通信网络中用于用户设备的数据传输管理的制作方法

1.本领域一般地涉及通信系统，并且更具体地但不排他地涉及这种系统内的安全管理。


背景技术：

2.本节介绍可以有助于促进更好地理解本发明的各方面。因此，本节的描述要从这个角度阅读，而不应被理解为承认现有技术中存在或不存在的内容。
3.第四代(4g)无线移动电信技术(也被称为长期演进(lte)技术)旨在提供具有高数据速率的高容量移动多媒体，特别是用于人类交互。这种4g网络通常采用演进分组系统(eps)，其架构包括两个子系统，即演进通用陆地无线电接入网络(e-utran)和演进分组核心(epc)网络。
4.下一代或第五代(5g)技术旨在不仅用于人类交互，而且还用于所谓的物联网(iot)网络中的机器类型通信。虽然5g网络旨在实现大规模iot服务(例如，非常大量的有限容量设备)和关键任务iot服务(例如，需要高可靠性)，但支持采用增强型移动宽带(embb)服务形式的对传统移动通信服务的改进，从而针对移动设备提供改进的无线互联网接入。
5.在示例通信系统中，用户设备(5g网络中的5g ue，或者更广泛地，ue)通过空中接口与5g网络中的接入网络(被称为ng-ran)的基站或接入点通信。接入点(例如，gnb)说明性地是通信系统的ng-ran的一部分。一般而言，接入点(例如，gnb)针对ue提供对核心网络(cn或5gc)的接入，核心网络进而针对ue提供对其他ue和/或诸如分组数据网络或pdn(例如，互联网)之类的数据网络的接入。
6.虽然ue通常可以被称为移动站、用户站，或者更一般地被称为通信设备，包括诸如被插入膝上型计算机或其他设备(诸如智能电话)中的卡的组合之类的示例，但在一些应用场景中，ue是无人/无人驾驶空中系统(uas)(也被称为无人/无人驾驶飞行器或uav)(例如，中插入的卡)的一部分。
7.然而，由于不断尝试改进与4g/5g网络相关联的架构和协议的安全性，在建立数据网络连接期间与ue认证/授权相关联的问题可能带来重大挑战。


技术实现要素：

8.说明性实施例提供了用于当通过通信网络建立数据网络连接时在用户设备的认证/授权期间管理与用户设备相关联的上行链路数据传输的技术。
9.在从用户设备的角度的一个说明性实施例中，一种方法包括以下步骤。该用户设备使得发起通过通信网络建立与数据网络的连接。由该用户设备从该通信网络接收向该数据网络的上行链路数据传输未被允许的第一通知。由该用户设备从该通信网络接收向该数据网络的上行链路数据传输被允许的第二通知，其中，该第二通知对应于由认证实体对该用户设备的成功验证。
10.例如，用户设备避免在接收第一通知与接收第二通知之间发起向数据网络的上行
链路数据传输。此外，举例来说，验证包括基于数据网络标识符(例如，服务级别标识或数据网络特定的标识)对用户设备进行的认证和授权，该数据网络标识符与用于接入通信网络的标识符(例如，用户标识)不同。
11.在从通信网络的角度的另一个说明性实施例中，一种方法包括以下步骤。该通信网络从用户设备接收通过该通信网络建立与数据网络的连接的请求。该通信网络向该用户设备发送向该数据网络的上行链路数据传输未被允许的第一通知。该通信网络向该用户设备发送向该数据网络的上行链路数据传输被允许的第二通知，其中，该第二通知对应于由认证实体对该用户设备的成功验证。此外，举例来说，验证包括基于数据网络标识符(例如，服务级别标识或数据网络特定的标识)对用户设备进行的认证和授权，该数据网络标识符与用于接入通信网络的标识符(例如，用户标识)不同。
12.进一步的说明性实施例以非暂时性计算机可读存储介质的形式提供，在该非暂时性计算机可读存储介质中体现有可执行程序代码，该可执行程序代码在由处理器执行时使该处理器执行上述步骤。更进一步的说明性实施例包括具有被配置为执行上述步骤的处理器和存储器的装置。
13.有利地，说明性实施例提供了在与uas一起使用的ue的分组数据网络(pdn)连接建立期间对uas的认证和授权的增强。然而，应当理解，说明性实施例更一般地将这些增强例如扩展到任何ue(即，不必是与uas一起使用的ue)，以用于在数据网络连接建立期间由认证实体对ue提供的数据网络特定的标识进行认证和授权(即，验证)。例如，在uas场景中，认证实体可以是uas服务供应商(uss)，而在eps场景中，认证实体可以是数据网络认证、授权和计费服务器(dn-aaa服务器)。然而，实施例不限于这些示例性场景。
