一种安全通信方法和装置与流程

本技术涉及无线通信领域，并且更具体地，涉及一种安全通信方法和通信装置。

背景技术：

1、在无线通信系统中，为了保障网络安全，终端设备与核心网之间的通信需要安全保护。示例性地，终端设备向核心网网元(例如，用户面功能(user plane function，upf))发送具有安全保护(例如，完整性保护和/或加密)的数据的过程中，首先基站对该数据进行完整性校验和/或解密，然后基站再使用互联网安全协议(internet protocol security，ipsec)隧道的密钥对该数据进行完整性保护和/或加密，并将具有安全保护的数据发送给upf。即，终端设备和核心网之间的用户面安全保护是逐跳进行的，包括终端设备和基站之间的安全保护，以及基站和核心网网元之间的安全保护。对于终端设备与核心网之间的用户面数据的传输，该实现方式将增加传输时延，降低处理效率等，无法满足端到端(例如，终端设备到核心网网元)的安全保护需求等。因此，亟需采取额外的措施来应对，以满足端到端的安全保护需求。

技术实现思路

1、本技术提供一种安全通信方法、装置和系统，能够保护终端侧设备与用户面网元之间通信安全。

2、第一方面，提供了一种安全通信方法。该方法可以应用于终端侧设备，例如，终端设备或终端设备中的通信模组和/或计算模组，或终端设备中负责通信功能的电路或芯片(如调制解调(modem)芯片，又称基带(baseband)芯片，或包含modem核的片上系统(systemon chip，soc)芯片或系统级封装(systemin package，sip)芯片)，或终端设备中负责通信和/或计算功能的电路或芯片(如图形处理器(graphics processing unit，gpu)，人工智能(artificial intelligence，ai)处理器，或专用集成电路(application specificintegrated circuit，asic))，或者也可以是能实现全部或部分终端功能的逻辑模块或软件。

3、在该方法中，终端侧设备根据根密钥获取锚点密钥；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥，第一参数为针对第一会话的会话粒度的参数；终端侧设备根据第一会话密钥，生成会话加密密钥和会话完整性密钥，会话加密密钥用于对第一会话中传递的数据进行加密或者解密，会话完整性密钥用于对第一会话中传递的数据进行完整性保护或者完整性验证。

4、采用上述方法，终端侧设备可以基于锚点密钥和会话粒度的第一参数生成第一会话密钥，以及根据第一会话密钥生成会话加密密钥和会话完整性密钥，从而使用该会话加密密钥和/或会话完整性密钥可以对第一会话中传递的数据进行安全保护和/或校验，能够保护终端侧设备与用户面网元之间通信安全。相比于现有方案中，终端侧设备和用户面网元之间的用户面安全保护需要经过基站逐跳进行，采用本技术技术方案能够在满足终端侧设备与用户面网元之间的端到端的安全保护需求的同时，降低传输时延，提升数据处理效率。

5、结合第一方面，在第一方面的某些实现方式中，终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥，包括：终端侧设备在第一会话的创建过程中或者创建成功之后，根据锚点密钥和第一参数，生成第一会话密钥。

6、结合第一方面，在第一方面的某些实现方式中，第一参数包括：终端侧设备在第一会话的创建过程中或者创建成功后，确定的新鲜性参数；和/或，终端侧设备在第一会话的创建过程中为第一会话分配的会话标识；其中，新鲜性参数为终端侧设备发送第一指定消息的时刻，或者终端侧设备为第一会话生成的随机数。

7、采用上述方法，第一参数可以由终端侧设备确定，例如新鲜性参数和/或终端侧设备在第一会话的创建过程中为第一会话分配的会话标识，进而终端侧设备可以将该第一参数发送给网络侧，用于网络侧完成后续第一会话密钥的生成，进而满足端到端的安全保护需求。

8、结合第一方面，在第一方面的某些实现方式中，第一参数包括：终端侧设备在第一会话的创建过程中或者创建成功后，确定的新鲜性参数；和/或，终端侧设备在第一会话的创建过程中或者创建成功后，终端侧设备从网络侧接收到的第一会话的互联网协议(internet protocol，ip)地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；其中，新鲜性参数为终端侧设备发送第一指定消息的时刻，或者终端侧设备为第一会话生成的随机数。

9、采用上述方法，第一参数可以由终端侧设备和网络侧确定，例如终端侧设备确定新鲜性参数，会话管理网元确定第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，进而终端侧设备可以将该新鲜性参数发送给网络侧，用于网络侧完成后续第一会话密钥的生成。另外，网络侧可以将第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息发送给终端侧设备，用于终端侧设备完成后续第一会话密钥的生成，最终实现终端侧设备与用户面网元之间端到端的安全保护需求。

10、结合第一方面，在第一方面的某些实现方式中，第一指定消息为用于请求创建第一会话的请求消息。

11、示例性地，第一指定消息为用于请求创建第一会话的请求消息，例如会话建立请求消息。比如，终端侧设备向会话管理网元发送会话建立请求消息，用于请求建立第一会话，该会话建立请求消息中携带第一参数。

12、结合第一方面，在第一方面的某些实现方式中，方法还包括：终端侧设备在具有完整性保护的消息中向网络侧发送第一参数。

13、采用上述方法，终端侧设备在具有完整性保护的消息中向网络侧发送第一参数，可以保障数据在传输过程中的被篡改或恶意攻击，增加第一参数传输的安全性，进而提高生成第一会话密钥的安全性。

