一种确定安全能力的方法和装置与流程

本发明实施例涉及无线通信技术领域，特别涉及一种确定安全能力的方法和装置。

背景技术：

双连接(dualconnectivity，dc)技术指的是终端同时连接到两个基站，该两个基站中一个作为主基站，另一个为辅基站。终端从这两个基站接收下行数据的技术。相比终端在单个基站下所能达到的下行数据接收速率，dc技术的引入使得接收速率得到了大幅提升。

考虑到渐进部署，在5g通信系统中，终端所接入的两个基站中主基站可以为第四代(4thgeneration，4g)基站、辅基站可以为第五代(5thgeneration，5g)基站，且这两个基站与长期演进(longtermevolution，lte)的演进分组核心网(evolvedpacketcore，epc)的移动性管理实体(mobilitymanagemententity，mme)连接。通常，终端和不同制式的基站之间通信时使用的安全能力不同，例如，终端和4g基站之间使用4g安全能力，终端和5g基站之间使用5g安全能力。其中，4g安全能力可以为终端所支持的4g安全算法，5g安全能力可以为终端所支持的5g安全算法。在这种场景下，终端连接到主基站之后，主基站需要将5g安全能力发送给辅基站，以便终端和辅基站建立连接，以形成dc。

主基站通常可以从mme处获得5g安全能力，因此，mme需要通过升级以具有可以识别5g安全能力的功能，但是在移动网络的发展过程中，并非所有的mme均升级，这样便导致未升级的mme可能不具有识别5g安全能力的功能。当终端进行涉及mme改变的连接态切换(connectedstatehandover)时，源mme(终端切换前通过源基站接入的mme)需要把终端的4g安全能力和5g安全能力传递给目标mme(终端切换后通过主基站接入的mme)，但是，在源mme未升级，不能识别5g安全能力的情况下，源mme通常无法将5g安全能力传递给目标mme。目前，通常终端在完成涉及mme改变的连接态切换后，可以通过跟踪区更新(trackingareaupdate，tau)过程向主基站上报5g安全能力，以使得主基站获取到5g安全能力，具体的，终端会在tau请求消息中携带4g安全能力和5g安全能力。

然而，现有技术中，主基站必须在完成切换后通过tau流程才能获得辅基站和终端之间使用的5g安全能力，这使得辅基站和终端之间的连接需要在切换完成之后才开始建立，从而导致双连接的建立速度较慢。

技术实现要素：

本申请提供一种确定安全能力的方法和装置，用以解决现有技术中存在的主基站无法在终端切换服务基站的过程中获取终端和辅基站之间使用的安全能力的问题。

第一方面，本发明实施例提供一种确定安全能力的方法，包括：第一基站通过第二基站向终端发送第一消息，第一消息包括第一指示，第一指示用于指示终端上报终端支持的第一安全能力，第一消息用于指示终端从第二基站切换至第一基站；第一基站接收来自终端的第二消息，第二消息用于确定第一安全能力；第一基站根据第二消息，确定第一安全能力。

本申请提供一种确定安全能力的方法，第一基站通过第二基站向终端发送第一消息，第一消息包括第一指示，第一指示用于指示终端上报终端支持的第一安全能力，第一消息用于指示终端从第二基站切换至第一基站；第一基站接收来自终端的第二消息，第二消息用于确定第一安全能力；第一基站根据第二消息，确定第一安全能力。如此，当第一基站中不具备第一安全能力时，第一基站可以从终端处获取第一安全能力，然后，第一基站可以将该第一安全能力发送给第三基站，如此便于后续终端通过该第一安全能力与第三基站建立双连接，另一方面，当第一基站中具备安全能力时，第一基站可以先基于该安全能力创建双连接，然后根据终端发送的第一安全能力确定第一基站中具有的安全能力是否被篡改，当第一基站根据第一安全能力确定第一基站未被篡改时，可以不用修改已建立的双连接，从而使得双连接可以在终端切换至第一基站的过程中建立。

结合第一方面，在第一方面的第一种可能的实现方式中，第二消息为切换完成消息，切换完成消息包括第一安全能力，第一基站根据第二消息，确定第一安全能力，包括：第一基站从切换完成消息中确定第一安全能力。在这种情况下，第一基站可以在终端切换过程中便获取到第一安全能力相比于现有技术中需要在切换后通过tau流程相比，可以提前获取第一安全能力的时间，以使得双连接的建立提前。

结合第一方面或第一方面的第二种可能的实现方式，第一方面的第三可能的实现方式中，第一基站通过第二基站向终端发送第一消息之前，本申请提供的方法还包括：第一基站接收来自第一管理实体的用于指示第一基站获取第一安全能力的第三消息；第一基站根据第三消息，确定第一指示。

结合第一方面至第一方面的第三种可能的实现方式中的任一项，在第一方面的第四种可能的实现方式中，第三消息包括标识信息，标识信息用于指示获取第一安全能力，第一基站根据第三消息，确定第一指示，包括：第一基站将标识信息确定为第一指示；或，第一基站基于标识信息生成第一指示。

结合第一方面至第一方面的第四种可能的实现方式中的任一项，在第一方面的第五种可能的实现方式中，第一基站通过第二基站向终端发送第一消息之前，本申请提供的方法还包括：第一基站接收来自第一管理实体的第四消息，第四消息包括第二安全能力；第一基站向第三基站发送第二安全能力，第二安全能力用于建立终端与第三基站之间的连接。通过第一基站先将第二安全能力发送给第三基站，可以使得终端先通过第二安全能力与第三基站建立连接，基于此可以使得双连接的建立过程在切换过程中进行。

结合第一方面至第一方面的第五种可能的实现方式中的任一项，在第一方面的第六种可能的实现方式中，第一基站根据第二消息，确定第一安全能力之后，本申请提供的方法还包括：若第二安全能力与第一安全能力不一致，则第一基站向第三基站发送第五消息，第五消息包括第一安全能力。

结合第一方面至第一方面的第六种可能的实现方式中的任一项，在第一方面的第七种可能的实现方式中，第一指示为第二安全能力，第一基站根据第二消息，确定第一安全能力，包括：第一基站根据第一指示，将第二安全能力确定为第一安全能力。

结合第一方面至第一方面的第七种可能的实现方式中的任一项，在第一方面的第八种可能的实现方式中，第一指示为第二安全能力，第二消息包括第一安全能力，第一基站根据第二消息，确定第一安全能力，包括第一基站从第二消息中确定第一安全能力。

第二方面，本申请提供一种确定安全能力的方法，包括：终端接收第一消息，第一消息包括第一指示，第一指示用于指示终端上报终端支持的第一安全能力，第一消息用于指示终端从第二基站切换至第一基站；终端根据第一指示，向第一基站发送第二消息，第二消息用于指示第一基站确定第一安全能力。

结合第二方面，第二消息为切换完成消息，切换完成消息包括第一安全能力。

结合第二方面或第二方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，第一指示为第二安全能力，第二安全能力用于建立终端与第三基站之间的连接，终端根据第一指示，向第一基站发送第二消息，包括：若第二安全能力与第一安全能力不一致，则终端向第一基站发送第二消息，第二消息包括第一安全能力。

结合第二方面至第二方面的第二种可能的实现方式中的任一项，在第一方面的第三种可能的实现方式中，第一指示为第二安全能力，第二安全能力用于建立终端与第三基站之间的连接，终端根据第一指示，向第一基站发送第二消息，包括：若第二安全能力与第一安全能力一致，则终端向第一基站发送第二消息，第二消息具体用于指示将第二安全能力确定为第一安全能力。