14.从附图和以下详细描述中，本文描述的实施例的这些和其他特征和优点将变得更加显而易见。
附图说明
15.图1a示出实现可用于实现一个或多个说明性实施例的第一通信网络架构的通信系统；
16.图1b示出实现可用于实现一个或多个说明性实施例的第二通信网络架构的通信系统；
17.图2示出可用于实现一个或多个说明性实施例的用户设备和至少一个网络实体/功能；
18.图3示出可用于实现一个或多个说明性实施例的第一类型通信网络和第二类型通信网络的复合架构；
19.图4示出图3的复合架构的进一步细节；
20.图5示出根据说明性实施例的在数据网络连接建立期间执行的与无人/无人驾驶空中系统相关联的认证/授权消息流。
具体实施方式
21.本文将结合示例通信系统和用于通信系统中的安全管理的相关联技术来说明实施例。然而，应当理解，权利要求的范围不限于所公开的特定类型的通信系统和/或过程。可
以使用替代的网络、过程和操作，在各种其他类型的通信系统中实现实施例。例如，虽然在使用3gpp系统单元/元件的基于无线蜂窝的系统(诸如4g和/或5g系统)的上下文中进行说明，但所公开的实施例可以以直接的方式适用于各种其他类型的通信系统。
22.根据说明性实施例，一个或多个3gpp技术规范(ts)和/或技术报告(tr)可以提供对可以与本发明方案的部分交互的网络实体和/或操作的进一步解释。例如，eps架构中的e-utran接入的细节在ts 23.401，标题为“用于演进通用陆地无线电接入网络(e-utran)接入的通用分组无线电服务(gprs)增强)(general packet radio service(gprs)enhancements for evolved universal terrestrial radio access network(e-utran)access”(其公开内容通过引用全部并入本文中)中进行了描述。在5g网络中，接入网络在ts 23.501，标题为“技术规范组服务和系统方面；用于5g系统的系统架构(technical specification group services and system aspects；system architecture for the 5g system)”(其公开内容通过引用全部并入本文中)中进行了描述。5g核心网络在ts 23.502，标题为“技术规范组服务和系统方面；用于5g系统(5gs)的过程(technical specification group services and system aspects；procedures for the 5gsystem(5gs))”(其公开内容通过引用全部并入本文中)中进行了描述。其他3gpp ts/tr文档可以提供本领域普通技术人员将了解的其他细节。例如，在uas应用的上下文中，ts 23.256，标题为“支持无人驾驶空中系统(uas)连接、识别和跟踪；阶段2(support of uncrewed aerial systems(uas)connectivity,identification and tracking；stage 2)”和ts 22.125，标题为“3gpp中的无人驾驶空中系统(uas)支持；阶段1)(unmanned aerial system(uas)support in 3gpp；stage 1”(其公开内容通过引用全部并入本文中)可以适用于将在本文进一步解释的说明性实施例。
23.然而，虽然非常适合于4g相关和/或5g相关3gpp标准，但实施例并非旨在限于任何特定标准，而是提供跨多个标准和架构的通用解决方案。
24.此外，如本文说明性地使用的，将引用各种缩写词，包括但不限于：
25.3gpp：第三代合作伙伴计划
26.aaa：认证、授权和计费
27.dn：数据网络
28.mme：移动性管理实体
29.nas：非接入层
30.nef：网络开放功能
31.pdn：分组数据网络
32.pco：协议配置选项
33.pgw：pdn网关
34.sgw：服务网关
35.smf：会话管理功能
