在无线通信系统中切换时管理安全上下文并执行密钥导出的制作方法

提出的技术一般性地涉及无线通信技术，并且更特别涉及在无线通信系统中切换时管理安全上下文并执行密钥导出。

背景技术：

无线通信系统不断发展，并且在全世界进行了大量研究和发展。

现在有各种各样不同类型和/或不同代的无线通信系统和技术，包括不同类型的无线电接入技术，诸如长期演进（lte）和新型无线电（nr），它们有时称为3g/4g和5g。

3gppts23.501描述了5g网络体系结构。图1中示出精简的简化版本的5g网络。

ue（用户设备）是供用户用于无线地访问网络的移动装置。无线电接入网络（ran）功能或表示为ran节点的基站负责向ue提供无线无线电通信并将ue连接到核心网络。称为amf（访问和移动管理功能）的核心网络功能，除了其它职责以外，负责处置ue的移动性。称为upf（用户平面功能）的另一个核心网络功能，除了其它职责以外，负责互连到数据网络、分组路由和转发。

ue使用无线电接口与ran节点空中交互。而ran节点又使用称为n2的接口与amf交互。ran节点使用称为n3的接口与upf交互。ran节点本身使用xn接口彼此交互。

一般来说，可以说由3gpp定义的5g系统包括新型无线电接入网络（ng-ran）和新型核心网络（5g-cn）。关于图1，ng-ran包括ran节点，并且5g-cn包括amf和upf。

与称为e-utran（演进通用地面无线电接入网络）的4g或lte（长期演进）系统中的无线电接入网络类似，ng-ran使用平坦体系结构，并且包括称为gnb（下一代nodeb）的基站，它们经由xn-接口互连并通过n2/n3接口向核心网络互连。gnb服务于ue的最小覆盖区域称为小区。gnb支持一个或多个小区，由此对ue提供无线电接入。无线电接入技术（称为下一无线电nr）如同let中一样基于ofdm（正交频分复用），并且提供高数据传输速度和低时延。

预期的是，一般将从预期有高数据业务的区域中开始在传统lte网络之上逐步推出nr。这意味着，nr覆盖在开始时将是有限的，并且用户必须在他们进出覆盖时在nr和lte之间移动。为了支持nr和lte之间的快速移动性并避免核心网络的改变，称为enb（e-utrannodeb或演进nodeb）的lte基站也将连接到5g-cn并支持xn接口。连接到5gc的enb称为下一代enb（ng-enb），并且视为是ng-ran的部分（见图2）。

ue和amf之间的逻辑方面称为nas（非接入层），并且ue和ng-ran之间的逻辑方面称为as（接入层）。对应地，通信（控制平面和用户平面，如果适用的话）的安全性分别称为nas安全性和as安全性。将作为nas安全性的基础的基础安全密钥（nas-基础密钥）表示为kamf。从这个kamf，进一步的密钥导出导致用于提供nas消息（主要是控制平面）的机密性和完整性保护的其它密钥。kamf还用于导出作为as安全性的基础的另一个基础密钥（as-基础密钥），它表示为kgnb，而不管ran节点是gnb还是ng-enb。从这个kgnb，进一步的密钥导出导致用于提供as消息（控制平面和用户平面两者）的机密性和完整性保护的其它密钥。

切换过程

3gpp规范ts38.300、ts23.502、ts38.413和ts38.423描述了5g系统中的切换过程的各种方面。注意，5g规范正在制定中，并且每当该规范缺少一些信息时，将假设它与lte系统类似地工作。

当ue在具有活动无线电连接（即，在处于rrc_connected模式中）时从一个小区移动到另一个小区时，源小区做好准备并将与ue有关的信息移交给目标小区，以使得目标小区可开始服务于ue。这种切换机制直观地称为切换过程。换句话说，切换过程为从一个小区移动到另一个小区的ue提供移动性支持。一般来说，有如下三种类型的切换（如图3所示）：

(1)小区内切换

当源小区和目标小区相同并且由相同ran节点提供服务时，那么小区内通信全都位于该ran节点的内部，对应的切换称为小区内切换。也可能发生源小区和目标小区不同，但是由相同的ran节点提供服务。此类切换可称为ran节点内切换。但是出于我们的目的，我们不需要区分小区内切换和ran节点内切换。

(2)xn-切换

当源小区和目标小区属于不同的ran节点并且这些ran节点在它们之间具有xn接口时，那么经由xn接口进行小区间通信，对应的切换称为xn切换。

(3)n2-切换

当ran节点之间没有xn接口时，通过amf来促进切换，对应的切换称为n2-切换。在n2-切换期间，也可能发生源小区/ran节点和目标小区/ran节点属于不同的amf。此类切换仍然称为n2-切换，但是将会有附加的amf间通信。

与lte类似，5g中的切换可能包括三个阶段：切换准备、切换执行和切换完成。xn-切换是默认过程，并且在源节点和目标节点之间有xn接口时使用。如果没有xn接口，或者如果切换准备失败，那么启动n2-切换。同样地，与lte系统类似，无论切换类型是小区内、xn还是n2，ue行为都可能是统一的。换句话说，ue应当既不必标识切换的类型，也不必对不同类型的切换做出不同的行为。这意味着，在ue侧上，不管切换的类型如何，预期目标节点的处置都是类似的。

切换时的安全性和密钥处置将是最重要的。5g（以及类似的未来几代）是非常特殊的一代移动网络，因为它是第一次一个移动代的核心网络支持属于多个移动代的无线电接入技术。5g-cn支持ng-ran，并且ng-ran包括gnb（属于5g的nr类型）和ng-enb（属于4g的e-utra/lte类型）。因此，5g中的切换可在两个gnb之间、两个ng-enb之间、以及gnb和ng-enb之间进行。因此，具有挑战的是在切换时在仍然维持期望的安全特性的同时具有简单且优选调和的密钥导出方式。注意，当ue保持位于相同的核心网络中时切换称为系统内切换。该术语的使用与切换是否涉及rat的变化无关。

技术实现要素：

目的是提供一种用于在具有不同无线电接入技术（例如，属于不同的系统代）的网络节点的无线通信系统中管理安全上下文和/或处置密钥导出的改善方法。

特别地，期望的是在从源网络节点切换到目标网络节点时为无线装置和目标网络节点之间的通信提供安全上下文。

特定的目的是提供一种用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的方法。

还有一个目的是提供一种配置成确定安全上下文的装置。

另一个目的是提供一种包括此类装置的无线装置。

又一个目的是提供一种包括此类装置的网络节点。

再一个目的是提供一种包括此类装置的网络装置。

还有一个目的是提供一种在执行时用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的计算机程序和对应的计算机程序产品。

另一个目的是提供一种用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的设备。

通过提出的技术的实施例来满足这些和其它目的。

根据第一方面，提供一种用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的方法。该方法包括：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

根据第二方面，提供一种配置成在切换时为无线装置和目标网络节点之间的通信确定安全上下文的装置。该装置配置成获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息。该装置进一步配置成至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

根据第三方面，提供一种包括根据第二方面的装置的无线通信装置。

根据第四方面，提供一种包括根据第二方面的装置的网络节点。

根据第五方面，提供一种包括根据第二方面的装置的网络装置。

根据第六方面，提供一种在执行时用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的计算机程序。该计算机程序包括指令，指令在由至少一个处理器执行时使所述至少一个处理器：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

根据第七方面，提供一种计算机程序产品，包括在它上面存储有此类计算机程序的计算机可读介质。

根据第八方面，提供一种用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的设备。该设备包括：

-获得模块，用于获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-导出模块，用于至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

以此方式，有可能为在具有不同无线电接入技术（例如，属于不同的系统代）的网络节点的无线通信系统中管理安全上下文和/或处置密钥导出提供实质改进。

根据第九方面，提供一种用于在切换时在无线装置和目标网络节点之间进行安全通信的方法，其中该方法包括：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文；以及

-基于安全上下文保护无线装置和目标网络节点之间的通信。

根据第十方面，提供一种配置用于在切换时在无线装置和目标网络节点之间进行安全通信的装置，

其中该装置配置成获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；

其中该装置配置成至少部分地基于代表rat类型的信息导出和/或确定安全上下文；并且

其中该装置配置成基于安全上下文保护无线装置和目标网络节点之间的通信。

另一个目的是提供一种由无线装置执行以用于在从源网络节点切换到目标网络节点时为无线装置和目标网络节点之间的通信确定安全上下文的方法。

又一个目的是提供一种由网络节点执行以用于在从源网络节点切换到目标网络节点时为无线装置和目标网络节点之间的通信确定安全上下文的方法。

再一个目的是提供一种无线装置和/或用户设备。

还有一个目的是提供诸如基站的网络节点。

另一个目的是提供包括主机计算机的通信系统以及在此类通信系统中实现的对应方法的不同实施例。

当阅读详细描述时，将明白其它优点。

附图说明

可通过结合附图参考以下描述来最好地理解实施例及其进一步的目的和优点，图中：

图1是示出5g网络的简化版本的示例的示意图。

图2是示出ng-ran（具有gnb和ng-enb）和5g-cn的示例的示意图。

图3是示出不同类型的切换的示例的示意图。

图4是示出在xn切换期间的消息流的示例的示意性信令图。

图5是示出在lte中在切换时的密钥处置的示例的示意图。

图6a是示出用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的方法的示例的示意图。

图6b是示出用于在切换时在无线装置和目标网络节点之间进行安全通信的方法的示例的示意图。

图7是示出根据实施例的基于rat类型的安全上下文/密钥导出的示例的示意图。

图8是示出基于rat类型的安全上下文/密钥导出的示例的示意图，其中使用代表rat类型的输入参数作为新的或现有的密钥导出函数的输入。

图9是示出基于rat类型的安全上下文/密钥导出的示例的示意图，其中对于不同的rat类型使用不同的密钥导出函数。

图10是示出根据实施例的密钥导出的特定非限制性示例的示意图。

图11是示出根据实施例的配置成确定安全上下文的装置的示例的示意图。

图12是示出根据实施例的无线装置、网络节点或网络装置的示例的示意图。

图13是示出根据实施例的计算机实现的示例的示意图。

图14是示出用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的设备的示例的示意图。

图15是示出根据一些实施例的无线网络的示例的示意图。

图16是示出根据本文中描述的各种方面的ue的实施例的示例的示意图。

图17是示出可在其中虚拟化由一些实施例实现的功能的虚拟化环境的示例的示意性框图。

图18是示出根据一些实施例的经由中间网络连接到主机计算机的电信网络的示例的示意图。

图19是示出根据一些实施例的经由基站通过部分无线的连接与用户设备通信的主机计算机的示例的示意图。

图20a-b是示出根据一些实施例的在包括例如主机计算机以及可选的还包括基站和用户设备的通信系统中实现的方法的示例的示意性流程图。

图21a-b是示出根据一些实施例的在包括主机计算机、基站和用户设备的通信系统中的实现的方法的示例的示意图。

具体实施方式

遍及附图，对于类似或对应的要素使用相同的参考名称。

一般来说，除非从使用术语的上下文中清楚地给出和/或隐含不同的含义，否则本文中所使用的所有术语均应根据它们在相关技术领域中的普通含义进行解释。除非另外明确地叙述，否则所有地方提到一/该元件、设备、组件、部件、步骤等时均应开放地解释为指元件、设备、组件、部件、步骤等的至少一个实例。除非明确地将某个步骤描述为在另一个步骤之后或之前和/或暗示某个步骤必须在另一个步骤之后或之前，否则本文中公开的任何方法的步骤不一定按照公开的确切顺序执行。在合适的情况下，本文中公开的任何实施例的任何特征均可应用于任何其它实施例。同样地，任何实施例的任何优点可适用于任何其它实施例，反之亦然。所附实施例的其它目的、特征和优点将从以下描述中显而易见。

如本文中所使用，非限制性术语“无线通信装置”、“站点”、“用户设备（ue）”和“终端”可以指移动电话、蜂窝电话、配备有无线电通信能力的个人数字助理（pda）、智能电话、配备有内部或外部移动宽带调制解调器的膝上型或个人计算机（pc）、具有无线电通信能力的平板电脑、目标装置、装置到装置ue、机器型ue或能够进行机器到机器通信的ue、客户驻地设备（cpe）、膝上型嵌入式设备（lee）、膝上型安装式设备（lme）、usb软件狗、便携式电子无线电通信装置、配备有无线电通信能力的传感器装置或类似装置。特别地，术语“无线通信装置”应当解释为是非限制性术语，它包括与无线通信系统中的网络节点通信和/或可能与另一个无线通信装置直接通信的任何类型的无线装置。换句话说，无线通信装置可以是配备有用于根据任何相关的通信标准进行无线通信的电路的任何装置。

如本文中所使用，非限制性术语“网络节点”可以指基站、接入点、诸如网络控制器的网络控制节点、无线电网络控制器、基站控制器、接入控制器等。特别地，术语“基站”可涵盖：包括标准化基站功能的不同类型的无线电基站，诸如nodeb、演进nodeb（enb）、gnb和/或ng-enb；以及还包括宏/微/微微无线电基站、归属基站（又称为毫微微基站）、中继节点、中继器、无线电接入点、基站收发信台（bts）乃至控制一个或多个远程无线电单元（rru）的无线电控制节点等。

如本文中所使用，术语“网络装置”可以指定位成与通信网络连接的任何装置，包括但不限于接入网络、核心网络和类似的网络结构中的装置。术语“网络装置”还可涵盖基于云的网络装置。

现在将参考附图更全面地描述本文中预想的一些实施例。然而，在本文中公开的主题的范围内包含其它实施例，公开的主题不应理解为仅仅局限于本文中阐述的实施例；而是，举例提供这些实施例以便向本领域技术人员传达主题的范围。

