数据完整性保护方法和装置与流程

本申请涉及通信技术，尤其涉及一种数据完整性保护方法和装置。

背景技术：

随着通信技术的快速发展，移动通信系统的信息安全问题受到越来越多的关注，以长期演进(longtermevolution，lte)系统为例，lte系统中的完整性保护功能(integrityprotection)的目的是防止用户数据被篡改，一旦接收端发现完整性校验失败，可以触发加解密密钥(key)的更新过程，使用新密钥对用户数据进行保护。

完整性保护功能包含完整性保护以及完整性校验，lte的完整性保护功能位于分组数据汇聚协议(packetdataconvergenceprotocol，pdcp)层，发送端在加密之前对pdcp协议数据单元(protocoldataunit，pdu)的头部(header)以及数据部分进行完整性保护。具体的，发送端使用上层协议层配置的完整性保护算法，以密钥、count值、无线承载标识、direction、消息本身以及消息的长度等中的至少一个参数作为输入参数，计算一个32bit的消息验证码(messageauthenticationcodeforintegrity，mac-i)，放入pdcppdu的mac-i域。接收端在收到消息后，以同样的方法计算该消息所期望的验证码xmac-i，并通过比较xmac-i和mac-i进行完整性校验。如果mac-i与xmac-i相等，则接收端确定完整性校验成功，否则确定完整性校验失败。

但是，lte系统中完整性保护功能的粒度是终端设备级别的，即终端设备对于所有数据使用相同的完整性保护参数，使得完整性保护不灵活。

技术实现要素：

本申请提供一种数据完整性保护方法和装置，可以进行会话粒度或者流粒度的完整性保护，从而使得完整性保护更加灵活，满足同一用户不同业务的安全需求。

本申请第一方面提供一种数据完整性保护方法，包括：终端设备获取会话对应的完整性保护算法和密钥以及所述会话对应的drb，使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。不同会话可以使用不同的完整性保护算法和密钥，从而使得完整性保护更加灵活，满足同一用户不同业务的安全需求。

可选的，所述终端设备获取会话对应的完整性保护算法和密钥，以及所述会话对应的drb，具体为：所述终端设备发送第一消息，所述第一消息用于请求建立所述会话；所述终端设备接收第二消息，所述第二消息包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识；或者，

所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

本申请第二方面提供一种数据完整性保护方法，包括：终端设备获取流对应的完整性保护算法和密钥、以及所述流对应的drb，使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。不同流也可以使用不同的完整性保护算法和密钥，从而使得完整性保护更加灵活，满足同一用户不同业务的安全需求。

可选的，所述终端设备获取流对应的完整性保护算法和密钥、以及所述流对应的无线数据承载drb，具体为：所述终端设备发送第一消息，所述第一消息用于请求建立会话，所述会话与所述流对应；所述终端设备接收第二消息，所述第二消息包括：所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥；或者，

所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，在本申请第一方面和第二方面中，所述方法还包括：所述终端设备获取以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，在本申请第一方面和第二方面中，所述drb的数据为：所述drb的sdap层的数据包；或者，所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，还包括：所述终端设备在所述drb的sdap层的数据包中标记所述流的标识。

本申请第三方面提供一种数据完整性保护方法，包括：接入网设备接收终端设备发送的第一消息，所述第一消息用于请求建立会话；所述接入网设备向核心网设备发送第三消息，所述第三消息包括所述第一消息；所述接入网设备接收所述核心网设备发送的第四消息，所述第四消息中包括所述会话对应的完整性保护算法和密钥以及所述会话对应的drb；所述接入网设备保存所述会话对应的完整性保护算法和密钥以及所述会话对应的drb；所述接入网设备向所述终端设备发送第二消息，所述第二消息包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

本申请第四方面提供一种数据完整性保护方法，包括：接入网设备接收终端设备发送的第一消息，所述第一消息用于请求建立会话；所述接入网设备向核心网设备发送所述第三消息，所述第三消息包括所述第一消息；所述接入网设备接收所述核心网设备发送的第四消息，所述第四消息中包括流对应的完整性保护算法和密钥以及所述流对应的无线数据承载drb，所述会话与所述流对应；所述接入网设备保存所述流对应的完整性保护算法和密钥以及所述流对应的drb；所述接入网设备向所述终端设备发送第二消息，所述第二消息包括：所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，在本申请第三方面和第四方面中，所述第三消息或所述第二消息中还包括以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示、和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，在本申请第三方面和第四方面中，所述方法还包括：所述接入网设备使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，在本申请第三方面和第四方面中，所述drb的数据为：所述drb的sdap层的数据包；或者，所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，还包括：所述接入网设备在所述drb的sdap层的数据包中标记所述流的标识。

本申请第五方面提供一种数据完整性保护方法，包括：核心网设备接收接入网设备发送的第三消息，所述第三消息包括第一消息，所述第一消息用于请求建立会话；所述核心网设备向所述接入网设备发送第四消息，所述第三消息中包括所述会话对应的完整性保护算法和密钥以及所述会话对应的无线数据承载drb，或者包括流对应的完整性保护算法和密钥以及所述流对应的drb，所述会话与所述流对应。

可选的，所述第四消息还包括以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示、和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，所述方法还包括：所述核心网设备使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，还包括：所述核心网设备在所述drb的sdap层的数据包中标记所述流的标识。

本申请第六方面提供一种终端设备，包括：获取模块，用于获取会话对应的完整性保护算法和密钥以及所述会话对应的无线数据承载drb；完整性保护模块，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述获取模块，具体用于：发送第一消息，所述第一消息用于请求建立所述会话；接收第二消息，所述第二消息包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

本申请第七方面提供一种终端设备，包括：获取模块，用于获取流对应的完整性保护算法和密钥、以及所述流对应的无线数据承载drb；完整性保护模块，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述获取模块，具体用于：发送第一消息，所述第一消息用于请求建立会话，所述会话与所述流对应；接收第二消息，所述第二消息包括：所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，在本申请第六方面和第七方面中，所述获取模块还用于：获取以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，在本申请第六方面和第七方面中，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