36.tpae：第三方授权实体
37.uas：无人/无人驾驶空中系统
38.uav：无人/无人驾驶飞行器
39.uss：uas服务供应商
40.utm：uas业务管理
41.uuaa：uss uav授权/认证
42.说明性实施例与4g和5g网络中的uas认证/授权相关。在描述这样的说明性实施例之前，下面将描述4g网络(图1a)和5g网络(图1b)的某些主要组件的一般说明。
43.图1a示出了其中实现说明性实施例的4g通信系统100的一部分。应当理解，在通信系统100中所示的单元旨在表示在系统内提供的某些主要实体，例如，ue接入实体、移动性管理实体、认证实体等。因此，在图1a中所示的块引用了4g网络中提供这些主要实体的特定单元。然而，可以使用其他网络单元来实现所表示的主要实体的一些或全部。此外，应当理解，在图1a中并未描绘4g网络的所有实体。相反，表示了促进说明性实施例的解释的至少一些实体。后续附图可以进一步描绘这些实体以及附加实体(即，其可以更一般地被称为网络节点)。
44.因此，如图所示，通信系统100包括经由空中接口103与接入点(enb)104通信的用户设备(ue)102。如上所述，在说明性实施例中，ue 102可以是uas(例如，中插入的卡)的一部分。在本文中可以使用术语“具有空中能力的用户设备(aerial-capable user equipment)”以包含具有机载ue的各种不同类型的uas(和uav)，诸如但不限于无人机。
45.接入点104说明性地是通信系统100的接入网络的一部分。这样的接入网络可以包括例如具有多个基站和一个或多个相关联的无线电网络控制功能的4g ran(e-utran)系统。基站和无线电网络控制功能可以是逻辑上分离的实体，但在给定的实施例中可以在同一物理网络单元中实现。
46.在此说明性实施例中，接入点104在操作上被耦接到移动性管理实体(mme)106。除了其他网络操作之外，通信系统的核心网络部分中的移动性管理实体管理或以其他方式参与(通过接入点104)与ue的接入和移动性(包括认证/授权)操作。在本文中mme还可以更一般地被称为接入和移动性管理节点。
47.在此说明性实施例中，mme 106在操作上被耦接到附加网络实体108。如图所示，这些实体中的一些包括归属用户服务器(hss)以及认证中心(auc)。在本文中hss和auc(单独地或共同地)还可以更一般地被称为一个或多个认证节点。此外，附加实体108可以包括服务网关(sgw)和分组数据网络网关(pgw)。
48.注意，ue(诸如ue 102)通常签约(subscribed)到归属公共陆地移动网络(hplmn)，实体106和108中的一些或全部驻留在其中。如果ue正在漫游(不在hplmn中)，则它通常与受访公共陆地移动网络(vplmn)(也被称为受访网络)相连接，而当前正在服务ue的网络被称为服务网络。在漫游情况下，网络实体106和108中的一些可以驻留在vplmn中，在这种情况下，vplmn中的实体根据需要与hplmn中的实体通信。然而，在非漫游场景中，移动性管理实体106和其他网络实体108驻留在同一通信网络(即，hplmn)中。本文描述的实施例不受哪些实体驻留在哪个plmn(即，hplmn或vplmn)中的限制。
49.在此未描述4g网络的其他典型操作和实体，因为它们不是说明性实施例的焦点并且可以在适当的3gpp 4g文档中找到。
50.应当理解，这种系统单元的特定布置仅仅是示例，并且在其他实施例中可以使用其他类型和布置的附加或替代单元来实现通信系统。例如，在其他实施例中，系统100可以包括本文未明确示出的其他实体。
51.因此，图1a的布置只是无线蜂窝系统的一个示例配置，并且可以使用系统单元的多个替代配置。例如，虽然可以在图1a的实施例中示出单个实体，但这仅仅是为了描述的简单和清晰。给定的替代实施例当然可以包括更大数量的这种系统单元、以及通常与常规系统实现相关联的类型的附加或替代单元。
