用户面安全保护的方法和装置与流程

本申请涉及通信领域，更具体的，涉及一种用户面安全保护的方法和装置。
背景技术：
：3gpp(3rdgenerationpartnershipproject，3gpp)定义了漫游接口控制面的安全网关sepp(securityedgeprotectionproxy，sepp)来进行控制面的安全保护，同时也定义了访问网络的vsepp与归属网络的hsepp直接的安全策略协商机制。在home-routed的漫游场景下，跨公共陆地移动网络plmn(publiclandmobilenetwork，plmn)的访问网络vupf与归属网络hupf之间缺乏类似的安全机制进行保护，其中3gpp33.501中用户面功能upf(userplanefunction，upf)之间的n9接口采用的保护方法无法根据业务需求采取相应的安全保护策略。因此，如何在访问网络与归属网络间实现灵活的用户面数据安全保护成为亟待解决的问题。技术实现要素：本申请提供一种用户面安全保护的方法和装置，可以在访问网络与归属网络间实现灵活的用户面数据安全保护。第一方面，提供了一种用户面安全保护的方法，包括：第一会话管理功能smf网元接收第二smf网元发送的会话创建请求信息，所述会话创建请求信息包括第一业务信息；所述第一smf网元根据所述第一业务信息确定安全策略信息；所述第一smf网元向第一用户面安全网元发送安全策略信息；所述安全策略信息用于第一用户面安全网元根据所述安全策略信息生成安全上下文信息；其中所述第一smf网元、第一用户面安全网元属于归属网络，所述第二smf网元属于访问网络。在本申请实施例中，第一用户面安全网元可以是用户面sepp-u网元或者用户面功能upf网元。可选的，归属网络smf网元可以复用从统一数据管理平台(unifieddatamanager，udm)获取的ue签约数据中的的ran侧安全策略信息，或者，新增ue在udm的sepp-u侧安全策略签约数据，或者归属网络smf网元根据第一业务信息确定安全策略信息，或者vsmf向hsmf发送ue新增的应用层相关参数，由hsmf根据ue新增的应用层相关参数进行安全策略决策。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。结合第一方面，在第一方面的某些实现方式中，该第一业务信息包括数据网络名称dnn信息和/或网络切片选择nssai信息。结合第一方面，在第一方面的某些实现方式中，该安全策略信息包括第一指示信息、第二指示信息，其中，所述第一指示信息用于指示所述第一用户面安全网元是否采用加密算法进行数据加密保护，所述第二指示信息用于指示所述第一用户面安全网元是否采用完整性保护算法进行数据完整性保护。或者，该安全策略信息包括安全上下文信息，该安全上下文信息用于指示用户面安全网元是否进行加密保护，和/或是否进行完整性保护。例如，安全上下文信息可以指示用户面安全网元进行用户面数据加密，或者用户面数据完整性保护，或者用户面数据加密和用户面数据完整性保护，或者不进行用户面数据加密和用户面数据完整性保护。结合第一方面，在第一方面的某些实现方式中，该安全上下文信息包括第一安全上下文、第二安全上下文；所述第一安全上下文与第一隧道标识信息具有映射关系，所述第二安全上下文与所述第二隧道标识信息具有映射关系。结合第一方面，在第一方面的某些实现方式中，该第一用户面安全网元为第一用户面功能upf网元，该方法还包括：第一smf网元向第二smf网元发送会话创建响应信息，所述会话创建响应信息用于指示第二smf网元向第二upf网元发送安全策略信息，其中所述第一upf网元属于归属网络，所述第二upf网元属于访问网络。在本申请实施例中，归属网络smf网元根据第一业务信息确定安全策略信息，归属网络smf网元向用户面安全网元发送安全策略信息，用户面安全网元根据安全策略信息生成安全上下文信息，安全上下文信息与隧道标识信息具有映射关系，因此用户面安全网元可以根据安全上下文与隧道标识信息的映射关系采用相应的安全上下文进行数据安全保护。第二方面，提供了一种用户面安全保护的方法，包括：第一用户面安全网元接收第一smf网元发送的安全策略信息；所述第一用户面安全网元根据所述安全策略信息生成安全上下文信息，所述安全上下文信息与隧道标识信息具有映射关系，所述安全上下文信息用于第一用户面安全网元进行数据安全保护；其中，所述第一用户面安全网元、第一smf网元属于归属网络。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。结合第二方面，在第二方面的某些实现方式中，该第一业务信息包括数据网络名称dnn信息和/或网络切片选择nssai信息。结合第二方面，在第二方面的某些实现方式中，该安全策略信息包括第一指示信息、第二指示信息，其中，所述第一指示信息用于指示所述第一用户面安全网元是否采用加密算法进行数据加密保护，所述第二指示信息用于指示所述第一用户面安全网元是否采用完整性保护算法进行数据完整性保护。或者，该安全策略信息包括安全上下文信息，该安全上下文信息用于指示用户面安全网元是否进行加密保护，和/或是否进行完整性保护。例如，安全上下文信息可以指示用户面安全网元进行用户面数据加密，或者用户面数据完整性保护，或者用户面数据加密和用户面数据完整性保护，或者不进行用户面数据加密和用户面数据完整性保护。结合第二方面，在第二方面的某些实现方式中，该第一用户面安全网元为第一upf网元，该方法还包括：第一upf网元根据所述第一隧道标识信息与第一安全上下文的映射关系，采用第一安全上下文对第一下行数据进行数据安全保护。结合第二方面，在第二方面的某些实现方式中，该安全上下文信息包括第一安全上下文、第二安全上下文；所述第一安全上下文与第一隧道标识信息具有映射关系，所述第二安全上下文与所述第二隧道标识信息具有映射关系。结合第二方面，在第二方面的某些实现方式中，该第一用户面安全网元为第一安全边界防护代理sepp-u网元，该方法还包括：第一sepp-u网元向第二sepp-u网元发送安全策略信息，所述安全策略信息用于指示第二sepp-u网元根据安全策略信息与业务信息的映射关系生成安全上下文信息；所述安全上下文信息用于第二sepp-u网元进行数据安全保护，其中所述第一sepp-u网元属于归属网络、所述第二sepp-u网元属于访问网络。结合第二方面，在第二方面的某些实现方式中，该第一用户面安全网元为第一安全边界防护代理sepp-u网元，该方法还包括：第一sepp-u网元接收第一upf网元在第一隧道发送的第一下行数据；根据所述第一隧道标识信息与第一安全上下文的映射关系，采用第一安全上下文对所述第一下行数据进行数据安全保护。在本申请实施例中，归属网络smf网元根据第一业务信息确定安全策略信息，归属网络smf网元向用户面安全网元发送安全策略信息，用户面安全网元根据安全策略信息生成安全上下文信息，安全上下文信息与隧道标识信息具有映射关系，因此用户面安全网元可以根据安全上下文与隧道标识信息的映射关系采用相应的安全上下文进行数据安全保护。第三方面，本申请提供了一种用户面安全保护的装置，该装置可以实现上述第一方面所涉及的方法中smf所执行的功能，所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个上述功能相应的单元或模块。在一种可能的设计中，该装置的结构中包括处理器和通信接口，该处理器被配置为支持该装置执行上述方法中相应的功能。该通信接口用于支持该装置与其它装置之间的通信。该装置还可以包括存储器，该存储器用于与处理器耦合，其保存该装置必要的程序指令和数据用于实现上述功能。在一种可能的设计中，该装置包括处理单元和通信单元，该通信单元用于接收第二smf网元发送的会话创建请求信息，所述会话创建请求信息包括第一业务信息；该处理单元用于根据所述第一业务信息确定安全策略信息；该通信单元向第一用户面安全网元发送安全策略信息；所述安全策略信息用于第一用户面安全网元根据所述安全策略信息生成安全上下文信息；其中所述第一用户面安全网元属于归属网络，所述第二smf网元属于访问网络。可选的，第一业务信息包括数据网络名称dnn信息和/或网络切片选择nssai信息。应理解，在本申请实施例中，业务信息#e与安全策略信息#s具有映射关系，安全策略信息#s与安全上下文信息#a具有映射关系，安全上下文信息#a与隧道标识信息#t具有映射关系，因此用户面安全网元可以根据安全上下文#a与隧道标识信息#t的映射关系采用相应的安全上下文进行数据安全保护。可选的，该安全策略信息包括第一指示信息、第二指示信息，其中，所述第一指示信息用于指示所述第一用户面安全网元是否采用加密算法进行数据加密保护，所述第二指示信息用于指示所述第一用户面安全网元是否采用完整性保护算法进行数据完整性保护。或者，该安全策略信息包括安全上下文信息，该安全上下文信息用于指示用户面安全网元是否进行加密保护，和/或是否进行完整性保护。例如，安全上下文信息可以指示用户面安全网元进行用户面数据加密，或者用户面数据完整性保护，或者用户面数据加密和用户面数据完整性保护，或者不进行用户面数据加密和用户面数据完整性保护。可选的，该通信单元还用于：向第二smf网元发送会话创建响应信息，所述会话创建响应信息用于指示第二smf网元向第二upf网元发送安全策略信息，其中所述第二upf网元属于访问网络。第四方面，本申请提供了一种用户面安全保护的装置，该装置可以实现上述方面所涉及的方法中upf所执行的功能，所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个上述功能相应的单元或模块。在一种可能的设计中，该装置的结构中包括处理器和通信接口，该处理器被配置为支持该装置执行上述方法中相应的功能。该通信接口用于支持该装置与其它装置之间的通信。该装置还可以包括存储器，该存储器用于与处理器耦合，其保存该装置必要的程序指令和数据用于实现上述功能。在一种可能的设计中，该装置包括处理单元和通信单元，该通信单元用于接收第一smf网元发送的安全策略信息，所述安全策略信息与第一业务信息具有映射关系；根据所述安全策略信息生成安全上下文信息，所述安全上下文信息用于第一用户面安全网元进行数据安全保护；其中，所述第一用户面安全网元、第一smf网元属于归属网络。可选的，归属网络smf网元可以复用从udm获取的ue签约数据中的的ran侧安全策略信息，或者，新增ue在udm的sepp-u侧安全策略签约数据，或者归属网络smf网元根据第一业务信息确定安全策略信息，或者vsmf向hsmf发送ue新增的应用层相关参数，由hsmf根据ue新增的应用层相关参数进行安全策略决策。