在从5G切换到4G系统之前进行安全性管理的方法、装置、计算机程序以及载体与流程

本实施例总体涉及安全性管理，并且具体涉及与不同代的无线通信系统之间的切换相结合的密钥管理。

背景技术：

从对通用移动电信系统(umts)架构(有时也被称为3g)和长期演进(lte)架构(也被称为4g)进行非常简要的概述开始会是有用的。

首先，这些架构的无线电接入网络(ran)部分的不同之处在于，通用地面无线电接入网络(utran)是3gumtsran，而演进型utran(e-utran)是lteran。utran支持电路交换和分组交换服务二者，而e-utran仅支持分组交换服务。

utran空中接口是基于扩频调制技术的宽带码分多址(wcdma)，而e-utran采用被称为正交频分多址(ofdma)的多载波调制方案。高速分组接入(hspa)是使用wcdma协议来扩展和改善现有的3gumts网络的性能的一组协议。

在3g/umts中，ran基于两种类型的节点：被称为nodeb的接入节点或基站和无线电网络控制器(rnc)。rnc是控制ran的节点，并且它还将ran连接到核心网络(cn)。

图1是示出了umts的核心网络的简化概述的示意图。umts的核心网络包括：

·具有移动交换中心(msc)的电路交换(cs)域，其中所述msc用于连接到公共交换电话网络(pstn)；以及

·具有服务gprs支持节点(sgsn)和网关gprs支持节点(ggsn)的分组交换(ps)域，其中所述sgsn用于连接到ran，并且所述ggsn用于连接到外部网络，例如因特网。

这两个域的共同之处在于归属位置寄存器(hlr)，即归属运营商网络中的保持对运营商的订户的跟踪的数据库。

lteran的关键设计原理是仅使用一种类型的节点，即，演进型节点b，也被称为enodeb或enb。ltecn的主要概念是尽可能独立于无线电接入技术。lteran功能通常涉及：

·编码、交织、调制和其他典型的物理层功能；

·自动重复请求(arq)头部压缩和其他典型的链路层功能；

·用户平面(up)安全性功能(例如加密)和ran信令安全性(例如，ran向用户平面(ue)发起的信令的加密和完整性保护)；以及

·无线电资源管理(rrm)、切换和其他典型的无线电资源控制功能。

ltecn功能通常涉及：

·非接入层(nas)安全性功能(例如，去往ue的cn信令的加密和完整性保护)；

·订户管理；

·移动性管理；

·承载管理和服务质量(qos)处理；

·政策控制和用户数据流；

·与外部网络的互连。

ltecn的演进和标准化被称为系统架构演进(sae)，并且sae中定义的核心网络与上一代核心网络完全不同，并且因此被称为演进型分组核心(epc)。

图2是示出了epc架构的简化概述的示意图。epc的基本节点包括：

·移动性管理实体(mme)，它是epc的控制平面节点；

·服务网关(sg)，它是将epc连接到lteran的用户平面节点；以及

·分组数据网络(pdn)网关，它是将epc连接到互联网的用户平面节点。

mme通常还连接到归属订户服务器(hss)，所述hss是与hlr相对应的数据库节点。

服务网关和pdn网关可以被配置为单个实体。

有时，epc与lteran一起被表示为演进型分组系统(eps)。

目前，尽管尚未设置通用的5g标准，但是正在全世界范围内开发通常被称为下一代(nextgen或ng)、下一代系统(ngs)或5g的未来一代无线通信。

与当前的4glte网络相比，下一代无线通信的愿景在于提供非常高的数据速率、极低的延迟、基站容量的多方面增加以及用户感知到的qos的显著改善。

3gppsa2已经在3gpptr23.799v14.0.0中就非漫游架构达成一致，其中该架构在图3中示出。

接入和移动性管理功能(amf)(有时被称为移动性管理功能(mmf)、核心网络移性动管理(cn-mm)或简称为移动性管理(mm))是支持移动性管理的核心网络节点，并且因此扮演与epc中的mme类似的角色。amf具有到ran的所谓的ng2接口，其中所述ng2接口与epc中mme与ran之间的所谓的s1接口相对应。

目前在传统3gpp系统中支持3g与4g无线通信系统之间(即umts与eps/lte之间或utran与e-utran之间)的切换。在这种交互切换中，在切换可能发生之前激活nas和接入层(as)安全性。因此，切换中的源无线通信系统向切换中的目标无线通信系统发送密钥集。

在从3g切换到4g(即从umts或utran切换到eps/lte或e-utran)的情况下，在源umts系统中使用的机密性和完整性密钥被传输给目标eps/lte系统，其中在所述目标eps/lte系统中，它们被用于导出nas和as密钥。因此，目标eps/lte系统具有在源umts系统中使用的机密性和完整性密钥的知识。因此，缺乏后向安全性。

在从4g切换到3g(即从eps/lte或e-utran切换到umts或utran)时，在源eps/lte系统中使用的安全密钥不被传输给目标umts系统。与之形成明显的对比，新的机密性和完整性密钥被生成并被发送给目标umts系统。新的机密性和完整性密钥的这种生成提供1跳后向安全性。

目前正在开发从ngs切换到eps/lte时涉及的信令。在该上下文中，ngs的移动性管理实体(即amf)应该将安全参数发送给eps/lte的对应移动性管理实体(即mme)。为了最小化对现有节点的影响，目标mme将从源amf接收的信令消息理解为由传统mme发送的。这意味着源amf需要相应地采取行动，并且以与在epc中在mme之间提供安全参数的方式类似的方式来提供必需的安全参数。

然而，目前缺乏在从ngs到eps/lte的切换交互中实现安全性的有效解决方案。在从ngs切换到eps/lte之前，应该激活nas和as安全性。因此，根据现有技术，源ngs需要在切换期间将所需的安全参数发送给目标eps/lte。但是，这种方法不能实现任何后向安全性。

技术实现要素：

总体目的是实现与用户设备从源无线通信系统到不同代的目标无线通信系统的切换相结合的安全性。

该目的和其它目的由本文公开的实施例来满足。

实施例的一方面涉及一种与用户设备从源无线通信系统到目标无线通信系统的切换相结合的密钥管理方法。该方法包括：基于在源5g无线通信系统的核心网络处可用的5g密钥和5g新鲜度参数导出第一4g主密钥。该方法还包括：将第一4g主密钥转发给目标4g无线通信系统的核心网络，使得能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。该方法还包括：将5g新鲜度参数转发给用户设备，使得能够基于5g密钥和5g新鲜度参数导出第一4g主密钥，并且能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

实施例的另一方面涉及一种与用户设备从源无线通信系统到目标无线通信系统的切换相结合的密钥管理方法。该方法包括：在目标4g无线通信系统的核心网络处，从源5g无线通信系统的核心网络接收第一4g主密钥，其中该第一4g主密钥是基于i)在源5g无线通信系统的核心网络处和用户设备处可用的5g密钥和ii)5g新鲜度参数导出的。该方法还包括：基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

实施例的另一方面涉及一种与用户设备从源无线通信系统到目标无线通信系统的切换相结合的密钥管理方法。该方法包括：基于在用户设备处和源5g无线通信系统的核心网络处可用的5g密钥以及源自源5g无线通信系统的核心网络的5g新鲜度参数导出第一4g主密钥。该方法还包括：基于第一4g主密钥和在目标4g无线通信系统的核心网络处可用的4g新鲜度参数导出第二4g主密钥。

实施例的一方面涉及一种密钥管理装置，被配置为：基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥和ii)5g新鲜度参数导出第一4g主密钥。该密钥管理装置还被配置为：将第一4g主密钥转发给目标4g无线通信系统的核心网络，以便能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。该密钥管理装置还被配置为：将5g新鲜度参数转发给用户设备，以便能够基于5g密钥和5g新鲜度参数导出第一4g主密钥，并且能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

实施例的另一方面涉及一种密钥管理装置，被配置为：从源5g无线通信系统的核心网络接收第一4g主密钥，其中该第一4g主密钥是基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥和ii)5g新鲜度参数导出的。该密钥管理装置还被配置为：基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

本发明的另一方面涉及一种密钥管理装置，被配置为：基于i)在要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处和源5g无线通信系统的核心网络处可用的5g密钥和ii)源自源5g无线通信系统的核心网络的5g新鲜度参数导出第一4g主密钥。该密钥管理装置还被配置为：基于第一4g主密钥和在目标4g无线通信系统的核心网络处可用的4g新鲜度参数导出第二4g主密钥。

实施例的一方面涉及一种包括指令的计算机程序，该指令在由至少一个处理器执行时使该至少一个处理器：基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥和ii)5g新鲜度参数导出第一4g主密钥。

实施例的另一方面涉及一种包括指令的计算机程序，该指令在由至少一个处理器执行时使该至少一个处理器：基于4g新鲜度参数和第一4g主密钥导出第二4g主密钥，其中该第一4g主密钥源自源5g无线通信系统的核心网络，并且是基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥和ii)5g新鲜度参数导出的。

实施例的另一方面涉及一种包括指令的计算机程序，该指令在由至少一个处理器执行时使该至少一个处理器：基于i)在要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处和源5g无线通信系统的核心网络处可用的5g密钥和ii)源自源5g无线通信系统的核心网络的5g新鲜度参数导出第一4g主密钥。还使至少一个处理器：基于第一4g主密钥和在目标4g无线通信系统的核心网络处可用的4g新鲜度参数导出第二4g主密钥。

