通信方法及相关装置与流程

本技术涉及通信，尤其涉及一种通信方法及相关装置。

背景技术：

1、第五代移动通信技术(5th generation mobile communication technology，5g)中，可提供对信令和用户数据进行机密性和完整性保护的机制。该机制下，终端接入网络的过程，需与网络侧进行主认证流程，获得用于安全保护所使用的密钥。

2、随着子网业务的不断演进，衍生出了未来移动通信网络将从全集大网到面向多样化场景的分布式自治子网演进。例如，大网(如为公共用户提供接入或基础业务的网络)和子网(如为特定用户提供接入或特定业务的网络)之间类似公司总部与区、或公司总部与县公司之间的模式，分布式自治。再例如，直播园区、体育场馆或主题乐园等场景，为多运营商的终端提供接入，终端可同时连接大网和子网。因此，对于未来分布式自治子网，如何进行网络安全建立是一个待解决的问题。

技术实现思路

1、本技术实施例提供一种通信方法及相关装置，可针对分布式自治子网进行网络安全建立。

2、第一方面，本技术提供一种通信方法，该方法可应用于终端，也可以应用于终端中的组件(例如，处理器、芯片、芯片系统、或电路或一个功能模块等)，还可以应用于能实现全部或部分终端功能的逻辑节点、逻辑模块或软件，对此不予限定。下面以终端作为执行主体为例进行阐述，终端中的组件或能实现全部或部分终端功能的逻辑节点、逻辑模块或软件作为执行主体时与之类似。该方法包括：

3、终端向已注册认证的第一网络发送会话建立请求，会话建立请求用于终端请求建立第二网络关联的业务对应的会话；

4、终端接收来自第二网络的会话建立响应，会话建立响应中包括第一密钥标识；

5、终端基于第一密钥标识对应的终端在第一网络的安全锚密钥，确定终端在第二网络的非接入层(non-access stratum，nas)消息保护密钥；或者，终端基于第一密钥标识对应的终端在第一网络的nas消息保护密钥，确定终端在第二网络的nas消息保护密钥。

6、可见，该方法中，终端可通过向第一网络发送会话建立请求，以接入第二网络，无需针对第二网络独立进行认证注册。另外，从来自第二网络的会话建立响应中获得第一密钥标识，并基于第一密钥标识对应的密钥确定终端在第二网络的nas消息保护密钥，使得终端不仅建立了第二网络对应的会话，还有利于终端利用其在第二网络的nas消息保护密钥对第二网络的nas消息进行保护，实现了针对第二网络的网络安全建立。可见，该方法实现了灵活、快捷以及高效的网络安全建立。

7、可选的，假设nas安全终结点在信令路由功能网元，每个网络都有对应的信令路由功能网元，该会话建立请求可由终端向第一网络的第一信令路由功能网元发送。相应的，会话建立响应可来自第二网络的第二信令路由功能网元。

8、其中，安全终结点是网络侧对发送给终端的消息进行加密，以及对来自终端侧的消息进行解密的实体或装置，nas安全终结点是网络侧对发送给终端的nas消息进行加密，以及对来自终端侧的nas消息进行解密的实体或装置。例如，本技术实施例以信令路由功能网元作为nas安全终结点，由信令路由功能网元对发送给终端的nas消息进行加密，以及对来自终端侧的nas消息进行解密。

9、一种可选的实施方式中，会话建立请求中还包括以下至少一项信息：终端请求建立会话的会话标识；终端的位置信息；或者，终端请求建立会话对应的业务信息。可选的，业务信息包括以下至少一项：会话对应的业务标识信息、应用标识信息、数据网络信息或切片信息。

10、该方法中，会话标识有利于告知第一网络需要建立新的会话。终端的位置信息有利于第一网络进行服务发现。业务信息有利于第一网络判断自身是否可提供该业务信息对应的业务，若不能提供该业务信息对应的业务，可通过服务发现获取能提供对应业务的第二网络的标识信息。

11、一种可选的实施方式中，会话建立响应中还包括第二网络的标识信息。另一种可选的实施方式中，会话建立响应中还包括第二网络为终端分配的临时标识，第二网络的标识信息是从临时标识中确定的。可选的，第二网络的标识信息包括以下至少一项：第二网络的第二信令路由功能网元的标识、第二网络的第二信令路由功能网元的互联网协议(internet protocol，ip)地址、或第二网络的网络标识。

