本申请涉及通信
技术领域：
：，尤其涉及安全实现方法、相关装置以及系统。
背景技术：
：：现如今，用户设备(如手机)已经被广泛地应用，极大的方便了人们的生活。用户设备可以直接与基站建立通信连接，从而进行通信，利用网络提供的数据传输服务为用户呈现丰富的通信体验。在一些应用场景中，如果用户设备从一个基站小区移动到当前基站小区，需要将用户设备的网络连接从原基站切换到当前基站，才能继续保持通信。未来移动通信架构(例如第5代通信系统5g)同样要求网络满足用户设备的切换需求。目前，在现有的移动通信3gpp标准中，sa2架构组已经提出了5g网络的大致架构，在该架构中，核心网的接入与管理网元amf通常会部署在离基站较近的位置，所以当用户设备跨基站切换通信时，也可能会造成跨amf切换。然而，目前的通信安全实现方法(可扩展的身份验证协议eap方法)并不适用5g网络中跨amf切换的安全保护，因此，如何建立基于未来的移动通信架构的安全机制，成为目前亟待解决的问题。技术实现要素：本发明实施例提供了安全实现方法、相关装置以及系统，可实现跨amf切换场景中的安全保护，提高未来的移动通信架构的安全性，满足用户需求。第一方面，本发明实施例公开了一种安全实现方法，该方法包括：第一网元接收将用户设备从源接入网设备切换到目标接入网设备的通信的请求；所述第一网元获得安全密钥；所述安全密钥用于，在将所述用户设备从所述源接入网设备切换到所述目标接入网设备后，对所述用户设备与所述目标网络之间的通信进行保护，所述目标网络包括所述目标接入网设备和目标核心网设备，所述目标核心网设备包括所述第一网元；所述第一网元向所述目标接入网设备发送所述安全密钥。其中，第二网元连接所述源接入网设备，第二网元和源接入网设备属于源侧的网络设备；第一网元连接目标接入网设备，第一网元和目标接入网设备属于目标侧的网络设备。在具体实现中，所述第二网元可以是源amf、源seaf、源smf等网络设备，第一网元为对应的目标amf、目标seaf、目标smf等网络设备。其中，所述请求可能携带有源侧的安全上下文，所述源侧安全上下文例如可以包括密钥的生存周期、密钥的索引、ue的安全能力、完整性算法、完整性算法标识、加密算法、加密算法标识、与计算密钥相关的计数值中的一项或多项，所述请求例如可以为切换请求、路径切换请求等等。在本发明实施例中，所述第一网元获得安全密钥，包括：所述第一网元获取第一中间密钥；所述第一中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层as和非接入层nas密钥；所述第一网元确定安全保护算法，基于所述安全保护算法和所述第一中间密钥推衍出所述安全密钥。所述安全密钥可包括接入层as密钥和非接入层nas密钥，as密钥用于对用户设备与接入网设备之间的通信进行保护，nas密钥用于对用户设备与核心网设备(如amf/seaf/smf等等)之间的通信进行保护。其中，第一网元获取第一中间密钥的方式可以是多种多样的：具体实施例中，第一网元获取第二网元基于第二中间密钥、网络参数推衍出的所述第一中间密钥；其中，第二中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层和非接入层密钥，例如，第二中间密钥为原先已存在于第二网元的密钥kamf，该密钥kamf在通过认证时由第二网元所获取。具体实施例中，第一网元接收第二网元发送的第二中间密钥；所述第一网元基于所述第二中间密钥、网络参数推衍出的所述第一中间密钥。具体实施例中，在所述用户设备从所述源接入网设备切换到所述目标接入网设备、并且所述用户设备重新通过双向认证后，所述第一网元获得锚密钥kseaf；所述第一网元基于所述锚密钥、网络参数推衍出的所述第一中间密钥。其中，网络参数可包括目标侧标识、切片标识、网络接入标识符nai、网络切片选择辅助信息nssai、amf区域标识、amf设置标识、amf全局唯一指示符guami、amf指针pointer、amf集合标识、计数值nonce或counter或随机码或序列码中的一项或多项。在本发明具体实施例中，第一网元还可以获取第二网元发送的下一跳密钥第一nh、下一跳密钥关联计数第一ncc；所述第一网元基于{第一nh,第一ncc}对得到{第二nh,第二ncc}对。后续步骤中第一网元可向目标接入网设备发送{第二nh,第二ncc}对，以及第二密钥、第三密钥，目标接入网设备基于{第二nh,第二ncc}对生成第一密钥。在可能的实施例中，所述安全密钥包括第一密钥，第二密钥和第三密钥；所述第一密钥为用户设备与所述目标接入网设备之间进行安全保护的中间密钥；所述第二密钥为nas信令加密性保护密钥；所述第三密钥为nas信令完整性保护密钥；所述第一网元确定安全保护算法，基于所述安全保护算法和所述第一中间密钥推衍出所述安全密钥，包括：所述安全保护算法包括nas机密性算法标识和nas完整性算法标识，所述第一网元基于第一参数推衍出所述第一密钥，例如密钥kgnb；其中，所述第一参数包括所述第一中间密钥、目标小区标识、频点、nas计数值、nas连接标识、计数值或随机码或序列码中的一项或多项；所述第一网元基于第二参数推衍出所述第二密钥，例如密钥knasenc；其中，所述第二参数包括所述第一中间密钥、所述nas机密性算法标识、计数值或随机码或序列码中的一项或多项；所述第一网元基于第三参数推衍出所述第三密钥，例如knasint；其中，所述第三参数包括所述第一中间密钥、所述nas完整性算法标识、计数值或随机码或序列码中的一项或多项；所述第一网元向所述目标接入网设备发送所述安全密钥，包括：所述第一网元向所述目标接入网设备发送所述第一密钥。在可能的实施例中，所述源接入网设备为第一通信系统的接入网设备；所述目标接入网设备为第二通信系统的接入网设备；所述第一网元为所述第二通信系统的网元；所述请求包括所述第一通信系统的安全上下文、第三中间密钥；所述第三中间密钥为在所述第一通信系统中认证后生成的上层的密钥，用于推衍下层的接入层和非接入层的密钥；所述第一网元获取第一中间密钥，包括：所述第一网元基于所述第一通信系统的安全上下文、所述第二通信系统的安全上下文以及所述第三中间密钥推衍出的所述第一中间密钥。在可能的实施例中，所述第一网元包括目标接入和移动管理网元amf，所述第二网元包括源amf，所述目标amf连接所述目标接入网设备，所述源amf连接所述源接入网设备；或者，所述第一网元包括目标安全锚点seaf，所述第二网元包括源安全锚点seaf，所述目标seaf连接所述目标接入网设备，所述源seaf连接所述源接入网设备。在可能的实施例中，所述网络参数包括目标侧标识、切片标识、网络接入标识符nai、网络切片选择辅助信息nssai、amf区域标识、amf设置标识、amf全局唯一指示符guami、amf指针pointer、amf集合标识、计数值或随机码或序列码中的一项或多项。在可能的实施例中，所述第一网元包括第一通信系统的移动性管理实体网元mme；所述目标接入网设备为所述第一通信系统的接入网设备；所述源接入网设备为第二通信系统的接入网设备；具体的，所述mme接收将用户设备从所述源接入网设备切换到所述目标接入网设备的通信的请求；所述请求包括所述第二通信系统的安全上下文；所述mme获得安全密钥；所述安全密钥用于，在将所述用户设备从所述源接入网设备切换到所述目标接入网设备后，对所述用户设备与所述目标接入网设备之间的通信进行保护；所述mme向所述目标接入网设备发送所述安全密钥。在可能的实施例中，所述mme获取所述第一通信系统的归属签约用户服务器hss基于第一加密密钥、第一完整性保护密钥、服务网络名称标识、序列号sqn推衍出的第三中间密钥；所述第三中间密钥为在所述第一通信系统中认证后生成的上层的密钥，用于推衍下层的接入层和非接入层的密钥；所述mme基于所述第二通信系统的安全上下文、所述第三中间密钥推衍出所述安全密钥。在可能的实施例中，所述mme获取所述第二通信系统的amf发送的第一中间密钥；所述第一中间密钥为所述第二通信系统中认证后生成的上层的密钥，用于推衍下层的接入层as和非接入层nas密钥；所述mme基于所述第一中间密钥推衍出所述第三中间密钥；所述mme基于所述第二通信系统的安全上下文、所述第三中间密钥推衍出所述安全密钥。第二方面，本发明实施例提供了一种安全实现方法，其特征在于，包括：目标接入网设备接收将用户设备从源无线节点切换到目标无线节点的通信的请求；所述目标接入网设备接收核心网设备发送的第一密钥；所述第一密钥为用户设备与所述目标接入网设备之间进行安全保护的中间密钥；所述目标接入网设备基于所述中间密钥生成第二密钥；所述第二密钥为用户设备与所述目标无线节点之间进行安全保护的中间密钥；所述目标接入网设备向目标无线节点发送所述第二密钥，以便于所述目标无线节点基于所述第二密钥生成安全密钥；所述安全密钥用于，在将所述用户设备从源无线节点切换到目标无线节点后，对所述用户设备与所述目标无线节点之间的通信进行保护。第三方面，本发明实施例提供了一种网元，该网元为第一网元，第一网元包括接收器、发射器、存储器和与存储器耦合的处理器。接收器、发射器、存储器、处理器可通过总线或者其它方式连接。其中，发射器用于向外部发送数据、信令，接收器用于从外部接收数据、信令。存储器用于存储程序代码以及相关数据(如配置信息、安全上下文、密钥等等)，处理器1201用于调用并运行存储于存储器中的程序代码，并执行第一方面所述方法的相关步骤。第四方面，本发明实施例提供了一种目标接入网设备，该目标接入网设备包括接收器、发射器、存储器和与存储器耦合的处理器。接收器、发射器、存储器、处理器可通过总线或者其它方式连接。其中，发射器用于向外部发送数据、信令，接收器用于从外部接收数据、信令。存储器用于存储程序代码以及相关数据(如配置信息、安全上下文、密钥等等)，处理器用于调用并运行存储于存储器中的程序代码，并执行第二方面所述方法的相关步骤。第五方面，本发明实施例提供了一种网元，该网元包括接收模块，密钥处理模块，发送模块，该网元用于实现第一方面描述的方法。第六方面，本发明实施例提供了一种计算机可读存储介质，用于存储第一方面或第二方面所述方法的实现代码。第七方面，本发明实施例提供了一种计算机软件产品，当其在计算机中运行时，可用于实现第一方面或第二方面所述的方法。实施本发明实施例，在跨网元(如跨amf切换)的实施过程中，通信系统可相应生成安全密钥，使用安全网元(seaf/amf)来实现目标侧安全上下文和安全密钥的获取和传递。通过实施本发明实施例有利于实现在未来的移动通信架构(如5g)中跨amf切换的场景中的安全保护，提高未来的移动通信架构的安全性，满足用户需求。附图说明下面将对
背景技术：
