用于网络切片管理的数据安全性的制作方法

1.本公开的实施方式概括地涉及电信领域，尤其涉及用于网络切片管理的数据安全的设备、方法、装置和计算机可读存储介质。


背景技术：

2.根据第三代合作伙伴计划(3gpp)和国际电信联盟-电信标准化部门(itu-t)关于网络切片管理和组织的规范，网络切片管理主要包括配置管理、故障管理、性能管理、计费管理、安全管理和模板管理(例如，通信服务模板、网络切片模板和网络切片子网模板)。
3.通常，配置数据、故障数据和性能数据将由一些参与者共享或访问，例如代表通信服务提供者的通信服务管理，代表网络切片提供者的网络切片管理和代表网络切片子网提供者的网络切片子网管理。


技术实现要素：

4.概括地，本公开的示例实施方式提供了用于网络切片管理的数据安全的方案。
5.在第一方面中，提供了一种第一设备。该第一设备包括：至少一个处理器；以及至少一个存储器,包括计算机程序代码；至少一个存储器和计算机程序代码被配置为与至少一个处理器一起使得第一设备至少：向第二设备发送与由第一设备生成的数据的属性相关联的至少一个条目；响应于从第三设备接收到的用于访问数据的请求，基于请求确定第三设备是否具有用于访问数据的权限；以及响应于确定第三设备具有用于访问数据的权限，使得第三设备基于从第二设备获取到的数据的属性，来检查数据的完整性。
6.在第二方面中，提供了一种第二设备。该第二设备包括：至少一个处理器；以及至少一个存储器,包括计算机程序代码；至少一个存储器和计算机程序代码被配置为与至少一个处理器一起使得第二设备至少：从第一设备接收与数据的属性相关联的至少一个条目；将数据的属性存储在区块链中；从第三设备接收用于访问数据的属性的请求；以及响应于基于请求确定第三设备具有用于访问数据的属性的权限，从区块链向第三设备发送数据的属性。
7.在第三方面中，提供了一种第三设备。该第三设备包括：至少一个处理器；以及至少一个存储器,包括计算机程序代码；至少一个存储器和计算机程序代码被配置为与至少一个处理器一起使得第三设备至少：向第二设备发送用于访问数据的属性的请求；至少基于数据的属性，生成用于访问数据的请求；向第一设备发送用于访问数据的请求；以及响应于从第一设备接收到数据，基于属性来检查数据的完整性。
8.在第四方面中，提供了一种方法。该方法包括：向第二设备发送与由所述第一设备生成的数据的属性相关联的至少一个条目；响应于从第三设备接收到的用于访问所述数据的请求，基于所述请求确定所述第三设备是否具有用于访问所述数据的权限；以及响应于确定所述第三设备具有用于访问所述数据的所述权限，使得所述第三设备基于从所述第二设备获取到的所述数据的所述属性，来检查所述数据的所述完整性。
9.在第五方面中，提供了一种方法。该方法包括：从所述第一设备接收与数据的属性相关联的至少一个条目；将所述数据的所述属性存储在区块链中；从第三设备接收用于访问所述数据的所述属性的请求；以及响应于基于所述请求确定所述第三设备具有用于访问所述数据的所述属性的权限，从所述区块链向所述第三设备发送所述数据的所述属性。
10.在第六方面中，提供了一种方法。该方法包括：向第二设备发送用于访问数据的属性的请求；至少基于所述数据的所述属性，生成用于访问所述数据的请求；向所述第一设备发送用于访问所述数据的所述请求；以及响应于从所述第一设备接收到所述数据，基于所述属性来检查所述数据的完整性。
11.在第七方面中，提供了一种装置。该装置包括：用于向第二设备发送与由第一设备生成的数据的属性相关联的至少一个条目的部件；用于响应于从第三设备接收的用于访问数据的请求，基于请求确定第三设备是否具有用于访问数据的权限的部件；以及用于响应于确定第三设备具有用于访问数据的权限，使得第三设备基于从第二设备获取的数据的属性，来检查数据的完整性的部件。
12.在第八方面中，提供了一种装置。该装置包括：用于从第一设备接收与数据的属性相关联的至少一个条目的部件；用于将数据的属性存储在区块链中的装置；用于从第三设备接收用于访问数据的属性的请求的部件；以及用于响应于基于请求确定第三设备具有用于访问数据的属性的权限，从区块链向第三设备发送数据的属性的部件。
13.在第九方面中，提供了一种装置。该装置包括：用于向第二设备发送用于访问数据的属性的请求的部件；用于至少基于数据的属性，生成用于访问数据的请求的部件；用于向第一设备发送用于访问数据的请求的装置；以及用于响应于从第一设备接收到数据，基于属性来检查数据的完整性的部件。
14.在第十方面中，提供了一种其上存储有计算机程序指令的计算机可读介质，当由设备的至少一个处理器执行时，该计算机程序使得该设备执行根据第四方面的方法。
15.在第十一方面中，提供了一种其上存储有计算机程序指令的计算机可读介质，当由设备的至少一个处理器执行时，该计算机程序使得该设备执行根据第五方面的方法。
16.在第十二方面中，提供了一种其上存储有计算机程序指令的计算机可读介质，当由设备的至少一个处理器执行时，该计算机程序使得该设备执行根据第六方面的方法。
17.当结合附图阅读时，从下文的详细实施方式的描述中，本公开的实施方式的其他特征和优势将变得明显，其借助于示例示出了本公开的原理。
附图说明
18.本公开的实施方式以示例方式呈现，并且它们的优点在下面参考附图更详细地解释，其中：
19.图1示出了可以在其中实现本公开的示例实施方式的示例系统；
20.图2示出了根据本公开的示例实施方式的用于网络切片管理的数据安全的过程200的示意图；