可选的，第一业务信息包括数据网络名称dnn信息和/或网络切片选择nssai信息。应理解，在本申请实施例中，业务信息#e与安全策略信息#s具有映射关系，安全策略信息#s与安全上下文信息#a具有映射关系，安全上下文信息#a与隧道标识信息#t具有映射关系，因此用户面安全网元可以根据安全上下文#a与隧道标识信息#t的映射关系采用相应的安全上下文进行数据安全保护。可选的，该安全策略信息#s包括第一指示信息、第二指示信息，其中，所述第一指示信息用于指示所述第一用户面安全网元是否采用加密算法进行数据加密保护，所述第二指示信息用于指示所述第一用户面安全网元是否采用完整性保护算法进行数据完整性保护。或者，该安全策略信息包括安全上下文信息，该安全上下文信息用于指示用户面安全网元是否进行加密保护，和/或是否进行完整性保护。例如，安全上下文信息可以指示用户面安全网元进行用户面数据加密，或者用户面数据完整性保护，或者用户面数据加密和用户面数据完整性保护，或者不进行用户面数据加密和用户面数据完整性保护。可选的，该通信单元还用于：向第二用户面安全网元发送安全策略信息，所述安全策略信息用于指示第二用户面安全网元根据所述安全策略信息与业务信息的映射关系生成安全上下文信息；所述安全上下文信息用于第二用户面安全网元进行数据安全保护，其中所述第二用户面安全网元属于访问网络。可选的，该通信单元还用于：接收第一upf网元在第一隧道发送的第一下行数据；根据所述第一隧道标识信息与第一安全上下文的映射关系，采用第一安全上下文对所述第一下行数据进行数据安全保护。可选的，该通信单元还用于：根据所述第一隧道标识信息与第一安全上下文的映射关系，采用第一安全上下文对第一下行数据进行数据安全保护；向第二upf网元发送所述第一下行数据，其中所述第二upf网元属于访问网络。第五方面，本申请提供了一种计算机存储介质，用于储存为上述smf所用的计算机软件指令，其包含用于执行上述第一方面所设计的程序。第六方面，本申请提供了一种计算机存储介质，用于储存为上述upf或sepp-u所用的计算机软件指令，其包含用于执行上述第二方面所设计的程序。第七方面，本申请提供了一种通信芯片，其中存储有指令，当其在smf上运行时，使得所述通信芯片控制smf执行上述第一方面的方法。第八方面，本申请提供了一种通信芯片，其中存储有指令，当其在upf或sepp-u上运行时，使得所述通信芯片控制upf执行上第二方面的方法。第九方面，本申请提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序代码，当所述计算机程序代码被通信装置的通信单元和处理单元运行时，使得通信装置执行第一方面所涉及的方法。第十方面，本申请提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序代码，当所述计算机程序代码被通信装置的通信单元和处理单元运行时，使得通信装置执行第二方面所涉及的方法。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。附图说明图1是本申请实施例提供的用户面安全保护方法的网络架构的示意图。图2是本申请实施例提供的一种用户面安全保护方法的示意性交互图。图3是本申请实施例提供的一种用户面安全保护方法的示意性流程图。图4是本申请实施例提供的一种用户面安全保护方法的示意性流程图。图5是本申请实施例提供的一种用户面安全保护方法的示意性交互图。图6是本申请实施例提供的一种用户面安全保护方法的示意性交互图。图7是本申请实施例提供的一种用户面安全保护方法的示意性交互图。图8是本申请实施例提供的一种用户面安全保护方法的示意性交互图。图9是本申请实施例提供的一种可能的smf网元的结构示意图。图10是本申请实施例提供的另一种可能的smf网元的结构示意图。图11是本申请实施例的一种可能的用户面安全网元的结构示意图。图12是本申请实施例的另一种可能的用户面安全网元的结构示意图。具体实施方式下面将结合附图，对本申请中的技术方案进行描述。本申请实施例的技术方案可以应用于各种通信系统，例如：全球移动通信(globalsystemformobilecommunications，gsm)系统、码分多址(codedivisionmultipleaccess，cdma)系统、宽带码分多址(widebandcodedivisionmultipleaccess，wcdma)系统、通用分组无线业务(generalpacketradioservice，gprs)、长期演进(longtermevolution，lte)系统、lte频分双工(frequencydivisionduplex，fdd)系统、lte时分双工(timedivisionduplex，tdd)、通用移动通信系统(universalmobiletelecommunicationsystem，umts)、全球互联微波接入(worldwideinteroperabilityformicrowaveaccess，wimax)通信系统、未来的第五代(5thgeneration，5g)系统或新无线(newradio，nr)等。应理解，本申请实施例并未对本申请实施例提供的方法的执行主体的具体结构特别限定，只要能够通过运行记录有本申请实施例的提供的方法的代码的程序，以根据本申请实施例提供的方法进行通信即可，例如，本申请实施例提供的方法的执行主体可以是终端或网络设备，或者，是ue或网络设备中能够调用程序并执行程序的功能模块。为便于理解本申请实施例，首先结合图1详细说明本申请实施例的一个应用场景。图1是适用于本申请实施例提供的方法的网络架构的示意图。如图所示，该网络架构例如可以是漫游(homerouted)架构。该网络架构具体可以包括下列网元：1、用户设备(userequipment，ue)：可以称终端设备、终端、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、无线通信设备、用户代理或用户装置。ue还可以是蜂窝电话、无绳电话、会话启动协议(sessioninitiationprotocol，sip)电话、无线本地环路(wirelesslocalloop，wll)站、个人数字助理(personaldigitalassistant，pda)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备，未来5g网络中的终端设备或者未来演进的公用陆地移动通信网络(publiclandmobilenetwork，plmn)中的终端设备等，还可以是端设备，逻辑实体，智能设备，如手机，智能终端等终端设备，或者服务器，网关，基站，控制器等通信设备，或者物联网设备，如传感器，电表，水表等物联网(internetofthings，iot)设备。本申请实施例对此并不限定。在本申请实施例中，ue存储有长期密钥(longtermkey)。ue在与核心网网元(例如下文所述的amf实体、ausf实体)进行双向鉴权的时候，会使用长期密钥和相关函数验证网络的真实性，从而可以保证数据传输的安全性。2、接入网(accessnetwork，an)：为特定区域的授权用户提供入网功能，并能够根据用户的级别，业务的需求等使用不同质量的传输隧道。接入网络可以为采用不同接入技术的接入网络。目前的无线接入技术有两种类型：第三代合作伙伴计划(3rdgenerationpartnershipproject，3gpp)接入技术(例如3g、4g或5g系统中采用的无线接入技术)和非第三代合作伙伴计划(non-3gpp)接入技术。3gpp接入技术是指符合3gpp标准规范的接入技术，采用3gpp接入技术的接入网络称为无线接入网络(radioaccessnetwork，ran)，其中，5g系统中的接入网设备称为下一代基站节点(nextgenerationnodebasestation，gnb)。非3gpp接入技术是指不符合3gpp标准规范的接入技术，例如，以wifi中的接入点(accesspoint，ap)为代表的空口技术。基于无线通信技术实现接入网络功能的接入网可以称为无线接入网(radioaccessnetwork，ran)。无线接入网能够管理无线资源，为终端提供接入服务，进而完成控制信号和用户数据在终端和核心网之间的转发。无线接入网例如可以是基站(nodeb)、演进型基站(evolvednodeb，enb或enodeb)、5g移动通信系统中的基站(gnb)、未来移动通信系统中的基站或wifi系统中的ap等，还可以是云无线接入网络(cloudradioaccessnetwork，cran)场景下的无线控制器，或者该接入网设备可以为中继站、接入点、车载设备、可穿戴设备以及未来5g网络中的网络设备或者未来演进的plmn网络中的网络设备等。本申请的实施例对无线接入网设备所采用的具体技术和具体设备形态不做限定。3、接入和移动管理功能(accessandmobilitymanagementfunction，amf)实体：主要用于移动性管理和接入管理等，可以用于实现移动性管理实体(mobilitymanagemententity，mme)功能中除会话管理之外的其它功能，例如，合法监听、或接入授权(或鉴权)等功能。在本申请实施例中，可用于实现接入和移动管理网元的功能。4、会话管理功能(sessionmanagementfunction，smf)实体：主要用于会话管理、ue的网际协议(internetprotocol，ip)地址分配和管理、选择可管理用户平面功能、策略控制、或收费功能接口的终结点以及下行数据通知等。在本申请实施例中，可用于实现会话管理网元的功能。5、用户平面功能(userplanefunction，upf)实体：即，数据面网关。可用于分组路由和转发、或用户面数据的服务质量(qualityofservice，qos)处理等。用户数据可通过该网元接入到数据网络(datanetwork，dn)。在本申请实施例中，可用于实现用户面网关的功能。6、数据网络(dn)：用于提供传输数据的网络。例如，运营商业务的网络、因特(internet)网、第三方的业务网络等。7、认证服务功能(authenticationserverfunction，ausf)实体：主要用于用户鉴权等。8、网络开放功能(networkexposurefunction，nef)实体：用于安全地向外部开放由3gpp网络功能提供的业务和能力等。