：或者实施例所需要使用的附图作简单地介绍。图1是本发明实施例公开的一种移动通信的系统架构示意图；图2是本发明实施例公开的一种lte系统的场景示意图；图3是本发明实施例公开的一种5g系统的场景示意图；图4是本发明实施例公开的一种安全实现方法的流程示意图；图5是本发明实施例公开的又一种安全实现方法的流程示意图；图6是本发明实施例公开的又一种安全实现方法的流程示意图；图7是本发明实施例公开的又一种安全实现方法的流程示意图；图8是本发明实施例公开的又一种安全实现方法的流程示意图；图9是本发明实施例公开的又一种安全实现方法的流程示意图；图10是本发明实施例公开的又一种安全实现方法的流程示意图；图11是本发明实施例公开的一种5g结合wlan系统的场景示意图；图12是本发明实施例公开的一种装置的结构示意图；图13是本发明实施例公开的又一种装置的结构示意图。具体实施方式下面将结合附图对本发明实施例中的技术方案进行清楚地描述。为便于方案理解，首先结合相关附图来举例介绍本申请实施例的方案可能应用到的网络架构。图1为未来的移动通信的网络架构，该网络架构包括用户设备、接入网设备和运营商网络(如5g等3gpp网络)，运营商网络又包括核心网和数据网，用户设备通过接入网设备接入运营商网络。具体描述如下：用户设备(userequipment，ue)，ue为逻辑实体，具体的，ue可以是终端设备(terminalequipment)、通信设备(communicationdevice)、物联网(internetofthings，iot)设备中的任意一种。其中，终端设备可以是智能手机(smartphone)、智能手表(smartwatch)，智能平板(smarttablet)等等。通信设备可以是服务器、网关(gateway，gw)、控制器等等。物联网设备可以是传感器，电表以及水表等等。接入网(accessnetwork，an)，在具体应用中又可称为无线接入网(radioaccessnetwork，ran)，ran由接入网设备组成，负责用户设备的接入。ran可以是基站(如nb、enb、gnb等)、无线保真(wirelessfidelity，wi-fi)接入点、以及蓝牙接入点等等。数据网络(datanetwork，dn)，dn可以为运营商外部网络，也可以为运营商控制的网络，用于向用户提供业务服务。ue可通过接入运营商网络来访问dn，使用dn上的运营商或第三方提供的业务。核心网(corenetwork，cn)，cn作为承载网络提供到dn的接口，为ue提供通信连接、认证、管理、策略控制以及对数据业务完成承载等。其中，cn又包括：接入和移动管理网元、会话管理网元，认证服务器网元、策略控制节点、应用功能网元、用户面节点等，相关描述具体如下：接入与移动管理网元(accessandmobilitymanagementfunction，amf)，由运营商提供的控制面网元，负责ue接入运营商网络的接入控制和移动性管理。作为nas信令的终结点，处理网络信令；安全锚点(securityanchorfunction，seaf)，seaf与amf连接，作为安全认证功能的节点。在具体实施中，在物理位置上可以将amf和seaf集合部署在一起，也可以将amf和seaf分别独立设置。另外，在可能的实施中，可以将amf和seaf的功能分离部署不同的网元，也可以将amf和seaf的功能几种设置于同一个网元(比如amf具备seaf的功能)。会话管理网元(sessionmanagementfunction，smf)，由运营商提供的控制面网元，负责管理ue的数据包的会话。认证服务器网元(authenticationserverfunction，ausf)，认证服务器功能网元ausf是由运营商提供的控制面网元，用于ue的认证。ausf可以作为一个独立的逻辑功能实体单独部署，也可以集合在amf/smf等设备中。统一数据管理网元(unifieddatamanager，udm)，由运营商提供的控制面网元，负责存储运营商网络的签约用户持久标识(subscriberpermanentidentifier，supi)、注册信息、信任状(credential)、签约数据。这些数据用于ue接入运营商网络的认证和授权。应用功能网元(applicationfunction，af)，用于存储业务安全需求，提供策略判定的信息。用户面节点(userplanefunction，upf)，upf可以是网关、服务器、控制器、用户面功能网元等。upf可以设置在运营网内部，也可以设置在运营网外部。upf是由运营商提供的用户面网元，是运营商网络与dn通信的网关。策略控制节点(policycontrolfunction，pcf)，所述pcf部署有策略控制的功能，所述策略控制的功能是指根据安全需求完成用户面保护机制的协商，确定网络中的用户面保护机制的功能。需要说明的是，图1中体现的是各个网元之间的逻辑关系，在实际中，有些网元可以单独部署，也可以两两或多个网元集成部署在一个实体中。例如，amf和smf可部署在一个实体中，或者amf和smf也可分别部署在不同的实体中。图2示出了一种lte通信系统中切换通信的应用场景。该lte通信系统由演进分组核心网(evolvedpacketcore，epc)、基站(evolvednodeb，enodeb)和用户设备3部分组成。其中，epc负责核心网部分，epc包括用于存储用户签约信息的归属签约用户服务器(homesubscriberserver,hss)141，信令处理和移动管理的移动性管理实体(mobilitymanagemententity，mme)；基站负责接入网部分，基站与核心网连接，如图示中基站121连接mme131，基站122连接mme132；用户设备与基站之间通过lte空口技术(如uu接口)进行上行通信或下行通信。在一具体的通信场景中，用户设备与基站121通信连接，如果用户设备从111处移动至112处，那么，用户设备可能就需要将通信连接从基站121切换至基站122，在完成切换进程后，用户设备与基站122通信连接，进而才能继续进行通信。可以看出，在这一过程中，由于基站121和基站122分别连接于不同的mme，所以，上述通信切换过程同样伴随着mme的通信切换。图3示出了一种5g通信系统中切换通信的应用场景。该5g通信系统包括用户设备、接入网和核心网，可参考图1实施例的相关描述。其中，接入网包括ran设备221、ran设备222，核心网包括核心网设备组231和核心网设备组232，接入网设备与核心网设备连接，如图示中ran设备221连接核心网设备231中的amf，ran设备组222连接核心网设备组232中的amf。用户设备与接入网设备之间通过5g空口技术进行上行通信或下行通信。在一具体的通信场景中，用户设备与ran设备221通信连接，如果用户设备从211处移动至212处，那么，用户设备可能就需要将通信连接从ran设备221切换至ran设备222，在完成切换进程后，用户设备与ran设备222通信连接，进而才能继续进行通信。可以看出，在这一过程中，由于ran设备221和ran设备222分别连接于不同核心网设备组的amf，所以，上述通信切换过程同样伴随着amf的通信切换。为了提高未来移动通信架构的网络安全性，实现跨amf切换后网络侧和用户设备侧获得足够的安全把障，本发明实施例提供了一种安全实现方法，参见图4，该方法包括但不限于以下步骤：1、源接入网设备触发通信切换。本发明实施例中，用户设备与源接入网设备通过接入技术建立通信连接。当用户设备需要从当前连接的源ran切换到目标ran时，源接入网设备触发通信切换。其中，接入技术可以为cdma2000、无线局域网络(wlan)、固定接入(fixedaccess)、全球微波互联接入(worldwideinteroperabilityformicrowaveaccess，wimax)、长期演进(longtermevolution，lte)、5g等技术。具体应用场景中，当ue跨amf切换时，即从源amf切换至目标amf时，其源amf下连接管理的源ran也需要切换至目标ran。切换的原因可以是多种多样的，例如，源ran与目标ran没有xn接口连接，当ue从源ran的通信小区向目标ran的通信小区移动时，需要将当前通信连接从源ran切换至目标ran；又比如，在当前网络拥塞导致通信资源不足，当前连接的源ran需要将ue的通信连接请求切换至网络状况较好的目标ran；又比如，需要将当前通信系统(如lte)切换到另一个通信系统(如5g)，等等。2、源接入网设备向第二网元发送第一请求；第二网元向第一网元发送第二请求。其中，源接入网设备向第二网元发送的第一请求和第二网元向第一网元发送的第二请求可以是相同的请求，也可能是不同的请求，所述第一请求或第二请求可能携带有源侧的安全上下文，所述源侧安全上下文例如可以包括密钥的生存周期、密钥的索引、ue的安全能力、完整性算法、完整性算法标识、加密算法、加密算法标识、与计算密钥相关的计数值中的一项或多项，所述第一请求例如为切换请求，第二请求例如为路径切换请求。后文实施例中相关的请求可参考这里的描述，后文将不再赘述。其中，第二网元连接所述源接入网设备，第二网元和源接入网设备属于源侧的网络设备；第一网元连接目标接入网设备，第一网元和目标接入网设备属于目标侧的网络设备。在具体实现中，所述第二网元可以是源amf、源seaf、源smf等网络设备，第一网元为对应的目标amf、目标seaf、目标smf等网络设备。3、第一网元获得安全密钥。其中，所述安全密钥用于在将所述用户设备从源接入网设备切换到目标接入网设备后，对用户设备与目标网络之间的通信进行保护，所述目标网络包括所述目标接入网设备和目标核心网设备，所述目标核心网设备包括所述第一网元。所述安全密钥可包括接入层as密钥和非接入层nas密钥，as密钥用于对用户设备与接入网设备之间的通信进行保护，nas密钥用于对用户设备与核心网设备(如amf/seaf/smf等等)之间的通信进行保护。第一网元获得安全密钥，包括：第一网元生成该安全密钥，或者，第一网元获取其他网元发送的安全密钥。本发明实施例中，第一网元可首先获取第一中间密钥，其中，第一中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层as和非接入层nas密钥，例如，第一中间密钥为新的kamf；然后，第一网元确定安全保护算法，包括具体的安全算法以及安全算法的标识，标识可以用来指示具体的保护算法。然后第一网元基于所述安全保护算法和所述第一中间密钥推衍出安全密钥，所述安全保护算法可包括nas层机密性算法标识和nas层完整性算法标识、as层机密性算法标识和as层完整性算法标识。所述安全密钥包括第一密钥，第二密钥和第三密钥；所述第一密钥为用户设备与所述目标接入网设备之间进行安全保护的中间密钥，例如密钥kgnb；所述第二密钥为nas信令加密性保护密钥，例如密钥knasenc；所述第三密钥为nas信令完整性保护密钥，例如knasint。具体的，第一网元可基于第一参数推衍出所述第一密钥，其中，所述第一参数包括所述第一中间密钥、目标小区标识、频点、nas计数值、nas连接标识、计数值nonce或counter或随机码或序列码中的一项或多项；基于第二参数推衍出所述第二密钥，其中，所述第二参数包括所述第一中间密钥、nas机密性算法标识、计数值nonce或counter或随机码或序列码中的一项或多项；基于第三参数推衍出所述第三密钥，其中，所述第三参数包括所述第一中间密钥、nas完整性算法标识、计数值nonce或counter或随机码或序列码中的一项或多项；第一网元可以保存所述第二密钥、第三密钥，并在后续的步骤中，将第一密钥发送给接入网设备。