结合第二方面至第二方面的第三种可能的实现方式中的任一项，在第一方面的第四种可能的实现方式中，本申请提供的方法还包括：终端在接入第三基站的随机接入过程中，向第三基站发送第一安全能力。

结合第二方面至第二方面的第四种可能的实现方式中的任一项，在第一方面的第五种可能的实现方式中，第一安全能力与下一代系统相关，本申请提供的方法还包括：终端接收广播消息；终端根据广播消息，确定终端所在的区域中不存在下一代系统的服务；终端向第二基站发送第三消息，第三消息不包括第一安全能力。

相应的，第三方面，本申请提供一种确定安全能力的装置，该确定安全能力的装置可以实现第一方面至第一方面的任一项所描述的确定安全能力的方法。例如，该确定安全能力的装置可以为基站，或者为设置在基站中的芯片。其可以通过软件、硬件、或者通过硬件执行相应的软件实现上述方法。

一种设计为，该基站包括：发送单元，用于通过第二基站向终端发送第一消息，第一消息包括第一指示，第一指示用于指示终端上报终端支持的第一安全能力，第一消息用于指示终端从第二基站切换至第一基站；接收单元，用于接收来自终端的第二消息，第二消息用于确定第一安全能力；确定单元，用于根据第二消息，确定第一安全能力。

结合第三方面，在第三方面的第一种可能的实现方式中，第二消息为切换完成消息，切换完成消息包括第一安全能力，确定单元，用于从切换完成消息中确定第一安全能力。

结合第三方面或第三方面的第二种可能的实现方式，第三方面的第三可能的实现方式中，接收单元，还用于接收来自第一管理实体的第三消息，第三消息用于指示第一基站获取第一安全能力；确定单元，具体用于根据第三消息，确定第一指示。

结合第三方面至第三方面的第三种可能的实现方式中的任一项，在第三方面的第四种可能的实现方式中，第三消息包括标识信息，标识信息用于指示获取第一安全能力，确定单元，用于将标识信息确定为第一指示；或，确定单元，用于基于标识信息生成第一指示。

结合第三方面至第三方面的第四种可能的实现方式中的任一项，在第三方面的第五种可能的实现方式中，接收单元，还用于接收来自第一管理实体的第四消息，第四消息包括第二安全能力；发送单元，还用于向第三基站发送第二安全能力，第二安全能力用于建立终端与第三基站之间的连接。

结合第三方面至第三方面的第五种可能的实现方式中的任一项，在第三方面的第六种可能的实现方式中，发送单元，还用于在确定单元确定第二安全能力与第一安全能力不一致，则向第三基站发送第五消息，第五消息包括第一安全能力。

结合第三方面至第三方面的第六种可能的实现方式中的任一项，在第三方面的第七种可能的实现方式中，第一指示为第二安全能力，确定单元，具体用于根据第一指示，将第二安全能力确定为第一安全能力。

结合第三方面至第三方面的第七种可能的实现方式中的任一项，在第三方面的第八种可能的实现方式中，第一指示为第二安全能力，第二消息包括第一安全能力，确定单元，具体用于从第二消息中确定第一安全能力。

第四方面，该确定安全能力的装置可以包括至少一个处理器和通信接口。该处理器被配置为支持该确定安全能力的装置执行上述第一方面至第一方面的任一项所描述的方法中在该确定安全能力的装置侧进行的消息处理或控制的相关操作，该通信接口可以是收发电路，通信接口，用于支持该确定安全能力的装置与其他网元(例如，核心网设备或者第二基站)之间的通信。其中，收发电路用于支持该确定安全能力的装置执行上述第一方面至第一方面的任一项所描述的方法中在该确定安全能力的装置侧进行消息接收和发送的相关操作；其中，存储器、收发器和至少一个处理器通过线路互联。可选的，该存储器用于与至少一个处理器耦合，存储器中保存该确定安全能力的装置必要的程序(指令)和数据。

第五方面，本申请提供一种确定安全能力的装置，该确定安全能力的装置可以实现第二方面至第二方面的任一项所描述的确定安全能力的方法。例如，该确定安全能力的装置可以为终端，或者为设置在终端中的芯片。其可以通过软件、硬件、或者通过硬件执行相应的软件实现上述方法。

本申请提供一种确定安全能力的装置，包括：接收单元，用于接收第一消息，第一消息包括第一指示，第一指示用于指示终端上报终端支持的第一安全能力，第一消息用于指示终端从第二基站切换至第一基站；发送单元，用于根据第一指示，向第一基站发送第二消息，第二消息用于指示第一基站确定第一安全能力。

结合第五方面，在第五方面的第一种可能的实现方式中，第二消息为切换完成消息，切换完成消息包括第一安全能力。

结合第五方面或第五方面的第一种可能的实现方式，在第五方面的第二种可能的实现方式中，第一指示为第二安全能力，第二安全能力用于建立终端与第三基站之间的连接，终端还包括确定单元，发送单元用于在确定单元确定第二安全能力与第一安全能力不一致，向第一基站发送第二消息，第二消息包括第一安全能力。

结合第五方面至第五方面的第二种可能的实现方式中的任一项，在第五方面的第三种可能的实现方式中，第一指示为第二安全能力，第二安全能力用于建立终端与第三基站之间的连接，发送单元，还用于在确定单元确定第二安全能力与第一安全能力一致时，向第一基站发送第二消息，第二消息具体用于指示将第二安全能力确定为第一安全能力。

结合第五方面至第五方面的第三种可能的实现方式中的任一项，在第五方面的第四种可能的实现方式中，本申请提供的发送单元，还用于在与第三基站的随机接入过程中，向第三基站发送第一安全能力。

结合第五方面至第四方面的第四种可能的实现方式中的任一项，在第五方面的第五种可能的实现方式中，接收单元，还用于接收广播消息；发送单元，还用于在确定单元根据广播消息，确定终端所在的区域中不存在5g服务时，向第二基站发送第三消息，第三消息不包括第一安全能力。

又一方面，该确定安全能力的装置可以包括至少一个处理器和通信接口。该处理器被配置为支持该确定安全能力的装置执行上述第二方面至第二方面的任一项所描述的方法中在该确定安全能力的装置侧进行的消息处理或控制的相关操作，该通信接口可以是收发电路，通信接口，用于支持该确定安全能力的装置与其他网元(例如，核心网设备或者第一基站)之间的通信。其中，收发电路用于支持该确定安全能力的装置执行上述第二方面至第二方面的任一项所描述的方法中在该确定安全能力的装置侧进行消息接收和发送的相关操作；其中，存储器、收发器和至少一个处理器通过线路互联。可选的，该存储器用于与至少一个处理器耦合，存储器中保存该确定安全能力的装置必要的程序(指令)和数据。

第六方面，本发明实施例提供一种确定安全能力的方法，包括：第一管理实体接收第二管理实体发送的第一消息，该第一消息包括第一标识，第一标识用于指示终端签约第一模式，第一管理实体根据第一消息，向第一基站发送第二消息，第二消息用于指示第一基站获取第一安全能力，其中，第一基站为终端切换之后所接入的一个基站。

结合第六方面，在第六方面的第一种可能的实现方式中，第一管理实体根据第一消息，向第一基站发送第二消息，包括：第一管理实体根据第一标识，确定第一消息中不包括第一安全能力，则第一管理实体向第一基站发送第二消息。

结合第六方面或第六方面的第一种可能的实现方式，在第六方面的第二种可能的实现方式中，第一管理实体根据第一标识，确定第一消息中包括第一安全能力，第二消息包括第二指示和第三指示，第二指示用于指示第一基站获取第一安全能力，第三指示用于指示第一基站确定第一安全能力与第一基站获取的第一安全能力是否一致。