为了更好地理解提出的技术，有用的是参考特定的非限制性示例从简短的系统概述和/或对（一个或多个）技术问题和/或（一个或多个）挑战的分析开始。

图4示出xn切换期间的简化消息流。对于源和目标ran节点改为经由amf间接通信的变化，n2切换可论证地也以类似的方式工作。出于本发明的目的，并且为了简单起见，我们将保留对xn-切换的解释。

(1)切换准备

在切换准备阶段中，源和目标ran节点为切换做准备。在xn-切换的情况下，源ran节点为切换选择目标ran节点/小区，并将xn切换请求发送到目标ran节点，xn切换请求包括ue上下文信息（例如，作为一种类型的临时移动订阅标识符的s-tmsi、承载配置等）和安全参数（例如，as安全密钥、安全同步信息等）。如果目标ran节点接受切换，那么它以在透明容器中包含rrc（无线电资源控制）切换命令的xn-切换请求确认做出响应，这意味着rrc切换命令是针对ue的，并且假定它对于源ran节点是透明的。

(2)切换执行

在切换执行阶段中，执行实际切换。源ran节点将rrc切换命令（在透明容器中通过xn接收）发送给ue，这触发ue访问目标ran节点/小区。一旦在ue和目标ran节点之间建立新的无线电连接，ue便向目标ran节点发送rrc切换完成。

(3)切换完成

切换的最后阶段是切换完成，其中用户平面路径从源ran节点移动到目标ran节点。在该步骤之后，来自ue的上行链路（ul）和到ue的下行链路（dl）用户平面分组流过目标ran节点。

切换中的密钥处置

如前所述，在nr中，基于共享密钥as-基础密钥（表示为kgnb）在ue和gnb/ng-enb之间对控制平面（称为无线电资源控制rrc）和用户平面业务进行完整性和机密性保护。如同在lte中一样，在每次切换时，很可能会在ue和目标ran节点的网络中计算新的as-基础密钥。当源ran节点/小区和目标ran节点/小区的安全终止点没有改变时，5g将可能允许在某些切换时保留as-基础密钥。出于我们的目的，我们忽略这种情形，因为它不是超级相关的。改变as-基础密钥对于安全性非常重要，因为它防止相同密钥使用多于一次，并在ran节点之间提供分割（即，一个ran节点的受损不应影响另一个ran节点的安全）。

图5示出如在3gppts33.401的7.2.8.1.1条款中所描述的在lte中在切换时的密钥处置。有可能5g也将采用类似的机制。注意，kasme与kamf类似，即，它是nas-基础密钥；并且kenb与kgnb类似，即，它是as-基础密钥。nh和kenb*是中间密钥，稍后将对它们进行描述。注意，kenb*将与kgnb*类似。每个kenb与ncc值相关联，也将在稍后对它们进行描述。

从kenb导出kenb*称为水平密钥导出，它在x2切换（与xn切换类似）期间作为切换准备阶段的部分使用。对正在进行的切换使用水平导出的kenb*。从nh导出kenb*称为垂直密钥导出，它在x2-切换（与xn-切换类似）和s1-切换（与n2-切换类似）期间使用。在s1-切换（与n2-切换类似）期间，作为切换准备阶段的一部分，对正在进行的切换使用垂直导出的kenb*。但是，在x2-切换（与xn-切换类似）期间，作为切换完成阶段的一部分，不对正在进行的切换使用垂直导出的kenb*，而是将它用于下一次切换。

现在，让我们讨论预期密钥处置如何在5g的切换中工作。在xn-切换中，通过源ran节点导出新的as-基础密钥（表示为kgnb*），并在切换请求中将它发送给目标ran节点。如同在lte一样，有可能将存在两种类型的密钥导出。第一类型（称为水平密钥导出）是从当前kgnb导出kgnb*的类型，并且第二类型称为垂直密钥导出，其中从下一跳（nh）密钥导出kgnb*。后者是由amf（以及在本地由ue）从kamf安全密钥计算的安全密钥，并且在切换完成期间作为用户平面路径变换的一部分提将它供给ran节点。因此，只有当源ran节点在较早的xn-切换中已经充当目标ran节点并且因此已经从amf接收新鲜nh时，才可使用垂直密钥导出。否则，如果没有nh可用，或者如果已经使用了nh，那么使用水平密钥导出来导出新的as-基础密钥，即，kgnb*。在n2-切换中，amf在切换准备阶段中为目标ran节点提供新鲜nh，并且目标ran节点使用垂直密钥导出来计算kgnb*。

在ue侧上，不管切换是类型xn还是n2，切换行为看起来都相同。为了确定如何导出新密钥，ue查看目标ran节点在rrc切换命令中包含的nh链接计数器（ncc）。ncc对已执行的垂直密钥导出的数量进行计数，并直接对应于nh密钥。如果ue接收到并未改变的ncc值，那么使用水平密钥导出从当前kgnb导出kgnb*。否则，如果ncc递增，那么ue计算对应的nh密钥，并使用垂直密钥导出来导出kgnb*。

使用垂直密钥导出的好处是，它提供前向安全性（即，源ran节点不能解密或修改后续ran节点中的业务）。在xn-切换中，由于作为用户平面路径变换的一部分通过amf将{ncc,nh}对提供给目标节点，所以只有在从目标节点进行另一次切换之后（即，在两次跳转之后）才能实现前向安全性。另一方面，在n2切换中，由于amf在切换准备阶段中提供nh，所以在一次跳转之后就已经实现前向安全性。

在lte中，在水平和垂直密钥导出两者期间，除了当前的as-基础密钥或nh密钥之外，在kenb*密钥导出中还使用以下输入：

▪物理小区id（pci）

▪下行链路e-utra绝对射频信道号（dl-earfcn）

注意，kenb*与kgnb*类似。使用pci和dl-earfcn作为kenb*密钥导出的输入的优点是，为不同的目标小区生成不同的kenb*密钥，这也意味着为不同的ran节点生成不同的kenb*密钥，从而使得能够在例如切换时准备多个ran节点，其中每个目标ran节点获得它们自己的kenb*密钥的集合。这使得源ran小区能够在最后一刻选择对于切换使用哪个候选目标小区或ran节点。pci和dl-earfcn也是ue在进入目标小区时知道的参数。

在本文中注意，术语kgnb/kgnb*用于表示gnb和ng-enb中的as基础密钥。使用单独的术语（例如，kgnb/kgnb*和kng-enb/kng-enb*）会更准确，但是为了简单和简洁起见，只使用单个术语。应了解，可在未来为as基础安全密钥赋予不同的名称，甚至赋予诸如kan*的通用名称，其中an代表接入网络。

rrc暂停/恢复

5g还更新了rrc状态模型，并且除了从lte继承的现有的rrc_idle和rrc_connected状态之外，还引入了新的rrc_inactive状态。在rrc_inactive中，将来自先前rrc连接的ue上下文存储在ran中，并且在下一rrc连接设立时重用。ue上下文可包括关于ue安全配置、配置的数据无线电承载等的信息。通过将ue上下文存储在ran中，可以避免在从rrc_idle转变为rrc_connected时通常需要的安全激活和承载建立所需的信令。这改善了时延并减少了信令开销。

利用rrc_inactive，可在一个小区中暂停rrc连接，并且稍后在另一个小区中恢复rrc连接。当恢复rrc连接时，ue从rrc_inactive转变为rrc_connected，并且ue上下文从源ran节点传递到目标ran节点。还通过源节点为目标小区导出新的as-基础密钥，并将它与ue上下文一起传递到目标节点。源ran节点也可能提前准备多个目标ran节点/小区，以便在ue变成活动时加速连接恢复。可见，针对rrc_inactive的ue上下文传输和密钥处置在许多方面与xn-切换相似。

如前所述，5g（以及类似的未来几代）是非常特殊的一代移动网络，因为它是第一次一个移动代的核心网络支持属于多个移动代的无线电接入技术。5g核心网络支持ng-ran，并且ng-ran包括gnb（属于5g的nr类型）和ng-enb（属于4g的e-utra/lte类型）。因此，5g中的切换可在两个gnb之间、在两个ng-enb之间、以及在gnb和ng-enb之间进行。因此，具有挑战的是在切换时在仍然维持期望的安全属性的同时具有简单且优选调和的密钥导出方式。

因此，期望的是提供一种在具有不同的无线电接入技术（例如，属于不同的系统代）的网络节点的无线通信系统中处置密钥导出的改进方法。

根据第一方面，提供一种用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的方法，如图6a中示意性地所示。

基本上，该方法包括：

s1：获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

s2：至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

例如，安全上下文可用于和/或包括基于安全上下文来保护无线装置和目标网络节点之间的通信的可选步骤s3，例如见图6b。示例包括提供完整性和/或机密性保护以用于在无线装置和目标网络节点之间传输和/或接收用户数据和/或控制数据。举例来说，可使用导出的安全上下文的安全密钥来保护无线装置和目标网络节点之间的rrc切换完成消息（在切换执行阶段中）。

换句话说，可通过提供完整性和/或机密性保护以用于在无线装置和目标网络节点之间传输和/或接收用户数据和/或控制数据来保护通信。

可在rat内和/或rat间切换时应用本发明。但是，提出的技术可能在所谓的系统内切换（即，在相同核心网络内（不改变核心网络）的rat内或rat间切换）时特别有用。

举例来说，可通过在密钥导出中考虑确定的rat类型来导出安全上下文，如图7中示意性地所示。

例如，安全上下文可至少包括安全密钥。

作为示例，安全密钥可以是接入层（as）基础安全密钥，诸如用于保护无线装置和目标网络节点之间的通信的完整性和/或机密性的as基础安全密钥。

在一特定示例中，基础安全密钥可以是kgnb*或kng-enb*。

例如可通过接收代表rat类型的信息和/或通过确定所述信息来获得所述信息。

在一特定示例中，代表rat类型的信息可与代表在切换之前有效的安全密钥的信息一起使用，以便导出新的安全密钥。例如，代表在切换之前有效的安全密钥的信息可以是关于在切换之前使用的实际基础安全密钥或诸如在切换之前有效的nh密钥的中间密钥的信息。

如所指示的，密钥导出可能使用（一个或多个）其它可选输入。例如，在密钥导出中，除了表示目标小区的其它特性的信息（如pci和arfcn）之外，还可能使用rat类型。

换句话说，在密钥导出中，可与表示目标小区的附加特性的信息一起使用代表目标网络节点的rat类型的信息。

举例来说，表示目标小区的特性的信息可包括物理小区idpci和/或绝对射频信道号arfcn。

图8是示出基于rat类型的安全上下文/密钥导出的示例的示意图，其中使用代表rat类型的输入参数作为新的或现有的密钥导出函数的输入。

在第一组示例中，至少部分地基于代表rat类型的信息导出安全上下文的步骤基于将代表rat类型的输入参数使用到新的或现有的密钥导出函数（kdf）中。

例如，因此可作为密钥导出的附加输入包含rat类型，以便确保密钥导出的输入参数对于长期演进lte和新型无线电nr将不同。

图9是示出基于rat类型的安全上下文/密钥导出的示例的示意图，其中对于不同的rat类型使用不同的密钥导出函数。

在第二组示例中，至少部分地基于代表rat类型的信息导出安全上下文的步骤基于对不同的rat类型使用不同的密钥导出函数kdf(1)、kdf(2)、…。

例如，通过定义两个单独的密钥导出函数kdf（一个kdf用于长期演进lte，并且一个kdf用于新型无线电nr）来将rat类型编码到密钥导出函数kdf中。

举例来说，导出和/或确定安全上下文的步骤基于取决于rat类型选择密钥导出函数。

作为示例，可在相同核心网络内的rat内和/或rat间切换时应用该方法。

举例来说，该方法可由诸如ue的无线装置执行。

例如，可基于在rrc切换命令中提供的接收信息或基于在目标小区中广播的接收信息来获得代表rat类型的信息。

补充地或备选地，该方法可由网络节点执行。

通常，切换是从源网络节点切换到目标网络节点。

作为示例，该方法可在例如xn切换或gnb内切换时由源网络节点执行。

例如，源网络节点可以是源无线电接入网络（ran）节点。

在特定示例中，切换是xn切换，并且基于xn信令或预先配置获得代表rat类型的信息。

在另一个示例中，该方法可在例如n2切换时由目标网络节点执行。

例如，目标网络节点可以是目标无线电接入网络（ran）节点。

在特定示例中，切换是n2切换，并且基于n2信令或预先配置获得代表rat类型的信息。

可选地，该方法可由网络装置执行。

举例来说，网络装置可以是核心网络中的网络装置。

例如，核心网络中的网络装置可实现访问和移动管理功能（amf）。

换句话说，网络装置可以是核心网络中的amf网络装置。

举例来说，可基于n2信令或预先配置获得代表rat类型的信息。

可选地，网络装置可以是计算机实现的网络装置，诸如基于云的网络装置。

举例来说，提出的技术提供一种在5g中在切换时简单且安全的密钥导出机制。这种简单来自于以下至少其中之一：

-在ran节点（gnb或ng-enb）之间切换时调和的密钥导出，这意味着对密钥导出没有复杂的处置。

-与lte中切换时的密钥导出类似，这意味着，可在5g中重用许多现有的实现，而不是全新的实现。这将直接为ue和网络供应商节省成本，并最终为运营商节省成本。这也将意味着易于理解和更简洁的3gpp标准规范。