14、结合第一方面，在第一方面的某些实现方式中，第一参数包括：终端侧设备在第一会话的创建过程中或者创建成功后，根据从网络侧接收到的第二指定消息确定的新鲜性参数，和/或，第一会话的ip地址、第一会话对应的核心网隧道信息、或第一会话对应的接入网隧道信息；其中，新鲜性参数为第二指定消息中携带的时间信息，或者第二指定消息中携带的随机数。

15、采用上述方法，第一参数可以由网络侧确定，例如新鲜性参数和/或第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，用于终端侧设备完成后续第一会话密钥的生成，最终实现终端侧设备与用户面网元之间端到端的安全保护需求。

16、结合第一方面，在第一方面的某些实现方式中，第二指定消息为用于指示第一会话创建成功的消息。

17、示例性地，该第二指定消息可以是会话建立接受消息，对此不作限定。

18、结合第一方面，在第一方面的某些实现方式中，第二指定消息用于指示用户面网元开启用户面安全保护。此时，终端侧设备在接收第二指定消息之后，对第二指定消息进行完整性校验，并且在完整性校验通过的情况下获取新鲜性参数，以提高第一参数的传递的安全性。

19、示例性地，该第二指定消息可以包括指示信息，用于指示用户面网元开启用户面安全保护。

20、可选地，用于指示用户面网元开启用户面安全保护的消息可以是其他消息(例如，第三消息)而非第二指定消息。也即，用于指示用户面网元开启用户面安全保护的第三消息，与用于指示/确定/承载新鲜性参数的第二指定消息不是同一个消息。

21、结合第一方面，在第一方面的某些实现方式中，方法还包括：在终端侧设备生成第一会话密钥之后，终端侧设备开启用户面安全保护。

22、结合第一方面，在第一方面的某些实现方式中，方法还包括：终端侧设备向用户面网元发送第一信息，或者，终端侧设备通过会话管理网元向用户面网元发送第一信息；其中，第一信息用于指示终端侧设备开启用户面安全保护。

23、采用上述方法，终端侧设备在生成第一会话密钥之后，可以开启用户面安全保护，并且可以直接或间接地通知给用户面网元，此时终端侧设备和用户面网元针对第一会话都开启用户面安全保护，那么二者在通过第一会话进行数据交互时，可以实现对数据的端到端保护，降低数据泄露或被攻击的风险。

24、结合第一方面，在第一方面的某些实现方式中，方法还包括：终端侧设备基于根密钥生成加密密钥(cipher key，ck)和完整性密钥(integrity key，ik)；终端侧设备基于ck和ik生成中间密钥；终端侧设备基于中间密钥和会话管理网元的类型生成安全密钥，安全密钥用于保护终端侧设备与会话管理网元之间的通信数据。

25、结合第一方面，在第一方面的某些实现方式中，方法还包括：终端侧设备存储第一参数与第一会话密钥之间的映射关系。

26、结合第一方面，在第一方面的某些实现方式中，方法还包括：终端侧设备通过第一会话接收来自用户面网元的数据包，数据包包括明文部分和安全保护部分，明文部分包括第一会话的ip地址；终端侧设备基于第一会话的ip地址和映射关系，确定第一会话密钥；终端侧设备基于第一会话密钥对安全保护部分进行完整性校验和/或解密，得到第一数据。

27、结合第一方面，在第一方面的某些实现方式中，方法还包括：终端侧设备基于第一会话的ip地址和映射关系，确定第一会话密钥；终端侧设备基于第一会话密钥对第二数据进行完整性保护和/或机密性保护；终端侧设备通过第一会话向用户面网元发送经过完整性保护和/或机密性保护的第二数据。

28、采用上述方法，终端侧设备基于存储的第一参数与第一会话密钥之间的映射关系，不仅可以基于该第一会话密钥实现对发送给用户面网元的上行数据进行安全保护(例如，完整性保护和/或机密性保护)，还可以基于该第一会话密钥实现对从用户面网元接收的下行数据进行解安全保护(例如，完整性校验和/或解密)，从而实现端到端的安全保护。

29、结合第一方面，在第一方面的某些实现方式中，终端侧设备根据根密钥，获取锚点密钥，包括：终端侧设备基于根密钥生成ck和ik；终端侧设备基于ck和ik生成中间密钥；终端侧设备基于中间密钥生成锚点密钥。

30、示例性地，中间密钥可以是kamf或kseaf或kausf，对此不作限定。

31、第二方面，提供了一种安全通信方法。该方法可以应用于会话管理网元侧，例如，会话管理网元或会话管理网元中的通信模组和/或计算模组，或会话管理网元中负责通信功能的电路或芯片(如调制解调(modem)芯片，又称基带(baseband)芯片，或包含modem核的soc芯片或sip芯片)，或会话管理网元中负责通信和/或计算功能的电路或芯片(如gpu，ai处理器，asic)，或者也可以是能实现全部或部分会话管理网元功能的逻辑模块或软件。

32、在该方法中，会话管理网元获取第一会话密钥，第一会话密钥为终端侧设备与用户面网元之间的第一会话的密钥，第一会话密钥是根据锚点密钥和第一参数生成的，第一参数为针对第一会话的会话粒度的参数；会话管理网元向用户面网元发送第一消息，第一消息包括第一会话密钥。

33、对应地，用户面网元根据第一会话密钥，生成会话加密密钥和会话完整性密钥，会话加密密钥用于对第一会话中传递的数据进行加密或者解密，会话完整性密钥用于对第一会话中传递的数据进行完整性保护或者完整性验证。