本申请第八方面提供一种接入网设备，包括：

接收模块，用于接收终端设备发送的第一消息，所述第一消息用于请求建立会话；

发送模块，用于向核心网设备发送第三消息，所述第三消息包括所述第一消息；

所述接收模块，还用于接收所述核心网设备发送的第四消息，所述第四消息中包括所述会话对应的完整性保护算法和密钥以及所述会话对应的无线数据承载drb；

存储模块，用于保存所述会话对应的完整性保护算法和密钥以及所述会话对应的drb；

所述发送模块，还用于向所述终端设备发送第二消息，所述第二消息包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

本申请第九方面提供一种接入网设备，包括：

接收模块，用于接收终端设备发送的第一消息，所述第一消息用于请求建立会话；

发送模块，用于向核心网设备发送所述第三消息，所述第三消息包括所述第一消息；

所述接收模块，还用于接收所述核心网设备发送的第四消息，所述第四消息中包括流对应的完整性保护算法和密钥以及所述流对应的无线数据承载drb，所述会话与所述流对应；

存储模块，用于保存所述流对应的完整性保护算法和密钥以及所述流对应的drb；

所述发送模块，还用于向所述终端设备发送第二消息，所述第二消息包括：所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥；或者，

所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

在本申请第八方面和第九方面中，所述第三消息或所述第二消息中还包括以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示、和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，所述接入网设备还包括：完整性保护模块，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，所述接入网设备还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

本申请第十方面提供一种核心网设备，包括：

接收模块，用于接收接入网设备发送的第三消息，所述第三消息包括第一消息，所述第一消息用于请求建立会话；

发送模块，用于向所述接入网设备发送第四消息，所述第三消息中包括所述会话对应的完整性保护算法和密钥以及所述会话对应的无线数据承载drb，或者包括流对应的完整性保护算法和密钥以及所述流对应的drb，所述会话与所述流对应。

可选的，所述第四消息还包括以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示、和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，所述核心网设备还包括：完整性保护模块，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，所述核心网设备还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

本申请第十一方面提供一种终端设备，包括：处理器、存储器、接收器和发送器，所述存储器、接收器和发送器通过总线与所述处理器连接并通信，所述存储器用于存储计算机执行指令，所述处理器用于执行所述计算机执行指令，以使所述终端设备执行上述第一方面和第二方面提供的方法。

本申请第十二方面提供一种接入网设备，包括：处理器、存储器、接收器和发送器，所述存储器、接收器和发送器通过总线与所述处理器连接并通信，所述存储器用于存储计算机执行指令，所述处理器用于执行所述计算机执行指令，以使所述接入网设备执行上述第三方面和第四方面提供的方法。

本申请第十三方面提供一种核心网设备，包括：处理器、存储器、接收器和发送器，所述存储器、接收器和发送器通过总线与所述处理器连接并通信，所述存储器用于存储计算机执行指令，所述处理器用于执行所述计算机执行指令，以使所述核心网设备执行上述第五方面提供的方法。

本申请第十四方面提供一种计算机可读介质，所述计算机可读介质包括计算机执行指令，所述计算机执行指令用于使终端设备执行本申请第一方面和第二方面提供的方法。

本申请第十五方面提供一种计算机可读介质，所述计算机可读介质包括计算机执行指令，所述计算机执行指令用于使接入网设备执行本申请第三方面和第四方面提供的方法。

本申请第十六方面提供一种计算机可读介质，所述计算机可读介质包括计算机执行指令，所述计算机执行指令用于使核心网设备执行本申请第五方面提供的方法。

本申请第十七方面提供一种芯片上系统，所述系统可应用于终端设备，所述芯片上系统包括：至少一个通信接口，至少一个处理器，至少一个存储器，所述通信接口、存储器和处理器通过总线互联，所述处理器调用所述存储器中存储的指令，以执行本申请第一方面和第二方面提供的方法。

本申请第十八方面提供一种芯片上系统，所述系统可应用于接入网设备，所述芯片上系统包括：至少一个通信接口，至少一个处理器，至少一个存储器，所述通信接口、存储器和处理器通过总线互联，所述处理器调用所述存储器中存储的指令，以执行本申请第三方面和第四方面提供的方法。

本申请第十九方面提供一种芯片上系统，所述系统可应用于核心网设备，所述芯片上系统包括：至少一个通信接口，至少一个处理器，至少一个存储器，所述通信接口、存储器和处理器通过总线互联，所述处理器调用所述存储器中存储的指令，以执行本申请第五方面提供的方法。

本申请第二十方面提供一种程序产品，所述程序产品包括计算机程序，所述计算机程序存储在可读存储介质中，终端设备的至少一个处理器执行所述计算机程序使得所述终端设备实施本申请第一方面和第二方面提供的方法。

本申请第二十一方面提供一种程序产品，所述程序产品包括计算机程序，所述计算机程序存储在可读存储介质中，接入网设备的至少一个处理器执行所述计算机程序使得所述接入网设备实施本申请第三方面和第四方面提供的方法。

本申请第二十二方面提供一种程序产品，所述程序产品包括计算机程序，所述计算机程序存储在可读存储介质中，核心网设备的至少一个处理器执行所述计算机程序使得所述核心网设备实施本申请第五方面提供的方法。

本申请提供一种数据完整性保护方法和装置，终端设备通过获取会话对应的完整性保护算法和密钥以及会话对应的drb，使用会话对应的完整性保护算法和密钥对会话对应的drb的数据进行完整性保护，或者，终端设备获取流对应的完整性保护算法和密钥以及流对应的drb，使用流对应的完整性保护算法和密钥对流对应的drb的数据进行完整性保护，一个会话包括多个流，不同会话可以使用不同的完整性保护算法和密钥，不同流也可以使用不同的完整性保护算法和密钥，从而使得完整性保护更加灵活，满足同一用户不同业务的安全需求。