例如，密钥导出方案还使得能够对于切换和rrc_inactive使用多小区准备，这可改善蜂窝网络和最终用户性能，例如：

-导致更短的访问延迟

-更鲁棒的切换（更少的导致服务中断的切换或无线电链路故障）

-更安全的解决方案，以便保护最终用户隐私，并保卫系统免受欺诈。

为了更好地理解，现在将参考多个非限制性示例来描述提出的技术。

如之前所论述，在5g中，无线电接入网络ng-ran将包括可以是类型nr（即，gnb）或类型e-utra/lte（即，ng-enb）的ran节点。因此，切换可涉及两个gnb、两个ng-enb或一个gnb和一个ng-enb。因此，如何在切换时类似于lte中的水平和垂直密钥导出来执行密钥导出是挑战。

一种潜在的解决方案可以是在5g中采用新的切换机制。例如，使用某种形式的计数器（或者更一般地，随机数nonce）来进行密钥导出，而不是使用pci和dl-earfcn。通过源ran节点选择和维持计数器。在表面的层面上，它可能看起来像是简单明了且前瞻的解决方案，因为密钥导出不再与移动网络的体系结构捆绑。我们指出，这样的解决方案不可接受，因为kgnb*的导出将仅仅由源ran节点决定。这意味着，源ran节点可以用相同的kgnb*准备多个目标ran节点。迫使ue遵守源ran节点所遵守的。它意味着，与lte中的安全性相比，该解决方案在5g中引入了更弱的安全性。在lte中，将与kgnb*类似的kenb*绑定到ue可独立获取的目标ran节点的特性，并且源ran的误配置或配置不良或不良实现不能完全包括安全性。在5g中，使用这种解决方案将不再这样。该解决方案的另一个缺点是，它需要对lte中的现有的实现代码进行更多的改变，并且因此对于ue供应商、网络供应商和运营商来说成本会变得很高。最后，还有一个缺点是，该解决方案没有针对rrc_inactive进行优化，因为当恢复rrc连接时，ue一般不知道与目标小区相关联的计数器。这使得在连接恢复期间难以对数据进行加密和完整性保护，因为必须首先将计数器值递送给ue。出于此类原因，该解决方案没那么可取。

另一个潜在的解决方案可以是采用现有的lte机制。换句话说，使用与lte中所使用的相同的目标ran节点的参数（即，目标ran节点/小区的pci和dl-earfcn）来导出kgnb*。我们指出，这种解决方案也不可接受。这是因为，存在在早期几代的移动网络中不存在的全新的问题，在早期几代的移动网络中只有一种类型的无线电接入技术。换句话说，问题在ng-ran中而不是在e-utran中，因为ng-ran同时包含nr和lte小区两者，而e-utran只包含lte小区。这意味着，在5g中，lte小区的pci和dl-earfcn不一定与nr小区对齐，并且因此pci和dl-earfcn跨整个5g系统中可能不是唯一的。这意味着，如果使用与lte中相同的输入参数（pci、dl-earfcn和kgnb/nh）来计算kgnb*，那么当源ran节点准备多个目标ran节点/小区并且这些目标ran节点/小区属于不同的无线电接入技术时，就存在密钥冲突的风险。换句话说，如果gnbnr小区和ng-enblte小区共享相同的pci和dl-earfcn，那么就存在这两个小区在切换准备时接收到相同的kgnb*的风险。这打破了节点之间的分割，并意味着一个节点可能能够解密和修改在另一个节点中生成的业务。当源节点准备多个目标节点时，同样的问题也适用于rrc_inactive。出于这样的原因，这种解决方案没那么可取。

接下来，我们描述一种新的kgnb*密钥导出机制的非限制性示例，该机制解决了在5g中出现并且在早期几代的移动网络中不存在的上述新问题。我们建议，利用将区分目标ran节点/小区的无线电接入技术（rat）（即，区分gnb和ng-enb）的附加输入参数来导出这里表示为kgnb*的as基础密钥。

图10是示出根据实施例的密钥导出的特定示例的示意图。

图10示出用于在5g中切换时导出新的as-基础密钥（这里称为kgnb*）的示例密钥导出函数（kdf）。在高层上，kdf可采取四个输入：

-rat类型-无线电接入技术nr或e-utra/lte；

-pci-nr或e-utra/lte小区的pci；

-dl-arfcn-nr小区的dl-nrarfcn和e-utra/lte小区的dl-earfcn；以及

-kgnb/nh-当前kgnb或下一跳nh密钥

可以用不同的方式来将称为rat类型的新的附加输入编码为例如单个位（1表示nr，并且0表示lte）或字符串（“nr”表示nr，并且“lte”表示lte）。kdf可以是在3gppts33.401的a.5条款中规定的现有ltekdf的扩展。在这种情况下，将重用相同的函数代码（fc）值，即，0x13；将重用p0/l0（pci和pci的长度）；将重用p1/l1（dl-arfcn和dl-arfcn的长度）；并且p2/l2（rat类型和rat类型的长度）将是附加输入。也可能通过例如在通用kdf中使用新的fc值而不是0x13（下文将解释）或通过使用基于某个其它算法的某个不同的kdf来定义新的kdf。在这种情况下，参数的顺序可以不同。还注意，也可在kdf中增加附加的输入（即，除了上述四个以外）。

注意，也可以用其它方式来包含rat类型。例如，取代使用rat类型的单独参数，也可能通过定义两个单独的kdf（一个用于nr，并且一个用于lte）将rat类型编码到kdf本身中。与上文类似，这可通过例如在通用kdf中使用新的fc值而不是0x13（下文将解释）或通过使用基于某个其它算法的某个不同的kdf来实现。然后，源ran节点将在切换到nr小区（属于gnb）时使用新的nrkdf，并在切换到lte小区（属于ng-enb）时使用现有的/传统ltekdf。对于nr和lte使用不同kdf的优点是，于是有可能在lte侧上对ue重用现有的ltekdf和现有的输入参数，同时仍然确保在nr侧上生成不同的密钥（即，rat类型视为是密钥生成的输入，在这种情况下是选择使用哪个kdf）。还可能为nr和lte两者定义新的kdf。在这种情况下，现有的/传统ltekdf将不会使用，而只使用新的kdf。

例如，可通过对fc参数使用不同的值来从在3gppts33.220中定义的通用kdf创建不同的kdf。通用kdf取密钥和位串s作为输入，并产生256位密钥作为输出，其中通过连结固定长度fc和所有输入参数（密钥除外）形成s。由于fc首先出现在s中，所以即使从其它输入参数形成的位串相同，也保证输入是不同的。

在决定nr将不会使用pci和/或arfcn作为kdf的输入参数而是改为使用具有类似目的的一个或多个其它参数的情况下，仍然存在这个或这些参数将生成与在lte中使用的pci和arfcn相同的输入位串的风险。为了避免这个问题，还可能包含rat类型作为区分因子，以便确保kdf的不同输入，而不管rat。

利用提出的技术，新的效果在于，即使两个小区的pci和arfcn碰巧相同或者如果在nr中使用的与目标小区或ran节点有关的参数具有与lte中的pci和arfcn相同的值，nr和lte目标ran节点/小区在切换准备阶段期间接收不同的密钥。这通过包括rat类型作为密钥导出的附加输入以确保密钥导出的输入参数对于lte和nr将始终不同来实现。备选地，取决于目标rat是nr还是lte，使用不同的密钥导出函数（kdf）来导出密钥。本发明维持在lte中存在的安全特性，即，新的as-基础密钥的安全性不单单由源ran节点决定，因为ue可独立获取目标ran节点的pci和arfcn。

在切换期间，源ran节点（在xn-切换情况下）或目标ran节点（在n2切换情况下）可基于例如xn或n2信令或预配置来确定密钥导出所需的目标小区/目标节点的rat类型。如果通过核心网络节点（例如amf）执行导出，那么可基于例如n2信令或预先配置来确定rat类型。在ue侧上，可基于例如在rrc切换命令中提供的信息或基于在目标小区中广播的信息（例如，同步信号或系统信息）来确定rat类型。

将明白，本文中描述的方法和布置可以用各种方式实现、组合和重布置。

例如，实施例可以用硬件、供合适的处理电路执行的软件或其组合来实现。

本文中描述的步骤、功能、过程、模块和/或块可在硬件中使用任何常规的技术实现，诸如离散电路或集成电路技术，包括通用电子电路和专用电路两者。

备选地或作为补充，本文中描述的至少一些步骤、功能、过程、模块和/或块可在软件中实现，诸如由合适的处理电路（诸如一个或多个处理器或处理单元）执行的计算机程序。

处理电路的示例包括但不限于一个或多个微处理器、一个或多个数字信号处理器（dsp）、一个或多个中央处理单元（cpu）、视频加速硬件和/或诸如一个或多个现场可编程门阵列（fpga）或一个或多个可编程逻辑控制器（plc）的任何合适的可编程逻辑电路。

还应了解，可能可以重用实现提出的技术的任何常规装置或单元的通用处理能力。也许也可能通过例如将现有的软件重新编程或通过添加新的软件组件来重用现有的软件。

根据第二方面，提供一种配置成在切换时为无线装置和目标网络节点之间的通信确定安全上下文的装置。该装置配置成获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息。该装置进一步配置成至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

举例来说，该装置可配置成通过在密钥导出中考虑确定的rat类型来导出安全上下文。

例如，安全上下文可至少包括安全密钥。换句话说，该装置可配置成导出和/或确定至少安全密钥以作为安全上下文的部分。

作为示例，安全密钥可以是接入层（as）基础安全密钥，诸如用于保护完整性和/或机密性的as基础安全密钥。

在特定示例中，基础安全密钥是kgnb*或kng-enb*。

例如，该装置可配置成接收和/或确定代表rat类型的信息。

举例来说，该装置可配置成通过与代表在切换之前有效的安全密钥的信息一起使用代表rat类型的信息来导出新的安全密钥以便在切换之后使用。

在第一组示例中，该装置可配置成通过将代表rat类型的输入参数使用到新的或现有的密钥导出函数中而至少部分地基于代表rat类型的信息导出安全上下文。

在第二组示例中，该装置可配置成通过对不同的rat类型使用不同的密钥导出函数而至少部分地基于代表rat类型的信息导出安全上下文。

在特定示例中，该装置包括处理器和存储器，存储器包含可由处理器执行的指令，由此处理器可操作以导出和/或确定安全上下文，如将在稍后论述的。

根据第三方面，提供一种包括根据第二方面的装置的无线装置。

根据第四方面，提供一种包含根据第二方面的装置的网络节点。

在第一示例中，网络节点可以是源网络节点。

例如，源网络节点可以是源无线电接入网络（ran）节点。

在第二示例中，网络节点是目标网络节点。

例如，目标网络节点可以是目标无线电接入网络（ran）节点。

根据第五方面，提供一种包括根据第二方面的装置的网络装置。

举例来说，网络装置可以是核心网络中的网络装置。

例如，核心网络中的网络装置可实现访问和移动管理功能（amf）。换句话说，网络装置可以是核心网络中的amf网络装置。

作为示例，网络装置可以是计算机实现的网络装置，诸如基于云的网络装置。

图11是示出根据实施例的配置成确定安全上下文的装置的示例的示意图。在该特定示例中，装置100包括处理器110和存储器120，存储器120包含可由处理器110执行的指令，由此处理器可操作以执行在本文中描述的至少一些步骤、动作和/或功能。

可选地，装置100还可包括通信电路130。通信电路130;230可包括用于与网络中的其它装置和/或网络节点进行有线和/或无线通信的功能。在特定示例中，通信电路130可基于用于与一个或多个其它节点通信（包括传送和/或接收信息）的无线电电路。通信电路130可互连到处理器110和/或存储器120。举例来说，通信电路130可包括下列任何一种：接收器、传送器、收发器、输入/输出（i/o）电路、（一个或多个）输入端口和/或（一个或多个）输出端口。

图12是根据实施例示出无线装置、网络节点或网络装置的示例的示意图。在该特定示例中，无线装置、网络节点或网络装置200包括处理器210和存储器220，存储器220包含可由处理器210执行的指令，由此处理器可操作以执行本文中描述的至少一些步骤、动作和/或功能。

可选地，无线装置、网络节点或网络装置200也可包括通信电路230。通信电路230可包括用于与网络中的其它装置和/或网络节点进行有线和/或无线通信的功能。在特定示例中，通信电路230可基于用于与一个或多个其它节点通信（包括传送和/或接收信息）的无线电电路。通信电路230可互连到处理器210和/或存储器220。举例来说，通信电路230可包括下列任何一种：接收器、传送器、收发器、输入/输出（i/o）电路、（一个或多个）输入端口和/或（一个或多个）输出端口。

还可能提供基于硬件和软件的组合的解决方案。实际的硬件-软件分区可由系统设计者基于多个因素决定，包括处理速度、实现的成本和其它要求。

图13是示出根据实施例的计算机实现的示例的示意图。在该特定示例中，本文中描述的至少一些步骤、功能、过程、模块和/或块在计算机程序325;335中实现，计算机程序加载到存储器320中以用于供包括一个或多个处理器310的处理电路执行。（一个或多个）处理器310和存储器320彼此互连以使得能够进行正常的软件执行。可选的输入/输出装置340也可互连到（一个或多个）处理器310和/或存储器320，以使得能够输入和/或输出相关数据，诸如（一个或多个）输入参数和/或（一个或多个）所得输出参数。

应当将术语‘处理器’广义地解释为是能够执行程序代码或计算机程序指令以便执行特定处理、确定或计算任务的任何系统或装置。

因此，包括一个或多个处理器310的处理电路配置成在执行计算机程序325时执行定义明确的处理任务，诸如本文中描述的那些处理任务。

处理电路不一定专用于只执行上述步骤、功能、过程和/或块，而是还可执行其它任务。

在特定实施例中，提供一种在执行时用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的计算机程序325;335。该计算机程序包括指令，指令在由至少一个处理器执行时使该至少一个处理器：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

