CN101150467B - 通信***及终端加入组播广播业务的方法 - Google Patents

Abstract

本发明涉及通信领域，公开了一种通信***及终端加入组播广播业务的方法，使得终端可以顺利加入MBS业务，接收MBS业务数据。本发明中，终端从MBS服务网获取MBS授权密钥，从承载网获取MBS业务的组播参数和/或组播安全密钥，加入对应的MBS业务。通过上述过程，终端可以成功地在组播参数指示的承载上，根据MBS授权密钥和组播安全密钥生成的MBS业务密钥接收对应的MBS业务数据。MBS服务网在下发MBS授权密钥之前，对终端进行认证，在认证通过后，向终端下发MBS授权密钥。终端从承载网获取MBS业务的组播参数和组播安全密钥的加入MBS业务过程可以由网络侧发起，或者终端主动发起。

Description

通信***及终端加入组播广播业务的方法

技术领域

本发明涉及通信领域，特别涉及组播广播技术。 

背景技术

IEEE802.16是电子和电气工程师协会(Institute of Electrical andElectronics Engineers，简称“IEEE”)于2001年12月颁布的，用于在城域网中提供最后一公里无线宽带接入的标准。 

微波接入全球互通(Worldwide Interoperability for Microwave Access，简称“WiMAX”)是根据目前业界对基于IEEE 802.16系列标准的无线城域网接入技术，其基本目标是提供一种在城域网一点对多点的多厂商环境下，可有效互操作的宽带无线接入手段。 

具体地说，802.16系列标准规定了WiMAX***的空中接口部分协议层，主要包括物理层(PHY)，以及媒体接入控制(Medium Access Control，简称“MAC”)层。其中，PHY层在物理上完成对信号的调制解调以及编解码等操作，而MAC层主要完成WiMAX***的媒体接入控制功能。 

图1示出WiMAX端到端参考模型。其中R1接口为无线空中接口，主要由IEEE802.16d/e定义。其余接口均为有线接口。 

如图可见，WiMAX主要包含移动台(Mobile Station，简称“MS”)/用户站(Subscribe Station，简称“SS”)、接入服务网络(Access ServiceNetwork，简称“ASN”)与连接服务网络(Connectivity Service Network，简称“CSN”)。 

ASN定义为为WiMAX用户终端提供无线接入服务的网络功能集合，ASN包含了BS和ASN网关(ASN GateWay简称“ASN-GW”)网元，一个ASN可能被多个CSN共享。 

ASN的主要功能包含BS的功能和ASN-GW的功能。其中，BS的功能有：提供BS和用户站SS/MS的L2连接、无线资源管理、测量与功率控制和空口数据的压缩与加密。ASN-GW的功能有：为SS/MS认证、授权和计费功能提供代理(proxy)功能；支持NSP的网络发现和选择；为SS提供L3信息的中继(Relay)功能，如IP地址分配。 

CSN定义为为WiMAX用户终端提供IP连接服务。CSN主要提供如下功能：SS/MS的IP地址分配，Internet接入，验证、授权、计费协议(Authentication、Authorization、Account，简称“AAA”)代理(proxy)或者服务(server)，基于用户的授权控制，ASN到CSN的隧道，WiMAX用户的计费以及运营商之间的结算，漫游情况下CSN之间的隧道，ASN之间的切换，和各种WiMAX服务(如基于位置的业务、多媒体多播和广播业务、IP多媒体子***业务)。 

MS/SS为(移动)终端，用户使用该终端接入WiMAX网络。 

以上对WiMAX及其网络构架进行了说明，下面对多播广播业务(Multicast & Broadcast Service，简称“MBS”)进行简单介绍。 

随着Internet(因特网)的迅猛发展，人们对移动通信的需求已不再仅仅满足于电话和消息业务，大量多媒体业务涌现出来，其中一些应用业务要求多个用户能同时接收相同数据，如视频点播、电视广播、视频会议、网上教育、互动游戏等。目前在有线网络上可以采用网间互联协议(Internet Protocol，简称“IP”)组播和广播技术来实现，但是将这些业务移植到移动网上，与一般的数据相比，由于这些业务具有数据量大、持续时间长、时延敏感等特点，并且移动网具有特定的网络结构、功能实体和无线接口等，现有IP组播 和广播技术并不能直接适用于移动网。 

为了有效地利用移动网络资源，WiMAX定义了MBS业务，MBS业务是在移动网络中提供一个数据源向多个用户发送数据的点到多点业务，实现网络资源共享，提高网络资源的利用率，尤其是空中接口资源。WiMAX定义的MBS不仅能实现纯文本低速率的消息类组播和广播，而且还能实现高速多媒体业务的组播和广播，这无疑顺应了未来移动数据发展的趋势。 

在MBS业务中，某些服务流可以携带到多个终端的广播或多播信息，这些服务流包含服务质量(Quality of Service，简称“QoS”)参数，为了提高业务的安全性，还可以用数据加密密钥对其进行加密。 