附图说明

图1示出了本申请的一种应用场景的示意性架构图；

图2为本申请实施例一提供的数据完整性保护方法的信令流程图；

图3为5g系统的协议层的一种示意图；

图4为本申请实施例二提供的数据完整性保护方法的信令流程图；

图5为在pdcp层进行完整性保护时mac-i的一种示意图；

图6为本申请实施例三提供的终端设备的结构示意图；

图7为本申请实施例五提供的接入网设备的结构示意图；

图8为本申请实施例七提供的核心网设备的结构示意图；

图9为本申请实施例八提供的终端设备的结构示意图；

图10为本申请实施例九提供的接入网设备的结构示意图；

图11为本申请实施例十提供的核心网设备的结构示意图。

具体实施方式

本申请提供一种数据完整性保护方法，可以应用于多种通信系统，该通信系统可以为通用移动通信系统(universalmobiletelecommunicationssystem，umts)、码分多址(codedivisionmultipleaccess，cdma)系统、宽带码分多址(widebandcodedivisionmultipleaccess，wcdma)系统、无线局域网(wirelesslocalareanetwork，wlan)、长期演进(longtermevolution，lte)系统或第五代移动通信(5th-generation，5g)系统。

图1示出了本申请的一种应用场景的示意性架构图。如图1所示，5g系统可以包括：(无线)接入网((radio)accessnetwork，(r)an)、核心网(corenetwork，cn)和终端设备。其中，ran负责终端设备的接入，ran的覆盖范围内包括多个终端设备，ran和cn之间的接口为ng接口，ran网元之间的接口为xn接口，ran网元和终端设备之间的接口为空口。ran网元可以是umts系统的基站、cdma系统的基站(basetransceiverstation，bts)，也可以是wcdma系统中的基站(nodeb，nb)，还可以是lte系统中的演进型基站(evolvednodeb，enb)或者中继站，或者wlan中的接入点(accesspoint，ap)，也可以是5g系统中的基站(如gnb或传输点(transmissionpoint，trp))等，5g系统也称为新无线通信系统、新接入技术(newradio)或者下一代移动通信系统。在下一代移动通信系统中，一种基于流(flow)的业务服务质量(qualityofservice，qos)架构被提出，flow例如是qosflow。qos分为非接入层(non-accessstratum，nas)层qos和接入层(accessstratum，as)层qos，其中nas层qos为qosflow级别，qosflow是协议数据单元(protocoldataunit，pdu)会话(session)中的最小粒度的qos区分，qosflow是一组数据包的集合，同一qosflow包括的数据包会进行相同的处理。

cn网元包括接入和移动性管理功能(accessandmobilitymanagementfunction，amf)实体和用户面功能(userplanefunction，upf)实体。amf实体主要负责移动性管理、接入管理等服务，相当于lte系统中移动管理实体(mobilitymanagemententity，mme)除了会话管理功能外的功能。upf相当于lte系统中的分组数据网络网关(packetdatanetworkgateway，p-gw)，主要负责会话和承载管理、互联网协议(internetprotocol，ip)地址分配等功能，upf产生下行的qosflow，ue产生上行的qosflow。

可选的，cn网元还可以包括会话管理功能(sessionmanagementfunction，smf)实体、鉴权服务器功能(authenticationserverfunction，ausf)实体/鉴权信任状存储和处理功能(authenticationcredentialrepositoryandprocessingfunction，arpf)实体、策略控制功能(policycontrolfunction，pcf)实体和认证、授权和计费(authentication,authorizationandaccounting，aaa)服务器。

smf实体主要负责建立会话、修改会话或释放会话。pcf实体主要负责为网络提供策略。aaa服务器主要负责用户身份识别(subscriberidentificationmodule，sim)卡的认证、授权sim卡可以使用哪些服务以及记录sim卡使用的网络资源。aaa服务器可以由运营商提供，也可以由第三提供。ausf是鉴权请求消息的终结点并与arpf实体交互获得终端设备的长期安全信任状(long-termsecuritycredential)。arpf实体主要负责存储终端设备的长期安全信任状。

当本申请的方法应用在lte系统时，amf实体和smf实体可以由mme代替，upf实体可以由lte系统中的p-gw和服务网关实体(servinggateway，s-gw)代替，ausf实体和arpf实体由归属网络服务器(homesubscriberserver，hss)代替，hss用于存储签约信息，该签约信息可以是sim卡的签约信息。其中，mme是信令管理网元，负责nas信令加密、为终端设备分配临时身份标识、选择sgw和pgw等cn网元、提供漫游、跟踪、安全等功能；sgw是enb之间切换的移动性锚点，并提供合法监听相关功能；pgw则负责ip地址分配、方案控制和计费规则的执行以及合法监听相关等功能。

本申请中涉及的终端设备可以是无线终端，无线终端可以是指向用户提供语音和/或数据连通性的设备，具有无线连接功能的手持式设备、或连接到无线调制解调器的其它处理设备。无线终端可以经(r)an与至少一个核心网进行通信。无线终端可以是移动终端，如移动电话(或称为“蜂窝”电话)和带有移动终端的计算机，例如，可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置，它们与无线接入网交换语音和/或数据。无线终端也可以称为用户单元(subscriberunit)、用户站(subscriberstation)，移动站(mobilestation)、移动台(mobilestation)、远程站(remotestation)、接入点(accesspoint)、远程终端(remoteterminal)、接入终端(accessterminal)、用户终端(userterminal)、用户设备(userequipment，ue)、或用户代理(useragent)，在此不作限定。

基于上述图1所示的通信系统，本申请提供的数据完整性保护方法，旨在解决现有技术存在的完整性保护不灵活的问题。

下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。

图2为本申请实施例一提供的数据完整性保护方法的信令流程图，本实施例的方法主要可以包括以下步骤：

步骤s101、终端设备向接入网设备发送第一消息。

第一消息用于请求建立会话，该会话也称为pdu会话。第一消息中可以携带nas消息，nas消息携带会话建立请求信息，该会话建立请求信息中包括要建立的会话的标识。该会话建立请求消息中还可以包括协议栈区分(protocoldiscriminator)，用于指示第一消息对应的l3协议栈。如果会话建立请求信息通过nas消息携带，则接入网将nas消息携带在第三消息中发送给核心网设备。

