保持相同无线终端的切换期间的安全密钥使用的制作方法

所描述的本发明涉及无线通信，更具体地，涉及例如在lte-wlan聚合(lwa)无线环境中，当用户设备(ue)从源接入节点切换到目标接入节点但维持同一无线终端(wt)时，在无线通信中使用的密码/加密密钥。

背景技术：

通常，当处于连接状态的用户设备(ue)从诸如enb的一个蜂窝接入节点移动到另一蜂窝接入节点时，在切换之后使用新的安全/加密密钥。同时，无线局域网wlan的广泛普及与公众日益增长的通信安全意识驱使ieee802.11类型无线接入技术的安全性显著提高。lte蜂窝无线接入技术的未来实现将包括lte-wlan聚合(lwa)，其中蜂窝enb可以将给定ue的承载的一些业务(pdcppdu)路由到同时与ue连接的wlan接入点(ap)。在lwa中，存在无线终端(wt)，该终端是终止xw接口并且控制一个或多个wlanap的逻辑节点，因此给定ue的wlan连接可以在ue不改变其wt的情况下从一个ap切换到另一个ap，这取决于所涉及的ap。类似地，在lwa中，ue的蜂窝连接也可在不改变wt的情况下从一个enb切换到另一个enb；即使ue的wlan连接也被切换到另一个ap，只要源ap和目标ap在同一wt下，便可发生上述切换。

关于lterel-13中的lwa，在enb切换时，释放源enb的lwa配置，并且ue应释放其具有的任何现有加密密钥。这是因为相关加密密钥(包括作为用于蜂窝链路的wlan安全密钥的密钥s-kwt)是基于enb特定密钥kenb，该密钥在该切换时与源enb相关联，而在切换之后，ue不再与该源enb相关联。然后，目标enb在切换之后向ue发送具有其自己的kenb的全新lwa配置。如果目标enb希望使用基于enb的wlan认证，则必须包括被称为wt计数器的参数作为向ue提供的新lwa配置的一部分，因为该参数与参数kenb一起用于导出也用于wlan认证的密钥s-kwt(在此方面，其功能类似于ieee成对主密钥pmk)。然后，ue基于目标enb的kenb，并且还基于目标enb信令发送到ue的新lwa配置中的wt计数器参数来计算密钥s-kwt。这同样适用于分组数据汇聚协议(pdcp)加密密钥，因为pdcp加密密钥也在切换时基于enb特定值kenb改变。pdcp加密密钥使wt和ap能够向ue发送从enb转发到wt的分组。

虽然在rel-13lwa规范中定义的上述基于enb的wlan认证方法旨在比基于eap/aka802.1x/aaa的传统认证方法更快(并且实际上可能更快)但是如上所述，本发明可以进一步提高认证的速度。虽然lwa是具体描述的示例，但是本文中更广泛的教导不仅限于lwa无线技术环境。例如，5g蜂窝无线接入技术的开发预期具有用于同时服务给定ue的蜂窝wlan集成，并且肯定包括可应用这些教导的稳健安全特征；或者这些教导也可以通过不同无线接入技术(rat)的其它集成来实现。

技术实现要素：

根据这些教导的第一方面，提供了一种方法，其包括：向用户设备(ue)发送第一指示以在ue将蜂窝链路切换到目标接入节点而不改变经由非蜂窝链路与ue连接的无线终端(wt)之后使用根据特定于源接入节点的参数生成的第一组安全密钥来维持；以及在ue将蜂窝链路切换到目标接入节点而不改变wt之后，使用第一组安全密钥中的至少一个密钥维持与ue的非蜂窝链路。

根据这些教导的第二方面，提供了一种存储有计算机程序指令的计算机可读存储器，这些计算机程序指令在由一个或多个处理器执行时使无线网络向用户设备(ue)发送第一指示以在ue将蜂窝链路切换到目标接入节点而不改变经由非蜂窝链路与ue连接的无线终端(wt)之后使用根据特定于源接入节点的参数生成的第一组安全密钥来维持；以及进一步在ue将蜂窝链路切换到目标接入节点而不改变wt之后，使用第一组安全密钥中的至少一个密钥维持与ue的非蜂窝链路。

根据这些教导的第三方面，提供了一种用于通信的装置，该装置包括：存储有计算机程序指令的至少一个存储器；以及至少一个处理器、具有计算机程序指令的至少一个存储器被配置为与至少一个处理器一起使该装置向用户设备(ue)发送第一指示以在ue将蜂窝链路切换到目标接入节点而不改变经由非蜂窝链路与ue连接的无线终端(wt)之后使用根据特定于源接入节点的参数生成的第一组安全密钥来维持；以及在ue将蜂窝链路切换到目标接入节点而不改变wt之后，使用第一组安全密钥中的至少一个密钥维持与ue的非蜂窝链路。

