用于连结混合的蜂窝网络和非蜂窝网络的安全连接的方法和系统的制作方法

用于连结混合的蜂窝网络和非蜂窝网络的安全连接的方法和系统的制作方法
【专利摘要】本主题描述了用以在无线设备与蜂窝网络之间创建安全通信的设备、网络、系统、介质和方法，其中所述无线设备经由非蜂窝网络中的多跳方法而与所述蜂窝网络通信。
【专利说明】用于连结混合的蜂窝网络和非蜂窝网络的安全连接的方法和 系统 相关申请的交叉引用
[0001] 本申请要求于2013年12月13日提交的美国申请序列号61/915,949?及于2013年 12月16日提交的美国申请序列号61/916,334的权益，其通过引用而全文并入于此。
【背景技术】
[0002] 蜂窝通信自二十世纪九十年代起越来越普及。传统地，蜂窝网络连接至公共交换 电话网络(PSTN)并且专用于语音通信。利用先进分组交换技术，可W将任何原始信号形成 为可经由蜂窝网络和非蜂窝网络从发送者流向目的地的分组。在另一方面，蜂窝电话，或称 为移动电话的制造成本已经显著降低，因此移动电话变得可负担得起了。据信移动电话已 经深入到超过全球人口数量的85%。此外，更多的功能被添加到移动电话中，从而导致移动 电话与个人计算设备之间的界限消失。许多移动电话现已变成智能电话或个人移动计算 机。智能电话不仅允许用户交谈，而且还允许用户享受使用因特网。
[0003] 由于大量用户使用智能电话，因此对蜂窝传输的需求成指数增加。然而，蜂窝网络 的带宽是有限的。对于带宽不足问题的典型解决方案是安装更多的蜂窝基站。尽管如此，在 例如纽约市、芝加哥、洛杉机、伦敦和东京等较大的都市区域中，仍只有稀少的或不存在用 W安装更多蜂窝基站的空间。即使安装更多基站是可行的，但位于诸如基站覆盖范围边缘、 丘陵地带、混凝±墙或高层建筑等"临近不可操作区(ma巧inal-to-inoperative region)" 的用户仍然面临着信号微弱或信号受阻。后果是，有必要采取新的方式来增大蜂窝覆盖范 围。

【发明内容】

[0004] 本文描述的主题的优点是利用非蜂窝网络中的多跳系统W将无线设备安全地连 接至蜂窝网络。诸如无线局域网/广域网、蓝牙网络和因特网等非蜂窝网络是普遍存在的， 并且还直接或间接与蜂窝网络相连接。本文描述的主题利用蜂窝网络和非蜂窝网络的混 合，W扩大蜂窝基站的覆盖范围。当无线设备参与混合网络时，本主题方法可W对该设备的 非蜂窝接口进行配置，W经由在所述非蜂窝网络上的跳跃而发起或中继蜂窝通信。当经由 跳跃到非蜂窝网络上而将所述设备连接至蜂窝网络时，所述设备在该设备与所述蜂窝网络 的核屯、之间创建安全隧道。所述安全隧道可W保护数据分组在通信路径期间免遭另一设备 窃听。
[0005] 在一个方面，本文描述了一种系统，所述系统包括:通过单跳或多跳至非蜂窝网络 中的信宿（"sink")设备而将无线设备无线连接至蜂窝网络，W及在所述无线设备与位于所 述蜂窝网络中的第一网关之间的无线通信中建立安全隧道。所述安全隧道的建立基于分配 (非限制性示例包括：由所述蜂窝网络、由蜂窝运营商、由终端用户和/或由认证机构分配） 给所述无线设备的安全密钥。所述系统还包括在所述无线设备与所述第一网关之间传输数 据分组;所述传输包括由所述无线设备对所述数据分组进行加密，由所述无线设备将加密 的数据分组通过所述安全隧道发送至所述第一网关，由所述第一网关接收所述加密的数据 分组，由所述第一网关对所述加密的数据分组进行解密，W及由所述第一网关更新网络连 接表。在一些实施方式中，所述系统还包括由所述第一网关将解密的数据分组发送至因特 网。在一些实施方式中，所述第一网关将所述解密的数据分组发送至第二网关，所述第二网 关转而将所述解密的数据分组发送至因特网。
[0006] 当从因特网向所述无线设备发送数据分组时，所述系统包括由所述第一网关接收 所述数据分组。或者，所述数据分组可从因特网发送至所述第二网关，所述第二网关转而将 所述分组发送至所述第一网关。所述系统还包括在所述第一网关与所述无线设备之间传输 数据分组;所述传输包括由所述第一网关对所述数据分组进行加密，由所述第一网关将加 密的数据分组通过所述安全隧道发送至所述无线设备，由所述无线设备接收所述加密的数 据分组，W及由所述无线设备对所述加密的数据分组进行解密。
[0007] 数据分组在所述无线设备与所述第一网关和/或所述第二网关之间的传输设及向 所述无线设备的用户为所发送的数据分组量计费。使用跳跃技术，允许所述无线设备跳到 所述非蜂窝网络上的信宿设备/中继设备还传送由该无线设备发送/接收的相同量的数据 分组。然而，对于中继的数据量，不应当向信宿设备/中继设备的作用计费。因此，所述方法 进一步请求所述第一网关和/或所述第二网关删除所述信宿设备/中继设备的计费记录。
【附图说明】
[0008] 图1示出了跳跃系统的非限制性示例;在运种情况下，信宿设备通过在非蜂窝网络 上的单跳或多跳而将蜂窝通信中继至连接到该信宿设备的节点设备。
[0009] 图2示出了多跳混合网络的非限制性示例;在运种情况下，节点设备跳跃到信宿设 备上，所述信宿设备转而将信号中继至蜂窝基站W及蜂窝网络中的一个或不止一个网关。
[0010] 图3示出了混合网络的配置的非限制性示例;在运种情况下，节点设备创建与ePDG 网关的安全隧道。
[0011 ]图4示出了混合网络的配置的非限制性示例;在运种情况下，节点设备创建与IP安 全网关的安全隧道，所述IP安全网关置于SGW网关与PGW网关之间。
[0012]图5示出了混合网络的配置的非限制性示例;在运种情况下，节点设备创建与IP安 全网关的安全隧道，所述IP安全网关置于SGW网关与PGW网关之前。
[001引图6示出了混合网络的配置的非限制性示例；在运种情况下，节点设备创建与PGW 网关的安全隧道。
[0014]图7示出了 inter-RAT混合网络的配置的非限制性示例；在运种情况下，节点设备 实行服PA协议，而带有SGW、PGWW及ePDG网关的蜂窝网络实行LTE协议。
[001引图8示出了 inter-RAT混合网络的配置的非限制性示例；在运种情况下，节点设备 实行LTE协议，而带有SGSN、PGWW及ePDG网关的蜂窝网络实行服PA协议。
[0016] 图9示出了 inter-RAT混合网络的配置的非限制性示例；在运种情况下，节点设备 实行服PA协议，而带有SGW、PGW、TTG W及GGSN网关的蜂窝网络实行LTE协议。
[0017] 图10示出了 inter-RAT混合网络的配置的非限制性示例;在运种情况下，节点设备 实行LTE协议，而带有SGSN、GGSN、ePDG W及PGW网关的蜂窝网络实行服PA协议。
[0018] 图11示出了 inter-RAT混合网络的配置的非限制性示例;在运种情况下，节点设备 实行LTE协议，而带有SGSN、GGSNW及TTG网关的蜂窝网络实行服PA协议。
[0019] 图12示出了 inter-RAT混合网络的配置的非限制性示例;在运种情况下，节点设备 实行服PA协议或EDGE协议，而带有SGW JPsecW及PGW网关的蜂窝网络实行LTE协议。
[0020] 图13示出了 inter-RAT混合网络的配置的非限制性示例;在运种情况下，节点设备 实行LTE协议，而带有SGW JPsecW及PGW网关的蜂窝网络实行服PA协议或EDGE协议。
[0021] 图14示出了 inter-RAT混合网络的配置的非限制性示例;在运种情况下，节点设备 实行HSPA协议或抓GE协议，而蜂窝网络实行LTE协议，其中IPsec网关置于SGW和PGW网关之 前。
[0022] 图15示出了 inter-RAT混合网络的配置的非限制性示例;在运种情况下，节点设备 实行LTE协议，而蜂窝网络实行HSPA协议或抓GE协议，其中IPsec网关置于SGW和PGW网关之 前。
[0023] 图16示出了最近的路径智能的非限制性示例；在运种情况下，ePDG处理最近的路 径表。
[0024] 图17示出了最近的路径智能的非限制性示例；在运种情况下，PGW处理最近的路径 表。
[0025] 图18示出了最近的路径智能的非限制性示例；在运种情况下，节点设备直接接入 蜂窝网络并且PGW处理最近的路径表。
[0026] 图19示出了混合网络的配置的非限制性示例；在运种情况下，节点设备在不跳跃 的情况下直接接入蜂窝网络，并且不创建安全隧道。
[0027] 图20示出了混合网络中的数据协议的非限制性示例；在运种情况下，各种设备在 数据传输期间处理数据端口和IP地址，并且演进型分组数据网关促进对计费记录的修改。 [002引图21示出了混合网络中的数据协议的非限制性示例；在运种情况下，各种设备在 数据传输期间处理数据端口和IP地址，并且分组网关处理计费记录。
【具体实施方式】
[0029] 蜂窝通信自二十世纪九十年代起越来越普及。蜂窝通信的原理是将广阔的陆地区 域划分成若干个规则形状的小区，例如，六边形、正方形或圆形形状的小区。为每个小区分 配一个或多个蜂窝基站或蜂窝塔，作为枢纽站来管理移动电话(或称为蜂窝电话)与基站之 间的无线连接性。基站进一步连接至公共交换电话网络(PSTN)，因此传统地，蜂窝网络中的 移动电话专用于语音通信。
[0030] 随着分组交换技术的出现，可W将原始信号（例如，语音、声音和场景）形成为分 组，所述分组可W在无需发送者与目的地之间的直接链路的情况下从该发送者流向目的 地。当利用分组交换技术来部署蜂窝网络时，移动计算设备可经由数据蜂窝网络连接至因 特网或其他数据网络。归功于现代半导体工程，电子电路的尺寸持续缩小。当移动电话配备 有用于处理传统蜂窝网络和数据蜂窝网络的电子忍片时，移动电话与移动计算设备之间的 界限变得模糊。大多数现代移动电话也是移动计算设备。
[0031] 移动设备的制造成本已经显著降低。移动设备对于公众而言已变得可负担得起 了。据信移动设备已经深入到超过全球人口数量的85%。随着移动设备用户的数目大幅增 加，电信提供商面临着扩大其覆盖范围的挑战。而且，更多的功能(例如，相机、web捜索、电 子邮件、地图、因特网冲浪）已经被添加到移动电话和移动设备中。移动设备用户需要更多 的带宽来享受添加的功能。运样的需求加重了电信提供商所面临的挑战。
[0032] 为了解决蜂窝网络中激增的带宽需求，典型的解决方案是安装更多的蜂窝基站。 尽管如此，在较大的都市区域中，举非限制性示例而言，诸如纽约市、芝加哥、洛杉机、伦敦 和东京，仍只有稀少的或不存在用W安装更多蜂窝基站的空间。在安装更多基站是可行的 情况下，位于诸如为基站的覆盖边缘、丘陵地带、混凝±墙或高层建筑物等"临近不可操作 区"的用户仍然面临着信号微弱或信号受阻。后果是，有必要采取新的方式来增大蜂窝覆盖 范围。
[0033] 在典型的蜂窝通信系统中，移动设备直接与蜂窝基站通信。换句话说，设备经由 "单跳"而连接至蜂窝基站，其中直接在设备与蜂窝基站之间发射和接收信号，在不通过中 间设备进行中介或中继。基于单跳通信，同时连接至基站的移动电话的最大数目是有限的， 运是因为基站的带宽是有限的。虽然可W采用复杂的调制方案和纠错码，但需要牺牲数据 速率。
[0034] 除了蜂窝网络，还存在各种非蜂窝无线网络，例如但不限于无线局域网、无线广域 网、蓝牙网络，W及一般而言的因特网。现代技术允许在移动设备中同时嵌入蜂窝接口和非 蜂窝接口。换句话说，现代移动设备可W经由蜂窝接口参与蜂窝网络，或者经由非蜂窝接口 参与非蜂窝网络。虽然运两种接口独立地位于同一移动设备中，但本文描述的主题利用运 两种类型的接口来扩大蜂窝网络的覆盖范围。