示例性的，第一消息可以是无线资源控制(radioresourcecontrol，rrc)消息、媒体接入控制(mediaaccesscontrol，mac)消息或者物理层消息等。rrc消息例如是rrc连接建立请求、rrc连接重建立请求或rrc连接建立完成等，mac消息例如是mac控制元素(controlelement，ce)，物理层消息例如是物理层信令。

步骤s102、接入网设备向核心网设备发送第三消息，第三消息包括第一消息。

第三消息用于请求建立会话，具体的，接入网设备接收到第一消息后，将第一消息中的nas消息携带在第三消息中发送给核心网设备，第三消息是ran和cn之间的接口消息。

步骤s103、核心网设备向接入网设备发送第四消息，第四消息中包括会话对应的完整性保护算法和密钥以及会话对应的无线数据承载(dataresourcebearer，drb)。

第四消息用于请求接入网设备为建立的会话准备资源，第四消息可以是ue初始上下文建立请求消息，用于为ue建立上下文配置；或者，第四消息是pdu会话资源建立请求消息，用于为会话配置资源。第四消息中携带会话信息和会话对应的完整性保护配置，会话信息包括会话标识和会话对应的drb。可选的，第四消息中携带nas消息，会话对应的完整性保护配置携带在nas消息中，当然，会话对应的完整性保护配置也可以不携带在nas消息中。

第四消息中还包括包含至少一个协议层的配置参数，用于为会话建立一个或者多个drb，以承载终端设备发起的业务。图3为5g系统的协议层的一种示意图，如图3所示，终端设备和接入网设备的协议层从上到下依次为：业务数据聚合层(servicedataaggregationprotocol，sdap)层、pdcp层、无线链路控制(radiolinkcontrol，rlc)、mac和物理层(physical，phy)。其中，sdap层时在lte系统上新增的协议层，sdap层用于处理流(flow)到drb的映射，本实施例中一个终端设备可能建立多个会话，每个会话包括一个或多个流，每个流可以映射到一个或多个drb上，流例如是qos流。

示例性的，该至少一个协议层的配置参数包含各层协议栈的参数、传输模式、逻辑信道配置和调度相关参数等。传输模式可以是rlc透传模式、确认模式或者非确认模式，逻辑信号配置例如是逻辑信道优先级，具体内容可以参照lte或者5g协议，此处不再赘述。

本实施例中，第四消息中携带的会话对应的完整性保护配置包括会话对应的完整性保护算法和密钥，可选的，第四消息中也可以不携带会话对应的完整性保护算法和密钥，会话对应的完整性保护算法和密钥通过其他消息携带，或者，会话对应的完整性保护算法和密钥预先配置好。第四消息中还可以包括以下信息中的至少一个：完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示。同理，完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示中的一个或多个也可以预先配置好，而不需要通过第四消息动态指示。

其中，完整性保护位置的指示用于指示进行完整性保护的网元。完整性保护可以位于ran侧，或者位于cn侧，或者位于ran以及cn侧等，因此，完整性保护的网元可以是接入网设备、核心网设备，或者，同时在接入网设备和核心网设备进行完整性保护。当完整性保护位置位于ran侧时，完整性保护功能由ran侧的协议栈执行，对应终端设备侧则在接入层执行。当完整性保护位置位于cn侧时，完整性保护功能需要在cn侧的协议栈执行，对应终端设备侧则在非接入层执行。当完整性保护位置位于ran侧和cn侧时，完整性保护功能需要在ran侧以及cn侧执行，则用户的控制面或者数据面的完整性保护需要执行两次。

完整性保护协议层位置指示用于指示进行完整性保护的协议层，完整性保护的协议层可以是sdap层、pdcp层或rrc层。

完整性保护位置的使能指示用于指示是否开启完整性保护的功能。完整性保护位置的使能指示与完整性保护位置的指示关联，例如若完整性保护位置的指示所指示的完整性保护位置在ran侧，则该完整性保护位置的使能指示用于指示ran侧功能的开或者关，若完整性保护位置的指示所指示的完整性保护位置在ran以及cn侧，则该完整性保护位置的使能指示用于指示ran侧以及cn侧分别的开或者关。

完整性保护对象的指示用于指示完整性保护的对象为用户面(userplane，up)数据，或者，用户面数据和控制面(controlplane，cp)信令。

不同会话可以使用相同或者不同的完整性保护算法和密钥，完整性保护算法和密钥与完整性保护位置对应，例如，核心网设备只指示了一种完整性保护位置(ran侧或cn侧)，则只在该完整性保护位置配置对应的完整性保护算法和密钥，如果核心网设备指示了两种完整性保护位置(ran侧和cn侧)，则需要在两种完整性保护位置分别配置完整性保护算法和密钥，两种完整性保护位置对应的保护算法和密钥可以相同，也可以不同。

一种方式中，不同会话所使用的密钥可以通过一个根密钥(rootkey)计算得到，不同会话得到的密钥可以不同，也可以相同，该根密钥可以是接入网设备在smc过程中获得的根密钥。

另一种方式中，不同会话所使用的密钥可以通过不同的根秘钥计算得到，例如，在第四消息中指示会话使用的根密钥，或者传递相关的参数，使得接入网设备根据根密钥计算得到会话使用的密钥。

本实施例中，会话对应的完整性保护配置可以放在第四消息中的pdu会话信息列表(pdusessionresourcesetuplist)中，用于指示该会话对应的完整性保护配置，也可以单独放在第四消息中，并添加完整性保护配置对应的会话标识，接入网设备通过第四消息获知该会话对应的完整性保护配置，进而获知该会话对应的drb的完整性保护配置。表一为第四消息的一种结构示意，表二为pdu会话信息列表的一种示意，表三为pdu会话建立请求传送(pdusessionsetuprequesttransfer)的一种示意。表一所示第四消息例如为第三代合作伙伴(3^rdgenerationpartnershipproject，3gpp)下一代(nextgeneration，ng)ranng应用协议(ngapplicationprotocol，ngap)，协议版本号为0.1.0，9.2.1.1章节pdu会话资源建立请求消息。表二所述pdu会话信息列表例如为3gppngranngap，协议版本号为0.1.0，9.3.1.5章节pdu会话资源建立列表消息。

