一种中继系统的安全密钥获取方法、装置的制作方法

专利名称：一种中继系统的安全密钥获取方法、装置的制作方法
技术领域：
本发明涉及通信技术领域，具体涉及一种中继系统的系统密钥获取方法、装置。
背景技术：
LTE-A (Long Term Evolution-Advanced，演进的 LTE)是当前最受关注的宽带无 线通信技术标准3GPP LTE的演进，为了提高小区边缘的吞吐量，LTE-A中引入中继节点 (Relay Node, RN)，方便运营商或用户临时网络部署需求，以及支持群移动功能，RN可以部 署在乡村、城市、室内热点区域或者盲点区域。RN具有如下特性RN可以具有属于自己的物理小区标识(PCI，Physical Cell Identity)，用于传输 自己的同步信号，参考信号；UE可以接收RN的调度信息以及自动重传请求(HARQ，Hybrid Automatic Retransmitting Request)反馈，并发送自己的控制信息给RN ；针对3GPP Release 8 UE，RN可以为R8 eNB,即具有后向兼容特性；针对LTE-A UE，RN可以为不同于R8 eNB的实体。RN位于RN归属基站Donor eNB与UE之间，RN向UE发送下行信号，或者RN向DeNB 发送上行信号，其中，RN与DeNB之间的空口叫做Un 口，RN与UE之间的空口叫Uu 口。eNB 到UE的数据经过两段空口，即经过两跳到达UE，随着更多RN的加入，LTE-A里还可以出现 多跳场景。RN可以完成Uu 口上无线承载(RB，Radio Bearer)和Un 口上RB的相互映射，映 射方式可以包括一对一的映射，具体为Uu 口上一个RB映射到Un 口上一个RB ；多对一的映射，具体为Uu 口上多个RB映射到Un 口上一个RB，同理，也可以将一个 UE的所有RB映射到Un 口上一个RB，此时，Un 口的RB是每个UE即per UE粒度；还可以将 Uu 口上有类似业务质量(Qos，Quality of Service)的RB映射到Un 口的一个RB上。由于RN的引入，使得空口链路段数增多，密钥层次也增多，现有安全机制不能对 各段空口上数据进行有效的安全保护。

发明内容
本发明实施例提供了一种中继系统安全密钥获取方法、装置，使UE在Un 口链路上 的数据可以分别保护。本发明实施例公开了一种中继系统安全密钥获取方法，包括中继系统的节点获取初始密钥；所述节点根据所述初始密钥获取本节点与本节点直接相邻的其他节点之间的空 口保护密钥的根密钥；所述节点根据所述根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。本发明实施例公开了一种中继系统安全密钥获取方法，包括第一中继节点在与第一中继节点的相邻接节点认证的过程中获取根密钥；所述第一中继节点根据所述根密钥获取用于保护所述第一中继节点与所述相邻 接节点之间的空口保护密钥；所述第一中继节点的相邻接节点包括所述第一中继节点的上级节点和/或所述 第一中继节点的下级节点。一种基站，包括获取模块，用于中继系统的节点获取初始密钥；获取模块一，用于根据获取模块获取的所述初始密钥，获取本节点与本节点直接 相邻的其他节点之间的空口保护密钥的根密钥；获取模块二，用于根据获取模块一获取的所述根密钥，获取本节点与本节点直接 相邻的所述其他节点之间的所述空口保护密钥。一种中继节点，包括获取模块一，用于第一中继节点在与第一中继节点的相邻接节点在认证的过程中 获取根密钥；获取模块二，用于所述第一中继节点根据所述获取模块一获取的所述根密钥获取 保护所述第一中继节点与所述相邻接节点之间的空口保护密钥；所述第一中继节点的相邻接节点包括所述第一中继节点的上级节点和/或所述 第一中继节点的下级节点。本发明实施例通过eNB接收初始密钥，根据该初始密钥获取eNB与直接下级节点 之间的空口保护密钥的根密钥，根据该根密钥获取所述eNB与直接下级节点之间的空口保 护密钥，使UE在Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一 套安全参数，从而对各段空口上数据进行有效的安全保护。


为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使 用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本 领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其 他的附图。图1为本发明中继系统安全密钥获取方法第一实施例的流程图；图2为本发明中继系统安全密钥获取方法第二实施例的流程图；图3为本发明中继系统安全密钥获取方法第三实施例的流程图；图4为本发明中继系统安全密钥获取方法第四实施例的流程图；图5为本发明中继系统安全密钥获取方法第五实施例的流程图；图6为本发明中继系统安全密钥获取方法第六实施例的流程图；图7为本发明中继系统安全密钥获取方法第七实施例的流程图；图8为本发明中继系统安全密钥获取方法第八实施例的流程图；图9为本发明中继系统安全密钥获取方法第九实施例的流程图10为本发明实施例一种中继系统节点的结构示意图；图11为本发明实施例另一种中继系统节点的结构示意图。
具体实施例方式为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进 一步地详细描述，显然，所描述的实施例仅仅是本发明一部份实施例，而不是全部的实施 例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的 所有其它实施例，都属于本发明保护的范围。LTE系统认证过程中，归属用户服务器(HSS，Home Subscriber Server)根据本地 原始根密钥K生成原始加密根密钥和原始完整性保护根密钥，即CK，IK，在认证过程中，HSS 根据该CK，IK获取核心网的初始密钥KASME，并将该Kasme发送给MME，MME根据该Kasme获取 非接入层(NAS，Non-Access Stratum)密钥Knas和接入网的初始密钥KeNB，MME将该KeNB发 送给基站eNB，eNB在本地根据该KeNB获取接入层(AS，access stratum)密钥Kas，其中，Knas 包括NAS消息加密密钥和NAS消息完整性保护密钥，Kas包括用户面UP (User Plane,用户 面)的加密密钥、控制面CP(Contrc)I Plane，控制面)的完整性保护密钥与控制面CP的加 密密钥。UE侧也根据本地原始根密钥K生成CK，IK, UE根据该CK，IK获取出KASME，UE根据 该Kasme获取NAS密钥Knas和KeNB，UE根据该KeNB获取AS密钥Kas，MME与UE使用的密钥获取 方法如下KDF (key derivation function)即密钥推衍函数，包括推衍得到的密钥=HMAC-SHA_256(Key，S)；Key 是输入密钥，S = FC| IPO I I LO I I Pl I |L1. · ·；FC长度为一个字节，用于区分不同算法，PO是输入参数，LO是PO的长度，...。获取方法如下Kasme = KDF(CK| | IK, S10), Sl O = f ( FC, PLMN ID, SQN 十 AK)；