根据这些教导的第四方面，提供了一种用于通信的装置，该装置至少包括通信装置和认证装置。通信至少用于向用户设备(ue)发送第一指示以在ue将蜂窝链路切换到目标接入节点而不改变经由非蜂窝链路与ue连接的无线终端(wt)之后使用根据特定于源接入节点的参数生成的第一组安全密钥来维持。认证至少用于在ue将蜂窝链路切换到目标接入节点而不改变wt之后，使用第一组安全密钥中的至少一个密钥维持与ue的非蜂窝链路。在特定实施例中，通信装置和认证装置具体化为无线收发机、存储有计算机程序指令的至少一个存储器和至少一个处理器。

根据这些教导的第五方面，提供了一种用于操作用户设备(ue)的方法，在此方面，该方法包括：在ue将蜂窝链路切换到目标接入节点之前，使用根据特定于源接入节点的参数生成的第一组安全密钥中的至少一个密钥来认证非蜂窝链路；将蜂窝链路从源接入节点切换到目标接入节点而不改变经由非蜂窝链路与ue通信的无线终端wt；以及仅响应于ue接收与切换相关联的第一指示，在ue切换到目标接入节点而不改变wt之后，ue使用第一组安全密钥中的至少一个密钥来维持非蜂窝链路。

根据这些教导的第六方面，提供了一种存储有计算机程序指令的计算机可读存储器，这些计算机程序指令在由一个或多个处理器执行时使用户设备在ue将蜂窝链路切换到目标接入节点之前，使用根据特定于源接入节点的参数生成的第一组安全密钥中的至少一个密钥来认证非蜂窝链路；将蜂窝链路从源接入节点切换到目标接入节点而不改变经由非蜂窝链路与ue通信的无线终端wt；以及仅响应于ue接收与切换相关联的第一指示，在ue切换到目标接入节点而不改变wt之后，使ue使用第一组安全密钥中的至少一个密钥来维持非蜂窝链路。

根据这些教导的第七方面，提供了一种用于通信的装置，该装置包括：存储有计算机程序指令的至少一个存储器；以及至少一个处理器。在此方面，具有计算机程序指令的至少一个存储器被配置为与至少一个处理器一起使用户设备至少在ue将蜂窝链路切换到目标接入节点之前，使用根据特定于源接入节点的参数生成的第一组安全密钥中的至少一个密钥来认证非蜂窝链路；将蜂窝链路从源接入节点切换到目标接入节点而不改变经由非蜂窝链路与ue通信的无线终端wt；以及仅响应于ue接收与切换相关联的第一指示，在ue切换到目标接入节点而不改变wt之后，使ue使用第一组安全密钥中的至少一个密钥来维持非蜂窝链路。

根据这些教导的第八方面，提供了一种用于通信的装置，该装置至少包括通信装置和认证装置。在此方面，该装置可以是用户设备，或者该装置可以是用户设备的某些组件。认证装置用于在ue将蜂窝链路切换到目标接入节点之前，使用根据特定于源接入节点的参数生成的第一组安全密钥中的至少一个密钥来认证非蜂窝链路。通信装置用于将蜂窝链路从源接入节点切换到目标接入节点而不改变经由非蜂窝链路与ue通信的无线终端wt。认证装置还用于仅响应于ue接收与切换相关联的第一指示，在ue切换到目标接入节点而不改变wt之后，使用第一组安全密钥中的至少一个密钥来维持非蜂窝链路。在特定实施例中，所述认证装置和通信装置具体化为存储有计算机程序指令的至少一个存储器、至少一个处理器和无线收发机。

上述以及其它方面将在下面具体详细说明。

附图说明

图1是其中可以有利地实践这些教导的无线环境的示意图，即lwa无线环境，其中ue在不改变其wlan无线终端的情况下从源enb切换到目标enb；

图2是示出根据这些教导的某些实施例的enb中的一些逻辑实体和enb(经由wt)向wlanap提供的pdcppdu加密密钥的示意图；

图3是示出示例性实施例的某些特征的过程流程图；

图4是示出均适合于实践这些教导的某些方面的图1所示的接入节点的其它组件以及ue的高级示意框图。

具体实施方式

下面的描述为了清楚地进行解释以lwa无线技术环境作为假设，但是显而易见地，这些lwa特定示例很容易扩展到更一般的无线环境，其中ue的承载从使用一个安全密钥或一组安全密钥的源接入节点切换到使用一个安全密钥或一组不同的安全密钥以用于分组加密/解密和/或链路认证的目标接入节点。