12、该方法中，终端可基于第二网络的标识信息，获知需推演在第二网络中的nas消息保护密钥。

13、另一种可选的实施方式中，会话建立响应中还包括以下至少一项：

14、第二密钥标识，第二密钥标识是终端在第二网络的nas消息保护密钥对应的密钥标识；

15、指示信息，指示信息用于指示终端获取在第二网络的nas消息保护密钥；或者，

16、终端在第二网络的nas消息保护算法。

17、该方法中，第二密钥标识可隐式指示终端推演在第二网络的nas消息保护密钥，指示信息可显式指示终端推演第二网络的nas消息保护密钥，该nas消息保护算法可指示终端使用对应的保护算法，以根据在第二网络的nas消息保护密钥对第二网络的nas消息进行保护。

18、一种可选的实施方式中，终端确定在第二网络的nas消息保护密钥之前，该方法还包括：终端可基于第二网络的标识信息、第二密钥标识或指示信息中的至少一项，确定获取终端在第二网络的nas消息保护密钥(或表述为确定需推演终端在第二网络的nas消息保护密钥)。

19、例如，终端根据第二网络的标识信息，确定接入了第二网络，那么确定需获取终端在第二网络的nas消息保护密钥。再例如，终端根据第二密钥标识不同于已有密钥标识，确定需要获取新的nas消息保护密钥。又例如，终端根据指示信息的显式指示，确定需要获取新的nas消息保护密钥。

20、本技术实施例中，终端确定或推演在第二网络的nas消息保护密钥的方式，可包括但不限于以下两种可选的实施方式：

21、一种可选的实施方式中，终端基于第二网络的标识信息或计数值中的至少一项，以及第一密钥标识对应的终端在第一网络的安全锚密钥，确定终端在第二网络的nas消息保护密钥。其中，计数值是基于该终端在第一网络的安全锚密钥确定的nas消息保护密钥的个数。

22、该方法提供了基于终端在第一网络的安全锚密钥推演终端在第二网络的nas消息保护密钥的安全架构。基于安全锚密钥推演可以一定程度上实现不同nas消息保护密钥的隔离，网络侧的安全上下文请求可直接转发给安全功能网元。

23、另一种可选的实施方式中，终端基于第二网络的标识信息或计数值中的至少一项，以及第一密钥标识对应的终端在第一网络的nas消息保护密钥，确定终端在第二网络的nas消息保护密钥。其中，计数值是基于该终端在第一网络的nas消息保护密钥确定的nas消息保护密钥的个数。

24、该方法提供了基于终端在第一网络的nas消息保护密钥推演终端在第二网络的nas消息保护密钥的安全架构。基于第一网络的nas消息保护密钥推演，网络侧可直接通过第一网络的第一信令路由功能网元推演，不需要将安全上下文请求再转发到安全功能网元，安全上下文的获取更直接，便捷。

25、一种可选的实施方式中，该方法还包括：终端还接收消息校验码(messageauthentication code，mac)值；利用终端在第二网络的nas消息保护密钥，确定完整性保护密钥；终端利用该完整性保护密钥校验会话建立响应消息的mac值，若校验通过，则使用该nas消息保护密钥对第二网络的nas消息进行保护，如mac值校验通过后开启第二网络与终端之间nas消息的加密和完整性保护。可选的，mac值和会话建立响应消息可携带于同一消息中。

26、一种可选的实施方式中，该方法还包括：终端利用其在第二网络的nas消息保护密钥，确定用户面数据保护密钥，以用于用户面数据的保护。

27、第二方面，本技术提供一种通信方法，该方法可应用于第一网络中的相关网络功能如第一信令路由功能、会话管理功能、或用户面功能等。该方法也可以应用于第一网络中相关网络功能的实体、装置或网元等。该方法也可以应用于第一网络中相关网络功能实体、相关网络功能装置、或相关网络功能网元中的组件(例如处理器、芯片、芯片系统、或电路或一个功能模块等)，还可以应用于能实现全部或部分网元功能的逻辑节点、逻辑模块或软件，对此不予限定。该方面以第一信令路由功能网元作为执行主体为例进行阐述。该方法包括：