第七方面，本申请提供一种计算机可读存储介质，当计算机可读存储介质应用于基站中，计算机可读存储介质中存储有指令，当指令在计算机上运行时，使得计算机执行上述第一方面至第一方面的任一项所描述的确定安全能力的方法。

第八方面，本申请提供一种计算机可读存储介质，当计算机可读存储介质应用于终端中，计算机可读存储介质中存储有指令，当指令在计算机上运行时，使得计算机执行上述第二方面至第二方面的任一项所描述的确定安全能力的方法。

第九方面，本申请提供一种芯片系统，应用于基站中，芯片系统包括至少一个处理器和接口电路，接口电路和至少一个处理器通过线路互联，处理器用于运行存储在芯片系统中的指令，以执行第一方面至第一方面的任一项所描述的确定安全能力的方法。

第十方面，本申请提供一种芯片系统，应用于终端中，芯片系统包括至少一个处理器和接口电路，接口电路和至少一个处理器通过线路互联，处理器用于运行存储在芯片系统中的指令，以执行第二方面至第二方面的任一项的确定安全能力的方法。

可选的，本申请中的芯片系统还包括该至少一个存储器，该至少一个存储器中存储有指令。

第十一方面，本申请提供一种包含指令的计算机程序产品，计算机程序产品中存储有指令，当该指令在基站上运行时，使得基站执行上述第一方面或第一方面的任意一种可能的设计中所描述的确定安全能力的方法。

第十二方面，本申请提供一种包含指令的计算机程序产品，计算机程序产品中存储有指令，当该指令在第二基站终端上运行时，使得终端执行上述第二方面或第二方面的任意一种可能的设计中所描述的确定安全能力的方法。

第十三方面，本申请提供一种通信系统，该通信系统包括如上述第三方面所描述的基站，至少一个如第四方面所描述的终端。

在一个可能的设计中，该系统还可以包括本发明实施例提供的方案中与基站，终端或者核心网设备进行交互的其他设备。

附图说明

图1为本发明实施例提供的一种通信系统架构示意图；

图2为本发明实施例提供的一种确定安全能力的通信示意图；

图3为本发明实施例提供的另一种确定安全能力的通信示意图；

图4为本发明实施例提供的又一种确定安全能力的通信示意图；

图5为本发明实施例提供的再一种确定安全能力的通信示意图；

图6为本发明实施例提供的一种确定安全能力方法的具体流程示意图一；

图7为本发明实施例提供的一种确定安全能力方法的具体流程示意图二；

图8为本发明实施例提供的一种确定安全能力方法的具体流程示意图三；

图9为本发明实施例提供的一种确定安全能力方法的具体流程示意图四；

图10为本发明实施例提供的一种基站的结构示意图一；

图11为本发明实施例提供的一种基站的结构示意图二；

图12为本发明实施例提供的一种基站的结构示意图三；

图13为本发明实施例提供的一种终端的结构示意图一；

图14为本发明实施例提供的一种终端的结构示意图二；

图15为本发明实施例提供的一种终端的结构示意图三；

图16为本发明实施例提供的一种芯片系统的结构示意图。

具体实施方式

本申请中的术语“第一”、“第二”等仅是为了区分不同的对象，并不对其顺序进行限定。例如，第一基站和第二基站仅仅是为了区分不同的基站，并不对其先后顺序进行限定。

本申请中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，a和/或b，可以表示：单独存在a，同时存在a和b，单独存在b这三种情况。另外，本申请中字符“/”，一般表示前后关联对象是一种“或”的关系。

需要说明的是，本申请中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其他实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

如图1所示，图1示出了本申请提供的获取安全能力方法所应用的一种通信系统架构示意图，如图1所示，包括：第一核心网控制面实体100，第二核心网控制面实体500，其中，与第一核心网控制面实体100连接的至少一个主基站200(图1中仅示出了一个主基站)、与主基站200连接的至少一个辅基站(图1中仅示出了一个辅基站)300，以及与主基站200和辅基站300通信的一个或多个终端400。其中，第一核心网控制面实体100与至少一个主基站200之间具有控制面连接。其中，主基站可以为4g基站，即演进节点b(evolvednodeb，enb)，表示为masterenb或menb；辅基站可以为5g基站，表示为secondarygnb或sgnb。

其中，源基站600是指终端400切换至主基站200之前所接入的一个基站。

主基站200是指终端400从源基站600切换之后所接入的一个基站，主基站200负责与第一核心网控制面实体100之间建立控制面连接，传输信令消息，以及决定是否需要辅基站，并为终端400选择辅基站300。

辅基站300，主基站200之外的基站，用于为终端提供额外的无线资源的节点，与第一核心网控制面实体100之间没有直接的控制面连接。

第二核心网控制面实体500是指终端400切换之前，通过源基站600所接入的一个核心网设备，例如，可以为4g网络中的mme。

第一核心网控制面实体100是终端400切换之后，通过主基站200所接入的一个核心网设备，主要负责移动性管理、承载管理、用户的鉴权认证、服务网关(servinggateway，sgw)和分组数据网络网关(packetdatanetworkgateway，pdngw或pgw)的选择等功能。

此外，第一核心网控制面实体100还可以识别5g安全能力。

在图1所示的架构中，在5g场景下，第一核心网控制面实体100可以为接入和移动性管理功能(accessandmobilitymanagementfunction，amf)节点，主基站200可以为5g基站，amf节点与任一个5g基站之间的接口(interface)称为n2接口。在4g场景下，第一核心网控制面实体100可以为移动性管理实体(mobilitymanagemententity，mme)100，主基站200可以为4g基站，mme与4g基站之间的接口称为s1接口。在新空口(newradio，nr)与新空口的双连接(nr-nrdc)场景或新空口与lte的双连接(nr-ltedc)场景下，主基站200和辅基站300之间的接口称为xn接口，用于支持两个基站之间的信令交互。不论哪种dc场景下，主基站200和终端400之间建立有无线接口(例如uuinterface)，可用于传输主基站200与终端400之间的用户面数据与控制面信令。同时，辅基站300和终端400之间也建立有无线接口，本申请对该无线接口的名称不作限定，可用于传输辅基站300与终端400间之间用户面数据和控制面信令。也就是说，当终端400与主基站200和辅基站300同时建立连接时，该终端400处于双连接架构模式。其中，无线接口的用户面主要传输用户数据；控制面传输相关信令，建立、重新配置和释放各种移动通信无线承载业务。

此外，第一核心网控制面实体100和第二核心网控制面实体500之间的接口称为s10接口，第二核心网控制面实体500和主基站200之间的接口可以称为s1-mme接口。

本申请中基站(例如源基站、主基站或辅基站)是指为终端提供无线通信功能的装置，可以是无线局域网(wirelesslocalareanetwork，wlan)中的接入点(accesspoint，ap)，全球移动通信系统(globalsystemformobilecommunications，gsm)或码分多址接入(codedivisionmultipleaccess，cdma)中的基站(basetransceiverstation，bts)，也可以是宽带码分多址(widebandcodedivisionmultipleaccess，wcdma)中的基站(nodeb，nb)，还可以是lte中的演进型基站(evolvednodeb，enb或enodeb)，或者中继站或接入点，或者车载设备、可穿戴设备以及未来5g网络中的基站(gnb)或者未来演进的公用陆地移动网(publiclandmobilenetwork，plmn)网络中的网络设备等。为方便描述，本申请中为终端提供无线通信功能的装置统称为基站。