表一

表二

表三

表二和表三分别示出了会话对应的完整性保护配置在第四消息中的两种可能的位置。表二中会话对应的完整性保护配置携带在pdu会话资源建立列表，pdu会话资源建立列表中包含一个或者多个会话资源建立的信息元素(informationelement，ie)，其中每个信息元素至少保护以下一种信息：会话标识和单个网络切片选择辅助信息，网络切片选择辅助信息用于指示会话对应的网络切片标识。表三中会话对应的完整性保护配置携带在pdu会话建立请求传送中，pdu会话建立请求传送包含至少以下一种信息：一个或者多个会话对应的最大聚合比特速率、传输层信息、会话类型、qos流资源信息列表等，qos流资源信息列表包含一个或者多个流对应的标识，qos流级别的qos参数等。

步骤s104、接入网设备向终端设备发送第二消息，第二消息包括会话的标识，会话对应的完整性保护算法和密钥，以及会话对应的drb的标识。

接入网设备接收到第四消息后，保存第四消息中携带的会话对应的完整性保护算法和密钥等完整性保护配置。并根据第四消息中携带的至少一个协议层的配置参数为终端设备建立drb，以承载终端设备发起的业务。然后，生成第二消息，并向终端设备发送第二消息，第二消息可以是nas消息、rrc消息、mac层消息或者物理层消息。当第二消息为rrc消息时，如果rrc消息中不包括nac消息，则会话的标识、会话对应的完整性保护算法和密钥、以及会话对应的drb的标识全部携带在rrc消息中，如果rrc消息中包括nas消息，则上述参数中全部或部分携带在rrc消息中包括的nas消息中。

本实施例中，第二消息中包括会话对应的完整性保护算法和密钥，可选的，第二消息中也可以不携带会话对应的完整性保护算法和密钥，会话对应的完整性保护算法和密钥通过其他消息携带，或者，会话对应的完整性保护算法和密钥预先配置好。在其他实施例中，第二消息中包括以下信息中的至少一个：完整性保护算法和密钥、完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示。同理，完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示中的一个或多个也可以预先配置好，而不需要通过第二消息动态指示。

第二消息和第四消息中携带的完整性保护配置可以相同，也可以不同。例如，第四消息中指示了会话使用的根密钥，则接入网设备接收到第四消息后，根据指示的根密钥计算得到会话使用的密钥，然后将会话使用的密钥携带在第二消息中。

可选的，会话对应的完整性保护配置可以携带在第二消息的sdap层的配置参数中，即将完整性保护配置作为sdap层的配置参数，也可以携带在pdcp层的配置参数中，即将完整性保护配置作为pdcp层的配置参数。其中，第二消息中包括至少一个协议层的配置参数，那么sdap层的配置参数和pdcp层的配置参数可以都携带在第二消息中，也可以其中一个配置参数携带在第二消息中，另一个配置参数携带在不同于第二消息的其他消息中。下述为完整性保护配置在第二消息中的几种可能的位置，以第二消息为rrc连接重配置消息(rrcconnectionreconfigurationmessage)为例，该rrc连接重配置消息为例如为下述的3gpp演进的全球陆地无线接入网络(evolveduniversalterrestrialradioaccess,e-utra)rrc协议，协议版本号为13.0.0，6.2.2章节rrc连接重配置消息：

上述例子中会话对应的完整性保护配置的可能位置1为sdap层的配置参数中，会话对应的完整性保护配置的可能位置2为pdcp层的配置参数。

可选的，接入网设备在步骤s104之后，向核心网设备发送第五消息，第五消息用于反馈核心网设备发送的第四消息的处理结果，若接入网设备未能成功对终端设备的上下文进行配置，则第五消息用于反馈配置失败，并包含失败原因指示，即cause值。第五消息还用于携带接入网设备为一个或者多个会话分配的空口资源，例如包括接入网设备建立的会话信息列表，不能建立的qos流列表等。

步骤s105、终端设备保存第二消息中的内容。

终端设备通过保存第二消息中携带的会话对应的完整性保护配置，后续根据保存的会话对应的完整性保护配置，对会话对应的drb的数据进行完整性保护，会话对应的drb可能为一个或多个，如果会话对应的drb为多个，则会话对应的多个drb使用的完整性保护配置相同。

具体的，终端设备使用会话对应的完整性保护算法和密钥对会话对应的drb的数据进行完整性保护。drb的数据为：drb的sdap层的数据包或者pdcp层的数据包，即终端设备可以在sdap层和pdcp层对drb的数据进行完整性保护。sdap层的数据包包括pdu和服务数据单元(servicedataunit，sdu)服务数据单元，pdcp层的数据包也包括pdu和sdu。

以终端设备为发送端、drb的数据为pdcp层数据包为例，终端设备使用完整性保护算法，以密钥、count值、无线承载标识、direction、pdcp层数据包本身以及pdcp层数据包的长度等中的至少一个参数作为输入参数，计算一个32bit的mac-i，放入pdcppdu的mac-i域。接收端(接入网设备或核心网设备)在收到该pdcp层数据包后，以同样的方法计算该pdcp层数据所期望的验证码xmac-i，并通过比较xmac-i和mac-i进行完整性校验。如果mac-i与xmac-i相等，则接收端确定完整性校验成功，否则确定完整性校验失败。当然，终端设备也可能作为接收端。

本实施例中，终端设备通过第二消息从接入网设备获取了会话对应的完整性算法和密钥，需要说明的是，终端设备还可以通过其他方式获取会话对应的完整性算法和密钥，例如，会话对应的完整性算法和密钥被预先配置在终端设备上，第二消息中只需要携带会话标识，终端设备根据会话标识查找到会话对应的完整性算法和密钥。同理，对于会话的其他完整性保护配置，例如完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示中的一个或多个也可以通过第二消息动态指示，或者，预先配置的方式通知给终端设备。