28、第一信令路由功能网元接收来自终端的第一会话建立请求，第一会话建立请求包括业务信息，业务信息对应的业务是与第二网络关联的业务；

29、第一信令路由功能网元基于第一会话建立请求，发送服务发现请求，服务发现请求包括业务信息和终端的标识信息，或者包括业务信息、终端的标识信息和位置信息；

30、第一信令路由功能网元接收服务发现响应，服务发现响应包括第二网络的标识信息；

31、第一信令路由功能网元基于第二网络的标识信息，向第二网络发送第二会话建立请求，第二会话建立请求中包括终端的标识信息，或者包括所述终端的标识信息和位置信息。

32、可见，该方法中，第一网络接收第一会话建立请求后，可通过服务发现获得第二网络的标识信息。其中，第二网络是提供该业务信息对应业务的网络。从而，第一信令路由功能网元可基于第二网络的标识信息，向第二网络发送第二会话建立请求，以建立业务对应的会话。

33、可选的，在第一会话建立请求中未包括终端的位置信息的情况，第一网络可向定位管理功能网元或移动性管理功能网元请求终端的位置信息。

34、可选的，第一网络接收第一会话建立请求后，可基于其中的业务信息确定自身是否能提供对应的业务；在确定自身无法提供对应业务的情况下，可通过服务发现获得第二网络的标识信息，以向第二网络发送第二会话建立请求。

35、可见，该方法中，第一网络识别到无法为请求业务提供服务时，进行服务发现，发现第二网络，并将相应业务请求转发第二网络。

36、一种可选的实施方式中，该方法还包括：第一信令路由功能网元基于第二网络的标识信息，向第二网络发送终端在第二网络的安全上下文相关的信息，终端在第二网络的nas安全上下文相关的信息包括终端在第二网络的nas消息保护密钥。

37、可选的，第二会话建立请求以及该nas安全上下文相关的信息一起，如在一条消息中，发送给第二网络，也可通过不同消息分别发送给第二网络。可选的，第一信令路由功能网元在发送第二会话建立请求之前，或者，在服务发现响应接收之后，获取终端在第二网络的nas安全上下文相关的信息。

38、第一信令路由功能网元获取终端在第二网络的nas安全上下文相关的信息的可选实施方式，包括但不限于以下两种：

39、一种可选的实施方式中，由第一信令路由功能网元向其他网元，如安全功能网元，请求终端在第二网络的nas安全上下文相关的信息。该方法包括：第一信令路由功能网元发送安全上下文请求，安全上下文请求用于请求终端在第二网络的nas安全上下文相关的信息，安全上下文请求中包括终端的标识信息和第二网络的标识信息；第一信令路由功能网元接收安全上下文响应，安全上下文响应包括终端在第二网络的nas安全上下文相关的信息。

40、一种可能的实现方式中，安全上下文请求在第一信令路由功能网元发送终端在第二网络的nas安全上下文相关的信息之前发送。或者，安全上下文请求在第一信令路由功能网元发送第二会话建立请求之后，以及在发送终端在第二网络的nas安全上下文相关的信息之前发送。或者，安全上下文请求在第一信令路由功能网元发送第二会话建立请求之前发送。

41、可选的，第一信令路由功能网元接收的安全上下文响应中还包括第一密钥标识，其中，第一密钥标识是终端在第一网络的nas消息保护密钥对应的标识。该第一密钥标识用于终端确定在第一网络的nas消息保护密钥，以推演在第二网络的nas消息保护密钥。

42、另一种可选的实施方式中，由第一网络确定(如推演)终端在第二网络的nas安全上下文相关的信息。该方法还包括：第一信令路由功能网元接收安全上下文请求，安全上下文请求用于请求终端在第二网络的nas安全上下文相关的信息；第一信令路由功能网元基于终端在第一网络的nas安全上下文信息，确定终端在第二网络的nas安全上下文相关的信息；第一信令路由功能网元发送安全上下文响应，安全上下文响应包括终端在第二网络的nas安全上下文相关的信息，终端在第二网络的nas安全上下文相关的信息包括终端在第二网络的nas消息保护密钥。其中，第一网络是终端已认证注册的网络。