终端也可以称为终端设备，可以包括用户设备(userequipment，ue)、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、无线通信设备、用户代理或用户装置。终端设备可以是无线局域网(wirelesslocalareanetworks，wlan)中的站点(station，sta)，可以是蜂窝电话、无绳电话、会话启动协议(sessioninitiationprotocol，sip)电话、无线本地环路(wirelesslocalloop，wll)站、个人数字处理(personaldigitalassistant，pda)设备、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备以及下一代通信系统，例如，第五代(fifth-generation，5g)通信网络中的终端设备或者未来演进的公共陆地移动网络(publiclandmobilenetwork，plmn)网络中的终端设备等。

作为示例，在本发明实施例中，该终端还可以是可穿戴设备。可穿戴设备也可以称为穿戴式智能设备，是应用穿戴式技术对日常穿戴进行智能化设计、开发出可以穿戴的设备的总称，如眼镜、手套、手表、服饰及鞋等。可穿戴设备即直接穿在身上，或是整合到用户的衣服或配件的一种便携式设备。可穿戴设备不仅仅是一种硬件设备，更是通过软件支持以及数据交互、云端交互来实现强大的功能。广义穿戴式智能设备包括功能全、尺寸大、可不依赖智能手机实现完整或者部分的功能，例如：智能手表或智能眼镜等，以及只专注于某一类应用功能，需要和其它设备如智能手机配合使用，如各类进行体征监测的智能手环、智能首饰等。

具体的，本申请中主基站和辅基站具有不同的制式。示例性的，本申请中的主基站可以为lte制式中的演进型基站(evolvednodeb，enb)，即4g基站，本申请中的辅基站可以为5g系统中的基站(gnb)，即5g基站；或者辅基站也可以为未来可能出现的其他系统中的基站。

可以理解的是，上述图1所示的架构仅是本申请提供的方法所应用的场景的一种示例，并不构成对本申请的限制，本申请提供的技术方案也可以应用于其他需要建立双连接的通信场景中。双连接所涉及的两种系统可以有其他情形，例如可以是4g系统和未来可能出现的其他系统，又例如可以是5g系统和未来可能出现的其他系统。

下面将基于上面所述的本申请涉及的共性方面，对本申请实施例的方案进一步详细说明。

图2为本申请实施例提供的一种确定安全能力的方法的通信示意图。如图2所示，该方法包括：步骤s101～s103。

s101、第一基站通过第二基站向终端发送第一消息，该第一消息包括第一指示，该第一指示用于指示终端上报终端支持的第一安全能力，该第一消息用于指示终端从第二基站切换至第一基站。

具体的，第二基站为切换之前为终端提供服务的基站，第一基站为切换之后为终端提供服务的基站。

可选的，第一基站可以在指示终端进行切换的过程中，通过第二基站向终端发送第一消息。

在一个示例中，第一消息可以为指示终端进行切换的消息，也可以为第一基站指示终端切换过程中重新定义的一个信令消息，本申请对此不进行限定。例如，该第一消息可以为切换命令(handovercommand)消息。当然，该第一消息还可以为其他消息，本申请对此不进行限定。

示例性的，本申请中的第一安全能力是指终端和第三基站之间建立连接时所使用的安全能力。例如，第三基站可以是5g基站，第一安全能力可以是5g安全能力，该5g安全能力可以指终端支持的5g安全算法，比如5g加密算法和/或5g完整性保护算法。其中，5g加密算法的名称可以是nea、5g-ea(5gencryptionalgorithm)、encryptionalgorithmfor5g或其他名称；5g完整性保护算法的名称可以是nia、5g-ia(5gintegrityalgorithm)、integrityalgorithmfor5g或其他名称。

对应的，终端接收第一消息。示例性的，终端可以在第一基站指示终端进行切换的过程中接收第一消息。

s102、终端根据第一指示，向第一基站发送第二消息，该第二消息用于指示第一基站确定第一安全能力。

在一个示例中，终端可以在向第一基站表明终端切换至第一基站的过程中，向第一基站发送第二消息，此时，该第二消息可以为指示终端已切换至第一基站的消息，也可以为表明终端切换至第一基站的过程中新定义的一个信令消息，本申请对此不进行限定。

例如，第二消息可以为切换完成(handovercomplete)消息。

对应的，第一基站接收来自终端的第二消息，该第二消息用于确定第一安全能力。

s103、第一基站根据第二消息，确定第一安全能力。

本申请提供一种确定安全能力的方法，第一基站通过第二基站向终端发送第一消息，第一消息包括第一指示，第一指示用于指示终端上报终端支持的第一安全能力，第一消息用于指示终端从第二基站切换至第一基站；第一基站接收来自终端的第二消息，第二消息用于确定第一安全能力；第一基站根据第二消息，确定第一安全能力。如此，一方面，当第一基站中不具备第一安全能力时，第一基站可以在终端切换至第一基站的过程中从终端处获取第一安全能力，然后，第一基站可以将该第一安全能力发送给第三基站，如此便于后续终端通过该第一安全能力与第三基站建立双连接，使得双连接的建立可以提前。另一方面，当第一基站中具备安全能力时，第一基站可以先基于该安全能力创建双连接，然后根据终端发送的第一安全能力确定第一基站中具有的安全能力是否被篡改，当第一基站根据第一安全能力确定第一基站未被篡改时，可以不用修改已建立的双连接，从而使得双连接可以在终端切换至第一基站的过程中建立。

基于图2，图3为本申请实施例提供的另一种确定安全能力的方法的通信示意图。图3中，与图2相同的内容可以参考图2中的描述，后续不作赘述。如图3所示，在图2所示方法的基础上，本申请提供的方法在步骤s101之前，还可以包括：

s104、第一管理实体向第一基站发送第三消息，该第三消息用于指示第一基站获取第一安全能力。

可选的，该第三消息中可以携带一个标识信息，该标识信息用于指示获取第一安全能力。

具体的，该第一管理实体可以为第一基站接入的核心网设备，该第一管理实体可以识别第一安全能力，示例性的，该第一管理实体可以为升过级的mme，即至少可以识别第一安全能力的mme。

示例性的，该第三消息可以在第一管理实体请求第一基站进行切换的过程中发送给第一基站，例如，该第三消息可以为第一管理实体发送给第一基站的切换请求消息，例如，handoverrequest消息，该第三消息可以为第一管理实体请求第一基站进行切换的过程中第一管理实体和第一基站之间新定义的一个信令消息，本申请对此不进行限定。

由于第一管理实体请求第一基站进行切换之前，通常还可以与第二管理实体(第二基站所接入的一个mme)之间存在一个重定向过程，基于该重定向过程，第一管理实体可以确定第三消息的内容，例如，当该第一管理实体可以从重定向过程中获取到第二安全能力，则该标识信息可以为第二安全能力，在这种情况下，由于第一管理实体不确定第二安全能力是否被篡改，因此第一管理实体可以先将第二安全能力发送给第一基站，并可以通过第一基站从终端处获取第一安全能力，对该第二安全能力进行验证。又一方面，当该第一管理实体在重定向过程中确定终端签约了option3，但是第二管理实体未向第一管理实体发送第二安全能力，基于此第一管理实体可以生成一个标识信息。

具体的，该重定向过程具体如下：第二管理实体在接收到第二基站发送的切换请求消息(例如，handoverrequired消息)之后，向第一管理实体发送重定向请求消息(例如，forwardrelocationrequest消息)，该重定向请求消息通常会包括终端的完整安全上下文，而重定向请求消息中也包含了第一标识，该第一标识用于指示该终端是否签约了option3。

其中，option3指双连接的一种实现方式，即终端所接入的两个基站分别为lte的基站enb(作为主基站，称作materenb，menb)和5g的基站gnb(作为辅基站，称作secondarygnb，sgnb)，且这两个基站同时连接到lte的演进分组核心网(evolvedpacketcore，epc)的移动性管理实体(mobilitymanagemententity)。