[0035] 本文描述的主题通过在蜂窝网络和非蜂窝网络的混合网络中使用多跳方案来解 决上文提及的问题。本主题不仅可应用于移动设备的一些实施方式，而且还可应用于通用 无线设备的一些实施方式。为了扩大蜂窝通信系统的覆盖范围，具有较差蜂窝信号的第一 无线设备使用其非蜂窝接口与第二无线设备通信，该第二无线设备具有良好蜂窝信号并且 将来自第一无线设备的信号中继至蜂窝基站。在运样的实施方式中，第二无线设备的诸如 数据速率和带宽等蜂窝资源与第一无线设备共享。第一无线设备经由两次跳跃而成功地与 蜂窝基站通信:跳至第二无线设备，该第二无线设备转而跳至蜂窝基站。在其他实施方式 中，可W将运些实施方式中的"双跳"连接性扩展到"多跳"连接性。例如，第一无线设备可W 跳至第二无线设备，继而跳至第S无线设备，并最终跳至蜂窝基站。只要满足一些准则，跳 跃数就可W尽可能地多，举非限制性示例而言，所述准则诸如为电池寿命、噪声水平、干扰 水平、数据速率和带宽。
[0036] 跳跃技术允许蜂窝网络扩大其覆盖范围。然而，在末端终端与蜂窝核屯、网络之间 传送数据的设备(举非限制性示例而言，智能电话、路由器、交换机、网关、计算机和/或便携 式电子设备)可能窃听信号和/或数据分组。因此，本文描述的主题系统还可W在终端无线 设备与位于蜂窝核屯、网络中的第一网关之间创建安全隧道。所述安全隧道的创建基于分配 (非限制性示例包括：由所述蜂窝网络、由蜂窝运营商、由终端用户和/或由认证机构分配） 给所述无线设备的安全密钥。所述系统还包括在所述无线设备与所述第一网关之间传输数 据分组;所述传输包括由所述无线设备对所述数据分组进行加密，由所述无线设备将加密 的数据分组通过所述安全隧道发送至所述第一网关，由所述第一网关接收所述加密的数据 分组，由所述第一网关对所述加密的数据分组进行解密，W及由所述第一网关更新网络连 接表。网络连接表的非限制性示例包括路由表、ARP表和承载(bearer)表。在一些实施方式 中，所述系统还包括由所述第一网关将解密的数据分组发送至因特网。在一些实施方式中， 所述第一网关将解密的数据分组发送至第二网关，该第二网关转而将所述解密的数据分组 发送至因特网。
[0037] 本主题系统还可W处理从因特网发送至无线设备的数据分组。该系统中的第一网 关从因特网接收数据分组。或者，所述数据分组可从因特网发送至所述第二网关，该第二网 关转而将所述分组发送至所述第一网关。所述系统还包括在所述第一网关与所述无线设备 之间传输数据分组;所述传输包括由所述第一网关对所述数据分组进行加密，由所述第一 网关将加密的数据分组通过所述安全隧道发送至所述无线设备，由所述无线设备接收所述 加密的数据分组，W及由所述无线设备对所述加密的数据分组进行解密。
[0038] 数据分组在所述无线设备与所述第一网关和/或所述第二网关之间的传输设及向 所述无线设备的用户为所发送的数据分组量计费。使用跳跃技术，允许所述无线设备跳到 所述非蜂窝网络上的信宿设备/中继设备还传送由该无线设备发送和接收的相同量的数据 分组。然而，对于中继的数据量，不应当向信宿设备/中继设备的作用计费。因此，所述系统 进一步请求所述第一网关(和/或所述第二网关，如果可适用)删除所述信宿设备/中继设备 的计费记录。举非限制性示例而言，计费记录包括设备经由蜂窝网络所发送和接收的数据 量、在使用蜂窝网络资源上所花费的时间量或其组合。
[0039] 在一些实施方式中，本文描述的系统包括利用计算机程序进行编码的非暂时性计 算机可读存储介质，所述计算机程序包括可由一个设备的处理器或由多个设备的处理器执 行W创建应用的指令。所述应用包括被配置用于经由跳至非蜂窝网络中的其他信宿设备/ 中继设备而在无线设备与蜂窝网络之间建立并保持通信的软件模块;被配置用于在终端无 线设备与第一网关之间创建安全隧道的软件模块，其中所述第一网关位于所述蜂窝网络 中。所述安全隧道的创建基于分配(非限制性示例包括：由所述蜂窝网络、由蜂窝运营商、由 终端用户和/或由认证机构分配)给所述无线设备的安全密钥。在一些实施方式中，所述应 用还包括被配置用于在无线设备与第一网关之间传输数据分组的软件模块;所述传输包括 由无线设备对数据分组进行加密，W及由无线设备将加密的数据分组通过安全隧道发送至 第一网关。在一些实施方式中，所述应用包括由第一网关配置用于接收加密的数据分组、对 所述加密的数据分组进行解密并且更新网络连接表的软件模块。在一些实施方式中，所述 应用还包括由所述第一网关配置用于将解密的数据分组发送至因特网的软件模块。在一些 实施方式中，所述第一网关将解密的数据分组发送至第二网关，该第二网关转而将所述解 密的数据分组发送至因特网。
[0040] 在一些实施方式中，所述应用还包括用W处理从因特网发送至无线设备的数据分 组的软件模块。所述应用包括由所述第一网关配置用于从因特网接收数据分组的软件模 块。或者，所述数据分组可从因特网发送至第二网关，该第二网关转而将所述分组发送至所 述第一网关。在进一步实施方式中，所述应用包括由第一网关配置用于通过对数据分组进 行加密并且通过安全隧道将加密的数据分组发送至无线设备来将数据分组传输至所述无 线设备的软件模块。在进一步实施方式中，所述应用包括由无线设备配置用于接收加密的 数据分组并且对所述加密的数据分组进行解密的软件模块。
[0041] 在一些实施方式中，所述应用包括被配置用于处理计费记录的软件模块。数据分 组在所述无线设备与所述第一网关和/或所述第二网关之间的传输设及向所述无线设备的 用户为所发送的数据分组量计费。使用跳跃技术，允许所述无线设备跳到所述非蜂窝网络 上的信宿设备/中继设备还传送由该无线设备发送和接收的相同量的数据分组。然而，对于 中继的数据量，不应当向信宿设备/中继设备的作用计费。因此，所述应用还包括被配置用 于请求第一网关(和/或第二网关，如果可适用)删除信宿设备/中继设备的计费记录的软件 模块。
[0042] 在另一方面，公开了一种计算机实现的方法/系统，所述方法/系统包括：（a)通过 单跳或多跳至非蜂窝网络中的信宿设备而将无线设备连接至蜂窝网络；W及(b)在无线设 备与第一网关之间建立安全隧道。在一些实施方式中，所述第一网关包括W下各项中的一 项或多项:演进型分组数据网关、分组数据网关W及IPsec网关。在一些实施方式中，建立所 述安全隧道包括由所述蜂窝网络分配给所述无线设备的密钥。在附加实施方式中，所述方 法/系统包括(a)由所述无线设备对第一数据分组进行加密；（b)由所述无线设备将加密的 第一数据分组通过所述安全隧道发送至所述第一网关；（C)由所述第一网关接收所述加密 的第一数据分组；（C)由所述第一网关对所述加密的第一数据分组进行解密；W及(d)由所 述第一网关更新网络连接表。所述方法/系统还包括由所述第一网关将解密的第一数据分 组发送至因特网。另外，所述方法/系统包括，所述第一网关删除所述信宿设备的第一计费 记录。在一些情况下，所述方法/系统包括由所述第一网关将解密的第一数据分组发送至第 二网关。所述方法/系统包括，所述第一网关请求所述第二网关删除所述信宿设备的第一计 费记录。所述方法/系统包括，所述第二网关不对预定送往或源自所述第一网关的第一隧穿 rtunneled")数据分组计费。所述第二网关包括分组网关。在进一步实施方式中，所述方法 还包括由所述第二网关将解密的第一数据分组发送至因特网。在进一步实施方式中，所述 方法/系统还包括由所述第一网关从因特网接收第二数据分组。所述方法/系统包括由所述 第二网关从因特网接收第二数据分组。所述方法/系统包括由所述第二网关将所述第二数 据分组发送至所述第一网关。另外，所述方法包括：（a)由所述第一网关对所述第二数据分 组进行加密；（b)由所述第一网关将加密的第二数据分组通过安全隧道发送至无线设备； (C)由所述无线设备接收所述加密的第二数据分组；W及(d)由所述无线设备对所述加密的 第二数据分组进行解密。所述方法/系统还包括由所述第一网关修改所述第二数据分组的 目的地址。所述方法/系统包括，所述第一网关删除所述信宿设备的第二计费记录。所述方 法/系统包括，所述第一网关请求所述第二网关删除所述信宿设备的第二计费记录。所述方 法/系统包括，所述第二网关不对预定送往或源自所述第一网关的第二隧穿数据分组计费。 一些定义
[0043] 除非另有定义，本文使用的所有技术术语具有与本发明所属领域的普通技术人员 通常理解相同的含义。本说明书和所附权利要求书中所使用的单数形式"一个"、"一种"和 "该"包括复数指引，除非上下文另有明确所指。本文中任何对"或"的提及旨在包含"和/ 或"，除非另有所指。 首要方法/系统设计
[0044] 本文描述的首要方法/系统包括：（a)通过单跳或多跳至非蜂窝网络中的信宿设备 而将无线设备连接至蜂窝网络；W及(b)在无线设备与第一网关之间建立安全隧道。所述第 一网关包括演进型分组数据网关、分组数据网关W及IPsec网关中的一个或多个。在一些实 施方式中，建立所述安全隧道基于由所述蜂窝网络分配给所述无线设备的密钥。
[0045] 在附加实施方式中，所述方法/系统包括：（a)由所述无线设备对第一数据分组进 行加密；（b)由所述无线设备将加密的第一数据分组通过所述安全隧道发送至所述第一网 关；（C)由所述第一网关接收所述加密的第一数据分组；（d)由所述第一网关对所述加密的 第一数据分组进行解密；W及(e)由所述第一网关更新网络连接表。在进一步实施方式中， 所述方法/系统包括W下各项中的一项或多项：（a)由第一网关修改解密的第一数据分组的 源地址，（b)由第一网关将所述解密的第一数据分组发送至因特网，（C)由第一网关将所述 解密的第一数据分组发送至第二网关。
[0046] 此外，在一些实施方式中，所述方法/系统包括由第一网关删除信宿设备的第一计 费记录。在一些情况下，所述方法/系统包括由所述第一网关向所述第二网关发送请求W删 除所述信宿设备的第一计费记录。在一些实施方式中，所述方法/系统包括由所述第二网关 进行深度分组检测，W使得该第二网关不创建所述信宿设备的第一计费记录。在一些实现 方式中，所述方法/系统包括由所述第二网关将解密的第一数据分组发送至因特网。
[0047] 第二网关的非限制性示例包括分组数据网关。在一些示例中，第二网关（例如， PGW)使用深度分组检测（例如，白名单规则），W使得其不创建针对预定送往(例如，隧穿分 组的目的IP地址与第一网关的目的IP地址相匹配)或源自（例如，隧穿分组的源IP地址与第 一网关的源IP地址相匹配)第一网关(例如，ePDG)的隧穿分组（例如，IPsec隧穿分组）的计 费记录。
[004引在一些实施方式中，所述方法/系统还包括由所述第一网关从因特网接收第二数 据分组。或者，所述第二网关从因特网接收第二数据分组，并且将所述第二数据分组发送至 所述第一网关。在一些实施方式中，第一网关修改第二数据分组的目的地址。在附加实施方 式中，所述方法/系统包括(a)由所述第一网关对所述第二数据分组进行加密；（b)由所述第 一网关将加密的第二数据分组通过安全隧道发送至无线设备；（C)由所述无线设备接收所 述加密的第二数据分组；W及(d)由所述无线设备对所述加密的第二数据分组进行解密。