9、网络存储功能((networkfunction(nf)repositoryfunction，nrf)实体：用于保存网络功能实体以及其提供服务的描述信息，以及支持服务发现，网元实体发现等。10、策略控制功能(policycontrolfunction，pcf)实体：用于指导网络行为的统一策略框架，为控制平面功能网元(例如amf，smf网元等)提供策略规则信息等。11、统一数据管理(unifieddatamanagement，udm)实体：用于处理用户标识、接入鉴权、注册、或移动性管理等。12、应用功能(applicationfunction，af)实体：用于进行应用影响的数据路由，接入网络开放功能网元，或，与策略框架交互进行策略控制等。在该网络架构中，n1接口为终端与amf实体之间的参考点；n2接口为smf和upf实体的参考点，用于非接入层(non-accessstratum，nas)消息的发送等；n3接口为(r)an和upf实体之间的参考点，用于传输用户面的数据等；n4接口为smf实体和upf实体之间的参考点，用于传输例如n3连接的隧道标识信息，数据缓存指示信息，以及下行数据通知消息等信息；n6接口为upf实体和dn之间的参考点，用于传输用户面的数据等。应理解，上述应用于本申请实施例的网络架构仅是举例说明的从传统点到点的架构和服务化架构的角度描述的网络架构，适用本申请实施例的网络架构并不局限于此，任何能够实现上述各个网元的功能的网络架构都适用于本申请实施例。还应理解，图1中所示的amf实体、smf实体、upf实体、nssf实体、nef实体、ausf实体、nrf实体、pcf实体、udm实体可以理解为核心网中用于实现不同功能的网元，例如可以按需组合成网络切片。这些核心网网元可以各自独立的设备，也可以集成于同一设备中实现不同的功能，本申请对此不做限定。下文中，为便于说明，将用于实现amf的实体记作接入和移动管理网元，将用于实现smf的实体记作会话管理网元，将用于实现upf的实体记作用户面网关，将用于实现udm功能的实体记作统一数据管理网元，将用于实现pcf的实体记作策略控制网元。应理解，上述命名仅为用于区分不同的功能，并不代表这些网元分别为独立的物理设备，本申请对于上述网元的具体形态不作限定，例如，可以集成在同一个物理设备中，也可以分别是不同的物理设备。此外，上述命名仅为便于区分不同的功能，而不应对本申请构成任何限定，本申请并不排除在5g网络以及未来其它的网络中采用其他命名的可能。例如，在6g网络中，上述各个网元中的部分或全部可以沿用5g中的术语，也可能采用其他名称等。在此进行统一说明，以下不再赘述。还应理解，图1中的各个网元之间的接口名称只是一个示例，具体实现中接口的名称可能为其他的名称，本申请对此不作具体限定。此外，上述各个网元之间的所传输的消息(或信令)的名称也仅仅是一个示例，对消息本身的功能不构成任何限定。3gpp定义了漫游接口控制面的安全网关sepp-u来进行控制面的安全保护，同时也定义了访问网络的vsepp-u与归属网络的hsepp-u直接的安全策略协商机制。在home-routed的漫游场景下，跨plmn的vupf与hupf之间缺乏类似的安全机制进行保护，其中3gpp33.501中upf之间的n9接口采用的是nds/ip的保护方法，用户面安全保护方式单一，无法根据业务需求采取相应的安全保护策略。因此，如何采用灵活的用户面安全保护策略成为亟待解决的问题。因此，如何进行用户面安全策略的选取以及传递、确定用户面安全密钥和算法协商、建立用户面安全策略与用户面会话标识信息的映射关系，成为亟待解决的重要问题。为了易于理解本申请，以下将访问网络用户面功能upf网元、归属网络用户面功能upf网元分别记作vupf网元、hupf网元，将访问网络会话管理功能smf网元、归属网络会话管理功能smf网元分别记作vsmf网元、hsmf网元，将访问网络安全边界防护代理sepp-u网元、归属网络安全边界防护代理sepp-u网元分别记作vsepp-u网元、hsepp-u网元，其中sepp-u网元用于漫游接口安全。本申请的用户面安全保护方法可以应用于5ghome-routed场景，访问网络vplmn与归属网络hplmn之间的用户面安全保护，主要包括以下情况：当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。在此情况下，sepp-u网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。当用户面功能upf网元(vupf网元、hupf网元)不引入用户面安全网关时，可以由用户面功能upf网元根据安全策略信息#s生成安全上下文信息#a。在此情况下，用户面upf网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。图2示出了本申请实施例的一种安全保护方法的示意性交互图。在s201，smf网元#2向smf网元#1发送协议数据单元pdu(protocoldataunit，pdu)会话创建请求信息，该pdu会话创建请求信息包括业务信息#e。例如，vsmf通过nsmf_pdusession_createrequest向hsmf发送会话创建请求信息。在s202，smf网元#2根据业务信息#e确定安全策略信息#s，该业务信息#e包括数据网络名称信息dnn、网络切片选择信息nssai。可选的，归属网络smf网元可以复用从统一数据管理平台(unifieddatamanager，udm)获取的ue签约数据中的的ran侧安全策略信息，或者，新增ue在udm的sepp-u侧安全策略签约数据，或者归属网络smf网元根据第一业务信息确定安全策略信息，或者vsmf向hsmf发送ue新增的应用层相关参数，由hsmf根据ue新增的应用层相关参数进行安全策略决策。在s203，smf网元#1向用户面安全网元#1发送安全策略信息#s，该安全策略信息包括用户面加密指示信息、用户面完整性保护指示信息。其中，该用户面加密指示信息用于指示用户面安全网元#1是否采用加密算法、该用户面完整性保护算法用于指示用户面安全网元#1是否采用完整性保护算法。或者，该安全策略信息#s包括安全上下文信息#a，该安全上下文信息用于指示用户面安全网元是否进行加密保护，和/或是否进行完整性保护。在s204，用户面安全网元#1根据安全策略信息#s生成安全上下文信息#a，该安全上下文信息#a用于用户面安全网元#1采用相应的加密算法、完整性保护算法进行数据安全保护。例如，在图1所示的场景下，安全上下文信息与隧道信息v-cn-tunnel、h-cn-tunnel的对应关系如下表所示：表1安全上下文与v-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1v-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2v-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3v-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4v-cn-tunnel#4安全策略信息#s4安全上下文a#4表2安全上下文与h-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1h-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2h-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3h-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4h-cn-tunnel#4安全策略信息#s4安全上下文a#4作为示例而非限定，安全上下文#a1可用于开启用户面加密保护，该安全上下文#a2可用于开启用户面完整性保护，该安全上下文#a3可用于开启用户面加密保护、用户面完整性保护，该安全上下文#a4可用于不开启用户面加密保护、用户面完整性保护。作为示例而非限定，本申请的数据安全保护方法可以应用于5ghome-routed场景，实现访问网络vplmn与归属网络hplmn之间的用户面安全保护。可选的，该用户面安全网元#1、用户面安全网元#2分别为归属网络upf网元、访问网络upf网元；或者，该用户面安全网元#1、用户面安全网元#2分别为归属网络sepp-u网元、访问网络sepp-u网元。情况#a1当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元(sepp-u网元#1、sepp-u网元#2)根据安全策略信息#s生成安全上下文信息#a。其中，sepp-u网元#1属于归属网络、sepp-u网元#2属于访问网络。在s204，sepp-u网元#1根据安全策略信息#s生成安全上下文信息#a，该安全上下文信息#a用于用户面安全网元#1采用相应的加密算法、完整性保护算法进行数据安全保护。可选的，sepp-u网元#1根据安全策略#s生成安全上下文信息#a，sepp-u网元#1向sepp-u网元#2发送安全上下文信息#a；或者，sepp-u网元#1根据安全策略#s生成安全上下文信息#a，sepp-u网元#1向sepp-u网元#2发送安全策略信息#s，sepp-u网元#2根据安全策略#s生成安全上下文信息#a。在此情况下，sepp-u网元在收到用户面upf数据时，根据安全上下文信息#a与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。例如，归属网络的sepp-u网元接收下行数据#1，根据安全上下文信息#a1与隧道标识信息h-cn-tunnel#1的映射关系，采用安全上下文信息#a1对下行数据#1进行数据安全保护。例如，访问网络的sepp-u网元接收上下数据#1，根据安全上下文信息#a1与隧道标识信息v-cn-tunnel#1的映射关系，采用安全上下文信息#a1对上行数据#1进行数据安全保护。在s205，smf网元#1向smf网元#2发送会话创建响应信息。情况#a2当用户面功能upf网元(upf网元#1、upf网元#2)不引入用户面安全网关时，可以由用户面功能upf网元根据安全策略信息#s生成安全上下文信息#a。在s204，upf网元#1根据安全策略信息#s生成安全上下文信息#a，该安全上下文信息#a用于用户面安全网元#1采用相应的加密算法、完整性保护算法进行数据安全保护。