MME和UE在本地获取KeNB = KDF(Kasme, Sll)，Sll = f (Uplink NAS COUNT)；Knas = KDF (Kasme, S15)，S15 = f (algorithm typeeNB和UE在本地获取Kas = KDF(KeNB，S15)。S10 = f (FC, PLMN ID, SQN θ AK) = FCl IPLMN ID| | length of PLMN ID I ISQN十AK 丨 Ilength of ( SQN φ AK)；其中FC = 0x10 ；PLMN ID即公共陆地移动网络标识。SQN是序列号，AK可以为匿 名密钥；length of XX可以为xx的长度；Sll = f (FC, Uplink NAS COUNT) = FC Uplink NAS COUNT length of Uplink NAS COUNT ；其中FC = 0X11，Uplink NAS COUNT可以为上行NAS消息计数值；
distinguisher, algorithm id)；
S15 = f(FC, algorithm type distinguisher, algorithm id) = FC| |algorithm type distinguisher length of algorithm type distinguisher algorithm id I length of algorithm id;其中，FC= 0X15，algorithm type distinguisher 可以为算法类型区别号， algorithm id可以为算法标识号。但是由于RN的引入，使得空口链路段数增多，密钥层次也增多，现有安全机制不 能对各段空口上数据进行有效的安全保护。为了解决上述技术问题，本发明实施例提供了 一种多跳系统的密钥获取方法，具体情况如下本发明下面的实施例以3跳系统为例进行详细介绍，各实施例的方法同样也适用 于2跳或大于2跳的系统。图1为本发明中继系统安全密钥获取方法第一实施例的流程图，包括101、中继系统的节点获取初始密钥；102、所述节点根据所述初始密钥获取本节点与本节点直接相邻的其他节点之间 的空口保护密钥的根密钥；103、所述节点根据所述根密钥，获取本节点与本节点直接相邻的所述其他节点之 间的所述空口保护密钥。本发明实施例通过中继系统的节点获取初始密钥，所述节点根据所述初始密钥获 取本节点与本节点直接相邻的其他节点之间的空口保护密钥的根密钥，所述节点根据所述 根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。使UE在 Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而 对各段空口上数据进行有效的安全保护。进一步，当所述中继系统的节点为基站eNB时，所述中继系统中的节点获取初始 密钥，包括所述eNB从移动性管理实体MME获取初始密钥；进一步，当所述中继系统的节点为中继节点RN时，所述中继系统中的节点获取初 始密钥，包括所述RN从MME或eNB获取初始密钥；进一步，当所述中继系统的节点为用户终端UE时，所述中继系统中的节点获取初 始密钥，包括所述UE从所述UE的上级节点获取初始密钥。进一步，当所述中继系统中的节点为eNB时，所述方法进一步包括所述eNB根据传递输入参数及所述初始密钥获取所述eNB的下级节点的初始密 钥；所述eNB向本节点的下级节点中的一个节点发送所述初始密钥；所述eNB向所述本节点的下级节点的一个节点的直接相邻的节点发送所述传递 输入参数，以使得所述本节点的下级节点中的一个节点与所述本节点的下级节点的一个节 点的直接相邻的节点根据所述传递输入参数及所述初始密钥获取所述本节点的下级节点 中的一个节点与所述本节点的下级节点的一个节点的直接相邻的节点之间的空口保护密 钥的根密钥。8
进一步，当所述中继系统中的节点为中继节点RN时，所述方法进一步包括所述RN接收上级节点发送的传递输入参数；所述节点根据所述初始密钥获取本节点与本节点直接相邻节点之间的空口保护 密钥的根密钥，具体包括所述中继节点RN根据所述初始密钥与所述传递输入参数获取本节点与直接相邻 节点之间的空口保护密钥的根密钥。进一步，当所述中继系统中的节点为中继节点UE时，所述方法进一步包括所述UE接收上级节点发送的传递输入参数；所述节点根据所述初始密钥获取本节点与本节点直接相邻节点之间的空口保护 密钥的根密钥，具体包括所述UE根据所述初始密钥与所述传递输入参数获取本节点与直接相邻节点之间 的空口保护密钥的根密钥。特此说明，该实施例涉及的输入参数可以为传递输入参数。本发明实施例通过中继系统的节点获取初始密钥，所述节点根据所述初始密钥获 取本节点与本节点直接相邻的其他节点之间的空口保护密钥的根密钥，所述节点根据所述 根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。使UE在 Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而 对各段空口上数据进行有效的安全保护。图2为本发明中继系统安全密钥获取方法第二实施例的流程图，本实施例中，UE 根据UE本地原始根密钥K获取全部空口密钥，KeNB由上级节点eNB或RN从空口传递给下级 RN，本发明实施例涉及的输入参数可以为本地输入参数。