21.图3示出了示出根据本公开的一些示例实施方式的区块链之一区块的示例结构的示意图；
22.图4示出了根据本公开的一些示例实施方式的用于网络切片管理的数据安全的示
例方法400的流程图；
23.图5示出了根据本公开的一些示例实施方式的用于网络切片管理的数据安全的示例方法500的流程图；
24.图6示出了根据本公开的一些示例实施方式的用于网络切片管理的数据安全的示例方法600的流程图；
25.图7示出了适合于实现本公开的示例实施方式的设备的简化框图；以及
26.图8示出了根据本公开的一些实施方式的示例计算机可读介质的框图。
27.在所有附图中，相同或相似的附图标记表示相同或相似的元件。
具体实施方式
28.现在将参考多个示例实施方式来讨论这里描述的主题。应当理解，讨论这些实施方式仅是为了使本领域的技术人员能够更好地理解并由此实现本文所述的主题，而不是暗示对主题范围的任何限制。
29.本文使用的术语仅用于描述特定实施方式的目的，而不旨在限制示例实施方式。如本文所用，除非上下文另外明确指出，单数形式“一个”、“一种”和“该”也旨在包括复数形式。还应当理解，在本文中使用术语“包括”、“包括有”、“包含”和/或“包含有”时，指定声称特征、整体、步骤、操作、元件和/或组件的存在，但不排除一个或多个其他特征、整体、步骤、操作、元件、组件和/或其组合的存在或添加。
30.还应当注意，在一些替代实现方式中，所指出的功能/动作可以不按照图中所指出的顺序发生。例如，根据所涉及的功能/动作、连续示出的两个功能或动作实际上可以同时执行、或者有时可以以相反的顺序执行。
31.如这里所使用的，术语“通信网络”是指遵循任何合适的通信标准的网络，诸如长期演进(lte)、高级lte(lte-a)、宽带码分多址(wcdma)、高速分组接入(hspa)等。此外，通信网络中的终端设备和网络设备之间的通信可以根据任何合适的一代通信协议来执行，包括但不限于第一代(1g)、第二代(2g)、2.5g、2.75g、第三代(3g)、第四代(4g)、4.5g、未来的第五代(5g)通信协议、和/或当前已知或将来要开发的任何其他协议。
32.本公开的实施方式可以应用于各种通信系统中。考虑到通信的快速发展，当然还存在可以利用它们可以实施本公开的未来类型的通信技术和系统。不应将其视为将本发明的范围仅限于上述系统。出于说明的目的，将参考5g通信系统来描述本公开的实施方式。
33.这里使用的术语“网络设备”包括但不限于基站(bs)、网关、注册管理实体和通信系统中的其他适当设备。术语“基站”或“bs”表示节点b(节点b或nb)、演进节点b(enodeb或enb)、nr(新无线电)nb(也称为gnb)、远程无线电单元(rru)、无线电报头(rh)、远程无线电头(rrh)、中继、诸如毫微微、微微等的低功率节点。
34.这里使用的术语“终端设备”包括但不限于“用户设备(ue)”和能够与网络设备通信的其他合适的终端设备。例如，“终端设备”可以指终端、移动终端(mt)、用户站(ss)、便携式用户站、移动站(ms)或接入终端(at)。
35.这里使用的术语“电路”可以指以下之一或多个或全部：
36.(a)纯硬件电路实现(诸如仅模拟和/或数字电路系统中的实现)以及
37.(b)硬件电路和软件的组合，诸如(如果适用的话)：
38.(i)(多个)模拟和/或数字硬件电路
39.与软件/固件的组合，以及
40.(ii)具有软件的(多个)硬件处理器的任何部分(包括(多个)数字信号处理器)、软件和(多个)存储器，它们一起工作以使诸如移动电话或服务器之类的装置执行各种功能)以及
41.(c)需要软件(例如，固件)来操作的(多个)硬件电路和/或(多个)处理器(诸如(多个)微处理器或(多个)微处理器的一部分)，但在操作不需要软件时该软件可能不存在。
42.电路的这个定义适用于本技术中这个术语的所有使用，包括在任何权利要求中。作为另一示例，如本技术案中所使用，术语电路还涵盖仅硬件电路或处理器(或多个处理器)或硬件电路或处理器的一部分及其(或其)伴随软件和/或固件的实施方案。术语电路还涵盖(例如且如果适用于特定权利要求元件)用于移动装置的基带集成电路或处理器集成电路或服务器中的类似集成电路、蜂窝式网络装置或其他计算或网络装置。
43.网络100中的通信可以符合任何合适的标准，包括但不限于长期演进(lte)、lte演进、高级lte(lte-a)、宽带码分多址(wcdma)、码分多址(cdma)和全球移动通信系统(gsm)等。此外，可以根据当前已知或将来要开发的任何一代通信协议来执行通信。通信协议的示例包括但不限于第一代(1g)、第二代(2g)、2.5g、2.75g、第三代(3g)、第四代(4g)、4.5g、第五代(5g)通信协议。
44.如上所述，根据3gpp和itu-t关于网络切片管理和编排的规范，网络切片管理主要包括配置管理、故障管理、性能管理、计费管理、安全管理和模板管理(例如，通信服务模板、网络切片模板和网络切片子网模板)。
45.通常，配置数据、故障数据和性能数据将由一些参与者共享或访问，例如代表通信服务提供者的通信服务管理，代表网络切片提供者的网络切片管理和代表网络切片子网提供者的网络切片子网管理。
46.图1示出了其中可以实现本公开的示例实施方式的示例系统100。系统100可以包括垂直市场应用110，其可以提高服务的特定需求。通信服务提供者120可收集由垂直市场应用提出的要求，并组织至少一个网络切片提供者130来提供所需的服务。网络切片提供者130还可以与网络切片子网提供者140相关联。