[0049] 前述段落之后的进一步实施方式包括W下各项中的一项或多项：（a)由所述第一 网关删除所述信宿设备的第二计费记录，（b)由所述第一网关向所述第二网关发送请求W 删除所述信宿设备的第二计费记录，^及山）由所述第二网关进行深度分组检测，W使得该 第二网关不创建所述信宿设备的第二计费记录。 无线设备
[0050] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括一个或多个无 线设备。举非限制性示例而言，合适的无线设备为移动电话、移动计算设备、智能电话、便携 式计算机、平板计算机、移动计算机、热点、路由器、网关、交换机、相机、录音机、录像机、音 乐播放器、视频播放器、便携式电子设备W及可穿戴式电子设备。或者，无线设备包括非便 携式设备，所述非便携式设备包含蜂窝接口和/或非蜂窝接口；举非限制性示例而言，计算 设备具有一个用于蜂窝通信的适配器和另一用于非蜂窝通信的适配器。
[0051] 在一些实施方式中，本文描述的主题所使用的无线设备仅配备有非蜂窝接口；即， 该设备不包括蜂窝接口。在适当配置的情况下，无线设备可W利用非蜂窝接口连接至另一 无线设备，所述另一无线设备将信号中继至蜂窝网络。例如，可W使仅配备有非蜂窝接口 (例如，Wi-Fi忍片组）的移动计算设备(例如，i化d)具体化。
[0052] 在一些实施方式中，本主题中描述的、混合网络上的无线设备属于相同的类型。举 非限制性示例而言，无线设备可W全都是移动电话或便携式计算设备。在其他实施方式中， 混合网络上的无线设备的类型是混合的。例如，举非限制性示例而言，一个无线设备包括智 能电话，另一无线设备包括膝上型计算机，而又一无线设备包括Wi-Fi热点。
[0053] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括配备有或使用 数字处理器的无线设备。在进一步实施方式中，数字处理器包括实施该设备的功能的一个 或多个硬件中央处理器(CPU)。在更进一步实施方式中，数字处理器还包括被配置用于执行 可执行指令的操作系统。
[0054] 在一些实施方式中，无线设备包括被配置用于执行可执行指令的操作系统。所述操 作系统例如为包括程序和数据的软件，所述软件管理设备的硬件并且提供服务，W便执行 应用。本领域技术人员将认识到，举非限制性示例而言，合适的服务器操作系统包括FreeBSD、 Open目SD、NetBSD、j)、l.Lnux、ApplebMac OS XScrvcr?、Oraclc、'9s〇lai'is、';)、Wind〇ws Server?和Novell? NetWare?。本领域技术人员将认识到，举非限制性示例而言，合适的个 人计算机操作系统包巧Microsoft? Windows?、Apple? M般 OS X?、UMX? W及类UNIX操作系统，诸如GNU/limix?。在一些实施方式中，操作系统由云计算提供。 本领域技术人员还将认识到，举非限制性示例而言，合适的移动智能电话操作系统包括 .Nokia? 'Symbian@ 0 S、App.le@ iOS? 'Research In Mati〇Il@ BlackBerry OS喊、Googie喊 Android曲、Microsoft…Windowsphone^os、Microsoft掛Windows Mo閒 e⑩ os、Linux? W 及 Palm?WebOS?。
[0055] 在一些实施方式中，无线设备包括存储和/或存储器设备。存储和/或存储器设备 是用于暂时地或永久地储存数据或程序的一个或多个物理装置。在一些实施方式中，存储 设备为易失性存储器，并且需要电力来维持所储存的信息。在一些实施方式中，设备为非易 失性存储器，并且在无线设备未通电时保留所储存的信息。在进一步实施方式中，非易失性 存储器包括快闪存储器。在一些实施方式中，非易失性存储器包括动态随机存取存储器 (DRAM)。在一些实施方式中，非易失性存储器包括铁电随机存取存储器(FRAM)。在一些实施 方式中，非易失性存储器包括相变随机存取存储器(PRAM)。在其他实施方式中，举非限制性 示例而言，存储设备包括CD-R0M、DVD、快闪存储器设备、磁盘驱动器、磁带驱动器、光盘驱动 器W及基于云计算的存储。在进一步实施方式中，存储和/或存储器设备是诸如本文所公开 的那些设备的组合。
[0056] 在一些实施方式中，无线设备包括用W向用户发送视觉信息的显示器。在一些实 施方式中，显示器是阴极射线管(CRT)。在一些实施方式中，显示器是液晶显示器化CD)。在 进一步实施方式中，显示器是薄膜晶体管液晶显示器(TFT-LCD)。在一些实施方式中，显示 器是有机发光二极管（OLED)显示器。在各个进一步实施方式中，OLm)显示器是无源矩阵 OLED(PMOLED)或有源矩阵化抓(AMOLED)显示器。在一些实施方式中，显示器是等离子显示 器。在其他实施方式中，显示器是视频投影仪。在更进一步实施方式中，显示器是诸如本文 所公开的那些设备的组合。
[0057] 在一些实施方式中，无线设备包括用W从用户接收信息的输入设备。在一些实施 方式中，输入设备为键盘。在一些实施方式中，输入设备为指点设备，举非限制性示例而言， 包括鼠标、轨迹球、轨迹板、操纵杆、游戏控制器或触控笔。在一些实施方式中，输入设备为 触摸屏或多点触摸屏。在其他实施方式中，输入设备是用W捕捉语音或其他声音输入的麦 克风。在其他实施方式中，输入设备是用W捕捉运动或视觉输入的视频相机。在更进一步实 施方式中，输入设备是诸如本文所公开的那些设备的组合。 混合网络/多跳网络
[0058] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括作为混合多跳 网络的无线设备。图1是图示混合多跳网络的一些实施方式的非限制性示例。参考图1，无线 设备102直接连接至蜂窝基站101。基站101与设备102之间的通信网络基于蜂窝通信协议， 良P，形成了蜂窝网络。图1中所体现的设备102经由单跳而连接至基站101。
[0059] 参考图1，无线设备103不具有直接连接至基站101的最优蜂窝信号。然而，设备103 的信号可W跳到设备102上，所述设备102转而将信号中继至基站101。设备103与基站101之 间的通信是两跳通信。而且，所述通信是在蜂窝网络和非蜂窝网络的混合网络上。设备102 与设备103之间的无线连接基于它们的非蜂窝接口，举非限制性示例而言，所述非蜂窝接口 诸如为Wi-Fi接口、蓝牙接口、LTE-Direct接口、光学接口或红外接口。蜂窝基站101与设备 102之间的无线连接基于蜂窝网络，其中设备102的蜂窝通信资源(举非限制性示例而言，诸 如带宽和数据速率)与设备103共享。
[0060] 类似地，参考图1，无线设备104不具有直接连接至基站101的最优蜂窝信号。然而， 设备104可W经由S次跳跃而与基站101通信:跳到无线设备105上，继而跳到无线设备102 上，又继而跳到基站101上。设备102、设备104与设备105之间的无线链路基于它们的非蜂窝 接口，举非限制性示例而言，所述非蜂窝接口诸如为Wi-Fi接口、蓝牙接口、LTE-Direct接 口、光学接口或红外接口。蜂窝基站101与设备102之间的无线链路基于蜂窝网络，其中设备 102的蜂窝通信资源(举非限制性示例而言，诸如带宽和数据速率)与设备104共享。
[0061] 在一些实施方式中，参考图1，设备102可W并发地中继源自设备103和设备104的 信号。在一些实施方式中，设备102可W与基站101通信W供其自身使用，同时中继来自设备 103和设备104中之一或者来自设备103和设备104中全部两者的信号。
[0062] 在图1中所体现的一些情况下，非蜂窝网络中的无线链路可W实行相同的协议。在 一些情况下，所述链路可W实行不同的协议。举非限制性示例而言，合适的协议选项为IEEE 802.11标准、AP/AP 协议、STA/STA 协议、AP/STA 协议、AP/IBSS 协议、STA/1BSS 协议、AP/P2P- Client 协议、AP/P2P-G0 协议、IBSS/IBSS 协议、P2P-G0/P2P-G0 协议和 P2P-Client/P2P- Client 协议、P2P-G0/STA 协议、STA/P2P-Client 协议、P2P-G0/IBSS 协议、P2P-Client/IBSS 协议W及P2P-G0/P2P-Client协议。本领域技术人员可W认识到，各种协议组合可W体现在 本文描述的主题中。 信宿设备/中继设备/节点设备
[0063] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括作为信宿设备 的无线设备。多跳混合网络中的信宿设备是具有通向蜂窝基站的直接无线链路并且中继其 他无线设备的信号的无线设备。在图1中所示的实施方式中，设备102为信宿设备。该信宿设 备是蜂窝网络与非蜂窝网络之间的网关点。其使得非蜂窝网络中的其他无线设备能够接入 蜂窝网络;换句话说，信宿设备使得其他无线设备能够参与混合网络。在一些实施方式中， 将存在不止一个信宿设备W实现蜂窝网络与非蜂窝网络之间的连接。
[0064] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括作为节点设备 的无线设备。参考图1，设备103和设备104是节点设备。节点设备不具有通向蜂窝基站101的 最优直接连接并且是其通向蜂窝基站101的通信路径中的末端终端。在图1中所示的多跳混 合网络的一些实施方式中，节点设备103请求上游设备102将通信中继至蜂窝基站101;由于 设备102为信宿设备，因此设备103可W基于两次跳跃而实现通信。类似地，节点设备104请 求上游设备105中继信号。然而，设备105不具有通向基站101的最优直接连接，因此其进一 步请求设备102来中继所述信号。结果是，为了连接到基站101，设备104花费=次跳跃。在一 些实施方式中，节点设备W许多次跳跃而连接至蜂窝基站，只要中继设备能够实现中继任 务即可。
[0065] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括作为中继设备 的无线设备。参考图1，中继设备是无线设备105,该无线设备105是通信路径中的中间设备。 设备105可被配置用于与下游无线设备104和上游无线设备102通信。在一些实施方式中，中 继设备105可W中继多个通信路径。在一些实施方式中，设备105与其他设备102和104之间 的无线连接使用相同的协议或者使用不同的协议。