如图2所示201、RNl接入网络，完成认证过程；202、RN2接入网络，完成认证过程；203、UE接入网络，完成认证过程；其中，步骤201、步骤202和步骤203不分先后顺序。204、MME根据UE认证过程生成的密钥Kasme'获取Knas和初始密钥KeNB ；步骤204中，获取Knas、初始密钥KeNB的方法与LTE系统中密钥获取方法类似，在此 不再赘述。205、MME将该初始密钥KeNB发送给eNB ；206、eNB接收并保存MME发送的该初始密钥KeNB ；207、eNB向RNl转发该初始密钥KeNB ；208、RNl保存该初始密钥KeNB ；209、eNB和RNl根据该初始密钥KeNB在本地获取eNB和RNl之间的根密钥KeNB‘， 根据该根密钥KeNB‘获取用于保护eNB和冊1之间的UP、CP数据的空口密钥，具体方法如 下KeNB ‘=叨卩0(_，€(第一输入参数))所述的第一输入参数可以为RNl入网时，eNB给RNl分配的临时标识参数 C-TNTI1，需要特别说明的是RNl每次重新接入新的DeNB时所获得的C-RNTIl不同；或者所 述的第一输入参数可以为eNB与RNl之间特定UE的无线资源控制(RRC，Radio ResourceControl)消息计数值参数RRC MESSAGE COUNTl ；或者所述的第一输入参数可以为eNB和 RNl协商的随机值参数NONCE 1，输入参数可以包括但不限于上述三种参数之一或任意组口 O由根密钥KeNB'获取用于保护eNB和RNl之间的UP、CP数据保护密钥，其中，UP数 据保护密钥即UP加密密钥Kup■，CP数据保护密钥即CP加密密钥Κκκ·和CP完整性保护 密钥KKKei int，三种密钥的获取方法参照上述Kas获取公式，输入密钥是Kdffi ‘，下面以KUPm。密 钥获取为例进行说明，即Kupenc = KDF(KeNB ‘ , f (UP encryption algorithm type distinguisher, UP encryption algorithm id))其中，UP encryption algorithm type distinguisher 为用户面加密算法类型区 分符，UP encryption algorithm id为用户面加密算法ID。210、RNl将该初始密钥KeNB转发给RN2 ；211、RN2保存该初始密钥KeNB ；212、RNl与RN2根据该初始密钥KeNB获取根密钥Kkni，获取方法为Kffll = KDF (KeNB，f (第二输入参数))其中，所述第二输入参数可以为RN2入网时，謂1给RN2分配的临时标识参数 C-RNTI2 ；或者所述第二输入参数可以为RNl与RN2之间关于特定UE的RRC消息计数值参数 RRC MESSAGE C0UNT2 ；或者所述第二输入参数可以为謂1和RN2协商的随机值参数N0NCE2。 输入参数可以包括但不限于上述三种参数之一或任意组合。由根密钥Kkni获取RNl和RN2之间Un 口链路上UP、CP数据保护密钥Kupen。‘、 KEECenc' >KEECi int‘的方法与LTE系统中Kas获取方法类似，在此不再赘述。213、UE在本地获取Knas和初始密钥KeNB，获取方法与现有技术类似，再此不再赘 述。RN2和UE根据该初始密钥KeNB获取根密钥Ken2,根据该根密钥Kkn2获取用于保护UE与 RN2之间的UP、CP数据的空口密钥，该Kkn2获取方法可以包括下面两种方式a、Kkn2 = KDF(KeNB，f(第三输入参数))其中，输入密钥为KeNB，第三输入参数可以为UE入网时，RN2给UE分配的临时标识 参数C-RNTI3 ；或者第三输入参数可以为RN2与UE之间的关于特定UE的RRC消息计数值 参数RRC MESSAGE C0UNT3，或者第三输入参数可以为RN2与UE协商出随机值参数N0NCE3。 该输入参数可以包括但不限于上述三种参数之一或任意组合。b、采用小区内切换htra-cell handover方式更新KeNB获取根密钥Kkn2，具体为Kffl2 = KDF (KeNB，f (PCI，EARFCN-DL))其中，输入密钥为切换前使用的密钥KeNB，输入参数可以为目标小区物理标识PCI 和目标小区无线频率信道数EARFCN-DL。
本发明实施例通过eNB接收初始密钥KeNB，根据该初始密钥KeNB获取eNB与RNl节 点之间的根密钥ΚεΝΒ'，根据该根密钥ΚεΝΒ‘获取所述eNB与直接下级节点之间的空口保护 密钥，eNB转发该初始密钥Κ_，以使得各下级节点根据所述初始密钥Kdffi获取各下级节点 之间的空口保护密钥的根密钥，使UE在Un 口链路上的数据可以分别保护，即每个活动的UE 在Un 口链路上都有一套安全参数，从而对各段空口上数据进行有效的安全保护。
图3为本发明中继系统安全密钥获取方法第三实施例的流程图，本实施例中，与实施例二不同的是eNB根据收到的KeNB，在本地获取所有下级RN节点的初始密钥，然后将获 取结果或获取的参数下发给各级RN，本发明实施例涉及的输入参数可以包括传递输入参数 和本地输入参数。如图3所示步骤301 305与实施例二中的步骤201 205类似，在此不再赘述；306、eNB在本地根据接收的初始密钥KeNB获取各下级节点的初始密钥Kh^Ken2,获 取方法如下Kffll = KDF (KeNB，f (第四输入参数))Kffl2 = KDF (KeNB，f (第五输入参数))其中所述的第四输入参数可以为传递输入参数，该第四传递输入参数可以为RN2 入网时，RNl给RN2分配的临时标识参数C-RNTI4，需要特别说明的是RN2每次重新接入新 的DeNB时所获得的C-RNTI4不同；或者所述第四传递输入参数可以为RNl和RN2协商的随 机值参数NONCE 4 ；其中所述第五输入参数可以为第五传递输入参数，第五传递输入参数可以为UE 入网时，RN2给UE分配的临时标识参数C-TNTI5，需要特别说明的是UE每次重新接入新的 DeNB时所获得的C-RNTI5不同；或者所述第五传递输入参数可以为eNB和RNl协商的随机 值参数NONCE 5 ；或者，第四输入参数与第五输入参数还可以为其他输入参数，例如相应RN的id， 或者相应RN的载波频点等。该输入参数可以包括但不限于上述三种参数之一或任意组合。307、eNB将该初始密钥KeNB、第四输入参数发送给RNl ；