52.图1b示出了其中实现说明性实施例的5g通信系统110的一部分。应当理解，在通信系统110中所示的单元旨在表示在系统内提供的某些主要功能，例如，ue接入功能、移动性管理功能、认证功能等。因此，在图1b中所示的块引用了5g网络中提供这些主要功能的特定单元。然而，可以使用其他网络单元来实现所表示的某些主要功能的一些或全部。此外，应当理解，在图1b中并未描绘5g网络的所有功能。相反，表示了促进说明性实施例的解释的至少一些功能。后续附图可以进一步描绘这些功能以及附加功能(即，更一般地被称为网络节点)。
53.因此，如图所示，通信系统110包括经由空中接口113与接入点(gnb)114通信的用户设备(ue)112。此外，在说明性实施例中，ue 112包括uas。
54.接入点114说明性地是通信系统110的接入网络的一部分。这样的接入网络可以包括例如具有多个基站和一个或多个相关联的无线电网络控制功能的ng-ran系统。基站和无线电网络控制功能可以是逻辑上分离的实体，但在给定的实施例中可以在同一物理网络单元中实现。
55.在该说明性实施例中，接入点114在操作上被耦接到移动性管理功能116。在5g网络中，移动性管理功能由接入和移动性管理功能(amf)实现。安全锚功能(seaf)也可以利用将ue与移动性管理功能相连接的amf来实现。如本文所使用的，移动性管理功能是通信系统的核心网络(cn)部分中的单元或功能(即，实体)，除了其他网络操作之外，它管理或以其他方式参与(通过接入点114)与ue的接入和移动性(包括认证/授权)操作。在本文中amf还可以更一般地被称为接入和移动性管理节点。
56.在此说明性实施例中，amf 116在操作上被耦接到附加功能118。如图所示，这些功能中的一些包括统一数据管理(udm)功能以及认证服务器功能(ausf)。在本文中ausf和udm(单独地或共同地)还可以更一般地被称为一个或多个认证节点。附加功能118还可以包括会话管理功能(smf)、用户面功能(upf)、策略控制功能(pcf)以及网络开放功能(nef)。
57.注意，ue(诸如ue 112)通常签约到归属公共陆地移动网络(hplmn)，功能116和118中的一些或全部驻留在其中。如果ue正在漫游(不在hplmn中)，则它通常与受访公共陆地移动网络(vplmn)(也被称为受访网络)相连接，而当前正在服务ue的网络被称为服务网络。在漫游情况下，网络功能116和118中的一些可以驻留在vplmn中，在这种情况下，vplmn中的功能根据需要与hplmn中的功能通信。然而，在非漫游场景中，移动性管理功能116和其他网络功能118驻留在同一通信网络(即，hplmn)中。本文描述的实施例不受哪些功能驻留在哪个plmn(即，hplmn或vplmn)中的限制。
58.在此未描述这种网络的其他典型操作和功能，因为它们不是说明性实施例的焦点并且可以在适当的3gpp 5g文档中找到。注意，116和118中所示的功能是网络功能(nf)的示例。
59.应当理解，这种系统单元的特定布置仅仅是示例，并且在其他实施例中可以使用其他类型和布置的附加或替代单元来实现通信系统。例如，在其他实施例中，系统110可以
包括本文未明确示出的其他单元/功能。
60.因此，图1b的布置只是无线蜂窝系统的一个示例配置，并且可以使用系统单元的多个替代配置。例如，虽然在图1b的实施例中示出单个功能，但这仅仅是为了描述的简单和清晰。给定的替代实施例当然可以包括更大数量的这种系统单元、以及通常与常规系统实现相关联的类型的附加或替代单元。
61.还应当注意，虽然图1b将系统单元示出为单个功能块，但构成5g网络的各种子网络被划分成所谓的网络切片。网络切片(网络分区)包括一系列网络功能(nf)集(即，功能链)，以用于使用公共物理基础架构上的网络功能虚拟化(nfv)的每个对应的服务类型。网络切片根据给定服务(例如，embb服务、大规模iot服务、以及关键任务iot服务)的需要而被实例化。因此，当创建网络切片或功能的实例时，该网络切片或功能被实例化。在一些实施例中，这涉及在底层物理基础架构的一个或多个主机设备上安装或以其他方式运行网络切片或功能。ue 112被配置为经由gnb 114接入这些服务中的一个或多个。
62.图2是说明性实施例中用于在通信系统中提供或以其他方式参与认证/授权的用户设备(ue)和网络节点的框图。系统200被示出为包括用户设备202和网络节点204。