具体针对lwa，ran2于2016年3月批准了面向“增强型lwa”的新工作项目[具体参见英特尔公司、高通公司和中国电信在2016年3月7日至10日，瑞典哥德堡举行的3gpptsgran第71次会议期间发布的题为“面向增强型lwa的新工作项目”的文献rp-160600]。一个目标是移动性优化，例如本文描述的实施例所满足的在不改变wt的情况下实现enb内和enb间切换。

考虑rel.13lwa安全特征的更多细节。enb(具体地，lwa用语中的主enb或menb)负责创建和更新用于wlan安全性(例如，用于认证和加密)的主密钥。除非另有说明，否则下面示例中使用的enb是指menb。3gppts33.401和ts36.331阐述了以下关于加密主密钥s-kwt的特定过程：

·enb基于kenb和wt计数器导出主密钥s-kwt；

·enb经由安全xw接口向wt发送s-kwt，然后wt使其可用于属于ue的wlan移动集的ap/ac(这是针对ue在lwa配置中配置的)；

·ue自主地导出相同的s-kwt密钥(也基于基本kenb并且基于ue从其enb接收的wt计数器)；

·然后，ue使用主密钥s-kwt作为成对主密钥(pmk)，用于ieee802.11规范中定义的四次握手(例如，802.11ax、802.11ad、802.11ay等)。

在rel-13中，enb可以通过递增wt计数器来更新s-kwt(在此方面，wt计数器被视为刷新参数)并计算新的s-kwt。此外，在任何切换事件中，释放ue与wt之间的lwa数据无线承载(drb，与信令无线承载srb相反)连接(如果wt和ap不在同一位置，则经由ap连接)，并且ue应删除s-kwt和基于其导出的其它密钥。但是存在有关如何针对rel-14中的增强型lwa(elwa)处理安全性的尚未解决的问题，如ranwg2在文献r2-163147中发布的题为“在针对elwa的ho期间有关密钥更改的ls”中所述(3gpptsgranwg2第93次会议第二次会议；克罗地亚杜布罗夫尼克；2016年4月11日至15日)。

具体地，如果ue执行切换，并且在ue保持连接到与同一wt关联的wlan期间改变kenb，则ue在切换之后是否可以保留现有s-kwt？此外，如果需要ue将密钥替换为从新kenb导出的新s-kwt，则ran2希望sa3考虑用于rel-14elwa的可行解决方案，从而潜在地允许ue在enb内/间切换之后保持与wlan的关联。

在上述rel-13lwa中，在enb切换时，释放源enb的lwa配置，并且ue应释放任何现有s-kwt密钥。但是在建立与目标enb的链路之前断开到源enb的蜂窝链路，因此释放现有s-kwt密钥而不能计算新s-kwt密钥的意外结果将导致ue不能够通过wlanap的认证。在ue释放lwa配置之后，需要丢弃在wt/ap处缓冲的任何数据分组，因为该释放将导致先前聚合到lte源enb的wlan链路终止。目标enb必须在切换之后向ue发送全新lwa配置。如果目标enb希望使用基于enb的wlan认证，则必须包括wt计数器参数作为配置的一部分。然后，ue将基于目标enb的kenb参数和所信令发送的wt计数器计算s-kwt密钥，但是在那时wlan链路可能由于缺少认证而已经终止，不能体现这些教导的优点。这同样适用于pdcp加密密钥，因为pdcp加密密钥(用于分组加密/解密)也在切换时基于enb特定的当前kenb参数而改变。

在这些教导的一个方面，rel-13lwa的安全解决方案被更新，以在不改变ue的wt的情况下执行此切换时，在切换到目标enb之后保留现有s-kwt和pdcp密钥(其中，基于源enb的kenb导出预切换)。相关地，这些教导还解决了如何以及何时强制使用新s-kwt和/或pdcp密钥(后切换基于目标enb的kenb)。

当lte链路经历切换时，意味着短暂的数据中断(有时称为先断后合方法(break-before-makeapproach)，因为在链接到目标enb之前，略微断开到源enb的链路)。但是在这种短暂的数据中断期间，可以维持wlan链路(相同的wt-ue)，并且在enb切换期间仍然可以通过配置有lwa的ue的wlan链路向该ue提供数据，只要在蜂窝切换期间，ue的wlanwt不改变即可。在这种情况下，与ue的数据链路未中断，因为wlan链路保持处于连接状态。但是如上所述，在rel-13安全过程中，在蜂窝链路切换时删除现有s-kwt可能使得wlan链路在一段时间内不能用于数据(除了没有lwa规范中不允许的加密)。除密钥生成本身之外，相关安全过程需要四次认证握手(证明参与者拥有密钥但实际上不涉及交换该密钥)，因此在无线通信期间，该时间段不可忽略。如本文详述的，保留s-kwt密钥可以在先断后合的蜂窝链路切换期间保持lwawlan链路完整，因为在那时此握手将保持有效。