基于WiMAX网络的MBS业务支持两种接入模式：单基站接入和多基站接入。在多基站接入模式下，一个MBS区(即MBS Zone，用MBS_zone ID来标识)内的所有基站用相同的Multicast CID和MBS组安全联盟(MBSGroup Security Association，简称“MBS GSA”)，发送同一MBS业务流的内容，注册了MBS服务的终端可以在该MBS区内通过多个基站接收MBS业务数据，并且处于空闲态的终端在MBS区内跨基站移动时，不需重建连接，可以不受影响的接收MBS业务，实现MBS业务的无缝切换。单基站接入MBS是多基站接入MBS的一种特例，MBS区范围限定为一个基站覆盖范围内，一个MBS区内接收该MBS的所有用户使用同一个组播连接标识。 

在WiMAX网络中，通过业务流标识(Service Flow Identifier，简称“SFID”)，来标识不同的单向业务流，通过CID来标识不同的连接，所有的业务流在空口通过媒体访问控制(Medium Access Control，简称“MAC”)层的连接进行传送，通过在业务流的SFID与MAC层连接的CID之间进行映射，将业务流在对应的连接上传输。基于WiMAX网络MBS业务在上述标识的基础上，还通过组播连接标识(Multicast CID)专门标识组播连接，通过组播内容标识(MBS Contents ID)来标识一个组播内容，一个Mulicast CID上传输的协议数据单元(Protocol Data Unit，简称“PDU”)可以包含一个或多个MBS内容。 

在WiMAX网络中，对于单播业务来说，SFID的使用范围仅限于ASN内，在ASN与CSN的交互中和CSN内，使用流标识(FID：Flow ID)来标识业务流。二者在锚点业务流授权者(Service Flow Authorization，简称“SFA”)上进行映射。业务流授权者负责给相应的业务流授权，此功能体存在于ASN中。 

在无线通信网络中，为了保证无线组播通信安全，空口传输的组播数据都用组播密钥加密，以保证网络仅允许签约该组播业务的用户才能接收该组播业务。以基于802.16协议实现的无线通信***为例，其进行组播数据的加密需要采用三个密钥，分别为：MAK(MBS授权密钥)、MGTEK(MBS组密钥加密密钥)、MTK(MBS业务密钥)。在IEEE 802.16-2005协议中，MAK的生成和传输由应用层定义，MGTEK用KEK(密钥加密密钥)或GKEK(组密钥加密密钥)加密之后传递给终端，MAK和MGTEK经过某个算法(如Dot16KDF算法)计算得到MTK，MTK直接用于加解密组播数据。 

以下介绍了与MBS业务相关的网元及其功能： 

(1)内容提供商：即组播广播业务提供者，作为MBS节目的提供者，用于提供具体的MBS业务内容； 

(2)MBS服务器：用于控制将内容提供商提供的MBS节目转发给相应的MBS代理； 

(3)MBS代理：作为MBS业务在网络侧的中心节点，用于控制将MBS服务器发来的或内容提供商发来的MBS节目发送给相应的MBS执行点； 

(4)MBS执行点：作为一个MBS区的MBS执行实体，用于根据收到的MBS节目为用户终端提供MBS节目。 

在现有的基于IEEE802.16e协议实现的WiMAX网络中，尚未定义相应的MBS网络架构以及MBS业务开展的具体实现过程。也就是说，目前还没有一种很好的技术方案可以在网络中实现MBS业务。 

发明内容

有鉴于此，本发明的主要目的在于提供一种通信***及终端加入组播广播业务的方法，使得终端可以顺利加入MBS业务，接收MBS业务数据。 

为实现上述目的，本发明提供了一种通信***中终端加入组播广播业务的方法，包含以下步骤： 

A所述终端从组播广播业务MBS服务网获取MBS授权密钥； 

B所述终端从承载网获取所述MBS的组播参数和/或组播安全密钥； 

C所述终端在所述组播参数指示的承载上，根据所述MBS授权密钥和所述组播安全密钥生成的MBS业务密钥接收对应的MBS； 

所述步骤A、B以任意顺序执行。 

其中，所述MBS服务网在收到终端的请求或满足预设条件时，向所述终端下发所述MBS授权密钥。 

此外在所述方法中，所述MBS服务网在下发所述MBS授权密钥的同时，还下发MBS业务标识和/或所述MBS授权密钥的上下文信息。 

此外在所述方法中，所述MBS服务网在下发所述MBS授权密钥之前，对所述终端进行认证，在认证通过后，向所述终端下发所述MBS授权密钥。 

此外在所述方法中，所述预设条件为：终端入网；或网络侧完成MBS业务的配置过程；或受到承载网的触发。 

此外在所述方法中，在MBS授权密钥更新的时间段内，所述终端同时 维护原MBS授权密钥和更新后的MBS授权密钥，在所述原MBS授权密钥解码失败时，和/或更新后的MBS授权密钥解码成功时，所述新MBS授权密钥生效。 