63.应当理解，用户设备202表示ue 102(图1a)或ue 112(图1b)的一个示例，其在说明性实施例中包括uas。还应当理解，网络节点204表示被配置为提供本文描述的安全管理和其他技术的任何网络实体和/或任何网络功能以及任何其他网络组件、单元/元件、服务等，例如但不限于amf、seaf和udm(诸如基于sba的5g核心网络(图1b)的一部分)，或者mme、hss和auc(诸如基于eps的4g核心网络(图1a)的一部分)。
64.网络节点204还可以是核心网络外部(即，第三方外部企业网络)的网络实体、功能、节点、组件、单元/元件、服务等。此外，网络节点204可以表示一个或多个处理设备，其被配置为编排和管理核心网络或任何通信网络或系统内的一个或多个网络实体或功能的实例化。网络节点204可以是在uas的认证/授权中直接或间接涉及的任何其他实体/功能，例如，如可在上面引用的ts 23.256和ts 22.125中描述的实体/功能和/或可在下面以其他方式描述的实体/功能。举例来说，在由dn-aaa的辅助dn认证/授权的情况下，网络节点204可以是dn-aaa服务器。
65.用户设备202包括被耦接到存储器216和接口电路210的处理器212。用户设备202的处理器212包括安全管理处理模块214，其可以至少部分地以由处理器执行的软件的形式实现。处理模块214执行与安全管理相关联的操作，如结合本文中后续附图和其他方面所描述的。用户设备202的存储器216包括安全管理存储模块218，其存储在安全管理操作期间生成或以其他方式使用的数据。
66.网络节点204包括被耦接到存储器226和接口电路220的处理器222。网络节点204的处理器222包括安全管理处理模块224，其可以至少部分地以由处理器222执行的软件的形式实现。处理模块224执行与安全管理相关联的操作，如结合本文中后续附图和其他方面所描述的。网络节点204的存储器216包括安全管理存储模块228，其存储在安全管理操作期间生成或以其他方式使用的数据。
67.处理器212和222可以包括例如微处理器、专用集成电路(asic)、现场可编程门阵列(fpga)、数字信号处理器(dsp)或其他类型的处理设备或集成电路、以及这种单元的部分或组合。这种集成电路设备及其部分或组合是本文使用的术语“电路”的示例。硬件和相关
联的软件或固件的各种其他布置可以用于实现说明性实施例。此外，可以在完全虚拟化的环境中使用在云平台上运行的软件实现说明性实施例，以模拟各种网络功能。
68.存储器216和226可以用于存储一个或多个软件程序，这些软件程序由相应的处理器212和222执行以实现本文描述的功能的至少一部分。例如，可以使用由处理器212和222执行的软件代码以直接的方式实现如结合本文中后续附图和其他方面所描述的安全管理操作和其他功能。
69.因此，存储器216或226中的给定的一个可以被视为在本文中更一般地被称为计算机程序产品或者更一般地被称为处理器可读存储介质(在其中体现有可执行程序代码)的示例。处理器可读存储介质的其他示例可以包括磁盘或其他类型的磁性或光学介质及其任何组合。说明性实施例可以包括包含这种计算机程序产品或其他处理器可读存储介质的制品。
70.更具体地，存储器216或226可以包括例如电子随机存取存储器(ram)(诸如静态ram(sram)、动态ram(dram))或其他类型的易失性或非易失性电子存储器。后者例如可以包括诸如闪存存储器、磁性ram(mram)、相变ram(pc-ram)或铁电ram(fram)之类的非易失性存储器。如本文所使用的，术语“存储器”旨在被广义地解释，并且可以附加地或可替代地包含例如只读存储器(rom)、基于磁盘的存储器、或其他类型的存储设备、以及这种设备的部分或组合。
71.接口电路210和220说明性地包括收发机或其他通信硬件或固件，其允许相关联的系统单元以本文描述的方式彼此通信。
72.从图2可以看出，用户设备202被配置为经由它们相应的接口电路210和220与网络节点204通信，反之亦然。该通信涉及用户设备202向网络节点204发送数据，以及网络节点204向用户设备202发送数据。然而，在替代实施例中，其他网络节点可以在操作上被耦接在用户设备202与网络节点204之间。如本文所使用的，术语“数据”旨在被广义地解释，以便包含可以在用户设备与网络节点之间以及在网络实体之间发送的任何类型的信息，包括但不限于消息、标识符、密钥、指示符、用户数据、控制数据等。