308、eNB和RNl根据该初始密钥KeNB获取eNB和RNl之间的根密钥KeNB ‘，eNB和 RNl根据该根密钥Kdffi'获取用于保护UP、CP数据的密钥，该Kdffi'的获取方法如下KeNB‘ = KDF (KeNB, f (第六本地输入参数))其中，所述的第六本地输入参数可以为RNl入网时，eNB给RNl分配的临时标识参 数C-TNT6，RN1每次重新接入新的DeNB，所获得的C-RNTI6不同；所述的第六本地输入参数 可以为eNB与RNl之间特定UE的无线资源控制(RRC，RadioResource Control)消息计数 值参数RRC MESSAGE C0UNT6 ；所述的第六本地输入参数可以为eNB和謂1协商的随机值参 数NONCE 6。该本地输入参数可以包括但不限于上述三种参数之一或任意组合。由根密钥KeNB'获取用于保护eNB和謂1之间UP、CP数据保护密钥，其中，UP数据 保护密钥即UP加密密钥Kupm。，CP数据保护密钥即CP加密密钥KKKten。和CP完整性保护密 钥Kkio int，三种密钥的获取方法参照上述Kas获取方法公式，输入密钥是Kdffi'，下面以KUPm。 密钥获取为例进行说明，即Kupenc = KDF(KeNB ‘ , f (UP encryption algorithm type distinguisher, UP encryption algorithm id))其中，UP encryption algorithm type distinguisher 为用户面加密算法类型区 分符，UP encryption algorithm id为用户面加密算法ID。309、eNB将该初始密钥KKN1、KeNB、该第五输入参数发送给RN2 ；310、RNl根据该eNB的初始密钥KeNB以及第五输入参数获取RNl的初始密钥Keni， RNl与RN2根据该初始密钥Keni获取RNl与RN2之间的根密钥Keni ‘，冊1与RN2根据该根 密钥Kkni ‘获取用于保护RNl和RN2之间的UP、CP数据的空口密钥KUPen。、KEECenc, KEECi int，获11取方法与LTE系统中Kas获取方法类似，在此不再赘述，Keni'的获取方法如下Kffll ‘ = KDF (Keni，f (第七本地输入参数))其中，输入密钥为Kkni，第七本地输入参数可以为謂1与RN2之间的关于特定UE 的RRC消息计数值参数RRC MESSAGE C0UNT7,或者第七本地输入参数可以为RNl分配给 RN2的临时标识参数C-RNTI7，或者第七本地输入参数可以为RNl与RN2协商出随机值参数 N0NCE7。该本地输入参数可以包括但不限于上述三种参数之一或任意组合。31URN2根据eNB的初始密钥KeNB和第五输入参数获取RN2的初始密钥Ken2,该Ken2 获取方法与步骤306中的获取方法类似。312、RN2向UE发送该第五输入参数；313,UE在本地获取Knas及初始密钥ΚεΝΒ、ΚΜ2，该初始密钥KeNB的获取方法参照上述 与K.的获取公式，再此不再赘述；初始密钥Kkn2的获取方法与步骤306中Kkn2的获取方法 类似，RN2和UE根据该初始密钥Kkn2获取RN2和UE之间的根密钥Ken2 ‘，RN2和UE根据该 Kffl2'获取用于保护UE与RN2之间的UP、CP数据空口密钥，Kkn2‘获取方法可以包括以下两 种方式a、Ken2 ‘ = KDF (KEN2, f (第八本地输入参数))其中，输入密钥Kkn2，第八本地输入参数可以为RN2与UE之间RRC消息计数值参 数RRC MESSAGE C0UNT8,或者第八本地输入参数可以为RN2分配给UE的临时标识参数 C-RNTI8,或者第八本地输入参数可以为RN2与UE协商出随机值参数NONCES，该输入参数可 以包括但不限于上述三种参数之一或任意组合。b、采用小区内切换intra-cell handover方式更新Kkn2，获得Kkn2‘，具体方法为Kffl2 ‘ = KDF (Ken2，f (PCI，EARFCN-DL))；其中，输入密钥可以为切换前使用的密钥Ken2,输入参数PCI可以为目标小区物理 标识，EARFCN-DL可以为目标小区无线频率信道数。本发明实施例通过eNB根据所述KeNB获取各下级节点的初始密钥，eNB转发所述各 下级节点的初始密钥及获取所述初始密钥用到的输入参数，以使得各下级节点根据所述初 始密钥及所述输入参数获取各下级节点的空口保护密钥的根密钥。使UE在Un 口链路上的 数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而对各段空口上 数据进行有效的安全保护。图4为本发明中继系统安全密钥获取方法第四实施例的流程图，本实施例中，与 实施例三不同的是eNB、RN节点的初始密钥都在MME中集中获取产生，然后下发获取结果或 者下发获取结果和参数给各节点，如图4所示步骤401 403与实施例二中的步骤201 203类似，在此不再赘述，不同之处在 于404、MME根据UE认证过程中生成的密钥Kasme获取Knas和MME下eNB的初始密钥 KeNB,获取方法如下KeNB = KDF (Kasme, f (UL NAS COUNT))Kffll = KDF (Kasme, f (第十输入参数))Kffl2 = KDF (Kasme, f (第—^一输入参数))其中，输入密钥为认证过程中产生的密钥KASME，UL NAS COUNT为MME中UE的上行NAS信令的计数值参数，所述第十输入参数可以包括第十传递输入参数，该第十传递输入参 数可以为随机值参数N0NCE10或者MME与对应RN之间的NAS COUNT值，第—^一输入参数可 以为第十一传递输入参数，第十一传递输入参数可以为随机值参数N0NCE11或者MME与对 应RN之间的NAS COUNT值。该输入参数可以包括但不限于上述三种参数之一或任意组合。 405、MME向eNB发送初始密钥KeNB ；406、MME向RNl发送初始密钥KeNB、第十输入参数；407、MME向RN2发送初始密钥KeNB、KKN1、第i^一输入参数；408、RN2向UE发送第i^一输入参数；409、RNl和eNB根据初始密钥KeNB获取根密钥KeNB ‘，RNl和eNB根据该根密钥 KeNB'获取用于保护RNl和eNB之间UP、CP数据的空口密钥，获取方法如下KeNB‘ = KDF(KeNB, f(第十二本地输入参数))其中，第十二本地输入参数可以为C-TNT12可以为所述的第十二本地输入参数可 以为RNl入网时，eNB给RNl分配的临时标识参数C-TNT12，RNl每次重新接入新的DeNB，所 获得的C-RNTI12不同；或者所述的第十二本地输入参数可以为eNB与RNl之间特定UE的 无线资源控制(RRC，I adio Resource Control)消息计数值参数 RRC MESSAGE COUNT 12 ；或 者所述的第十二本地输入参数可以为eNB和謂1协商的随机值参数NONCE 12。