所分配的用户标识代号发送给家用基站和用户数据服务器；

所述 CSG成员信息还包括：所述用户标识代号。

15、如权利要求 13所述的方法，其中，所述方法在用户数据服务器对所述 CSG成员管理请求进行认证授权且认证授权通过的步骤之后还包括：所述用户数据服务器向 AAA服务器发送 CSG信息更新消息，该消息中携带所述终端用户的真实用户标识、或携带所述终端用户的真实用户标识和所述家用基站的标识；

接收到所述 CSG信息更新消息后，所述 AAA服务器为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给用户数据服务器和家用基站；

所述 CSG成员信息还包括：所述用户标识代号。

16、如权利要求 14或 15所述的方法，其中，所述用户标识代号具有如下特征：

在家用基站上，一个用户标识代号、或一个用户标识代号结合一个网络标识对应一个终端用户的真实用户标识；和 /或，

和 /或，

17、如权利要求 13所述的方法，其中，用户数据服务器将更新的 CSG 成员信息发送给家用基站的所述步骤中，是釆用如下方式之一进行发送的：用户数据服务器将所述 CSG成员信息包含在 CSG成员信息更新消息中发送给家用基站；或者

在执行家用基站的接入鉴权授权的过程中，用户数据服务器将所述 CSG 成员信息包含在鉴权成功响应消息中发送给家用基站。

18、一种终端用户通过家用基站接入无线通信网络的接入系统，该系统包括：家用基站、接入网关、及鉴权授权计费 AAA服务器；其中，

所述接入网关设置成向终端发送用户标识请求，接收所述终端通过所述家用基站发送的用户标识响应消息，并将所述用户标识响应消息中携带的终端用户的伪标识发送给所述 AAA服务器；

19、如权利要求 18所述的系统，其中，所述 AAA服务器还设置成通过如下方式之一获取所述真实用户标识对应的用户标识代号：

所述 AAA服务器使用所述真实用户标识、或使用所述真实用户标识和所述家用基站的标识在本地获取所述用户标识代号；或者

20、一种闭合用户组用户管理系统，该系统包括：家用基站、及用户数据服务器；其中：

所述家用基站设置成在接收到将终端用户增加为闭合用户组 CSG成员的 CSG成员管理请求后，请求用户数据服务器授权将所述终端用户增加为该家用基站的 CSG成员；

所述 CSG成员信息包括：所述终端用户的真实用户标识、或所述家用基站的标识、或所述终端用户的真实用户标识和所述家用基站的标识。

21、如权利要求 20所述的系统，其中，

所述系统中还包括鉴权授权计费 AAA服务器，所述 AAA服务器设置成对所述 CSG成员管理请求进行认证授权，并保存更新的 CSG成员信息；所述家用基站还设置成在在获得所述用户数据服务器和所述 AAA服务器的授权后，将所述终端用户增加为 CSG成员，并保存更新的 CSG成员信息。

22、如权利要求 21所述的系统，其中，

所述家用基站还设置成在接收到 CSG成员管理请求后，为所述终端用户分配用户标识代号，并将所分配的用户标识代号与所述终端用户的真实用户标识一起、或将所分配的用户标识代号与所述终端用户的真实用户标识和所述家用基站的标识一起发送给所述用户数据服务器、或发送给所述用户数据服务器和所述 AAA服务器；或者

所述用户数据服务器还设置成在对所述 CSG成员管理请求认证授权通过后，为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给所述家用基站、或将所分配的用户标识代号发送给所述家用基站并将该用户标识代号与所述终端用户的真实用户标识一起或与所述终端用户的真实用户标识和所述家用的基站标识一起发送给所述 AAA服务器；或者

所述 AAA服务器还设置成在对所述 CSG成员管理请求认证授权通过后、或在接收到所述用户数据服务器发送的 CSG信息更新消息后，为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给所述家用基站和所述用户数据服务器；

所述 CSG成员信息还包括：所述用户标识代号。

23、一种闭合用户组用户管理系统，该系统包括：家用基站、及用户数据服务器；其中，

所述用户数据服务器设置成在接收到将终端用户增加为家用基站的闭合用户组 CSG成员的 CSG成员管理请求后，对所述 CSG成员管理请求进行认证授权，认证授权通过后保存更新的 CSG成员信息，并将更新的 CSG成员信息发送给所述家用基站；

所述家用基站设置成保存更新的 CSG成员信息；

所述 CSG成员信息包括：所述终端用户的真实用户标识、或所述家用基站的标识、或所述终端用户的真实用户标识和所述家用基站标识。

24、如权利要求 23所述的系统，其中，

所述系统还包括鉴权授权计费 AAA服务器，所述 AAA服务器设置成对

CSG成员管理请求进行认证授权，认证授权通过后保存更新的 CSG成员信息，并授权将终端用户增加为所述家用基站的 CSG成员；所述用户数据服务器还设置成在获得所述 AAA服务器的授权后 ,保存所述更新的 CSG成员信息，并将所述更新的 CSG成员信息发送给所述家用基站。

25、如权利要求 24所述的系统，其中，

所述用户数据服务器还设置成在接收到 CSG成员管理请求后，为所述终端用户分配用户标识代号，并将所分配的用户标识代号发送给所述家用基站、或将所分配的用户标识代号发送给所述家用基站并将该用户标识代号与所述终端用户的真实用户标识一起或与所述终端用户的真实用户标识和所述家用基站标识一起发送给所述 AAA服务器；或者

所述 CSG成员信息还包括：所述用户标识代号。