[0066] 对于信宿设备/中继设备而言存在用于中继通信的各种条件。举非限制性示例而 言，合适的条件为电池寿命、带宽使用、设备类型、节点状态信号、移动性水平、当日时间、订 费、用户简档、非蜂窝信号强度、蜂窝信号强度、噪声水平和/或干扰水平。举非限制性示例 而言，电池寿命包括可用能量的量、电池存储容量的量、剩余未耗尽能量的量、用于进行跳 跃的估计使用时间/能量、电池的当前使用模式、所储存的能量的绝对量、储器中剩余的流 体量(例如，燃料电池中的氨或甲烧的量）。举非限制性示例而言，带宽使用包括用于建立无 线链路的可用带宽、上行链路可用带宽、下行链路可用带宽，W及估计的带宽使用；上述带 宽包括蜂窝带宽和非蜂窝带宽。举非限制性示例而言，设备类型包括机器类型(例如，电话、 平板计算设备、膝上型计算机、服务器、台式计算机）、处理器核的数目、设备中存储器的量、 禪合至设备的蜂窝接口的天线数目、禪合至设备的非蜂窝接口的天线数目W及操作系统类 型。举非限制性示例而言，节点状态信号(例如，信标信号)包含关于设备与蜂窝基站之间的 跳跃数目的信息、蜂窝网络运营商的标识符、蜂窝基站在网关设备或信宿设备处的信号强 度、设备的位置、设备的移动、用于跳跃的可用蜂窝/非蜂窝带宽、跳跃数目、估计的路径损 耗、信道质量指标、可用蜂窝基站的数目、每比特能量与每比特噪声的比率、信号质量、RSSI 值、RCPI值W及已经参与信道的无线设备的数目。举非限制性示例而言，移动性水平包括通 过无线设备的组件进行感测、检测位置和位置变化，W及计算由无线设备接收的无线信号 的多普勒频移。举非限制性示例而言，当日时间包括相对于使用简档的时间W及相对于忙 时的时间。举非限制性示例而言，订费包括设备用户已承诺向蜂窝网络运营商支付的金额。 举非限制性示例而言，用户简档包括用户行为、用户与蜂窝网络运营商的关系、客户类型 (例如，长期客户或即付即用(pay-on-the go)客户）W及已使用网络服务提供商的年数。举 非限制性示例而言，干扰水平包括蜂窝干扰水平和非蜂窝干扰水平。 接口
[0067] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括使用用于蜂窝 通信、非蜂窝通信和/或信标通信的一个或多个接口。接口是由电子电路实现的、用W生成 和接收电磁波的硬件模块。在一些情况下，接口的实现方式属于电子电路的一部分。举非限 制性示例而言，电磁波包括射频波、光束和/或红外波。在一些情况下，接口还包括用于控制 电磁波形调制、解调、编码、解码、生成和/或接收的电子电路。控制机构由硬件模块、由软件 模块或者由硬件模块和软件模块的组合实现。
[0068] 在蜂窝通信中，蜂窝接口是用于将设备连接至蜂窝基站的接口。蜂窝接口能够利 用所需的协议来执行蜂窝通信。在一些实施方式中，蜂窝接口被动态地配置用于执行不同 的蜂窝通信技术和协议，举非限制性示例而言，诸如全球移动通信系统(GSM)、通用分组无 线业务（GPRS)、增强型数据速率GSM演进化DGE)、通用移动电信系统（UMTS)、码分多址 (CDMA)、宽带码分多址(W-CDMA)、高速分组接入化SPA)、长期演进化TE)、高级长期演进化TE Advance)、直接长期演进化TE Direct) W及全球微波接入互操作性(WiMAX)。
[0069] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括使用用于非蜂 窝网络连接的非蜂窝接口。非蜂窝接口能够执行所需的协议W将其自身连接至非蜂窝网络 中的另一设备。在信息技术产业中，非蜂窝接口常被称为无线接口。非蜂窝网络的示例包括 但不限于无线局域网、无线广域网、蓝牙网络W及红外网络。在一些实施方式中，非蜂窝接 口被动态地配置用于执行一个或多个不同的非蜂窝通信技术和协议，举非限制性示例而 言，诸如IE邸802.11标准、I邸E 802.16标准、AP/STA协议、独立基础服务集(IBSS)、点对点 (P2P)、P2P-G0/P2P-Client、直接长期演进化TE Direct)、全球微波接入互操作性(WiMAX)、 IE邸802.16、移动多跳中继(MMR)蓝牙W及Flashing。
[0070] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括使用用于发送 和接收信标信号的信标接口。在某些实施方式中，信标接口与非蜂窝接口或蜂窝接口相同。 在其他实施方式中，信标接口共享非蜂窝接口或蜂窝接口的电路的一部分。或者，信标接口 是独立于蜂窝接口且独立于非蜂窝接口的隔离电路，举非限制性示例而言，诸如根据IEEE 802. Ilp标准、LTE-DirectW及FlasliLinQ等标准的设备。 虚拟接口
[0071] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括使用用于蜂窝 通信、非蜂窝通信和/或信标通信的信宿设备/中继设备/节点设备的一个或多个接口。接口 包括硬件模块、软件模块或者硬件模块和软件模块的组合。然而，适当地控制接口并且调度 运行在该接口上的各种任务可W虚拟地在无线设备上创建多个接口，从而允许所述接口同 时执行不同的任务。举非限制性示例而言，所述任务包括发射/接收信标信号、建立无线链 路、保持无线链路、路由数据帖、交换数据帖、引导数据帖、对数据帖再寻址、重组数据帖W 及处理一个或多个协议。所述任务由另一硬件模块实现，或者它们由软件模块实现。
[0072] 在实施方式中，非蜂窝接口/无线接口出于非蜂窝通信的目的而包含公共资源，举 非限制性示例而言，所述公共资源包括信号处理器、天线、振荡器、谐振器、放大器、发射器、 接收器、调制器、解调器、编码器、解码器、逻辑组件和/或总线连接。本文描述的主题可对公 共资源进行配置W并行执行多个任务。运一过程等同于创建虚拟非蜂窝接口，其中每个虚 拟非蜂窝接口可W执行独立的任务。举非限制性示例而言，虚拟接口可W使用STA协议连接 至非蜂窝接入点，虚拟接口可W使用P2P-G0或P2P-C1 ient协议连接至无线设备，并且虚拟 接口可W使用AP或STA协议连接至另一无线设备。本领域技术人员可W认识到在虚拟接口 上实现的各种通信协议。
[0073] 在一些实施方式中，创建一个虚拟非蜂窝接口用于处理与接入点的通信，并且创 建另一虚拟蜂窝接口用于传送/中继/发起数据通信。在一些实施方式中，创建不止两个非 蜂窝虚拟接口，其中第=非蜂窝虚拟接口用于与另一接入点通信或者用于与一个或多个下 游设备通信。
[0074] 在一些实施方式中，蜂窝接口出于蜂窝通信的目的而包含公共资源。举非限制性 示例而言，所述资源包括信号处理器、天线、振荡器、谐振器、放大器、发射器、接收器、调制 器、解调器、编码器、解码器、逻辑组件和/或总线连接。本文描述的主题可对公共资源进行 配置W并行执行多个任务。运一过程等同于创建虚拟蜂窝接口，其中每个虚拟蜂窝接口可 W执行独立的任务。举非限制性示例而言，虚拟接口可W使用HSPA协议连接至蜂窝基站，虚 拟接口可W使用LTE协议连接至另一蜂窝基站，并且虚拟接口可W执行信标任务。
[0075] 在一些实施方式中，创建一个虚拟蜂窝接口用于处理语音通信，并且创建另一虚 拟蜂窝接口用于处理数据通信。
[0076] 在一些实施方式中，通信路径中的无线设备(例如，信宿设备、中继设备和/或发端 设备)利用两个或更多个虚拟接口来创建多个链路，所述多个链路并发地实行不同的协议 或相同的协议W便链接另一无线设备(例如，下游设备、上游设备和/或另一非蜂窝站/接入 点）。 无线链路
[0077] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括建立和/或保持 无线链路。建立/保持无线链路由接口或者由虚拟接口执行。并发地建立/保持两个或更多 个无线链路由配置于单一接口上的两个或更多个虚拟接口执行。建立/保持无线链路包括 发射无线信号和接收无线信号，直到通信会话结束。建立/保持无线链路包括发射无线信号 和接收无线信号，直到通信会话结束。发射无线信号包括但不限于将数据文件分拆成数据 分组、对数据进行编码、对比特流进行调制和/或生成电磁波。接收无线信号包括但不限于 接收电磁波、对波进行解调、对比特流进行解码和/或将数据分组组装成数据文件。在进一 步实施方式中，建立无线链路受一些条件限制。举非限制性示例而言，合适的条件为电池寿 命、带宽使用、设备类型、节点状态信号、移动性水平、当日时间、订费、用户简档、非蜂窝信 号强度、蜂窝信号强度、噪声水平和/或干扰水平。举非限制性示例而言，电池寿命包括可用 能量的量、电池存储容量的量、剩余未耗尽能量的量、用于进行跳跃的估计使用时间/能量、 电池的当前使用模式、所储存的能量的绝对量、储器中剩余的流体量(例如，燃料电池中的 氨或甲烧的量）。举非限制性示例而言，带宽使用包括用于建立无线链路的可用带宽、上行 链路可用带宽、下行链路可用带宽，W及估计的带宽使用;上述带宽包括蜂窝带宽和非蜂窝 带宽。举非限制性示例而言，设备类型包括机器类型（例如，电话、平板计算设备、膝上型计 算机、服务器、台式计算机）、处理器核的数目、设备中存储器的量、禪合至设备的蜂窝接口 的天线数目、禪合至设备的非蜂窝接口的天线数目W及操作系统类型。举非限制性示例而 言，节点状态信号(例如，信标信号)包含关于设备与蜂窝基站之间的跳跃数目的信息、蜂窝 网络运营商的标识符、蜂窝基站在网关设备或信宿设备处的信号强度、设备的位置、设备的 移动、用于跳跃的可用蜂窝/非蜂窝带宽、跳跃数目、估计的路径损耗、信道质量指标、可用 蜂窝基站的数目、每比特能量与每比特噪声的比率、信号质量、RSSI值、RCPI值W及已经参 与信道的无线设备的数目。举非限制性示例而言，移动性水平包括通过无线设备的组件进 行感测、检测位置和位置变化，W及计算由无线设备接收的无线信号的多普勒频移。举非限 制性示例而言，当日时间包括相对于使用简档的时间W及相对于忙时的时间。举非限制性 示例而言，订费包括设备用户已承诺向蜂窝网络运营商支付的金额。举非限制性示例而言， 用户简档包括用户行为、用户与蜂窝网络运营商的关系、客户类型（例如，长期客户或即付 即用（pay-on-the go)客户）W及已使用网络服务提供商的年数。举非限制性示例而言，干 扰水平包括蜂窝干扰水平和非蜂窝干扰水平。
[0078] 在一些实施方式中，无线设备请求另一设备来中继蜂窝通信。所述请求明确地发 出信号，或者嵌入在协议中。所述请求在物理层中或在软件层中实现。所述请求受一些上述 条件限制。 网关
[0079] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括作为用于数据 通信的网关的计算设备。当无线节点设备经由单跳（即，直接)链路或经由信宿设备的多跳 (即，间接)链路而连接至基站时，该基站将进一步与核屯、蜂窝网络中的网关进行通信。所述 网关进一步直接或间接地与因特网通信。参考图2,当节点设备201经由跳跃到信宿设备202 上而连接至蜂窝基站203时，所述基站可W与核屯、网络中的网关204或205通信。在基站203 连接至网关204的情况下，所述网关直接与因特网207通信。或者，当基站203连接至网关205 时，网关205进一步与另一网关206通信，所述另一网关206进一步处理数据并直接连接至因 特网207。本领域技术人员可W认识到，在网络配置中可W部署各种布局，并且可W在网络 中放置一个或多个网关W实施本文描述的主题。
[0080] 举非限制性示例而言，合适的网关是因特网协议安全(IPsec)网关、分组数据网络 网关(PGW;有时称为PDN网关或分组网关）、服务网关(SGW)、演进型分组数据网关(ePDG)、网 关GPRS支持节点(GGSN)、服务GPRS支持节点（SGSN)和隧道终止网关(TTG)。在一些实施方式 中，网关包括代理服务器、域名服务器、防火墙、路由器和交换机的功能。 安全数据通信