该本地输入 参数可以包括但不限于上述三种参数之一或任意组合。由KeNB'获取用于保护RNl和eNB之间UP、CP数据保护密钥，其中，UP数据保护密 钥即UP加密密钥ΚυΡεη。，CP数据保护密钥即CP加密密钥KKKten。和CP完整性保护密钥Kkkm int，三种密钥的获取方法参照上述Kas获取方法公式，输入密钥是Kdffi ‘，下面以ΚυΡ·密钥获 取为例进行说明，即Kupenc = KDF(KeNB ‘ , f (UP encryption algorithm type distinguisher, UP encryption algorithm id))其中，UP encryption algorithm type distinguisher 为用户面加密算法类型区 分符，UP encryption algorithm id为用户面加密算法ID。410,RNl根据eNB的初始密钥KeNB、第十输入参数获取RNl的初始密钥Kkni，获取方 法与步骤404类似，在此不再赘述；RNl和RN2分别根据该初始密钥Kkni获取RNl和RN2之 间的根密钥Kkn/，获取方法与实施例三中步骤310类似，在此不再赘述；RN1、RN2根据该根 密钥Kkni ‘获取用于保护RNl与RN2之间的UP、CP数据空口保护密钥KUPen。、KCPenc, KCPint。411、RN2根据该RNl与eNB之间的初始密钥KeNB、第i^一输入参数获取RN2与UE 之间的初始密钥KKN2，获取方法与步骤404类似；412、UE在本地获取eNB的初始密钥KeNB，UE根据该KeNB、第i^一输入参数获取RN2 的初始密钥Ken2，UE和RN2根据RN2的初始密钥Kkn2获取RN2与UE之间的根密钥Kkn2 ‘，RN2 与UE根据该Kkn2'获取用于保护UE与RN2之间的CP、UP数据空口密钥，Kupenc, KEECenc, KEECi int，获取方法与LTE系统中Kas获取方法类似，在此不再赘述，Ken2 ‘获取方法如下a、Ken2 ‘ = KDF (KEN2, f (第十三本地输入参数))其中，输入密钥为Ken2,第十三本地输入参数可以为UE入网时，可以为RN2分配给 UE的临时标识参数C-RNTI13 ；或者第十三输入参数可以为RN2与UE之间的RRC消息计数 值参数RRC MESSAGE C0UNT13，或者第十三本地输入参数可以为RN2与UE协商出随机值参13数N0NCE13 ；该本地输入参数可以包括但不限于上述三种参数之一或任意组合。b、采用小区内切换intra-cell handover方式更新Ken2获取Kkn2‘，更新方法与 313(b)类似，在此不再赘述。本发明实施例通过移动性管理实体MME根据所述MME认证过程中生成的密钥获取 所述MME下eNB的下级节点的初始密钥，以及所述eNB的初始密钥；所述MME向所述下级 节点发送所述eNB的初始密钥或所述下级节点的初始密钥；以使得所述下级节点根据所述 eNB的初始密钥或所述下级节点与MME认证过程中生成的密钥，获取所述下级节点与所述 下级节点的直接下级节点之间的空口保护密钥的根密钥。使UE在Un 口链路上的数据可以 分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而对各段空口上数据进行 有效的安全保护。图5为本发明中继系统安全密钥获取方法第五实施例的流程图，本实施例中，Un 口链路保护密钥基于RN节点的永久密钥Ka，可用于保护RN特定的RB，也可用于保护属于 该RN的所有UE的RB。本发明实施例涉及的输入参数可以为本地输入参数。如图5所示501、RNl接入网络，完成认证过程，在认证过程中用Ka获取密钥KASME_RN1 ；502、RN2接入网络，完成认证过程，在认证过程中用Kb获取密钥KASME_RN2 ；503、MME、RN1分别根据认证过程中生成的密钥KASME_RN1获取Knas和RNl的初始密 钥Km，MME、RN2分别根据认证过程中生成的密钥Kasme_RN2获取Knas和RN2的初始密钥Ken2, 获取方法可以参照上述Knas的获取公式，输入密钥是认证过程中生成的密钥；504、MME将获取的该初始密钥Kkni发送给eNB ；505、MME将获取的该始密钥Kkn2发送给RNl ；506,RNl和eNB根据该初始密钥Keni获取用于保护RNl和eNB之间的UP、CP数据 的空口密钥，获取方法与LTE系统中获取Knas的方法类似，输入密钥为Kkni ；
507、RN2根据该初始密钥Kkn2获取RNl与RN2之间的根密钥Ken2 ‘，RNl和RN2根 据该根密钥Kkn2‘获取用于保护RNl和RN2之间的UP、CP数据的空口密钥，获取方法与LTE 系统中获取Kas的方法类似，输入密钥为Ken2'，Kffl2‘的获取方法为Kffl2'=叨卩0^2，€(第十四输入参数))其中，第十四输入参数可以为RNl与RN2之间关于特定UE的RRC消息计数值参数 RRC MESSAGE C0NUT14 ；或者，第十四输入参数可以为RN2入网时謂1给RN2分配的临时标 识参数C-RNTI14，或者第十四输入参数还可以为RNl和RNl协商出的随机值参数N0NCE14 可，该输入参数可以包括但不限于上述三种参数之一或任意组合。本发明实施例通过移动性管理实体MME根据输入参数和所述MME认证过程中生成 的密钥获取所述MME下eNB的下级节点的初始密钥，以及所述eNB的初始密钥；所述MME向 所述下级节点发送所述eNB的初始密钥或所述下级节点的初始密钥；所述MME向所述下级 节点发送所述输入参数；以使得所述下级节点根据所述输入参数和所述eNB的初始密钥， 或输入参数和所述下级节点与MME认证过程中生成的密钥，获取所述下级节点与所述下级 节点的直接下级节点之间的空口保护密钥的根密钥。使UE在Un 口链路上的数据可以分别 保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而对各段空口上数据进行有效 的安全保护。