其中，第一网元获取第一中间密钥的方式可以是多种多样的：具体实施例中，第一网元获取第二网元基于第二中间密钥、网络参数推衍出的所述第一中间密钥；其中，第二中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层和非接入层密钥，例如，第二中间密钥为原先已存在于第二网元的密钥kamf，该密钥kamf在通过认证时由第二网元所获取。具体实施例中，第一网元接收第二网元发送的第二中间密钥；所述第一网元基于所述第二中间密钥、网络参数推衍出的所述第一中间密钥。具体实施例中，在所述用户设备从所述源接入网设备切换到所述目标接入网设备、并且所述用户设备重新通过双向认证后，所述第一网元获得锚密钥kseaf；所述第一网元基于所述锚密钥、网络参数推衍出的所述第一中间密钥。其中，网络参数可包括目标侧标识、切片标识、网络接入标识符nai、网络切片选择辅助信息nssai、amf区域标识、amf设置标识、amf全局唯一指示符guami、amf指针pointer、amf集合标识、计数值nonce或counter或随机码或序列码中的一项或多项。在本发明具体实施例中，第一网元还可以获取第二网元发送的下一跳密钥第一nh、下一跳密钥关联计数第一ncc；所述第一网元基于{第一nh,第一ncc}对得到{第二nh,第二ncc}对。后续步骤中第一网元可向目标接入网设备发送{第二nh,第二ncc}对，以及第二密钥、第三密钥，目标接入网设备基于{第二nh,第二ncc}对生成第一密钥。4、第一网元向目标接入网设备发送安全密钥，所发送的安全密钥包括第一密钥。5、第一网元通过第二网元、接入网设备向用户设备发送安全上下文，以便于用户设备可基于安全上下文生成安全密钥，其中，用户设备所接收到的安全上下文只需包括网络侧生成安全密钥相关的各个密钥时用户设备侧没有的参数，比如随机数rand、计数值nonce或者counter、时间戳、相关的安全保护算法标识等。6、用户设备基于安全上下文生成安全密钥。具体实施例中，用户设备可基于安全上下文、网络参数、预存在本地的中间密钥等生成安全密钥，这里的安全密钥包括as密钥和nas密钥。7、用户设备与目标接入网设备完成后续的切换进程，最终，用户设备的通信连接从当前的源ran切换到目标ran。需要说明的是，本发明实施例以及后文描述的实施例中，源侧和目标侧之间、源侧和ue侧之间、目标侧与ue侧之间传递的与安全相关的消息(例如安全上下文、中间密钥、密钥请求、密钥响应等等)可能是通过以独立的消息形式进行传递，也可能携带于其他消息(例如与切换相关的请求、响应等等)中进行传递，本发明在这里不做限定。参见图5，本发明实施例提供了又一种安全实现方法，在该方法的应用场景中，ue在与网络认证后，ue侧与网络侧(例如seaf)可配置有锚密钥kseaf。当ue需要从当前连接的源ran切换到目标ran时，可通过以下方法实现网络安全，该方法包括但不限于以下步骤：1、源ran触发通信切换。本发明实施例中当ue跨amf切换时，即从源amf切换至目标amf时，其源amf下连接管理的源ran也需要切换至目标ran。源ran可触发该通信切换,切换的原因可以是多种多样的，例如，源ran与目标ran没有xn接口连接，当ue从源ran的通信小区向目标ran的通信小区移动时，需要将当前通信连接从源ran切换至目标ran；又比如，在当前网络拥塞导致通信资源不足，当前连接的源ran需要将ue的通信连接请求切换至网络状况较好的目标ran，等等。2、源ran向源amf发送切换请求。源ran发送切换请求(handoverrequired)的消息到源amf，通知源amf有用户要进行切换，所述切换请求携带ue的标识。其中，amf指定用来转发数据(消息)的承载。3、源amf向目标amf发送路径切换请求。为了实现通信切换，源amf选择一个目标amf，并向该目标amf发送路径切换请求(forwardrelocationrequest)，所述路径切换请求中可以包含源侧的安全上下文。4、目标amf向目标ran发送切换请求。目标amf向目标ran发送切换请求(handoverrequest)的消息，用以请求目标ran建立无线网络资源，在目标ran创建ue的上下文。在pdu会话(pdusession)激活后，目标amf还可为pdu会话分配了上行通信隧道的标识符和ip地址，并目标ran发送pdu会话。5、目标ran向目标amf返回切换请求的确认消息。目标ran向目标amf发送切换请求的确认消息，该确认消息中包括已经被目标ran接受的pdu会话。目标ran会分配下行通信隧道的标识符和pdu会话的ip地址，并向目标amf发送pdu会话。6、目标amf向seaf发送密钥请求。在本发明实施例中，seaf作为安全认证和密钥配置的节点，amf和seaf可以分离部署，也可以集合部署在一起。在amf和seaf分离部署时，seaf的数量可能是一个，也可能是多个，也就是说，在跨amf切换时，源amf与目标amf可连接同一个seaf，也可能源amf与目标amf分别连接不同的seaf(源amf连接源seaf，目标amf连接目标seaf)，此时跨amf将伴随着跨seaf切换；在amf和seaf集合部署时，amf和seaf可以在物理位置上部署在一起，但仍然是两个功能不同的逻辑实体，则跨amf的情况下，也将伴随着跨seaf切换。本发明实施例中，为了保障跨amf切换后的网络通信安全，目标amf向seaf发送密钥请求，以便于获得用于生成安全密钥的中间密钥。需要说明的是，步骤6与步骤4、5之间并没有必然的先后顺序，也就是说，具体实现中，步骤6也可以放在步骤3之后，还可以放在步骤4之后，本发明在这里不做限定。还需要说明的是，本发明实施例并不限定密钥请求为单独的信令消息，在可能的实施方式中，步骤6中的密钥请求可以承载于目标amf和seaf之间的其他交互消息中。7、seaf基于kseaf和网络参数生成kamf。其中，密钥kseaf为锚密钥(anchorkey)，所述锚密钥为认证后生成的密钥，属于服务网络中的上层密钥，锚密钥可用于推衍服务网络的下层密钥。需要说明的是，在本发明实施例中，在ue与网络进行身份验证过后，seaf就具有密钥kseaf。该kseaf可能是固定存储于seaf中，也可能临时存储于seaf中，在kseaf生成网络中的下层密钥后就被删除。在后一种情况中，当seaf收到目标amf的密钥请求时，seaf可向ausf发送请求，ausf基于该请求生成kseaf，并将该kseaf发送给seaf。seaf基于kseaf和网络参数生成新的中间密钥kamf(第一中间密钥)，kamf可用于推衍下层的接入层as和非接入层nas密钥。其中，所述网络参数为网络侧的相关参数，该网络参数例如可以是目标侧标识、切片标识、网络接入标识符nai、网络切片选择辅助信息nssai、amf区域标识、amf全局唯一指示符guami、amf指针pointer、amf集合标识、amf设置标识、计数值nonce或counter或随机码或序列码中的一项或多项，具体实现中，网络参数还会包括其他参数。下面简单说明上述网络参数。目标侧标识：可以为目标侧服务网络标识、目标侧具体小区id、目标侧基站id等可以唯一标识目标侧信息的标识。切片标识：用来唯一性地标识网络切片的id。网络接入标识符(networkaccessidentifier，nai)：nai通常用于唯一标识移动节点。网络切片选择辅助信息(networksliceselectionassistantinformation,nssai)：nssai可包括切片各种标识、切片相关实体的标识。终端可通过提供nssai来选择和组建网络切片相关的实例，一条网络切片选择辅助信息可对应一个网络切片。amf区域标识(amfregionid)：用来区分amf在哪个区域的标识。amf设置标识(amfsetid)：在一个amf区域内唯一标识一个amf集的标识。amf指针(amfpointer)：amf指针为唯一标识在一个amf集下的amf的标识。amf全局唯一指示符guami：guami可以用来最终指示某个amf，具体可为：<guami>＝<mcc><mnc><amf区域标识><amf设置标识><amf指针>，其中，mcc表示移动国家码(mobilecountrycode)，mnc表示移动网络码(mobilenetworkcode)。其他参数(otherparameters)：本发明实施例中，其他的网络参数还可以为时间戳、注册类型(registrationtype)、amfid、seafid、nas计数(nascount)或安全算法标识、安全算法类型名称、序列号sqn、ak，还可以这些参数或者前述某个关键参数的长度，等等，后文在描述生成相关密钥时所采用的“其他参数”均可以参考这里的描述，后文将不再赘述。举例来说，在具体实施例中，seaf基于kseaf和网络参数推衍出中间密钥kamf：kamf＝kdf(kseaf,目标侧id,切片id,nai,nssai,amf区域标识,guami,amf指针,amf设置标识,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)，其中，kdf为密钥推衍函数。8、seaf向目标amf发送kamf，相应的，目标amf获得所述kamf。9、目标amf基于kamf生成安全密钥。其中，所述安全密钥用于在将ue从所述源ran切换到目标ran后，对所述ue与所述目标ran之间的通信进行保护。由于协议栈可以分为接入层(accessstratum，as)和非接入层(non-accessstratum，nas)。所以，这里所生成的安全密钥需要包括as层密钥和nas层密钥。在具体的实施例中，目标amf收到中间密钥kamf后，可以根据预设的规则确定密钥保护算法，例如，目标amf中预设有算法优先级列表，算法优先级列表中具有多种算法id，该目标amf查找算法优先级列表，并根据算法优先级列表选择新的nas算法，获得nas机密性算法id和nas完整性算法id。目标amf也可能会选择新的as算法，获得as机密性算法id和as完整性算法id。对于as层密钥，目标amf首先生成中间密钥kgnb，所述kgnb为在目标ran侧使用的中间密钥，kgnb用于在目标ran侧生成as层相关的密钥(如krrcenc、krrcint、kupenc、kupint等)，后续步骤中需要将kgnb发送至目标接入网设备。本发明实施例中，目标amf基于kamf和第一参数推衍出kgnb，具体为：kgnb＝kdf(kamf,目标小区标识,频点,nas计数值,nas连接标识,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。其中，nas计数值(nascount)为nas传输nas消息的计数值或nas数据包的计数值，具体可以为上行nas计数值或者下行nas计数值。频点(earfcn-dl)表示网络的下行通信频率。