实施例的相关方面定义了一种包括如上所述的计算机程序的载体。载体是以下之一：电子信号，光信号，电磁信号，磁信号，电信号，无线电信号，微波信号或计算机可读存储介质。

提供了一种密钥管理，其在将用户设备从源5g无线通信系统(例如ngs)切换到目标4g无线通信系统(例如eps/lte)之前实现安全激活。所述密钥管理实现后向安全性，即防止目标4g无线通信系统得到在源5g无线通信系统中使用的5g安全信息的知识。

附图说明

通过参考以下结合附图的描述，可以最好地理解实施例及其进一步的目的和优点，在附图中：

图1是示出了umts的核心网络的简化概述的示意图；

图2是示出了epc架构的简化概述的示意图；

图3是示出了ngs的非漫游架构的示意图；

图4是示出了eps/lte密钥层次结构的示意图；

图5是示出了ngs密钥层次结构的示意图；

图6示出了从umts切换到eps/lte期间的信令流；

图7示出了从eps/lte切换到umts期间的信令流；

图8示出了从ngs切换到eps/lte期间的信令流；

图9示出了根据实施例的从ngs切换到eps/lte期间的信令流，其中该信令流包括密钥管理操作；

图10示出了根据另一实施例的从ngs切换到eps/lte期间的信令流，其中该信令流包括密钥管理操作；

图11是根据实施例的密钥管理装置的示意框图；

图12是根据另一实施例的密钥管理装置的示意框图；

图13是根据另一实施例的密钥管理装置的示意框图；

图14是根据实施例的计算机实现的示意框图；

图15是根据又一实施例的密钥管理装置的示意框图；

图16是根据另一实施例的密钥管理装置的示意框图；

图17是根据另一实施例的密钥管理装置的示意框图；以及

图18示意性地示出了网络设备之间的分布式实现。

具体实施方式

本实施例总体涉及安全性管理，并且具体涉及与不同代的无线通信系统之间的切换相结合的密钥管理。

在更详细地描述3g与4g之间以及从5g到4g的切换过程之前，首先参考图4和5在本文描述eps/lte和ngs的密钥层次结构的概述。

图4示意性地示出了eps/lte密钥层次结构。密钥层次结构包括kenb，其中kenb是由ue中的移动设备(me)和mme从kasme导出的密钥或者是由me和目标enb导出的密钥。nh是由me和mme导出以提供前向安全性的密钥。

nas保护使用两个密钥，knasint和knasenc。knasint用于通过特定的完整性算法来保护nas业务，而knasenc对应地用于通过特定的加密算法来保护nas业务。这些密钥由me和mme使用密钥导出函数(kdf)分别从kasme和用于完整性算法或加密算法的标识符导出。

用于用户平面(up)业务的密钥kupenc、kupint和用于无线电资源控制(rrc)业务的密钥krrcenc、krrcint的密钥是由me和enb从kenb导出的。

该图还指示在ue和hss处可用的机密性密钥(ck)和完整性密钥(ik)，以及存储在通用订户身份模块(usim)和认证中心(auc)处的订阅凭证(k)。在3gppts33.401v14.1.0的第6.2节可以找到有关eps密钥层次结构的更多信息。

图5示出了用于ngs的对应密钥层次结构。通常，密钥层次结构类似于图4中所示的eps/lte的密钥层次结构，但具有一些差异。例如，引入了密钥层次结构的附加层，其中所述附加层允许将由认证得到的密钥保存在安全位置。这实际上与将密钥kasme拆分成密钥kseaf和kmmf相对应。在图5中，k表示在ue和认证凭证存储库和处理功能(arpf)/认证、授权和计费(aaa)服务器中保存的订阅凭证。kseaf是用于认证会话的锚定密钥(anchorkey)，其中可以从该锚定密钥导出后续的密钥，例如cn控制平面密钥和接入网络(an)密钥。kmmf是绑定到mmf的控制平面密钥，其中mmf表示端接nas移动性管理(mm)信令的核心网络实体。在本领域中，mmf和kmmf也被称为amf和kamf、cn-mm和kcn-mm或cn和kcn。

从kmmf导出nas加密和完整性保护密钥，即knasenc和knasint。kmmf还可以用于使用kan导出an级密钥，例如kupenc、kupint、krrcenc、krrcint，其中kan是被提供给an并且与eps/lte中的kenb相对应的密钥。

当用户平面安全性在up网关(gw)处端接时，kup-gw(也被称为kcn-sm/up)是用于up-gw的用户平面密钥。在3gppts33.899v0.6.0的第5.1.4.6.2.2节可以找到有关nextgen密钥层次结构的更多信息。

图6示出了从3g切换到4g(即从umts或utran切换到eps/lte或e-utran)时所涉及的信令。通常，在进行这种切换时，应该在e-utran中激活nas和as安全性。切换中的源系统应在切换期间一直向目标无线通信系统发送密钥集。

简而言之，源rnc决定ue应该切换到eps/lte系统。源rnc向源sgsn通知需要进行切换或重定位。sgsn在前向(fw)重定位请求消息中将mm上下文(包括机密性密钥(ck)和完整性密钥(ik)、密钥集标识符(ksi)和ue安全性能力)传送给目标mme。

mme创建noncemme并使用单向kdf从ck、ik和noncemme导出k′asme。mme还使用kdf从k′asme导出kenb。mme选择nas安全算法，从k′asme导出nas密钥，并且将ksisgsn、noncemme以及所选择的nas安全算法包括在去往目标enb的s1切换(ho)请求消息的nas安全透明容器ie中。mme还将kenb和ueeps安全性能力包括在去往目标enb的s1ho请求消息中。

目标enb选择as算法，创建被表示为rrcconnectionreconfiguration的透明容器(包括nas安全透明容器ie)，并且在s1ho请求确认(s1horequestack)消息中将其发送给mme。enb从kenb导出krrc和kup密钥。mme将从目标enb接收的透明容器包括在发送给sgsn的fw重定位响应(fwrelocationresponse)消息中，所述sgsn将透明容器包括在发送给源rnc的重定位命令中。rnc将透明容器包括在发送给ue的utranho命令中。

ue导出k′asme，将其与ksisgsn相关联，并以与上述mme相同的方式导出kenb。ue还如上述mme那样导出nas密钥，并且如上述enb那样导出rrc和up密钥。ue向enb发送rrc连接重配置完成(rrcconnectionreconfigurationcomplete)消息，该enb向mme发送ho通知。mme和sgsn以发送fw重定位完成消息和fw重定位完成确认消息而结束。

因此，源sgsn将在umts系统中使用的ck和ik密钥传输给目标mme。目标mme从ck、ik和noncemme导出新的k′asme。在这种情况下没有后向安全性，因为目标mme知道在umts系统中使用的ck和ik密钥。目标mme使用新的k′asme，并且从中导出nas密钥和as密钥。在mme和enb中使用该nas密钥和as密钥，直到在mme中在nas层中发生新的重新认证为止。

图7公开了在从4g切换到3g(即从eps/lte或e-utran切换到umts或utran)时发生的对应信令。简而言之，源enb决定ue应该切换到umts系统。源enb向源mme通知需要进行切换。源mme选择在切换时使用的当前nas下行链路count值，并且然后将nas下行链路count值增加1。源mme和ue利用单向kdf从kasme和当前eps密钥安全上下文的所选择的nas下行链路count值导出机密性密钥(ck′)和完整性密钥(ik′)。源mme和ue还将演进型ksi(eksi)的值分配给ksi。源mme将mm上下文传送给目标sgsn，其中所述mm上下文包括ck′和ik′(ck′||ik′)的并置(concatenation)、ksi和ue安全性凭证。目标sgsn用从源mme接收的ck′、ik′、ksi替换所有存储的参数ck、ik、ksi(如果有的话)。ue对应地用me和usim中的ck′、ik′、ksi替换所有存储的参数ck、ik、ksi(如果有的话)。ue通过从目标sgsn到源mme的转发重定位响应、从源mme到源enb的重定位命令以及从enb到ue的切换命令来得到nas下行链路count值。目标sgsn和目标rnc还在彼此之间传送重定位请求和重定位请求确认(ack)。在3gppts33.401v14.1.0的第9.2.2.1节可以找到有关信令的更多信息。

在这种情况下，源mme不将在源eps/lte系统中使用的kasme或任何其他安全密钥传送给目标sgsn。源mme导出新的ck′和新的ik′，其中所述源mme将它们提供给目标sgsn。ck′和ik′提供1跳后向安全性。目标sgsn不知道在源eps/lte系统中使用的kasme。目标sgsn使用所接收的ck′和ik′，而不执行任何其他的密钥导出。在umts(目标rnc)中使用ck′和ik′，直到在utran中在nas层中发生新的重新认证为止。在utran中切换时，源mme知道在目标rnc中以及其他rnc中使用的ck′和ik′。