本发明的各实施例还可以联合使用，例如，当RNl与eNB之间的Un 口上有两类承载，分别是RNl的承载与UE的承载，对于RNl的承载，可以使用实施例五的方法生成密钥进 行保护，对于UE的承载，可以使用实施例二的方法进行保护，同理，对于RNl与RN2之间的 Un 口上的RN2承载也可以使用实施例五的方法生成密钥进行保护，对于RNl与RN2之间的 Un 口上的UE承载也可以使用实施例二的方法生成密钥进行保护；其中，对于謂1与eNB之 间的Un 口上的UE承载还可以使用实施例三的方法生成密钥进行保护，对于RNl与RN2之 间的Un 口上的UE承载，也可以使用实施例三的方法生成密钥进行保护；其中，对于RNl与 eNB之间的Un 口上的UE承载还可以使用实施例四的方法生成密钥进行保护，对于RNl与 RN2之间的Un 口上的UE承载，也可以使用实施例四的方法生成密钥进行保护。图6为本发明中继系统安全密钥获取方法第六实施例的流程图，本实施例中下级 RN使用的保护密钥和上级RN使用的密钥相关联，本发明实施例涉及的输入参数可以为本 地输入参数。如图6所示601、RNl接入网络，完成认证过程；602.MME和RNl分别根据认证过程中生成的密钥KASME_RN1获取Knas和RNl的初始 密钥Keni,获取方法可以与LTE系统类似，输入密钥是认证过程中生成的密钥KASME_RN1，输入 参数可以为RNl的Uplink NAS COUNT ；603、MME将该初始密钥Kkni发送给eNB ；604,RNl根据该初始密钥Keni直接获取用于保护RNl和eNB之间的UP、CP数据的 空口密钥，获取方法与LTE系统中获取Kas类似，输入密钥为Keni ；605、RN2接入网络，完成认证过程，MME在RN2认证过程中，MME向RN2发送RNl的初始密钥Kkni ；606、MME和RN2根据认证过程中生成的该KASME_RN2、RNl的初始密钥Keni获取Knas 和RN2的初始密钥Kkn2，该Ken2获取方法如下Kffl2 = KDF(Kasme_RN2, Keni, f (Uplink NAS COUNT of RN2))输入密钥是Kasme_RN2和K·，607、MME将该初始密钥Kkn2发送给RNl ；608、RN2根据该Ken2获取RNl与RN2之间的根密钥Ken2'，根据该根密钥Kffl2'获 取用于保护RNl和RN2之间的UP、CP数据的空口密钥，获取方法与LTE系统中获取Kas类 似，输入密钥为Kkn2'；609、UE接入网络，完成认证过程，并将KRNl和KRN2发送给UE。610.MME和UE根据认证过程中生成的密钥Kasme_UE、Kkn2获取初始密钥KeNB和Knas， 其中，K.的获取方法如下KeNB = KDF(Kasme_UE, Ken2, f (Uplink NAS COUNT of UE))输入密钥Kasme_UE 和 Ken2 ；
611、MME将该eNB的初始密钥KeNB发送给RN2 ；612、RN2根据该初始密钥KeNB获取UE与RN2之间的根密钥KeNB ‘，RN2和UE根据 该KeNB ‘获取用于保护RN2和UE之间的UP、CP数据的空口密钥，输入密钥为Ken2 ‘，该KeNB ‘ 的获取方法有两种a、与实施例二步骤209中KeNB'获取方法类似，输入密钥为KeNB，第一输入参数可 以为RN2与UE之间RRC消息计数值，或者第一输入参数可以为RN2分配给UE的C-RNTI，或者第一输入参数可以为RN2与UE协商出的新鲜值NONCE ；该输入参数可以包括但不限于上 述参数之一或任意组合。b、采用intra-cell handover方式更新KeNB，获取根密钥KeNB‘，更新方法为KeNB ‘ = KDF (KeNB, f (PCI，EARFCN-DL))；其中，KeNB‘可以为更新后的密钥，输入密钥可以为切换前使用的密钥K·，输入参 数PCI可以为目标小区物理标识，EARFCN-DL为目标小区无线频率信道数。本发明实施例通过中继系统的节点获取初始密钥，所述节点根据所述初始密钥获 取本节点与本节点直接相邻的其他节点之间的空口保护密钥的根密钥，所述节点根据所述 根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。使UE在 Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而 对各段空口上数据进行有效的安全保护。图7为本发明中继系统安全密钥获取方法第七实施例的流程图，本实施例中各级 RN与自己上一级节点认证，生成各段空口保护密钥。如图7所示701、RNl接入网络，与eNB相互认证；702,RNl和eNB分别根据认证过程中生成的RNl和eNB之间的根密钥Kaut KN1获取 用于保护他们之间空口上UP、CP数据的密钥，获取方法与LTE系统中获取Kas类似，输入密 钥为K腿；703、RN2接入网络，与觀1相互认证；704,RNl和RN2分别根据认证过程中生成的RNl和RN2之间的根密钥Kaut KN2获取 用于保护他们之间空口上UP、CP数据的密钥，获取方法与参照上述Kas的获取公式，输入密 钥为IW本实例通过第一中继节点在与第一中继节点的相邻接节点认证的过程中获取根 密钥，所述第一中继节点根据所述根密钥获取用于保护所述第一中继节点与所述相邻接节 点之间的空口保护密钥，所述第一中继节点的相邻接节点包括所述第一中继节点的上级节 点和/或所述第一中继节点的下级节点。使各个节点上的数据可以分别保护，即每个活动 的UE在Un 口链路上都有一套安全参数，从而对各段空口上数据进行有效的安全保护。本发明实施例还可以与实施例一 / 二 /三联合使用，实施例七的方法用于保护Un 口上的RN相关的承载，实施例一 / 二 /三用于保护Un 口上的UE相关的承载。图8为本发明中继系统安全密钥获取方法第八实施例的流程图，本实施例中各级 RN与都与eNB认证，生成各段空口保护密钥，如图8所示801、RNl接入网络，与eNB相互认证；802、eNB与RNl分别根据认证过程中生成的eNB与RNl之间的根密钥Kkni获取用 于保护他们之间空口上UP、CP数据的密钥；803、RN2接入网络，与eNB相互认证；804,eNB和RN2分别在认证过程中生成RN2的初始密钥Kkn2，eNB将该初始密钥Ken2 转发给RNl，RNl和RN2分别根据该Kkn2获取RNl和RN2之间的根密钥Kkn2 ‘，根据该Ken2 ‘ 获取用于保护RNl和RN2之间空口上UP、CP数据的密钥。