47.通信服务提供者120可以包括被称为通信服务管理功能(csmf)121的管理实体。网络切片提供器130可以包括被称为网络切片管理功能(nsmf)131的管理实体。网络切片子网提供者140可以包括被称为网络切片子网管理功能(nssmf)141的管理实体。
48.此外，系统还可以包括网络功能管理实体，例如网络功能管理功能(nfmf)150和虚拟网络功能管理(vnfm)182。nfmf 150可以与虚拟网络功能(vnf)170和物理网络功能(pnf)160相关联。vnfm 182可以与虚拟基础设施管理(vim)183相关联。
49.参考图1，可以如下进一步描述示例数据流。例如，数据是故障管理数据。vim 183向vnfm 182报告虚拟化资源警报数据。vnfm向nfmf 150发送182与虚拟化资源(被映射到vnf实例、相关或不相关)相关的vnf 170警报数据。
50.vnf 170向vnfm 182报告虚拟化专用警报数据。vnf 170实例向nfmf 150报告vnf实例应用警报数据和虚拟化专用警报数据。pnf 160可向nfmf 150报警报报数据。
51.nfmf 150向nssmf140发送以下警报数据：vnf实例应用警报数据和虚拟化专用警
报数据，与虚拟化资源相关的vnf警报数据，pnf警报数据，和/或相关的vnf实例警报数据。nfmf 150可以基于与虚拟化资源相关的vnf实例警报数据和vnf实例应用警报数据，使用相同的vnf实例标识来执行警报相关。nfmf 150可以向nssmf 141报告相关的vnf实例警报数据。
52.nssmf 141向nsmf 131发送警报数据。nssmf 141可以基于与vnf实例警报数据相关的网络子网实例警报数据，使用相同的网络切片子网实例标识，来执行警报相关。nssmf 141可以向nsmf 131报告相关的网络切片子网警报数据。
53.然后，nsmf 131向csmf 121发送警报数据。nsmf 131可以基于与网络切片子网实例警报数据相关的网络实例警报数据，使用相同的网络切片实例标识，来执行警报相关。nsmf 131可以向csmf 121报告相关的网络切片警报数据。
54.故障数据的数据流与性能数据类似，并且配置数据的数据流是相反的。省略了对性能数据和配置数据的数据流的描述。
55.根据参考图1描述的示例，通信服务实例可以包括一个或多个活动网络切片实例；网络切片实例可以包括一个或多个活动网络切片子网实例；并且网络切片子网实例可以包括一组受管理的运行时网络功能。这意味着，存在一些参与者(例如，通信服务提供者、网络切片提供者、网络切片子网提供者、软件供应者、硬件供应者)协作并且合作以便为各种垂直市场用户提供定制的通信服务。
56.首先，在垂直市场应用的操作期间，垂直市场用户可以周期性地检查网络切片管理数据(例如，性能数据、故障数据、配置数据)，以确保通信服务的性能和/或可用性符合服务等级协议。如果服务性能不太好或通信服务不可用，则所有参与者可转向网络切片管理数据，以找出发生了什么、如何发生以及谁负责此问题。故障处的参与者可能有动机来篡改网络切片管理数据(通过添加、移除或操纵网络切片管理数据的一部分或整个网络切片管理数据)以便隐藏其故障。更糟糕的是，发生故障的参与者可能试图篡改网络切片管理数据，并制造另一参与者成为故障背后的主要原因，并且因此负责所引起的损坏的场景。假定在每个参与者自己的数据中心中生成并存储网络切片管理数据，则存在许多篡改可能性。因此，这是对所有参与者一起工作并共享网络管理数据、尤其是故障数据的新要求，以便在通信服务不可用或性能不太好时跟踪负责该问题的参与者。
57.其次，根据关于网络切片管理和组织的现有3gpp&itu-t规范，提及：只有可以担任nfmf或nssmf或nsmf或csmf的授权消费者才能访问相应的网络切片管理数据(例如，故障/性能数据)。然而，这些规范没有规定任何安全对策来解决这个问题。
58.第三，配置数据是敏感的，这是因为熟练的攻击者可以使用系统配置数据来穿透网络切片系统。此外，非常重要的是，验证配置数据是由可信方定义/创建的，并且在运输期间不被修改或窃听。
59.提出了一些方案来检测数据的篡改。然而，这样的方案可能不能确保网络切片管理数据是防篡改的。这些方案可能需要被称为第三方审计器的中介器，其验证数据的完整性并将完整性报告发送给用户。这意味着仍然需要第三方或中央机构的信任。
60.因此，本公开的实施方式提出了一种用于网络切片管理的数据安全方法。借助于基于区块链的管理实体，一旦数据由数据生成器生成，数据的属性就可以在基于区块链的管理实体中被记录/发布。如果数据用户期望检查数据，则数据用户可能需要来自管理实体
的数据属性，并且需要来自数据生成器的数据。数据用户可以基于数据的属性检查数据的完整性。
61.如这里所使用的，术语“管理实体”是指网络管理侧中的任何组件、模块或节点，其可以被称为在3gpp sa5中定义的管理功能、元件管理器、网络管理器或域管理器。管理实体可以定义受管理的服务信息对象类(受管理的服务ioc)，并且在网络侧建立受管理的服务ioc和网络功能(nf)服务之间的关联。作为选择，术语“管理实体”还可以指被嵌入在网络侧中的、可以管理网络的服务模块。