[0081] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括创建用于数据 通信的安全隧道。跳跃方法允许节点设备经由非蜂窝网络连结蜂窝网络。然而，在节点设备 与蜂窝网络之间传送数据通信的中继设备可能窃听信号和数据分组。因此，当多跳发生时， 为了使数据通信安全，在节点设备与蜂窝网络之间创建安全隧道。
[0082] 参考其中在一些实施方式中节点设备301不具有最优蜂窝信号的图3,该节点设备 直接连接至蜂窝无线电接入网络303W获得安全密钥。或者，利用安全密钥(非限制性示例 包括:固定的安全密钥和/或随时间变化的安全密钥)对节点设备301进行预配置(非限制性 示例包括：由蜂窝网络、由蜂窝运营商、由终端用户和/或由认证机构进行预配置）。节点设 备301继而经由单跳或多跳而连接至信宿设备302, W便获得更高质量的蜂窝通信资源。或 者，节点设备301不能够在跳至信宿设备302之前得到安全密钥，因此为了从蜂窝网络获得 安全密钥，它需要W跳到信宿设备302上开始。其中节点设备301必须进行跳跃W得到安全 密钥的非限制性示例包括:节点设备301包括不包含用于蜂窝通信的蜂窝接口的无线设备； 节点设备301包括位于蜂窝信号根本不能到达的地下室中的无线设备。
[0083] 在前述实施方式之后，继而使用安全密钥在节点设备301与演进型分组数据网关 (ePDG)307之间创建安全隧道。一旦创建了安全隧道，节点设备就对数据分组进行加密并且 将加密的数据分组发送至ePDG 307。在一些实施方式中，节点设备301与ePDG 307之间的安 全通信经过其他网关，举非限制性示例而言，诸如服务网关305和/或分组网关306"ePDG 307进一步对加密的数据分组进行解密并且将所述数据分组发送至因特网。在一些实施方 式中，被传输到因特网的数据经由另一网关发送。参考图3,使用S2b协议将数据分组发送至 分组网关306并继而发送至因特网。
[0084] 在一些实施方式中（参见图3)，当数据分组从因特网发送至节点设备301时，ePDG 307首先直接从因特网或经由分组网关306接收分组。继而，ePDG 307对所述数据分组进行 加密并且通过安全隧道将加密的数据分组传输至节点设备301。当节点设备301接收到加密 的数据分组时，其使用安全密钥对所述分组进行解密。
[0085] 在进一步实施方式中，数据分组在节点设备301与网关之间的传输设及向节点设 备的用户为所发送和接收的数据分组量计费。使用跳跃技术，信宿设备302还中继由节点设 备发送和接收的相同量的数据分组，并且分组网关306添加针对信宿设备302的计费记录。 然而，对于中继的数据量，不应当向信宿设备302的作用计费。因此，ePDG307进一步请求分 组网关306和/或服务网关305删除信宿设备302的计费记录。
[0086] 在图3中的一些实施方式中，ePDG 307直接与因特网通信，即，不经由分组网关 306。除了请求删除信宿设备302的计费记录，ePDG307还请求分组网关306和/或服务网关 305添加针对节点设备301的计费记录。
[0087] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括深度分组检测 方案。参考图3,一旦节点设备301接收到安全密钥，就可W在节点设备301与ePDG 307之间 创建安全隧道。因此，节点设备301可W对数据分组进行加密并且通过安全隧道传输所述数 据分组。当分组网关306接收到数据分组时，其不添加信宿设备302的计费记录，运是因为数 据分组的目的地是ePDG 307;分组网关306进一步将数据分组传送至ePDG 307。当ePDG 307 接收到数据分组时，其对数据分组进行解密并且更新其网络连接表(非限制性示例包括:最 近的路径表、路由表、ARP表和/或承载表）"ePDG 307通过S2b承载将解密的数据分组发送至 分组网关306，该分组网关306将所述数据分组发送至因特网。
[0088] 在进一步实施方式中，数据分组从因特网传输至节点设备301。分组网关306从因 特网接收数据分组并且通过S2b承载将其发送至ePDG 307。一旦ePDG 307接收到数据分组， 其对该数据分组进行加密并且通过安全隧道发送加密的数据分组。同时，ePDG 307更新网 络连接表。在安全隧道中，分组网关306从ePDG 307接收加密的数据分组。在检测之后，分组 网关306可W知道分组是从ePDG 307发送的（例如，向节点设备301发送），因此其不添加针 对信宿设备302的计费记录并且进一步经由信宿设备302来发送所述分组(例如，向节点设 备301发送）。节点设备301最终经由信宿设备302接收数据分组，并且对所述分组进行解密。
[0089] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法将处理加密和解密 的网关置于不同的位置。参考图4,使非蜂窝式跳到信宿设备402上的节点设备401具体化成 用于创建与IPsec网关406的安全隧道，所述IPsec网关406位于服务网关405与分组网关407 之间。当节点设备401接收到安全密钥时，其可W创建与IPsec网关406的安全隧道。因此，节 点设备401可W对数据分组进行加密并且通过安全隧道传输所述数据分组。当IPsec网关 406接收到数据分组时，其对数据分组进行解密并且使用常规协议将所述数据分组经由分 组网关407传输至因特网；常规协议的非限制性示例包括S2协议、S4协议、S5协议和/或S8协 议。当从因特网向节点设备401传输数据分组时，分组网关407接收分组并将所述分组转发 至IPsec网关406 JPsec网关对数据分组进行加密并且将其发送至节点设备401。节点设备 进一步对加密的数据分组进行解密。在一些进一步实施方式中，IPsec网关406使用常规协 议(非限制性示例包括Gxc协议或Gx协议)与策略和收费规则功能(PCRF)进行通信，使用常 规协议(非限制性示例包括Sll协议)与移动性管理实体(MME)进行通信，和/或使用常规协 议(非限制性示例包括S6b协议)与3GPP AAA服务器进行通信。
[0090] 在图5中所示的实施方式中，节点设备501创建与IPsec网关505的安全隧道，所述 IPsec网关505置于到达服务网关506和分组网关507之前。当节点设备501接收到安全密钥 时，其可W创建与IPsec网关505的安全隧道。因此，节点设备501可W对数据分组进行加密 并且通过安全隧道传输所述数据分组。当IPsec网关505接收到数据分组时，其对所述数据 分组进行解密并且使用常规协议(非限制性示例包括Sl协议和/或S4协议)将所述数据分组 经由服务网关506和分组网关507传输至因特网。当从因特网向节点设备501传输数据分组 时，IPsec网关505经由服务网关506和分组网关507接收所述分组。IPsec网关505进一步对 数据分组进行加密并且将其发送至节点设备501，该节点设备501最终对加密的数据分组进 行解密。在一些进一步实施方式中，IPsec网关505使用常规协议(非限制性示例包括Gxc协 议)与策略和收费规则功能(PCRF)进行通信，使用常规协议(非限制性示例包括S6a协议)与 归属用户服务器化SS)进行通信，和/或使用常规协议(非限制性示例包括Sll协议)与移动 性管理实体(MME)进行通信。
[0091] 或者，图6示出了其中在核屯、网络中仅服务网关和分组网关可用的一些实施方式。 节点设备601直接连接至蜂窝无线电接入网络603W获得安全密钥。或者，利用安全密钥(非 限制性示例包括：固定的安全密钥和/或随时间变化的安全密钥)对节点设备601进行预配 置(非限制性示例包括：由蜂窝网络、由蜂窝运营商、由终端用户和/或由认证机构进行预配 置）。节点设备601继而经由单跳或多跳而连接至信宿设备602, W便获得更高质量的蜂窝通 信资源。或者，节点设备601不能够在跳至信宿设备602之前得到安全密钥，因此为了从蜂窝 网络获得安全密钥，它需要W跳到信宿设备602上开始。其中节点设备601必须进行跳跃W 得到安全密钥的非限制性示例包括:节点设备601包括不包含用于蜂窝通信的蜂窝接口的 无线设备;节点设备601包括位于蜂窝信号根本不能到达的地下室中的无线设备。
[0092] -旦节点设备601接收到安全密钥，其就可W创建与分组网关606的安全隧道，其 中所述安全隧道利用隧穿协议（非限制性示例包括：双找移动IP(DSMIP[DSMIP可W是指 IPv4版本DSMIPv4、IPv6版本DSMIPve或者DSMIPv4和DSMIPve的组合])和/或代理移动IP (PMIP[PMIP 可 W 是指 IPv4 版本 PMIPv4、IPv6 版本 PMIPv6 或者 PMIPv4 和 PMIPv6 的组合]协 议）。因此，节点设备601可W对数据分组进行加密并且通过所述安全隧道传输数据分组。当 加密的数据分组到达服务网关605时，该服务网关将数据传送至分组网关606。分组网关对 数据分组进行解密并且将所述分组发送至因特网。当从因特网向节点设备601传输数据分 组时，分组网关606接收所述分组并且对所述分组进行加密。使用常规协议(非限制性示例 包括DSMIP/S2C协议和/或PMIP/S2a协议)将加密的数据分组经由服务网关605发送至节点 设备601。
[0093] 将一些具有深度分组检测的实施方式应用于图6中的网络配置。一旦节点设备601 获得安全密钥，就可W在节点设备601与分组网关606之间创建安全隧道(例如，DSMIP协议 和/或PMIP协议上的安全隧道）。因此，节点设备601可W对数据分组进行加密并且通过安全 隧道传输所述数据分组。当分组网关606接收到所述数据分组时，其不添加针对信宿设备 602的计费记录，运是因为数据分组的目的地是分组网关606。分组网关606对数据分组进行 解密，更新其网络连接表(非限制性示例包括:最近的路径表、路由表、ARP表和/或承载表）， 并且将解密的数据分组发送至因特网。当从因特网向节点设备601传输数据分组时，分组网 关606接收数据分组，更新其网络连接表(非限制性示例包括:最近的路径表、路由表、ARP表 和/或承载表），对所述分组进行解密，并且将其发送至节点设备601。由于数据分组来源于 分组网关，因此分组网关606不添加针对信宿设备602的计费记录。最终，节点设备接收数据 分组并且对所述分组进行解密。
[0094]图3、图4、图5和图6中的实施方式是可能的网络配置的非限制性示例。本领域技术 人员可W很容易认识到用于在节点设备与核屯、蜂窝网络之间创建安全隧道的网络配置的 变体。 安全通信与漫游
[00%]在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括漫游机制。在像 图3那样的一些网络配置中，节点设备301直接接入蜂窝网络，并且安全隧道是必要的。继 而，节点设备301(按顺序、按相反的顺序或者并行地)执行W下任务：（1)直接连接至蜂窝网 络并且将数据分组发送至分组网关306; W及(2)将指示出从间接接入(例如，非3GPP接入） 漫游至直接接入(例如，3GPP接入)的信令发送(例如，通过安全隧道间接经由信宿设备302， 或者直接经由蜂窝网络)至ePDG 307。当ePDG 307接收到指示信令时，其将指示信令和其他 信令(例如，用W修改S2b承载的信令、用W修改网络连接表的信令)经由常规协议(例如， S化承载)发送至分组网关306。分组网关306(按顺序、按相反的顺序或者并行地)执行W下 任务：（1)从节点设备301接收数据分组并且将其传输至因特网；W及(2)从ePDG 307接收所 有信令并且基于接收的信令来更新其网络连接表。当分组网关306从因特网接收到数据分 组时，其进一步将所述数据分组传输至节点设备301。