34、采用上述方法，会话管理网元获取第一会话密钥，并向用户面网元指示第一会话密钥，使得后续用户面网元与终端侧设备之间通过第一会话进行数据传输时，可以基于该第一会话密钥生成的会话加密密钥和/或会话完整性密钥进行安全保护和/或校验，能够保护终端侧设备与用户面网元之间通信安全。相比于现有方案中，终端侧设备和用户面网元之间的用户面安全保护需要经过基站逐跳进行，采用本技术技术方案能够在满足终端侧设备与用户面网元之间的端到端的安全保护需求的同时，降低传输时延，提升数据处理效率。

35、结合第二方面，在第二方面的某些实现方式中，在会话管理网元获取第一会话密钥之前，方法还包括：会话管理网元接收来自终端侧设备的第一参数，第一参数包括：终端侧设备在第一会话的创建过程中或者创建成功后，确定的新鲜性参数；和/或，终端侧设备在第一会话的创建过程中为第一会话分配的会话标识；其中，新鲜性参数为会话管理网元从终端侧设备接收到的第一指定消息中携带的时间信息，或者终端侧设备为第一会话生成的随机数。

36、结合第二方面，在第二方面的某些实现方式中，在会话管理网元获取第一会话密钥之前，方法还包括：会话管理网元从终端侧设备接收终端侧设备在第一会话的创建过程中或者创建成功后确定的新鲜性参数，和/或，在第一会话的创建过程中或者创建成功后，会话管理网元确定的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；其中，新鲜性参数为会话管理网元从终端侧设备接收到的第一指定消息中携带的时间信息，或者终端侧设备为第一会话生成的随机数，第一参数包括新鲜性参数，和/或，第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息。

37、结合第二方面，在第二方面的某些实现方式中，第一指定消息为用于请求创建第一会话的请求消息。

38、结合第二方面，在第二方面的某些实现方式中，方法还包括：会话管理网元在具有完整性保护的消息中向终端侧设备发送第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息。

39、结合第二方面，在第二方面的某些实现方式中，第一参数包括：会话管理网元在第一会话的创建过程中或者创建成功后，确定的第二指定消息所指示的新鲜性参数，和/或，第一会话的ip地址、第一会话对应的核心网隧道信息、或第一会话对应的接入网隧道信息；其中，新鲜性参数为会话管理网元向终端侧设备发送的第二指定消息中携带的时间信息，或者第二指定消息中携带的随机数。

40、结合第二方面，在第二方面的某些实现方式中，第二指定消息为用于指示第一会话创建成功的消息。

41、结合第二方面，在第二方面的某些实现方式中，方法还包括：会话管理网元在具有完整性保护的消息中向终端侧设备发送第一参数。

42、结合第二方面，在第二方面的某些实现方式中，第二指定消息用于指示用户面网元开启用户面安全保护。

43、结合第二方面，在第二方面的某些实现方式中，会话管理网元获取第一会话密钥，包括：会话管理网元获取锚点密钥，锚点密钥是基于中间密钥生成的，中间密钥是基于加密密钥ck和完整性密钥ik生成的，ck和ik是基于根密钥生成的；会话管理网元基于锚点密钥和第一参数生成第一会话密钥。

44、结合第二方面，在第二方面的某些实现方式中，会话管理网元获取第一会话密钥，包括：会话管理网元向安全网元发送密钥请求消息，密钥请求消息用于请求获取第一会话密钥，密钥请求消息包括第一参数；会话管理网元接收来自安全网元的密钥响应消息，密钥响应消息包括第一会话密钥。

45、结合第二方面，在第二方面的某些实现方式中，会话管理网元获取第一会话密钥，包括：会话管理网元向安全网元发送密钥请求消息，密钥请求消息用于请求获取第二会话密钥，密钥请求消息包括新鲜性参数；会话管理网元接收来自安全网元的密钥响应消息，密钥响应消息包括第二会话密钥，第二会话密钥是根据锚点密钥和新鲜性参数生成的；会话管理网元根据第二会话密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，生成第一会话密钥。

46、结合第二方面，在第二方面的某些实现方式中，会话管理网元获取第一会话密钥，包括：会话管理网元向安全网元发送密钥请求消息，密钥请求消息用于请求获取第二会话密钥，密钥请求消息包括第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；会话管理网元接收来自安全网元的密钥响应消息，密钥响应消息包括第二会话密钥，第二会话密钥是根据锚点密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息生成的；会话管理网元根据第二会话密钥和新鲜性参数生成第一会话密钥。

47、结合第二方面，在第二方面的某些实现方式中，方法还包括：会话管理网元接收来自用户面网元的第二消息，第二消息用于指示用户面网元开启用户面安全保护。

48、可选地，该第二消息可以是第一消息的响应消息，对此不作限定。例如第一消息和第二消息均为n4session。

49、结合第二方面，在第二方面的某些实现方式中，方法还包括：会话管理网元向用户面网元发送从终端侧设备接收到的第一信息，第一信息用于指示终端侧设备开启用户面安全保护。

50、结合第二方面，在第二方面的某些实现方式中，方法还包括：会话管理网元获取中间密钥，中间密钥是基于ck和ik生成的，ck和ik是基于根密钥生成的；会话管理网元基于中间密钥和会话管理网元的类型生成安全密钥，安全密钥用于保护终端侧设备与会话管理网元之间的通信数据。