62.如这里所使用的，术语“服务提供者”可以指网络运营者或网络实体。例如，对于通信服务提供者、网络切片提供者、网络切片子网提供者和网络基础设施提供者，术语“服务提供者”可以是网络运营者。对于网络切片管理，nsmf充当网络切片管理服务提供者的示例，而csmf充当网络切片管理服务消费者的示例。在此上下文中，术语“服务提供者”可由网络实体充当。
63.下面将参考图2详细描述本公开的原理和实现，图2示出了用于网络切片管理的数据安全过程200的示意图。为了讨论的目的，将参考图1描述过程200。
64.在图2中，服务提供者210和服务消费者230可以被称为图1中的多个功能或实体，这取决于数据的类型和数据流的相应方向。例如，如果数据是性能数据或故障数据，则服务提供者210和服务消费者230可以分别是nsmf 131和csmf 121、nssmf 141和nsmf 131以及nfmf 150和nssmf 141。如果数据是配置数据，则服务提供者210和服务消费者230可以分别是csmf 121和nsmf 131、nsmf 131和nssmf 141、以及nssmf141和nfmf 150。
65.此后，服务提供者210也可以被称为第一设备210或数据生成器，并且服务消费者230也可以被称为第三设备230或数据用户。如上所述的多个功能或实体可以包括产生/操作多种类型的数据的相应模块。
66.如上所述，管理实体220可以是网络管理侧的管理节点。此后，管理实体220也可以被称为第二设备220。逻辑功能“基于区块链的故障/性能/配置数据管理”被引入到管理实体220中。由于网络切片管理的故障/性能数据的量太大而不能被存储在分类账/区块中，并且配置数据/参数是敏感的并且将不公开地存储在分类账/区块中，所以故障/性能/配置数据的一些属性可以被收集并存储在分类账/区块中，而原始故障/性能/配置数据可以被收集并存储在其他数据实体中。如果原始故障/性能/配置数据被有意或无意地修改，则将利用存储在分类账/区块处的相应属性来检测修改。
67.该逻辑功能“基于块链的故障/性能/配置数据管理”可以被部署在服务器侧。它可以被部署在具有通信服务管理或网络切片管理的同一主机中。此逻辑功能可以管理故障/性能/配置数据发生器和数据用户的注册。数据生成器或数据用户的唯一标识包括他/她的公开密钥和其他参数。数据发生器和数据用户应当自己保持相应的私钥。
68.此逻辑功能可以存储包括故障/性能/配置数据的属性的分类账/区块。此逻辑功能“基于区块链的故障/性能/配置数据管理”具有保持区块链的完整副本的完整节点的能力。此外，此逻辑功能“基于区块链的pm/fm/cm数据管理”可充当区块链节点，并且具有创建新区块/分类账的能力。
69.此外，此逻辑功能可以授权数据用户访问所请求的故障/性能/配置数据。此逻辑功能具有认证请求访问故障/性能/配置数据的数据用户的能力。此逻辑功能能够检查数据
用户是否有权访问所请求的故障/性能/配置数据。此逻辑功能还具有生成“访问令牌(access_token)”的能力，数据用户可以利用该“访问令牌”访问所请求的故障/性能/配置数据。
70.相应地，一些逻辑功能被引入到服务提供者210和服务消费者230中。例如，可以将逻辑功能“发布到链的数据属性”和逻辑功能“数据访问控制”引入到服务提供者210。
71.逻辑功能“发布到链的数据属性”可以收集性能/故障/配置数据的属性，然后将收集的属性发送到能够生成新的区块/分类账的区块链节点。区块链节点聚集属性，创建新的区块/分类账，然后将新的区块/分类账发布到链中。如何构建区块链节点不在本文档的范围内。
72.逻辑功能“数据访问控制”可以验证由逻辑功能“基于块链的故障/性能/配置数据管理”生成的“访问令牌”。如果验证成功，则所请求的数据将被发送给数据用户。
73.例如，可以将逻辑功能“数据完整性检查”引入到服务消费者230中，服务消费者230可以使用数据哈希(data_hash)的值来检查故障/性能/配置数据是否被篡改。
74.此外，为了确保传输中配置数据的安全性，可以将逻辑功能“数据加密”引入到服务提供者210中，并且可以将逻辑功能“数据解密”引入到服务消费者230中。逻辑功能“数据加密”可以在数据被发送到数据用户之前加密配置数据。逻辑功能“数据解密”可以在从数据生成器接收配置数据之后解密密文格式的配置数据。
75.此后，下面将详细描述用于数据安全的过程200的示例。如图2所示，服务提供者210可以生成202与服务提供者210所提供的服务相关联的数据，同时生成该数据的属性的条目。数据属性的条目可以具有预定义的格式。例如，用于输入故障/性能数据的属性的示例可以如下表示。
76.表1：由nsmf 131生成并由csmf 121使用的故障/性能数据的属性
[0077][0078]
表1中的属性定义如下：
[0079]
数据索引(data_index)：指示故障/性能/配置数据属性的索引的标识。故障/性能/配置数据用于csmf(通信服务管理功能)中的故障/性能/配置管理。
[0080]
数据类型(data_type)：指示用于性能管理、故障管理(例如，报警数据)和配置管理的故障/性能/配置数据的数据类型的标志。
[0081]
数据生成器(data_generator)：包括网络切片提供者的公开密钥和对应/服务网络切片实例的标识的标识。这意味着故障/性能数据由相应/服务网络切片实例生成和/或从其收集。此字段数据生成器可被分成两个子字段，即网络切片提供者的公开密钥和对应/服务网络切片实例的标识。