图8是3gpptr23.799v14.0.0中用于从5g切换到4g(即从ngs切换到eps/lte)的信令流的对应提议。简而言之，ngran决定(1)ue应该切换到e-utran。ngran向下一代核心(ngc)控制平面功能(cpf)通知(2)需要进行切换，其中所述ngccpf与前面提到的amf相对应。通知消息包括目标enbid、源到目标透明容器。ngccpf选择mme并向所选择的mme发送(3)重定位请求(目标enbid、源到目标透明容器、ngsue上下文)消息，所选择的mme将所接收的ngsue上下文转换(4)为epsue上下文。mme向服务网关(sgw)发送(5)创建会话请求(分组数据网络(pdn)连接信息，包括eps承载上下文)消息，并且sgw用创建会话响应(s1ul隧道信息)消息来响应(5)mme。mme还向e-utran发送(6)切换请求(源到目标透明容器、e-rab上下文，包括s1ul隧道信息)消息。e-utran向mme发送(6)切换请求确认(目标到源透明容器、用于pdu转发的s1dl隧道信息)消息。

如果e-utran提供了用于pdu转发的s1dl隧道信息，则mme请求(7)向sgw请求转发隧道创建。sgw响应(7)该转发隧道创建请求，包括用于pdu转发的sgw侧ngy隧道信息。

mme发送(8)对根据上述(3)发送的重定位请求消息的响应消息。响应消息包括目标到源透明容器，并且可以包括用于pdu转发的sgw侧ngy隧道信息。

如果重定位响应消息包括用于pdu转发的sgw侧ngy隧道信息，则ngccpf向ngc用户平面功能(upf)(如果可用的话，或者是端接upf(tupf)或者是非端接ngcupf)请求(9)转发隧道创建。该请求消息包括用于pdu转发的sgw侧ngy隧道信息。ngcupf使用用于pdu转发的ng3ul隧道信息来响应(9)ngccpf。

ngccpf向ngran发送(10)切换命令(目标到源透明容器、用于pdu转发的ng3ul隧道信息)消息，所述ngran命令(11)ue切换到e-utran。ue从ngran分离并与e-utran同步。ngran使用用于pdu转发的ng3ul隧道信息将来自ngcupf的pdu转发给ngcupf，ngcupf使用用于pdu转发的sgw侧ngy隧道信息将pdu转发给sgw，并且sgw使用用于pdu转发的s1dl隧道信息将pdu转发给e-utran。

ue确认(12)切换到e-utran。e-utran向mme通知(13)ue被切换到e-utran。通知消息包括s1dl隧道信息。mme向sgw发送(14)修改承载请求(s1dl隧道信息)消息，所述sgw向ngccpf发送(15)修改承载请求(eps承载上下文，包括ngydl隧道信息)消息。ngccpf向tupf请求(16)会话修改。tupf从ngccpf接收(16)eps承载上下文，包括ngydl隧道信息。ngccpf从tupf获得(16)每个承载的ngyul隧道信息。ngccpf向sgw发送(17)修改承载响应(每个承载的ngyul隧道信息)消息。sgw用每个承载的ngyul隧道信息替换(18)上面所接收的ngyul隧道信息。

实施例涉及在源5g无线通信系统(即，ngs)的源核心网络中(例如amf中)计算要在从源5g无线通信系统到目标4g无线通信系统(即eps/lte)的交互切换中使用的新的安全密钥。实施例还实现新计算的安全密钥到eps/lte中的目标核心网络(例如mme)的传送。

本文使用的“源”指示用户设备当前连接到的无线通信系统或其实体，而本文使用的“目标”表示用户设备在切换完成后将连接到的无线通信系统或其实体。因此，发生从源到目标的切换。

实施例尤其适用于当用户设备处于连接状态时，允许从源无线通信系统(例如ngs)切换到目标无线通信系统(例如eps/lte)。

通常存在两种用户设备状态或模式，即空闲状态或模式以及连接状态或模式。当用户设备没有任何数据要发送时，称其处于空闲状态或模式，而当正在发送数据或正在进行通信时，则称用户设备处于连接状态或模式。

从源5g无线通信系统到目标4g无线通信系统的切换可以被定义为从ngs到eps/lte的切换。还可以将所述切换定义为从源核心网络到目标核心网络的切换，即从ngs核心网络(或简称为ngc或ngcn)到epc的切换；或者从源ran到目标ran的切换，即从ngsran(或简称为ngran)到eps/lteran(即e-utran)的切换。

在实施例中，以如下方式来执行密钥导出和传送：防止或禁止目标核心网络(例如mme)得到在源核心网络中(例如在amf中)使用的安全密钥的任何知识。在特定实施例中，所提出的解决方案禁止epc中的目标核心网络(例如mme)得到在ngs中的源核心网络(例如amf)中使用并且还在ngran的所连接的基站或节点b(gnb)以及连接到amf的lteenb中使用的安全密钥的任何知识。

在实施例中，从源amf发送给目标mme的至少一个新的安全密钥提供1跳后向安全性。

在源5g无线通信系统中使用的安全密钥的非限制性但是说明性的示例包括在前述内容中讨论的图5中所示的密钥。具体地，优选地防止在目标4g无线通信系统处可用的这种5g安全密钥包括kseaf；kmmf(也被表示为kamf、kcn-mm或kcn)；knas密钥(例如knasenc、knasint)；以及nas机密性密钥和完整性密钥(nas-ck、nas-ik)。

在实施例中，该解决方案防止或禁止ngs中的源核心网络(例如，amf)获得在epc中的目标核心网络(例如，mme和连接到mme的lteenb)中使用的安全密钥的任何知识。这提供了前向安全性。如果没有通过源无线通信系统发送用于在mme中导出新的安全密钥的所谓的4g新鲜度参数(例如发送给源amf和源gnb)，则该实施例是可能的。与之形成明显对比，4g新鲜度参数在目标核心网络(例如mme)和用户设备处都是已知的。因此，在该特定实施例中，不需要将4g新鲜度参数从mme传送给用户设备。

现在将参考特定实现示例更详细地描述实施例。

在实施例中，从源核心网络处可用的5g密钥导出在本文被表示为第一4g主密钥或4g主密钥′的新的密钥。在具体实施例中，从源核心网络处可用的5g密钥和在该源核心网络处可用、导出或生成的5g新鲜度参数导出4g主密钥′。

在具体实施例中，4g主密钥′是256比特的4g主密钥′。

作为非限制性但是说明性的示例，5g新鲜度参数可以是随机数、计数器值或标识。在具体实施例中，5g新鲜度参数是计数器值，例如nascount值。在用户设备处于连接状态的情况下，nascount值优选地是nas下行链路count值。

在第一实现示例中，使用5g新鲜度参数从kcn导出4g主密钥′。例如，4g主密钥′＝f(kcn，5g新鲜度参数)。在具体示例中，4g主密钥′＝kdf(kcn，新的fc数||5g新鲜度参数)。

在第二实现示例中，使用5g新鲜度参数从kcn-mm导出4g主密钥′。例如，4g主密钥′＝f(kcn-mm，5g新鲜度参数)。在具体示例中，4g主密钥′＝kdf(kcn-mm，新的fc数||5g新鲜度参数)。

在第三实现示例中，使用5g新鲜度参数从kmmf导出4g主密钥′。例如，4g主密钥′＝f(kmmf，5g新鲜度参数)。在具体示例中，4g主密钥′＝kdf(kmmf，新的fc数||5g新鲜度参数)。

在第四实现示例中，使用5g新鲜度参数从kamf导出4g主密钥′。例如，4g主密钥′＝f(kamf，5g新鲜度参数)。在具体示例中，4g主密钥′＝kdf(kamf，新的fc数||5g新鲜度参数)。

在第五实现示例中，使用5g新鲜度参数从kseaf导出4g主密钥′。例如，4g主密钥′＝f(kseaf，5g新鲜度参数)。在具体示例中，4g主密钥′＝kdf(kseaf，新的fc数||5g新鲜度参数)。

在实施例中，从5g密钥(例如kamf)和5g新鲜度参数(例如nas下行链路count值)导出第一4g主密钥，例如kasme、k′asme。

在实施例中，在源核心网络处(例如，在源核心网络中实现的核心网络节点或实体或功能处)导出4g主密钥′。在具体实施例中，由源无线通信网络内的源核心网络的管理移动性的实体或功能导出4g主密钥′。该实体或功能优选地是先前提到的amf，其在本领域中也被称为mmf和cn-mm。

在实施例中，源核心网络(例如，管理移动性的实体或功能，例如amf)将4g主密钥′转发或发送给目标核心网络，并且优选地转发或发送给目标无线通信网络内的目标核心网络中管理移动性的实体或功能。该实体或功能优选地是先前提到的mme。

在实施例中，源核心网络(例如，源核心网络中的管理移动性的实体或功能，例如amf)不应将5g新鲜度参数暴露给目标核心网络(例如，目标核心网络中管理移动性的实体或功能，例如mme)。

在实施例中，源核心网络(例如，管理移动性的实体或功能，例如amf)将5g新鲜度参数转发或发送给用户设备。这种5g新鲜度参数到用户设备的传输优选地涉及源ran，例如源ran的gnb。在这种情况下，5g新鲜度参数不被暴露给目标无线通信系统。

在实施例中，在目标核心网络处从4g主密钥′导出在本文被表示为第二4g主密钥或4g主密钥″的新的密钥。在具体实施例中，从所接收的4g主密钥′和在目标核心网络处可用、导出或生成的4g新鲜度参数导出4g主密钥″。