43、可选的，该安全上下文请求可在第二会话建立请求发送之后，从第二网络的第二信令路由功能网元接收。

44、可选的，该方法还包括：第一信令路由功能网元根据终端的标识信息，获取终端在第一网络的nas安全上下文信息。其中，安全上下文请求中包括终端的标识信息。

45、可选的，第一信令路由功能网元发送的安全上下文响应中还包括第一密钥标识，第一密钥标识的定义及作用如上文，此处不再详述。

46、可见，该方法无需终端针对第二网络独立进行认证注册等流程，以获得终端在第二网络的nas安全上下文相关的信息，由第一网络推演终端在第二网络的nas安全上下文相关的信息。从而，有利于实现灵活、快捷以及高效的网络安全建立。

47、以下对第一信令路由功能网元基于第一网络的nas安全上下文信息确定第二网络的nas安全上下文相关的信息的具体可选实施方式进行阐述：

48、一种可选的实施方式中，第一信令路由功能网元基于第二网络的标识信息以及终端在第一网络的nas消息保护密钥，确定或推演终端在第二网络的nas消息保护密钥。其中，终端在第一网络的nas安全上下文信息中包括终端在第一网络的nas消息保护密钥，终端在第二网络的nas安全上下文相关的信息包括终端在第二网络的nas消息保护密钥。

49、另一种可选的实施方式中，终端在第一网络的nas安全上下文信息还包括计数值，计数值是基于终端在第一网络的nas安全上下文信息确定的nas消息保护密钥的个数。第一信令路由功能网元基于计数值以及终端在所述第一网络的nas消息保护密钥，确定终端在第二网络的nas消息保护密钥。

50、第一信令路由功能网元发送的终端在第二网络的nas安全上下文相关的信息中除了包括终端在第二网络的nas消息保护密钥外，还包括该第一密钥标识。该第一密钥标识的含义及作用如上文所述，此处不再详述。

51、本技术实施例中，终端在第二网络的安全上下文相关的信息还包括以下至少一项：

52、终端的安全能力信息，安全能力信息用于指示终端支持的安全保护算法；或者，

53、第二密钥标识，第二密钥标识是终端在第二网络的nas消息保护密钥对应的标识。

54、其中，终端的安全能力信息使得第二网络能够结合本地支持的安全算法，选择后续nas消息保护的算法，进而根据nas消息保护密钥和选择的nas消息保护算法推演机密性保护密钥和完整性保护密钥，保护发送给终端的nas消息。终端在第二网络的安全上下文相关的信息中包括第二密钥标识，有利于由第二网络转发给终端，使得终端获知需要推演新的密钥(即终端在第二网络的nas消息保护密钥)。

55、一种可选的实施方式中，由第一网络确定(如推演)终端在第二网络的nas安全上下文相关的信息之前，还可以向统一的数据管理网元或策略控制功能网元请求该终端在第二网络对应的认证方式。

56、例如，第一信令路由功能网元在基于第一网络的nas安全上下文信息确定终端在第二网络的nas安全上下文相关的信息之前，所述方法还包括：第一信令路由功能网元(如向统一的数据管理网元)发送认证方式请求，认证方式请求包括终端的标识信息以及第二网络的标识信息；第一信令路由功能网元接收(如来自统一的数据管理网元的)认证方式响应，认证方式响应包括第一指示信息，第一指示信息用于指示终端在第二网络无需认证。

57、可选的，认证方式响应中，第一指示信息用于指示第二网络的认证方式，例如，针对第二网络独立进行认证、可扩展认证协议(extensible authentication protocol，eap)认证或切片认证，那么，第一信令路由功能网元可触发终端执行对应的认证方式。

58、其中，第一信令路由功能网元接收的安全上下文请求中还包括第二网络的标识信息和终端的标识信息，认证方式请求中携带的第二网络的标识信息和终端的标识信息可基于该安全上下文请求获得。