根据第七方面，提供一种计算机程序产品，它包括在其上存储有此类计算机程序325;335的计算机可读介质320;330。

提出的技术还提供一种包含计算机程序的载体，其中载体是以下之一：电子信号、光学信号、电磁信号、磁信号、电信号、无线电信号、微波信号或计算机可读存储介质。

举例来说，软件或计算机程序325;335可作为通常在计算机可读介质320;330（特别是非易失性介质）上携带或存储的计算机程序产品来实现。计算机可读介质可包括一个或多个可移动或不可移动的存储器装置，包括但不限于只读存储器（rom）、随机存取存储器（ram）、致密盘（cd）、数字多功能盘（dvd）、蓝光盘、通用串行总线（usb）存储器、硬盘驱动器（hdd）存储装置、闪速存储器、磁带或任何其它常规的存储器装置。因此，可将计算机程序加载到计算机或等效的处理装置的操作存储器中以用于供其处理电路执行。

如之前所论述，还提供一种包括如本文中所述配置用于确定安全上下文的装置的网络装置。

网络装置可以是无线通信系统中的任何合适的网络装置或是与无线通信系统连接的网络装置。举例来说，网络装置可以是合适的网络节点，诸如基站或接入点。但是，备选地，网络装置也可以是云实现的网络装置。

当由一个或多个处理器执行时，本文中介绍的一个或多个流程图可视为是一个或多个计算机流程图。可将对应的设备定义为是一组功能模块，其中由处理器执行的每个步骤对应于一个功能模块。在这种情况下，作为在处理器上运行的计算机程序实现功能模块。

因此，驻留在存储器中的计算机程序可以组织成合适的功能模块，这些模块配置成在由处理器执行时执行本文中描述的步骤和/或任务的至少部分。

可通过一个或多个虚拟设备的一个或多个功能单元或模块来执行本文中公开的任何合适的步骤、方法、特征、功能或好处。每个虚拟设备可包括多个这些功能单元。这些功能单元可经由处理电路以及其它数字硬件实现，处理电路可包括一个或多个微处理器或微控制器，数字硬件可包括数字信号处理器（dsp）、专用数字逻辑等。处理电路可配置成执行存储在存储器中的程序代码，存储器可包括一种或若干种类型的存储器，诸如只读存储器（rom）、随机存取存储器（ram）、高速缓冲存储器、闪速存储器装置、光学存储装置等。存储在存储器中的程序代码包括用于执行一个或多个电信和/或数据通信协议的程序指令以及用于进行本文中描述的一个或多个技术的指令。在一些实现中，处理电路可用于使各自的功能单元执行根据本公开的一个或多个实施例的对应功能。

图14是示出用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的设备的示例的示意图。设备400包括：

-获得模块410，用于获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-导出模块420，用于至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

备选地，有可能主要通过硬件模块或者备选地通过在相关模块之间具有合适互连的硬件来实现图14中的（一个或多个）模块。特定示例包括一个或多个合适配置的数字信号处理器和其它已知的电子电路，例如经互连以便执行专门化功能的离散逻辑门和/或如前所述的专用集成电路（asic）。可用硬件的其它示例包括输入/输出（i/o）电路和/或用于接收和/或发送信号的电路。软件相对于硬件的程度纯粹在于实现选择。

举例来说，可在无线装置或网络节点（例如，如图15所示的无线装置qq110或网络节点qq160）中实现“虚拟”设备。该设备可操作以进行本文中例如参考图6a和/或图6b描述的示例方法以及可能的在本文中公开的任何其它过程或方法。还将了解，图6a和/或图6b的方法不一定仅仅由图14中的设备进行。该方法的至少一些操作可由一个或多个其它实体执行。

例如，虚拟设备可包括处理电路以及其它数字硬件，处理电路可包括一个或多个微处理器或微控制器，其它数字硬件可包括数字信号处理器（dsp）、专用数字逻辑等。处理电路可配置成执行存储在存储器中的程序代码，存储器可包括一种或若干种类型的存储器，诸如只读存储器（rom）、随机存取存储器、高速缓冲存储器、闪速存储器装置、光学存储装置等。在若干个实施例中，存储在存储器中的程序代码包括用于执行一个或多个电信和/或数据通信协议的程序指令以及用于进行本文中描述的一个或多个技术的指令。

术语模块或单元可具有电子、电气装置和/或电子装置的领域中的传统含义，并且可包括例如用于进行各自的任务、过程、计算、输出和/或显示功能等（诸如本文中所描述的那些）的电气和/或电子电路、装置、模块、处理器、存储器、逻辑固态和/或离散装置、计算机程序或指令。

在诸如网络节点和/或服务器的网络装置中提供计算服务（硬件和/或软件）变得越来越普及，其中通过网络将资源作为服务递送到远程位置。举例来说，这意味着，本文中描述的功能性可分布或重新定位到一个或多个独立的物理节点或服务器。可将功能性重新定位或分布到可位于（一个或多个）独立物理节点（即，在所谓的云中）的一个或多个联合作用的物理和/或虚拟机。这有时又称为云计算，云计算是一种使得能够对可配置的计算资源池（诸如网络、服务器、存储设备、应用和通用或定制服务）进行无处不在的按需网络访问的模型。

存在可以在该上下文中有用的不同形式的虚拟化，包括以下一种或多种：

•将网络功能性合并到在定制或通用硬件上运行的虚拟化软件中。这有时称为网络功能虚拟化。

•将在独立硬件上运行的一个或多个应用栈（包括操作系统）共置到单个硬件平台上。这有时称为系统虚拟化或平台虚拟化。

•将硬件和/或软件资源共置以用于使用一些高级域级调度和协调技术来获得增加的系统资源使用率的目的。这有时称为资源虚拟化或集中和协调的资源池。

尽管可能通常可取的是将功能性集中在所谓的通用数据中心中，但是在其它场景中，将功能性分布在网络的不同部分上实际上可能是有益的。

网络装置（nd）一般可视为是在通信上连接到网络中的其它电子装置的电子装置。

举例来说，网络装置可以用硬件、软件或其组合来实现。例如，网络装置可以是专用网络装置或通用网络装置或其混合。

专用网络装置可使用定制的处理电路和专有的操作系统（os）来执行软件，以便提供本文中公开的一个或多个特征或功能。

通用网络装置可使用通用现货（cots）处理器和标准os来执行配置成提供本文中公开的一个或多个特征或功能的软件。

举例来说，专用网络装置可包括如下硬件，该硬件包括：（一个或多个）处理或计算资源，（一个或多个）处理或计算资源通常包括一个或多个处理器的集合；以及物理网络接口（ni），其有时称为物理端口；以及非暂时性机器可读存储介质，在它上面存储有软件。物理ni可视为是网络装置中的硬件，通过所述硬件形成网络连接，例如通过无线网络接口控制器（wnic）无线地连接或通过将电缆插入到连接至网络接口控制器（nic）的物理端口形成网络连接。在操作期间，可由硬件执行软件，以便实例化一个或多个软件实例的集合。（一个或多个）软件实例中的每个软件实例以及执行该软件实例的硬件的那部分可形成单独的虚拟网络元件。

举另一个示例，通用网络装置可包括例如如下硬件，该硬件包括：一个或多个处理器（通常是cots处理器）的集合；以及（一个或多个）网络接口控制器（nic）；以及非暂时性机器可读存储介质，在它上面存储有软件。在操作期间，（一个或多个）处理器执行软件以便实例化一个或多个应用的一个或多个集合。尽管一个实施例没有实现虚拟化，但是备选实施例可使用不同形式的虚拟化—例如由虚拟化层和软件容器表示。例如，一个这样的备选实施例实现操作系统级虚拟化，在这种情况下，虚拟化层表示操作系统的内核（或在基本操作系统上执行的垫片），它允许创建多个软件容器，每个容器均可用于执行一组应用之一。在示例实施例中，每个软件容器（又称为虚拟化引擎、虚拟私有服务器或监狱）是用户空间实例（通常是虚拟存储器空间）。这些用户空间实例可以彼此独立并与执行操作系统的内核空间独立；除非明确地允许，否则在给定用户空间中运行的应用集合不能访问其它过程的存储器。另一个这样的备选实施例实现完全虚拟化，在这种情况下：1)虚拟化层表示管理程序（有时称为虚拟机监视器（vmm）），或者在主机操作系统之上执行管理程序；并且2)软件容器各自表示称为虚拟机的紧密隔离形式的软件容器，它由管理程序执行，并且可包括客户操作系统。

管理程序是负责创建和管理各种虚拟化实例并且在一些情况下创建和管理实际物理硬件的软件/硬件。管理程序管理底层资源，并将它们作为虚拟化实例进行呈现。管理程序进行虚拟化以便看起来像是单个处理器的内容实际上可包括多个独立的处理器。从操作系统的角度来看，虚拟化实例看起来像是实际硬件组件。

虚拟机是物理机器的软件实现，所述物理机器的软件实现就像程序在物理、非虚拟化机器上执行一样运行程序；并且与在“裸金属”主机电子装置上运行相反，应用一般不知道它们在虚拟机上运行，尽管一些系统提供半虚拟化，这允许操作系统或应用知道虚拟化的存在以用于优化的目的。

一个或多个应用的一个或多个集合的实例化以及虚拟化层和软件容器（如果实现了的话）统称为（一个或多个）软件实例。每个应用集合、对应的软件容器（如果实现了的话）以及执行它们的硬件的那部分（无论是专用于该执行的硬件和/或由软件容器临时共享的硬件的时间切片）形成（一个或多个）独立的虚拟网络元件。

（一个或多个）虚拟网络元件可执行与（一个或多个）虚拟网络元件（vne）相比类似的功能性。这种硬件虚拟化有时称为网络功能虚拟化（nfv）。因此，可使用nfv来将许多网络设备类型合并到行业标准的大容量服务器硬件、物理交换机和物理存储设备上，这些装置可位于数据中心、nd和客户驻地设备（cpe）中。然而，不同的实施例可以不同地实现一个或多个软件容器。例如，尽管在每个软件容器对应于一个vne的情况下示出实施例，但是备选实施例可以用更细的粒度等级来实现软件容器-vne之间的这种对应或映射；应了解，本文中参考软件容器与vne的对应性描述的技术也适用于使用此类更细粒度等级的实施例。

根据又一个实施例，提供一种混合网络装置，它在网络装置中（例如，在网络装置nd内的卡或电路板中）包括定制处理电路/专有os和cots处理器/标准os两者。在此类混合网络装置的某些实施例中，平台虚拟机（vm）（诸如实现专用网络装置的功能性的vm）可为存在于混合网络装置中的硬件提供半虚拟化。

提出的技术一般可适用于管理无线通信中的安全上下文。提出的技术可应用于许多特定的应用和通信场景，包括无线网络内的安全通信，以便在此类网络内安全地提供各种服务，包括所谓的过顶（ott）服务。例如，提出的技术可为安全通信提供（一个或多个）底层安全上下文，并使得能够和/或包括在无线通信中传递和/或传输和/或接收相关用户数据和/或控制数据。

举例来说，提供一种用于在切换时在无线装置和目标网络节点之间进行安全通信的方法。如图6b所示，该方法包括：

-获得（s1）代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；

-至少部分地基于代表rat类型的信息导出和/或确定（s2）安全上下文；以及

-基于安全上下文保护（s3）无线装置和目标网络节点之间的通信。

在特定示例中，保护通信的步骤包括提供完整性和/或机密性保护以用于在无线装置和目标网络节点之间传输和/或接收用户数据和/或控制数据。

作为示例，该方法可进一步包括：

-提供用户数据；以及

-经由到目标网络节点的传输将用户数据转发到主机计算机。

在备选示例中，该方法可进一步包括：

-获得用户数据；以及

-将用户数据转发到主机计算机或无线装置。

举例来说，还可提供一种配置用于在切换时在无线装置和目标网络节点之间进行安全通信的对应装置，

其中该装置配置成获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；

其中该装置配置成至少部分地基于代表rat类型的信息导出和/或确定安全上下文；并且

其中该装置配置成基于安全上下文保护无线装置和目标网络节点之间的通信。

在下文中，现在将参考图15-21描述一组说明性的非限制示例。

图15是示出根据一些实施例的无线网络的示例的示意图。

尽管关于诸如如图15所示的示例无线网络的无线网络描述本文中公开的实施例，但是本文中描述的主题可在任何合适类型的系统中使用任何合适的组件实现。为简单起见，图15的无线网络只描绘了网络qq106、网络节点qq160和qq160b以及wdqq110、qq110b和qq110c。实际上，无线网络可进一步包括适合于支持无线装置之间或无线装置和另一通信装置（如固定电话、服务提供商或任何其它网络节点或最终装置）之间的通信的任何附加元件。在所示的组件中，用附加的详细内容描述了网络节点qq160和无线装置（wd）qq110。无线网络可向一个或多个无线装置提供通信和其它类型的服务，以有助于无线装置访问和/或使用通过或经由无线网络提供的服务。

无线网络可包括任何类型的通信、电信、数据、蜂窝和/或无线电网络或其它类似类型的系统和/或与之对接。在一些实施例中，无线网络可配置成根据特定标准或其它类型的预定义规则或过程进行操作。因此，无线网络的特定实施例可实现：通信标准，诸如全球移动通信系统（gsm）、通用移动电信系统（umts）、长期演进（lte）和/或其它合适的2g、3g、4g或5g标准；无线局域网（wlan）标准，诸如ieee802.11标准；和/或任何其它合适的无线通信标准，诸如全球微波接入互操作性（wimax）、蓝牙、z-wave和/或zigbee标准。

网络qq106可包括一个或多个回程网络、核心网络、ip网络、公共交换电话网络（pstn）、分组数据网络、光学网络、广域网（wan）、局域网（lan）、无线局域网（wlan）、有线网络、无线网络、城域网以及使得能够在装置之间通信的其它网络。