51、上述第二方面及第二方面的某些实现方式的有益效果可以对应参考第一方面相关的描述，在此不予赘述。

52、第三方面，提供了一种安全通信方法。该方法可以应用于终端侧设备、安全网元侧、会话管理网元侧和用户面网元侧。例如，可以是终端设备、安全网元、会话管理网元和用户面网元，或者，终端设备、安全网元、会话管理网元和用户面网元中的通信模组和/或计算模组，或者，终端设备、安全网元、会话管理网元和用户面网元中负责通信功能的电路或芯片，或者，终端设备、安全网元、会话管理网元和用户面网元中负责通信和/或计算功能的电路或芯片，或者，也可以是能实现全部或部分终端设备、安全网元、会话管理网元和用户面网元功能的逻辑模块或软件。

53、在该方法中，会话管理网元向安全网元发送密钥请求消息，密钥请求消息用于请求获取第一会话密钥，第一会话密钥为终端侧设备与用户面网元之间的第一会话的密钥，密钥请求消息包括第一参数，第一参数为针对第一会话的会话粒度的参数；安全网元根据锚点密钥和第一参数，生成第一会话密钥；安全网元向会话管理网元发送密钥响应消息，密钥响应消息包括第一会话密钥。

54、结合第三方面，在第三方面的某些实现方式中，在会话管理网元向安全网元发送密钥请求消息之前，方法还包括：会话管理网元接收来自终端侧设备的第一参数，第一参数包括：终端侧设备在第一会话的创建过程中或者创建成功后，确定的新鲜性参数；和/或，终端侧设备在第一会话的创建过程中为第一会话分配的会话标识；其中，新鲜性参数为会话管理网元从终端侧设备接收到的第一指定消息中携带的时间信息，或者终端侧设备为第一会话生成的随机数。

55、结合第三方面，在第三方面的某些实现方式中，在会话管理网元向安全网元发送密钥请求消息之前，方法还包括：会话管理网元从终端侧设备接收终端侧设备在第一会话的创建过程中或者创建成功后确定的新鲜性参数，和/或，在第一会话的创建过程中或者创建成功后，会话管理网元确定的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；其中，新鲜性参数为会话管理网元从终端侧设备接收到的第一指定消息中携带的时间信息，或者终端侧设备为第一会话生成的随机数，第一参数包括新鲜性参数，和/或，第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息。

56、结合第三方面，在第三方面的某些实现方式中，第一指定消息为用于请求创建第一会话的请求消息。

57、结合第三方面，在第三方面的某些实现方式中，方法还包括：会话管理网元在具有完整性保护的消息中向终端侧设备发送第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息。

58、结合第三方面，在第三方面的某些实现方式中，第一参数包括：会话管理网元在第一会话的创建过程中或者创建成功后，确定的新鲜性参数，和/或，第一会话的ip地址、第一会话对应的核心网隧道信息、或第一会话对应的接入网隧道信息；其中，新鲜性参数为会话管理网元向终端侧设备发送的第二指定消息中携带的时间信息，或者第二指定消息中携带的随机数。

59、结合第三方面，在第三方面的某些实现方式中，第二指定消息为用于指示第一会话创建成功的消息。

60、结合第三方面，在第三方面的某些实现方式中，方法还包括：会话管理网元在具有完整性保护的消息中向终端侧设备发送第一参数。

61、结合第三方面，在第三方面的某些实现方式中，第二指定消息用于指示用户面网元开启用户面安全保护。

62、结合第三方面，在第三方面的某些实现方式中，方法还包括：会话管理网元向用户面网元发送第一消息，第一消息包括第一会话密钥。

63、结合第三方面，在第三方面的某些实现方式中，方法还包括：用户面网元向会话管理网元发送第二消息，第二消息用于指示用户面网元开启用户面安全保护。

64、结合第三方面，在第三方面的某些实现方式中，方法还包括：在终端侧设备生成第一会话密钥之后，终端侧设备开启用户面安全保护。

65、结合第三方面，在第三方面的某些实现方式中，方法还包括：终端侧设备向用户面网元发送第一信息，或者，终端侧设备通过会话管理网元向用户面网元发送第一信息，第一信息用于指示终端侧设备开启用户面安全保护。

66、结合第三方面，在第三方面的某些实现方式中，方法还包括：用户面网元和/或终端侧设备存储第一参数与第一会话密钥之间的映射关系；

67、结合第三方面，在第三方面的某些实现方式中，方法还包括：终端侧设备通过第一会话接收来自用户面网元的数据包，数据包包括明文部分和安全保护部分，明文部分包括第一会话的ip地址；终端侧设备基于第一会话的ip地址和映射关系，确定第一会话密钥；终端侧设备基于第一会话密钥对安全保护部分进行完整性校验和/或解密，得到第一数据。

68、结合第三方面，在第三方面的某些实现方式中，方法还包括：用户面网元通过第一会话接收来自终端侧设备的数据包，数据包包括明文部分和安全保护部分，明文部分包括第一会话的ip地址；用户面网元基于第一会话的ip地址和映射关系，确定第一会话密钥；用户面网元基于第一会话密钥对安全保护部分进行完整性校验和/或解密，得到第二数据。

69、上述第三方面及第三方面的某些实现方式的有益效果可以对应参考第一方面相关的描述，在此不予赘述。

70、第四方面，提供了一种安全通信方法。该方法可以应用于用户面网元侧，例如，会话管理网元或会话管理网元中的通信模组和/或计算模组，或会话管理网元中负责通信功能的电路或芯片(如调制解调(modem)芯片，又称基带(baseband)芯片，或包含modem核的soc芯片或sip芯片)，或会话管理网元中负责通信和/或计算功能的电路或芯片(如gpu，ai处理器，asic)，或者也可以是能实现全部或部分会话管理网元功能的逻辑模块或软件。