目标小区标识(targetphysicalcellid)用于唯一标识目标小区。对于nas层密钥，目标amf需要生成knasenc和knasint，其中，这里的knasenc为网络侧的nas信令加密保护密钥，这里的knasint为网络侧的nas信令完整性保护密钥。目标amf保存nas层密钥，还可能根据需要向其他核心网设备发送nas层密钥。本发明实施例中，目标amf基于kamf、重新确定的密钥保护算法和第二参数推衍出knasenc，具体为：knasenc＝kdf(kamf,nas机密性算法id,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。本发明实施例中，目标amf基于kamf、重新确定的密钥保护算法和第三参数推衍出knasint，具体为：knasint＝kdf(kamf,nas完整性算法id,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。10、目标amf向目标ran发送安全密钥、安全上下文。相应的，目标ran获得安全密钥、安全上下文。其中，这里的安全密钥包括kgnb。具体实施例中，目标amf也会将所选择的nas算法(也可能包括as算法)通知给目标ran，以便于目标ran确定安全保护算法。在可能的实施例中，目标amf还可能会向目标ran发送安全上下文。所述安全上下文包含与网络安全相关的信息。具体的，所述安全上下文包括：密钥的生存周期、密钥的索引、ue的安全能力、完整性算法、完整性算法标识、加密算法、加密算法标识、与计算密钥相关的计数值等，此外，也可能包括具体密钥。其中，所述ue安全能力可以为ue支持的加密和完整性算法列表，ue所要求的密钥长度、密钥生存期等。目标ran获得安全密钥后，基于安全保护算法、中间密钥kgnb继续推衍出as层的具体密钥，包括密钥krrcenc、密钥krrcint、密钥kupenc、密钥kupint等，其中，密钥krrcenc为空口无线接入侧控制面信令加密密钥；密钥krrcint为空口无线接入侧信令完整性保护密钥；密钥kupenc为空口无线接入侧用户面加密保护密钥；密钥kupint为空口无线接入侧用户面完整性保护密钥。需要说明的是，如果前述步骤6放在步骤3之后，那么，在可能的实施例中，步骤10中的安全密钥、安全上下文还可以放在步骤4中切换请求的消息中去具体实现。11、目标ran向目标amf发送响应，以通知目标amf成功获得安全密钥。12、目标amf向源amf发送路径切换响应、安全上下文。具体的，为了响应步骤3中的路径切换请求，目标amf向源amf发送路径切换请求的确认消息，其中，所述路径切换请求的确认消息可以携带安全上下文。13、源amf向源ran发送切换要求、安全上下文。具体的，为了响应步骤2中的切换请求，源amf向源ran发送切换要求(hocommand)，以向源ran通知切换准备完成，其中，所述切换请求中可以携带安全上下文。14、源ran向ue发送切换要求、安全上下文。具体的，源ran向ue发送切换要求，向ue通知切换准备完成，促发ue完成后续的切换操作。其中，所述切换请求中可以携带安全上下文。15、ue基于kseaf、安全上下文生成安全密钥。需要说明的是，ue侧所接收到的安全上下文，只需包括网络侧生成各个密钥时ue侧没有的参数，比如随机数，时间戳，安全保护算法标识等，ue可能在之前步骤中都已具备其他的用于生成密钥的参数。由于ue原先在与网络认证后，就已经配置kseaf，此外，ue还预先共享了网络侧的网络参数，所以，对ue来说，ue同样可基于kseaf、网络参数、安全上下文生成新的nas层密钥和as层密钥。例如，ue可先基于kseaf生成kamf，再基于kamf、网络参数、安全上下文生成as层密钥(如krrcenc、krrcint、kupenc、kupint等)和nas层密钥(如knasenc、knasint等)，具体过程类似参考步骤7、步骤9、步骤10中的相关描述，这里不再赘述。16、ue和目标ran完成后续的切换进程。ue和目标ran还会继续完成后续的切换进程，例如，ue跟目标小区成功同步后，发送切换确认消息给目标ran。目标ran发送切换通知给目标amf，通知目标amf该ue已经位于目标小区。目标amf发送切换路径重换完成消息给源amf。源amf再回复一个响应给目标amf。源amf发送ue上下文释放的消息通知源ran释放与ue相关的资源。源ran返回释放确认消息给源amf，等等。最终，ue的通信连接从源ran切换到目标ran。需要说明的是，在本发明实施例中，通信系统在进行amf切换时，不同的amf对应的smf可能不同，所以在上述过程中也可能发生smf切换。在这种情况下，也需要考虑pdu会话的安全保护。在具体实现中，在步骤7中seaf生成kamf时，在目标侧需要考虑pdu会话密钥的更新。则在seaf生成kamf时，即为seaf向ausf发送指示信息，触发ausf生成新的pdu会话密钥。具体的，ausf预先保存有密钥leftk，那么，ausf可基于leftk、以及源amf所发送过来的ue的相关信息及会话信息(比如会话id、切片信息等等)，生成新的pdu会话密钥ksmf，具体为：ksmf＝kdf(leftk,nai,nssai,切片id,amf相关参数,smf相关参数,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。然后，ausf将ksmf发送至seaf或目标amf，seaf或目标amf将ksmf转发至目标smf和ue，目标smf/ue使用ksmf更新pdu会话密钥。可以看出，实施本发明实施例，在跨amf切换的实施过程中，通信系统可相应生成安全密钥，使用安全网元seaf/amf等来实现目标侧安全上下文和安全密钥的获取和传递。对于网络而言，由于目标侧的安全密钥由目标侧的网元(如seaf/目标amf)生成，目标ran不能获得源ran使用的安全密钥，无法破解源ran与ue之间的通信信息，实现了网络通信的后向安全；源ran不能获得目标ran使用的安全密钥，不能破解目标ran与ue之间的通信信息，实现了网络通信的前向安全。参见图6，本发明实施例提供了又一种安全实现方法，在该方法的应用场景中，ue在与网络认证后，ue侧与网络侧(例如源amf/源seaf)可配置有第一kamf。当ue需要从当前连接的源ran切换到目标ran时，可通过以下方法实现网络安全，该方法包括但不限于以下步骤：1、源ran触发通信切换，可参考图5步骤1的描述。2、源ran向源amf/源seaf发送切换请求。在本发明实施例中，seaf作为安全认证和密钥配置的节点，源amf和源seaf可以分离部署，也可以集合部署在一起。在源amf和源seaf分离部署时，源amf连接源seaf，此时跨amf将伴随着跨seaf切换；在源amf和源seaf集合部署时，源amf和源seaf可以在物理位置上部署在一起，但仍然是两个功能不同的逻辑实体，则跨amf的情况下，也将伴随着跨seaf切换。3、源amf/源seaf基于第一kamf推衍出第二kamf。在源amf/seaf收到来自于源ran发送的切换请求后，源seaf/amf基于预先存储的第一中间密钥kamf(简称第一kamf)、网络参数生成第二中间密钥kamf(简称第二kamf)。该网络参数例如可以是目标侧标识、切片标识、网络接入标识符nai、网络切片选择辅助信息nssai、amf区域标识、amf全局唯一指示符guami、amf指针、amf集合标识、nonce计数值或随机码或序列码中的一项或多项，具体实现中，网络参数还会包括其他参数。具体实施例中，源seaf/amf基于预先存储的第一kamf、网络参数推衍出第二kamf，具体为：第二kamf＝kdf(第一kamf,目标侧id,切片id,nai,nssai,amf区域标识,guami,amf指针,amf设置标识,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。需要说明的是，在源amf和源seaf分离的情况下，源amf/源seaf基于第一kamf推衍出第二kamf，可能包含以下情况：情况一：源amf基于预设的第一kamf推衍出第二kamf；情况二：源seaf基于预设的第一kamf推衍出第二kamf，并将第二kamf发送给源amf。4、源amf/源seaf向目标amf/目标seaf发送路径切换请求、第二kamf。在本发明实施例中，目标amf和目标seaf可以分离部署，也可以集合部署在一起。在目标amf和目标seaf分离部署时，目标amf连接目标seaf，此时跨amf将伴随着跨seaf切换；在目标amf和目标seaf集合部署时，目标amf和目标seaf可以在物理位置上部署在一起，但仍然是两个功能不同的逻辑实体，则跨amf的情况下，也将伴随着跨seaf切换。在一具体实施例中，源amf/源seaf向目标amf/目标seaf发送路径切换请求，所述路径切换请求中携带有该第二kamf。在另一具体实施例中，源amf/源seaf分别向目标amf/目标seaf发送路径切换请求和第二kamf。5、目标amf/目标seaf向目标ran发送切换请求。6、目标ran向目标amf/目标seaf反馈切换请求的确认消息。7、目标amf/目标seaf基于第二kamf生成安全密钥。其中，所述安全密钥用于在将ue从所述源ran切换到目标ran后，对所述ue与所述目标ran之间的通信进行保护。这里所生成的安全密钥包括as层密钥和nas层密钥。本发明实施例中，目标amf/目标seaf收到中间密钥kamf后，可以根据预设的规则确定nas机密性算法id和nas完整性算法id，目标amf/目标seaf基于第一kamf和第一参数推衍出kgnb，基于第一kamf、密钥保护算法和第二参数推衍出knasenc，基于第一kamf、密钥保护算法和第三参数推衍出knasint，目标amf/目标seaf可保存所述knasenc和knasint。具体操作可类似参考图5实施例步骤9，这里不再赘述。需要说明的是，步骤7与步骤5、6之间并没有必然的先后顺序，也就是说，具体实现中，步骤6也可以放在步骤4之后，还可以放在步骤5之后，本发明在这里不做限定。还需要说明的是，在目标amf和目标seaf分离的情况下，目标amf/目标seaf第二kamf生成安全密钥，可能包含以下情况：情况一：目标amf基于预设的第二kamf推衍出安全密钥；情况二：目标seaf基于预设的第二kamf推衍出安全密钥，并将安全密钥发送给目标amf。8、目标amf/目标seaf向目标ran发送安全密钥、安全上下文。其中，所发送的安全密钥包括kgnb。具体操作可类似参考图5实施例步骤10，这里不再赘述。9、目标ran向目标amf/目标seaf反馈响应，以通知目标amf/目标seaf成功获得安全密钥。10、目标amf/目标seaf向源amf/源seaf反馈路径切换响应、安全上下文。具体的，为了响应步骤4中的路径切换请求，目标amf向源amf发送路径切换请求的确认消息，其中，所述路径切换请求的确认消息可以携带安全上下文。11、源amf/源seaf向源ran反馈切换要求、安全上下文。