59、该方面中其他可选的实施方式或一些名词的阐述，如第二网络的标识信息等，可参考第一方面所述的相关内容，此处不再详述。

60、第三方面，本技术提供一种通信方法，该方法可应用于第一网络中的相关网络功能，如安全功能等。该方法也可应用于第一网络中相关网络功能的网元，如安全功能网元。该方法也可以应用于第一网络中相关网络功能实体、相关网络功能装置或相关网络网元中的组件(例如处理器、芯片、芯片系统、或电路或一个功能模块等)，还可以应用于能实现全部或部分实体、装置或网元的功能的逻辑节点、逻辑模块或软件，对此不予限定。该方面以安全功能网元作为执行主体为例进行阐述。该方法包括：

61、安全功能网元接收安全上下文请求，安全上下文请求用于请求终端在第二网络的nas安全上下文相关的信息，安全上下文请求中包括终端的标识信息；

62、安全功能网元基于终端的标识信息，获取保存的终端的安全上下文信息中终端在第一网络的安全锚密钥；安全功能网元基于终端在第一网络的安全锚密钥，确定终端在第二网络的nas消息保护密钥；

63、安全功能网元发送安全上下文响应，安全上下文响应包括终端在第二网络的nas安全上下文相关的信息，第二网络的nas安全上下文相关的信息中包括终端在第二网络的nas消息保护密钥。

64、其中，第一网络是终端已注册认证的网络，第二网络是终端请求建立会话对应的业务关联的网络。

65、该方法中，安全功能网元可基于终端在第一网络的安全锚密钥，确定终端在第二网络的nas消息保护密钥，从而提升第二网络的网络安全建立效率，节省信令，优化网络安全建立流程。

66、可选的，该安全上下文请求可由第一网络的第一信令路由功能网元发送给安全功能网元，或者由第二网络的第二信令路由功能网元发送给安全功能网元。相应的，安全上下文响应可由安全功能网元发送给第一信令路由功能网元或第二信令路由功能网元。

67、可选的，安全上下文请求中还包括第二网络的标识信息。

68、可选的，安全上下文响应中还包括第一密钥标识，其中，第一密钥标识是终端在第一网络的安全锚密钥对应的标识。该方法将第一密钥标识发送给终端，使得终端基于第一密钥标识确定对应的安全锚密钥，以推演终端在第二网络的nas消息保护密钥。

69、安全上下文响应中，终端在第二网络的nas安全上下文相关的信息中还包括以下至少一项：终端的安全能力信息，安全能力信息用于指示终端支持的安全保护算法；或者，第二密钥标识，第二密钥标识是终端在第二网络的nas消息保护密钥对应的标识。

70、该方法中，终端在第二网络的nas安全上下文相关的信息中包括终端的安全能力信息，有利于第二网络根据终端支持的安全算法和本地支持的安全算法，选择后续nas消息保护的算法，进而根据nas消息保护密钥推演机密性保护密钥和完整性保护密钥，保护发送给终端的nas消息。另外，第二网络还可将该终端的安全能力信息发送给终端，使得终端校验网络侧收到的终端的安全能力信息是否正确。终端在第二网络的nas安全上下文相关的信息中包括第二密钥标识，有利于由第二网络转发给终端，使得终端获知需要推演新的密钥(即终端在第二网络的nas消息保护密钥)。

71、一种可选的实施方式中，安全功能网元基于终端在第一网络的安全锚密钥，确定终端在第二网络的nas消息保护密钥，包括：安全功能网元基于计数值以及终端在第一网络的安全锚密钥，确定终端在第二网络的nas消息保护密钥，计数值是基于终端在第一网络的安全锚密钥确定的nas消息保护密钥的个数。

72、可选的，该方法还包括：安全功能网元基于终端的标识信息，获取保存的终端的安全上下文信息中计数值。

73、另一种可选的实施方式中，安全功能网元基于终端在第一网络的安全锚密钥，确定终端在第二网络的nas消息保护密钥，包括：安全功能网元基于第二网络的标识信息以及终端在第一网络的安全锚密钥，确定终端在第二网络的nas消息保护密钥，计数值是基于终端在第一网络的安全锚密钥确定的nas消息保护密钥的个数。其中，第二网络的标识信息可从安全上下文请求中获得。

74、一种可选的实施方式中，由安全功能网元基于终端在第一网络的的安全锚密钥，确定终端在第二网络的nas消息保护密钥之前，还可以向统一的数据管理网元或策略控制功能网元请求该终端在第二网络对应的认证方式。