71、在该方法中，用户面网元获取第一会话密钥，第一会话密钥为终端侧设备与用户面网元之间的第一会话的密钥，第一会话密钥是根据锚点密钥和第一参数生成的，第一参数为针对第一会话的会话粒度的参数。

72、结合第四方面，在第四方面的某些实现方式中，用户面网元获取第一会话密钥，包括：用户面网元获取锚点密钥，锚点密钥是基于中间密钥生成的，中间密钥是基于加密密钥ck和完整性密钥ik生成的，ck和ik是基于根密钥生成的；用户面网元基于锚点密钥和第一参数生成第一会话密钥。

73、结合第四方面，在第四方面的某些实现方式中，用户面网元获取第一会话密钥，包括：用户面网元向安全网元发送密钥请求消息，密钥请求消息用于请求获取第一会话密钥，密钥请求消息包括第一参数；用户面网元接收来自安全网元的密钥响应消息，密钥响应消息包括第一会话密钥。

74、结合第四方面，在第四方面的某些实现方式中，用户面网元获取第一会话密钥，包括：用户面网元向安全网元发送密钥请求消息，密钥请求消息用于请求获取第二会话密钥，密钥请求消息包括新鲜性参数；用户面网元接收来自安全网元的密钥响应消息，密钥响应消息包括第二会话密钥，第二会话密钥是根据锚点密钥和新鲜性参数生成的；用户面网元根据第二会话密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，生成第一会话密钥。

75、结合第四方面，在第四方面的某些实现方式中，用户面网元获取第一会话密钥，包括：用户面网元向安全网元发送密钥请求消息，密钥请求消息用于请求获取第二会话密钥，密钥请求消息包括第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；用户面网元接收来自安全网元的密钥响应消息，密钥响应消息包括第二会话密钥，第二会话密钥是根据锚点密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息生成的；用户面网元根据第二会话密钥和新鲜性参数，生成第一会话密钥。

76、有关第四方面未详尽的实现方式及其有益效果可参考上述第二方面及第二方面的某些实现方式及其有益效果的相关的描述，在此不予赘述。

77、第五方面，提供了一种安全通信方法。该方法可以应用于终端侧设备，例如，终端设备或终端设备中的通信模组和/或计算模组，或终端设备中负责通信功能的电路或芯片(如调制解调(modem)芯片，又称基带(baseband)芯片，或包含modem核的片上系统(systemon chip，soc)芯片或系统级封装(systemin package，sip)芯片)，或终端设备中负责通信和/或计算功能的电路或芯片(如图形处理器(graphics processing unit，gpu)，人工智能(artificial intelligence，ai)处理器，或专用集成电路(application specificintegrated circuit，asic))，或者也可以是能实现全部或部分终端功能的逻辑模块或软件。

78、在该方法中，终端侧设备根据根密钥，获取锚点密钥；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，第一参数为针对第一会话的会话粒度的参数，第一会话密钥流用于对第一会话中传递的数据进行加密或者解密，第一消息验证码用于对第一会话中传递的数据进行完整性保护或者完整性验证。

79、结合第五方面，在第五方面的某些实现方式中，终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流，包括：终端侧设备将锚点密钥和第一参数作为加密或解密算法的输入参数，计算得到第一会话密钥流。

80、结合第五方面，在第五方面的某些实现方式中，终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一消息验证码，包括：终端侧设备将锚点密钥和第一参数作为完整性保护或完整性校验算法的输入参数，计算得到第一消息验证码，例如mac或xmac。

81、结合第五方面，在第五方面的某些实现方式中，终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，包括：终端侧设备将锚点密钥和第一参数作为安全算法的输入参数，计算得到第一信息，所示第一信息包括第一会话密钥和/流或第一消息验证码。

82、结合第五方面，在第五方面的某些实现方式中，第一参数包括新鲜性参数，和/或，第一会话分配的会话标识、终端侧设备从网络侧接收到的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，包括：终端侧设备将锚点密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为密钥生成算法的输入参数，计算得到第二会话密钥；终端侧设备根据第二会话密钥和新鲜性参数，作为安全算法的输入参数，生成第一会话密钥流和/或第一消息验证码。

83、结合第五方面，在第五方面的某些实现方式中，第一参数包括新鲜性参数，和/或，第一会话分配的会话标识、终端侧设备从网络侧接收到的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流，包括：终端侧设备将锚点密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为密钥生成算法的输入参数，计算得到第二会话密钥；终端侧设备根据第二会话密钥和新鲜性参数，作为加密或解密算法的输入参数，生成第一会话密钥流。

84、结合第五方面，在第五方面的某些实现方式中，第一参数包括新鲜性参数，和/或，第一会话分配的会话标识、终端侧设备从网络侧接收到的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一消息验证码，包括：终端侧设备将锚点密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为密钥生成算法的输入参数，计算得到第二会话密钥流；终端侧设备根据第二会话密钥和新鲜性参数，作为完整性保护或完整性校验算法的输入参数，生成第一消息验证码。