73.应当理解，图2中所示的组件的特定布置仅仅是示例，并且在其他实施例中可以使用多个替代配置。例如，任何给定的网络节点都可以被配置为包含附加或替代组件并支持其他通信协议。
74.其他系统单元(诸如enb 104和gnb 114)还可以各自被配置为包括诸如处理器、存储器和网络接口之类的组件。这些单元不需要在单独的独立处理平台上实现，而是可以例如表示单个公共处理平台的不同功能部分。
75.更进一步地，虽然图2示出了用户设备与网络节点之间的示例架构和互联(interconnectivity)，但图2还可以表示多个网络节点之间的示例架构和互联(例如，202可以表示一个网络节点，其在操作上被耦接到采用网络节点204的形式的另一个网络节点)。更一般地，图2可以被认为表示两个处理设备，其被配置为提供相应的安全管理功能并且在通信系统中在操作上彼此耦接。
76.如上所述，根据在ts 22.125中定义的用例和服务要求，ts 23.256规定了对4g/5g网络的架构增强以用于支持uas连接、识别和跟踪。
77.图3示出了用于ts 23.256中描述的uas应用的4g和5g通信网络的复合架构300，其
可以用于实现一个或多个说明性实施例。通常如图所示，(uas中的)ue302可以经由ng-ran 304(5g接入网络)在操作上耦接到复合架构300以便接入5gc 306(5g核心网络)。同样地，(uas中的)ue302可以经由诸如e-utran之类的ran 308(4g接入网络)在操作上耦接到复合架构300以便接入epc 310(4g核心网络)。uas nf/nef 312在操作上被耦接到5gc 306和/或epc 310，或者以其他方式被并入为5gc 306和/或epc 310的一部分。uas nf/nef在操作上被耦接到uss 314以接入数据网络316(例如pdn)。tpae 318在操作上被耦接到数据网络316。注意，图3中的n、s和sg引用对应于用于连接网络节点的特定3gpp接口。
78.图4示出了描绘图3的复合架构300的进一步细节的复合架构400。如图所示，ue 402-1和ue 402-2(它们可以是相同或不同的ue)分别经由e-utran 404和ng-ran 406连接到复合架构400。复合架构400包括4g接入和移动性控制器mme 408、5g接入和移动性控制器amf 410、sgw 412、用户面控制器414(用于4g的pgw-u和用于5g的upf)、控制面控制器416(用于4g的pgw-c和用于5g的smf)、pcf 418、认证控制器420(用于4g的hss和用于5g的udm)、以及uas nf/nef 422。注意，uas网络功能(uas nf)由nef支持，并且用于向uss(即，图3中的uss 314)进行服务的外部开放。下面将在图5的上下文中进一步描述这些和其他网络节点。
79.依据ts 23.256，在航空级别，uas由民航局(caa)级别uav标识(id)来标识。除了正常/主要ue认证/授权之外，3gpp系统还可以在允许向网络中的空中ue提供任何服务之前，由uas服务供应商(uss)/uas业务管理(utm)执行uav标识(caa级别uav id)的认证/授权。对于5gs，可以在5gs注册时或在分组数据单元(pdu)会话建立期间执行caa级别uav id的认证/授权。对于eps，在pdn连接建立期间执行uav认证/授权。
80.此外，ts 23.256定义了在eps附着时在默认pdn连接期间的uss uav授权/认证(uuaa)。3gpp rel-17还在ts 23.501中定义了辅助dn认证/授权。
81.在uss uav授权/认证(uuaa)和辅助dn认证/授权中的每一个期间的认证/授权过程可需要ue与认证实体(uss/utm或dn aaa服务器)之间的认证相关的消息交换的多个往返。在epc上，当ue请求建立pdn连接时，4g nas和s11/s5/s8信令不期望在ue与pgw(pdn gw)之间交换超出pdn连接已建立的ue请求和网络应答(nas默认承载激活)的额外信令。