75、例如，该方法还包括：安全功能网元发送认证方式请求，认证方式请求包括终端的标识信息以及第二网络的标识信息；安全功能网元接收认证方式响应，认证方式响应包括第一指示信息，第一指示信息用于指示终端在第二网络无需认证。

76、再例如，在认证方式响应中第一指示信息用于指示终端在第二网络的认证方式的情况下，安全功能网元触发终端针对第二网络进行认证、eap认证或切片认证。

77、其中，第二网络的标识信息是从安全上下文请求中获得的。

78、可选的，认证方式请求可由安全功能网元发送给统一的数据管理功能网元或策略控制功能网元。

79、可选的，安全功能网元在自身可知终端在第二网络对应的认证方式或无需认证的情况下，可无需发送认证方式请求。

80、该方面中其他可选的实施方式或一些名词的阐述，如第二网络的标识信息等，可参考第一方面所述的相关内容，此处不再详述。

81、第四方面，本技术提供一种通信方法，该方法可应用于第二网络中的相关网络功能如如第二信令路由功能、会话管理功能、或用户面功能等。该方法也可以应用于第二网络中相关网络功能的实体、装置或网元中的组件(例如处理器、芯片、芯片系统、或电路或一个功能模块等)，还可以应用于能实现全部或部分实体、装置或网元的功能的逻辑节点、逻辑模块或软件，对此不予限定。该方面以第二信令路由功能网元作为执行主体为例进行阐述。该方法包括：

82、第二信令路由功能网元接收来自第一网络的会话建立请求，会话建立请求用于终端请求建立第二网络关联的业务对应的会话，会话建立请求中包括终端的标识信息，第一网络是终端已注册认证的网络；

83、第二信令路由功能网元确定终端在第二网络的nas安全上下文相关的信息，终端在第二网络的nas安全上下文相关的信息包括终端在第二网络的nas消息保护密钥；

84、第二信令路由功能网元向终端发送会话建立响应，会话建立响应中包括第一密钥标识，第一密钥标识对应终端在第一网络的安全锚密钥或终端在第一网络的nas消息保护密钥，用于终端确定在第二网络的nas消息保护密钥。

85、该方法中，第二网络确定终端在第二网络的nas安全上下文相关的信息后，可向终端发送第一密钥标识，有利于使得终端基于该第一密钥标识对应的安全锚密钥或nas消息保护密钥，推演第二网络的nas消息保护密钥，无需终端针对第二网络进行独立的认证注册以获得第二网络的nas消息保护密钥，从而节省了信令开销，优化了网络安全建立的流程。

86、一种可能的实现方式中，该会话建立请求是由终端通过接入网设备发送给第一网络的第一信令路由功能网元，再由第一信令路由功能网元转发给第二信令路由功能网元。

87、另一种可能的实现方式中，该会话建立请求是由终端通过接入网设备发送给第一网络的第一信令路由功能网元，再由第一信令路由功能网元通过类似网络开放功能实体或网络暴露功能实体转发给第二信令路由功能网元的。

88、其中，第二信令路由功能网元可在会话管理功能网元建立会话后，再执行所述的向终端发送会话建立响应的步骤。

89、一种可选的实施方式中，会话建立请求中还包括以下至少一项信息：终端请求建立会话的会话标识；终端的位置信息；或者，终端请求建立会话对应的业务信息。可选的，业务信息包括以下至少一项：会话对应的业务标识信息、应用标识信息、数据网络信息或切片信息。

90、该方法中，会话标识有利于第二网络获知需要建立新的会话的标识。终端的位置信息有利于第二网络向对应的会话管理功能网元请求建立会话。业务信息用于标识该会话对应的业务。

91、一种可选的实施方式中，会话建立响应中包括第二网络的标识信息；或者，会话建立响应中包括第二网络为终端分配的临时标识，第二网络的标识信息从临时标识中确定。可选的，第二网络的标识信息包括以下至少一项：第二信令路由功能网元的标识或ip地址、或第二网络的网络标识。