[0096] 在一些实施方式中，漫游可W沿着安全隧道发生，如W下所述。参考图3,节点设备 301(按顺序、按相反的顺序或者并行地)执行W下任务：（1)经由信宿设备302间接连接至蜂 窝网络、创建与ePDG 307的安全隧道、对数据分组进行加密W及将加密的数据分组发送至 ePDG 307;(2)将指示出从直接接入(例如，3GPP接入)漫游至间接接入(例如，非3GPP接入） 的信令发送(例如，通过安全隧道间接经由信宿设备302,或者直接经由蜂窝网络）至ePDG 307"ePDG 307(按顺序、按相反的顺序或者并行地)执行W下任务：（1)通过安全隧道从节点 设备301接收加密的数据分组、对其进行解密W及通过常规协议(例如，S化承载)将其发送 至分组网关306; (2)接收指示信令并且经由常规协议(例如，S化承载)将所述指示信令和其 他信令(例如，用W修改S2b承载的信令、用W修改网络连接表的信令)发送至分组网关306。 分组网关306(按顺序、按相反的顺序或者并行地)执行W下任务：（1)通过S2b承载从ePDG 307接收解密的数据分组并将其发送至因特网；（2)从ePDG 307接收所有信令并且基于接收 的信令来更新其网络连接表。当分组网关306从因特网接收到数据分组时，其通过常规协议 (例如，S化承载)将数据分组发送至ePDG 307,所述ePDG 307转而对数据分组进行加密并且 通过安全隧道将加密的数据分组发送至节点设备301。在接收到加密的数据分组时，节点设 备301对所述数据分组进行解密。
[0097] 图6中的实施方式出现了漫游机制。像图6那样的一些网络配置具有直接接入蜂窝 网络的节点设备601，并且安全隧道是非必要的。节点设备601(按顺序、按相反的顺序或者 并行地)执行W下任务：（1)直接连接至蜂窝网络并且将数据分组发送至分组网关606; W及 (2)将指示出从间接接入(例如，非3GPP接入)漫游至直接接入(例如，3GPP接入)的信令发送 (例如，通过安全隧道间接经由信宿设备602或直接经由蜂窝网络）至分组网关606。分组网 关606(按顺序、按相反的顺序或者并行地)执行W下任务：（1)从节点设备601接收数据分组 并且将其传输至因特网；W及(2)从节点设备接收指示出从间接接入(例如，非3GPP接入)漫 游至直接接入(例如，3GPP接入)的信令(例如，用W修改S2C承载的信令、用W修改网络连接 表的信令），并且基于接收的信令来更新其网络连接表。当从因特网向节点设备601发送数 据分组时，分组网关606接收所述分组并且将其传输至节点设备。
[0098] 在一些实施方式中，漫游可W沿着安全隧道发生，如下文所述。参考图6,节点设备 601(按顺序、按相反的顺序或者并行地)执行W下任务：（1)经由信宿设备602间接连接至蜂 窝网络、创建与分组网关606的安全隧道、对数据分组进行加密W及将加密的数据分组发送 至网关606; (2)将指示出从直接接入(例如，3GPP接入)漫游至间接接入(例如，非3GPP接入） 的信令发送(例如，通过安全隧道间接经由信宿设备602,或者直接经由蜂窝网络)至分组网 关606。分组网关606(按顺序、按相反的顺序或者并行地)执行W下任务：（1)通过DSMIP安全 隧道从节点设备601接收加密的数据分组、对所述数据分组进行解密W及将其发送至因特 网；（2)从节点设备601接收指示出从直接接入(例如，3GPP接入)漫游至间接接入(例如，非 3GPP接入)的信令(例如，用W修改S2C承载的信令、用W修改网络连接表的信令），并且基于 接收的信令来更新其网络连接表。当从因特网向节点设备601传输分组时，分组网关606从 因特网接收数据分组、对分组进行加密并且通过DSMIP隧道将加密的分组发送至节点设备 601。在接收到加密的数据分组时，节点设备601对所述数据分组进行解密。 安全通信与无线电间接入技术
[0099] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括无线电间接入 技术（Inter-Radio Access Technology, Inter-RAT)。图 7和图 8 示出了图 3 的对应实施方 式。在图7中所示的一些情况下，节点设备701是高速分组接入化SPA)设备，而信宿设备702 和无线电接入网络703运行长期演进化TE)协议。除了SGW 705,还包括为直接与蜂窝网络通 信的HSPA设备服务的SGSN(例如，其使用诸如S4协议等常规协议与分组网关706通信）。或 者，在图8中所示的其他情况下，节点设备801包括LTE设备，信宿设备包括HSPA设备，并且蜂 窝无线电网络接入803和804为服PA。除了 SGSN服务网关805，还存在为直接与蜂窝网络通信 的LTE设备服务的SGW(例如，其使用诸如S5协议和/或S8协议等常规协议与分组网关806通 信)。
[0100] 图9示出了在inter-RAT下的一些实施方式。在所述实施方式中，节点设备901是 HSPA设备。信宿设备902是LTE设备，而网络903-906实行LTE。在节点设备901接收到安全密 钥之后，节点设备901可W创建与隧道终止网关(TTG)907的安全隧道。因此，节点设备901可 W对数据分组进行加密并且通过安全隧道传输所述数据分组。当TTG 907接收到数据分组 时，其对所述数据分组进行解密并例如通过GPRS隧穿协议(GTP)等常规协议，将所述数据分 组转发至网关GPRS支持节点（GGSN)908,该网关GPRS支持节点908转而将分组发送至因特 网。当从因特网向节点设备901传输数据分组时，GGSN 908接收所述分组并通过常规协议 (例如，GTP协议)将所述分组转发至TTG 907"TTG对数据分组进行加密并且通过安全隧道将 其发送至节点设备901。该节点设备进一步对加密的数据分组进行解密。
[0101] 在图9的进一步实施方式中，数据分组在节点设备901与网关之间的传输设及向节 点设备的用户为所发送和接收的数据分组量计费。使用跳跃技术，信宿设备902还中继由节 点设备发送和接收的相同量的数据分组，并且分组网关906添加针对信宿设备902的计费记 录。然而，对于中继的数据量，不应当向信宿设备902的作用计费。因此，TTG 907进一步请求 分组网关906删除信宿设备902的计费记录。
[0102] 图10示出了在inter-RAT下的一些实施方式。在所述实施方式中，节点设备1001是 LTE设备。信宿设备1002是HSPA设备，而网络1003-1006实行服PA。节点设备1001可W在接收 到安全密钥之后创建与ePDG 1007的安全隧道。因此，节点设备1001可W对数据分组进行加 密并且通过安全隧道传输所述数据分组。当ePDG 1007接收到数据分组时，其对所述数据分 组进行解密并通过常规协议(例如，S化协议)将所述数据分组转发至分组网关1008,该分组 网关1008转而将所述分组发送至因特网。当从因特网向节点设备1001传输数据分组时，分 组网关1008接收所述分组并将所述分组转发至ePDG 1007"ePDG对数据分组进行加密并且 通过安全隧道将其发送至节点设备1001。该节点设备进一步对加密的数据分组进行解密。
[0103] 在图10的进一步实施方式中，数据分组在节点设备1001与网关之间的传输设及向 节点设备的用户为所发送和接收的数据分组量计费。使用跳跃技术，信宿设备1002还中继 由节点设备发送和接收的相同量的数据分组，并且GGSN 1006添加针对信宿设备1002的计 费记录。然而，对于中继的数据量，不应当向信宿设备1002的作用计费。因此，ePDG 1007进 一步请求GGSN 1006删除信宿设备1002的计费记录。
[0104] 在一些实施方式中，节点设备具有在inter-RAT下实行不止一个协议的能力。参考 图11，节点设备1101是具有HSPA能力的LTE设备。信宿设备1102是HSPA设备，而网络1103- 1108实行HSPA。节点设备1101可W从LTE回退至服PA并且在接收到安全密钥之后创建与TTG 1107的安全隧道。因此，节点设备1101可W对数据分组进行加密并且通过安全隧道传输所 述数据分组。当TTG 1107接收到数据分组时，其对所述数据分组进行解密并通过常规协议 (例如，GTP协议)将所述数据分组转发至GGSN 1106，所述GGSN 1106转而将所述分组发送至 因特网。当从因特网向节点设备1101传输数据分组时，GGSN 1106接收所述分组并将所述分 组转发至TTG 1107 "TTG进一步对数据分组进行加密并且通过安全隧道将其发送至节点设 备1101。该节点设备最后对加密的数据分组进行解密。
[0105] 在图11的进一步实施方式中，数据分组在节点设备1101与网关之间的传输设及向 节点设备的用户为所发送和接收的数据分组量计费。使用跳跃技术，信宿设备1102还中继 由节点设备发送和接收的相同量的数据分组，并且GGSN 1106添加针对信宿设备1102的计 费记录。然而，对于中继的数据量，不应当向信宿设备1102的作用计费。因此，TTG 1107进一 步请求GGSN 1106删除信宿设备1102的计费记录。
[0106] 在一些实施方式中，本领域技术人员可W认识到，inter-RAT可W使LTE与增强型 数据速率GSM演进(抓GE)混合。在图巧日图9的一些实施方式中，节点设备更改为实行邸GE协 议。在图8、图10和图11的实施方式中，蜂窝网络变为EDGE网络。
[0107] 在一些实施方式中，本领域技术人员可W认识到，inter-RAT可W使HSPA标准与 邸GE标准混合。在图11的一些情况下，节点设备实行抓GE而网络实行HSPA。在图11的一些情 况下，节点设备实行服PA，而网络实行邸GE。
[0108] 类似地，举非限制性示例而言，下文描述了与inter-RAT相结合的图4的实施方式。 参考图12,在一些实施方式中，节点设备1201实行HSPA或抓GE,信宿设备1202和蜂窝网络 1203-1208实行LTE。在一些情况下，服务网关1205由SGSN(例如，其使用诸如S4协议等常规 协议与分组网关1207通信)代替，所述SGSN为直接与蜂窝网络通信的HSPA/EDGE设备服务。 在一些情况下，分组网关1207由GGSN代替。在图13中所示的一些实施方式中，节点设备1301 实行LTE，信宿设备1302和蜂窝网络1303-1308实行HSPA或抓GE。除了SGSN 1305,还存在为 直接与蜂窝网络通信的LTE设备服务的SGW(例如，其使用诸如S5协议和/或S8协议等常规协 议与分组网关1307通信）。有时，可W使服PA和邸GE的组合具体化:节点设备1301实行邸GE， 信宿设备1302和蜂窝网络1303-1308实行HSPA，并且服务网关1305由SGSN代替；另一选项 是，节点设备1301实行HSPA，信宿设备1302和蜂窝网络1303-1308实行抓GE,并且服务网关 1305由SGSN代替。