85、结合第五方面，在第五方面的某些实现方式中，第一参数包括新鲜性参数，和/或，第一会话分配的会话标识、终端侧设备从网络侧接收到的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，包括：终端侧设备将锚点密钥和新鲜性参数，作为密钥生成算法的输入参数，计算得到第二会话密钥；终端侧设备根据第二会话密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为安全算法的输入参数，生成第一会话密钥流和/或第一消息验证码。

86、结合第五方面，在第五方面的某些实现方式中，第一参数包括新鲜性参数，和/或，第一会话分配的会话标识、终端侧设备从网络侧接收到的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流，包括：终端侧设备将锚点密钥和新鲜性参数，作为密钥生成算法的输入参数，计算得到第二会话密钥；终端侧设备根据第二会话密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为加密或解密算法的输入参数，生成第一会话密钥流。

87、结合第五方面，在第五方面的某些实现方式中，第一参数包括新鲜性参数，和/或，第一会话分配的会话标识、终端侧设备从网络侧接收到的第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；终端侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一消息验证码，包括：终端侧设备将锚点密钥和新鲜性参数，作为密钥生成算法的输入参数，计算得到第二会话密钥；终端侧设备根据第二会话密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为完整性保护或完整性校验算法的输入参数，生成第一消息验证码。

88、有关第五方面未详尽的实现方式及其有益效果可参考上述第一方面及第一方面的某些实现方式及其有益效果的相关的描述，在此不予赘述。

89、第六方面，提供了一种安全通信方法。该方法可以应用于网络侧(例如，会话管理网元、或安全网元、或用户面网元等)，可以是网络侧设备或网络侧设备中的通信模组和/或计算模组，或网络侧设备中负责通信功能的电路或芯片(如调制解调(modem)芯片，又称基带(baseband)芯片，或包含modem核的soc芯片或sip芯片)，或网络侧设备中负责通信和/或计算功能的电路或芯片(如gpu，ai处理器，asic)，或者也可以是能实现全部或部分网络侧设备功能的逻辑模块或软件。

90、在该方法中，网络侧设备获取锚点密钥，锚点密钥是根据根密钥生成的；网络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，第一参数为针对第一会话的会话粒度的参数，第一会话密钥流用于对第一会话中传递的数据进行加密或者解密，第一消息验证码用于对第一会话中传递的数据进行完整性保护或者完整性验证。

91、结合第六方面，在第六方面的某些实现方式中，网络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流，包括：网络侧设备将锚点密钥和第一参数作为加密或解密算法的输入参数，计算得到第一会话密钥流。

92、结合第六方面，在第六方面的某些实现方式中，网络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一消息验证码，包括：网络侧设备将锚点密钥和第一参数作为完整性保护或完整性校验算法的输入参数，计算得到第一消息验证码，例如mac或xmac。

93、结合第六方面，在第六方面的某些实现方式中，网络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，包括：网络侧设备将锚点密钥和第一参数作为安全算法的输入参数，计算得到第一信息，所示第一信息包括第一会话密钥和/流或第一消息验证码。

94、结合第六方面，在第六方面的某些实现方式中，第一参数包括网络侧设备从终端侧设备接收到的新鲜性参数，和/或，网络侧设备从终端侧设备接收到的第一会话分配的会话标识、或网络侧设备自己确定的终端侧设备从网络侧设备接收到的第一会话的ip地址、或第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；网络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，包括：网络侧设备将锚点密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为密钥生成算法的输入参数，计算得到第二会话密钥；网络侧设备根据第二会话密钥和新鲜性参数，作为安全算法的输入参数，生成第一会话密钥流和/或第一消息验证码。

95、结合第六方面，在第六方面的某些实现方式中，第一参数包括网络侧设备从终端侧设备接收到的新鲜性参数，和/或，网络侧设备从终端侧设备接收到的第一会话分配的会话标识、或网络侧设备自己确定的终端侧设备从网络侧设备接收到的第一会话的ip地址、或第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；网络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流，包括：网络侧设备将锚点密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为密钥生成算法的输入参数，计算得到第二会话密钥；网络侧设备根据第二会话密钥和新鲜性参数，作为加密或解密算法的输入参数，生成第一会话密钥流。

96、结合第六方面，在第六方面的某些实现方式中，第一参数包括网络侧设备从终端侧设备接收到的新鲜性参数，和/或，网络侧设备从终端侧设备接收到的第一会话分配的会话标识、或网络侧设备自己确定的终端侧设备从网络侧设备接收到的第一会话的ip地址、或第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；网络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一消息验证码，包括：网络侧设备将锚点密钥，以及第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为密钥生成算法的输入参数，计算得到第二会话密钥流；网络侧设备根据第二会话密钥和新鲜性参数，作为完整性保护或完整性校验算法的输入参数，生成第一消息验证码。

97、结合第六方面，在第六方面的某些实现方式中，第一参数包括网络侧设备从终端侧设备接收到的新鲜性参数，和/或，网络侧设备从终端侧设备接收到的第一会话分配的会话标识、或网络侧设备自己确定的终端侧设备从网络侧设备接收到的第一会话的ip地址、或第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，包括：络侧设备将锚点密钥和新鲜性参数，作为密钥生成算法的输入参数，计算得到第二会话密钥；络侧设备根据第二会话密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为安全算法的输入参数，生成第一会话密钥流和/或第一消息验证码。

98、结合第六方面，在第六方面的某些实现方式中，第一参数包括网络侧设备从终端侧设备接收到的新鲜性参数，和/或，网络侧设备从终端侧设备接收到的第一会话分配的会话标识、或网络侧设备自己确定的终端侧设备从网络侧设备接收到的第一会话的ip地址、或第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流，包括：络侧设备将锚点密钥和新鲜性参数，作为密钥生成算法的输入参数，计算得到第二会话密钥；络侧设备根据第二会话密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为加密或解密算法的输入参数，生成第一会话密钥流。