92、该实施方式的有益效果可参见第一方面所述的相关内容，此处不再详述。

93、可选的，会话建立响应中还包括以下至少一项：

94、第二密钥标识，第二密钥标识是终端在第二网络的nas消息保护密钥对应的密钥标识；

95、指示信息，指示信息用于指示终端获取在第二网络的nas消息保护密钥；或者，

96、终端在第二网络的nas消息保护算法。

97、该实施方式的有益效果可参见第一方面所述的相关内容，此处不再详述。

98、本技术实施例中，第二网络接收来自第一网络的会话建立请求后，发现是请求建立第二网络对应的会话，可查询是否保存终端在该第二网络对应的nas安全上下文相关的信息；在未保存终端的nas安全上下文相关的信息的情况下，第二网络可采用包括但不限于以下两种可选的实施方式，确定终端的nas安全上下文相关的信息：

99、一种可选的实施方式中，第二信令路由功能网元向第一网络的第一信令路由功能网元或安全功能网元请求终端在第二网络的nas安全上下文相关的信息。该方法包括：第二信令路由功能网元发送安全上下文请求，安全上下文请求用于请求终端在第二网络的nas安全上下文相关的信息，安全上下文请求中包括终端的标识信息和第二网络的标识信息；第二信令路由功能网元接收安全上下文响应，安全上下文响应包括终端在第二网络的nas安全上下文相关的信息；终端在第二网络的nas安全上下文相关的信息中包括终端在第二网络的nas消息保护密钥。

100、该实施方式的相关内容以及有益效果可参见第二方面或第三方面所述的相关内容此处不再详述。

101、可选的，安全上下文响应中还包括第一密钥标识，其中，第一密钥标识是终端在第一网络的nas消息保护密钥对应的标识，或者是终端在第一网络的安全锚密钥对应的标识。

102、该方法有利于将第一密钥标识转发给终端，使得终端确定对应的第一网络的nas消息保护密钥或安全锚密钥，以推演第二网络的nas消息保护密钥。

103、另一种可选的实施方式中，第二信令路由功能网元可接收来自第一信令路由功能网元的，终端在第二网络的nas安全上下文相关的信息，终端在第二网络的nas安全上下文相关的信息中包括终端在第二网络的nas消息保护密钥。可选的，终端在第二网络的nas安全上下文相关的信息也可携带在安全上下文响应中或会话建立请求中由第一信令路由功能网元发送给第二信令路由功能网元。

104、一种可选的实施方式中，终端在第二网络的安全上下文相关的信息还包括以下至少一项：

105、终端的安全能力信息，安全能力信息用于指示终端支持的安全保护算法；或者，

106、第二密钥标识，第二密钥标识是终端在第二网络的nas消息保护密钥对应的标识。

107、该实施方式的相关内容以及有益效果，可参见第二方面或第三方面所述的相关内容，此处不再详述。

108、该方面中其他可选的实施方式或一些名词的阐述，如第二网络的标识信息、业务信息等，可参考第一方面至第三方面所述的相关内容，此处不再详述。

109、第五方面，本技术还提供一种通信装置。该通信装置包括实现上述方法相应的模块、单元、或手段(means)，该模块、单元、或means可以通过硬件实现，软件实现，或者通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块或单元。

110、在一种可能的设计中，该通信装置的结构中可包括处理单元和通信单元，所述处理单元被配置为支持通信装置执行上述方法中相应的功能。所述通信单元用于支持该通信装置与其他通信装置之间的通信。所述通信装置还可以包括存储单元，所述存储单元用于与处理单元和通信单元耦合，其保存通信装置必要的程序指令和数据。另外，处理单元可以用于控制通信单元进行数据/信令收发。

111、通信装置可执行上述第一方面至第四方面中任一方面或任一方面中可能的实施方式，此处不再详述。

112、作为示例，通信单元可以为收发器或通信接口，存储单元可以为存储器，处理单元可以为处理器。处理器与存储器耦合，存储器用于存储程序或指令处理器，处理器可用于当程序或指令被处理器执行时使得通信装置执行上述第一方面至第四方面中任一方面或任一方面中可能的实施方式所述的方法，收发器或通信接口可用于收发信号和/或数据。