[0082]
数据用户(data_user)：包括通信服务提供者的公开密钥和对应/服务通信服务实例的标识的标识。该字段数据用户可以被分成两个子字段，即通信服务提供者的公开密钥和对应/服务通信服务实例的标识。对于配置管理，上述两个字段数据生成器和数据用户交换角色。也就是说，配置数据的字段数据生成器是包括通信服务提供者的公开密钥和对应/服务通信服务实例的标识的标识；而配置数据的文件数据用户是包括网络切片提供者的公
开密钥和对应/服务网络切片实例的标识的标识。此外，数据用户可以是一组网络切片实例。这意味着，配置数据可以应用于一个或多个协作网络切片实例。
[0083]
时间戳(timestamp)：所收集或所生成的故障/性能/配置数据属性的时间。
[0084]
数据存储位置(data_storage_location)：故障/性能/配置数据存储的位置，其可以是文件、或数据库表、或表的条目。
[0085]
数据哈希(data_hash)：故障/性能/配置数据的哈希值及其相应的属性。
[0086]
签名(signature)：该签名利用属性生成器的私钥生成。这意味着，对于故障/性能数据，用网络切片提供者的私钥来生成签名。对于配置数据，用通信服务提供者的私钥生成签名。
[0087]
此外，用于输入故障/性能数据的属性的另一示例可以如下表示。
[0088]
表2：由nssmf141生成并由nsmf131使用的故障/性能数据的属
[0089][0090]
表2中的属性定义如下：
[0091]
数据索引(data_index)：指示故障/性能/配置数据属性的索引的标识。故障/性能/配置数据用于nsmf(网络切片管理功能)中的故障/性能/配置管理。
[0092]
数据类型(data_type)：指示用于性能管理、故障管理(例如，报警数据)和配置管理的故障/性能/配置数据的数据类型的标志。
[0093]
数据生成器(data_generator)：包括网络切片子网提供者的公开密钥和对应/服务网络切片子网实例的标识的标识。这意味着，故障/性能数据由相应/服务网络分片子网实例生成和/或从其收集。该字段数据生成器可被分成两个子字段，即网络切片子网提供者的公开密钥和相应/服务网络切片子网实例的标识。
[0094]
数据用户(data_user)：包括网络切片提供者的公开密钥和对应/服务网络切片实例的标识的标识。该字段数据用户可以被分成两个子字段，即网络切片提供者的公开密钥和对应/服务网络切片实例的标识。对于配置管理，上述两个字段数据生成器和数据用户交换角色。也就是说，配置数据的字段数据生成器是包括网络切片提供者的公开密钥和对应/服务网络切片实例的标识的标识；而配置数据的文件数据用户是包括网络切片子网提供者的公开密钥和对应/服务网络切片子网实例的标识的标识。此外，数据用户可以是一组网络切片子网实例。这意味着，配置数据可以应用于一个或多个协作网络切片子网实例。
[0095]
时间戳(timestamp)：收集故障/性能/配置数据属性的时间。
[0096]
数据存储位置(data_storage_location)：故障/性能/配置数据存储的位置，其可以是文件、或数据库表、或表的条目。
[0097]
数据哈希(data_hash)：故障/性能/配置数据的哈希值及其相应的属性。
[0098]
签名(signature)：该签名利用属性生成器的私钥生成。这意味着，对于故障/性能数据，用网络切片子网提供者的私钥来生成签名。对于配置数据，用网络切片提供者的私钥生成签名。
[0099]
应当理解，也可以利用与在表1和表2中定义的属性相同的方式来定义在nssmf/nfmf中操作和管理的故障/性能/配置数据的属性，在本说明书中将不示出。
[0100]
返回参考图2，服务提供者210的逻辑功能“发布到链的数据属性”向管理实体220公布204数据属性的至少一个条目。服务提供者210可以周期性地发送至少一个条目，或者向管理实体220发送预定数量的条目。
[0101]
管理实体220的逻辑功能“基于区块链的pm/fm/cm数据管理”可从至少一个条目收集数据的属性，并将属性存储206在区块链中。例如，管理实体220接收分别表示数据1的属性和数据2的属性的条目1和条目2。管理实体220可聚集数据1的属性和数据2的属性，并创建区块以存储数据1的属性和数据2的属性。管理实体220还可以将新区块公布到链。
[0102]
图3示出了示出根据本公开的一些示例实施方式的区块链之一区块的示例结构的示意图。块300可以包括报头310和事务320。报头310可以指示与块300相关联的一些属性，诸如先前块的哈希和当前块的哈希。如上所述，事务320可以存储数据的属性，诸如数据1的属性和数据2的属性。
[0103]
再次参考图2，如果服务变得更坏或者服务的操作失败，则可以触发服务消费者230来检查由服务提供者210提供的数据。服务消费者230可向管理实体220发送208用于访问数据属性的请求，即“属性访问请求”消息。
[0104]
用于访问数据的请求可以包括服务消费者230的公开密钥和服务提供者210的公开密钥。此外，用于访问数据的请求还可以包括服务消费者230期望检查的数据类型以及生成或收集数据的时间。
[0105]