本实例通过第一中继节点在与第一中继节点的相邻接节点认证的过程中获取根 密钥，所述第一中继节点根据所述根密钥获取用于保护所述第一中继节点与所述相邻接节点之间的空口保护密钥，所述第一中继节点的相邻接节点包括所述第一中继节点的上级节 点和/或所述第一中继节点的下级节点。使各个节点上的数据可以分别保护，即每个活动 的UE在Un 口链路上都有一套安全参数，从而对各段空口上数据进行有效的安全保护。本发明实施例还可以与实施例一 / 二 /三联合使用，实施例八的方法用于保护Un 口上的RN相关的承载，实施例一 / 二 /三用于保护Un 口上的UE相关的承载。使UE在Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而对 各段空口上数据进行有效的安全保护。图9为本发明中继系统安全密钥获取方法第十二实施例的流程图，包括901、第一中继节点在与第一中继节点的相邻接节点认证的过程中获取根密钥；902、所述第一中继节点根据所述根密钥获取用于保护所述第一中继节点与所述 相邻接节点之间的空口保护密钥；所述第一中继节点的相邻接节点包括所述第一中继节点的上级节点和/或所述 第一中继节点的下级节点。本发明实施例通过中继系统的节点获取初始密钥，所述节点根据所述初始密钥获 取本节点与本节点直接相邻的其他节点之间的空口保护密钥的根密钥，所述节点根据所述 根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。使UE在 Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而 对各段空口上数据进行有效的安全保护。图10为本发明实施例一种中继系统的节点的结构示意图，包括获取模块1001，用于中继系统的节点获取初始密钥；获取模块一 1002，用于根据获取模块获取的所述初始密钥，获取本节点与本节点 直接相邻的其他节点之间的空口保护密钥的根密钥；获取模块二 1003，用于根据获取模块一获取的所述根密钥，获取本节点与本节点 直接相邻的所述其他节点之间的所述空口保护密钥。所述的获取模块具体用于当所述中继系统中的节点为基站eNB时，所述eNB从移 动性管理实体MME获取初始密钥；所述的获取模块具体用于当所述中继系统中的节点为中继节点RN时，所述RN从 MME或eNB获取初始密钥；所述的获取模块具体用于当所述中继系统中的节点为用户终端UE时，所述UE从 所述UE的上级节点获取初始密钥。进一步，所述装置还包括所述的获取模块还用于当所述中继系统中的节点为eNB时，所述eNB根据传递输 入参数及所述获取模块获取的所述初始密钥获取所述eNB的下级节点的初始密钥；发送模块1004，用于所述eNB向本节点的下级节点中的一个节点发送所述初始密 钥和所述eNB向所述本节点的下级节点的一个节点的直接相邻的节点发送所述传递输入 参数，以使得所述本节点的下级节点中的一个节点与所述本节点的下级节点的一个节点的 直接相邻的节点根据所述传递输入参数及所述初始密钥获取所述本节点的下级节点中的 一个节点与所述本节点的下级节点的一个节点的直接相邻的节点之间的空口保护密钥的 根密钥。
进一步，当所述中继系统中的节点为中继节点RN时，所述装置还包括接收模块1005，用于所述RN接收上级节点传递输入参数；所述获取模块一还用于所述RN根据所述初始密钥与所述传递输入参数获取本节 点直接相邻节点之间的空口保护密钥的根密钥。进一步，当所述中继系统中的节点为中继节点UE时，所述装置还包括所述的接收模块还用于当所述中继系统中的节点为中继节点UE时，所述UE接收 上级节点传递输入参数；所述的获取模块一还用于所述UE根据所述初始密钥与所述传递输入参数获取本 节点直接相邻节点之间的空口保护密钥的根密钥。本发明实施例通过中继系统的节点获取初始密钥，所述节点根据所述初始密钥获 取本节点与本节点直接相邻的其他节点之间的空口保护密钥的根密钥，所述节点根据所述 根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。使UE在 Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而 对各段空口上数据进行有效的安全保护。图11为本发明实施例一种中继节点的结构示意图，包括获取模块一 1101，用于第一中继节点在与第一中继节点的相邻接节点认证的过程 中获取根密钥；获取模块二 1102，用于所述第一中继节点根据所述获取模块一获取的所述根密钥 获取保护所述第一中继节点与所述相邻接节点之间的空口保护密钥；所述第一中继节点的相邻接节点包括所述第一中继节点的上级节点和/或所述 第一中继节点的下级节点。本发明实施例通过中继系统的节点获取初始密钥，所述节点根据所述初始密钥获 取本节点与本节点直接相邻的其他节点之间的空口保护密钥的根密钥，所述节点根据所述 根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。使UE在 Un 口链路上的数据可以分别保护，即每个活动的UE在Un 口链路上都有一套安全参数，从而 对各段空口上数据进行有效的安全保护。在通过以上的各实施例的描述，本领域的技术人员可以清楚地了解到本发明可借 助软件及必需的通用硬件平台的方式来实现，当然，也可以通过硬件，但很多情况下前者是 更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献 的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括 若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本 发明各个实施例该的方法。虽然通过参照本发明的某些优选实施方式，已经对本发明进行了图示和描述，但 本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发 明的精神和范围。通过以上的各实施例的描述，本领域的技术人员可以清楚地了解到本发明可借助 软件及必需的通用硬件平台的方式来实现，当然，也可以通过硬件，但很多情况下前者是更 佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的 部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发 明各个实施例该的方法。 虽然通过参照本发明的某些优选实施方式，已经对本发明进行了图示和描述，但 本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发 明的精神和范围。