在s205，smf网元#1向smf网元#2发送会话创建响应信息，该会话创建响应信息用于指示smf网元#2向upf网元#2发送安全策略信息#s，其中upf网元#2属于访问网络。相应地，upf网元#2根据安全策略信息#s生成安全上下文信息#a，该安全上下文信息#a用于用户面安全网元#2采用相应的加密算法、完整性保护算法进行数据安全保护。在此情况下，用户面功能upf网元在收到用户面upf数据时，upf网元激活用户面安全，开启下行数据加密和/或完整性保护；或者，采用相应的安全上下文开启上行数据解密和/或完整性保护验证。即upf网元根据安全上下文信息#a与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。例如，归属网络的sepp-u网元接收下行数据#1，根据安全上下文信息#a1与隧道标识信息h-cn-tunnel#1的映射关系，采用安全上下文信息#a1对下行数据#1进行数据安全保护。例如，访问网络的sepp-u网元接收上下数据#1，根据安全上下文信息#a1与隧道标识信息v-cn-tunnel#1的映射关系，采用安全上下文信息#a1对上行数据#1进行数据安全保护。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。作为示例而非限定，在本申请实施例中，访问网络的安全策略转发路径包括以下情况：例如，hsmf—hsepp—vsepp，即用户面安全策略由hsmf进行决策，hsmf将安全策略通过hsepp转发给vsepp。再例如，hsmf—hsepp-c—vsepp-c—vsmf—vsepp-u，即用户面安全策略由hsmf进行决策，hsmf将安全策略通过hsepp-c—vsepp-c—vsmf转发给vsepp。再例如，hsmf—hupf—hsepp-u—vsepp-u，即用户面安全策略由hsmf进行决策，hsmf将安全策略通过hsepp转发给vsepp。再例如，hsmf—hsepp-c—vsepp-c—vsmf—vupf—vsepp-u，即用户面安全策略由hsmf进行决策，hsmf将安全策略通过hsepp-c—vsepp-c—vsmf—vupf转发给vsepp。作为示例而非限定，在本申请实施例中，归属网络的安全策略转发路径包括以下情况：例如，hsmf—hsepp，即用户面安全策略由hsmf进行决策，hsmf将安全策略转发给hsepp。再例如，hsmf—hupf—hsepp-u，即用户面安全策略由hsmf进行决策，hsmf将安全策略转发给hsepp。图3示出了本申请实施例的一种安全保护方法的示意性流程图。在s301，smf网元#2接收smf网元#1发送的会话创建请求信息，该会话创建请求信息包括业务信息#e。其中，smf网元#2属于归属网络，smf网元#1属于访问网络。可选的，该业务信息#e包括数据网络名称信息(datanetworkname，dnn)、网络切片选择信息(networksliceselectionassistanceinformation，nssai)。例如，vsmf通过nsmf_pdusession_createrequest向hsmf发送会话创建请求信息。在s302，smf网元#2根据业务信息#e确定安全策略信息#s。在s303，向归属网络用户面安全网元发送安全策略信息#s；所述安全策略信息用于归属网络用户面安全网元根据安全策略信息#s生成安全上下文信息#a。例如，在图1所示的场景下，安全上下文信息与隧道信息v-cn-tunnel、h-cn-tunnel的对应关系如下表所示：表1安全上下文与v-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1v-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2v-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3v-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4v-cn-tunnel#4安全策略信息#s4安全上下文a#4表2安全上下文与h-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1h-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2h-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3h-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4h-cn-tunnel#4安全策略信息#s4安全上下文a#4作为示例而非限定，安全上下文#a1可用于开启用户面加密保护，该安全上下文#a2可用于开启用户面完整性保护，该安全上下文#a3可用于开启用户面加密保护、用户面完整性保护，该安全上下文#a4可用于不开启用户面加密保护、用户面完整性保护。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。图4示出了本申请实施例的一种安全保护方法的示意性流程图。在s401，接收归属网络smf网元发送的安全策略信息#s，安全策略信息#s与业务信息#e具有映射关系。可选的，安全策略信息#s包括指示信息#1、指示信息#2，其中，所述指示信息#1用于指示所述用户面安全网元#1是否采用加密算法进行数据加密保护，所述指示信息#2用于指示所述用户面安全网元#1是否采用完整性保护算法进行数据完整性保护。在s402，根据安全策略信息#s与业务信息#e的映射关系生成安全上下文信息#a，安全上下文信息#e用于归属网络用户面安全网元进行数据安全保护。该安全上下文信息#a用于用户面安全网元#1采用相应的加密算法、完整性保护算法进行数据安全保护。例如，安全上下文信息可以指示用户面安全网元进行用户面数据加密，或者用户面数据完整性保护，或者用户面数据加密和用户面数据完整性保护，或者不进行用户面数据加密和用户面数据完整性保护。情况#a1当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元(sepp-u网元#1、sepp-u网元#2)根据安全策略信息#s生成安全上下文信息#a。其中，sepp-u网元#1属于归属网络、sepp-u网元#2属于访问网络。sepp-u网元#1根据安全策略信息#s生成安全上下文信息#a，该安全上下文信息#a用于用户面安全网元#1采用相应的加密算法、完整性保护算法进行数据安全保护。可选的，sepp-u网元#1根据安全策略#s生成安全上下文信息#a，sepp-u网元#1向sepp-u网元#2发送安全上下文信息#a；或者，sepp-u网元#1根据安全策略#s生成安全上下文信息#a，sepp-u网元#1向sepp-u网元#2发送安全策略信息#s，sepp-u网元#2根据安全策略#s生成安全上下文信息#a。在此情况下，sepp-u网元在收到用户面upf数据时，根据安全上下文信息#a与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。例如，归属网络的sepp-u网元接收下行数据#1，根据安全上下文信息#a1与隧道标识信息h-cn-tunnel#1的映射关系，采用安全上下文信息#a1对下行数据#1进行数据安全保护。例如，访问网络的sepp-u网元接收上下数据#1，根据安全上下文信息#a1与隧道标识信息v-cn-tunnel#1的映射关系，采用安全上下文信息#a1对上行数据#1进行数据安全保护。情况#a2当用户面功能upf网元(upf网元#1、upf网元#2)不引入用户面安全网关时，可以由用户面功能upf网元根据安全策略信息#s生成安全上下文信息#a。upf网元#1根据安全策略信息#s生成安全上下文信息#a，该安全上下文信息#a用于用户面安全网元#1采用相应的加密算法、完整性保护算法进行数据安全保护。upf网元#2根据安全策略信息#s生成安全上下文信息#a，该安全上下文信息#a用于用户面安全网元#2采用相应的加密算法、完整性保护算法进行数据安全保护。在此情况下，用户面功能upf网元在收到用户面upf数据时，upf网元激活用户面安全，开启下行数据加密和/或完整性保护；或者，采用相应的安全上下文开启上行数据解密和/或完整性保护验证。即upf网元根据安全上下文信息#a与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。例如，upf网元#1根据安全上下文信息#a1与隧道标识信息h-cn-tunnel#1的映射关系，采用安全上下文信息#a1对下行数据#1进行数据安全保护，upf网元#1向upf网元#2发送下行数据#1。例如，upf网元#2根据安全上下文信息#a1与隧道标识信息h-cn-tunnel#1的映射关系，采用安全上下文信息#a1对下行数据#1进行数据安全保护，upf网元#2向upf网元#1发送上行数据#1。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。图5示出了本申请实施例的一种安全保护方法的示意性交互图。参见图5，当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。在此情况下，sepp-u网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。在s501、vsmf网元获取vupf网元的隧道信息v-cn-tunnel。具体的，vsmf网元获取vupf网元的v-cn-tunnel信息，v-cn-tunnel信息是vupf网元用于上行数据传输的隧道标识信息。应理解，在本申请实施例中，隧道标识信息也可以成为隧道标识信息。在s502、vsmf网元向hsmf网元发送pdu会话创建请求信息。具体的，vsmf网元向hsmf网元发送pdu会话创建请求信息，pdu会话创建请求信息包括：pdu会话标识信息、vupf网元的v-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。例如，vsmf通过nsmf_pdusession_createrequest向hsmf发送会话创建请求信息。其中，vsmf网元、hsmf网元分别属于访问网络、归属网络；vupf网元、hupf网元分别属于访问网络、归属网络。例如，vsmf通过nsmf_pdusession_createrequest向hsmf发送会话创建请求信息。