具体的，为了响应步骤2中的切换请求，源amf向源ran发送切换要求(hocommand)，以向源ran通知切换准备完成，其中，所述切换请求中可以携带安全上下文。12、源ran向ue发送切换要求、安全上下文。具体的，源ran向ue发送切换要求，向ue通知切换准备完成，促发ue完成后续的切换操作。其中，所述切换请求中可以携带安全上下文。13、ue基于第一kamf、安全上下文生成安全密钥。需要说明的是，ue侧所接收到的安全上下文，只需包括网络侧生成各个密钥时ue侧没有的参数，比如随机数，时间戳等，安全保护算法标识等,ue可能在之前步骤中都已具备其他的用于生成密钥的参数。由于ue原先在与网络认证后，就已经配置第一kamf，此外，ue还预先共享了网络侧的网络参数，所以，可以理解的，对ue来说，ue同样可基于第一kamf、网络参数、安全上下文生成新的nas层密钥和as层密钥。ue和目标ran完成后续的切换进程。需要说明的是，对于上述图6实施例，在一种可能的实施方式中，可以取消步骤3，而在步骤4中，源amf/源seaf将第一kamf发送给到目标amf/目标seaf，在步骤4之后，目标amf/目标seaf基于第一kamf生成第二kamf。还需要说明的是，在本发明实施例中，通信系统在进行amf切换时，不同的amf对应的smf可能不同，所以在上述过程中也可能发生smf切换。在这种情况下，也需要考虑pdu会话的安全保护。在具体实现中，在步骤7中目标amf/目标seaf基于第二kamf生成安全密钥时，在目标侧需要考虑pdu会话密钥的更新。例如目标amf/目标seaf向ausf发送指示信息，触发ausf生成新的pdu会话密钥。具体的，ausf预先保存有密钥leftk，那么，ausf可基于leftk、以及源amf/源seaf所发送过来的ue的相关信息及会话信息(比如会话id、切片信息等等)，生成新的pdu会话密钥ksmf。可以看出，实施本发明实施例，在跨amf切换的实施过程中，通信系统可相应生成安全密钥，使用安全网元seaf/amf等来实现目标侧安全上下文和安全密钥的获取和传递。由于下层的密钥推衍来自于源amf/源seaf的第一中间密钥kamf的推衍，源amf/源seaf侧生成并传递目标侧安全上下文，对于网络而言，目标ran无法破解源ran与ue之间的通信信息，实现了网络通信的后向安全。参见图7，本发明实施例提供了又一种安全实现方法，当ue需要从当前连接的源ran切换到目标ran时，可通过以下方法实现网络安全，该方法包括但不限于以下步骤：1、源ran触发通信切换。2、源ran向源amf/源seaf发送切换请求。3、源amf/源seaf向目标amf/目标seaf发送路径切换请求。4、目标amf/目标seaf向目标ran发送切换请求。5、目标ran向目标amf/目标seaf反馈切换请求的确认消息。6、目标amf/目标seaf确定本地安全策略。其中，所述安全策略可预设于本地缓存中，也可以存储于其他安全网元中(例如pcf、udm、ausf等)，所述安全策略指示确定该ue切换到目标ran是否需要重新认证，目标amf/目标seaf从本地缓存中查询该安全策略，或者从其他安全网元中查询该安全策略。举例来说，该安全策略可依据下列实施条件确定：源amf/源seaf侧的密钥已经到期或者不再安全，或者，需要重新获取ue的安全能力而不是通过源amf/源seaf侧传递的安全上下文。那么，在当前状况符合该安全策略所指示的实施条件时，目标amf/目标seaf确定本地安全策略指示了该ue切换到目标ran需要重新认证，故目标amf/目标seaf将继续执行后续步骤。7、目标amf/目标seaf向源amf/源seaf反馈路径切换响应，所述路径切换响应不携带安全上下文。8、源amf/源seaf向源ran反馈切换要求，所述切换要求不携带安全上下文。9、源ran向ue发送切换要求，所述切换要求不携带安全上下文。10、ue和目标ran完成后续的切换进程。11、ue与ausf或udm进行双向认证。在ue的通信连接从源ran切换到目标ran后，ue与认证网元进行双向认证，以验证ue身份合法性，认证网元可能是ausf，也可能是udm。在通过该双向认证后，ue侧和目标amf/目标seaf侧都获得了新的锚密钥kseaf。12、目标amf/目标seaf基于新的kseaf生成安全密钥。可以理解的，目标amf/目标seaf基于新的kseaf、预先共享的网络参数、安全上下文生成安全密钥(用于生成as层密钥的kgnb和nas层密钥)，并保存该nas层密钥。详细过程可参考图5实施例步骤7、步骤9、步骤10中的相关描述，这里不再赘述。需要说明的是，这里的安全上下文可以是基于从源amf/源seaf侧传递过来的安全上下文并结合目标amf/目标seaf侧自身的安全上下文取交集的结果，比如最终得到安全上下文包括：加密性算法id和完整性算法id、用户设备的安全能力，等等。13、目标amf/目标seaf向目标ran发送安全密钥，其中，所发送的安全密钥包括kgnb。14、ue基于新的kseaf生成安全密钥，本步骤和步骤12、步骤13并无必然先后顺序。可以理解的，ue也可基于新的kseaf、预先共享的网络参数、安全上下文生成安全密钥，详细过程可参考图5实施例步骤7、步骤9、步骤10中的相关描述，这里不再赘述。需要说明的是，图7实施例中没有详细描述的步骤，均可以类似参考图5和图6实施例的相关描述。还需要说明的是，在本发明实施例中，通信系统在进行amf切换时，不同的amf对应的smf可能不同，所以在上述过程中也可能发生smf切换。在这种情况下，也需要考虑pdu会话的安全保护。具体的，在通过步骤11所描述的双向认证后，ausf同样获得新的密钥leftk，ausf可生成新的pdu会话密钥ksmf并发送给smf，这里不再赘述。目标侧重新认证获取新的保护密钥，满足前后向安全。不需要源侧传递密钥，或者基于已有密钥生成。可以看出，实施本发明实施例，在跨amf切换结束后，通信系统可在重新的双向认证之后获得新的保护密钥，不需要源网络侧传递中间密钥，也不需要基于原有的密钥生成中间密钥。对于网络而言，目标ran不能获得源ran使用的安全密钥，无法破解源ran与ue之间的通信信息，实现了网络通信的后向安全；源ran不能获得目标ran使用的安全密钥，不能破解目标ran与ue之间的通信信息，实现了网络通信的前向安全。参见图8，本发明实施例提供了又一种安全实现方法，在该方法的应用场景中，ue在与网络认证后，ue侧与源amf/源seaf可配置有第一密钥kamf，源ran侧配置有第一kgnb。当ue需要从当前连接的源ran切换到目标ran时，可通过以下方法实现网络安全，该方法包括但不限于以下步骤：1、源ran触发通信切换。2、源ran向源amf/源seaf发送切换请求。3、源amf/源seaf基于第一kamf推衍出第二kamf，详细推衍过程可参考图6实施例步骤3的描述。4、源amf/源seaf向目标amf/目标seaf发送路径切换请求、第二kamf、第一nh、第一ncc。在本发明实施例中，密钥kenb和nh参数、ncc参数相关联，其中，nh表示下一跳密钥(nexthop)，ncc表示下一跳密钥关联计数(nextchaincounter)。kenb和nh都可以从其他中间密钥(例如kasme)推衍而来。初始建立过程中，kenb直接从kasme推衍产生，ncc值为0。后续kenb需要更新时，可以依据{nh,ncc}对进行更新。在一具体实施例中，源amf/源seaf确定{第一nh,第一ncc}对，分别将{第一nh,第一ncc，第二kamf}、路径切换请求发送给目标amf/目标seaf。另一具体实施例中，源amf/源seaf确定{第一nh,第一ncc}对，并将{第一nh,第一ncc}对、第二kamf通过路径切换请求发送给目标amf/目标seaf。5、目标amf/目标seaf基于第二kamf、第一nh、第一ncc生成第一安全密钥。具体实现中，目标amf/目标seaf保存收到的{第一nh,第一ncc}对，并基于{第一nh,第一ncc}对和第二kamf推衍出{第二nh,第二ncc}对，具体推衍过程如下：第二nh＝kdf(第二kamf,第一nh)；第二ncc＝第一ncc+1；另外，目标amf/目标seaf还将基于第二kamf、重新确定的密钥保护算法和第二参数推衍出knasenc，具体为：knasenc＝kdf(第二kamf,nas机密性算法id,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。目标amf/目标seaf还将kamf、密钥保护算法和第三参数推衍出knasint，具体为：knasint＝kdf(第二kamf,nas完整性算法id,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。可以理解的，所述第一安全密钥包括上述{第二nh,第二ncc}对、密钥knasenc、密钥knasint。后续目标amf/目标seaf保存密钥knasenc、密钥knasint，将{第二nh,第二ncc}对发送至接入网。6、目标amf/目标seaf向目标ran发送切换请求、第一安全密钥中的{第二nh,第二ncc}对，相应的，目标ran获得并保存{第二nh,第二ncc}对。7、目标ran向目标amf/目标seaf发送切换请求的确认消息，通知目标amf/目标seaf以成功获得该第一安全密钥中的{第二nh,第二ncc}对。8、目标ran基于第一安全密钥生成第二安全密钥。具体实现中，目标ran基于{第二nh,第二ncc}对、以及目标ran的物理标识等参数生成第二kgnb，具体为：第二kgnb＝kdf(第二nh，物理标识，其他参数)。可以理解的，目标ran得到第二kgnb后，可基于安全保护算法、第二kgnb继续推衍出密钥krrcenc、密钥krrcint、密钥kupenc、密钥kupint等as层的具体密钥。9、目标amf/目标seaf向源amf/源seaf反馈路径切换响应、安全上下文。10、源amf/源seaf向源ran反馈切换要求、安全上下文。11、源ran向ue反馈切换要求、安全上下文。12、ue基于第一kamf和安全上下文生成安全密钥。需要说明的是，ue侧所接收到的安全上下文，只需包括网络侧生成各个密钥时ue侧没有的参数，比如随机数，时间戳等，安全保护算法标识，{第一nh，第一ncc}，等等,ue可能在之前步骤中都已具备其他的用于生成密钥的参数。可以理解的，由于ue原先在与网络认证后，就已经配置第一kamf，ue还预先共享了网络侧的网络参数，所以ue可以基于第一kamf、网络参数、安全上下文生成nas层密钥。另外，ue还可以基于{第一nh，第一ncc}、第一kamf得到{第二nh，第二ncc}，并基于{第二nh，第二ncc}、以及目标ran的物理标识等参数生成第二kgnb，再基于第二kgnb推衍出具体的as层密钥。13、ue和目标ran完成后续的切换进程。