对应的，第一基站接收来自第一管理实体的第三消息。例如，第一基站可以在第一管理实体请求第一基站进行切换的过程中接收第三消息。

s105、第一基站根据第三消息，确定第一指示。

具体的，步骤s105具体可以通过以下方式实现：第一基站将标识信息确定为第一指示；或，第一基站基于标识信息生成第一指示。

一方面，终端的第一安全能力可以存储在现有的安全字段中，例如，第一字段，另一方面，终端的第一安全能力也可以存储在一个不同于现有安全字段的字段中，例如，第二字段，其中，第一字段和第二字段。基于此，便引出了本申请如下的两个场景：

场景一、当第一安全能力可以存储在现有的安全字段中时，终端通过第二基站所接入的第二管理实体可以识别第一安全能力，因此，第二管理实体和第一管理实体在执行重定向过程中，第二管理实体便可以将第二管理实体可以识别的第一安全能力(下述可以将第二管理实体可以识别的第一安全能力称为第二安全能力)发送给第一管理实体，但是第一管理实体在接收到第二安全能力后，并无法确定该第二安全能力是否被篡改，基于此，第一管理实体可以将第二安全能力先发送给第一基站，以由第一基站将该第二安全能力发送给第三基站，建立终端和第三基站之间的连接，在这种情况下终端和第三基站之间建立连接的过程，可以于终端从第二基站切换至第一基站的过程并行执行。

基于场景一，本申请中的第一指示还可以为第二安全能力，当第一指示为第二安全能力时，第二安全能力可能和第一安全能力一致，也可能和第一安全能力不一致，而第二安全能力和第一安全能力是否一致决定了第二消息的内容，因此，以下将分别介绍：

一方面，本申请中的步骤s102具体可以通过以下方式a实现：

方式a：终端根据第一指示确定第二安全能力与第一安全能力一致，则终端根据第一指示向第一基站发送第二消息，该第二消息用于指示将第二安全能力确定为第一安全能力。

可选的，该第二消息可以为指示切换完成的消息，例如切换完成消息，这样基于该切换完成消息第一基站便可以确定第二安全能力没有被篡改，因此第一基站可以将第二安全能力确定为第一安全能力，在这种情况下，第二消息中可以不携带用于指示将第二安全能力确定为第一安全能力的指示信息。

其中，第二指示用于指示第二安全能力与第一安全能力一致，或者该第二指示用于指示将第二安全能力确定为第一安全能力。

示例性的，该第二指示可以为第一指示符，其中，第一指示符用于指示第二安全能力与第一安全能力一致，例如，第一指示符为“1”，或者“0”。

需要说明的是，本申请中第二安全能力与第一安全能力一致则表示第二安全能力没有被篡改，第二安全能力与第一安全能力不一致，则表示第二安全能力被篡改。

当然，当终端根据第一指示确定第二安全能力与第一安全能力一致时，该第二消息中也可以不包括第一安全能力。

当步骤s102通过步骤方式a实现时，步骤s103具体可以通过以下方式b实现：

方式b：第一基站根据第二消息，将第二安全能力确定为第一安全能力。

另一方面，本申请中的步骤s102具体可以通过方式c实现：

方式c：终端根据第一指示确定第二安全能力与第一安全能力不一致，则第一基站根据向第一基站发送第二消息，该第二消息包括第一安全能力，或者第二消息包括第一安全能力和第三指示，其中，第三指示用于指示第二安全能力与第一安全能力不一致。

当然，当终端根据第一指示确定第二安全能力与第一安全能力一致时，该第二消息中也可以不包括用于指示第二安全能力与第一安全能力不一致的指示信息，即第三指示，该第三指示可以为第二指示符，该第二指示符用于指示第二安全能力与第一安全能力不一致，该第二指示符可以为“0”或者“1”，本申请对此不进行限定，具体使用1或0可以由终端和基站之间协商。

当步骤s102通过步骤方式c实现时，步骤s103具体可以通过以下方式d实现：

方式d：第一基站根据第二消息，将从第二消息中得到的安全能力确定为第一安全能力。

场景二、当第一安全能力可以存储在不同于现有安全字段的字段中时，第二管理实体可能无法识别该第一安全能力，因此，第二管理实体和第一管理实体在执行重定向过程中，第二管理实体可能不会将第二管理实体无法识别的第一安全能力发送给第一管理实体，因此，第一管理实体可以指示第一基站获取第一安全能力。

基于场景二、本申请中的步骤s102可以通过以下方式e实现：

方式e：终端根据第一指示，向第一基站发送第二消息，该第二消息包括第一安全能力。

当步骤s102通过方式c实现时，步骤s103具体可以通过上述方式d实现，本申请在此不再赘述。

在一种可能的实施方式中，基于上述场景一，基于图2，图4为本申请实施例提供的又一种确定安全能力的方法的通信示意图。图4中，与图2相同的内容可以参考图2中的描述，后续不作赘述。如图4所示，在图2所示方法的基础上，本申请提供的方法在步骤s101之前，还可以包括：

s106、第一管理实体向第一基站发送第四消息，该第四消息包括第二安全能力。

具体的，第一管理实体向第一基站发送第四消息之后，还包括：第一基站接收来自第一管理实体的第四消息。

基于此，第一基站便可以将从第四消息中获取到的第二安全能力发送给第三基站，如步骤s107，以使得终端根据该第二安全能力与第三基站建立连接。

s107、第一基站向第三基站发送第二安全能力，该第二安全能力用于建立终端与第三基站之间的连接。

可选的，第一基站可以通过发送小区增加请求消息，如sgnbadditionrequest消息向第三基站发送第二安全能力。

需要说明的是，在第一基站执行步骤s107的过程中，第一基站可以执行上述步骤s101，此时，步骤s101中的第一指示可以为第一安全能力。

在步骤s107之后，第三基站还可以向第一基站发送针对小区增加请求消息的响应消息(例如，小区增加请求确认消息，如sgnbadditionrequestack)，该响应消息用于指示第三基站已与终端建立连接，当第一基站接收到终端发送的切换完成消息之后，第一基站便可以确定终端与第一基站和第三基站之间均建立了连接，至此，双连接建立。

本申请中当第三基站和终端根据第二安全能力建立连接之后，若终端和第一基站均可以判断该第二安全能力与第一安全能力是否一致，具体的判断过程可以参见上述实施例，本申请对此不再赘述。此外，当该第二安全能力与第一安全能力不一致时，第一基站和终端均可以指示第三基站修改已建立的辅小区组的配置，因此，下述将分别介绍：