管理实体220的逻辑功能“基于区块链的pm/fm/cm数据管理”可以利用其公开密钥认证服务消费者230，然后检查数据用户列表是否包括所请求的服务消费者230。如果所请求的服务消费者230被成功认证并且在数据用户列表中，则管理实体220的逻辑功能“基于区块链的pm/fm/cm数据管理”可以生成“访问令牌”。管理实体220的逻辑功能“基于块链的pm/fm/cm数据管理”然后向服务消费者230发送212“属性访问响应”消息。该响应消息可以包括数据存储位置“数据存储位置”、原始数据的哈希值“数据哈希”和访问令牌“访问令牌”。
[0106]
在从管理实体220接收到“属性访问响应”消息之后，服务消费者230向服务提供者210发送214访问数据的请求，即“数据访问请求”消息，以便访问数据。该请求消息可以包括服务消费者230的公开密钥、服务提供者210处的数据存储位置“数据存储位置”和访问令牌“访问令牌”。
[0107]
在从服务消费者230接收到“数据访问请求”消息之后，服务提供者210可以验证“访问令牌”。如果“访问令牌”有效，则服务提供者210的逻辑功能“数据访问控制”可使得服务提供者210将“数据访问响应”消息发送回到服务消费者230。因此，服务提供者210发送216包括所请求的数据的响应消息。这里，数据可以指性能数据或故障数据。稍后将描述请求配置数据的情况。
[0108]
在接收到所请求的原始性能数据或原始故障数据之后，服务消费者230的逻辑功能“数据完整性检查”可以检查218数据的完整性。服务消费者230可以计算所接收的原始数据的哈希值，并将所计算的哈希值与从管理实体220接收的哈希值“数据哈希”进行比较。如果这两个哈希值相等，则原始性能数据或故障数据不被篡改。
[0109]
如上所述，为了确保传输中配置数据的安全性，可以将逻辑功能“数据加密”引入到服务提供者210中，并且可以将逻辑功能“数据解密”引入到服务消费者230中。在一些示
例实施方式中，服务提供者210通知服务消费者230获取将被设置/配置到网络切片实例中的新的和/或更新的配置数据。以此方式，网络切片实例可以根据来自通信服务提供者的要求提供通信服务。该通知消息包括配置数据的属性在链中的位置。
[0110]
在请求配置数据的情况下，如果服务提供者210确定“访问令牌”有效，则服务提供者210将“数据访问响应”消息发送回到服务消费者230。此响应消息包括加密的原始配置数据和加密的会话密钥。由服务提供者210的逻辑功能“数据加密”利用会话密钥来加密原始配置数据。该会话密钥由逻辑功能“数据加密”产生，并由逻辑功能“数据加密”利用服务消费者230的公开密钥来加密。
[0111]
在接收到“数据访问响应”消息之后，服务消费者230的逻辑功能“数据解密”利用服务消费者230的公开密钥，获取明文形式的会话秘钥(session_key)，然后利用会话秘钥获取明文形式的原始配置数据。服务消费者230的逻辑功能“数据完整性检查”可以计算所获取的原始配置数据的哈希值，并且将所计算的哈希值与哈希值“数据哈希”进行比较。如果这两个哈希值相等，则原始配置不被篡改。
[0112]
这样，服务消费者可以检测数据篡改。此外，可以保证只有授权数据用户可以访问原始性能数据、原始故障数据或配置数据。
[0113]
图4示出了根据本公开的一些示例实施方式的用于网络切片管理的数据安全的示例方法400的流程图。方法400可以在如图2所示的服务提供者210处实现。为了讨论的目的，将参考图2描述方法400。
[0114]
如图4所示，在410，服务提供者210向服务消费者230发送与由服务提供者210生成的数据的属性相关联的至少一个条目。
[0115]
在一些示例实施方式中，这些属性包括以下至少一项：数据的索引、数据的类型、服务提供者210的标识、服务消费者230的标识、条目的生成的时间戳、数据的存储位置、数据的原始哈希值，或者服务提供者210的签名。
[0116]
在420，如果从服务消费者230接收到用于访问数据的请求，服务提供者210基于请求确定服务消费者是否具有用于访问数据的权限。
[0117]
在一些示例实施方式中，用于访问数据的请求包括以下至少一项：服务消费者230的公开密钥、数据在服务提供者210处的存储位置、以及用于访问服务提供者的数据的访问令牌。
[0118]
在一些示例实施方式中，服务提供者210可以从请求中获取用于访问数据的访问令牌。服务提供者210确定访问令牌的有效性。基于所确定的访问令牌的有效性，服务提供者210可以确定服务消费者具有用于访问数据的权限。
[0119]
在430，如果服务提供者210确定服务消费者具有用于访问数据的权限，则使服务消费者230基于从管理实体220获取的数据的属性来检查数据的完整性。
[0120]
在一些示例实施方式中，如果数据与由服务提供者210提供的网络切片的配置相关联，则服务提供者210可以从请求中获取服务消费者230的公开密钥，利用公开密钥加密用于数据访问的会话密钥，并且利用会话密钥加密数据。服务提供者210还可以向服务消费者230发送加密数据。
[0121]
在一些示例实施方式中，如果数据与网络切片的性能和故障之一相关联，则服务提供者210可以向服务消费者230发送数据。
[0122]
在一些示例实施方式中，服务提供者210可以在生成数据的同时生成与数据的属性相关联的至少一个条目。
[0123]
图5示出了根据本公开的一些示例实施方式的用于网络切片管理的数据安全的示例方法500的流程图。方法500可以在如图2所示的管理实体220处实现。为了讨论的目的，将参考图2描述方法500。