可以看出，实施本发明实施例，在跨amf切换的实施过程中，目标侧(目标ran、目标amf/目标seaf等)基于源侧(源ran、源amf/源seaf等)的密钥kgnb、kamf生成目标侧的安全密钥，对于网络而言，目标ran不能获得源ran使用的安全密钥，无法破解源ran与ue之间的通信信息，实现了网络通信的后向安全。需要说明的是，在本发明上述一些实施例中，通信系统在进行amf切换时，不同的amf对应的smf可能不同，所以在上述过程中也可能发生smf切换。在这种情况下，也需要考虑pdu会话的安全保护。进行amf切换的流程中，在目标侧需要考虑pdu会话密钥的更新。在具体实现中，目标amf/目标seaf向ausf发送指示信息，触发ausf生成新的pdu会话密钥。具体的，ausf预先保存有密钥leftk，那么，ausf可基于leftk、以及目标amf/目标seaf所发送过来的ue的相关信息及会话信息(比如会话id、切片信息等等)，生成新的pdu会话密钥ksmf，具体为：ksmf＝kdf(leftk,nai,nssai,切片id,amf相关参数,smf相关参数,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。然后，ausf将ksmf发送至seaf或目标amf，seaf或目标amf将ksmf转发至目标smf和ue，目标smf/ue使用ksmf更新pdu会话密钥。在本发明实施例提供的安全实现方法不仅可以应用于同一个通信系统中跨ran/跨amf切换的场景，还可以应用于不同的通信系统中跨基站(enb和gnb)/跨接入管理网元(mme和amf)的场景，参见图9，本发明实施例提供了又一种安全实现方法，该方法可应用于不同通信系统的切换过程中，例如，ue原先在第一通信系统中建立通信连接，后来ue基于用户需求或者当前网络状况，需要将通信连接切换到第二通信系统(比如手机从lte通信系统切换到5g通信系统)。在一种可能的实施方式中，第一通信系统(lte通信系统)包括：处于接入网的enb、处于核心网的mme、hss等，第二通信系统(5g通信系统)包括：处于接入网的gnb，处于核心网的目标amf/目标seaf、ausf等，当ue需要从当前连接的enb切换到gnb时，可通过以下方法实现网络安全，该方法包括但不限于以下步骤：1、enb触发通信切换。具体的，enb可基于ue的需求、ue的移动、当前网络状况等因素触发通信切换。2、enb向mme发送切换请求。enb发送切换请求(handoverrequired)的消息到mme，通知mme有用户要进行切换，所述切换请求携带ue的标识。3、mme向目标amf/目标seaf发送路径切换请求、原系统安全上下文、中间密钥kasme。其中，所述原系统安全上下文即为第一通信系统的安全上下文，第一通信系统的安全上下文例如包括：第一通信系统中与安全相关的密钥的生存周期、密钥的索引、ue的安全能力、完整性算法、完整性算法标识、加密算法、加密算法标识、与计算密钥相关的计数值等，也可能包括具体密钥。其中，ue安全能力可以为ue支持的加密和完整性算法列表，ue所要求的密钥长度、密钥生存期等。其中，中间密钥kasme为第一通信系统中认证后生成的上层的密钥，用于推衍下层的接入层和非接入层的密钥。在一具体实施例中，在mme到目标侧amf/seaf的路径切换请求中携带有第一通信系统的安全上下文，中间密钥kasme。在又一具体实施例中，mme将路径切换请求、第一通信系统的安全上下文和中间密钥kasme分别发送至目标amf/seaf。4、目标amf/目标seaf基于kasme得到kamf。具体实施例中，amf/seaf中间密钥kasme、网络参数推衍出kamf，例如：kamf＝kdf(kasme，目标侧id,切片id,nai,nssai,amf区域标识,guami,amf指针,amf设置标识,计数值nonce或counter或者随机码random或者序列码sequencenumber,其他参数)。此外，具体实现中，amf/seaf还可以使用kasme、第一通信系统的安全上下文(例如利用ue的安全能力)、网络参数等推衍出该kamf。5、目标amf/目标seaf基于kamf生成安全密钥。在具体的实施例中，目标amf/目标seaf可以根据预设的规则确定第二通信系统的密钥保护算法，例如，目标amf/目标seaf中预设有5g的算法优先级列表，算法优先级列表中具有多种算法id，该目标amf查找该算法优先级列表，并根据算法优先级列表选择5g的nas算法，获得nas机密性算法id和nas完整性算法id。可以理解的，目标amf/目标seaf可基于kamf推衍出as层密钥和nas层的相关密钥：如kgnb,knasenc,knasint等，目标amf/目标seaf保存所述knasenc,knasint。详细过程可参考图5步骤9的描述，这里不再赘述。6、目标amf/目标seaf向gnb发送切换请求、安全密钥，这里所发送的安全密钥包括kgnb。相应的，gnb获取kgnb。具体实施例中，目标amf/目标seaf向gnb发送切换请求，该切换请求中携带密钥kgnb。需要说明的是，如果在前述步骤4和步骤5中生成密钥的过程中使用了计数值nonce或counter，则该切换请求还会携带该计数值nonce或counter，以便于ue侧能够正确的生成密钥。在本发明实施例中，当第二通信系统支持用户面完整性保护时，gnb需要判断是否需要生成和启用用户面完保密钥，具体的，gnb可以根据预存的策略进行判断，或者，gnb还可以与smf或amf等网元进行协商从而进行判断，或者，gnb可以根据第二通信系统的安全上下文来进行判断，该安全上下文包括完整性是否开启的指示信息。当判断支持用户面保护时，gnb基于kgnb继续生成后续的密钥krrcenc、密钥krrcint、密钥kupenc、密钥kupint等as层密钥。7、gnb向目标amf/目标seaf发送切换请求的确认消息。8、目标amf/目标seaf向mme发送路径切换请求、安全上下文。如果在前述生成密钥的过程中使用了计数值nonce或counter，则安全上下文包括计数值nonce或counter。9、mme向enb发送切换要求、安全上下文。10、enb向ue发送切换要求、安全上下文。11、ue生成安全密钥。需要说明的是，ue侧所接收到的安全上下文，只需包括网络侧生成各个密钥时ue侧没有的参数，比如随机数(计数值nonce或counter)，时间戳等，5g相关的安全保护算法标识等，ue可能在之前步骤中都已具备其他的用于生成密钥的参数。由于ue可以从第一通信系统获得kasme，所以，对ue来说，ue同样可基于kasme、网络参数、安全上下文等生成新的nas层密钥和as层密钥。例如，ue可先基于kasme生成kamf，再基于kamf、网络参数、安全上下文生成as层密钥(如krrcenc、krrcint、kupenc、kupint等)和nas层密钥(如knasenc、knasint等)，这里不再赘述。12、ue与gnb完成后续的切换进程，最终，ue的通信连接从enb切换到gnb。需要说明的是，对于上述图9实施例，在可能的实施方式中，可以不在步骤3中传递kasme，并取消步骤4，那么，在步骤5之前，ausf会根据目标侧的ck/ik和mme传递过来的原系统安全上下文生成目标侧新的kseaf，并发送至目标amf/目标seaf，目标amf/目标seaf再根据新的kseaf、第一通信系统(如5g)安全保护算法生成后续的kamf等密钥。还需要说明的是，在可能的实施方式中，可以不在步骤3中传递kasme，并取消步骤4，那么，在步骤5之前，hss基于自身的ck/ik和nonce等参数计算密钥klte，并将klte传递给ausf，ausf再基于klte生成kseaf和leftk，具体的，kseaf＝kdf(klte,服务网络名称标识,计数值nonce或counter或者随机码random或者序列码sequencenumber，其他参数。ausf发送kseaf至目标amf/目标seaf，目标amf/目标seaf再根据kseaf、第一通信系统(如5g)安全保护算法生成后续的kamf等密钥。可以看出，实施本发明实施例，在跨通信系统切换的实施过程中，目标侧的通信系统可利用源侧的通信系统的中间密钥和安全上下文相应生成安全密钥，从而对切换后的通信系统中的通信进行安全保护。对于网络而言，目标侧的通信系统不能获得源侧的通信系统使用的安全密钥，无法破解源侧的通信系统与ue之间的通信信息，实现了网络通信的后向安全。参见图10，本发明实施例提供了又一种安全实现方法，该方法可应用于不同通信系统的切换过程中，例如，ue原先在第二通信系统中建立通信连接，后来ue基于用户需求或者当前网络状况，需要将通信连接切换到第一通信系统(比如手机从5g通信系统切换到lte通信系统)。在一种可能的实施方式中，第一通信系统(lte通信系统)包括：处于接入网的enb、处于核心网的mme、hss等，第二通信系统(5g通信系统)包括：处于接入网的gnb，处于核心网的目标amf/目标seaf、ausf等，当ue需要从当前连接的gnb切换到enb时，可通过以下方法实现网络安全，该方法包括但不限于以下步骤：1、gnb触发通信切换。具体的，enb可基于ue的需求、ue的移动、当前网络状况等因素触发通信切换。2、gnb向源amf/源seaf发送切换请求，通知向源amf/源seaf有用户要进行切换。3、源amf/源seaf向mme发送路径切换请求、原系统的安全上下文；mme向hss发送切换请求、源系统的安全上下文。其中，所述原系统安全上下文即为第二通信系统的安全上下文，第二通信系统的安全上下文例如包括：第二通信系统中与安全相关的密钥的生存周期、密钥的索引、ue的安全能力、完整性算法、完整性算法标识、加密算法、加密算法标识、与计算密钥相关的计数值等，也可能包括具体密钥、完整性是否开启的指示信息等。具体实施例中，源amf/源seaf向mme发送的路径切换请求中携带所述安全上下文。4、hss向mme反馈路径切换请求响应；mme向源amf/源seaf反馈路径切换请求响应。5、ausf向hss发送ck、ik。本发明具体实施例中，为了满足切换后的lte系统的安全需求，ausf可用于生成hss所需的完整性密钥(integritykey,ik)和加密性密钥ck(cipherkey,ck)，并将所述ck、ik发送至hss。6、hss向ausf发送响应，以通知ausf成功收到ck、ik。7、hss基于ck、ik生成kasme。具体实施例中，hss基于所获取的ck、ik进一步推衍出适合第一通信系统的中间密钥kasme，具体可以为：kasme＝kdf(ck,ik,服务网络名称标识,序列号sqn,其他参数。8、hss向mme发送生成kasme，相应的，mme获取该kasme。9、mme基于kasme和安全上下文生成安全密钥。具体实施例中，mme可基于kasme、ue的安全能力，网络侧的安全能力等参数生成安全密钥(包括密钥kenb和nas密钥)，mme可保存所述nas密钥。其中，ue安全能力例如可以为ue支持的加密和完整性算法列表、ue所要求的密钥长度、密钥生存期等；网络侧安全能力例如可以为网络侧的网络设备中预配置的网络支持的加密和完整性算法列表，运营商支持的加密和完整性算法优先级列表，网络设备/运营商支持的密钥长度、密钥生存期等。