在具体实施例中，4g主密钥″是256比特的4g主密钥″。

作为非限制性但是说明性的示例，4g新鲜度参数可以是随机数、计数器值、标识、静态标识或静态参数。在具体实施例中，5g新鲜度参数是计数器值，例如nascount值(例如nas上行链路count值)。

在实施例中，从诸如kasme、k′asme等的第一4g主密钥和诸如nas上行链路count值等的4g新鲜度参数导出诸如kenb等的第二4g主密钥。

在另一实施例中，从诸如kasme、k′asme等的第一4g主密钥和诸如计数器值等的4g新鲜度参数导出诸如k′asme或k″asme等的第二4g主密钥。

在实现示例中，使用4g新鲜度参数从接收自源核心网络(例如，源无线通信网络内的源核心网络的管理移动性的实体或功能，例如amf)的4g主密钥′导出4g主密钥″。例如，4g主密钥″＝f(4g主密钥′，4g新鲜度参数)。在具体示例中，4g主密钥″＝kdf(4g主密钥′，新的fc数||4g新鲜度参数)。

在上面给出的实现示例中，f(.)是基于输入密钥(例如，kcn、kcn-mm、kmmf、kamf、kseaf或4g主密钥′)和新鲜度参数(例如，5g新鲜度参数或4g新鲜度参数)导出4g主密钥(例如，4g主密钥′或4g主密钥″)的功能。kdf表示密钥导出函数，||表示并置，并且fc数优选地是用于区分密钥导出算法的不同实例的单个八比特字节。

在实施例中，用户设备从用户设备处可用的5g密钥导出4g主密钥′。在具体实施例中，从用户设备处可用的5g密钥和从接收自或源自源核心网络(例如，源无线通信网络内的管理移动性的实体或功能，例如amf)的5g新鲜度参数导出4g主密钥′。用户设备优选地还从所导出的4g主密钥′导出4g主密钥″。在具体实施例中，用户设备从所导出的4g主密钥′和4g新鲜度参数导出4g主密钥″。

在这些实施例中，用于导出4g主密钥的5g密钥′在源核心网络(例如，在源无线通信网络内的管理移动性的实体或功能，例如amf)和用户设备二者处可用，见图5。

根据各种实施例，用户设备可以提供或获得4g新鲜度参数。

在第一实施例中，4g新鲜度参数是目标核心网络(例如，目标无线通信网络内的管理移动性的实体或功能，例如目标mme)和用户设备已知的。在该实施例中，因此不必通过源无线通信系统(即，通过源核心网络(例如源amf)和源ran(例如源gnb))将4g新鲜度参数发送给用户设备。例如，4g新鲜度参数可以是一些静态信息，例如，静态标识或静态参数，其在进一步的切换时不发生变化。

在第二实施例中，目标核心网络(例如，目标无线通信网络内的管理移动性的实体或功能，例如目标mme)将4g新鲜度参数发送或转发给用户设备。在这种情况下，目标mme可以经由源核心网络(例如，源无线通信网络内的管理移动性的实体或功能，例如源amf)并且然后经由源ran(例如gnb)将4g新鲜度参数发送给用户设备。在另一种情况下，例如，如果目标enb将4g新鲜度参数包括在透明容器(其被传送回到目标mme，并且然后进一步被传送给源amf和源gnb)中，则经由目标ran(例如目标enb)发送4g新鲜度参数。

图9示出了在图8中的切换完成之前的初始信令以及来自amf的附加信令。

因此，在实现示例中，amf(在图9中被表示为ngccpf)提供5g新鲜度参数，并且优选地基于从ngran接收到需要进行切换的通知消息导出、计算或生成4g主密钥′。

amf还将4g主密钥′发送给目标mme。该4g主密钥′优选地被包括在从amf发送给由amf选择的目标mme的重定位请求中。在这种情况下，除了目标enbid、源到目标透明容器以及ngsue上下文之外，重定位请求还可以包括4g主密钥′。在替代实施例中，在与重定位请求分离的另一消息中将4g主密钥′发送给目标mme。

amf优选地还将5g新鲜度参数发送给用户设备。5g新鲜度参数优选地被包括在从amf发送给ngran并且还发送给用户设备的切换命令中。在这种情况下，除了目标到源透明容器和用于pdu转发的ng3ul隧道信息之外，切换命令还可以包括5g新鲜度参数。在替换实施例中，在与切换命令分离的另一消息中将5g新鲜度参数发送给用户设备。

图10示出了根据实施例的用于从ngs切换到eps/lte的信令流，涉及从目标mme向用户设备发送4g新鲜度参数。

ngran(在该图中由源gnb表示)决定ue应该切换到eps/lte和e-utran。ngran向ngccpf(在该图中由源amf表示)通知需要进行切换。源amf使用5g新鲜度参数从5g密钥(例如，kcn、kcn-mm、kmmf、kamf或kseaf)导出新的4g主密钥′。amf选择目标mme并向该mme发送包括4g主密钥′和ue5gs安全性能力在内的重定位请求。重定位请求通常还包括用于标识相关ue的国际移动订户身份(imsi)。

目标mme使用4g新鲜度参数从接收自源amf的4g主密钥′导出新的4g主密钥″。目标mme还从4g主密钥″导出kenb。在另一实施例中，4g主密钥″是kenb。目标mme向e-utran(在该图中由目标enb表示)发送切换请求。切换请求包括kenb和4g新鲜度参数。切换请求通常还包括所允许的as完整性和加密算法的信息。在实施例中，4g新鲜度参数被包括在nas安全容器中，该nas安全容器对于目标ran(即e-utran)是透明的。目标enb将切换请求确认(ack)发送给目标mme。该切换请求确认包括具有nas安全参数的目标到源透明容器，该nas安全参数包括4g新鲜度参数。因此，目标到源透明容器优选地包括先前所接收的nas安全容器。

目标mme响应于先前所接收的重定位请求消息，向源amf发送重定位响应消息。重定位响应消息包括具有nas安全参数的目标到源透明容器，该nas安全参数例如在nas安全容器中包括4g新鲜度参数。源amf向源gnb发送切换命令。切换命令包括具有nas安全参数的目标到源透明容器，所述nas安全参数例如在nas安全容器中包括4g新鲜度参数。切换命令(列如切换命令中的目标到源透明容器)还包括源amf所包括的5g新鲜度参数。源gnb将切换命令转发给ue。因此，从源gnb发送给ue的切换命令包括5g新鲜度参数，并且在所示实施例中，还包括4g新鲜度参数。

ue使用切换命令中所包括的5g新鲜度参数来基于5g密钥导出4g主密钥′，例如从kcn、kcn-mm、kmmf、kamf或kseaf导出4g主密钥′。在该实施例中，ue还使用在切换命令中接收的4g新鲜度参数来从4g主密钥′导出4g主密钥″。

ue还可以可选地从4g主密钥″计算kenb，或者备选地，4g主密钥″是kenb。在这种情况下，ue和目标enb二者都可以得到kenb密钥的相应副本。

ue从ngran和源gnb分离并且同步到e-utran和目标enb。ue利用切换完成消息来确认切换到目标enb。目标enb利用切换完成消息来向目标mme通知ue被切换到e-utran和目标enb。

在图10中所示的信令流的变体中，不将4g新鲜度参数包括在从目标mme发送给目标enb的切换请求中。因此，4g新鲜度参数不被包括在目标enb响应于切换请求而发送的切换请求确认中。

在图10中所示的信令流的另一变体中，4g新鲜度参数对于目标mme和ue两者都是已知的。例如，4g新鲜度参数可以是在不同切换场合之间不发生变化的一些静态信息。在这种变体中，4g新鲜度参数不被包括在切换请求、切换请求确认、重定位响应中，也不被包括在切换命令中。

在图10中，ngsran由ngsnodeb(其被表示为gnb)表示。在ngs中，eps/lteenb也可以连接到ngs核心网络，例如amf。在这样的实施例中，eps/lteenb替换图10中的源gnb。

因此，在实施例中，ngs中的源amf使用5g新鲜度从存储在源amf处或以其他方式在源amf处可用的5g密钥(kcn、kcn-mm、kmmf、kamf或kseaf)导出新的4g主密钥′。源amf将新的4g主密钥′发送给eps/lte中的目标mme。源amf还将5g新鲜度参数发送给ue。

在实施例中，目标mme使用4g新鲜度参数从接收自源amf的4g主密钥′导出新的4g主密钥″。目标mme使用新的4g主密钥″，并且可以从4g主密钥″进一步导出nas密钥和as密钥，例如，knasenc、knasint和/或kenb，参见图4。另外，在实施例中，导出自4g主密钥′或作为4g主密钥′的kenb进而可以用于导出up密钥(例如kupint、kupenc)和/或rrc密钥(例如krrcint、krrcenc)。

如前所述，ue可以根据各种实施例得到4g新鲜度参数的信息。在第一实施例中，4g新鲜度参数对于目标mme和ue是已知的，并且不通过源无线通信系统(例如，不通过源amf和源gnb)发送。4g新鲜度参数可以是在其他的切换中不发生变化的一些静态信息。在第二实施例中，目标mme向ue发送4g新鲜度参数，可选地经由目标enb并且经由源amf然后经由源gnb向ue发送4g新鲜度参数。