本实施例中，终端设备获取会话对应的完整性保护算法和密钥以及会话对应的drb，使用会话对应的完整性保护算法和密钥对drb的数据进行完整性保护，使得不同会话可以使用不同的完整性保护算法和密钥，从而使得完整性保护更加灵活，满足同一用户不同业务的安全需求。

图4为本申请实施例二提供的数据完整性保护方法的信令流程图，不同于实施例一，本实施例中完整性保护的粒度是流级别的，如图4所示，本实施例的方法主要包括以下步骤：

步骤s201、终端设备向接入网设备发送第一消息。

步骤s202、接入网设备向核心网设备发送第三消息，第三消息包括第一消息。

步骤s201和步骤s202的具体实现方式参照上述实施例一的相关描述。

步骤s203、核心网设备向接入网设备发送第四消息，第四消息包括流对应的完整性保护算法和密钥以及流对应的drb。

与实施例一不同的是，本实施例中，第四消息包括流对应的完整性保护算法和密钥以及流对应的drb，其中，流与第一消息请求建立的会话对应，一个会话包括多条流，每条流可以映射到多个drb，本实施例中，会话包括的多个流可以使用相同或者不同的完整性保护算法和密钥。

可选的，第四消息中也可以不携带流对应的完整性保护算法和密钥，流对应的完整性保护算法和密钥通过其他消息携带，或者，流对应的完整性保护算法和密钥预先配置好。可选的，第四消息中还可以包括以下信息中的至少一个：完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示。同理，完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示中的一个或多个也可以预先配置好，而不需要通过第四消息动态指示。

本实施例中，流的完整性保护配置可以放在第四消息中的qos流资源信息列表中，用于指示该流对应的完整性保护配置，也可以单独放在第四消息中，并添加完整性保护配置对应的流标识，例如，放在pdu会话资源信息列表中，接入网设备通过第四消息获知该流的完整性保护配置。第四消息的结构参照上述表一所示，pdu会话信息列表参照上述表二，表四为qos流资源信息列表的一种示意。

表四

表四所示例子中，流对应的的完整性保护配置携带在qos流资源信息列表中，qos流资源信息列表中还包含一个或者多个流对应的标识，qos流级别的qos参数等。

步骤s204、接入网设备向终端设备发送第二消息，第二消息包括会话的标识，流的标识，流对应的完整性保护算法和密钥，以及流对应的drb的标识。

接入网设备接收到第四消息后，保存第四消息中携带的会话的标识，流的标识，流对应的完整性保护算法和密钥，以及流对应的drb的标识。并根据第四消息中携带的至少一个协议层的配置参数为终端设备建立drb，以承载终端设备发起的业务，并确定各流对应的drb。然后，生成第二消息，并向终端设备发送第二消息，第二消息可以是nas消息、rrc消息、mac层消息或者物理层消息。当第二消息为rrc消息时，如果rrc消息中不包括nac消息，则会话的标识、流的标识、流对应的完整性保护算法和密钥、以及流对应的drb的标识全部携带在rrc消息中，如果rrc消息中包括nas消息，则上述参数中全部或部分携带在rrc消息中包括的nas消息中。

本实施例中，第二消息中包括流对应的完整性保护算法和密钥，可选的，第二消息中也可以不携带流对应的完整性保护算法和密钥，流对应的完整性保护算法和密钥通过其他消息携带，或者，流对应的完整性保护算法和密钥预先配置好。在其他实施例中，第二消息中包括以下信息中的至少一个：完整性保护算法和密钥、完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示。同理，完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示中的一个或多个也可以预先配置好，而不需要通过第二消息动态指示。

第二消息和第四消息中携带的流对应的完整性保护配置可以相同，也可以不同。例如，第四消息中指示了流使用的根密钥，则接入网设备接收到第四消息后，根据指示的根密钥计算得到流使用的密钥，然后将流使用的密钥携带在第二消息中。

可选的，流对应的完整性保护配置可以携带在第二消息的sdap层的配置参数中，即将流对应的完整性保护配置作为sdap层的配置参数，也可以携带在pdcp层的配置参数中，即将流对应的完整性保护配置作为pdcp层的配置参数。其中，第二消息中包括至少一个协议层的配置参数，那么sdap层的配置参数和pdcp层的配置参数可以都携带在第二消息中，也可以其中一个配置参数携带在第二消息中，另一个配置参数携带在不同于第二消息的其他消息中。

可选的，接入网设备在步骤s204之后，向核心网设备发送第五消息，第五消息用于反馈核心网设备发送的第四消息的处理结果，若接入网设备未能成功对终端设备的上下文进行配置，则第五消息用于反馈配置失败，并包含失败原因指示，即cause值。第五消息还用于携带接入网设备为一个或者多个会话分配的空口资源，例如包括接入网设备建立的会话信息列表，不能建立的qos流列表等。

步骤s205、终端设备保存第二消息中的内容。

终端设备通过保存第二消息中携带的流对应的完整性保护配置，后续根据保存的流对应的完整性保护配置，对流对应的drb的数据进行完整性保护，流对应的drb可能为一个或多个，不同流对应的完整性保护算法和密钥可能不同。

具体的，终端设备使用流对应的完整性保护算法和密钥对流对应的drb的数据进行完整性保护。drb的数据为：drb的sdap层的数据包或者pdcp层的数据包，即终端设备可以在sdap层和pdcp层对drb的数据进行完整性保护。sdap层的数据包包括pdu和sdu，pdcp层的数据包也包括pdu和sdu。

若在pdcp层进行完整性保护，由于pdcp层无法区分流，只有sdap层可以识别会话包括的流，因此需要sdap层在sdap层的数据包中标记流的标识，以便于pdcp层根据流的标识识别不同流，进而根据流对应的完整性保护算法和密钥对流对应的数据包进行完整性保护。流的标识可以放在sdap层的数据包的包头中，也可以放在sdap层的数据包的具体的数据内容中，此发明不限定具体的格式。