[0124]
如图5所示，在510，管理实体220从服务提供者210接收与数据的属性相关联的至少一个条目。
[0125]
在一些示例实施方式中，属性包括以下至少一项：数据的索引、数据的类型、服务提供者210的标识、服务消费者230的标识、条目的生成的时间戳、数据的存储位置、数据的原始哈希值，或者服务提供者210的签名。
[0126]
在520，管理实体220将数据的属性存储在区块链中。
[0127]
在一些示例实施方式中，管理实体220可以从第一条目提取数据的多个第一属性，并且从第二条目提取数据的多个第二属性；以及将数据的多个第一属性和数据的多个第二属性聚集到区块链中的至少一个区块中。
[0128]
在530，管理实体220从服务消费者230接收用于访问数据属性的请求。
[0129]
在一些示例实施方式中，管理实体220可以接收以下至少一项：服务消费者230的公开密钥、服务提供者210的公开密钥、数据的类型和用于生成数据的属性的时间。
[0130]
在540，如果服务消费者230基于请求具有访问数据属性的权限，则管理实体220将数据属性从区块链发送到服务消费者230。
[0131]
在一些示例实施方式中，管理实体220可以从请求中获取服务消费者230的公开密钥，并且确定服务消费者230的公开密钥是否被包括在管理实体220处的已授权访问列表中。如果服务消费者230的公开密钥被包括在已授权访问列表中，则管理实体220还可以确定访问服务消费者230的数据属性的权限。
[0132]
在一些示例实施方式中，管理实体220可以发送以下至少一项：用于访问服务提供者210的数据的访问令牌、数据在服务提供者210处的存储位置以及数据的原始哈希值。
[0133]
图6示出了根据本公开的一些示例实施方式的用于网络切片管理的数据安全的示例方法600的流程图。方法600可以在如图2所示的服务消费者230处实现。为了讨论的目的，将参考图2描述方法600。
[0134]
如图6所示，在610，服务消费者230向管理实体220发送访问数据属性的请求。
[0135]
在一些示例实施方式中，服务消费者230可以发送以下至少一项：服务消费者230的公开密钥、服务提供者210的公开密钥、数据的类型和用于生成数据的时间。
[0136]
在一些示例实施方式中，服务消费者230可以接收以下至少一项：用于访问服务提供者210的数据的访问令牌、数据在服务提供者210处的存储位置以及数据的原始哈希值。
[0137]
在620，服务消费者230至少基于数据的属性生成用于访问数据的请求。
[0138]
在630，服务消费者230向服务提供者210发送用于访问数据的请求。
[0139]
在一些示例实施方式中，服务消费者230可以发送以下至少一项：服务消费者230的公开密钥、数据在服务提供者210处的存储位置、以及用于访问服务提供者210的数据的访问令牌。
[0140]
在640，如果服务消费者230从服务提供者210接收数据，则服务消费者230基于属
性来检查数据的完整性。
[0141]
在一些示例实施方式中，服务消费者230可以确定数据的计算的哈希值，从属性获取数据的原始哈希值；以及比较数据的计算的哈希值与数据的原始哈希值。如果计算的哈希值等于原始哈希值，则服务消费者230可以确定数据是未修改的。
[0142]
在一些示例实施方式中，能够执行方法400(例如，在服务提供者210处实现的)的设备可以包括用于执行方法400的各个步骤的装置。该装置可以以任何适当的形式实现。例如，该装置可以在电路或软件模块中实现。
[0143]
在一些示例实施方式中，该设备包括：用于向第二设备发送与由第一设备生成的数据的属性相关联的至少一个条目的装置；用于响应于从第三设备接收的用于访问数据的请求，基于请求确定第三设备是否具有用于访问数据的权限的装置；以及用于响应于确定第三设备具有用于访问数据的权限，使得第三设备基于从第二设备获取的数据的属性，来检查数据的完整性的装置。
[0144]
在一些示例实施方式中，能够执行方法500(例如，在管理实体220处实现的)的设备可以包括用于执行方法500的相应步骤的装置。该装置可以以任何适当的形式实现。例如，该装置可以在电路或软件模块中实现。
[0145]
在一些示例实施方式中，该设备包括：用于从第一设备接收与数据的属性相关联的至少一个条目的装置；用于将数据的属性存储在区块链中的装置；用于从第三设备接收用于访问数据的属性的请求的装置；以及用于响应于基于请求确定第三设备具有用于访问数据的属性的权限，从区块链向第三设备发送数据的属性的装置。
[0146]
在一些示例实施方式中，能够执行方法600(例如，在服务消费者230处实现的)的设备可以包括用于执行方法600的相应步骤的装置。该装置可以以任何适当的形式实现。例如，该装置可以在电路或软件模块中实现。
[0147]
在一些示例实施方式中，该装置包括：用于向第二设备发送用于访问数据的属性的请求的装置；用于至少基于数据的属性，生成用于访问数据的请求的装置；用于向第一设备发送用于访问数据的请求的装置；以及用于响应于从第一设备接收到数据，基于属性来检查数据的完整性的装置。
[0148]
图7是适合于实现本公开的实施方式的设备700的简化框图。可以提供设备700来实现通信设备，例如图2所示的服务提供者210、管理实体220和服务消费者230。如图所示，设备700包括：一个或多个处理器710、耦合到处理器710的一个或多个存储器740、以及耦合到处理器710的一个或多个发射机和/或接收机(tx/rx)740。