在切换到目标enb之后保留现有/预切换s-kwt和pdcp密钥例如意味着在蜂窝切换事件发生时，无需丢弃可以在wt/ap处缓冲的来自源enb的分组；这些分组仍然可以通过完整的wlan链路经由wt传送到ue，并且即使在蜂窝切换完成之后，仍然可以由ue正确地解码。

如果不是这样并且wt无法传送这些缓冲的分组，则源enb需要更加保守地决定是否在蜂窝切换之前和期间立即将数据路由到wlanap，这将导致数据吞吐量无效。

图1是lwa环境中的ue10的示意图，其中示出在不改变ue10经由wlanap50-2连接到wt40的情况下从源enb20s切换到目标enb20t。在这种情况下，在针对ue配置的移动集内还存在另一wlan50-1，但是ap50-2与该示例无关。为了完整性，图1还示出了服务网关(s-gw)60，该网关也处理经由s1接口连接到enb20s、20t的移动管理实体(mme)的功能。

x2接口位于两个enb20s、20t之间。位于wt40与这些enb20s、20t之间的用户和控制平面接口分别标记为xw-u和xw-c。ue10使用802.11无线接入技术与ap50-2连接，并且与enb20s、20t的连接使用lte技术(示为用于用户数据的uu接口)。在先断后合蜂窝切换中，ue与源enb20s的uu接口在建立与目标enb20t的新uu接口之前被中断，但是在此之后，如图所示经由单个ap50-2与wt40形成的802.11链路仍然可用于lwa网络布置以向ue10发送数据和从ue10接收数据。

ue10由其源小区20s通过lwa配置进行配置，该配置包括特定于源enb20s的kenb参数。传统上，该lwa配置由ue10在切换时自动删除。在这些教导的实施例中，它不会被自动删除。当切换到目标enb20t时，向ue10提供新lwa配置，其可以是全新lwa配置或仅是现有lwa配置的更新。来自目标enb20t的该lwa配置指示ue10否应保留ue在切换之前使用的一组安全密钥(参数kenb，用于生成用于加密和认证的s-kwt，并且还生成pdcp加密密钥kupenc)。例如，如果来自目标enb20t的lwa配置包括用于目标enb的wt计数器参数，则这指示ue10应遵循传统实践，删除其现有一组加密密钥并使用该参数(和kenb)导出新加密密钥。相反，如果来自目标enb20t的lwa配置不包括wt计数器参数，则这指示ue10应保留其现有的一组安全密钥并且即使在切换之后也继续使用它们。在该示例中，在缺少来自目标enb20t的wt计数器参数的情况下，保留加密密钥的指示是隐式的。在存在该隐式指示的情况下，目标enb20t随后信令通知ue10删除这些现有加密密钥并导出新密钥集，例如，该随后的信令可以是显式指示，因为目标enb20t在切换完成之后的某一时刻向ue10发送wt计数器参数。在另一个实施例中，保留s-kwt密钥以在lwa蜂窝链路切换期间保持非蜂窝lwawlan链路，但是一旦到源enb的蜂窝链路断开，便不再保留用于pdcppdu的加密密钥(用于用户平面加密的kupenc)。

在任一种情况下，如传统实践那样，在enb切换时支持从源小区20s到目标小区20t的数据和ue上下文转发。如已经在rel-14中针对elwa所讨论的，仍然可以向ue提供如图2所示用于加密给定分组的pdcp密钥的指示。在这种情况下，pdcp密钥指示的提供是由enb20的lwaap20l功能完成的，此功能通过xw接口向wlanap50通知该密钥指示，并且wlanap通过在蜂窝切换期间保持完整的wlan/802.11无线接入技术链路将该pdcp密钥指示提供给ue10。期望ue实例化与目标enb20t相关联的pdcp协议实体20p，同时针对同一承载维持类似pdcp实体20p与源enb20s相关联。在图2中，示出了该ue的一个lwa承载，其中在蜂窝部分上发送的数据被示为在rb1上发送，而在非蜂窝部分上发送的数据被示为在rb2上发送。