99、结合第六方面，在第六方面的某些实现方式中，第一参数包括网络侧设备从终端侧设备接收到的新鲜性参数，和/或，网络侧设备从终端侧设备接收到的第一会话分配的会话标识、或网络侧设备自己确定的终端侧设备从网络侧设备接收到的第一会话的ip地址、或第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息；络侧设备根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一消息验证码，包括：络侧设备将锚点密钥和新鲜性参数，作为密钥生成算法的输入参数，计算得到第二会话密钥；络侧设备根据第二会话密钥和第一会话分配的会话标识、第一会话的ip地址、第一会话对应的核心网隧道信息、或者第一会话对应的接入网隧道信息，作为完整性保护或完整性校验算法的输入参数，生成第一消息验证码。

100、有关第六方面未详尽的实现方式及其有益效果可参考上述第五方面及第五方面的某些实现方式及其有益效果的相关的描述，在此不予赘述。

101、第七方面，提供了一种通信装置，通信装置具备实现上述第一方面的功能，比如，通信装置包括执行上述第一方面涉及操作所对应的模块或单元或手段(means)，模块或单元或手段具体可以通过软件实现，或者通过硬件实现，也可以通过软件结合硬件的方式实现。

102、示例性地，该通信装置可以为上述终端侧设备，例如可以是用于执行上述第一方面所描述的方法或操作或步骤或动作所一一对应的模块或单元(例如芯片，或者芯片系统，或者电路)。

103、一种可能的实现中，该通信装置包括：通信单元(或者通信模块)，以及与通信单元连接的处理单元(或者处理模块)。

104、示例性地，处理单元，用于：根据根密钥，获取锚点密钥；根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥，第一参数为针对第一会话的会话粒度的参数；以及根据第一会话密钥，生成会话加密密钥和会话完整性密钥，会话加密密钥用于对第一会话中传递的数据进行加密或者解密，会话完整性密钥用于对第一会话中传递的数据进行完整性保护或者完整性验证。

105、第八方面，提供了一种通信装置，通信装置具备实现上述第二方面的功能，比如，通信装置包括执行上述第二方面涉及操作所对应的模块或单元或手段(means)，模块或单元或手段具体可以通过软件实现，或者通过硬件实现，也可以通过软件结合硬件的方式实现。

106、示例性地，该通信装置可以为上述会话管理网元侧，例如可以是用于执行上述第二方面所描述的方法或操作或步骤或动作所一一对应的模块或单元(例如芯片，或者芯片系统，或者电路)。

107、一种可能的实现中，该通信装置包括：通信单元(或者通信模块)，以及与通信单元连接的处理单元(或者处理模块)。

108、示例性地，处理单元，用于获取第一会话密钥，第一会话密钥为终端侧设备与用户面网元之间的第一会话的密钥，第一会话密钥是根据锚点密钥和第一参数生成的，第一参数为针对第一会话的会话粒度的参数；通信单元，用于向用户面网元发送第一消息，第一消息包括第一会话密钥。

109、第九方面，提供了一种通信装置，通信装置具备实现上述第四方面的功能，比如，通信装置包括执行上述第四方面涉及操作所对应的模块或单元或手段(means)，模块或单元或手段具体可以通过软件实现，或者通过硬件实现，也可以通过软件结合硬件的方式实现。

110、示例性地，该通信装置可以为上述用户面网元侧，例如可以是用于执行上述第四方面所描述的方法或操作或步骤或动作所一一对应的模块或单元(例如芯片，或者芯片系统，或者电路)。

111、一种可能的实现中，该通信装置包括：通信单元(或者通信模块)，以及与通信单元连接的处理单元(或者处理模块)。

112、示例性地，处理单元，用于获取第一会话密钥，第一会话密钥为终端侧设备与用户面网元之间的第一会话的密钥，第一会话密钥是根据锚点密钥和第一参数生成的，第一参数为针对第一会话的会话粒度的参数。

113、第十方面，提供了一种通信装置，通信装置具备实现上述第五方面的功能，比如，通信装置包括执行上述第五方面涉及操作所对应的模块或单元或手段(means)，模块或单元或手段具体可以通过软件实现，或者通过硬件实现，也可以通过软件结合硬件的方式实现。

114、示例性地，该通信装置可以为上述终端侧设备，例如可以是用于执行上述第五方面所描述的方法或操作或步骤或动作所一一对应的模块或单元(例如芯片，或者芯片系统，或者电路)。

115、一种可能的实现中，该通信装置包括：通信单元(或者通信模块)，以及与通信单元连接的处理单元(或者处理模块)。

116、示例性地，处理单元，用于：根据根密钥，获取锚点密钥；根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，第一参数为针对第一会话的会话粒度的参数，第一会话密钥流用于对第一会话中传递的数据进行加密或者解密，第一消息验证码用于对第一会话中传递的数据进行完整性保护或者完整性验证。

117、第十一方面，提供了一种通信装置，通信装置具备实现上述第六方面的功能，比如，通信装置包括执行上述第六方面涉及操作所对应的模块或单元或手段(means)，模块或单元或手段具体可以通过软件实现，或者通过硬件实现，也可以通过软件结合硬件的方式实现。