本实施例中，终端设备通过第二消息从接入网设备获取了流对应的完整性算法和密钥，需要说明的是，终端设备还可以通过其他方式获取流对应的完整性算法和密钥，例如，流对应的完整性算法和密钥被预先配置在终端设备上，第二消息中只需要携带会话标识和流标识，终端设备根据会话标识和流标识查找到流对应的完整性算法和密钥。同理，对于流的其他完整性保护配置，例如完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示中的一个或多个也可以通过第二消息动态指示，或者，预先配置的方式通知给终端设备。

本实施例中，终端设备获取流对应的完整性保护算法和密钥以及流对应的drb，使用流对应的完整性保护算法和密钥对流对应的drb的数据进行完整性保护，使得不同流可以使用不同的完整性保护算法和密钥，从而使得完整性保护更加灵活，满足同一用户不同业务的安全需求。

上述实施例中，发送端进行数据完整性保护可以在序列编号、头压缩、加密等环节的任意一个环节之后，对应接收端一样。且mac-i的位置和大小也可以灵活设置，图5为在pdcp层进行完整性保护时mac-i的一种示意图，如图5所示，mac-i可以携带在消息的最后几个字节。

上述实施例中，接收端进行完整性校验，如果某个消息完整性校验失败，则可以进行以下几种处理中的任何一种：(1)通知rrc，重建rrc连接；(2)丢弃该消息；(3)丢弃该消息，并重建rrc连接；(4)完整性校验失败次数达到预设值时，重建rrc连接。

上述实施例的方法可以应用在双连接(dualconnection，dc)场景或小区切换场景，在小区切换场景中，如果终端设备从源基站切换到了目标基站，则终端设备需要将会话对应的完整性保护配置或者流对应的完整性保护配置发送给目标基站，以便于目标基站根据会话对应的完整性保护配置或者流对应的完整性保护配置进行完整性保护。在dc场景中，可以只在其中一个站点上进行完整性保护，也可以在两个站点都进行完整性保护，主站点(masternode，mn)需要将会话或者流对应的完整性保护配置发送给辅站点(secondarynode，sn)，以便辅站点可以根据会话对应的完整性保护配置或者流对应的完整性保护配置进行完整性保护。

图6为本申请实施例三提供的终端设备的结构示意图，如图6所示，本实施例提供的终端设备包括：

获取模块11，用于获取会话对应的完整性保护算法和密钥以及所述会话对应的无线数据承载drb；

完整性保护模块12，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述获取模块11，具体用于：发送第一消息，所述第一消息用于请求建立所述会话；接收第二消息，所述第二消息包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述获取模块11还用于：获取以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。当所述drb的数据为所述drb的sdap层的数据包时，终端设备还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

本实施例提供的终端设备，可用于执行实施例一中终端设备执行的步骤，具体实现方式和技术效果类似，这里不再赘述。

本申请实施例四提供一种终端设备，该终端设备的结构参照图6所示。本实施例中，获取模块11，用于获取流对应的完整性保护算法和密钥、以及所述流对应的无线数据承载drb；完整性保护模块12，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述获取模块11，具体用于：发送第一消息，所述第一消息用于请求建立会话，所述会话与所述流对应；接收第二消息，所述第二消息包括：所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述获取模块11还用于：获取以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。当所述drb的数据为所述drb的sdap层的数据包时，终端设备还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

本实施例提供的终端设备，可用于执行实施例二中终端设备执行的步骤，具体实现方式和技术效果类似，这里不再赘述。

图7为本申请实施例五提供的接入网设备的结构示意图，如图7所示，本实施例提供的接入网设备包括：

接收模块21，用于接收终端设备发送的第一消息，所述第一消息用于请求建立会话；

发送模块22，用于向核心网设备发送第三消息，所述第三消息包括所述第一消息；

所述接收模块21，还用于接收所述核心网设备发送的第四消息，所述第四消息中包括所述会话对应的完整性保护算法和密钥以及所述会话对应的无线数据承载drb；

存储模块23，用于保存所述会话对应的完整性保护算法和密钥以及所述会话对应的drb；

所述发送模块22，还用于向所述终端设备发送第二消息，所述第二消息包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述会话对应的完整性保护算法和密钥，以及所述会话对应的drb的标识。

可选的，所述第三消息或所述第二消息中还包括以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示、和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，所述接入网设备还包括：完整性保护模块24，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，所述接入网设备还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

本申请实施例六提供一种接入网设备，该接入网设备的结构参照图7所示。本实施例中：

接收模块21，用于接收终端设备发送的第一消息，所述第一消息用于请求建立会话；

发送模块22，用于向核心网设备发送所述第三消息，所述第三消息包括所述第一消息；

所述接收模块21，还用于接收所述核心网设备发送的第四消息，所述第四消息中包括流对应的完整性保护算法和密钥以及所述流对应的无线数据承载drb，所述会话与所述流对应；

存储模块23，用于保存所述流对应的完整性保护算法和密钥以及所述流对应的drb；

所述发送模块22，还用于向所述终端设备发送第二消息，所述第二消息包括：所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述第二消息包括sdap层的配置，所述sdap层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥；或者，所述第二消息包括pdcp层的配置，所述pdcp层的配置包括所述会话的标识，所述流的标识，所述流对应的drb的标识，以及所述流对应的完整性保护算法和密钥。

可选的，所述第三消息或所述第二消息中还包括以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示、和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，完整性保护模块24，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，所述接入网设备还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

图8为本申请实施例七提供的核心网设备的结构示意图，如图8所示，本实施例提供的核心网设备包括：

接收模块31，用于接收接入网设备发送的第三消息，所述第三消息包括第一消息，所述第一消息用于请求建立会话；

发送模块32，用于向所述接入网设备发送第四消息，所述第三消息中包括所述会话对应的完整性保护算法和密钥以及所述会话对应的无线数据承载drb，或者包括流对应的完整性保护算法和密钥以及所述流对应的drb，所述会话与所述流对应。