在s503、hsmf网元确定vupf网元和hupf网元的安全策略信息#s。具体的，hsmf网元获取hupf网元的隧道信息h-cn-tunnel，该隧道信息h-cn-tunnel用于hupf网元向vupf网元发送下行数据。hsmf网元确定vupf网元和hupf网元的安全策略信息#s，包括安全算法和安全密钥。该安全策略信息#s用于指示sepp-u网元选择相应的安全上下文，以确定是否开启用户面加密保护和/或用户面完整性保护。相应地，sepp-u网元根据安全策略信息#s确定安全上下文#a，选择加密算法开启用户面加密保护、选择完整性保护算法开启用户面完整性保护。可选的，该安全策略信息#s用于sepp-u网元根据安全上下文#a与隧道标识信息的映射关系选择相应的安全上下文，以开启不同类型的安全保护。或者，该安全策略信息#s用于sepp-u网元根据安全上下文#a与隧道标识信息的映射关系选择相应的安全上下文标识信息，以开启不同类型的安全保护。例如，在图1所示的场景下，安全上下文信息与隧道信息v-cn-tunnel、h-cn-tunnel的对应关系如下表所示：表1安全上下文与v-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1v-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2v-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3v-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4v-cn-tunnel#4安全策略信息#s4安全上下文a#4表2安全上下文与h-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1h-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2h-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3h-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4h-cn-tunnel#4安全策略信息#s4安全上下文a#4作为示例而非限定，安全上下文#a1可用于开启用户面加密保护，该安全上下文#a2可用于开启用户面完整性保护，该安全上下文#a3可用于开启用户面加密保护、用户面完整性保护，该安全上下文#a4可用于不开启用户面加密保护、用户面完整性保护。相应的，sepp-u网元在接收到upf网元发送的下行数据或上行数据后，sepp-u网元激活用户面安全，开启下行数据加密和/或完整性保护；或者，采用相应的安全上下文开启上行数据解密和/或完整性保护验证。应理解，本申请实施例中并不限制用户面安全策略只包括用户面完整性保护是否需要激活、用户面加密保护是否需要激活，也就是说，安全策略中可以包括更多的内容，比如建议的算法强度等内容。作为示例而非限定，归属网络smf网元可以复用从udm获取的ue签约数据中的的ran侧安全策略信息，或者，新增ue在udm的sepp-u侧安全策略签约数据，或者归属网络smf网元根据业务信息#e确定安全策略信息，或者vsmf向hsmf发送ue新增的应用层相关参数，由hsmf根据ue新增的应用层相关参数进行安全策略决策。在s504、hsmf网元向hsepp-u网元发送安全策略信息#s。具体的，hsmf网元向hsepp-u网元发送安全策略信息#s，该安全策略信息#a保存了安全策略信息#s与v-cn-tunnel、h-cn-tunnel的映射关系。其中，v-cn-tunnel信息用于vupf网元和hupf网元的上行数据传输，h-cn-tunnel信息用于vupf网元和hupf网元的下行数据传输。在s505、hsepp-u网元向vsepp-u网元发送安全策略信息#s。具体的，hsepp-u网元向vsepp-u网元发送安全策略信息#s，该安全策略信息#a保存了安全策略信息#s与v-cn-tunnel、h-cn-tunnel的映射关系。在s506、hsepp-u网元和vsepp-u网元根据安全策略信息#s确定安全上下文信息。vsepp-u网元和hsepp-u网元根据安全策略信息#s确定安全上下文信息，该安全上下文信息包括安全上下文a#1、安全上下文a#2，安全上下文a#1用于vupf网元在v-cn-tunnel传输下行数据，安全上下文a#2用于hupf网元在h-cn-tunnel传输上行数据。其中，安全上下文a#1、安全上下文a#2用于vupf网元和hupf网元的数据传输过程中的安全保护。在s507、建立安全上下文信息和v-cn-tunnel、h-cn-tunnel的映射关系。具体的，hsepp、vsepp分别建立安全上下文信息与h-cn-tunnel-info、v-cn-tunnel-info的映射关系，以用于在下行数据传输或上行数据传输时选择相应的安全上下文进行数据安全保护。或者，sepp-u在协商好安全上下文信息后，为安全上下文信息分配对应的安全上下文内容(context)，建立安全上下文标识信息(contextid)与隧道信息h-cn-tunnel-info、v-cn-tunnel-info映射关系。相应的，sepp-u在收到upf数据时，sepp-u根据upf的隧道信息cn-tunnel-info，选择对应的安全上下文进行数据安全保护，或者根据cn-tunnel-info与安全上下文标识信息(contextid)的映射关系，选择相应的安全上下文(context)进行数据安全保护。在s508、hsmf网元向vsmf网元发送pdu会话创建响应信息，以建立vupf网元和hupf网元的安全会话。hsmf网元向vsmf网元发送pdu会话创建响应信息，该pdu会话创建请求信息包括：pdu会话标识信息、hupf网元的h-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。在s509，根据安全上下文信息与隧道标识信息的映射关系进行数据安全保护。作为示例而非限定，vupf网元向vsepp-u网元发送上行数据#1，vsepp-u根据v-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对上行数据#1进行数据安全保护；vsepp-u网元向hsepp-u网元发送上行数据#1，hsepp-u网元向hupf网元发送上行数据#1。作为示例而非限定，hupf网元向hsepp-u网元发送下行数据#1，hsepp-u根据h-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对下行数据#1进行数据安全保护；hsepp-u网元向vsepp-u网元发送下行数据#1，vsepp-u网元向vupf网元发送下行数据#1。可选的，sepp-u在收到upf数据时，sepp-u根据upf的隧道信息cn-tunnel-info，选择对应的安全上下文进行数据安全保护，或者根据cn-tunnel-info与安全上下文标识信息(contextid)的映射关系，选择相应的安全上下文(context)进行数据安全保护。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。图6示出了本申请实施例的一种安全保护方法的示意性交互图。参见图6，当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。在此情况下，sepp-u网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。在s601、vsmf网元获取vupf网元的隧道信息v-cn-tunnel。具体的，vsmf网元获取vupf网元的v-cn-tunnel信息，v-cn-tunnel信息是vupf网元用于上行数据传输的隧道标识信息。在s602、vsmf网元向hsmf网元发送pdu会话创建请求信息。具体的，vsmf网元向hsmf网元发送pdu会话创建请求信息，pdu会话创建请求信息包括：pdu会话标识信息、vupf网元的v-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。例如，vsmf通过nsmf_pdusession_createrequest向hsmf发送会话创建请求信息。其中，vsmf网元、hsmf网元分别属于访问网络、归属网络；vupf网元、hupf网元分别属于访问网络、归属网络。在s603、hsmf网元获取hupf网元的隧道信息h-cn-tunnel。具体的，hsmf网元获取hupf网元的h-cn-tunnel信息。在s604、hsmf网元向hsepp-u网元发送业务信息#e，该业务信息#e包括：nssai信息和或dnn信息、v-cn-tunnel信息、h-cn-tunnel信息。其中，v-cn-tunnel信息用于vupf网元和hupf网元的上行数据传输，h-cn-tunnel信息用于vupf网元和hupf网元的下行数据传输。应理解，在本申请实施例中，hsmf网元可以向hsepp网元转发业务信息#e、隧道信息v-cn-tunnel、h-cn-tunnel；由hsepp根据业务信息#e确定安全策略信息#s。可选的，hsmf网元可以向hsepp网元转发ue新增的参数，由hsepp网元根据ue新增的参数确定安全策略信息#s。在s605、hsepp-u网元根据业务信息#e确定安全策略信息#s，包括安全算法和安全密钥。该安全策略信息#s用于指示sepp-u网元选择相应的安全上下文，以确定是否开启用户面加密保护和/或用户面完整性保护。相应地，sepp-u网元根据安全策略信息#s确定安全上下文#a，选择加密算法开启用户面加密保护、选择完整性保护算法开启用户面完整性保护。该安全策略信息#s用于sepp-u网元根据安全上下文#a与隧道标识信息的映射关系选择相应的安全上下文，以开启不同类型的安全保护。当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。sepp-u网元在接收到upf网元发送的下行数据或上行数据后，sepp-u网元激活用户面安全，开启下行数据加密和/或完整性保护；或者，采用相应的安全上下文开启上行数据解密和/或完整性保护验证。