用于lwa的基于enb的wlan认证在3gppts36.331中定义如下：

22a.1.xwlan认证

对于支持lwa的ue，wlan认证按照以下方式执行：

如果wt计数器包括在rrc连接重新配置消息中的lwa配置中，则ue应开始使用wt计数器值和kenb导出的s-kwt作为pmk，如在ts33.401子条款g[22]和ts36.331子条款5.6.14.2[16]中规定的。对于已经通过wlan认证的ue，新pmk的配置触发使用新pmk刷新ieee802.11安全性。

如果rrc计数器未包括在rrc连接重新配置消息中的lwa配置中：

-如果先前未针对ue配置wt计数器，则尚未通过wlan移动集中的wlan认证的ue应使用ts33.402子条款6[yy]中规定的认证方法；

-如果先前已经为ue配置了wt计数器，则尚未通过wlan移动集中的wlan认证的ue应继续使用先前使用wt计数器值和kenb导出的s-kwt作为pmk，如在ts33.401子条款g[22]和ts36.331子条款5.6.14.2[16]中规定的；

-已经通过wlan移动集中的wlan认证的ue继续使用先前配置的认证方法，并且不需要刷新ieee802.11安全性。

安全密钥的推导在3gppts33.401中定义如下：

g.2.4.2安全密钥推导

ue和menb应导出本规范的附录a.16中定义的目标wt的安全密钥s-kwt。

g.2.5安全密钥更新

g.2.5.1安全密钥更新触发器

系统支持更新s-kwt。menb可以因任何原因使用当前规范的条款g.2.5.2中定义的s-kwt更新过程更新s-kwt。如果menb在as安全性上下文中重新加密其当前活动的kenb，则menb应更新与该as安全性上下文相关联的任何s-kwt。

g.2.5.2安全密钥更新过程

如果menb从wt接收到s-kwt更新请求或者自己决定执行s-kwt更新(参见条款g.2.5.1)，则menb应递增wt计数器并计算新s-kwt，如条款g.2.4中所定义的。然后，menb应执行wt修改过程以将新s-kwt传送到wt。menb应在完整性受保护的rrc消息中向ue提供用于导出s-kwt的wt计数器的值。ue应如在条款g.2.4中所描述地导出s-kwt。每当ue或wt开始使用新s-kwt作为pmk时，它们应刷新ieee802.11安全性。

g.2.6切换过程

在s1和x2切换期间，ue与wt之间的lwadrb连接被释放，ue应删除s-kwt以及基于其导出的其它密钥。

根据这些教导的实施例，对于通过lwa配置的ue，在不改变wt的情况下执行enb切换期间以及该切换之后的一段时间内，通过隐式指示维持第一组安全密钥中的至少一个密钥(例如，现有认证密钥s-kwt和/或pdcp加密密钥，为实现本文的目标，加密密钥也被视为解密密钥)。在以上示例中，该隐式指示表明在切换之后立即由目标enb20t发送到ue10的lwa配置(更新/增量)中缺少wt计数器参数。此外，现有s-kwt和pdcp加密密钥通过来自目标enb的显式指示被释放，并且在一个示例中，该显式指示表明如果维持lwa配置，则经由在切换命令发出时或之后从目标enb20t到ue10的专用无线资源控制(rrc)信令第一次提供新wt计数器参数。在re11-13中，wt不在蜂窝切换期间向目标enb信令发送任何缓冲状态报告/指示，但是在该特定实施例中执行此操作，并且这种专用rrc消息可以至少通过wt信令发送这种缓冲器状态指示来触发，该缓冲器状态指示与从源enb20s路由到给定ue的承载的pdcppdu相关。

为了更顺利地实现这一点，优选地在准备蜂窝切换期间执行从源enb20s到目标enb20t的某种信息交换。该信息可以帮助目标enb20t确定是否以及如何维持该ue10的当前lwa配置。

更具体地并且参考图1，在给定ue10的切换准备期间，源enb20s通过x2接口与目标enb20t交换包括以下内容的某些lwa特定信息：

■在切换事件之前，ue10是否具有针对一个或多个承载的运行的lwa配置。其目的是确认是否在切换配置中维持lwa配置。

■使用ue在源enb20s中配置的wt40和/或ue特定的wlan移动集。其目的是确定切换后的lwa配置是否可通过同一wt40维持。

■ue10是否在使用enb辅助的wlan认证。这使得目标enb120t能够确定wt40/ap50-1/ue10是否正在使用有效s-kwt。

此外，在不改变wt情况下的enb切换期间和之后，并且直到目标enb20t进行指示，ue10和wt40/ap50-1保留现有s-kwt(该密钥基于源enb20s的kenb)。这与使ue10和wt40/ap50-1在切换事件期间释放现有s-kwt的传统实践不同。在此期间，ue10可以保持连接到同一wt40并且使用来自源enb20s的s-kwt通过wlan连接(wt到ue)接收pdcppdu。这使得源enb20s能够在切换之前和切换期间持续将pdu转发到wt40以用于ue的承载，因为即使在切换之后，wt40将仍能够发送这些在wt40/ap50-1处缓冲的转发pdu。如果缺少该特征，则传统的实践是需要丢弃这些pdu(或者不进行加密便发送它们，这不是一个适合的选择)。