实施例的一方面涉及与用户设备从源无线通信系统到目标无线通信系统的切换相结合的密钥管理方法。该方法包括：基于i)在源5g无线通信系统(例如ngs)的核心网络处和用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)以及ii)5g新鲜度参数导出第一4g主密钥，例如4g主密钥′。该方法还包括：将第一4g主密钥转发给目标4g无线通信系统(例如eps/lte)的核心网络，以便能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥，例如4g主密钥″。该方法还包括：将5g新鲜度参数转发给用户设备，使得能够基于5g密钥和5g新鲜度参数导出第一4g主密钥，并且能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

因此，该密钥管理方法使得用户设备能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)与目标4g无线通信系统的无线电接入网络安全地通信，和/或能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，knasint和/或knasenc)与目标4g无线通信系统的核心网络安全地通信。

在实施例中，该密钥管理方法与处于连接状态的用户设备的切换相结合地执行。在具体实施例中，该密钥管理方法与处于与源5g无线通信系统的连接状态的用户设备的切换相结合地执行。

在实施例中，该方法包括基于接收到指示需要进行切换的通知消息来生成5g新鲜度参数。

在具体实施例中，从源5g无线通信系统的无线电接入网络(ran)接收通知消息，例如，从源5g无线通信系统的源ran节点(例如源gnb)接收通知消息。在实施例中，通知消息可选地包括目标4g无线通信系统的目标ran节点(例如目标enb)的标识符和/或源到目标透明容器。

在实施例中，导出第一4g主密钥包括：基于5g密钥和5g新鲜度参数，利用密钥导出函数导出、计算或生成第一4g主密钥。在具体实施例中，导出第一4g主密钥包括：基于5g密钥以及fc数与5g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kseaf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kamf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kmmf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kcn和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kcn-mm和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于5g密钥和5g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，导出第一4g主密钥包括：源5g无线通信系统的核心网络的移动性管理实体或功能基于5g密钥和5g新鲜度参数导出第一4g主密钥。在具体实施例中，移动性管理实体或功能是amf或包括移动性管理功能的核心网络节点。

在具体实施例中，将5g新鲜度参数转发给用户设备包括：经由源5g无线通信系统的核心网络的源移动性管理实体或功能(例如源amf)将5g新鲜度参数转发给用户设备。

在另一具体实施例中，该方法包括从源5g无线通信系统的核心网络的源移动性管理实体或功能(例如源amf)接收5g新鲜度参数。

在另一具体实施例中，导出第一4g主密钥包括：响应于来自源5g无线通信系统的核心网络的源移动性管理实体或功能(例如源amf)的密钥生成请求，基于5g密钥和5g新鲜度参数导出第一4g主密钥。

在实施例中，将第一4g主密钥转发给目标4g无线通信系统的核心网络包括：将第一4g主密钥转发给目标4g无线通信系统的核心网络的目标移动性管理实体或功能(例如目标mme)。

在具体实施例中，将第一4g主密钥转发给目标4g无线通信系统的核心网络包括：将包括第一4g主密钥在内的重定位请求消息转发给目标4g无线通信系统的核心网络。重定位请求消息可选地还包括目标4g无线通信系统的目标ran节点(例如目标enb)的标识符、源到目标透明容器和/或5gue上下文(例如5gue安全性能力)。

在实施例中，将5g新鲜度参数转发给用户设备包括：经由源5g无线通信系统的无线电接入网络(例如经由gnb)将5g新鲜度参数转发给用户设备。

在实施例中，该方法包括：从目标4g无线通信系统的核心网络接收包括4g新鲜度参数在内的重定位响应消息。在具体实施例中，重定位响应消息还可选地包括目标到源透明容器。

在实施例中，将5g新鲜度参数转发给用户设备包括：将包括5g新鲜度参数在内的切换命令转发给用户设备。在具体实施例中，切换命令可选地包括4g新鲜度参数。在替代或附加的具体实施例中，切换命令可选地包括目标到源透明容器、用于pd转发的ng3ul隧道信息和/或nas安全参数。

上述实施例优选地在源5g无线通信系统的核心网络的密钥和/或移动性管理实体或功能中执行，例如在包括这样的密钥和/或移动性管理实体或功能的核心网络节点(例如，在amf或包括amf的核心网络节点)中执行。

实施例的另一方面涉及与用户设备从源无线通信系统到目标无线通信系统的切换相结合的密钥管理方法。该方法包括：在目标4g无线通信系统(例如，eps/lte)的核心网络处从源5g无线通信系统(例如ngs)的核心网络接收第一4g主密钥(例如4g主密钥′)，其中所述第一4g主密钥是基于i)在源5g无线通信系统的核心网络处和用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)以及ii)5g新鲜度参数导出的。该方法还包括：基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。

因此，该密钥管理方法使得用户设备能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)与目标4g无线通信系统的无线电接入网络安全地通信，和/或能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，knasint和/或knasenc)与目标4g无线通信系统的核心网络安全地通信。

在实施例中，该密钥管理方法与处于连接状态的用户设备的切换相结合地执行。在具体实施例中，该密钥管理方法与处于与源5g无线通信系统的连接状态的用户设备的切换相结合地执行。

在实施例中，该方法包括：基于接收到第一4g主密钥来生成4g新鲜度参数。

在实施例中，导出第二4g主密钥包括：基于第一4g主密钥和4g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，导出第二4g主密钥包括：基于第一4g主密钥和4g新鲜度参数，利用密钥导出函数导出、计算或生成第二4g主密钥。在具体实施例中，导出第二4g主密钥包括：基于第一4g主密钥以及fc数与4g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第二4g主密钥。

在实施例中，导出第二4g主密钥包括：目标4g无线通信系统的核心网络的移动性管理实体或功能基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。在具体实施例中，移动性管理实体或功能是mme或包括移动性管理功能的核心网络节点。

在实施例中，接收第一4g主密钥包括：从源5g无线通信系统的核心网络接收包括第一4g主密钥在内的重定位请求消息。重定位请求消息可选地还包括目标4g无线通信系统的目标ran节点(例如目标enb)的标识符、源到目标透明容器和/或5gue上下文(例如5gue安全性能力)。

在实施例中，该方法还包括：将第二4g主密钥或从第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)转发给目标4g无线通信系统的无线电接入网络。

在另一实施例中，该方法包括：将第二4g主密钥或从第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)和4g新鲜度参数转发给目标4g无线通信系统的无线电接入网络。

在具体实施例中，转发第二4g主密钥包括：将包括从第二4g主密钥导出的密钥在内并且可选地包括4g新鲜度参数在内的切换请求消息转发给目标4g无线通信系统的无线电接入网络。在具体实施例中，切换请求可选地包括源到目标透明容器、e-rab上下文(可选地包括s1ul隧道信息)和/或所允许的as完整性和加密算法。

在另一具体实施例中，该方法还包括：从目标4g无线通信系统的无线电接入网络接收包括4g新鲜度参数在内的切换请求确认。在具体实施例中，切换请求确认可选地包括目标到源透明容器、用于pdu转发的s1dl隧道信息和/或nas安全参数。

在实施例中，该方法还包括：将4g新鲜度参数转发给用户设备。

在具体实施例中，将4g新鲜度参数转发到用户设备包括：经由源5g无线通信系统的核心网络和无线电接入网络将4g新鲜度参数转发给用户设备。

在另一具体实施例中，将4g新鲜度参数转发给用户设备包括：将包括4g新鲜度参数在内的重定位响应消息发送给源5g无线通信系统的核心网络，源5g无线通信系统的核心网络基于重定位响应消息来编译包括4g新鲜度参数在内的切换命令，并经由源5g无线通信系统的无线电接入网络将切换命令转发给用户设备。在具体实施例中，重定位响应消息还可选地包括目标到源透明容器。

上述实施例优选地在目标4g无线通信系统的核心网络的密钥和/或移动性管理实体或功能中执行，例如在包括这样的密钥和/或移动性管理实体或功能的核心网络节点(例如，mme或包括mme的核心网络节点)中执行。

实施例的另一方面涉及与用户设备从源无线通信系统到目标无线通信系统的切换相结合的密钥管理方法。该方法包括：基于在用户设备处和源5g无线通信系统(例如ngs)的核心网络处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm、kamf)和源自源5g无线通信系统的核心网络的5g新鲜度参数导出第一4g主密钥(例如4g主密钥′)。该方法还包括：基于第一4g主密钥和在目标4g无线通信系统的核心网络处可用的4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。

因此，该密钥管理方法使得用户设备能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)与目标4g无线通信系统的无线电接入网络安全地通信，和/或能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，knasint和/或knasenc)与目标4g无线通信系统的核心网络安全地通信。

在实施例中，该密钥管理方法与处于连接状态的用户设备的切换相结合地执行。在具体实施例中，该密钥管理方法与处于与源5g无线通信系统的连接状态的用户设备的切换相结合地执行。

在实施例中，导出第一4g主密钥包括：基于5g密钥和5g新鲜度参数，利用密钥导出函数导出、计算或生成第一4g主密钥。在具体实施例中，导出第一4g主密钥包括：基于5g密钥以及fc数与5g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kseaf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kamf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kmmf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kcn和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于kcn-mm和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，导出第一4g主密钥包括：基于5g密钥和5g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，导出第二4g主密钥包括：基于第一4g主密钥和4g新鲜度参数，利用密钥导出函数导出、计算或生成第二4g主密钥。在具体实施例中，导出第二4g主密钥包括：基于第一4g主密钥以及fc数与4g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第二4g主密钥。