在具体实现中，该密钥kenb的生成过程可能为：kenb＝kdf(新的nas计数值，nas计数值的长度，算法标识，其他参数)。10、mme向enb发送s1路径切换请求、安全密钥，所发送的安全密钥包括kenb。其中，其中s1接口是enb和mme之间的接口。具体实施例中，mme通过s1接口向enb发送路径切换请求，该路径切换请求可携带kenb；另一具体实施例中，mme通过s1接口分别向enb发送路径切换请求和kenb。11、enb向mme反馈s1路径响应，通知mme成功收到消息。12、enb不计算用户面完整性密钥。在本发明实施例中，当第一通信系统(lte)不支持用户面完整性保护时，enb判断不需要生成和启用用户面完保密钥。这种情况下，如果所接收到的安全密钥里面包括用户面完整性保护密钥，则enb将不启用该密钥；另外，在enb基于所接收到的密钥kenb生成as密钥过程中，不再生成as的用户面完整性保护密钥。13、源amf/源seaf向gnb反馈切换要求、安全上下文。14、gnb向ue发送切换要求、安全上下文。15、ue生成安全密钥。需要说明的是，ue侧所接收到的安全上下文，只需包括网络侧生成各个密钥时ue侧没有的参数，比如随机数(计数值nonce或counter)，时间戳等，lte相关的安全保护算法标识等，ue可能在之前步骤中都已具备其他的用于生成密钥的参数。ue可基于预设的kamf推衍出kasme，进而基于kasme、网络参数，安全上下文等得到相应的as层密钥和nas层密钥。16、ue与enb完成后续的切换进程，最终，ue的通信连接从gnb切换到enb。需要说明的是，对于上述图10实施例，在可能的实施方式中，还可以取消步骤5和步骤6，而在步骤7中，hss可根据预存的ck/ik、以及所接收的原系统(第二系统)安全上下文生成中间密钥kasme，在步骤9中，mme可基于kasme、第一系统(如5g)安全保护算法生成kenb和nas密钥。还需要说明的是，在又一种可能的实施方式中，amf可发送kamf给mme,mme基于kamf经过推衍得到kasme,方式可能有：第一次推衍：kasme＝kdf(kamf,目标侧id,服务网络名称标识,计数值nonce或counter或者随机码random或者序列码sequencenumber,nascount)；第二次kasme＝kdf(kamf,第一次推衍的kasme,其他参数)。可以看出，实施本发明实施例，在跨通信系统切换的实施过程中，目标侧的通信系统可利用源侧的通信系统的中间密钥和安全上下文相应生成安全密钥，从而对切换后的通信系统中的通信进行安全保护。对于网络而言，目标侧的通信系统不能获得源侧的通信系统使用的安全密钥，无法破解源侧的通信系统与ue之间的通信信息，实现了网络通信的后向安全。参见图11，基于同一发明构思，本发明实施例提供了一种5g网络结合wlan网络而成的通信系统中切换通信的应用场景。其中，该5g网络包括接入网和核心网,接入网包括ran设备331、ran设备332，核心网包括核心网设备组341，接入网设备分别通过n2接口与核心网设备连接。wlan网络包括无线节点321、无线节点322，以及与无线节点(无线节点也可以视为接入网的一部分)建立通信连接的用户设备，其中无线节点可分别与ran设备331和ran设备332通过xw接口连接。用户设备与无线节点之间通过wlan技术进行上行通信或下行通信。在一具体的通信场景中，用户设备与无线节点321通信连接，如果用户设备从311处移动至312处，那么，用户设备可能就需要将通信连接从无线节点321切换至无线节点322，在完成切换进程后，用户设备与无线节点322通信连接，进而才能继续进行通信，在这一过程中，上述通信切换过程可能会伴随着ran设备的通信切换。在这种场景中，同样可应用本发明实施例提供的安全实现方法对切换后的通信进行安全保护。具体可以包括以下步骤：1、ran设备332接收将用户设备从无线节点321切换到无线节点322的通信的请求；本发明实施例中，无线节点例如可以是wlan端点(wlantermination)、无线接入点ap、无线路由等等。ran设备例如可以gnb等基站设备。2、ran设备332获得主密钥；具体实施例中，ran设备332可通过以下方式获得主密钥：核心网设备组341生成中间密钥kgnb，并将kgnb发送至ran设备332。ran设备332基于kgnb生成主密钥，例如，当无线节点为wlan端点(wlantermination)。ran设备332g基于kgnb和wlan端点计数值(wtcounter)推衍出主密钥s-kwt，具体为：s-kwt＝kdf(kgnb，wtcounter，其他参数)。3、ran设备332通过xw接口向无线节点322发送主密钥，所述s-kwt该wlan的空口保护密钥，无线节点322基于主密钥s-kwt和ieee802.11规范生成最终的安全密钥，所述安全密钥用于，在将用户设备从无线节点321切换到无线节点322后，对所述用户设备与无线节点322之间的通信进行保护。4、ran设备332会通过与ue之间的空口消息如rrc信令消息将wlan端点计数值(wtcounter)发送给用户设备，使得用户设备也能计算出对应的s-kwt，继而基于s-kwt和ieee规范生成安全密钥。上文详细阐述了本发明实施例的方法，为了便于更好地实施本发明实施例的上述方案，下面提供了本发明实施例的相关装置。参见图12，本发明实施例提供了一种装置1200，该装置1200包括处理器1201、存储器1202和发射器1203以及接收器1204，所述处理器1201、存储器1202和发射器1203以及接收器1204相连接(如通过总线相互连接)。存储器1202包括但不限于是随机存储记忆体(randomaccessmemory，ram)、只读存储器(read-onlymemory，rom)、可擦除可编程只读存储器(erasableprogrammablereadonlymemory，eprom)、或便携式只读存储器(compactdiscread-onlymemory，cd-rom)，该存储器1202用于存储相关指令及数据。发射器1203用于发射数据，接收器1204用于接收数据。处理器1201可以是一个或多个中央处理器1201(centralprocessingunit，cpu)，在处理器1201是一个cpu的情况下，该cpu可以是单核cpu，也可以是多核cpu。该处理器1201用于读取所述存储器1202中存储的程序代码，以实现图3实施例中的所述认证网元的功能。当装置1200为第一网元时，存储器1202中存储的程序代码具体用于实现图4实施例中的所述第一网元的功能。具体描述如下：所述接收器1204用于接收将用户设备从源接入网设备切换到目标接入网设备的通信的请求；所述处理器1201用于获得安全密钥；所述安全密钥用于，在将所述用户设备从所述源接入网设备切换到所述目标接入网设备后，对所述用户设备与所述目标网络之间的通信进行保护，所述目标网络包括所述目标接入网设备和目标核心网设备，所述目标核心网设备包括所述第一网元；所述发射器1203用于向所述目标接入网设备发送所述安全密钥。具体的实施例中，所述处理器1201用于获得安全密钥，包括：所述处理器1201用于获取第一中间密钥；所述第一中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层as和非接入层nas密钥；所述处理器1201用于确定安全保护算法，基于所述安全保护算法和所述第一中间密钥推衍出所述安全密钥。具体的实施例中，所述处理器1201用于获取第一中间密钥，包括：所述处理器1201用于通过所述接收器1204获取安全锚点seaf基于锚密钥、网络参数推衍出的所述第一中间密钥。具体的实施例中，所述处理器1201用于获取第一中间密钥，包括：所述处理器1201用于通过所述接收器1204获取第二网元基于第二中间密钥、网络参数推衍出的所述第一中间密钥；其中，第二中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层和非接入层密钥。具体的实施例中，所述处理器1201用于获取第一中间密钥，包括：所述处理器1201用于通过所述接收器1204接收第二网元发送的第二中间密钥；所述处理器1201用于基于所述第二中间密钥、网络参数推衍出的所述第一中间密钥；其中，第二中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层和非接入层密钥。具体的实施例中，所述处理器1201用于获取第一中间密钥，包括：在所述用户设备从所述源接入网设备切换到所述目标接入网设备、并且所述用户设备重新通过双向认证后，所述处理器1201获得锚密钥；所述处理器1201用于基于所述锚密钥、网络参数推衍出的所述第一中间密钥。具体的实施例中，所述接收器1204还用于接收第二网元发送的下一跳密钥第一nh、下一跳密钥关联计数第一ncc；所述处理器1201还用于基于所述第一nh和第一ncc得到第二nh和第二ncc；所述发射器1203还用于向所述目标接入网设备发送所述第二nh和所述第二ncc。具体的实施例中，所述安全密钥包括第一密钥，第二密钥和第三密钥；所述第一密钥为用户设备与所述目标接入网设备之间进行安全保护的中间密钥；所述第二密钥为nas信令加密性保护密钥；所述第三密钥为nas信令完整性保护密钥；所述处理器1201用于确定安全保护算法，基于所述安全保护算法和所述第一中间密钥推衍出所述安全密钥，包括：所述安全保护算法包括nas机密性算法标识和nas完整性算法标识。所述处理器1201用于基于第一参数推衍出所述第一密钥；其中，所述第一参数包括所述第一中间密钥、目标小区标识、频点、nas计数值、nas连接标识、计数值或随机码或序列码中的一项或多项；所述处理器1201用于基于第二参数推衍出所述第二密钥；其中，所述第二参数包括所述第一中间密钥、所述nas机密性算法标识、计数值或随机码或序列码中的一项或多项；所述处理器1201用于基于第三参数推衍出所述第三密钥；其中，所述第三参数包括所述第一中间密钥、所述nas完整性算法标识、计数值或随机码或序列码中的一项或多项；所述发射器1203用于向所述目标接入网设备发送所述安全密钥，包括：所述发射器1203用于向所述目标接入网设备发送所述第一密钥。具体的实施例中，所述源接入网设备为第一通信系统的接入网设备；所述目标接入网设备为第二通信系统的接入网设备；所述第一网元为所述第二通信系统的网元；所述请求包括所述第一通信系统的安全上下文、第三中间密钥；所述第三中间密钥为在所述第一通信系统中认证后生成的上层的密钥，用于推衍下层的接入层和非接入层的密钥；所述处理器1201用于获取第一中间密钥，包括：所述处理器1201用于基于所述第一通信系统的安全上下文、所述第二通信系统的安全上下文以及所述第三中间密钥推衍出的所述第一中间密钥。