在由第一基站指示第三基站修改已建立的辅小区组的配置的情况下，如图4所示，在图2所示方法的基础上，本申请提供的方法在步骤s103之后，还可以包括：

s108、第一基站确定第一安全能力和第二安全能力不一致，则向第一基站发送第五消息，第五消息包括第一安全能力，第五消息用于修改辅小区组的配置。

示例性的，该第五消息可以为小区修改请求消息，如sgnbmodificationrequest消息。

在由终端指示第三基站修改已建立的辅小区组的配置的情况下，基于图2，图5为本申请实施例提供的再一种确定安全能力的方法。图5中，与图2相同的内容可以参考图2中的描述，后续不作赘述。如图5所示，在图2所示方法的基础上，本申请提供的方法在步骤s101之前，还可以包括步骤s106和s107，其中步骤s106和s107与图4中的s106和s107相同，可以参考图4中的详细描述，此处不做赘述。在图2所示方法的基础上，本申请提供的方法在步骤s102之后，不执行步骤s103，而是还包括：

s109、终端向第三基站发送第五消息，该第五消息包括第一安全能力。

可选的，终端可以在与第三基站的随机接入过程中，向第三基站发送第一安全能力。

s110、第三基站将第一安全能力与第二安全能力作比较，确定第二安全能力和第一安全能力不一致，则修改辅小区组配置。

需要说明的是，在由终端指示第三基站修改已建立的辅小区组的配置的过程中，步骤s102中的第二消息中可以不携带第一安全能力。

可选的，第一安全能力与下一代系统相关，其中，下一代系统可以是5g系统，也可以是未来可能出现的其他系统。本申请提供的方法，还可以包括：

(a)、终端接收广播消息。

(b)、终端根据广播消息，确定终端所在的区域中不存在下一代系统的服务。

(c)、终端向第二基站发送第六消息，第六消息不包括第一安全能力。

例如，该第六消息可以为attach消息。

本申请提供了一种终端切换之后为终端服务的基站确定5g安全能力的方法，本申请中终端可以通过广播消息确定是否在初始接入消息中向第二基站上报第一安全能力，当终端确定所在的区域中不存在5g服务向第二基站发送除第一安全能力之外的其余安全能力，例如，4g安全能力，这样可以对第一安全能力不被篡改起到保护作用，这是由于如果是不能识别第一安全能力的mme，其不会在后续的非接入层安全模式命令(non-accessstratumsecuritymodecommand，nassmc)消息中携带第一安全能力，终端也就无法得知上报的第一安全能力是否被篡改。

此外，可以理解的是，当终端确定所在的区域中存在下一代系统的服务，便可以向第二基站发送第一安全能力。

下述将基于如图1所示的架构，以第一基站为menb，第二基站为源mme，第一管理实体为目的mme，第二管理实体为源mme，以及第三基站为sgnb为例，详细介绍本申请提供的一种确定安全能力的方法。

实施例1

如图6所示，图6示出了本申请提供的一种确定安全能力的具体实现方法，包括：

s201、enb向源mme发送切换请求消息。

其中，enb为ue切换之前所接入的基站，也可以称为源基站，例如，该切换请求消息可以为handoverrequired消息，该源mme为enb所接入的mme。

s202、源mme向目的mme发送重定向请求消息。

本申请中的目的mme为ue切换之后所接入的menb的mme，该目的mme可以识别5g安全能力。

例如，该重定向请求消息可以为forwardrelocationrequest消息。

具体的，源mme和目的mme可以之间可以通过s10接口发送forwardrelocationrequest消息。

s203、目的mme向menb发送切换请求消息，该切换请求消息中携带标识信息，该标识信息用于指示menb通知ue上报5g安全能力。

目的mme确定在切换请求消息中携带标识信息可以通过多种方式实现，例如，一种可能的实现方式为，通常情况下，源基站发送的forwardrelocationrequest消息中会包含ue完整的安全上下文，而forwardrelocationrequest消息中也可能包含了指示该ue是否签约了option3的第二标识，如果目的mme确定第二标识指示该ue签约了option3，但是源mme却未向目的mme发送ue的5g安全能力，那么目的mme便确定在切换请求消息中携带标识信息。

需要说明的是，本申请实施例1中，可以基于ue的5g安全能力存储在不同于现有安全能力字段的新字段中，这样源mme便无法识别该5g安全能力，因此，源mme向目的mme发送的重定向请求消息中不携带5g安全能力。

其中，menb是指ue从源基站切换之后所接入的基站。

s204、menb将第三标识添加到一个源基站和主基站之间的一个容器中。

例如，容器可以为目标到源的透明容器(targettosourcetransparentcontainer)。

需要说明的是，targettosourcetransparentcontainer是指menb发送给ue的一个容器，该容器中的具体内容在中间的网元不进行识别和处理，可以直接传给源ue。

本申请中menb可以通过多种方式确定第三标识，例如，一方面，本申请中的第三标识可以是步骤s203中携带的标识信息，也即menb将标识信息确定为第三标识。另一方面，该第三标识也可以是menb根据标识信息生成的，本申请对此不进行限定。

s205、menb向目的mme发送切换确认消息。

例如，该切换确认消息可以为handoverack消息。

s206、目的mme向源mme发送重定向响应消息。

例如，重定向响应消息可以为forwardrelocationresponse消息。

s207、源mme向enb发送切换命令消息。

例如，切换命令消息可以为handovercommand消息。

需要说明的是，步骤s205和步骤s206包含了s204中的targettosourcetransparentcontainer。

s208、enb向ue发送切换命令消息，该切换命令消息中包括targettosourcetransparentcontainer。

例如，切换命令消息可以为handovercommand消息。

s209、ue根据从切换命令消息中收到的targettosourcetransparentcontainer获得第三标识，向menb发送切换完成消息，该切换完成消息可以包括5g安全能力。

例如，该切换完成消息可以为handovercomplete消息。

需要说明的是，如果ue在步骤s209中的切换完成消息中未携带5g安全能力，则ue也可以在切换完成后的taurequest消息中向menb发送5g安全能力。

可选的，ue可以根据切换命令消息中的第三标识，确定是否在taurequest消息携带5g安全能力。

需要说明的是，本申请中通过步骤s201-s209便可以使得ue与menb建立连接。

s210、menb在收到ue的5g安全能力后就可以发起双连接，menb向sgnb发送sgnb小区增加请求消息。

具体的，menb可以通过以下方式获取到5g安全能力，一方面，当ue发送的handovercomplete消息中携带5g安全能力时，menb从handovercomplete消息中获取5g安全能力，另一方面，若终端在handovercomplete消息中未携带5g安全能力，那么终端可以根据第三标识在taurequest消息携带5g安全能力，此时终端便可以在taurequest消息接收到5g安全能力。

例如，sgnb小区增加请求消息可以为additionrequest消息。

s211、sgnb向menb回复小区增加请求确认消息。

例如，该小区增加请求确认消息可以为sgnbadditionrequestack消息。

需要说明的是，本申请中在步骤s211之后，终端便可以根据5g安全能力与sgnb建立连接，此时便可以形成dc架构。

需要说明的是，本申请中在首次接入网络时，ue可以根据收到的广播消息决定是否在向网络发送的attachrequest消息中携带5g安全能力，具体的，如果ue根据接收到的广播消息确定ue所在的区域不存在5g覆盖，则ue发送的attachrequest消息可以不携带5g安全能力，例如，在ue确定ue所在的区域不存在5g覆盖时，该attachrequest消息中可以携带4g安全能力；在ue确定所在的区域存在5g覆盖，则ue在发送的attachrequest消息中携带5g安全能力，此外，还可以携带4g安全能力。本申请中通过ue判断是否存在5g覆盖，从而确定是否在attachrequest消息中携带5g安全能力，当不存在5g覆盖时便在attachrequest消息中不携带5g安全能力，可以对5g安全能力不被篡改起到保护作用，因为如果是不能识别5g安全能力的mme，其不会在后续的非接入层安全模式命令(non-accessstratumsecuritymodecommand，nassmc)消息中携带5g安全能力，ue也就无法得知上报的5g安全能力是否被篡改。

本申请通过上述步骤s201-s211可以使得menb可以在ue发来的切换完成消息中获得5g安全能力，并将5g安全能力发送给sgnb，从而使得ue通过5g安全能力与sgnb间建立连接，当ue与sgnb成功建立连接之后，该ue便与menb和sgnb同时建立了连接，从而形成了该ue的双连接，这样便可以使得在ue切换过程中，便建立了双连接，而不用等到切换完成后进行的tau流程获得。