网络节点qq160和wdqq110包括如下文更详细地描述的各种组件。这些组件协同地工作以便提供网络节点和/或无线装置功能性，诸如在无线网络中提供无线连接。在不同实施例中，无线网络可包括任意数量的有线或无线网络、网络节点、基站、控制器、无线装置、中继站和/或任何其它组件或系统，这些组件或系统可有助于或参与数据和/或信号的通信，而不管是经由有线还是无线连接。

如本文中所使用，网络节点是指能够、配置成、布置成和/或可操作以与无线装置和/或与无线网络中的其它网络节点或设备直接或间接通信以在无线网络中启用和/或提供对无线装置的无线访问和/或在无线网络中执行其它功能（例如，监管）的装置。网络节点的示例包括但不限于接入点（ap）（例如，无线电接入点）、基站（bs）（例如，无线电基站、nodeb、演进nodeb（enb）和nrnodeb（gnb））。基站可基于它们提供的覆盖量（或换句话说，基于它们的传送功率等级）进行分类，并且于是又可称为毫微微基站、微微基站、微基站或宏基站。基站可以是中继节点或控制中继站的中继施主节点。网络节点还包括分布式无线电基站的一个或多个（或所有）部分，诸如集中式数字单元和/或远程无线电单元（rru）（有时称为远程无线电头端（rrh））。此类远程无线电单元可以或者可以不与天线集成为天线集成式无线电。分布式无线电基站的部分又可称为分布式天线系统（das）中的节点。网络节点的又进一步示例包括多标准无线电（msr）设备（诸如msrbs）、网络控制器（诸如无线电网络控制器（rnc）或基站控制器（bsc））、基站收发信台（bts）、传输点、传输节点、多小区/多播协调实体（mce）、核心网络节点（例如，msc、mme）、o&m节点、oss节点、son节点、定位节点（例如，e-smlc）和/或mdt。作为另一个示例，网络节点可以是如下文更详细地描述的虚拟网络节点。但是，更一般地，网络节点可表示能够、配置成、布置成和/或可操作以为无线装置启用和/或提供对无线网络的访问或向已经访问无线网络的无线装置提供一些服务的任何合适的装置（或装置群组）。

在图15中，网络节点qq160包括处理电路qq170、装置可读介质qq180、接口qq190、辅助设备qq184、电源qq186、电源电路qq187和天线qq162。尽管在图15的示例无线网络中示出的网络节点qq160可表示包括所示硬件组件组合的装置，但是其它实施例可包括具有不同组件组合的网络节点。将了解，网络节点包括执行本文中公开的任务、特征、功能和方法所需的硬件和/或软件的任何合适的组合。此外，尽管将网络节点qq160的组件描绘为是位于更大方框内或嵌套在多个方框内的单个方框，但是实际上，网络节点可包括构成单个所示组件的多个不同的物理组件（例如，装置可读介质qq180可包括多个独立的硬盘驱动器以及多个ram模块）。

类似地，网络节点qq160可由多个物理上独立的组件（例如，nodeb组件和rnc组件、或bts组件和bsc组件等）组成，每个组件可具有它们自己的相应组件。在网络节点qq160包括多个独立组件（例如，bts和bsc组件）的某个场景中，可在若干个网络节点中共享一个或多个独立的组件。例如，单个rnc可控制多个nodeb。在此类场景中，在一些实例中，可将每个唯一的nodeb和rnc对视为是单个独立的网络节点。在一些实施例中，网络节点qq160可配置成支持多种无线电接入技术（rat）。在此类实施例中，一些组件可复制（例如，不同rat的独立的装置可读介质qq180），并且一些组件可再利用（例如，rat可共享相同的天线qq162）。网络节点qq160也可对于集成到网络节点qq160中的不同无线技术（诸如例如gsm、wcdma、lte、nr、wifi或蓝牙无线技术）包括各种所示组件的多个集合。这些无线技术可集成到相同或不同的芯片或芯片组以及网络节点qq160内的其它组件中。

处理电路qq170配置成执行本文中描述为由网络节点提供的任何确定、计算或类似操作（例如，某些获得操作）。由处理电路qq170执行的这些操作可包括：通过例如将由处理电路qq170获得的信息转换成其它信息、将获得的信息或转换后的信息与存储在网络节点中的信息进行比较和/或基于获得的信息或转换后的信息执行一个或多个操作而处理获得的信息；以及作为所述处理的结果做出确定。

处理电路qq170可包括以下中的一个或多个的组合：微处理器、控制器、微控制器、中央处理单元、数字信号处理器、专用集成电路、现场可编程门阵列或任何其它合适的计算装置、资源、或可操作以单独或与诸如装置可读介质qq180的其它网络节点qq160组件组合提供网络节点qq160功能性的硬件、软件和/或编码逻辑的组合。例如，处理电路qq170可执行存储在装置可读介质qq180中或处理电路qq170内的存储器中的指令。此类功能性可包括提供本文所论述的各种无线特征、功能或好处中的任何无线特征、功能或好处。在一些实施例中，处理电路qq170可包括片上系统（soc）。

在一些实施例中，处理电路qq170可包括射频（rf）收发器电路qq172和基带处理电路qq174中的一个或多个。在一些实施例中，射频（rf）收发器电路qq172和基带处理电路qq174可位于单独的芯片（或芯片组）、板或单元（诸如无线电单元和数字单元）上。在备选实施例中，rf收发器电路qq172和基带处理电路qq174的部分或全部可位于相同芯片或芯片组、板或单元上。

在某些实施例中，本文描述为由网络节点、基站、enb或其它此类网络装置提供的一些或所有功能性可通过处理电路qq170执行存储在装置可读介质qq180或处理电路qq170内的存储器上的指令来执行。在备选实施例中，一些或所有功能性可由处理电路qq170在不执行存储在单独或离散的装置可读介质上的指令的情况下以诸如硬接线的方式提供。在那些实施例中的任何实施例中，不管是否执行存储在装置可读存储介质上的指令，处理电路qq170都可配置成执行描述的功能性。由此类功能性提供的好处不限于单独处理电路qq170或网络节点qq160的其它组件，而是由网络节点qq160作为整体和/或一般由最终用户和无线网络享有。

装置可读介质qq180可包括任何形式的易失性或非易失性计算机可读存储器，包括但不限于永久存储设备、固态存储器、远程安装存储器、磁介质、光介质、随机存取存储器（ram）、只读存储器（rom）、大容量存储介质（例如，硬盘）、可移动存储介质（例如，闪速驱动器、致密盘（cd）或数字视频盘（dvd））和/或存储可供处理电路qq170使用的信息、数据和/或指令的任何其它易失性或非易失性、非暂时性装置可读和/或计算机可执行存储器装置。装置可读介质qq180可存储任何合适的指令、数据或信息，包括计算机程序、软件、包括逻辑、规则、代码、表等中的一个或多个的应用和/或能够由处理电路qq170执行并且供网络节点qq160使用的其它指令。装置可读介质qq180可用于存储由处理电路qq170进行的任何演算和/或经由接口qq190接收的任何数据。在一些实施例中，处理电路qq170和装置可读介质qq180可视为是集成的。

接口qq190用于网络节点qq160、网络qq106和/或wdqq110之间的信令和/或数据的有线或无线通信。如图所示，接口qq190包括用于例如通过有线连接向和从网络qq106发送和接收数据的（一个或多个）端口/（一个或多个）终端qq194。接口qq190还包括可耦合到天线qq162或者在某些实施例中可以是天线qq162的一部分的无线电前端电路qq192。无线电前端电路qq192包括滤波器qq198和放大器qq196。无线电前端电路qq192可连接到天线qq162和处理电路qq170。无线电前端电路可配置成调节在天线qq162和处理电路qq170之间传递的信号。无线电前端电路qq192可接收数字数据，将经由无线连接将数字数据向外发送到其它网络节点或wd。无线电前端电路qq192可使用滤波器qq198和/或放大器qq196的组合将数字数据转换成具有合适信道和带宽参数的无线电信号。然后，可经由天线qq162传送无线电信号。类似地，在接收数据时，天线qq162可采集无线电信号，然后通过无线电前端电路qq192将所述无线电信号转换成数字数据。可将数字数据传递给处理电路qq170。在其它实施例中，该接口可包括不同的组件和/或组件的不同组合。

在某些备选实施例中，网络节点qq160可不包括单独的无线电前端电路qq192，而是处理电路qq170可包括无线电前端电路，并且可在没有单独的无线电前端电路qq192的情况下连接到天线qq162。类似地，在一些实施例中，全部或一些rf收发器电路qq172可视为是接口qq190的一部分。仍在其它实施例中，接口qq190可包括一个或多个端口或终端qq194、无线电前端电路qq192和rf收发器电路qq172以作为无线电单元（未示出）的部分，并且接口qq190可与作为数字单元（未示出）的部分的基带处理电路qq174通信。

天线qq162可包括配置成发送和/或接收无线信号的一个或多个天线或天线阵列。天线qq162可耦合到无线电前端电路qq190，并且可以是能够无线地传送和接收数据和/或信号的任何类型的天线。在一些实施例中，天线qq162可包括可操作以在例如2ghz和66ghz之间传送/接收无线电信号的一个或多个全向、扇区或平板天线。全向天线可用于在任何方向上传送/接收无线电信号，扇区天线可用于在特定区域内传送/接收来自装置的无线电信号，并且平板天线可以是用于在相对直线上传送/接收无线电信号的视线天线。在一些实例中，使用多于一个天线可称为mimo。在某些实施例中，天线qq162可以与网络节点qq160分离，并且可通过接口或端口连接到网络节点qq160。

天线qq162、接口qq190和/或处理电路qq170可配置成执行本文中描述为由网络节点执行的任何接收操作和/或某些获得操作。可从无线装置、另一个网络节点和/或任何其它网络设备接收任何信息、数据和/或信号。类似地，天线qq162、接口qq190和/或处理电路qq170可配置成执行本文中描述为由网络节点执行的任何传送操作。可将任何信息、数据和/或信号传送到无线装置、另一个网络节点和/或任何其它网络设备。

电源电路qq187可包括或可耦合到功率管理电路，并且配置成为网络节点qq160的组件供电，以用于执行本文中描述的功能性。电源电路qq187可从电源qq186接收功率。电源qq186和/或电源电路qq187可配置成以适合于各个组件的形式（例如，以每个各自组件所需的电压和电流电平）向网络节点qq160的各种组件供电。电源qq186可包含在电源电路qq187和/或网络节点qq160中，或位于它们外部。例如，网络节点qq160可经由输入电路或接口（诸如电缆）连接到外部电源（例如，电插座），由此外部电源为电源电路qq187供电。作为进一步的示例，电源qq186可包括连接到或集成在电源电路qq187中的电池或电池组的形式的电源。如果外部电源发生故障，那么电池可提供备用电源。也可使用其它类型的电源，诸如光伏器件。

网络节点qq160的备选实施例可包括图15中示出的那些组件以外的附加组件，它们可负责提供网络节点的功能性的某些方面，包括本文中描述的任何功能性和/或支持本文中描述的主题所必需的任何功能性。例如，网络节点qq160可包括允许将信息输入到网络节点qq160中并允许从网络节点qq160输出信息的用户接口设备。这可允许用户对网络节点qq160执行诊断、维护、修复和其它监管功能。

如本文中所使用，无线装置（wd）是指能够、配置成、布置成和/或可操作以与网络节点和/或其它无线装置无线地通信的装置。除非另外注释，否则术语wd在本文中可与用户设备（ue）互换地使用。无线通信可涉及利用电磁波、无线电波、红外波和/或适合于通过空气传达信息的其它类型的信号来传送和/或接收无线信号。在一些实施例中，wd可配置成在无需直接人机交互的情况下传送和/或接收信息。例如，wd可设计成在受到内部或外部事件的触发时或响应于来自网络的请求，按预定调度将信息传送给网络。wd的示例包括但不限于智能电话、移动电话、蜂窝电话、ip语音（voip）电话、无线本地回路电话、桌面型计算机、个人数字助理（pda）、无线相机、游戏控制台或装置、音乐存储装置、播放器具、可穿戴终端装置、无线端点、移动站、平板电脑、膝上型计算机、膝上型嵌入式设备（lee）、膝上型安装式设备（lme）、智能装置、无线客户驻地设备（cpe）、车载无线终端装置等。wd可通过例如对于副链路通信、车辆到车辆（v2v）、车辆到基础设施（v2i）、车辆到一切（v2x）实现3gpp标准来支持装置到装置（d2d）通信，并且在这种情况下，它可称为d2d通信装置。作为又一个特定示例，在物联网（iot）场景中，wd可表示执行监测和/或测量并将此类监测和/或测量的结果传送给另一个wd和/或网络节点的机器或其它装置。在这种情况下，wd可以是机器到机器（m2m）装置，它在3gpp上下文中可称为mtc装置。作为一个特定示例，wd可以是实现3gpp窄带物联网（nb-iot）标准的ue。此类机器或装置的特定示例是传感器、诸如功率表的计量装置、工业机械、或家用或个人器具（例如，冰箱、电视等）、个人可穿戴设备（例如，手表、健身跟踪器等）。在其它场景中，wd可表示能够监测和/或报道它的操作状态或与它的操作相关联的其它功能的车辆或其它设备。如上所述的wd可表示无线连接的端点，在这种情况下，装置可称为无线终端。此外，如上所述的wd可以是移动的，在这种情况下，它又可称为移动装置或移动终端。如图所示，无线装置qq110包括天线qq111、接口qq114、处理电路qq120、装置可读介质qq130、用户接口设备qq132、辅助设备qq134、电源qq136和电源电路qq137。wdqq110可对于由wdqq110支持的不同无线技术（诸如例如gsm、wcdma、lte、nr、wifi、wimax或蓝牙无线技术，只举几个例子）包括所示组件中的一个或多个组件的多个集合。这些无线技术可集成到与wdqq110内的其它组件相同或不同的芯片或芯片组中。