从ue的角度来看，ue10将使用与源enb20s相关联的现有pdcp加密密钥和pdcp实体20p，这与ue10将在切换事件期间释放它的传统实践相反。在此期间，ue10应维持与源enb20s相关联的pdcp实体20p，并且通过wlan链路将接收到的(lwa)pdcppdu转发到该相同的pdcp实体20p。同时需要注意，还应创建与目标enb20t相关联的pdcp实体20p以允许lte传输。本发明的这个特殊特征避免了对使用哪些pdcp密钥的任何指示的需要，否则这将是必要的。这是因为正在使用的pdcp加密密钥与切换之后保留一段时间的s-kwt密钥一对一地耦合；这种耦合通过使用同一kenb。

在目标enb20t与wt40之间建立用于切换ue的承载的xw-u接口时(参见图1)，目标enb20t可以配置wt40以报告缓冲器状态指示，该缓冲器状态指示与从源enb20s路由到给定ue的承载的pdcppdu相关。在一个实施例中，目标enb20t请求定期更新该缓冲器状态指示(例如，以字节为单位的缓冲器大小)，或者在另一个实施例中，目标enb20t可以请求基于事件的更新(例如，用于该ue的承载的wt的缓冲器中的pdu数量降到预定阈值以下)。在任一情况下，这种缓冲器状态指示中对于在wt40处ue10的识别在一个示例中可以基于ue的媒体访问控制(mac)地址，和/或可以基于ue的3gpp标识符之一。

因此，如果被请求以及当被请求时，wt40向目标enb20t提供用于切换的ue10以及任何lwa承载的缓冲器状态指示。

基于该缓冲器状态指示(例如，一旦缓冲器状态指示表明wt的相关缓冲器为空)，目标enb20t然后经由专用rrc信令将新wt计数器提供给ue10。同时，目标enb20t可以将相关的新s-kwt密钥发送到wt40，其中根据目标enb的kenb和目标enb20t刚信令发送到ue10的wt计数器参数生成该新s-kwt密钥。

在另一个实现中，可以在初始wt添加期间将新s-kwt密钥发送到wt40，但在这种情况下，wt仅在给定时间正常地将其传播到移动集中的ap50-1、50-2。目标enb20t可以隐式地向wt40指示该给定时间，例如基于缓冲器状态指示(例如该指示是隐式的，一旦缓冲器满足特定阈值，例如变空)。或者目标enb20t可以显式地向wt40指示该给定时间，例如基于来自目标enb20t的指示(例如，提供密钥)。例如，在一个实施例中，当建立ipsec隧道时，目标enb20t可以将新s-kwt发送到wt40，但是wt40不立即将其分发到移动集的ap50-1、50-2；仅在其用于切换的ue的缓冲器没有来自源enb20s的分组之后，wt40才这样做。

在以上示例性实施例中，ue10在蜂窝切换之后第一次接收wt计数器隐含地指示：

a)ue应基于目标enb的kenb计算新s-kwt；以及

b)ue应删除与源enb20s相关联的pdcp实体20p，并开始使用与目标enb20t相关联的实体20p。

如果wt40能够缓冲，则目标enb20t可以在wt40向ue移动集中的ap50-1、50-2提供新s-kwt之前的任何时间开始将数据业务(pdcp)pdu路由到wt40；或者仅在wt40已经将新s-kwt分发到ue的移动集中的ap50-1、50-2之后执行此操作。

图3是从网络的角度示出这些教导的非限制性实施例的某些特征的过程流程图。首先，存在从源enb20s发送到目标enb20t的一些预切换信息，这些信息在框302处概括并且已经在上面进行进一步详述。然后在框304处，目标网络向ue10发送第一指示以在ue10将蜂窝链路切换到诸如enb20t的目标接入节点而不改变经由非蜂窝链路与ue10连接的wt40之后使用根据特定于诸如源enb20s的源接入节点的参数生成的第一组安全密钥来维持。框306在ue将蜂窝链路切换到目标接入节点而不改变wt之后，(使wt经由其ap)使用同一第一组安全密钥中的至少一个密钥来维持与ue的非蜂窝链路。在上述示例中，非蜂窝链路是ue10与ap50-1之间的wlan链路，其中ue10和wlan50-1/wt40使用密钥s-kwt来认证非蜂窝链路，并且使用密钥kupenc加密在非蜂窝链路上发送和接收的pdcppdu(这两个密钥都在第一组安全密钥中，因为它们都是使用特定于源enb的kenb生成的)；从源接入节点发送第一指示的时间开始到目标接入节点发送第二指示的时间为止，ue保持通过该wlan链路连接。