实施例2

如图7所示，图7示出了本申请提供的另一种确定安全能力的具体实现方法，包括：

s301、enb向源mme发送切换请求消息。

例如，该切换请求消息可以为handoverrequired消息。

s302、源mme向目的mme发送重定向请求消息，该重定向请求消息包含了ue的第一5g安全能力。

需要说明的是，在实施例2下，ue的第一5g安全能力放在现有的安全能力的字段中，这样源mme便可以识别该第一5g安全能力，并将第一5g安全能力发送给目的mme。但是，目的mme在接收到该第一5g安全能力之后，虽然可以识别该第一5g安全能力，但是目的mme此时无法确定该第一5g安全能力是否被篡改。

例如，重定向请求消息可以为如forwardrelocationrequest消息。

s303、目的mme向menb发送切换请求消息，该切换请求消息中包括第一5g安全能力。

例如，该切换请求消息可以为handoverrequest消息。

s304、menb将从目的mme处收到的第一5g安全能力向sgnb发送小区增加请求消息，该小区增加请求消息包括第一5g安全能力。

基于步骤s304，ue便可以根据第一5g安全能力与sgnb建立连接，在ue和sgnb基于第一5g安全能力成功建立连接之后，这时ue便同时和sgnb以及menb连接，至此该ue的双连接建立。

此外，ue和sgnb之间建立连接的过程和方法可以参考现有技术中的方案，本申请对此不进行限定。

例如，该小区增加请求消息可以为sgnbadditionrequest消息。

s305、sgnb向menb发送小区增加请求确认消息。

例如，该小区增加请求确认消息可以为sgnbadditionrequestack消息。

在执行上述步骤s305的过程中，menb可以通过步骤s306-s311在ue的切换过程中指示ue上报自身具有的第二5g安全能力，这样menb便可以从ue处获取ue上报的第二5g安全能力。需要说明的是上述步骤s301-s305可以和menb从ue处获取ue上报的第二5g安全能力的过程同步进行，也即在ue执行切换过程中建立双连接。

具体的，主基站可以在ue的切换过程中指示ue上报自身具有的第二5g安全能力的过程可以参见上述步骤s204-s209，也即步骤s306-s311可以依次参见步骤s204-s209，本申请在此不再赘述。

s312、menb收到目的安全能力之后，将第一5g安全能力与第二5g安全能力作比较，若menb确定第一5g安全能力与第二5g安全能力一致，则可以不用修改之前建立的辅小区组的配置。

可选的，menb可以向sgnb发送第一指示信息，该第一指示信息用于指示sgnb可以不用修改辅小区组的配置。

具体的，辅小区组是位于辅基站下的多个小区。

s313、menb若确定第一5g安全能力与第二5g安全能力不一致，则menb向sgnb发送小区修改请求消息，该小区修改请求消息中包括第二5g安全能力。

可选的，该小区修改请求消息用于指示sgnb根据第二5g安全能力修改辅小区组的配置，以修改sgnb与ue之间建立的连接。

需要说明的是，若menb确定第一5g安全能力与第二5g安全能力不一致，则表示menb接收到的第一5g安全能力被篡改过。

s314、sgnb向menb发送小区修改请求响应消息。

例如，该小区修改请求响应消息可以为sgnbmodificationrequestack消息，该小区修改请求响应消息用于指示已根据第二5g安全能力修改辅小区组的配置。

需要说明的是，当第一5g安全能力与第二5g安全能力不一致时，sgnb和ue会重新协商使用的安全算法。

本申请通过上述步骤s301-s314实现的方案中，menb可以在切换期间就建立双连接，并在建立双连接之后，根据如果ue发送的第二5g安全能力判断用于建立sgnb和ue之间的连接的第一5g安全能力是否被篡改，当menb确定第一5g安全能力没有被篡改的情况下，此时menb便无需修改已经建好的双连接，当menb第一5g安全能力被篡改的情况下，menb可以通知senb根据第二5g安全能力，修改辅小区组的配置，以修改已建立的双连接。

实施例3

如图8所示，图8示出了本申请提供的又一种确定安全能力的具体实现方法，具体描述可参见上述内容。其中，图8中包括如下几个阶段:

其中，第一阶段为menb根据从目的mme处获取到的第一5g安全能力建立双连接的阶段，包括步骤s401-s405，步骤s401-s405中每个步骤可以对应参见上述实施例中的步骤s301-s305。第二阶段为：步骤s406。第三阶段为主基站请求ue上报5g安全能力的过程，包括步骤s407-s410，该步骤s407-s410中每个步骤可以对应参见上述实施例中的步骤s307-s310，不同之处在于targettosourcetransparentcontainer中包含的是menb从目的获得的第一5g安全能力，以及步骤s410中发送给ue的切换命令消息中的第三标识可以为第一5g安全能力。第四阶段为ue根据接收到的第一5g安全能力与自身的第二5g安全能力相比较，并根据比较结果确定向menb发送切换完成消息是否携带第二5g安全能力。

s406、menb将第一5g安全能力添加到targettosourcetransparentcontainer中。

具体的第四阶段可以包括如下步骤s411-s413：

s411、ue判断切换命令消息中携带的第一5g安全能力和自身的第二5g安全能力是否一致。若ue确定第一5g安全能力和自身的第二5g安全能力一致，则执行s412，否则执行s413。

s412、ue向menb发送切换完成消息，该切换完成消息中携带一个指示符，该指示符用于指示第一5g安全能力和第二5g安全能力一致，或者该切换完成消息中可以不携带第二5g安全能力。

s413、ue向menb发送切换完成消息，该切换完成消息中携带第二5g安全能力。

例如，该切换完成消息可以为handovercomplete消息。

可选的，当menb确定第二5g安全能力和第一5g安全能力不一致时，图4还可以包括第五阶段，该第五阶段的具体过程包括：s414、s415以及s4166。其中，s414可以参见步骤s312，s415可以参见步骤s313，以及s416可以参见上述实施例2中的步骤s314。

本申请通过步骤图8的实现方案与现有技术的区别在于menb可以在切换期间就建立起双连接，如果目的mme发送的第一5g安全能力没有被篡改，则无需修改已经建好的双连接，此外，由于menb将从目的mme处获得的第一5g安全能力发给ue，让ue检查是否被篡改，ue在判断第一5g安全能力和第二5g安全能力不一致的时候，会向menb发送第二5g安全能力，这样ue和menb均可以感知5g安全能力被篡改，从而获知攻击者的存在。此外，当ue在判断第一5g安全能力和第二5g安全能力一致时，也可以指示menb第一5g安全能力未被篡改。

实施例4

基于图7，如图9所示，本申请还提供了再一种确定安全能力的具体实现方法，与图7所示的方法的区别在于，在图9中在步骤s501-s510(具体的可以参见s301-s310)之后使用步骤s511-s513替换了图7中的步骤s313和步骤s314：

s511、ue向menb发送切换完成消息。

s512、ue在建立与sgnb的随机接入过程中，向sgnb发送第二5g安全能力。

示例性的，ue可以在建立与sgnb的随机接入过程中通过第三条消息msg3向sgnb发送第二5g安全能力。

s513、sgnb将收到的ue发送的第二5g安全能力与从menb处获得的第一5g安全能力比较，确定第一5g安全能力是否被篡改。

具体的，sgnb确定第一5g安全能力与第二5g安全能力不一致，则sgnb和ue会重新协商使用的安全算法，该部分可以参见现有技术，本申请在此不再赘述。

如图9所示的方法，由于ue和sgnb之间已建立了连接，且ue也从源基站切换至menb中，因此，dc架构在ue切换过程中已成功建立，然后ue将第二5g安全能力通过随机接入过程发送给sgnb，sgnb根据收到的第二5g安全能力和从menb收到的第一5g安全能力确定第一5g安全能力是否被篡改，如果第一5g安全能力没有被篡改，则表示ue和sgnb之间建立的连接无需修改，也即无需修改已经建好的双连接。