[0149]
tx/rx740用于双向通信。tx/rx740具有至少一个天线以便于通信。通信接口可以表示与其他网络元件通信所需的任何接口。
[0150]
处理器710可以是适合于本地技术网络的任何类型，并且作为非限制性示例可以包括以下的一项或多项：通用计算机、专用计算机、微处理器、数字信号处理器(dsp)和基于多核处理器架构的处理器。设备700可具有多个处理器，例如在时间上从属于使主处理器同步的时钟的专用集成电路芯片。
[0151]
存储器720可以包括一个或多个非易失性存储器和一个或多个易失性存储器。非易失性存储器的实例包括(但不限于)只读存储器(rom)724、电可编程只读存储器(eprom)、快闪存储器、硬盘、压缩光盘(cd)、数字视频光盘(dvd)和其他磁性存储装置和/或光学存储
装置。易失性存储器的示例包括但不限于随机存取存储器(ram)722和在断电持续时间内不会持续的其他易失性存储器。
[0152]
计算机程序730包括由相关联的处理器710执行的计算机可执行指令。程序730可以存储在rom720中。处理器710可以通过将程序730加载到ram720中来执行任何合适的动作和处理。
[0153]
可借助于程序730来实施本发明的实施方式，使得设备700可执行如参看图2到6所论述的本发明的任何过程。本公开的实施方式还可以由硬件或软件和硬件的组合来实现。
[0154]
在一些实施方式中，程序730可被有形地包含在计算机可读介质中，该计算机可读介质可被包括在设备700中(诸如存储器720中)或可由设备700访问的其他存储设备中。设备700可将程序730从计算机可读介质加载到ram 722以供执行。计算机可读介质可以包括任何类型的有形非易失性存储器，例如rom、eprom、闪存、硬盘、cd、dvd等。图8示出了cd或dvd形式的计算机可读介质800的示例。计算机可读介质上存储有程序730。
[0155]
通常，本公开的各种实施方式可以在硬件或专用电路、软件、逻辑或其任何组合中实现。一些方面可以用硬件来实现，而其他方面可以用固件或软件来实现，这些固件或软件可以由控制器、微处理器或其他计算设备来执行。虽然本公开的实施方式的各方面被示出并描述为框图、流程图或使用一些其他图示表示，但是应当理解，本文描述的块、装置、系统、技术或方法可以作为非限制性示例，在硬件、软件、固件、专用电路或逻辑、通用硬件或控制器或其他计算设备或其一些组合中实现。
[0156]
本公开还提供了有形地存储在非瞬态计算机可读存储介质上的至少一种计算机程序产品。计算机程序产品包括在目标真实或虚拟处理器上的设备中执行的诸如包括在程序模块中的那些计算机可执行指令，以执行如上参考图2-6所述的方法400-600。一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、库、对象、类、组件、数据结构等。程序模块的功能可根据各种实施方式中的需要在程序模块之间组合或分开。程序模块的机器可执行指令可在本地或分布式设备内执行。在分布式设备中，程序模块可位于本地和远程存储介质中。
[0157]
用于执行本公开的方法的程序代码可以用一种或多种编程语言的任意组合来编写。这些程序代码可以被提供给通用计算机，专用计算机或其他可编程数据处理设备的处理器或控制器，使得程序代码在被处理器或控制器执行时使得流程图和/或框图中指定的功能/操作被实现。程序代码可以完全在机器上，部分在机器上，作为独立软件包，部分在机器上，部分在远程机器上或完全在远程机器或服务器上执行。
[0158]
在本公开的上下文中，计算机程序代码或相关数据可以由任何合适的载体携带，以使设备、装置或处理器能够执行如上所述的各种过程和操作。载波的示例包括信号、计算机可读介质等。
[0159]
计算机可读介质可以是计算机可读信号介质或计算机可读存储介质。计算机可读介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置或设备、或前述的任何合适的组合。计算机可读存储介质的更具体的示例将包括具有一条或多条导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(ram)、只读存储器(rom)、可擦除可编程只读存储器(eprom或闪存)、光纤、便携式光盘只读存储器(cd-rom)、光存储设备、磁存储设备、或前述的任何合适的组合。
[0160]
此外，虽然以特定顺序描述了操作，但是这不应被理解为要求以所示的特定顺序或按顺序执行这些操作或者执行所有示出的操作，以实现期望的结果。在某些情况下，多任务和并行处理可能是有利的。同样地，虽然在上述讨论中包含了若干特定实现细节，但是这些细节不应当被解释为对本公开的范围的限制，而应当被解释为对特定实施方式所特有的特征的描述。也可以在单个实施方式中组合实现在单独实施方式的上下文中描述的某些特征。相反，也可以在多个实施方式中单独地或以任何合适的子组合来实现在单个实施方式的上下文中描述的各种特征。
[0161]
尽管已经用结构特征和/或方法动作专用的语言描述了本公开，但是应当理解，所附权利要求中限定的本公开不必限于上述具体特征或动作。相反，上述具体特征和动作是作为实现权利要求的示例形式而公开的。