可选的，所述第四消息还包括以下信息中的至少一个：

完整性保护位置的指示、完整性保护协议层位置指示、完整性保护位置的使能指示、和完整性保护对象的指示；

其中，

所述完整性保护位置的指示用于指示进行完整性保护的网元；

所述完整性保护协议层位置指示用于指示进行完整性保护的协议层；

所述完整性保护位置的使能指示用于指示是否开启完整性保护的功能；

所述完整性保护对象的指示用于指示完整性保护的对象为用户面数据，或者，用户面数据和控制面信令。

可选的，所述核心网设备还包括：完整性保护模块33，用于使用所述完整性保护算法和密钥对所述drb的数据进行完整性保护。

可选的，所述drb的数据为：所述drb的sdap层的数据包；或者所述drb的pdcp层的数据包。

当所述drb的数据为所述drb的sdap层的数据包时，所述核心网设备还包括：标记模块，用于在所述drb的sdap层的数据包中标记所述流的标识。

需要说明的是，上述装置实施例中，接收模块和发送模块可以通过一个收发器实现，或者，接收模块由独立的接收器实现，发送模块由独立的接收器实现。上述实施例中的获取模块、完整性保护模块和标记模块可以由具有数据处理功能的处理器实现。

图9为本申请实施例八提供的终端设备的结构示意图，如图9所示，本实施例的终端设备400包括：处理器41、存储器42、接收器43和发送器44，所述存储器42、接收器43和发送器44通过总线与所述处理器41连接并通信，所述存储器42用于存储计算机执行指令，所述处理器41用于执行所述计算机执行指令，以使所述终端设备400执行上述实施例一和实施例二提供的方法中终端设备执行的步骤。具体实现方式和技术效果类似，这里不再赘述。

图10为本申请实施例九提供的接入网设备的结构示意图，如图10所示，本实施例的接入网设备500包括：处理器51、存储器52、接收器53和发送器54，所述存储器52、接收器53和发送器54通过总线与所述处理器51连接并通信，所述存储器52用于存储计算机执行指令，所述处理器51用于执行所述计算机执行指令，以使所述接入网设备500执行上述实施例一和实施例二提供的方法中接入网设备执行的步骤。具体实现方式和技术效果类似，这里不再赘述。

图11为本申请实施例十提供的核心网设备的结构示意图，如图11所示，本实施例的核心网设备600包括：处理器61、存储器62、接收器63和发送器64，所述存储器62、接收器63和发送器64通过总线与所述处理器61连接并通信，所述存储器62用于存储计算机执行指令，所述处理器61用于执行所述计算机执行指令，以使所述核心网设备600执行上述实施例一和实施例二提供的方法中核心网设备执行的步骤。具体实现方式和技术效果类似，这里不再赘述。

本申请实施例十提供一种计算机可读介质，所述计算机可读介质包括计算机执行指令，所述计算机执行指令用于使终端设备执行本申请实施例一和实施例二中终端设备执行的方法步骤。

本申请实施例十一提供一种计算机可读介质，所述计算机可读介质包括计算机执行指令，所述计算机执行指令用于使接入网设备执行本申请实施例一和实施例二中接入网设备执行的方法步骤。

本申请实施例十二提供一种计算机可读介质，所述计算机可读介质包括计算机执行指令，所述计算机执行指令用于使核心网设备执行本申请实施例一和实施例二中核心网设备执行的方法步骤。

本申请实施例十三提供一种芯片上系统，所述系统可应用于终端设备，所述芯片上系统包括：至少一个通信接口，至少一个处理器，至少一个存储器，所述通信接口、存储器和处理器通过总线互联，所述处理器调用所述存储器中存储的指令，以执行本申请实施例一和实施例二中终端设备执行的方法步骤。

本申请实施例十四提供一种芯片上系统，所述系统可应用于接入网设备，所述芯片上系统包括：至少一个通信接口，至少一个处理器，至少一个存储器，所述通信接口、存储器和处理器通过总线互联，所述处理器调用所述存储器中存储的指令，以执行本申请实施例一和实施例二中接入网设备执行的方法步骤。

本申请实施例十五提供一种芯片上系统，所述系统可应用于核心网设备，所述芯片上系统包括：至少一个通信接口，至少一个处理器，至少一个存储器，所述通信接口、存储器和处理器通过总线互联，所述处理器调用所述存储器中存储的指令，以进行本申请实施例一和实施例二中核心网设备提供的方法。

本申请实施例十六提供一种程序产品，所述程序产品包括计算机程序，所述计算机程序存储在可读存储介质中，终端设备的至少一个处理器执行所述计算机程序使得所述终端设备实施本申请实施例一和实施例二中终端设备执行的方法步骤。

本申请实施例十七提供一种程序产品，所述程序产品包括计算机程序，所述计算机程序存储在可读存储介质中，接入网设备的至少一个处理器执行所述计算机程序使得所述接入网设备实施本申请实施例一和实施例二中接入网设备执行的方法步骤。

本申请实施例十八提供一种程序产品，所述程序产品包括计算机程序，所述计算机程序存储在可读存储介质中，核心网设备的至少一个处理器执行所述计算机程序使得所述核心网设备实施本申请实施例一和实施例二中核心网设备执行的方法步骤。

可以理解，本申请所述的处理器可以是中央处理器(cpu)，通用处理器、数字信号处理器(dsp)、专用集成电路(asic)，现场可编程门阵列(fpga)或者其他可编程逻辑器件、晶体管逻辑器件，硬件部件或者其任意组合。其可以实现或执行结合本申请所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，dsp和微处理器的组合等等。

本申请所述的总线可以是工业标准体系结构(industrystandardarchitecture，isa)总线、外部设备互连(peripheralcomponent，pci)总线或扩展工业标准体系结构(extendedindustrystandardarchitecture，eisa)总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，本申请附图中的总线并不限定仅有一根总线或一种类型的总线。

在本申请所提供的几个实施例中，所描述的装置实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或模块的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。