[0109] 举非限制性示例而言，下文描述了关于图5的可能变化。参考图14,在一些实施方 式中，节点设备1401实行HSPA或抓GE,信宿设备1402和蜂窝网络1403-1408实行LTE。除了 SGW 1406,还存在为直接与蜂窝网络通信的HSPA/抓GE设备服务的SGSN(例如，其使用例如 S4协议等常规协议与分组网关1407通信）。在图15中所示的一些实施方式中，节点设备1501 实行LTE，信宿设备1502和蜂窝网络1503-1508实行HSPA或抓GE。除了SGSN 1506,还存在为 直接与蜂窝网络通信的LTE设备服务的SGW(例如，其使用诸如S5协议和/或S8协议等常规协 议与分组网关1507通信）。而且，使HSPA和抓GE的组合具体化:节点设备1501实行抓GE,信宿 设备1502和蜂窝网络1503-1508实行HSPA，并且服务网关1506由SGSN代替；另一选项包括， 节点设备1501可W实行服PA,信宿设备1502和蜂窝网络1503-1508实行抓GE,并且服务网关 1506由SGSN代替。
[0110] 举非限制性示例而言，下文描述了关于图6的可能变化。参考图6,在一些实施方式 中，节点设备601实行HSPA，信宿设备602和蜂窝网络603-607实行LTE。除了SGW 605,还存在 为直接与蜂窝网络通信的HSPA设备服务的SGSN(例如，其使用常规协议[例如，S4协议]与分 组网关606通信）。在一些实施方式中，节点设备601实行LTE，信宿设备602和蜂窝网络603- 607实行HSPA。除了SGSN 605，还存在为直接与蜂窝网络通信的LTE设备服务的SGW(例如，其 使用常规协议[例如，S5协议和/或S8协议]与分组网关606通信）。在一些情况下，节点设备 601实行抓GE，信宿设备602和蜂窝网络603-607实行LTE。除了 SGW 605，还存在为直接与蜂 窝网络通信的抓GE设备服务的SGSN(例如，其使用常规协议[例如，別协议]与分组网关606 通信）。或者，节点设备601实行LTE，信宿设备602和蜂窝网络603-607实行抓GE。除了SGSN 605,还存在为直接与蜂窝网络通信的LTE设备服务的SGW(例如，其使用常规协议[例如，S5 协议和/或S8协议]与分组网关606通信）。而且，使HSPA和抓GE具体化：节点设备601实行 EDGE，信宿设备602和蜂窝网络603-607实行HSPA，并且服务网关605由SGSN代替；另一选项 包括，节点设备601可W实行HSPA，信宿设备602和蜂窝网络603-607实行抓GE,并且服务网 关605由SGSN代替。 最近的路径智能
[0111] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括最近的路径智 能。图16、图17和图18中示出了最近的路径智能的各个实施方式。
[0112] 图16示出了最近的路径智能的非限制性示例；在运种情况下，ePDG处理最近的路 径表。
[011引图17示出了最近的路径智能的非限制性示例；在运种情况下，PGW处理最近的路径 表。
[0114] 图18示出了最近的路径智能的非限制性示例；在运种情况下，节点设备直接接入 蜂窝网络并且PGW处理最近的路径表。 交替隧道配置
[0115] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括对隧道配置进 行交替W增强数据通信安全。本主题概念是创建动态方案W增强通信安全，运是因为静态 方案可能容易被第=方破译。在一些实施方式中，节点设备可W不时地请求重新发出新的 安全密钥，因此数据加密是动态的。在一些实施方式中，节点设备使用不止一个信宿设备来 与蜂窝网络通信;节点设备不时地跳至不同的信宿设备，因此通信路径保持动态。在一些实 施方式中，节点设备不时地请求建立与不同网关的安全隧道。在一些实施方式中，节点设备 选择图3、图4、图5和图6中的网络配置之一;在稍后的时间，节点设备切换至另一网络配置。 本领域技术人员还可W认识到上述方法的各种组合W便增强数据通信安全。
[0116] 在一些实施方式中，节点设备在使用安全隧道与不使用安全隧道之间切换。在一 些实施方式中，当节点设备(例如，移动设备)移动至具有良好的蜂窝接收的位置时，其可W 直接连接至蜂窝基站，而无需直接或间接跳至信宿设备。在运种情况下，节点设备无需建立 安全隧道并且可W使用常规的蜂窝通信协议来与核屯、蜂窝网络连接。图19示出了不具有安 全隧道的图3的对应实施方式。在所述实施方式中，节点设备1201直接连接至蜂窝网络。在 没有安全隧道的情况下，数据分组不流向演进型分组数据网关1207。为了将数据分组发送 至因特网，通信路径从节点设备1201开始，到达服务网关1205,到达分组网关1206,并到达 因特网。为了接收数据分组，通信路径按相反的顺序。在进一步实施方式中，节点设备具有 跳到信宿设备上的选项，其中必须建立安全隧道，如图3中所示；因此，节点设备可W使网络 配置在图3与图19之间交替。 数据协议
[0117] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括与安全隧道相 关联的数据协议。在进一步实施方式中，数据协议包括计费记录处理。数据分组在节点设备 与网关之间的传输设及向节点设备的用户为所发送和接收的数据分组量收费。使用跳跃技 术，允许节点设备跳到非蜂窝网络上的信宿设备/中继设备还传送由该节点设备发送和接 收的相同量的数据分组。然而，对于中继的数据量，不应当向信宿设备/中继设备的作用计 费。因此，数据协议请求网关删除所述信宿设备/中继设备的计费记录。
[0118] 图20中图示了图3的数据协议的一些实施方式。参考图20,其中在节点设备2001与 演进型数据分组网关(ePDG)2007之间创建安全隧道2009。节点设备2001与信宿设备2002之 间的通信基于非蜂窝网络中的单跳或多跳，而信宿设备2002与ePDG 2007之间的通信基于 蜂窝网络。为了发送数据分组，参考步骤2011，节点设备2001使用安全密钥对所述数据分组 进行加密并且将内部源端口和外部源端口标示为W(即，节点设备2001中的端口）W及将内 部源IP和外部源IP标示为ND(即，节点设备2001的IP地址）。在步骤2012中，信宿设备2002通 过将内部源端口标示为W，将内部源IP标示为ND,将外部源端口标示为X(即，信宿设备2002 中的端口）W及将外部源IP标示为SD(即，信宿设备2002的IP地址)来传送数据分组。当ePDG 2007接收到数据分组时，其将会更新其网络连接表;所述表的非限制性示例包括:最近的路 径表、路由表、地址解析协议表、承载表、防火墙表、IP表W及边缘网桥表。由于数据分组由 节点设备2001发起，因此分组网关2006不应当为信宿设备2002所发送的分组收费。在步骤 2013中，ePDG 2007请求分组网关2006删除信宿设备2002的计费记录。同时，ePDG 2007不隧 穿数据分组，对数据分组进行解密，并且将数据分组直接(在该情况下，ePDG 2007还请求分 组网关2006添加针对节点设备2001的对应计费记录)或经由分组网关2008(例如，分组网关 2008与分组网关2006相同，或者分组网关2008与分组网关2006不同）转发至因特网；在步骤 2014中，ePDG 2007将内部源端口标示为W并且将内部源IP标示为ND。
[0119] 参考图20,当从因特网发送的数据分组被ePDG 2007接收到时，步骤2015中的数据 分组将内部目的端口标示为W并且将内部目的IP标示为ND。ePDG 2007隧穿数据分组，对数 据分组进行加密，并且将加密的数据分组经由信宿设备2002传输至节点设备2001。在步骤 2016中，ePDG 2007请求分组网关2006删除信宿设备2002的计费记录，运是因为信宿设备仅 用于传送数据。在步骤2017中，数据分组包括W下信息：内部目的端口为W，内部目的IP为 ND,外部目的端口为X，W及外部目的IP为SD。在步骤2018中，信宿设备2002通过将内部目的 端口标示为W，将内部目的IP标示为ND,将外部目的端口标示为W，W及将外部目的IP标示为 ND来传送数据分组。当节点设备2001接收到数据分组时，其使用安全密钥来对所述数据分 组进行解密。
[0120] 在图20中所示的一些实施方式中，本文描述的介质、设备、网络、系统和方法包括 位于节点设备2001与信宿设备2002之间的一个或多个中继设备，ePDG还请求分组网关2006 删除中继设备的计费记录。
[0121] 在图20中所示的一些实施方式中，本文描述的介质、设备、网络、系统和方法包括 深度分组检测。下文描述了一个非限制性示例。分组网关(例如，PGW)使用深度分组检测(例 如，白名单规则），W使得其不创建针对预定送往(例如，隧穿分组的目的IP地址与隧穿网关 的目的IP地址相匹配)或源自（例如，隧穿分组的源IP地址与隧穿网关的源IP地址相匹配） 隧穿网关(例如，ePDG、PGW)的隧穿分组(例如，IPsec隧穿分组)的计费记录。
[0122] 在一些进一步实施方式中，不需要删除信宿设备2002的计费记录的步骤2013和步 骤2016。在图20中所示的一些实施方式中，本文描述的介质、设备、网络、系统和方法包括一 个或多个网关（例如，服务网关、分组网关和/或ePDG)处的网络地址转换(NAT)(例如，源- NAT、目的地-NAT、IPv4-至-IPve-NAT和/或IPv6-至-IPv4-NAT)。继而，在一个或多个网关处 修改数据分组的内部源端口和/或外部源端口 W及/或者内部目的端口和/或外部目的端 口。继而，在一个或多个网关处修改数据分组的内部源IP地址和/或外部源IP地址W及/或 者内部目的IP地址和/或外部目的IP地址。
[0123] 图21中图示了图6的数据协议的一些实施方式。参考图21，其中在节点设备2101与 分组网关2106之间创建安全隧道2107。节点设备2101与信宿设备2102之间的通信基于非蜂 窝网络中的单跳或多跳，而信宿设备2102与分组网关2106之间的通信基于蜂窝网络。为了 发送数据分组，参考步骤2108,节点设备2101使用安全密钥对所述数据分组进行加密并且 将内部源端口和外部源端口标示为W(即，节点设备2101中的端口）W及将内部源IP和外部 源IP标示为ND(即，节点设备2101的IP地址）。在步骤2109中，信宿设备2102通过将内部源端 口标示为W，将内部源IP标示为ND,将外部源端口标示为X(即，信宿设备2102中的端口）W及 将外部源IP标示为SD(即，信宿设备2102的IP地址）来传送加密的数据分组。当分组网关 2106接收到数据分组时，其将会更新其网络连接表;所述表的非限制性示例包括:最近的路 径表、路由表、地址解析协议表、承载表、防火墙表、IP表W及边缘网桥表。由于数据分组由 节点设备2101发起，因此分组网关2106不应为信宿设备2102所发送的分组收费，因此其在 步骤2110中删除信宿设备的计费记录。同时，分组网关2106不隧穿数据分组，对数据分组进 行解密，并且在步骤2111中将数据分组转发至因特网，其中分组网关2106将内部源端口标 示为W并将内部源IP标示为ND。