82.依据在ts 23.256中定义的过程，在默认承载激活之后并且直到从认证实体(在uas的情况下为uss/utm，或者用于辅助dn认证/授权的dn aaa服务器)获得成功认证响应为止，在pgw(pdn gw)上应用接入控制以停止默认承载上的任何业务(traffic)。然而，本文意识到ue不知道pdn连接不能用于上行链路数据传输。此状况导致尽管上行链路数据不能按照ue预期地被传送到pdn，但ue还是尝试执行上行链路数据传输。因此，浪费了网络资源以及ue的处理能力，并且ue应用可能错误地认为它们可以开始接入数据网络。
83.说明性实施例提供了用于克服上述和其他挑战的解决方案。当在建立pdn连接(即，通过epc)时应用辅助dn认证/授权或sm级别uuaa时，网络(pgw)向ue通知pdn连接在辅助dn认证/授权或sm级别uuaa成功的条件下被建立。根据说明性实施例，在网络(例如，pgw)向ue通知ue辅助dn认证/授权或sm级别uuaa已成功之前，ue不应向网络发送上行链路数据(或者如果它发送这样的数据，则数据可被网络丢弃)。
84.注意，根据ts 23.256，uuaa-mm是指在向5gs注册期间可选地执行的uuaa过程，而uuaa-sm是指在建立pdu会话期间可选地执行(当未执行uuaa-mm时)的uuaa过程，以及在建立pdn连接期间执行的uuaa过程。
85.图5示出了在pdn连接建立(即，针对epc)时执行的用于执行sm级别uuaa的消息流500。虽然图5仅示出了sm级别uuaa过程，但说明性实施例同样适用于由dn-aaa的辅助dn认证/授权(例如，针对ue使用eap/tls以获得数据网络上由aaa服务器的认证和授权)。如图所示，消息流500涉及ue 502、ran 504、mme 506、sgw 508、被表示为smf pgw-c 510和pgw-u 512的pgw、uas nf/nef 514、以及uss 516。
86.一般而言，ue 502首先由通信网络基于通信网络的凭证(例如，使用基于通用用户标识模块(usim)的认证)来认证(由mme 506完成，针对4g网络)。当这完成时，通信网络开始考虑针对连接到数据网络的ue请求(这可考虑与数据网络相关的其他凭证)。
87.在步骤1，ue 502发起eps附着(eps attach)过程，例如，如在ts 23.401的图5.3.2.1-1中的步骤1-13和ts 23.502的图4.11.1.5.2-1中的步骤1-2或ts 23.502中的条款4.11.2.4中所述。ue 502在附着请求(attach request)中包括服务级别设备标识(例如，在uav的情况下为caa级别uav id)，并且可以在协议配置选项(pco)中包括如认证实体(即，在uav的情况下为uss 516，或者在辅助dn认证/授权的情况下为dn-aaa服务器)所需的认证数据。
88.在步骤2，pgw(在5gc-epc互通的情况下为smf pgw-c 510)确定pdn连接请求需要由认证实体/服务器(即，在uav的情况下为uss516，或者在辅助dn认证/授权的情况下为dn-aaa服务器)进行认证/授权，并配置接入控制列表(acl)以停止默认pdn连接上的任何业务。
89.在步骤3，在调用sm级别uuaa(即，uuaa-sm)过程(或由dn-aaa的辅助dn认证/授权)之前，完成附着过程，例如，如在ts 23.401的图5.3.2.1-1中的步骤14-22中所述。在附着过程期间，当pgw(smf pgw-c 510)返回创建会话响应(create session response)时(如在ts 23.401中的图5.3.2.1-1的步骤15中所述)，pgw在pco(协议配置选项)中包括向ue 502的在pdn连接上上行链路数据传输尚未被允许的指示。这样做是为了使能在ue 502与认证ue 502的认证实体/服务器(uss 516或dn aaa服务器)之间认证相关的消息交换的多个往返的可能性，因为mme 506在网络已发送附着接受(attach accept)之前不能与ue 502交换nas sm传输。在附着完成(以及默认承载激活)之后，如果ue 502已接收到“上行链路数据传输未被允许”的指示(即，第一通知)，则ue不向网络发送(即，避免发送)上行链路数据，直到它进一步从网络接收到在pdn连接上“上行链路数据传输被允许”的指示(即，第二通知)。