在实施例中，导出第二4g主密钥包括：基于第一4g主密钥和4g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，该方法还包括：从源5g无线通信系统的无线电接入网络(例如从gnb)接收5g新鲜度参数。在另一实施例中，该方法还包括：从源5g无线通信系统的无线电接入网络(例如从gnb)接收5g新鲜度参数和4g新鲜度参数。

在特定实施例中，接收5g新鲜度参数包括：接收包括5g新鲜度参数和可选地4g新鲜度参数的切换命令。在另一具体实施例中，切换命令可选地还包括目标到源透明容器和/或nas安全参数。

在实施例中，该方法包括：从用户设备处的存储设备提供4g新鲜度参数。

在实施例中，该方法包括：基于第二4g主密钥导出至少一个nas密钥，例如knasint和/或knasenc。

在实施例中，该方法包括：基于第二4g主密钥导出kenb。在可选实施例中，该方法还包括：基于从第二4g主密钥导出或作为第二4g主密钥的kenb，导出kupint、kupenc、krrcint和krrcenc中的至少一个。

优选地，在用户设备的密钥和/或移动性管理实体或功能中执行上述实施例。

在实施例中，5g密钥在源5g无线通信系统的核心网络处和用户设备处可用，但在目标4g无线通信系统的核心网络处不可用。

在实施例中，5g新鲜度参数在目标4g无线通信系统的核心网络处不可用。

在实施例中，4g新鲜度参数在源5g无线通信系统的核心网络处不可用。

在实施例中，5g新鲜度参数是计数器值。

实施例的又一方面涉及密钥管理装置。在实施例中，该密钥管理装置被配置为：基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)和ii)5g新鲜度参数导出第一4g主密钥，例如4g主密钥′。该密钥管理装置还被配置为：将第一4g主密钥转发给目标4g无线通信系统的核心网络，以便能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。该密钥管理装置还被配置为：将5g新鲜度参数转发给用户设备，以便能够基于5g密钥和5g新鲜度参数导出第一4g主密钥，并且能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

因此，该密钥管理装置使得用户设备能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)与目标4g无线通信系统的无线电接入网络安全地通信，和/或能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，knasint和/或knasenc)与目标4g无线通信系统的核心网络安全地通信。

该密钥管理装置可以在移动性管理装置中实现或构成移动性管理装置的一部分。例如，该密钥管理装置可以构成或形成amf、mmf或cn-mm实体的一部分。在任一种情况下，该密钥管理装置或移动性管理装置优选地在适合于与5g无线通信系统相结合地操作的网络单元中实现。网络单元可以是但不限于网络设备或网络节点。在具体实施例中，该密钥管理装置或移动性管理装置被包括在5g无线通信系统的核心网络节点中或被分布在5g无线通信系统的多个核心网络节点中。

网络设备可以是与5g无线通信系统(包括5g无线通信系统的核心网络)相关定位的任何设备。术语“网络设备”还可以包括基于计算机的网络设备，例如用于在基于云的环境中实现的基于云的网络设备。网络节点可以是5g无线通信系统中的任何网络节点，尤其可以是核心网络中的网络节点。

在实施例中，该密钥管理装置被配置为：基于接收到指示需要进行切换的通知消息来生成5g新鲜度参数。

在实施例中，该密钥管理装置被配置为：基于5g密钥和5g新鲜度参数，利用密钥导出函数导出、计算或生成第一4g主密钥。在具体实施例中，该密钥管理装置被配置为：基于5g密钥以及fc数与5g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kseaf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kamf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kmmf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kcn和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kcn-mm和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于5g密钥和5g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，该密钥管理装置被配置为：从源5g无线通信系统的核心网络的源移动性管理实体或功能(例如源amf)接收5g新鲜度参数。

在实施例中，该密钥管理装置被配置为：响应于来自源5g无线通信系统的核心网络的源移动性管理实体或功能(例如源amf)的密钥生成请求，基于5g密钥和5g新鲜度参数导出第一4g主密钥。

在实施例中，该密钥管理装置被配置为：将第一4g主密钥转发给目标4g无线通信系统的核心网络的目标移动性管理实体或功能(例如目标mme)。

在具体实施例中，该密钥管理装置被配置为：将包括第一4g主密钥在内的重定位请求消息转发给目标4g无线通信系统的核心网络。

在实施例中，该密钥管理装置被配置为：经由源5g无线通信系统的无线电接入网络(例如经由gnb)将5g新鲜度参数转发给用户设备。

在实施例中，该密钥管理装置被配置为：从目标4g无线通信系统的核心网络接收包括4g新鲜度参数在内的重定位响应消息。

在实施例中，该密钥管理装置被配置为：将包括5g新鲜度参数在内的切换命令转发给用户设备。在具体实施例中，切换命令可选地包括4g新鲜度参数。

实施例的另一方面涉及密钥管理装置。该密钥管理装置被配置为：从源5g无线通信系统(例如ngs)的核心网络接收第一4g主密钥(例如4g主密钥′)，其中所述第一4g主密钥是基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)和ii)5g新鲜度参数导出的。该密钥管理装置还被配置为：基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。

因此，该密钥管理装置使得用户设备能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)与目标4g无线通信系统的无线电接入网络安全地通信，和/或能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，knasint和/或knasenc)与目标4g无线通信系统的核心网络安全地通信。

网络设备可以是与4g无线通信系统(包括4g无线通信系统的核心网络)相关定位的任何设备。术语“网络设备”还可以包括基于计算机的网络设备，例如用于在基于云的环境中实现的基于云的网络设备。网络节点可以是4g无线通信系统中的任何网络节点，尤其可以是核心网络中的网络节点。

该密钥管理装置可以在移动性管理装置中实现或构成移动性管理装置的一部分。例如，该密钥管理装置可以构成或形成mme实体的一部分。在任一情况下，该密钥管理装置或移动性管理装置优选地在适合于与4g无线通信系统相结合地操作的网络单元中实现。网络单元可以是但不限于网络设备或网络节点。在具体实施例中，该密钥管理装置或移动性管理装置被包括在4g无线通信系统的核心网络节点中或被分布在4g无线通信系统的多个核心网络节点中。

在实施例中，该密钥管理装置被配置为：基于接收到第一4g主密钥来生成4g新鲜度参数。

在实施例中，该密钥管理装置被配置为：基于第一4g主密钥和4g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，该密钥管理装置被配置为：基于第一4g主密钥和4g新鲜度参数，利用密钥导出函数导出、计算或生成第二4g主密钥。在具体实施例中，该密钥管理装置被配置为：基于第一4g主密钥以及fc数与4g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第二4g主密钥。

在实施例中，该密钥管理装置被配置为从：源5g无线通信系统的核心网络接收包括第一4g主密钥在内的重定位请求消息。

在实施例中，该密钥管理装置被配置为：将第二4g主密钥或从第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)转发给目标4g无线通信系统的无线电接入网络。

在另一实施例中，该密钥管理装置被配置为：将第二4g主密钥或从第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)和4g新鲜度参数转发给目标4g无线通信系统的无线电接入网络。

在具体实施例中，该密钥管理装置被配置为：将包括从第二4g主密钥导出的密钥在内并且可选地包括4g新鲜度参数在内的切换请求消息转发给目标4g无线通信系统的无线电接入网络。

在另一具体实施例中，该密钥管理装置被配置为：从目标4g无线通信系统的无线电接入网络接收包括4g新鲜度参数在内的切换请求确认。

在实施例中，该密钥管理装置被配置为：将4g新鲜度参数转发给用户设备。

实施例的另一方面涉及密钥管理装置。在实施例中，该密钥管理装置被配置为：基于i)在要从源5g无线通信系统(例如ngs)切换到目标4g无线通信系统(例如eps/lte)的用户设备处和源5g无线通信系统的核心网络处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm、kamf)和ii)源自源5g无线通信系统的核心网络的5g新鲜度参数导出第一4g主密钥(例如4g主密钥′)。该密钥管理装置还被配置为：基于第一4g主密钥和在目标4g无线通信系统的核心网络处可用的4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。

因此，该密钥管理装置使得用户设备能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，kenb、kupint、kupenc、krrcint和/或krrcenc)与目标4g无线通信系统的无线电接入网络安全地通信，和/或能够使用第二4g主密钥或基于第二4g主密钥导出的密钥(例如，knasint和/或knasenc)与目标4g无线通信系统的核心网络安全地通信。

该密钥管理装置可以在移动性管理装置中实现或构成移动性管理装置的一部分。在任一情况下，密钥管理装置或移动性管理装置优选地在用户设备中实现。

用户设备(ue)可以指移动电话、蜂窝电话、智能电话、配备有无线电通信能力的个人数字助理(pda)、配备有内部或外部的移动宽带调制解调器的膝上型电脑或个人计算机(pc)、具有无线电通信能力的平板计算机、目标设备、设备到设备ue、机器类型的ue或支持机器到机器通信的ue、客户住宅设备(cpe)、膝上型嵌入式设备(lee)、膝上型安装式设备(lme)、usb加密狗、便携式电子无线电通信设备、配备有无线电通信能力的传感器设备等。具体地，术语“用户设备”应该被解释为包括与无线通信系统中的网络节点通信的任何类型的无线设备在内的非限制性术语。换句话说，无线通信设备可以是配备有用于在5g和4g无线通信系统(例如ngs和eps/lte)中的无线通信的电路的任何设备。