上述主要从各个网元之间交互的角度对本申请实施例提供的方案进行了介绍。可以理解的是，各个网元，例如基站和终端。为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本申请实施例可以根据上述方法示例对基站和终端进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。下面以采用对应各个功能划分各个功能模块为例进行说明：

在采用集成的单元的情况下，图10示出了上述实施例中所涉及的基站的一种可能的结构示意图。图10所示的基站可以执行上述方法实施例中第一基站的动作。基站包括：发送单元101、接收单元102以及确定单元103。例如，发送单元101用于支持基站执行上述实施例中的步骤s101、s107、s108、s205、s210、s304、s307、s313、s404、s407、s415、s504和s507。接收单元102用于支持基站执行上述实施例中的步骤s102、s104、s106、s203、s209、s211、s303、s305、s311、s314、s403、s405、s412、s413、s416、s503、s505和s515。确定单元103用于支持基站执行上述实施例中的步骤s103、s105、s204、s312，和/或用于本文所描述的技术的其它过程。上述方法实施例涉及的各步骤的所有相关内容均可以援引到对应功能模块的功能描述，在此不再赘述。

在采用硬件实现的基础上，本申请中的发送单元101可以为基站的发送器，接收单元102可以为基站的接收器，该发送器通常可以和基站的接收器集成在一起用作收发器，具体的收发器还可以称为通信接口，确定单元103可以集成在基站的处理器上。

在采用集成的单元的情况下，图11示出了上述实施例中所涉及的基站的一种可能的逻辑结构示意图。基站包括：处理模块112和通信模块113。处理模块112用于对基站动作进行控制管理。基站还可以包括存储模块111，用于存储基站的程序代码和数据。

其中，处理模块112可以是处理器或控制器，例如可以是中央处理器单元，通用处理器，数字信号处理器，专用集成电路，现场可编程门阵列或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本发明公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，数字信号处理器和微处理器的组合等等。通信模块113可以是收发器、收发电路或通信接口等。存储模块111可以是存储器。

当处理模块112为处理器120，通信模块113为通信接口130或收发器时，存储模块111为存储器140时，本申请所涉及的基站可以为图12所示的设备。

其中，通信接口130、至少一个处理器120以及存储器140通过总线110相互连接；总线110可以是pci总线或eisa总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图12中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中，存储器140用于存储基站的程序代码和数据。通信接口130用于支持基站与其他设备(例如，终端)通信，处理器120用于支持基站执行存储器140中存储的程序代码和数据以实现本申请提供的一种确定安全能力的方法。

在采用集成的单元的情况下，图13示出了上述实施例中所涉及的终端的一种可能的结构示意图。终端包括：接收单元201和发送单元202。其中，接收单元201用于支持终端执行上述实施例中在终端侧接收的步骤，例如，步骤s101、s208、s310、s410和s510。发送单元202用于支持终端执行上述实施例中的步骤s102、s109、s209、s311、s412、s413、s511和s512。此外，本申请中的终端还包括：确定单元203，用于支持终端执行上述实施例中的判断过程。和/或用于本文所描述的技术的其它过程。上述方法实施例涉及的各步骤的所有相关内容均可以援引到对应功能模块的功能描述，在此不再赘述。

在采用硬件实现的基础上，本申请中的接收单元201可以为终端的接收器，发送单元202可以为终端的发送器，该接收器通常可以和终端的发送器集成在一起用作收发器，具体的收发器还可以称为通信接口，确定单元203可以集成在终端的处理器上。

在采用集成的单元的情况下，图14示出了上述实施例中所涉及的终端的一种可能的逻辑结构示意图。终端包括：处理模块212和通信模块213。处理模块212用于对终端动作进行控制管理。终端还可以包括存储模块211，用于存储终端的程序代码和数据。其中，处理模块212可以是处理器或控制器，例如可以是中央处理器单元，通用处理器，数字信号处理器，专用集成电路，现场可编程门阵列或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本发明公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，数字信号处理器和微处理器的组合等等。通信模块213可以是收发器、收发电路或通信接口等。存储模块211可以是存储器。

当处理模块212为处理器220，通信模块213为通信接口230或收发器时，存储模块211为存储器210时，本申请所涉及的终端可以为图15所示的设备。

其中，通信接口230、至少一个处理器220以及存储器210通过总线200相互连接；总线200可以是pci总线或eisa总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图15中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中，存储器210用于存储终端的程序代码和数据。通信接口230用于支持终端与其他设备(例如，基站)通信，处理器220用于支持终端执行存储器210中存储的程序代码和数据以实现本申请提供的一种确定安全能力的方法。

图16是本发明实施例提供的芯片系统150的结构示意图。芯片系统150包括至少一个处理器1510、存储器1540和接口电路1530，存储器1540可以包括只读存储器和随机存取存储器，并向处理器1510提供操作指令和数据。存储器1540的一部分还可以包括非易失性随机存取存储器(nvram)。

在一些实施方式中，存储器1540存储了如下的元素，可执行模块或者数据结构，或者他们的子集，或者他们的扩展集：

在本发明实施例中，通过调用存储器1540存储的操作指令(该操作指令可存储在操作系统中)，执行相应的操作。

一种可能的实现方式为：基站、终端所用的芯片系统的结构类似，但不同的装置使用不同的芯片系统以实现各自的功能。

处理器1510控制终端、基站的操作，处理器1510还可以称为cpu(centralprocessingunit，中央处理单元)。存储器1540可以包括只读存储器和随机存取存储器，并向处理器1510提供指令和数据。存储器1540的一部分还可以包括非易失性随机存取存储器(nvram)。具体的，芯片系统150的各个组件通过总线系统1520耦合在一起，其中总线系统1520除包括数据总线之外，还可以包括电源总线、控制总线和状态信号总线等。但是为了清楚说明起见，在图16中将各种总线都标为总线系统1520。

上述本发明实施例揭示的方法可以应用于处理器1510中，或者由处理器1510实现。处理器1510可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器1510中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1510可以是通用处理器、数字信号处理器(dsp)、专用集成电路(asic)、现成可编程门阵列(fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器1540，处理器1510读取存储器1540中的信息，结合其硬件完成上述方法的步骤。

可选地，接口电路1530用于执行图2、图3、图4、图5、图6、图7、图8以及图9所示的实施例中的基站和终端的接收和发送的步骤。

处理器1510用于执行图2、图3、图4、图5、图6、图7、图8以及图9所示的实施例中的基站和终端的处理的步骤。

在上述实施例中，存储器存储的供处理器执行的指令可以以计算机程序产品的形式实现。计算机程序产品可以是事先写入在存储器中，也可以是以软件形式下载并安装在存储器中。

计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行计算机程序指令时，全部或部分地产生按照本申请实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一计算机可读存储介质传输，例如，计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存储的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，dvd)、或者半导体介质(例如固态硬盘solidstatedisk，ssd)等。

另一方面，提供一种计算机存储介质，计算机可读存储介质中存储有指令，当其在基站上运行时，使得基站执行方法实施例中的第一基站执行的动作。

又一方面，提供一种计算机存储介质，计算机可读存储介质中存储有指令，当其在终端上运行时，使得终端执行实施例中的终端执行的动作。

一方面，提供一种包含指令的计算机程序产品，计算机程序产品中存储有指令，当其在基站上运行时，使得基站执行方法实施例中的第一基站执行的动作。

再一方面，提供一种包含指令的计算机程序产品，计算机程序产品中存储有指令，当其在终端上运行时，使得终端执行方法实施例中的终端执行的动作。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，randomaccessmemory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。