例如，在图1所示的场景下，安全上下文信息与隧道信息v-cn-tunnel、h-cn-tunnel的对应关系如下表所示：表1安全上下文与v-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1v-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2v-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3v-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4v-cn-tunnel#4安全策略信息#s4安全上下文a#4表2安全上下文与h-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1h-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2h-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3h-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4h-cn-tunnel#4安全策略信息#s4安全上下文a#4作为示例而非限定，安全上下文#a1可用于开启用户面加密保护，该安全上下文#a2可用于开启用户面完整性保护，该安全上下文#a3可用于开启用户面加密保护、用户面完整性保护，该安全上下文#a4可用于不开启用户面加密保护、用户面完整性保护。可选的，hsepp-u在根据业务信息#e确定安全策略信息#s后，hsepp-u将安全策略信息#s返回给hsmf，由hsmf向vsepp-u发送安全策略信息#s；或者，hsepp-u在根据业务信息#e确定安全策略信息#s后，由hsepp-u向vsepp-u发送安全策略信息#s。在s606、hsepp-u网元向vsepp-u网元发送安全策略信息#s，该安全策略信息#a保存了安全策略信息#s与v-cn-tunnel、h-cn-tunnel的映射关系。在s607、hsepp-u网元和vsepp-u网元根据安全策略信息#s确定安全上下文信息。vsepp-u网元和hsepp-u网元根据安全策略信息#s确定安全上下文信息，该安全上下文信息包括安全上下文a#1、安全上下文a#2，安全上下文a#1用于vupf网元在v-cn-tunnel传输下行数据，安全上下文a#2用于hupf网元在h-cn-tunnel传输上行数据。在s608、建立安全上下文信息和v-cn-tunnel、h-cn-tunnel的映射关系。具体的，hsepp、vsepp分别建立安全上下文信息与h-cn-tunnel-info、v-cn-tunnel-info的映射关系，以用于在下行数据传输或上行数据传输时选择相应的安全上下文进行数据安全保护。或者，sepp-u在协商好安全上下文信息后，为安全上下文信息分配对应的安全上下文内容(context)，建立安全上下文标识信息(contextid)与隧道信息h-cn-tunnel-info、v-cn-tunnel-info映射关系。相应的，sepp-u在收到upf数据时，sepp-u根据upf的隧道信息cn-tunnel-info，选择对应的安全上下文进行数据安全保护，或者根据cn-tunnel-info与安全上下文标识信息(contextid)的映射关系，选择相应的安全上下文(context)进行数据安全保护。在s609、hsmf网元向vsmf网元发送pdu会话创建响应信息，以建立vupf网元和hupf网元的安全会话。hsmf网元向vsmf网元发送pdu会话创建响应信息，该pdu会话创建请求信息包括：pdu会话标识信息、hupf网元的h-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。在s610，根据安全上下文信息与隧道标识信息的映射关系进行数据安全保护。作为示例而非限定，vupf网元向vsepp-u网元发送上行数据#1，vsepp-u根据v-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对上行数据#1进行数据安全保护；vsepp-u网元向hsepp-u网元发送上行数据#1，hsepp-u网元向hupf网元发送上行数据#1。相应的，hupf网元在接收vupf网元发送的上行数据后，hupf网元激活用户面安全，采用相应的安全上下文开启上行数据解密和/或完整性保护验证。作为示例而非限定，hupf网元向hsepp-u网元发送下行数据#1，hsepp-u根据h-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对下行数据#1进行数据安全保护；hsepp-u网元向vsepp-u网元发送下行数据#1，vsepp-u网元向vupf网元发送下行数据#1。相应的，vupf网元在接收hupf网元发送的下行数据后，vupf网元激活用户面安全，采用相应的安全上下文开启上行数据解密和/或完整性保护验证。应理解，在本申请实施例中，当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。当sepp-u网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。应理解，在本申请实施例中，归属网络安全策略的转发路径可以是：hsmf—hsepp-u；访问网络安全策略的转发路径可以是：hsmf—hsepp-c—vsepp-c—vsmf—vsepp-u，其中，访问网络安全策略的转发需要由hsmf经过控制面hsepp-c和vsepp-c转发到vsmf，然后由vsmf转发给vsepp-c。可选的，hsmf经过控制面hsepp-c和vsepp-c转发到vsmf可以由pdu会话创建响应nsmf_pdusession_createresponse服务进行转发。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。图7示出了本申请实施例的一种安全保护方法的示意性交互图。参见图7，当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元建立安全上下文信息与隧道标识信息的映射关系。在此情况下，sepp-u网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。在s701、hsepp-u网元和vsepp-u网元根据安全策略信息#s确定安全上下文信息。vsepp-u网元和hsepp-u网元根据安全策略信息#s确定安全上下文信息，该安全上下文信息包括安全上下文a1、安全上下文a2，安全上下文a1用于vupf网元在v-cn-tunnel传输下行数据过程中的安全保护，安全上下文a2用于hupf网元在h-cn-tunnel传输上行数据过程中的安全保护。可选的，vsepp-u网元和hsepp-u网元根据业务信息#e确定安全策略信息#s，该业务信息#e1包括：nssai信息和或dnn信息。其中，该安全策略信息#s包括安全算法和安全密钥，该安全策略信息#s用于指示sepp-u网元选择相应的安全上下文，以确定是否开启用户面加密保护和/或用户面完整性保护。相应地，sepp-u网元根据安全上下文与隧道标识信息的映射关系选择相应的安全上下文，以开启不同类型的安全保护。当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。sepp-u网元在接收到upf网元发送的下行数据或上行数据后，sepp-u网元激活用户面安全，开启下行数据加密和/或完整性保护；或者，采用相应的安全上下文开启上行数据解密和/或完整性保护验证。例如，在图1所示的场景下，安全上下文信息与隧道信息v-cn-tunnel、h-cn-tunnel的对应关系如下表所示：表1安全上下文与v-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1v-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2v-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3v-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4v-cn-tunnel#4安全策略信息#s4安全上下文a#4表2安全上下文与h-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1h-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2h-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3h-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4h-cn-tunnel#4安全策略信息#s4安全上下文a#4作为示例而非限定，安全上下文#a1可用于开启用户面加密保护，该安全上下文#a2可用于开启用户面完整性保护，该安全上下文#a3可用于开启用户面加密保护、用户面完整性保护，该安全上下文#a4可用于不开启用户面加密保护、用户面完整性保护。应理解，在协议数据单元pdu会话建立前，vsepp-u网元和hsepp-u网元可以根据数据网络名称信息dnn和/或网络切片选择信息nssai协商安全策略信息#s。由vsmf、hsmf将数据网络名称信息dnn和/或网络切片选择信息nssai、隧道信息传递给vsepp、hseep，sepp可以根据隧道信息对上下行数据进行数据安全保护。在s702、vsmf网元获取vupf网元的隧道信息v-cn-tunnel。具体的，vsmf网元获取vupf网元的v-cn-tunnel信息，v-cn-tunnel信息是vupf网元用于上行数据传输的隧道标识信息。在s703、vsmf网元向hsmf网元发送pdu会话创建请求信息。具体的，pdu会话创建请求信息包括：pdu会话标识信息、vupf网元的v-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。例如，vsmf通过nsmf_pdusession_createrequest向hsmf发送会话创建请求信息。其中，vsmf网元、hsmf网元分别属于访问网络、归属网络；vupf网元、hupf网元分别属于访问网络、归属网络。