天线qq111可包括配置成发送和/或接收无线信号的一个或多个天线或天线阵列，并且连接到接口qq114。在某些备选实施例中，天线qq111可与wdqq110分离，并且可通过接口或端口连接到wdqq110。天线qq111、接口qq114和/或处理电路qq120可配置成执行本文中描述为由wd执行的任何接收或传送操作。可从网络节点和/或另一个wd接收任何信息、数据和/或信号。在一些实施例中，可将无线电前端电路和/或天线qq111视为是接口。

如图所示，接口qq114包括无线电前端电路qq112和天线qq111。无线电前端电路qq112包括一个或多个滤波器qq118和放大器qq116。无线电前端电路qq114连接到天线qq111和处理电路qq120，并且配置成调节在天线qq111和处理电路qq120之间传递的信号。无线电前端电路qq112可耦合到天线qq111，或者可以是天线qq111的一部分。在一些实施例中，wdqq110可不包括单独的无线电前端电路qq112；而是，处理电路qq120可包括无线电前端电路，并且可连接到天线qq111。类似地，在一些实施例中，一些或全部rf收发器电路qq122可视为是接口qq114的一部分。无线电前端电路qq112可接收数字数据，将经由无线连接将数字数据向外发送到其它网络节点或wd。无线电前端电路qq112可利用滤波器qq118和/或放大器qq116的组合将数字数据转换成具有合适信道和带宽参数的无线电信号。然后，可经由天线qq111传送无线电信号。类似地，在接收数据时，天线qq111可采集无线电信号，然后通过无线电前端电路qq112将无线电信号转换成数字数据。可将数字数据传递给处理电路qq120。在其它实施例中，该接口可包括不同的组件和/或组件的不同组合。

处理电路qq120可包括以下中的一个或多个的组合：微处理器、控制器、微控制器、中央处理单元、数字信号处理器、专用集成电路、现场可编程门阵列或任何其它合适的计算装置、资源、或可操作以单独或与诸如装置可读介质qq130的其它wdqq110组件组合提供wdqq110功能性的硬件、软件和/或编码逻辑的组合。此类功能性可包括提供本文中所论述的各种无线特征或好处中的任何无线特征或好处。例如，处理电路qq120可执行存储在装置可读介质qq130中或处理电路qq120内的存储器中的指令，以便提供本文中公开的功能性。

如图所示，处理电路qq120包括rf收发器电路qq122、基带处理电路qq124和应用处理电路qq126中的一个或多个。在其它实施例中，处理电路可包括不同的组件和/或组件的不同组合。在某些实施例中，wdqq110的处理电路qq120可包括soc。在一些实施例中，rf收发器电路qq122、基带处理电路qq124和应用处理电路qq126可位于单独的芯片或芯片组上。在备选实施例中，可将基带处理电路qq124和应用处理电路qq126的部分或全部组合到一个芯片或芯片组中，并且rf收发器电路qq122可位于单独的芯片或芯片组上。在仍然备选的实施例中，rf收发器电路qq122和基带处理电路qq124的部分或全部可位于相同芯片或芯片组上，并且应用处理电路qq126可位于单独的芯片或芯片组上。又在其它备选实施例中，可在相同芯片或芯片组中组合rf收发器电路qq122、基带处理电路qq124和应用处理电路qq126的部分或全部。在一些实施例中，rf收发器电路qq122可以是接口qq114的一部分。rf收发器电路qq122可以为处理电路qq120调节rf信号。

在某些实施例中，本文中描述为由wd执行的一些或所有功能性可通过处理电路qq120执行存储在装置可读介质qq130（在某些实施例中，它可以是计算机可读存储介质）上的指令来提供。在备选实施例中，一些或所有功能性可由处理电路qq120在不执行存储在单独或离散的装置可读存储介质上的指令的情况下以诸如硬接线的方式提供。在那些特定实施例中的任何实施例中，不管是否执行存储在装置可读存储介质上的指令，处理电路qq120都可配置成执行描述的功能性。由此类功能性提供的好处不限于单独处理电路qq120或wdqq110的其它组件，而是由wdqq110作为整体和/或一般由最终用户和无线网络享有。

处理电路qq120可配置成执行本文中描述为由wd执行的任何确定、计算或类似操作（例如，某些获得操作）。由处理电路qq120执行的这些操作可包括：通过例如将由处理电路qq120获得的信息转换成其它信息、将获得的信息或转换后的信息与由wdqq110存储的信息进行比较和/或基于获得的信息或转换后的信息执行一个或多个操作而处理获得的信息；以及作为所述处理的结果做出确定。

装置可读介质qq130可操作以存储计算机程序、软件、包括逻辑、规则、代码、表等中的一个或多个的应用和/或能够由处理电路qq120执行的其它指令。装置可读介质qq130可包括计算机存储器（例如，随机存取存储器（ram）或只读存储器（rom））、大容量存储介质（例如，硬盘）、可移动存储介质（例如，致密盘（cd）或数字视频盘（dvd））和/或存储可供处理电路qq120使用的信息、数据和/或指令的任何其它易失性或非易失性、非暂时性装置可读和/或计算机可执行存储器装置。在一些实施例中，处理电路qq120和装置可读介质qq130可视为是集成的。

用户接口设备qq132可提供允许人类用户与wdqq110交互的组件。此类交互可以有多种形式，诸如视觉、听觉、触觉等。用户接口设备qq132可操作以产生输出给用户并允许用户向wdqq110提供输入。取决于安装在wdqq110中的用户接口设备qq132的类型，交互的类型可改变。例如，如果wdqq110是智能电话，那么交互可经由触摸屏；如果wdqq110是智能仪表，那么交互可通过提供使用量（例如，使用的加仑数）的屏幕或提供声音警报（例如，如果检测到烟雾的话）的扬声器。用户接口设备qq132可包括输入接口、装置和电路以及输出接口、装置和电路。用户接口设备qq132配置成允许将信息输入到wdqq110中，并连接到处理电路qq120以便允许处理电路qq120处理输入信息。例如，用户接口设备qq132可包括麦克风、接近或其它传感器、键盘/按钮、触摸显示器、一个或多个相机、usb端口或其它输入电路。用户接口设备qq132还配置成允许从wdqq110输出信息并允许处理电路qq120从wdqq110输出信息。例如，用户接口设备qq132可包括扬声器、显示器、振荡电路、usb端口、耳机接口或其它输出电路。使用用户接口设备qq132的一个或多个输入与输出接口、装置和电路，wdqq110可与最终用户和/或无线网络通信，并允许它们得益于本文中所描述的功能性。

辅助设备qq134可操作以提供一般不由wd执行的更特定的功能性。这可包括用于出于各种目的进行测量的专门化传感器、用于附加类型的通信（如有线通信）的接口等。取决于实施例和/或场景，辅助设备qq134的组件的包含和类型可改变。

在一些实施例中，电源qq136可以是电池或电池组的形式。也可使用其它类型的电源，诸如外部电源（例如，电插座）、光伏器件或动力电池。wdqq110可进一步包括用于将来自电源qq136的功率递送到需要来自电源qq136的功率以便进行本文中描述或指示的任何功能性的wdqq110的各种部分的电源电路qq137。在某些实施例中，电源电路qq137可包括功率管理电路。另外地或备选地，电源电路qq137可以可操作以从外部电源接收功率；在这种情况下，wdqq110可经由诸如电力电缆的输入电路或接口可连接到外部电源（诸如电插座）。在某些实施例中，电源电路qq137还可以可操作以将来自外部电源的功率递送到电源qq136。这可用于例如为电源qq136充电。电源电路qq137可对来自电源qq136的功率执行任何格式化、转换或其它修改，以便使功率适合于供电给的wdqq110的各个组件。

图16是示出根据本文中描述的各种方面的ue的实施例的示例的示意图。如本文中所使用，从拥有和/或操作相关装置的人类用户的意义来说，用户设备或ue可能不一定具有用户。而是，ue可表示打算销售给人类用户或由人类用户操作、但是可能并非或可能最初并非与特定人类用户相关联的装置（例如，智能喷水器控制器）。备选地，ue可表示不打算销售给最终用户或由最终用户操作、但是可能与用户相关联或为了用户的利益而操作的装置（例如，智能电表）。ueqq200可以是由第三代合作伙伴计划（3gpp）标识的任何ue，包括nb-iotue、机器型通信（mtc）ue和/或增强mtc（emtc）ue。如图16所示，ueqq200是配置用于根据由第三代合作伙伴计划（3gpp）发布的一个或多个通信标准（诸如3gpp的gsm、umts、lte和/或5g标准）通信的wd的一个示例。如前所述，术语wd和ue可以可互换地使用。因此，尽管图16是ue，但是本文中论述的组件同样适用于wd，反之亦然。

在图16中，ueqq200包括：在操作上耦合到输入/输出接口qq205的处理电路qq201；射频（rf）接口qq209；网络连接接口qq211；存储器qq215，它包括随机存取存储器（ram）qq217、只读存储器（rom）qq219和存储介质qq221等；通信子系统qq231；电源qq233；和/或任何其它组件；或其任何组合。存储介质qq221包括操作系统qq223、应用程序qq225和数据qq227。在其它实施例中，存储介质qq221可包括其它类似类型的信息。某些ue可使用如图16所示的所有组件，或者只使用组件的子集。组件之间的集成等级可从一个ue到另一个ue改变。此外，某些ue可包含组件的多个实例，诸如多个处理器、存储器、收发器、传送器、接收器等。

在图16中，处理电路qq201可配置成处理计算机指令和数据。处理电路qq201可配置成实现可操作以执行作为机器可读计算机程序存储在存储器中的机器指令的任何顺序状态机，诸如：一个或多个硬件实现的状态机（例如，在离散逻辑、fpga、asic等中）；可编程逻辑连同合适的固件；一个或多个存储程序的通用处理器（诸如微处理器或数字信号处理器（dsp））连同合适的软件；或以上的任何组合。例如，处理电路qq201可包括两个中央处理单元（cpu）。数据可以是适合供计算机使用的形式的信息。

在描绘的实施例中，输入/输出接口qq205可配置成提供到输入装置、输出装置或输入和输出装置的通信接口。ueqq200可配置成经由输入/输出接口qq205使用输出装置。输出装置可使用与输入装置相同类型的接口端口。例如，可使用usb端口来向ueqq200提供输入和从ue提供输出。输出装置可以是扬声器、声卡、视频卡、显示器、监视器、打印机、执行器、发射器、智能卡、另一输出装置或其任何组合。ueqq200可配置成经由输入/输出接口qq205使用输入装置，以便允许用户将信息捕获到ueqq200中。输入装置可包括触摸敏感或存在敏感显示器、相机（例如，数码相机、数码摄像机、web相机等）、麦克风、传感器、鼠标、轨迹球、方向板、轨迹板、滚轮、智能卡等。存在敏感显示器可包括感测来自用户的输入的电容式或电阻式触摸传感器。传感器可以是例如加速度计、陀螺仪、倾斜传感器、力传感器、磁力计、光学传感器、接近度传感器、其它类似的传感器或其任何组合。例如，输入装置可以是加速度计、磁力计、数码相机、麦克风和光学传感器。

在图16中，rf接口qq209可配置成提供到rf组件（诸如传送器、接收器和天线）的通信接口。网络连接接口qq211可配置成提供到网络qq243a的通信接口。网络qq243a可涵盖有线和/或无线网络，诸如局域网（lan）、广域网（wan）、计算机网络、无线网络、电信网络、其它类似的网络或其任何组合。例如，网络qq243a可包括wi-fi网络。网络连接接口qq211可配置成包括用于根据一个或多个通信协议（诸如以太网、tcp/ip、sonet、atm等）在通信网络上与一个或多个其它装置通信的接收器和传送器接口。网络连接接口qq211可实现适合于通信网络链路（例如，光、电等）的接收器和传送器功能性。传送器和接收器功能可共享电路组件、软件或固件，或者备选地可分别实现。

ramqq217可配置成经由总线qq202对接到处理电路qq201，以便在执行诸如操作系统、应用程序和装置驱动程序的软件程序期间提供数据或计算机指令的存储或缓存。romqq219可配置成向处理电路qq201提供计算机指令或数据。例如，romqq219可配置成为诸如基本输入和输出（i/o）、启动或从键盘接收存储在非易失性存储器中的键击的基本系统功能存储不变的低级系统代码或数据。存储介质qq221可配置成包括诸如下列的存储器：ram，rom，可编程只读存储器（prom），可擦除可编程只读存储器（eprom），电可擦除可编程只读存储器（eeprom），磁盘，光盘，软盘，硬盘，可拆卸盒式磁带或闪速驱动器。在一个示例中，存储介质qq221可配置成包括操作系统qq223、应用程序qq225（诸如web浏览器应用、小部件或小工具引擎或其它应用）和数据文件qq227。存储介质qq221可存储各种各样的操作系统中的任何操作系统或操作系统的组合以便供ueqq200使用。

存储介质qq221可配置成包括多个物理驱动单元，诸如独立磁盘冗余阵列（raid）、软盘驱动器、闪速存储器、usb闪速驱动器、外部硬盘驱动器、拇指驱动器、笔式驱动器、按键驱动器、高密度数字多功能盘（hd-dvd）光盘驱动器、内部硬盘驱动器、蓝光光盘驱动器、全息数字数据存储（hdd）光盘驱动器、外部迷你双列直插式存储器模块（dimm）、同步动态随机存取存储器（sdram）、外部微型dimmsdram、智能卡存储器（诸如订户身份模块或可移动用户身份（sim/ruim）模块）、其它存储器或其任何组合。存储介质qq221可允许ueqq200访问存储在暂时性或非暂时性存储介质上的计算机可执行指令、应用程序等，以便卸载数据或上传数据。可在存储介质qq221（可包括装置可读介质）中有形地实施制品（诸如利用通信系统的制品）。