具体的实施例中，所述第一网元包括目标接入和移动管理网元amf，所述第二网元包括源amf，所述目标amf连接所述目标接入网设备，所述源amf连接所述源接入网设备；或者，所述第一网元包括目标安全锚点seaf，所述第二网元包括源安全锚点seaf，所述目标seaf连接所述目标接入网设备，所述源seaf连接所述源接入网设备。具体的实施例中，所述网络参数包括目标侧标识、切片标识、网络接入标识符nai、网络切片选择辅助信息nssai、amf区域标识、amf设置标识、amf全局唯一指示符guami、amf指针pointer、amf集合标识、计数值或随机码或序列码中的一项或多项。具体的实施例中，所述第一网元包括第一通信系统的移动性管理实体网元mme；所述目标接入网设备为所述第一通信系统的接入网设备；所述源接入网设备为第二通信系统的接入网设备；所述mme的接收器1204用于接收将用户设备从所述源接入网设备切换到所述目标接入网设备的通信的请求；所述请求包括所述第二通信系统的安全上下文；所述mme的处理器1201用于获得安全密钥；所述mme的发射器1203用于向所述目标接入网设备发送所述安全密钥。具体的实施例中，所述mme的处理器1201用于通过所述mme的接收器1204接收所述第一通信系统的归属签约用户服务器hss基于第一加密密钥、第一完整性保护密钥、服务网络名称标识、序列号sqn推衍出的第三中间密钥；所述第三中间密钥为在所述第一通信系统中认证后生成的上层的密钥，用于推衍下层的接入层和非接入层的密钥；所述mme的处理器1201用于基于所述第二通信系统的安全上下文、所述第三中间密钥推衍出所述安全密钥。具体的实施例中，所述mme的处理器1201用于获得安全密钥，包括：所述mme的处理器1201用于通过所述mme的接收器1204接收所述第二通信系统的amf发送的第一中间密钥；所述第一中间密钥为所述第二通信系统中认证后生成的上层的密钥，用于推衍下层的接入层as和非接入层nas密钥；所述mme的处理器1201用于基于所述第一中间密钥推衍出所述第三中间密钥；所述mme的处理器1201用于基于所述第二通信系统的安全上下文、所述第三中间密钥推衍出所述安全密钥。需要说明的是，当装置1200为第一网元时，处理器1201执行的步骤以及处理器1201涉及的其他技术特征还可以参照图5-图10所示的方法实施例的相应描述，这里不再赘述。当装置1200为目标接入网设备时，存储器1202中存储的程序代码具体用于实现图11实施例中的所述ran设备332的功能。具体描述如下：所述接收器1204用于接收将用户设备从源无线节点切换到目标无线节点的通信的请求；所述接收器1204还用于接收核心网设备发送的第一密钥(例如kenb或kgnb)；所述第一密钥为用户设备与所述目标接入网设备之间进行安全保护的中间密钥；所述处理器1201用于基于所述中间密钥生成第二密钥(主密钥)；所述第二密钥为用户设备与所述目标无线节点之间进行安全保护的中间密钥；所述发射器1203用于向目标无线节点发送所述第二密钥，以便于所述目标无线节点基于所述第二密钥生成安全密钥；所述安全密钥用于，在将所述用户设备从源无线节点切换到目标无线节点后，对所述用户设备与所述目标无线节点之间的通信进行保护。需要说明的是，当装置1200为第一网元时，处理器1201执行的步骤以及处理器1201涉及的其他技术特征还可以参照图11所示的方法实施例的相应描述，这里不再赘述。参见图13，基于同一发明构思，本发明实施例提供了又一种装置1300，装置1300为第一网元，具体包括：接收模块1301，密钥处理模块1302，发送模块1303，描述如下：接收模块1301用于接收将用户设备从源接入网设备切换到目标接入网设备的通信的请求；密钥处理模块1302用于获得安全密钥；所述安全密钥用于，在将所述用户设备从所述源接入网设备切换到所述目标接入网设备后，对所述用户设备与所述目标网络之间的通信进行保护，所述目标网络包括所述目标接入网设备和目标核心网设备，所述目标核心网设备包括所述第一网元；发送模块1303用于向所述目标接入网设备发送所述安全密钥。具体实施例中，密钥处理模块1302获取第一中间密钥；所述第一中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层as和非接入层nas密钥；密钥处理模块1302确定安全保护算法，基于所述安全保护算法和所述第一中间密钥推衍出所述安全密钥。具体实施例中，所述第一网元获取第一中间密钥，包括：密钥处理模块1302通过接收模块1301获取安全锚点seaf基于锚密钥、网络参数推衍出的所述第一中间密钥。具体实施例中，密钥处理模块1302获取第一中间密钥，包括：密钥处理模块1302通过接收模块1301获取第二网元基于第二中间密钥、网络参数推衍出的所述第一中间密钥；其中，第二中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层和非接入层密钥。具体实施例中，密钥处理模块1302获取第一中间密钥，包括：接收模块1301接收第二网元发送的第二中间密钥；密钥处理模块1302基于所述第二中间密钥、网络参数推衍出的所述第一中间密钥；其中，第二中间密钥为认证后生成的上层的密钥，用于推衍下层的接入层和非接入层密钥。具体实施例中，密钥处理模块1302获取第一中间密钥，包括：在所述用户设备从所述源接入网设备切换到所述目标接入网设备、并且所述用户设备重新通过双向认证后，密钥处理模块1302获得锚密钥；密钥处理模块1302基于所述锚密钥、网络参数推衍出的所述第一中间密钥。具体实施例中，密钥处理模块1302通过接收模块1301还获取第二网元发送的下一跳密钥第一nh、下一跳密钥关联计数第一ncc；密钥处理模块1302基于所述第一nh和第一ncc得到第二nh和第二ncc；发送模块1303向所述目标接入网设备发送所述第二nh和所述第二ncc。具体实施例中，所述安全密钥包括第一密钥，第二密钥和第三密钥；所述第一密钥为用户设备与所述目标接入网设备之间进行安全保护的中间密钥；所述第二密钥为nas信令加密性保护密钥；所述第三密钥为nas信令完整性保护密钥；密钥处理模块1302确定安全保护算法，基于所述安全保护算法和所述第一中间密钥推衍出所述安全密钥，包括：所述安全保护算法包括nas机密性算法标识和nas完整性算法标识密钥处理模块1302基于第一参数推衍出所述第一密钥；其中，所述第一参数包括所述第一中间密钥、目标小区标识、频点、nas计数值、nas连接标识、计数值或随机码或序列码中的一项或多项；密钥处理模块1302基于第二参数推衍出所述第二密钥；其中，所述第二参数包括所述第一中间密钥、所述nas机密性算法标识、计数值或随机码或序列码中的一项或多项；密钥处理模块1302基于第三参数推衍出所述第三密钥；其中，所述第三参数包括所述第一中间密钥、所述nas完整性算法标识、计数值或随机码或序列码中的一项或多项；发送模块1303向所述目标接入网设备发送所述安全密钥，包括：所述发送向所述目标接入网设备发送所述第一密钥。具体实施例中，所述源接入网设备为第一通信系统的接入网设备；所述目标接入网设备为第二通信系统的接入网设备；所述第一网元为所述第二通信系统的网元；所述请求包括所述第一通信系统的安全上下文、第三中间密钥；所述第三中间密钥为在所述第一通信系统中认证后生成的上层的密钥，用于推衍下层的接入层和非接入层的密钥；密钥处理模块1302获取第一中间密钥，包括：密钥处理模块1302基于所述第一通信系统的安全上下文、所述第二通信系统的安全上下文以及所述第三中间密钥推衍出的所述第一中间密钥。具体实施例中，所述第一网元包括目标接入和移动管理网元amf，所述第二网元包括源amf，所述目标amf连接所述目标接入网设备，所述源amf连接所述源接入网设备；或者，所述第一网元包括目标安全锚点seaf，所述第二网元包括源安全锚点seaf，所述目标seaf连接所述目标接入网设备，所述源seaf连接所述源接入网设备。具体实施例中，所述网络参数包括目标侧标识、切片标识、网络接入标识符nai、网络切片选择辅助信息nssai、amf区域标识、amf设置标识、amf全局唯一指示符guami、amf指针pointer、amf集合标识、计数值或随机码或序列码中的一项或多项。具体实施例中，所述第一网元包括第一通信系统的移动性管理实体网元mme；所述目标接入网设备为所述第一通信系统的接入网设备；所述源接入网设备为第二通信系统的接入网设备；密钥处理模块1302通过接收模块1301接收将用户设备从所述源接入网设备切换到所述目标接入网设备的通信的请求；所述请求包括所述第二通信系统的安全上下文；密钥处理模块1302获得安全密钥；所述安全密钥用于，在将所述用户设备从所述源接入网设备切换到所述目标接入网设备后，对所述用户设备与所述目标网络之间的通信进行保护；发送模块1303向所述目标接入网设备发送所述安全密钥。具体实施例中，所述mme获得安全密钥，包括：密钥处理模块1302通过接收模块1301获取所述第一通信系统的归属签约用户服务器hss基于第一加密密钥、第一完整性保护密钥、服务网络名称标识、序列号sqn推衍出的第三中间密钥；所述第三中间密钥为在所述第一通信系统中认证后生成的上层的密钥，用于推衍下层的接入层和非接入层的密钥；密钥处理模块1302基于所述第二通信系统的安全上下文、所述第三中间密钥推衍出所述安全密钥。具体实施例中，密钥处理模块1302获取安全密钥，包括：密钥处理模块1302通过接收模块1301获取所述第二通信系统的amf发送的第一中间密钥；所述第一中间密钥为所述第二通信系统中认证后生成的上层的密钥，用于推衍下层的接入层as和非接入层nas密钥；密钥处理模块1302基于所述第一中间密钥推衍出所述第三中间密钥；密钥处理模块1302基于所述第二通信系统的安全上下文、所述第三中间密钥推衍出所述安全密钥。在上述实施例中，可以全部或部分地通过软件、硬件、固件或者任意组合来实现。当使用软件实现时，可以全部或者部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令，在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络或其他可编程装置。所述计算机指令可存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网络站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线)或无线(例如红外、微波等)方式向另一个网络站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质，也可以是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如软盘、硬盘、磁带等)、光介质(例如dvd等)、或者半导体介质(例如固态硬盘)等等。在上述实施例中，对各个实施例的描述各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。当前第1页12当前第1页12