90.在步骤4，pgw(smf pgw-c 510)发起认证/授权过程。在消息流500(即，针对uuaa-sm)中，它遵循如在3gpp ts 23.256中的图5.2.3.2-1的步骤1-2中描述的认证/授权过程。对于辅助dn认证，pgw遵循ts 23.502的图4.3.2.3-1的步骤2和3以进行由dn-aaa的pdu会话建立认证/授权。
91.在步骤5，可存在由认证实体/服务器(例如，uss 516或dn-aaa)使用的认证方法所需的多个往返消息。包括来自认证实体/服务器(例如，uss 516或dn-aaa)的认证消息的pco由pgw(smf pgw-c 510)在更新承载请求(update bearer request)和下行链路nas传输(downlink nas transport)中传送到ue 502(步骤5b-5d)。来自ue 502的响应在上行链路nas传输(uplink nas transport)和更新承载响应(update bearer response)中被传送到pgw(smf pgw-c 510)(步骤5e-5g)。使用pco和更新承载过程允许最小化对mme 506的影响并且对sgw 508没有任何影响。
92.在步骤6，利用认证实体/服务器完成认证/授权过程并接收认证/授权结果。在消
息流500(即，针对uuaa)中，它遵循如在3gpp ts 23.256中的图5.2.3.2-1的步骤4-5中描述的认证/授权过程。
93.在成功的uuaa-sm(或由dn-aaa的辅助dn认证/授权)之后，在步骤7，pgw(smf pgw-c 510)更新acl以允许通过pdn连接的业务。
94.进一步地，在步骤8，pgw(或smf pgw-c 510)发送更新承载请求(update bearer request)，在pco中包括向ue 502的在pdn连接上上行链路数据传输现在被允许的指示。pgw(smf pgw-c 510)还可以包括需要被传送到ue 502的认证/授权结果和授权数据。
95.有利地，如本文所示，说明性实施例提供了ue首先由通信网络基于通信网络的凭证(例如，使用基于usim的认证)来认证(由mme完成，针对4g网络)。当这完成时，通信网络开始考虑针对连接到数据网络的ue请求。作为处理针对连接到数据网络的ue请求的一部分，通信网络发送向数据网络的上行链路数据传输未被允许的第一通知，进而基于数据网络标识符完成由数据网络的认证，进而通信网络发送向数据网络的上行链路数据传输被允许的第二通知。例如，在uas的情况下，ue提供caa级别id，其可以被称为服务级别设备标识。对于基于dn-aaa的辅助dn认证/授权，此标识可以被称为dn特定的标识。
96.给定本文的本发明教导，可以以直接的方式实现用于由dn-aaa的辅助dn认证/授权的类似的消息流。更具体地，在ts 23.501和ts 23.502中描述了用于在5gs中建立pdu会话期间由dn-aaa服务器的辅助认证/授权的过程。在epc(互通)情况下支持辅助dn认证和授权当前也被视为针对5gc-epc互通的挑战/差距。因此，说明性实施例旨在更一般地在任何ue(即，不必是在uas中实现的ue)中实现。
97.结合本文描述的附图而描述的特定处理操作和其他系统功能仅仅作为说明性示例提供，并且不应被解释为以任何方式限制本公开的范围。替代实施例可以使用其他类型的处理操作和消息传送协议。例如，在其他实施例中，步骤的排序可以改变，或者某些步骤可以至少部分地彼此同时执行而不是连续地执行。此外，可以周期性地重复一个或多个步骤，或者可以彼此并行地执行方法的多个实例。
98.应当再次强调，本文描述的各种实施例仅仅作为说明性示例提供，而不应被解释为限制权利要求的范围。例如，替代实施例可以利用与以上在说明性实施例的上下文中所描述的那些不同的通信系统配置、用户设备配置、基站配置、提供和使用过程、消息传送协议和消息格式。在所附权利要求的范围内的这些和许多其他替代实施例对于本领域技术人员来说将是显而易见的。