在图16中，处理电路qq201可配置成使用通信子系统qq231与网络qq243b通信。网络qq243a和网络qq243b可以是相同的一个或多个网络或不同的一个或多个网络。通信子系统qq231可配置成包括用于与网络qq243b通信的一个或多个收发器。例如，通信子系统qq231可配置成包括用于根据诸如ieee802.qq2、cdma、wcdma、gsm、lte、utran、wimax等的一个或多个通信协议与能够进行无线通信的另一个装置（诸如另一个wd、ue或无线电接入网络（ran）的基站）的一个或多个远程收发器通信的一个或多个收发器。每个收发器可包括分别用于实现适合于ran链路的传送器或接收器功能性（例如，频率分配等）的传送器qq233和/或接收器qq235。此外，每个收发器的传送器qq233和接收器qq235可共享电路组件、软件或固件，或者备选地，它们可分别实现。

在所示的实施例中，通信子系统qq231的通信功能可包括：数据通信；语音通信；多媒体通信；短程通信，诸如蓝牙、近场通信；基于位置的通信，诸如使用全球定位系统（gps）来确定位置；另一类似的通信功能；或其任何组合。例如，通信子系统qq231可包括蜂窝通信、wi-fi通信、蓝牙通信和gps通信。网络qq243b可涵盖有线和/或无线网络，诸如局域网（lan）、广域网（wan）、计算机网络、无线网络、电信网络、另一类似的网络或其任何组合。例如，网络qq243b可以是蜂窝网络、wi-fi网络和/或近场网络。电源qq213可配置成向ueqq200的组件提供交流（ac）或直流（dc）电源。

本文中描述的特征、好处和/或功能可在ueqq200的组件之一中实现，或者可跨越ueqq200的多个组件分区。此外，本文中描述的特征、好处和/或功能可在硬件、软件或固件的任何组合中实现。在一个示例中，通信子系统qq231可配置成包括本文中描述的任何组件。此外，处理电路qq201可配置成通过总线qq202与任何这样的组件通信。在另一个示例中，可通过存储在存储器中的程序指令来表示此类组件中的任何组件，程序指令在由处理电路qq201执行时执行本文中描述的对应功能。在另一个示例中，可在处理电路qq201和通信子系统qq231之间对此类组件中的任何组件的功能性进行分区。在另一个示例中，此类组件中的任何组件的非计算密集型功能可在软件或固件中实现，而计算密集型功能可在硬件中实现。

图17是示出可在其中将由一些实施例实现的功能虚拟化的虚拟化环境qq300的示例的示意性框图。在本上下文中，虚拟化意味着创建设备或装置的虚拟版本，它可包括虚拟化硬件平台、存储装置和联网资源。如本文中所使用，虚拟化可应用于节点（例如，虚拟化基站或虚拟化无线电接入节点）或装置（例如，ue、无线装置或任何其它类型的通信装置）或其组件，并且涉及将该功能性的至少一部分实现为一个或多个虚拟组件（例如，经由在一个或多个网络中的一个或多个物理处理节点上执行的一个或多个应用、组件、功能、虚拟机或容器）的实现。

在一些实施例中，本文中描述的一些或所有功能可作为通过在由一个或多个硬件节点qq330托管的一个或多个虚拟环境qq300中实现的一个或多个虚拟机执行的虚拟组件实现。此外，在虚拟节点不是无线电接入节点或不需要无线电连接性（例如，是核心网络节点）的实施例中，于是网络节点可完全虚拟化。

功能可由可操作以实现本文中公开的一些实施例的一些特征、功能和/或好处的一个或多个应用qq320（其可备选地称为软件实例、虚拟器具、网络功能、虚拟节点、虚拟网络功能等）实现。在提供包括处理电路qq360和存储器qq390的硬件qq330的虚拟化环境qq300中运行应用qq320。存储器qq390包含可由处理电路qq360执行的指令qq395，由此应用qq320可操作以提供本文中公开的一个或多个特征、好处和/或功能。

虚拟化环境qq300包括通用或专用网络硬件装置qq330，硬件装置qq330包括一个或多个处理器或处理电路qq360的集合，处理器或处理电路qq360可以是商用现货（cots）处理器、专门的专用集成电路（asic）或任何其它类型的包括数字或模拟硬件组件或专用处理器的处理电路。每个硬件装置可包括存储器qq390-1，它可以是用于临时存储由处理电路qq360执行的指令qq395或软件的非持久存储器。每个硬件装置可包括一个或多个网络接口控制器（nic）qq370（又称为网络接口卡），其包括物理网络接口qq380。每个硬件装置还可包括非暂时性、持久、机器可读存储介质qq390-2，其中存储有可由处理电路qq360执行的软件qq395和/或指令。软件qq395可包括任何类型的软件，包括用于实例化一个或多个虚拟化层qq350（又称为管理程序）的软件、用于执行虚拟机qq340的软件、以及允许它执行与本文中描述的一些实施例有关的功能、特征和/或好处的软件。

虚拟机qq340包括虚拟处理、虚拟存储器、虚拟联网或接口和虚拟存储，并且可由对应的虚拟化层qq350或管理程序运行。虚拟器具qq320的实例的不同实施例可在一个或多个虚拟机qq340上实现，并且可以用不同的方式进行实现。

在操作期间，处理电路qq360执行软件qq395以便实例化管理程序或虚拟化层qq350，其有时又可称为虚拟机监视器（vmm）。虚拟化层qq350可向虚拟机qq340呈现看起来像是联网硬件的虚拟操作平台。

如图17所示，硬件qq330可以是具有通用或特定组件的独立网络节点。硬件qq330可包括天线qq3225，并且可经由虚拟化实现一些功能。备选地，硬件qq330可以是更大的硬件集群（例如，诸如在数据中心或客户驻地设备（cpe）中）的部分，其中许多硬件节点一起工作，并经由尤其监督应用qq320的生命周期管理的管理和编排（mano）qq3100进行管理。

在一些上下文中，将硬件的虚拟化称为网络功能虚拟化（nfv）。nfv可用于将许多网络设备类型合并到行业标准的大容量服务器硬件、物理交换机和物理存储设备（可位于数据中心中）以及客户驻地设备上。

在nfv的上下文中，虚拟机qq340可以是物理机的软件实现，它运行程序就好像它们在物理、非虚拟化机器上执行一样。每个虚拟机qq340以及执行该虚拟机的硬件qq330的那部分（无论是专用于该虚拟机的硬件和/或是由该虚拟机与其它虚拟机qq340共享的硬件）形成单独的虚拟网络元件（vne）。

仍然在nfv的上下文中，虚拟网络功能（vnf）负责处置在硬件联网基础设施qq330之上的一个或多个虚拟机qq340中运行的特定网络功能，并对应于图17中的应用qq320。

在一些实施例中，各自包括一个或多个传送器qq3220和一个或多个接收器qq3210的一个或多个无线电单元qq3200可耦合到一个或多个天线qq3225。无线电单元qq3200可经由一个或多个合适的网络接口与硬件节点qq330直接通信，并且可与虚拟组件组合使用以便提供具有无线电能力的虚拟节点，诸如无线电接入节点或基站。

在一些实施例中，可使用控制系统qq3230来实现一些信令，控制系统qq3230可备选地用于硬件节点qq330和无线电单元qq3200之间的通信。

图18是示出根据一些实施例的经由中间网络连接到主机计算机的电信系统的示例的示意图。

参考图18，根据实施例，通信系统包括诸如3gpp型蜂窝网络的电信网络qq410，它包括诸如无线电接入网络的接入网络qq411和核心网络qq414。接入网络qq411包括诸如nb、enb、gnb或其它类型的无线接入点的多个基站qq412a、qq412b、qq412c，每个基站定义对应的覆盖区域qq413a、qq413b、qq413c。每个基站qq412a、qq412b、qq412c可通过有线或无线连接qq415连接到核心网络qq414。位于覆盖区域qq413c中的第一ueqq491配置成无线地连接到对应基站qq412c或通过对应基站qq412c寻呼。覆盖区域qq413a中的第二ueqq492可无线地连接到对应基站qq412a。尽管在该示例中示出多个ueqq491、qq492，但是公开的实施例同样适用于唯一的ue位于覆盖区域中或唯一的ue正连接到对应基站qq412的情形。

电信网络qq410本身连接到主机计算机qq430，主机计算机qq430可在独立服务器、云实现的服务器、分布式服务器的硬件和/或软件中实施，或作为服务器机群中的处理资源实施。主机计算机qq430可由服务供应商拥有或控制，或者可由服务供应商或代表服务供应商操作。电信网络qq410和主机计算机qq430之间的连接qq421和qq422可从核心网络qq414直接扩展到主机计算机qq430，或者可途经可选的中间网络qq420。中间网络qq420可以是公共、私有或托管网络之一或其中多于一个网络的组合；中间网络qq420（如果有的话）可以是骨干网络或互联网；特别地，中间网络qq420可包括两个或更多个子网络（未示出）。

图18的通信系统作为整体使得能够在连接的ueqq491、qq492和主机计算机qq430之间连接性。可将该连接性描述为是过顶（ott）连接qq450。主机计算机qq430和连接的ueqq491、qq492配置成使用接入网络qq411、核心网络qq414、任何中间网络qq420和可能的进一步基础设施（未示出）作为中介经由ott连接qq450来传递数据和/或信令。从ott连接qq450经过的参与通信装置不知道上行链路和下行链路通信的路由的意义来说，ott连接qq450可以是透明的。例如，可没有或者不需要告知基站qq412关于将源自主机计算机qq430的数据转发（例如，移交）给连接的ueqq491的传入下行链路通信的过去路由。类似地，基站qq412不需要知道从ueqq491发出向主机计算机qq430的外出上行链路通信的未来路由。

图19是示出根据一些实施例的通过部分无线连接经由基站与用户设备通信的主机计算机的示例的示意图。

根据实施例，现在将参考图19描述在前几段中讨论的ue、基站和主机计算机的示例实现。在通信系统qq500中，主机计算机qq510包括硬件qq515，硬件qq515包括配置成与通信系统qq500的不同通信装置的接口设立和维持有线或无线连接的通信接口qq516。主机计算机qq510进一步包括可具有存储和/或处理能力的处理电路qq518。特别地，处理电路qq518可包括适于执行指令的一个或多个可编程处理器、专用集成电路、现场可编程门阵列或它们的组合（未示出）。主机计算机qq510进一步包括软件qq511，软件qq511存储在主机计算机qq510中或可由主机计算机qq510访问，并且可由处理电路qq518执行。软件qq511包括主机应用qq512。主机应用qq512可操作以向远程用户（诸如经由在ueqq530和主机计算机qq510处终止的ott连接qq550连接的ueqq530）提供服务。在向远程用户提供服务时，主机应用qq512可提供使用ott连接qq550传送的用户数据。

通信系统qq500进一步包括设置在电信系统中的基站qq520，并且基站qq520包括硬件qq525，以使得它能够与主机计算机qq510和ueqq530通信。硬件qq525可包括用于与通信系统qq500的不同通信装置的接口设立和维持有线或无线连接的通信接口qq526以及用于与位于由基站qq520提供服务的覆盖区域（图19中未示出）中的ueqq530设立和维持至少无线连接qq570的无线电接口qq527。通信接口qq526可配置成有助于连接qq560到主机计算机qq510。连接qq560可以是直接的，或者它可通过电信系统的核心网络（图19中没有示出）和/或通过电信系统外部的一个或多个中间网络。在示出的实施例中，基站qq520的硬件qq525进一步包括处理电路qq528，处理电路qq528可包括适于执行指令的一个或多个可编程处理器、专用集成电路、现场可编程门阵列或它们的组合（未示出）。基站qq520进一步具有存储在内部或可经由外部连接访问的软件qq521。

通信系统qq500进一步包括前面已经提到的ueqq530。硬件qq535可包括配置成与服务于ueqq530当前所在的覆盖区域的基站设立和维持无线连接qq570的无线电接口qq537。ueqq530的硬件qq535进一步包括处理电路qq538，处理电路qq538可包括适于执行指令的一个或多个可编程处理器、专用集成电路、现场可编程门阵列或它们的组合（未示出）。ueqq530进一步包括存储在ueqq530中或可由ueqq530访问并且可由处理电路qq538执行的软件qq531。软件qq531包括客户端应用qq532。客户端应用qq532可以可操作以在主机计算机qq510的支持下经由ueqq530向人类或非人用户提供服务。在主机计算机qq510中，执行的主机应用qq512可经由在ueqq530和主机计算机qq510处终止的ott连接qq550与执行的客户端应用qq532通信。在向用户提供服务时，客户端应用qq532可从主机应用qq512接收请求数据，并且响应于请求数据提供用户数据。ott连接qq550可传输请求数据和用户数据两者。客户端应用qq532可与用户交互以便生成它提供的用户数据。

注意，图19示出的主机计算机qq510、基站qq520和ueqq530可分别与图18的主机计算机qq430、基站qq412a、qq412b、qq412c之一和ueqq491、qq492之一相似或相同。也就是说，这些实体的内部运作可如图19所示，并且独立地，周围的网络拓扑可以是图18的网络拓扑。