框304概括了在上面进一步详述的各种示例的一些进一步细节。在一个实施例中，第一指示保持有效直到第二指示被发送到ue，之后第一组安全密钥中的至少一个密钥不再对维持非蜂窝链路有效。在一个特定示例中，在目标enb20t没有信令发送用于ue的lte-wlan聚合(lwa)配置中的预定义参数(例如缺少wt计数器参数，其中lwa配置经由专用rrc消息被信令发送到ue)时，第一指示是隐式的。在以上示例中，第二指示是显式的，例如，在专用rrc信令中将wt计数器参数的新值从目标enb20t发送到ue10。在以上更具体的示例中：a)特定于源接入节点的参数是kenb；b)第一组安全密钥至少包括：b1)至少一个密钥，其是根据kenb和wt计数器导出的认证密钥s-kwt；以及b2)至少一个加密密钥，其根据kenb和wt计数器导出，以用于加密和解密通过非蜂窝链路与ue通信的pdcppdu。

未在图3中具体重复但是在上面进一步详述的，目标enb向ue发送第二指示可以通过目标enb从wt40接收缓冲器状态指示来触发，该缓冲器状态指示与从源接入节点20s路由到分配给ue10的承载的分组相关，该承载在切换交换期间保持有效，诸如wlan无线链路上的承载。

在某种程度上可以认为图3表示一种方法，源接入节点和目标接入节点(以及wlanwt)可以协调地执行该方法，因为源接入节点可以在切换之前通知目标接入节点ue正在使用enb辅助的wlan认证。然后，目标接入节点使用该信息来确定第一组安全密钥的至少一个密钥的有效性。

图3还可以表示当一个或多个处理器执行存储在计算机可读存储器上的计算机程序指令时由无线网络执行的动作。

从ue10的角度来看的动作与上面从网络的角度来看的动作类似。例如，在一些实施例中，在ue将蜂窝链路切换到目标接入节点之前，ue使用根据特定于源接入节点的参数生成的第一组安全密钥中的至少一个密钥来认证非蜂窝链路。在以上示例中，该非蜂窝链路是ue通过wlanap50-1到wt40之间的wlan链路。然后，ue将蜂窝链路从源接入节点切换到目标接入节点，而不改变在切换期间经由非蜂窝链路与ue保持通信的wt。从ue的角度来看，仅响应于ue接收到与切换相关联的第一指示，在ue将蜂窝链路切换到目标接入节点而不改变wt之后，ue使用第一组加密密钥中的至少一个密钥来维持非蜂窝链路。进一步的细节与从网络的角度概括的那些细节相对应。

对于所有上述示例，非蜂窝链路可以从一个ap改变到另一个ap并且仍然被维持，只要这两个ap处于同一移动集中即可；如果不是这样，则将需要更改ue的wt。假设在图1中，ap50-1和ap50-2都处于同一移动集中，则在执行从源enb20s到目标enb20t的蜂窝切换期间可以维持非蜂窝链路，这与上述示例一致，无论ue的非蜂窝链路是否始终直接连接到ap50-1，或者无论该非蜂窝链路是否从ap50-1改变到ap50-2，因为在任一情况下，ue的wt以及其wlan认证和加密密钥不发生改变。

图4是示出除了已经针对源enb20s或目标enb20t示出和描述的那些以外的一些其它组件以及ue10的其它组件的示意图。在无线系统中，无线(lwa)网络适于通过无线链路11经由蜂窝20s/20t和wlan50-1/50-2无线网络接入节点进行通信，无线链路11例如包括所描述的蜂窝承载和wlan承载，其具有诸如移动通信设备的装置(可以被称为ue10)。网络可以包括网络控制单元(mme，参见图1)，其包括移动管理实体/服务网关(mme/s-gw)功能，并且提供与诸如电话网络和/或数据通信网络(例如，因特网)的其它网络的连接。

ue10包括控制器，例如计算机或数据处理器(dp)10d，具体化为存储器(mem)10b的计算机可读存储介质，其存储有计算机指令程序(prog)10c，一个或多个缓冲器以及适合的无线接口，例如射频(rf)发射机/接收机组合10d，用于经由一个或多个天线与各种接入节点20s/20t/50-1/50-2进行双向无线通信。

ue10与源/目标enb20s/20t之间的无线链路可以使用lterat，而与ap50-1/50-2之间的无线链路可以使用wlanrat。此外，ue10包括未具体示出的电池或其它便携式电源。