在s704、hsmf网元获取hupf网元的隧道信息h-cn-tunnel。具体的，hsmf网元获取hupf网元的h-cn-tunnel信息，h-cn-tunnel信息是vupf网元用于下行数据传输的隧道标识信息。在s705、hsmf网元向hsepp-u网元发送业务信息#e，该业务信息#e包括：nssai信息和或dnn信息、v-cn-tunnel信息、h-cn-tunnel信息。其中，v-cn-tunnel信息用于vupf网元和hupf网元的上行数据传输，h-cn-tunnel信息用于vupf网元和hupf网元的下行数据传输。可选的，hsepp-u或hsepp-u在收到smf传递的业务信息#e前，hsepp-u或vsepp-u可以建立业务信息#e与安全上下文信息的映射关系，hsepp-u或vsepp-u在收到smf传递的业务信息#e后，建立安全上下文信息或安全上下文标识信息与隧道信息v-cn-tunnel、h-cn-tunnel的映射关系。在s706、hsepp-u网元建立安全上下文信息和隧道信息h-cn-tunnel的映射关系。hsepp-u网元建立安全上下文a#1和h-cn-tunnel的映射关系，安全上下文a#1用于hupf网元在h-cn-tunnel传输上行数据。在s707、hsepp-u网元向vsepp-u网元发送业务信息#e，该业务信息#e包括：nssai信息和或dnn信息、v-cn-tunnel信息、h-cn-tunnel信息。在s708、vsepp-u网元建立安全上下文信息和v-cn-tunnel的映射关系。vsepp-u网元建立安全上下文a#2和v-cn-tunnel的映射关系，安全上下文a#2用于vupf网元在v-cn-tunnel传输下行数据。在s709、hsmf网元向vsmf网元发送pdu会话创建响应信息，以建立vupf网元和hupf网元的安全会话。具体的，该pdu会话创建请求信息包括：pdu会话标识信息、hupf网元的h-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。在s710，根据安全上下文信息与隧道标识信息的映射关系进行数据安全保护。作为示例而非限定，vupf网元向vsepp-u网元发送上行数据#1，vsepp-u根据v-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对上行数据#1进行数据安全保护；vsepp-u网元向hsepp-u网元发送上行数据#1，hsepp-u网元向hupf网元发送上行数据#1。作为示例而非限定，hupf网元向hsepp-u网元发送下行数据#1，hsepp-u根据h-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对下行数据#1进行数据安全保护；hsepp-u网元向vsepp-u网元发送下行数据#1，vsepp-u网元向vupf网元发送下行数据#1。可选的，在本申请实施例中，vsepp-u网元和hsepp-u网元可以根据数据网络名称信息dnn和/或网络切片选择信息nssai协商安全策略信息#s。在上下行数据传输时，vsepp-u网元和hsepp-u网元可以根据安全策略信息#s选择或协商相应的安全上下文信息以进行数据安全保护。应理解，在本申请实施例中，当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。当sepp-u网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。图8示出了本申请实施例的一种安全保护方法的示意性交互图。参见图8，当用户面功能upf网元(vupf网元、hupf网元)不引入用户面安全网关时，可以由用户面功能upf网元根据安全策略信息#s生成安全上下文信息#a。在此情况下，用户面upf网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。在s801、vsmf网元获取vupf网元的隧道信息v-cn-tunnel。具体的，vsmf网元获取vupf网元的v-cn-tunnel信息，v-cn-tunnel信息是vupf网元用于上行数据传输的隧道标识信息。在s802、vsmf网元向hsmf网元发送pdu会话创建请求信息。具体的，vsmf网元向hsmf网元发送pdu会话创建请求信息，pdu会话创建请求信息包括：pdu会话标识信息、vupf网元的v-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。例如，vsmf通过nsmf_pdusession_createrequest向hsmf发送会话创建请求信息。其中，vsmf网元、hsmf网元分别属于访问网络、归属网络；vupf网元、hupf网元分别属于访问网络、归属网络。在s803、hsmf网元确定vupf网元和hupf网元的安全策略信息#s。具体的，hsmf网元获取hupf网元的隧道信息h-cn-tunnel，hsmf网元确定vupf网元和hupf网元的安全策略信息#s，该安全策略信息#s用于vupf网元和hupf网元的数据传输。其中，该安全策略信息#s包括安全算法和安全密钥，该安全策略信息#s用于指示upf网元选择相应的安全上下文，以确定是否开启用户面加密保护和/或用户面完整性保护。相应地，upf网元根据安全上下文与隧道标识信息的映射关系选择相应的安全上下文，以开启不同类型的安全保护。应理解，当用户面功能upf网元(vupf网元、hupf网元)不引入用户面安全网关时，安全策略可以由hsmf或vsmf网元进行策略转发，以向vupf网元或hupf网元传递安全策略，由vupf网元或hupf网元根据运营商策略或者业务需求，在用户面开启不同的保护机制。例如，在图1所示的场景下，安全上下文信息与隧道信息v-cn-tunnel、h-cn-tunnel的对应关系如下表所示：表1安全上下文与v-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1v-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2v-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3v-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4v-cn-tunnel#4安全策略信息#s4安全上下文a#4表2安全上下文与h-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1h-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2h-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3h-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4h-cn-tunnel#4安全策略信息#s4安全上下文a#4作为示例而非限定，安全上下文#a1可用于开启用户面加密保护，该安全上下文#a2可用于开启用户面完整性保护，该安全上下文#a3可用于开启用户面加密保护、用户面完整性保护，该安全上下文#a4可用于不开启用户面加密保护、用户面完整性保护。在s804、hsmf网元向hupf网元发送安全策略信息#s。具体的，hsmf网元向hupf网元发送安全策略信息#s，该安全策略信息#a保存了安全策略信息#s与v-cn-tunnel、h-cn-tunnel的映射关系。其中，v-cn-tunnel信息用于vupf网元和hupf网元的上行数据传输，h-cn-tunnel信息用于vupf网元和hupf网元的下行数据传输。在s805、hsmf网元向vsmf网元发送pdu会话创建响应信息，以建立vupf网元和hupf网元的安全会话。hsmf网元向vsmf网元发送pdu会话创建响应信息，该pdu会话创建请求信息包括：pdu会话标识信息、hupf网元的h-cn-tunnel信息，该pdu会话创建请求信息用于建立vupf网元和hupf网元的安全会话。在s806、vsmf网元向vupf网元发送安全策略信息#s。在s807、建立安全上下文信息和v-cn-tunnel、h-cn-tunnel的映射关系。具体的，vupf网元、hupf网元分别建立安全上下文信息与h-cn-tunnel-info、v-cn-tunnel-info的映射关系，以用于在下行数据传输或上行数据传输时选择相应的安全上下文进行数据安全保护。在s808，根据安全上下文信息与隧道标识信息的映射关系进行数据安全保护。作为示例而非限定，vupf网元向vsepp-u网元发送上行数据#1，vsepp-u根据v-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对上行数据#1进行数据安全保护；vsepp-u网元向hsepp-u网元发送上行数据#1，hsepp-u网元向hupf网元发送上行数据#1。作为示例而非限定，hupf网元向hsepp-u网元发送下行数据#1，hsepp-u根据h-cn-tunnel与安全上下文a#1的映射关系，采用安全上下文a#1对下行数据#1进行数据安全保护；hsepp-u网元向vsepp-u网元发送下行数据#1，vsepp-u网元向vupf网元发送下行数据#1。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。上文详细介绍了本申请提供的用户面安全保护的方法示例。可以理解的是，smf和upf/sepp-u为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。图9示出了上述实施例中所涉及的smf的一种可能的结构示意图。smf900包括：处理单元902和通信单元903。处理单元902用于对smf900的动作进行控制管理。通信单元903用于支持smf900与其它网络实体的通信，例如与用户面安全网元之间的通信。smf900还可以包括存储单元901，用于存储smf900的程序代码和数据。