[0124] 参考图21，步骤2112中从因特网发送的数据分组被分组网关2106接收。数据分组 将内部目的端口标示为W并将内部目的IP标示为ND。在步骤2113中，分组网关2106删除信宿 设备2102的计费记录，运是因为信宿设备仅用于传送数据。分组网关2106隧穿数据分组，对 数据分组进行加密，并且将加密的数据分组经由信宿设备2102传输至节点设备2101。在步 骤2114中，数据分组包括W下信息：内部目的端口为W，内部目的IP为ND,外部目的端口为X， W及外部目的IP为SD。在步骤2115中，信宿设备2102通过将内部目的端口标示为W，将内部 目的IP标示为ND,将外部目的端口标示为W，W及将外部目的IP标示为ND来传送数据分组。 当节点设备2101接收到数据分组时，其使用安全密钥来对所述数据分组进行解密。
[0125] 在图21中所示的一些实施方式中，本文描述的介质、设备、网络、系统和方法包括 节点设备2101与信宿设备2102之间的一个或多个中继设备，分组网关2106还删除所述中继 设备的计费记录。
[0126] 在图21中所示的一些实施方式中，本文描述的介质、设备、网络、系统和方法包括 深度分组检测。继而，需要删除信宿设备2102的计费记录的步骤2110和步骤2113。在图21中 所示的一些实施方式中，本文描述的介质、设备、网络、系统和方法包括在一个或多个网关 (例如，服务网关和/或分组网关）处的网络地址转换（NAT)(例如，源-NAT、目的地-NAT、 IPv4-至-IPv6-NAT和/或IPv6-至-IPv4-NAT)。继而，在一个或多个网关处修改数据分组的 内部源端口和/或外部源端口 W及/或者内部目的端口和/或外部目的端口。继而，在一个或 多个网关处修改数据分组的内部源IP地址和/或外部源IP地址W及/或者内部目的IP地址 和/或外部目的IP地址。
[0127] 本领域技术人员可W认识到，可W根据网络配置适当地调整数据协议。 非暂时性计算机可读存储介质
[0128] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括利用包含可由 操作执行的指令的程序进行编码的一个或多个非暂时性计算机可读存储介质。在进一步实 施方式中，计算机可读存储介质是数字处理设备的有形组件。在更进一步实施方式中，计算 机可读存储介质可选地可从数字处理设备移除。在一些实施方式中，举非限制性示例而言， 计算机可读存储介质包括CD-R0M、DVD、快闪存储器设备、固态存储器、磁盘驱动器、磁带驱 动器、光盘驱动器、云计算系统和服务等。在一些情况下，所述程序和指令永久地、基本上永 久地、半永久地或非暂时性地编码在所述介质上。 计算机程序
[0129] 在一些实施方式中，本文描述的介质、设备、网络、系统和方法包括至少一个计算 机程序或其使用。计算机程序包括可在数字处理设备的CPU中执行的指令序列，所述指令序 列被编写用于执行指定任务。计算机可读指令可被实现为执行特定任务或实现特定抽象数 据类型的程序模块，诸如函数、对象、应用编程接口（API)、数据结构等。根据本文所提供的 公开内容，本领域技术人员将会认识到，计算机程序能够W各种语言的各种版本编写。
[0130] 在各个实施方式中可W根据需要对计算机可读指令的功能进行组合或分配。在一 些实施方式中，计算机程序包括一个指令序列。在一些实施方式中，计算机程序包括多个指 令序列。在一些实施方式中，计算机程序从一个位置提供。在其他实施方式中，计算机程序 从多个位置提供。在各个实施方式中，计算机程序包括一个或多个软件模块。在各个实施方 式中，计算机程序部分地或整体地包括一个或多个web应用、一个或多个移动应用、一个或 多个独立应用、一个或多个web浏览器插件、扩展、加载项或附加项，或者它们的组合。 移动应用
[0131] 在一些实施方式中，计算机程序包括被提供给无线设备的移动应用。在一些实施 方式中，在制造移动数字处理设备时为其提供移动应用。在其他实施方式中，经由本文描述 的计算机网络向移动数字处理设备提供移动应用。
[0132] 根据本文所提供的公开内容，使用本领域已知的硬件、语言和开发环境，通过本领 域技术人员已知的技术来创建移动应用。本领域技术人员将会认识到，移动应用是W若干 语言编写的。举非限制性不例而言，合适的编程语言包括C、C++、C#、Object ive-c、Java?、 JavascriptJascaUObject Pascal、Python?、Ruby、VB.肥T、WMLW及具有或不具有CSS的 XHTML/HTML或其组合。
[0133] 合适的移动应用开发环境可从若干来源获得。举非限制性示例而言，市售的开发 环境包括AirplaySDK、alcheMo、Appcelerai〇r'.'\Celsius、Be化ock、Flash Lite、.肥T Compact Framework、raiomobileW及WorkLi曲t Mobile Platform。其他开发环境可免费获 得，举非限制性示例而言包括Laza;rus、MobiFlex、MoSync和F^honegap。而且，移动设备制造 商分发软件开发者套件，举非限制性示例而言包括1陆〇116和1?3(1(;[05)501(、4]1化〇1(1了^801(、 BlackBerry@SDK、BREW SDK、p过im?〇s SDK'Symbian SDK'webos SDKW及 Windows简 Mobile SDK。
[0134] 本领域技术人员将会认识到，若干商业论坛可用于移动应用的分发，举非限制性 示例而言，所述商业论坛包括Apple⑨AppStore、An化oid?Market、BlackBerry?App WorlcUApp Store for Palm devices、App Catalog for webOS、\Vind〇WS@Marketplace for Mobile'Ovi Store forN.Okia⑨devices、Sams.img@AppsW及Nint芭ndo風DSi Shop O 独立应用
[0135] 在一些实施方式中，计算机程序包括独立应用，所述独立应用是作为独立的计算 机过程运行的程序，而不是现有过程的附加项，例如，不是插件。本领域技术人员将会认识 到，独立应用常常是经编译的。编译器是将W编程语言编写的源代码变换成诸如汇编语言 或机器代码等二进制目标代码的一个或多个计算机程序。举非限制性示例而言，合适的经 编译的编程语言包括 C、C++、0bjective-C、C0B0L、Delphi、EiffelJava?、Lisp、Python?、 Visual BasicW及VB.肥T或其组合。常常至少部分地执行编译W创建可执行程序。在一些 实施方式中，计算机程序包括一个或多个可执行的经编译应用。 软件模块
[0136] 在一些实施方式中，本文公开的介质、设备、网络、系统和方法包括软件、服务器 和/或数据库模块或其使用。根据本文所提供的公开内容，使用本领域已知的机器、软件和 语言，通过本领域技术人员已知的技术来创建软件模块。本文公开的软件模块W多种方式 实现。在各个实施方式中，软件模块包括一个文件、一段代码、一个编程对象、一个编程结 构，或者它们的组合。在进一步的各个实施方式中，软件模块包括多个文件、多段代码、多个 编程对象、多个编程结构，或者它们的组合。在各个实施方式中，举非限制性示例而言，所述 一个或多个软件模块包括web应用、移动应用和独立应用。在一些实施方式中，软件模块处 于一个计算机程序或应用中。在其他实施方式中，软件模块处于不止一个计算机程序或应 用中。在一些实施方式中，软件模块承载于一个机器上。在其他实施方式中，软件模块承载 于不止一个机器上。在进一步实施方式中，软件模块承载于云计算平台上。在一些实施方式 中，软件模块承载于一个位置上的一个或多个机器上。在其他实施方式中，软件模块承载于 不止一个位置上的一个或多个机器上。 数据库
[0137] 在一些实施方式中，本文公开的介质、设备、网络、系统和方法包括一个或多个数 据库或其使用。根据本文提供的公开内容，本领域技术人员将会认识到，许多数据库适合于 存储和检索网络连接表、计费记录、电池寿命、带宽使用、设备类型、移动性水平、当日时间、 订费、用户简档、非蜂窝信号强度、蜂窝信号强度、噪声水平W及干扰水平。
【主权项】
1. 一种计算机实现的方法，包括： a. 通过单跳或多跳至非蜂窝网络中的信宿设备而将无线设备连接至蜂窝网络；以及 b. 通过所述信宿设备在所述无线设备与第一网关之间建立安全隧道。2. 根据权利要求1所述的方法，其中所述第一网关包括以下各项中的一项或多项:演进 型分组数据网关、分组数据网关和IPsec网关。3. 根据权利要求1所述的方法，其中建立所述安全隧道基于由所述蜂窝网络分配给所 述无线设备的密钥。4. 根据权利要求1所述的方法，还包括： a. 由所述无线设备对第一数据分组进行加密，并且生成加密的第一数据分组； b. 由所述无线设备将所述加密的第一数据分组通过所述安全隧道发送至所述第一网 关； c. 由所述第一网关接收所述加密的第一数据分组； d. 由所述第一网关对所述加密的第一数据分组进行解密，并且生成解密的第一数据分 组；以及 e. 由所述第一网关更新网络连接表。5. 根据权利要求4所述的方法，还包括以下各项中的一项或多项： a. 由所述第一网关修改所述解密的第一数据分组的源地址， b. 由所述第一网关将所述解密的第一数据分组发送至因特网，以及 c. 由所述第一网关将所述解密的第一数据分组发送至第二网关。6. 根据权利要求5所述的方法，还包括以下各项中的一项或多项： a. 由所述第一网关删除所述信宿设备的第一计费记录， b. 由所述第一网关向所述第二网关发送请求以删除所述信宿设备的第一计费记录， c. 由所述第二网关进行深度分组检测，以使得所述第二网关不创建所述信宿设备的第 一计费记录，以及 d. 由所述第二网关将所述解密的第一数据分组发送至因特网； 其中所述第二网关包括分组数据网关。7. 根据权利要求1所述的方法，还包括以下各项中的一项或多项： a. 由所述第一网关从因特网接收第二数据分组，以及 b. 由所述第二网关从因特网接收第二数据分组，并且将所述第二数据分组发送至所述 第一网关。8. 根据权利要求7所述的方法，还包括由所述第一网关修改所述第二数据分组的目的 地址。9. 根据权利要求7所述的方法，还包括： a. 由所述第一网关对所述第二数据分组进行加密，并且生成加密的第二数据分组； b. 通过所述信宿设备，由所述第一网关将所述加密的第二数据分组通过所述安全隧道 发送至所述无线设备； c. 由所述无线设备接收所述加密的第二数据分组；以及 d. 由所述无线设备对所述加密的第二数据分组进行解密，并且生成解密的第二数据分 组。10.根据权利要求9所述的方法，还包括以下各项中的一项或多项： a. 由所述第一网关删除所述信宿设备的第二计费记录， b. 由所述第一网关向所述第二网关发送请求以删除所述信宿设备的所述第二计费记 录，以及 c. 由所述第二网关进行深度分组检测，以使得所述第二网关不创建所述信宿设备的所 述第二计费记录。
【文档编号】H04W12/04GK105981422SQ201480075034
【公开日】2016年9月28日
【申请日】2014年12月12日
【发明人】韦杜尔·巴尔加瓦, 埃里克·科尔德·亨德森, 彼得·马修·费尔德曼
【申请人】艾姆巴奇公司