源/目标enb20s/20t中的每一个以及ap50-1/50-2还包括控制器，诸如计算机或数据处理器(dp)20a，具体化为存储器(mem)20b的计算机可读存储介质，其存储有计算机指令程序(prog)20c，以及各种所描述的缓冲器以及适合的无线接口，例如用于经由一个或多个天线与ue10(以及其它ue)通信的rf发射机/接收机组合20d。源/目标enb20s/20t经由数据/控制路径(未示出)耦合到mme，并且该路径可以实现为接口。源/目标enb20s/20t还经由另一数据/控制路径彼此耦合，并且可能耦合到其它enb，该路径可以在lte无线接入技术中实现为具有用户平面(xu)和控制平面(xc)实例的x2接口。ap50-1/50-2经由具有类似功能但未必是无线的wt40耦合到enb20s/2ot，wt40可以与或可以不与给定ap位于同一位置。

假设prog10c/20c中的至少一个包括程序指令，当由关联的dp10a/20a执行时，这些程序指令使设备能够根据如上详述的本发明的示例性实施例进行操作。也即是说，本发明的各种示例性实施例可以至少部分地通过ue10的dp10a可执行的计算机软件实现；通过源/目标enb20s/20t和/或wt40和/或ap50-1/50-2的dp20a实现，或者通过硬件或通过软件和硬件(以及固件)的组合实现。

在各种示例性实施例中，ue10和/或接入节点20s/20t/50-1/50-2还可以包括专用处理器，例如rrc模块、射频(rf)前端等。还可以存在被构建为根据这些教导的各种示例性实施例进行操作的一个或多个模块。

计算机可读的mem10b/20b可以是适合于本地技术环境的任何类型，并且可以使用任何一种或多种适合的数据存储技术来实现，例如基于半导体的存储器设备、闪存、磁存储器设备和系统、光存储设备和系统、固定存储器和可移动存储器、电磁、红外或半导体系统。以下是计算机可读存储介质/存储器的更具体示例的非详尽列表：具有一条或多条电线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(ram)、只读存储器(rom)、可擦写可编程只读存储器(eprom或闪存)、光纤、便携式光盘只读存储器(cd-rom)、光存储设备、磁存储设备或上述各项的任何适合的组合。

dp10a/20a可以是适合于本地技术环境的任何类型，并且可以包括作为非限制性示例的通用计算机、专用计算机、微处理器、数字信号处理器(dsp)和基于多核处理器架构的处理器中的一个或多个。无线接口(例如，无线收发机10d/20d)可以是适合于本地技术环境的任何类型，并且可以使用任何适合的通信技术来实现，例如各个发射机、接收机、收发机或这些组件的组合。

通常，ue10的各种实施例可以包括但不限于智能电话、机器对机器(m2m)通信设备、蜂窝电话、具有无线通信能力的个人数字助理(pda)、具有无线通信能力的便携式计算机、诸如具有无线通信能力的数字相机的图像捕获设备、具有无线通信能力的游戏设备、具有无线通信能力的音乐存储和播放设备、允许无线因特网访问和浏览的因特网设备以及包含这些功能的组合的便携式单元或终端。上述中的任一个可以具体化为手持便携式设备、可穿戴式设备、全部或部分植入的设备、车载通信设备等。

应当理解，前面的描述仅是说明性的。本领域的技术人员可以设计出各种替代和修改。例如，各种从属权利要求中列出的特征可以采用任何适合的组合彼此进行组合。此外，来自上述不同实施例的特征可以选择性地组合到本文中没有具体详述而与其它实施例不同的实施例中。因此，该描述旨在涵盖落入所附权利要求范围内的所有这些替代、修改和变形。

以下是在本文中使用的某些首字母缩略词：

3gpp第三代合作伙伴计划

ac(wlan)访问控制器

ap(wlan)接入点

enb增强型节点b(lte基站)

id标识符

ipsec因特网协议安全性

iw互通

lte长期演进(4g蜂窝)

lwalte-wlan聚合

lwip经由ipsec隧道的lte-wlan无线级集成

mac媒体访问控制

mme移动管理实体

pdcp分组数据汇聚协议

pdu分组数据单元/协议数据单元

ran无线接入网

rlc无线链路控制

rrc无线资源控制

s-gw服务网关

ue用户设备

wlan无线局域网

wtwlan终端