在实施例中，该密钥管理装置被配置为：基于5g密钥和5g新鲜度参数，利用密钥导出函数导出、计算或生成第一4g主密钥。在具体实施例中，密钥管理装置被配置为：基于5g密钥以及fc数与5g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kseaf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kamf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kmmf和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kcn和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于kcn-mm和5g新鲜度参数导出、计算或生成第一4g主密钥。

在实施例中，该密钥管理装置被配置为：基于5g密钥和5g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，该密钥管理装置被配置为：基于第一4g主密钥和4g新鲜度参数，利用密钥导出函数导出、计算或生成第二4g主密钥。在具体实施例中，该密钥管理装置被配置为：基于第一4g主密钥以及fc数与4g新鲜度参数的并置，利用密钥导出函数导出、计算或生成第二4g主密钥。

在实施例中，该密钥管理装置被配置为：基于第一4g主密钥和4g新鲜度参数导出、计算或生成256比特的4g主密钥。

在实施例中，该密钥管理装置被配置为：从源5g无线通信系统的无线电接入网络(例如，从gnb接收)接收5g新鲜度参数。在另一实施例中，该密钥管理装置被配置为：从源5g无线通信系统的无线电接入网络(例如，从gnb)接收5g新鲜度参数和4g新鲜度参数。

在特定实施例中，该密钥管理装置被配置为：接收包括5g新鲜度参数在内并且可选地包括4g新鲜度参数在内的切换命令。

在实施例中，该密钥管理装置被配置为：从用户设备处的存储设备提供4g新鲜度参数。

在实施例中，该密钥管理装置被配置为：基于第二4g主密钥导出至少一个nas密钥，例如knasint和/或knasenc。

在实施例中，该密钥管理装置被配置为：基于第二4g主密钥导出kenb。在可选实施例中，该密钥管理装置被配置为：基于从第二4g主密钥导出或作为第二4g主密钥的kenb，导出kupint、kupenc、krrcint和krrcenc中的至少一个。

应当理解，本文描述的方法和装置可以以各种方式实现、组合和重新布置。

例如，实施例可以用硬件、或用由合适的处理电路执行的软件、或其组合来实现。

本文所述的步骤、功能、过程、模块和/或框可以使用任何常规技术在硬件中实现，例如使用分立电路或集成电路技术，包括通用电子电路和专用电路二者。

备选地，或者作为补充，本文描述的步骤、功能、过程、模块和/或块中的至少一些可以在软件中实现，例如由合适的处理电路(例如一个或多个处理器或处理单元)来执行的计算机程序。

处理电路的示例包括但不限于：一个或多个微处理器、一个或多个数字信号处理器(dsp)、一个或多个中央处理单元(cpu)、视频加速硬件、和/或任意合适的可编程逻辑电路，例如一个或多个现场可编程门阵列(fpga)或者一个或多个可编程逻辑控制器(plc)。

还应当理解，可以重新使用实现所提出技术的任何常规设备或单元的通用处理能力。也可以例如通过对现有软件进行重新编程或添加新的软件组件重新使用现有的软件。

图11是示出了根据实施例的基于处理器-存储器实现的密钥管理装置100的示例的示意框图。在该具体示例中，密钥管理装置100包括处理器101和存储器102。存储器102包括处理器102可执行的指令，由此处理器可操作以执行本文描述的功能。

可选地，密钥管理装置100还可以包括通信电路103。通信电路103可以包括用于与无线通信系统中的其他设备和/或网络节点进行有线和/或无线通信的功能。在具体示例中，通信电路103可以基于用于与一个或多个其他节点进行通信(包括发送和/或接收信息)的无线电电路。通信电路103可以与处理器101和/或存储器102互连。作为示例，通信电路103可以包括以下中的任何一个：接收机、发射机、收发机、输入/输出(i/o)电路、输入端口和/或输出端口。

图12是示出了根据实施例的基于硬件电路实现的密钥管理装置110的另一示例的示意框图。合适的硬件电路的具体示例包括：一个或多个适当配置的或可能可重新配置的电子电路、专用集成电路(asic)、fpga或任何其他硬件逻辑，诸如基于互连的分立逻辑门和/或触发器的用以与合适的寄存器(reg)和/或存储单元(mem)一起执行专用功能的电路。

图13是示出了基于处理器122、123和硬件电路124、125两者结合合适的存储器单元121的组合的密钥管理装置120的又一示例的示意框图。密钥管理装置120包括一个或多个处理器122、123、包括用于软件(sw)和数据的存储设备的存储器121、以及硬件电路124、125的一个或多个单元。因此，整体功能在用于在一个或多个处理器122、123上执行的编程软件与一个或多个预配置的或可能可重新配置的硬件电路124、125之间划分。实际的硬件-软件划分可以由系统设计人员根据众多因素来决定，所述因素包括处理速度、实施成本和其他要求。

图14是示出了根据实施例的计算机实现200的示例的示意图。在该具体示例中，用计算机程序240来实现本文描述的步骤、功能、过程、模块和/或框中的至少一些，其中计算机程序240被加载到存储器220中，用于由包括一个或更多个处理器210的处理电路执行。处理器210和存储器220彼此互连，以实现正常的软件执行。可选的输入/输出(i/o)设备230还可以互连到处理器210和/或存储器20，以实现相关数据(例如，4g/5g新鲜度参数和/或4g主密钥′)的输入和/或输出。

术语“处理器”在一般意义上应被解释为能够执行程序代码或计算机程序指令以执行特定处理、确定或计算任务的任何系统或设备。

因此，包括一个或多个处理器210的处理电路被配置为：在执行计算机程序240时，执行例如本文描述的那些明确定义的处理任务。

处理电路不是必须专用于仅执行上述步骤、功能、过程和/或框，而是还可以执行其他任务。

在实施例中，计算机程序240包括指令，其中该指令当由至少一个处理器210执行时，使得至少一个处理器210执行本文描述的动作。

在具体实施例中，计算机程序240包括指令，其中该指令当由至少一个处理器210执行时，使至少一个处理器210：基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)和ii)5g新鲜度参数导出第一4g主密钥(例如4g主密钥′)。

在可选实施例中，还使至少一个处理器210：提供第一4g主密钥以发送给目标4g无线通信系统的核心网络，以便能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。在该实施例中，还使至少一个处理器210：提供5g新鲜度参数以发送给用户设备，以便能够基于5g密钥和5g新鲜度参数导出第一4g主密钥，并且能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

在另一具体实施例中，计算机程序240包括指令，其中该指令当由至少一个处理器210执行时，使至少一个处理器210：基于4g新鲜度参数和第一4g主密钥(例如4g主密钥′)导出第二4g主密钥(例如4g主密钥″)，其中所述第一4g主密钥源自源5g无线通信系统(例如ngs)的核心网络，并且是基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)和ii)5g新鲜度参数导出的。

在另一实施例中，计算机程序240包括指令，其中该指令当由至少一个处理器210执行时，使至少一个处理器210：基于i)在要从源5g无线通信系统(例如ngs)切换到目标4g无线通信系统(例如eps/lte)的用户没备处和源5g无线通信系统的核心网络处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm、kamf)和ii)源自源5g无线通信系统的核心网络的5g新鲜度参数导出第一4g主密钥(例如4g主密钥′)。还使至少一个处理器210基于第一4g主密钥和在目标4g无线通信系统的核心网络处可用的4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。

根据又一方面，提供了一种计算机程序产品，包括计算机可读介质，其中该计算机可读介质中存储有上述计算机程序240。

所提议的技术还提供载体250，载体250包括计算机程序240，其中，所述载体250是电子信号、光信号、电磁信号、磁信号、电信号、无线电信号、微波信号或计算机可读存储介质之一。

通过示例的方式，软件或计算机程序240可以实现为计算机程序产品，其通常在计算机可读介质250(具体地，非易失性介质)上承载或存储。计算机可读介质可包括一个或多个可移除或不可移除的存储设备，包括(但不限于)：只读存储器(rom)、随机存取存储器(ram)、高密度盘(cd)、数字多用途盘(dvd)、蓝光盘，通用串行总线(usb)存储器、硬盘驱动器(hdd)存储设备、闪存、磁带或任何其它常规存储设备。计算机程序240可以因此被加载到计算机或等效处理设备的操作存储器220中，用于由其处理电路210执行。

当由一个或多个处理器执行时，本文提出的方法步骤可以被认为是计算机处理。对应的密钥设置装置可以被定义为一组功能模块，其中由处理器执行的每个步骤与功能模块相对应。在这种情况下，功能模块被实现为在处理器上运行的计算机程序。

驻留在存储器中的计算机程序可以因此被组织为合适的功能模块，所述功能模块被配置为，当被处理器执行时，执行本文所述的步骤和/或任务的至少一部分。

图15是示出了根据实施例的密钥管理装置130的示例的示意图。密钥管理装置130包括密钥导出模块131，用于：基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)和ii)5g新鲜度参数导出第一4g主密钥(例如4g主密钥′)。

在可选实施例中，密钥管理装置130包括密钥提供模块132，用于：提供第一4g主密钥以发送给目标4g无线通信系统的核心网络，以便能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。在该实施例中，或者在替代实施例中，密钥管理装置131可选地还包括参数提供模块133，用于：提供5g新鲜度参数以发送给用户设备，以便能够基于5g密钥和5g新鲜度参数导出第一4g主密钥，并且能够基于第一4g主密钥和4g新鲜度参数导出第二4g主密钥。