在图19，已经抽象地绘制了ott连接qq550以便说明主机计算机qq510和ueqq530之间经由基站qq520的通信，而没有明确提到任何中间装置和经由这些装置的准确的消息路由。网络基础设施可确定路由，可配置成对ueqq530或对操作主机计算机qq510的服务供应商或两者隐藏路由。当ott连接qq550活动时，网络基础设施可进一步做出决定，通过这些决定动态地改变路由（例如，在负载平衡考虑或重新配置网络的基础上）。

ueqq530和基站qq520之间的无线连接qq570依照本公开通篇中描述的实施例的教导。各种实施例中的一个或多个实施例提高了使用ott连接qq550提供给ueqq530的ott服务的性能，其中无线连接qq570形成最后一段。

可出于监测数据速率、时延和一个或多个实施例要改善的其它因素的目的而提供测量过程。响应于测量结果的变化，可以有进一步的可选的网络功能性来重新配置主机计算机qq510和ueqq530之间的ott连接qq550。测量过程和/或用于重新配置ott连接qq550的网络功能性可在主机计算机qq510的软件qq511和硬件qq515中或在ueqq530的软件qq531和硬件qq535中或在两者中实现。在实施例中，可在ott连接qq550经过的通信装置中或与所述通信装置关联地部署传感器（未示出）；传感器可通过供应上文举例的监测量的值或供应可供软件qq511、qq531用于计算或估计监测量的其它物理量的值而参与测量过程。ott连接qq550的重新配置可包括消息格式、重新传输设置、优选的路由等；重新配置不需要影响基站qq520，并且它对于基站qq520可以是未知的或觉察不到的。此类过程和功能性在本领域中已知且已实践。在某些实施例中，测量可涉及有助于主机计算机qq510测量吞吐量、传播时间、时延等的专有ue信令。测量之所以可以实现是因为，软件qq511和qq531在监测传播时间、错误等时使得使用ott连接qq550传送消息，特别是空的或‘假的’消息。

图20a-b是示出根据一些实施例的在包括例如主机计算机并且可选地还包括基站和用户设备的通信系统中实现的方法的示例的示意性流程图。

图20a是示出根据一个实施例的在通信系统中实现的方法的流程图。通信系统包括主机计算机、基站和ue，它们可以是参考图18和图19描述的那些主机计算机、基站和ue。为了简化本公开，本节中将只包括对图20a的附图引用。在步骤qq610中，主机计算机提供用户数据。在步骤qq610的子步骤qq611（它可以是可选的）中，主机计算机通过执行主机应用来提供用户数据。在步骤qq620中，主机计算机启动将用户数据携带到ue的传输。在步骤qq630（它可以是可选的）中，根据本公开通篇中描述的实施例的教导，基站向ue传送在由主机计算机启动的传输中携带的用户数据。在步骤qq640（它也可以是可选的）中，ue执行与由主机计算机执行的主机应用相关联的客户端应用。

图20b是示出根据一个实施例的在通信系统中实现的方法的流程图。通信系统包括主机计算机、基站和ue，它们可以是参考图18和图19描述的那些主机计算机、基站和ue。为了简化本公开，本节中将只包括对图20b的附图引用。在该方法的步骤qq710中，主机计算机提供用户数据。在可选的子步骤（未示出）中，主机计算机通过执行主机应用来提供用户数据。在步骤qq720中，主机计算机启动将用户数据携带到ue的传输。根据本公开通篇中描述的实施例的教导，传输可经过基站。在步骤qq730（它可以是可选的）中，ue接收在传输中携带的用户数据。

图21a-b是示出根据一些实施例的在包括主机计算机、基站和用户设备的通信系统中实现的方法的示例的示意图。

图21a是示出根据一个实施例的在通信系统中实现的方法的流程图。通信系统包括主机计算机、基站和ue，它们可以是参考图18和图19描述的那些主机计算机、基站和ue。为了简化本公开，本节中将只包括对图21a的附图引用。在步骤qq810（它可以是可选的）中，ue接收由主机计算机提供的用户数据。另外地或备选地，在步骤qq820中，ue提供用户数据。在步骤qq820的子步骤qq821（它可以是可选的）中，ue通过执行客户端应用来提供用户数据。在步骤qq810的子步骤qq811（它可以是可选的）中，ue执行客户端应用，这作为对接收的由主机计算机提供的输入数据的反应提供用户数据。在提供用户数据时，执行的客户端应用可进一步考虑从用户接收的用户数据。不管提供用户数据的特定方式如何，在子步骤qq830（它可以是可选的）中，ue启动将用户数据传输到主机计算机。在该方法的步骤qq840中，根据本公开通篇中描述的实施例的教导，主机计算机接收从ue传送的用户数据。

图21b是示出根据一个实施例的在通信系统中实现的方法的流程图。通信系统包括主机计算机、基站和ue，它们可以是参考图18和图19描述的那些主机计算机、基站和ue。为了简化本公开，本节中将只包括对图21b的附图引用。在步骤qq910（它可以是可选的）中，根据本公开通篇中描述的实施例的教导，基站从ue接收用户数据。在步骤qq920（它可以是可选的）中，基站启动将接收的用户数据传输到主机计算机。在步骤qq930（它可以是可选的）中，主机计算机接收在由基站启动的传输中所携带的用户数据。

在下文中，将给出说明性且非限制性编号的实施例的示例：

a组实施例

1.一种由无线装置执行以用于在从源网络节点切换到目标网络节点时为无线装置和目标网络节点之间的通信确定安全上下文的方法，该方法包括：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

2.实施例1的方法，进一步包括基于安全上下文保护无线装置和目标网络节点之间的通信的步骤。

3.实施例1或2的方法，进一步包括：

-提供用户数据；以及

-经由到目标网络节点的传输将用户数据转发到主机计算机。

b组实施例

4.一种由网络节点执行以用于在从源网络节点切换到目标网络节点时为无线装置和目标网络节点之间的通信确定安全上下文的方法，该方法包括：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

5.实施例4的方法，进一步包括基于安全上下文保护无线装置和目标网络节点之间的通信的步骤。

6.之前实施例中任一实施例的方法，进一步包括：

-获得用户数据；以及

-将用户数据转发到主机计算机或无线装置。

c组实施例

7.一种无线装置，包括配置成执行a组实施例中的任何实施例的任何步骤的处理电路。

8.一种诸如基站的网络节点，包括配置成执行b组实施例中的任何实施例的任何步骤的处理电路。

9.一种用户设备（ue），包括：

-配置成发送和接收无线信号的天线；

-连接到天线和处理电路的无线电前端电路，并且配置成调节在天线和处理电路之间通信的信号；

-配置成执行a组实施例中的任何实施例的任何步骤的处理电路；

-连接到处理电路的输入接口，并且配置成允许将信息输入到ue中以便通过处理电路处理；

-连接到处理电路的输出接口，并且配置成从ue输出已经经过处理电路处理的信息；以及

-连接到处理电路并配置成对ue供电的电池。

10.一种包括主机计算机的通信系统，主机计算机包括：

-配置成提供用户数据的处理电路；以及

-配置成将用户数据转发到蜂窝网络以用于传输到用户设备（ue）的通信接口，

-其中蜂窝网络包括具有无线电接口和处理电路的基站，基站的处理电路配置成执行b组实施例中的任何实施例的任何步骤。

11.实施例10的通信系统，进一步包括基站。

12.实施例10或11的通信系统，进一步包括ue，其中ue配置成与基站通信。

13.实施例10至12中任一实施例的通信系统，其中：

-主机计算机的处理电路配置成执行主机应用，从而提供用户数据；并且

ue包括配置成执行与主机应用相关联的客户端应用的处理电路。

14.一种在包括主机计算机、基站和用户设备（ue）的通信系统中实现的方法，该方法包括：

-在主机计算机处，提供用户数据；以及

-在主机计算机处，经由包括基站的蜂窝网络启动将用户数据携带到ue的传输，其中基站执行b组实施例中的任何实施例的任何步骤。

15.实施例14的方法，进一步包括在基站处传送用户数据。

16.实施例14或15的方法，其中通过执行主机应用在主机计算机处提供用户数据，该方法进一步包括在ue处执行与主机应用相关联的客户端应用。

17.一种配置成与基站通信的用户设备（ue），该ue包括无线电接口和配置成执行a组实施例中的任何实施例的任何步骤的处理电路。

18.一种包括主机计算机的通信系统，主机计算机包括：

-配置成提供用户数据的处理电路；以及

-配置成将用户数据转发到蜂窝网络以用于传输给用户设备（ue）的通信接口，

-其中该ue包括无线电接口和处理电路，ue的组件配置成执行a组实施例中的任何实施例的任何步骤。

19.实施例18的通信系统，其中蜂窝网络进一步包括配置成与ue通信的基站。

20.实施例18或19的通信系统，其中：

-主机计算机的处理电路配置成执行主机应用，从而提供用户数据；并且

ue的处理电路配置成执行与主机应用相关联的客户端应用。

21.一种在包括主机计算机、基站和用户设备（ue）的通信系统中实现的方法，该方法包括：

-在主机计算机处，提供用户数据；以及

-在主机计算机处，经由包括基站的蜂窝网络启动将用户数据携带到ue的传输，其中ue执行a组实施例中的任何实施例的任何步骤。

22.实施例21的方法，进一步包括在ue处从基站接收用户数据。

23.一种包括主机计算机的通信系统，主机计算机包括：

-配置成接收源自从用户设备（ue）到基站的传输的用户数据的通信接口，

-其中ue包括无线电接口和处理电路，ue的处理电路配置成执行a组实施例中的任何实施例的任何步骤。

24.实施例23的通信系统，进一步包括ue。

25.实施例23或24的通信系统，进一步包括基站，其中基站包括配置成与ue通信的无线电接口以及配置成将由从ue到基站的传输携带的用户数据转发给主机计算机的通信接口。

26.实施例23至25中任一实施例的通信系统，其中：

-主机计算机的处理电路配置成执行主机应用；并且

-ue的处理电路配置成执行与主机应用相关联的客户端应用，从而提供用户数据。

27.实施例23至26中任一实施例的通信系统，其中：

-主机计算机的处理电路配置成执行主机应用，从而提供请求数据；并且

-ue的处理电路配置成执行与主机应用相关联的客户端应用，从而响应于请求数据提供用户数据。

28.一种在包括主机计算机、基站和用户设备（ue）的通信系统中实现的方法，该方法包括：

-在主机计算机处，接收从ue传送到基站的用户数据，其中ue执行a组实施例中的任何实施例的任何步骤。

29.实施例28的方法，进一步包括在ue处向基站提供用户数据。

30.实施例28或29的方法，进一步包括：

-在ue处，执行客户端应用，从而提供即将传送的用户数据；以及

-在主机计算机处，执行与客户端应用相关联的主机应用。

31.实施例28至30中任一实施例的方法，进一步包括：

-在ue处，执行客户端应用；以及

-在ue处，接收客户端应用的输入数据，通过执行与客户端应用相关联的主机应用在主机计算机处提供输入数据，

-其中即将传送的用户数据由客户端应用响应于输入数据提供。

32.一种包括主机计算机的通信系统，主机计算机包括：

-配置成接收源自从用户设备（ue）到基站的传输的用户数据的通信接口，

-其中基站包括无线电接口和处理电路，基站的处理电路配置成执行b组实施例中的任何实施例的任何步骤。

33.实施例32的通信系统，进一步包括基站。

34.实施例32或33的通信系统，进一步包括ue，其中ue配置成与基站通信。

35.实施例32至34中任一实施例的通信系统，其中：

-主机计算机的处理电路配置成执行主机应用；

-ue配置成执行与主机应用相关联的客户端应用，从而提供即将由主机计算机接收的用户数据。

36.一种在包括主机计算机、基站和用户设备（ue）的通信系统中实现的方法，该方法包括：

-在主机计算机处，从基站接收源自基站已经从ue接收的传输的用户数据，其中ue执行a组实施例中的任何实施例的任何步骤。

37.实施例36的方法，进一步包括在基站处从ue接收用户数据。

38.实施例36或37的方法，进一步包括在基站处启动将接收的用户数据传送到主机计算机。

d组实施例

39.一种用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的方法，其中该方法包括：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

40.一种配置成在切换时为无线装置和目标网络节点之间的通信确定安全上下文的装置，

-其中该装置配置成获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；并且

-其中该装置进一步配置成至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

41.一种无线装置，包括根据实施例40的装置。

42.一种网络节点，包括根据实施例40的装置。

43.一种网络装置，包括根据实施例40的装置。

44.一种计算机程序，在执行时用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文，其中该计算机程序包括指令，指令在由至少一个处理器执行时使所述至少一个处理器：

-获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；

-至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

45.一种计算机程序产品，包括计算机可读介质，在其上存储有实施例44的计算机程序。

46.一种用于在切换时为无线装置和目标网络节点之间的通信确定安全上下文的设备，其中该设备包括：

-获得模块，用于获得代表目标网络节点的无线电接入技术的类型（又称为rat类型）的信息；以及

-导出模块，用于至少部分地基于代表rat类型的信息导出和/或确定安全上下文。

上文描述的实施例仅仅作为示例给出，并且应了解，提出的技术不限于此。本领域技术人员将了解，在不偏离由随附权利要求限定的本发明范围的情况下，可对实施例进行各种修改、组合和变更。特别地，在技术上可能的情况下，可以按其它配置来组合不同实施例中的不同部分解决方案。

参考文献

1.3gppts23.501,v1.3.0,条款4.2

2.3gppts23.502,v1.0.0,条款4.9.1

3.3gppts38.300,v1.0.0,条款9.2.3

4.3gppts38.413,v.0.3.0,条款8.4

5.3gppts38.423,v.0.2.0,条款8.2

6.3gppts33.401,v.15.1.0,条款7.2.8.1.1和a.5

7.3gppts33.220,v15.0.0,条款b.2。

缩写

在本公开中，可使用以下缩写中的至少一些缩写。如果缩写之间有不一致之处，那么应当优先考虑上文如何使用它。如果在下面多次列出，那么第一个列表应该优先于任何后续（一个或多个）列表。