其中，处理单元902可以是处理器或控制器，例如可以是中央处理器(centralprocessingunit，cpu)，通用处理器，数字信号处理器(digitalsignalprocessor，dsp)，专用集成电路(application-specificintegratedcircuit，asic)，现场可编程门阵列(fieldprogrammablegatearray，fpga)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，dsp和微处理器的组合等等。通信单元903可以是通信接口。存储单元901可以是存储器。通信单元903可用于执行下述操作：接收smf网元#2发送的会话创建请求信息，所述会话创建请求信息包括业务信息#e；根据所述业务信息#e确定安全策略信息#s；向用户面安全网元#1发送安全策略信息#s；所述安全策略信息#s用于用户面安全网元#1根据所述安全策略信息#s生成安全上下文信息；其中所述用户面安全网元#1属于归属网络，所述smf网元#2属于访问网络。可选的，归属网络smf网元可以复用从udm获取的ue签约数据中的的ran侧安全策略信息，或者，新增ue在udm的sepp-u侧安全策略签约数据，或者归属网络smf网元根据业务信息#e确定安全策略信息#s，或者vsmf向hsmf发送ue新增的应用层相关参数，由hsmf根据ue新增的应用层相关参数进行安全策略决策。可选的，业务信息#e包括数据网络名称dnn信息和/或网络切片选择nssai信息。应理解，在本申请实施例中，业务信息#e与安全策略信息#s具有映射关系，安全策略信息#s与安全上下文信息#a具有映射关系，安全上下文信息#a与隧道标识信息#t具有映射关系，因此用户面安全网元可以根据安全上下文#a与隧道标识信息#t的映射关系采用相应的安全上下文进行数据安全保护。可选的，安全策略信息包括指示信息#1、指示信息#2，其中，所述指示信息#1用于指示所述用户面安全网元#1是否采用加密算法进行数据加密保护，所述指示信息#2用于指示所述用户面安全网元#1是否采用完整性保护算法进行数据完整性保护。在一种可能的设计中，通信单元903还用于：向smf网元#2发送会话创建响应信息，所述会话创建响应信息用于指示smf网元#2向upf网元#2发送安全策略信息，其中upf网元#2属于访问网络。当处理单元902为处理器，通信单元903为通信接口，存储单元901为存储器时，本申请所涉及的smf可以为图10所示的smf。参阅图10所示，该smf1000包括：处理器1002、通信接口1003、存储器1001。其中，通信接口1003、处理器1002以及存储器1001可以通过内部连接通路相互通信，传递控制和/或数据信号。所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不加赘述。图11示出了上述实施例中所涉及的用户面安全网元的一种可能的结构示意图。用户面安全网元1100包括：处理单元1102和通信单元1103。处理单元1102用于对用户面安全网元1100的动作进行控制管理。通信单元1103用于支持用户面安全网元1100与其它网络实体的通信，例如与smf之间的通信。用户面安全网元1100还可以包括存储单元1101，用于存储用户面安全网元1100的程序代码和数据。其中，处理单元1102可以是处理器或控制器，例如可以是cpu，通用处理器，dsp，asic，fpga或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，dsp和微处理器的组合等等。通信单元1103可以是通信接口等。存储单元1101可以是存储器。通信单元1103用于执行下述操作：接收smf网元#1发送的安全策略信息，所述安全策略信息与业务信息#e具有映射关系；根据安全策略信息#s生成安全上下文信息#e，安全上下文信息用于用户面安全网元#1进行数据安全保护；其中，用户面安全网元#1、smf网元#1属于归属网络。可选的，业务信息#e包括数据网络名称dnn信息和/或网络切片选择nssai信息。应理解，在本申请实施例中，业务信息#e与安全策略信息#s具有映射关系，安全策略信息#s与安全上下文信息#a具有映射关系，安全上下文信息#a与隧道标识信息#t具有映射关系，因此用户面安全网元可以根据安全上下文#a与隧道标识信息#t的映射关系采用相应的安全上下文进行数据安全保护。例如，在图1所示的场景下，安全上下文信息与隧道信息v-cn-tunnel、h-cn-tunnel的对应关系如下表所示：表1安全上下文与v-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1v-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2v-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3v-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4v-cn-tunnel#4安全策略信息#s4安全上下文a#4表2安全上下文与h-cn-tunnel的对应关系业务信息隧道标识信息安全策略信息安全上下文业务信息#e1h-cn-tunnel#1安全策略信息#s1安全上下文a#1业务信息#e2h-cn-tunnel#2安全策略信息#s2安全上下文a#2业务信息#e3h-cn-tunnel#3安全策略信息#s3安全上下文a#3业务信息#e4h-cn-tunnel#4安全策略信息#s4安全上下文a#4作为示例而非限定，安全上下文#a1可用于开启用户面加密保护，该安全上下文#a2可用于开启用户面完整性保护，该安全上下文#a3可用于开启用户面加密保护、用户面完整性保护，该安全上下文#a4可用于不开启用户面加密保护、用户面完整性保护。可选的，安全策略信息包括指示信息#1、指示信息#2，其中，所述指示信息#1用于指示所述用户面安全网元#1是否采用加密算法进行数据加密保护，所述指示信息#2用于指示所述用户面安全网元#1是否采用完整性保护算法进行数据完整性保护。在一种可能的设计中，通信单元还用于：向用户面安全网元#2发送安全策略信息，所述安全策略信息用于指示用户面安全网元#2根据所述安全策略信息与业务信息的映射关系生成安全上下文信息a#1；所述安全上下文信息用于用户面安全网元#2进行数据安全保护，其中所述用户面安全网元#2属于访问网络。在一种可能的设计中，通信单元还用于：接收upf网元#1在h-cn-tunnel#1发送的下行数据#1；根据所述h-cn-tunnel#1与安全上下文a#1的映射关系，采用安全上下文a#1对所述下行数据#1进行数据安全保护。在一种可能的设计中，通信单元还用于：根据所述h-cn-tunnel#1与安全上下文a#1的映射关系，采用安全上下文a#1对下行数据#1进行数据安全保护；向upf网元#2发送所述下行数据#1，其中所述upf网元#2属于访问网络。作为示例而非限定，本申请的数据安全保护装置可以应用于5ghome-routed场景，访问网络vplmn与归属网络hplmn之间的用户面安全保护。当用户面功能upf网元(vupf网元、hupf网元)引入用户面安全网关时，可以由sepp-u网元根据安全策略信息#s生成安全上下文信息#a。在此情况下，sepp-u网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。当用户面功能upf网元(vupf网元、hupf网元)不引入用户面安全网关时，可以由用户面功能upf网元根据安全策略信息#s生成安全上下文信息#a。在此情况下，用户面upf网元在收到用户面upf数据时，根据安全上下文信息与隧道标识信息的映射关系选取相应的安全上下文，进行数据传输过程中的安全保护。由于归属网络smf网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。当处理单元1102为处理器，通信单元1103为通信接口，存储单元1101为存储器时，本申请所涉及的用户面安全网元可以为图12所示的用户面安全网元。参阅图12所示，该用户面安全网元1200包括：处理器1202、通信接口1203、存储器1201。其中，通信接口1203、处理器1202以及存储器1201可以通过内部连接通路相互通信，传递控制和/或数据信号。本申请还提供了一种通信芯片，其中存储有指令，当其在smf900或smf1000上运行时，使得所述通信芯片执行上述各种实现方式中smf对应的方法。本申请还提供了一种通信芯片，其中存储有指令，当其在用户面安全网元1100或用户面安全网元1200上运行时，使得所述通信芯片执行上述各种实现方式中upf或sepp-u对应的方法。在本申请各个实施例中，各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请的实施过程构成任何限定。另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，a和/或b，可以表示：单独存在a，同时存在a和b，单独存在b这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。结合本申请公开内容所描述的方法或者算法的步骤可以硬件的方式来实现，也可以是由处理器执行软件指令的方式来实现。软件指令可以由相应的软件模块组成，软件模块可以被存放于随机存取存储器(randomaccessmemory，ram)、闪存、只读存储器(readonlymemory，rom)、可擦除可编程只读存储器(erasableprogrammablerom，eprom)、电可擦可编程只读存储器(electricallyeprom，eeprom)、寄存器、硬盘、移动硬盘、只读光盘(cd-rom)或者本领域熟知的任何其它形式的存储介质中。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于asic中。另外，该asic可以位于smf或upf中。当然，处理器和存储介质也可以作为分立组件存在于smf和upf中。本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(read-onlymemory，rom)、随机存取存储器(randomaccessmemory，ram)、磁碟或者光盘等各种可以存储程序代码的介质。以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本
技术领域：
的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。当前第1页12