图16是示出了根据实施例的密钥管理装置140的示例的示意图。密钥管理装置140包括密钥导出模块141，用于：基于4g新鲜度参数和第一4g主密钥(例如4g主密钥′)导出第二4g主密钥(例如4g主密钥″)，其中所述第一4g主密钥源自源5g无线通信系统(例如ngs)的核心网络，并且是基于i)在源5g无线通信系统的核心网络处和要从源5g无线通信系统切换到目标4g无线通信系统的用户设备处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm或kamf)和ii)5g新鲜度参数导出的。

图17是示出了根据实施例的密钥管理装置150的示例的示意图。密钥管理装置150包括第一密钥导出模块151，用于：基于i)在要从源5g无线通信系统(例如ngs)切换到目标4g无线通信系统(例如eps/lte)的用户设备处和源5g无线通信系统的核心网络处可用的5g密钥(例如，kseaf、kmmf、kcn、kcn-mm、kamf)和ii)源自源5g无线通信系统的核心网络的5g新鲜度参数导出第一4g主密钥(例如4g主密钥′)。密钥管理装置150还包括第二密钥导出模块152，用于：基于第一4g主密钥和在目标4g无线通信系统的核心网络处可用的4g新鲜度参数导出第二4g主密钥(例如4g主密钥″)。

所提出的技术通常适用于无线通信中的安全上下文的管理。所提出的技术可以应用于许多具体应用和通信场景，包括无线网络内的安全通信，在这种网络内安全地提供各种服务，包括所谓的过顶(over-the-top)(ott)服务。例如，所提出的技术可以提供用于安全通信的基础安全上下文，并且实现和/或包括无线通信中的相关用户数据和/或控制数据的传输和/或发送和/或接收。

特定实施例涉及由无线设备(例如，ue)执行的方法，其中该方法还涉及提供用户数据，以及经由到网络节点的传输将用户数据转发给主计算机。

另一特定实施例涉及对应的网络设备(例如ue)，其中该网络设备包括被配置为执行这种方法的任何步骤的处理电路。

特定实施例涉及由网络节点(例如，基站)执行的方法，其中该方法还涉及获得用户数据，以及将用户数据转发给主计算机或无线设备。

另一特定实施例涉及对应的网络节点(例如，基站)，其中该网络节点包括被配置为执行这种方法的任何步骤的处理电路。

又一特定实施例涉及包括主计算机和/或无线设备和/或网络节点在内的对应的通信系统。

在诸如网络节点和/或服务器之类的网络设备中提供计算服务(硬件和/或软件)也变得日益普遍，其中资源被作为服务通过网络提供给远程位置。举例而言，这意味着如本文所述的功能可被分布或重新定位到一个或多个分离的物理节点或服务器。该功能可被重新定位或分布到可位于分离的物理节点的一个或多个联合工作的物理和/或虚拟机器中，即在所谓的云中。这有时也被称为云计算，云计算是一种支持对诸如网络、服务器、存储设备、应用和通用或定制服务等可配置计算资源的池的随时随地的按需网络访问的模型。

存在在这种上下文中可用的不同形式的虚拟化，所述形式包括以下一种或多种：

将网络功能整合到运行在定制或通用硬件上的虚拟化软件中。这有时被称为网络功能虚拟化。

将在分离的硬件上运行的一个或多个应用堆栈(包括操作系统)共同定位在单个硬件平台上。这有时被称为系统虚拟化或平台虚拟化。

硬件和/或软件资源的共同定位的目的是使用一些高级的域级别调度和协调技术来获得改善的系统资源利用率。这有时被称为资源虚拟化、或者集中式和协调式资源池。

虽然将功能集中到所谓的通用数据中心经常是令人期望的，但在其他情况下实际上将功能分布在网络的不同部分上可能是有利的。

网络设备通常可以被视为通信连接到网络中的其他电子设备的电子设备。作为示例，网络设备可以用硬件、软件或其组合来实现。例如，网络设备可以是专用网络设备或通用网络设备或其混合。

专用网络设备可以使用定制处理电路和专有操作系统(os)来执行软件以提供本文公开的特征或功能中的一个或多个。

通用网络设备可以使用公共现成(cots)处理器和标准os来执行软件，所述软件配置为提供本文公开的特征或功能中的一个或多个。

举例来说，专用网络设备可以包括硬件、物理网络接口(ni)以及其上存储有软件的非暂时性机器可读存储介质，所述硬件包括处理或计算资源，其通常包括一个或多个处理器构成的集合，所述物理网络接口(ni)有时被称为物理端口。物理ni可被视为网络设备中的用于进行网络连接的硬件，所述网络连接例如通过无线网络接口控制器(wnic)以无线方式来进行或者通过将缆线插入连接到网络接口控制器(nic)的物理端口来进行。在操作期间，软件可被硬件执行，以实例化一个或多个软件实例的集合。每个软件实例以及执行该软件实例的那部分硬件可以形成单独的虚拟网络单元。

作为另一示例，通用网络设备可以例如包括硬件和网络接口控制器(nic)以及其上存储有软件的非暂时性机器可读存储介质，所述硬件包括一个或多个处理器(通常是cots处理器)构成的集合。在操作期间，处理器执行软件以实例化一个或多个应用的一个或多个集合。虽然一个实施例不实现虚拟化，但是替代实施例可以使用不同形式的虚拟化-例如由虚拟化层和软件容器来表示。例如，一个这样的替代实施例实现了操作系统级别的虚拟化，在这种情况下，虚拟化层代表允许创建多个软件容器的操作系统内核或在基础操作系统上执行的垫片(shim)，每个软件容器可被用来执行应用集合之一。在示例实施例中，每个软件容器(也称为虚拟化引擎、虚拟专用服务器或空间(jail))是用户空间实例(通常是虚拟存储空间)。这些用户空间实例可以彼此分离，并与执行操作系统的内核空间分离；除非明确允许，否则在给定用户空间中运行的应用集不能访问其他进程的内存。另一个这样的替代实施例实现完全虚拟化，在这种情况下：1)虚拟层表示管理程序(有时称为虚拟机监视器(vmm))，或者管理程序在主机操作系统之上执行；以及，2)每个软件容器表示由管理程序执行的并且可以包括客户操作系统的被称为虚拟机的软件容器的严格隔离形式。

管理程序是负责创建和管理各种虚拟化实例以及在某些情况下创建和管理实际物理硬件的软件/硬件。管理程序管理底层资源并将它们呈现为虚拟化实例。管理程序虚拟化以作为单个处理器呈现的内容实际上可以包括多个分开的处理器。从操作系统的角度来看，虚拟化实例看起来是实际的硬件组件。

虚拟机是运行程序的物理机器的软件实现，在运行程序时就好像它们在物理的非虚拟化的机器上执行一样；以及，应用一般不知道它们运行在虚拟机上而不是运行在“纯金属”的主机电子设备上，然而出于优化目的，一些系统提供允许操作系统或应用能够意识到存在虚拟化的准虚拟化(para-virtualization)。

一个或多个应用程序的一个或多个集合的实例化以及虚拟化层和软件容器(如果实现的话)统称为软件实例。每个应用集合、相应的软件容器(如果实现的话)以及执行它们的那部分硬件(其是专用于该执行的硬件和/或硬件的被软件容器分时共享的时间片)形成单独的虚拟网络元件。

虚拟网元可以执行与虚拟网元(vne)类似的功能。这种硬件虚拟化有时被称为网络功能虚拟化(nfv)。从而，nfv可以用于将很多网络设备类型统一到工业标准高容量服务器硬件、物理交换机、和物理存储器，它们可以位于数据中心、nd、和客户住宅设备(cpe)中。然而，不同实施例可以用不同方式来实现软件容器中的一个或多个。例如，尽管实施例被示出为每个软件容器对应于一个vne，但是替代实施例可以在更精细的粒度级别上实现软件容器-vne之间的这种对应关系或映射；应该理解，本文参考软件容器与vne的对应关系描述的技术也适用于使用这种更精细粒度级别的实施例。

根据又一实施例，提供了一种混合网络设备，其在网络设备(例如，在网络设备nd内的卡或电路板)中既包括定制处理电路/专有os也包括cots处理器/标准os。在这种混合网络设备的某些实施例中，平台虚拟机(vm)(诸如实现专用网络设备的功能的vm)可以向混合网络设备中存在的硬件提供准虚拟化。

图18是示出一般情况下如何在不同网络设备之间分布或划分功能的示例的示意图。在该示例中，至少有两个单独但互连的网络设备300、301，它们可以具有在网络设备300、301之间划分的不同的功能，或者相同功能的部分。可能存在额外的网络设备302，其是这种分布式实现的一部分。网络设备300、301、302可以是同一无线或有线通信系统的一部分，或者一个或多个网络设备可以是位于无线或有线通信系统外部的所谓的基于云的网络设备。

以上描述的实施例将被理解为本发明的几个说明性示例。本领域技术人员将理解，在不脱离本发明的范围的前提下，可以对实施例作出各种修改、组合和改变。尤其是，在技术上可行的情况下，在其他配置中可以组合不同实施例中的不同部分解决方案。