权利要求
1.一种中继系统安全密钥获取方法，其特征在于，包括 中继系统的节点获取初始密钥；所述节点根据所述初始密钥获取本节点与本节点直接相邻的其他节点之间的空口保 护密钥的根密钥；所述节点根据所述根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述 空口保护密钥。
2.根据权利要求1所述的方法，其特征在于，当所述中继系统的节点为基站eNB时，所述中继系统中的节点获取初始密钥，包括 所述eNB从移动性管理实体MME获取初始密钥；当所述中继系统的节点为中继节点RN时，所述中继系统中的节点获取初始密钥，包括所述RN从MME或eNB获取初始密钥；当所述中继系统的节点为用户终端UE时，所述中继系统中的节点获取初始密钥，包括所述UE从所述UE的上级节点获取初始密钥。
3.根据权利要求1所述的方法，其特征在于，当所述中继系统中的节点为eNB时，所述方法进一步包括所述eNB根据传递输入参数及所述初始密钥获取所述eNB的下级节点的初始密钥； 所述eNB向本节点的下级节点中的一个节点发送所述初始密钥； 所述eNB向所述本节点的下级节点的一个节点的直接相邻的节点发送所述传递输入 参数，以使得所述本节点的下级节点中的一个节点与所述本节点的下级节点的一个节点的 直接相邻的节点根据所述传递输入参数及所述初始密钥获取所述本节点的下级节点中的 一个节点与所述本节点的下级节点的一个节点的直接相邻的节点之间的空口保护密钥的 根密钥。
4.根据权利要求1所述的方法，其特征在于，当所述中继系统中的节点为中继节点RN 时，所述方法进一步包括所述RN接收上级节点发送的传递输入参数；所述节点根据所述初始密钥获取本节点与本节点直接相邻节点之间的空口保护密钥 的根密钥，具体包括所述RN根据所述初始密钥与所述传递输入参数获取本节点与直接相邻节点之间的空 口保护密钥的根密钥。
5.根据权利要求1所述的方法，其特征在于，当所述中继系统中的节点为用户终端UE 时，所述方法进一步包括所述UE接收上级节点发送的传递输入参数；所述节点根据所述初始密钥获取本节点与本节点直接相邻节点之间的空口保护密钥 的根密钥，具体包括所述UE根据所述初始密钥与所述传递输入参数获取本节点与直接相邻节点之间的空 口保护密钥的根密钥。
6.一种中继系统的安全密钥获取方法，其特征在于，包括第一中继节点在与第一中继节点的相邻接节点认证的过程中获取根密钥； 所述第一中继节点根据所述根密钥获取用于保护所述第一中继节点与所述相邻接节 点之间的空口保护密钥；所述第一中继节点的相邻接节点包括所述第一中继节点的上级节点和/或所述第一 中继节点的下级节点。
7.—种中继系统的节点，其特征在于，包括 获取模块，用于中继系统的节点获取初始密钥；获取模块一，用于根据获取模块获取的所述初始密钥，获取本节点与本节点直接相邻 的其他节点之间的空口保护密钥的根密钥；获取模块二，用于根据获取模块一获取的所述根密钥，获取本节点与本节点直接相邻 的所述其他节点之间的所述空口保护密钥。
8.根据权利要求7所述的基站，其特征在于，所述的获取模块具体用于当所述中继系统的节点为基站eNB时，所述eNB从移动性管 理实体MME获取初始密钥；或者所述的获取模块具体用于当所述中继系统的节点为中继节点RN时，所述RN从MME或 eNB获取初始密钥；或者所述的获取模块具体用于当所述中继系统的节点为用户终端UE时，所述UE从所述UE 的上级节点获取初始密钥。
9.根据权利要求7所述的基站，其特征在于，所述装置还包括所述获取模块还用于当所述中继系统中的节点为eNB时，所述eNB根据传递输入参数 及所述初始密钥获取所述eNB的下级节点的初始密钥；发送模块，用于所述eNB向本节点的下级节点中的一个节点发送所述初始密钥和所述 eNB向所述本节点的下级节点的一个节点的直接相邻的节点发送所述传递输入参数，以使 得所述本节点的下级节点中的一个节点与所述本节点的下级节点的一个节点的直接相邻 的节点根据所述传递输入参数及所述初始密钥获取所述本节点的下级节点中的一个节点 与所述本节点的下级节点的一个节点的直接相邻的节点之间的空口保护密钥的根密钥。
10.根据权利要求7所述的基站，其特征在于，所述装置还包括接收模块，用于当所述中继系统中的节点为中继节点RN时，所述RN接收上级节点传递 输入参数；所述获取模块一还用于所述RN根据所述初始密钥与接收模块接收的所述传递输入参 数获取本节点直接相邻节点之间的空口保护密钥的根密钥。
11.根据权利要求7所述的基站，其特征在于，所述装置还包括所述的接收模块还用于当所述中继系统中的节点为用户终端UE时，所述UE接收上级 节点传递输入参数；所述的获取模块一还用于所述UE根据所述初始密钥与所述接收模块接收的传递输入 参数获取本节点直接相邻节点之间的空口保护密钥的根密钥。
12.—种中继系统的节点，其特征在于，包括获取模块一，用于第一中继节点在与第一中继节点的相邻接节点在认证的过程中获取 根密钥；获取模块二，用于所述第一中继节点根据所述获取模块一获取的所述根密钥获取保护 所述第一中继节点与所述相邻接节点之间的空口保护密钥；所述第一中继节点的相邻接节点包括所述第一中继节点的上级节点和/或所述第一 中继节点的下级节点。
全文摘要
本发明实施例公开了一种中继系统安全密钥获取方法与装置，通过中继系统的节点获取初始密钥，所述节点根据所述初始密钥获取本节点与本节点直接相邻的其他节点之间的空口保护密钥的根密钥，所述节点根据所述根密钥，获取本节点与本节点直接相邻的所述其他节点之间的所述空口保护密钥。以使得各下级节点根据所述初始密钥获取各下级节点之间的空口保护密钥的根密钥，使UE在Un口链路上的数据可以分别保护，即每个活动的UE在Un口链路上都有一套安全参数，从而对各段空口上数据进行有效的安全保护。
文档编号H04W88/08GK102056159SQ20091011002
公开日2011年5月11日 申请日期2009年11月3日 优先权日2009年11月3日
发明者张冬梅, 张爱琴, 毕晓宇 申请人:华为技术有限公司