113、另一种实施方式中，该通信装置为芯片或芯片系统。所述处理单元也可以体现为处理电路或逻辑电路；所述收发单元可以是该芯片或芯片系统上的输入/输出接口、接口电路、输出电路、输入电路、管脚或相关电路等。

114、在实现过程中，处理器可用于进行，例如但不限于，基带相关处理，收发器或通信接口可用于进行，例如但不限于，射频收发。上述器件可以分别设置在彼此独立的芯片上，也可以至少部分的或者全部的设置在同一块芯片上。例如，处理器可以进一步划分为模拟基带处理器和数字基带处理器。其中，模拟基带处理器可以与收发器(或通信接口)集成在同一块芯片上，数字基带处理器可以设置在独立的芯片上。随着集成电路技术的不断发展，可以在同一块芯片上集成的器件越来越多。例如，数字基带处理器可以与多种应用处理器(例如但不限于图形处理器，多媒体处理器等)集成在同一块芯片之上。这样的芯片可以称为系统芯片(system on a chip，soc)。将各个器件独立设置在不同的芯片上，还是整合设置在一个或者多个芯片上，往往取决于产品设计的需要。本技术实施例对上述器件的实现形式不做限定。

115、第六方面，本技术还提供一种通信装置，包括：处理器，用于执行上述第一方面至第四方面中任一方面或任一方面中可能的实施方式所述的方法。在执行这些方法的过程中，上述方法中有关发送上述信号和接收上述信号的过程，可以理解为由处理器输出上述信号的过程，以及处理器输入的上述信号的过程。在输出上述信号时，处理器将该上述信号输出给收发器，以便由收发器(或通信接口)进行发射。该上述信号在由处理器输出之后，还可能需要进行其他的处理，然后才到达收发器(或通信接口)。类似的，处理器接收输入的上述信号时，收发器(或通信接口)接收该上述信号，并将其输入处理器。更进一步的，在收发器(或通信接口)收到该上述信号之后，该上述信号可能需要进行其他的处理，然后才输入处理器。

116、对于处理器所涉及的发送和接收等操作，如果没有特殊说明，或者，如果未与其在相关描述中的实际作用或者内在逻辑相抵触，则均可以更加一般性的理解为处理器输出和接收、输入等操作，而不是直接由射频电路和天线所进行的发送和接收操作。

117、在一种可能的实现方式中，该通信装置还包括存储器，该存储器，用于保存必要的程序指令和数据。

118、在实现过程中，上述处理器可以是专门用于执行这些方法的处理器，也可以是执行存储器中的计算机指令来执行这些方法的处理器，例如通用处理器。上述存储器可以为非瞬时性(non-transitory)存储器，例如只读存储器(read only memory，rom)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本技术实施例对存储器的类型以及存储器与处理器的设置方式不做限定。

119、第七方面，本技术还提供了一种通信系统，该系统包括执行第一方面或第一方面中任一可能的实施方式的终端装置、执行第二方面或第二方面中任一可能的实施方式的网络装置、执行第三方面或第三方面中任一可能的实施方式的网络装置、以及执行第四方面或第四方面中任一可能的实施方式的网络装置。

120、第八方面，本技术提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，当计算机程序被运行时，使得上述第一方面至第四方面中任一方面或任一方面中可能的实施方式所述的方法被执行。

121、第九方面，本技术还提供了一种包括指令的计算机程序产品，计算机程序产品包括：计算机程序代码，当计算机程序代码并运行时，使得上述第一方面至第四方面中任一方面或任一方面中可能的实施方式所述的方法被执行。

122、第十方面，本技术提供了一种芯片系统，该芯片系统包括处理器和接口，所述接口用于获取程序或指令，所述处理器用于调用所述程序或指令以实现上述第一方面至第四方面中任一方面或任一方面中可能的实施方式所涉及的功能。在一种可能的设计中，所述芯片系统还包括存储器，所述存储器，用于保存终端必要的程序指令和数据。该芯片系统，可以由芯片构成，也可以包括芯片和其他分立器件。

123、其中，第五方面至第十方面中任一种可能的实现方式所带来的技术效果可参见上述第一方面至第四方面中不同可能的实现方式所带来的技术效果，此处不再赘述。

124、可以理解的是，在方案不矛盾的前提下，上述各个方面中的方案均可以结合。