118、示例性地，该通信装置可以为上述网络侧设备，例如可以是用于执行上述第六方面所描述的方法或操作或步骤或动作所一一对应的模块或单元(例如芯片，或者芯片系统，或者电路)。

119、一种可能的实现中，该通信装置包括：通信单元(或者通信模块)，以及与通信单元连接的处理单元(或者处理模块)。

120、示例性地，处理单元，用于：获取锚点密钥，锚点密钥是根据根密钥生成的；根据锚点密钥和第一参数，为终端侧设备与用户面网元之间的第一会话生成第一会话密钥流和/或第一消息验证码，第一参数为针对第一会话的会话粒度的参数，第一会话密钥流用于对第一会话中传递的数据进行加密或者解密，第一消息验证码用于对第一会话中传递的数据进行完整性保护或者完整性验证。

121、第十二方面，提供了一种通信装置。该通信装置可以是上述终端侧设备或会话管理网元侧或用户面网元侧或安全网元侧。该通信装置包括处理器，该处理器用于从存储器中调用并运行该计算机程序或指令，使得该通信装置执行上述第一方面至第六方面及其任一种可能实现方式中的方法。

122、可选地，该通信装置还包括收发器和/或存储器，该处理器用于控制收发器收发信号，该存储器用于存储计算机程序或指令。

123、可选地，该处理器为一个或多个，该存储器为一个或多个，该收发器为一个或多个。

124、可选地，该存储器可以与处理器集成在一起，或者存储器与处理器分离设置，或者说，存储器可以内设于处理器中，也可以与处理器独立设置。

125、可选地，该收发器包括发射机(发射器)和接收机(接收器)。

126、第十三方面，提供了一种通信装置。该通信装置包括一个或多个处理器，所述一个或多个处理器用于执行计算机程序或指令，当所述计算机程序或指令被执行时，使得所述通信装置实现上述第一方面至第六方面及其任一种可能的实现方式中的方法。

127、可选地，所述通信装置还包括存储器，所述存储器用于存储实现上述第一方面至第六方面及其任一种可能的实现方式涉及的功能的所述计算机程序或指令的部分或全部。

128、可选地，所述通信装置还包括接口电路，所述处理器用于通过所述接口电路与其它装置或组件通信。在一种可能的设计中，该一个或多个处理器用于通过该接口电路与其它装置或组件通信。

129、上述通信装置可以是终端侧设备，例如可以是终端设备或也可以是终端设备中的组件(如调制解调芯片，又称基带芯片，或包含modem核的soc芯片或sip芯片)，或者也可以是能实现全部或部分终端设备功能的逻辑模块或软件。

130、上述通信装置可以是会话管理网元侧，例如可以是会话管理网元或会话管理网元中的通信模组和/或计算模组，或会话管理网元中负责通信功能的电路或芯片，或会话管理网元中负责通信和/或计算功能的电路或芯片，或者也可以是能实现全部或部分会话管理网元功能的逻辑模块或软件。

131、上述通信装置可以是用户面网元侧，例如可以是用户面网元或用户面网元中的通信模组和/或计算模组，或用户面网元中负责通信功能的电路或芯片，或用户面网元中负责通信和/或计算功能的电路或芯片，或者也可以是能实现全部或部分用户面网元功能的逻辑模块或软件。

132、上述通信装置可以是安全网元侧，例如可以是安全网元或用安全网元中的通信模组和/或计算模组，或安全网元中负责通信功能的电路或芯片，或安全网元中负责通信和/或计算功能的电路或芯片，或者也可以是能实现全部或部分安全网元功能的逻辑模块或软件。

133、第十四方面，提供了一种通信系统。该通信系统包括会话管理网元侧、或用户面网元侧、或安全网元中的一项或多项，其中，会话管理网元侧用于执行上述第二方面或第三方面或第六方面及其任一种可能实现方式中的方法，用户面网元用于执行上述第四方面或第六方面及其任一种可能实现方式中的方法，安全网元用于执行上述第三方面或第六方面及其任一种可能实现方式中的方法。

134、可选地，该通信系统包括安全网元侧和/或终端侧设备，终端侧设备用于执行上述第一方面或第五方面及其任一种可能实现方式中的方法。

135、第十五方面，提供了一种芯片或芯片系统。包括至少一个处理电路，该处理电路用于运行计算机程序，使得该芯片或芯片系统执行上述第一方面至第六方面及其任一种可能实现方式中的方法。

136、其中，该芯片或芯片系统可以包括用于发送信息或数据的输出电路或者接口，以及用于接收信息或数据的输入电路或者接口。

137、第十六方面，提供了一种计算机可读存储介质。该计算机可读存储介质存储有计算机程序代码或指令，以使得上述第一方面至第六方面及其任一种可能实现方式中的方法被实现。例如，当所述计算机程序代码或指令被运行时，使得上述第一方面至第六方面及其任一种可能实现方式中的方法被实现。

138、第十七方面，提供了一种计算机程序产品。该计算机程序产品包括计算机程序代码或指令，以使得上述第一方面至第五方面及其任一种可能实现方式中的方法被实现。例如，当计算机读取并执行所述计算机程序产品时，使得上述第一方面至第六方面及其任一种可能实现方式中的方法被实现。

139、第十八方面，提供了一种计算机程序。当计算机程序被运行时，使得上述第一方面至第六方面及其任一种可能实现方式中的方法被实现。

140、上述第七方面至第十八方面的有益效果可以参考上述第一方面至第六方面及其任一种可能的实现方式，在此不赘述。