此外在所述方法中，所述终端通过加入MBS业务的过程从所述承载网获取所述MBS组播参数和组播安全密钥，所述终端加入MBS业务的过程由网络侧发起，或由终端发起。 

此外在所述方法中，所述终端发起的加入MBS业务的流程包含以下步骤： 

终端通过DSA-REQ消息发起加入MBS业务的过程，所述消息中携带MBS业务标识； 

所述承载网通过DSA-RSP消息，将组播参数下发给所述终端。 

此外在所述方法中，所述网络侧发起的终端加入MBS业务的流程为： 

所述承载网或MBS服务网向已经通过MBS业务认证的终端下发MBS加入请求消息，将其加入MBS业务； 

所述承载网通过动态业务流添加过程将所述组播参数下发给该终端。 

此外在所述方法中，所述MBS业务标识为以下之一或其任意组合： 

组播IP地址和端口号、MBS内容标识，授权令牌、MBS区标识。 

此外在所述方法中，承载网和/或MBS服务网在终端发起加入MBS业务的过程后，对终端进行MBS业务认证和/或用户认证。 

此外在所述方法中，所述的MBS业务认证方法是：承载网和/或MBS服务网根据所述终端的MBS业务签约信息和/或该终端的MBS业务认证结果进行策略。 

此外在所述方法中，所述终端授权通过后，如果还需要组播安全密钥，则网络侧向所述终端下发所述组播安全密钥，所述组播安全密钥包含MBS组密钥加密密钥及其上下文和/或组密钥加密密钥及其上下文。 

此外在所述方法中，所述承载网将所述组播安全密钥及其上下文下发给所述终端之前，首先通知所述终端该MBS对应的安全联盟信息。 

此外在所述方法中，所述MBS的组播参数包含以下之一或其任意组合：MBS内容标识，MBS区标识，业务流标识，组播连接标识，MBS组安全联盟标识，服务质量参数。 

此外在所述方法中，承载网和/或MBS服务网确定所述终端通过MBS业务认证后，如果所述MBS的网络资源还未配置，则首先发起所述MBS业务网络侧的资源配置过程。 

本发明还提供了一种通信***，包含： 

MBS服务网，用于向终端下发MBS授权密钥； 

承载网，用于向终端下发所述MBS的组播参数和组播安全密钥，指示所述终端在所述组播参数指示的承载上，根据所述MBS授权密钥和所述组播安全密钥生成的MBS业务密钥接收对应的MBS。 

其中，所述MBS服务网在收到终端的请求或满足预设条件时，向所述终端下发所述MBS授权密钥。 

此外在所述***中，所述MBS服务网还用于在下发所述MBS授权密钥之前，对所述终端的MBS业务进行认证，在认证通过后，向所述终端下发所述MBS授权密钥。 

此外在所述***中，所述承载网在终端加入MBS业务的过程中下发所述MBS的组播参数和组播安全密钥； 

所述终端加入MBS业务的过程由终端发起，或由网络侧触发。 

此外在所述***中，所述承载网还用于在下发所述MBS的组播参数和 组播安全密钥之前，对所述终端进行认证，在认证通过后，向所述终端下发所述MBS的组播参数和组播安全密钥。 

此外在所述***中，所述MBS服务网由以下之一或其任意组合组成： 

漫游MBS服务器、家乡MBS服务器、漫游认证授权计费服务器、家乡认证授权计费服务器、内容提供商、第三方应用服务器； 

所述MBS服务网与所述承载网独立存在，或合而为一； 

所述承载网由以下之一或其任意组合组成： 

接入服务网络、漫游连接服务网络、家乡连接服务网络。 

通过比较可以发现，本发明的技术方案与现有技术的主要区别在于，终端从MBS服务网获取MBS授权密钥，从承载网获取MBS业务的组播参数和组播安全密钥，通过所获取的信息可以成功地在组播参数指示的承载上，根据MBS授权密钥和其它组播安全密钥生成的MBS业务密钥(MTK)接收对应的MBS业务数据。 

MBS服务网与承载网可以合而为一，或分别独立存在，形式较为灵活。 

MBS服务网在下发MBS授权密钥之前，对终端进行认证，在认证通过后，向终端下发MBS授权密钥。通过认证，确保只有签约该MBS业务的终端才能获得MBS授权密钥。 

MBS服务网在收到终端的请求或满足预设条件时，向该终端下发MBS授权密钥。从而终端可以在需要时，通过主动请求，及时获取相应的MBS授权密钥，而网络侧可以根据其实际情况，在终端入网时，或网络侧完成MBS业务的配置过程时，主动通知终端接收相应的信息，适应于不同的场景。 

MBS授权密钥在网络侧更新时，MBS服务网及时向终端下发更新后的MBS授权密钥，或在收到终端的密钥更新请求后下发更新后的MBS授权密钥。通过该方式，使得在正常情况下网络侧能够及时下发更新后的MBS授 权密钥，如果偶然存在错误，网络侧未能正确发送或终端未能正确接收，则终端可以主动要求网络侧下发更新后的密钥，从而通过两方面操作，保证终端能够及时更新MBS授权密钥，确保终端接收MBS业务时不受影响。 

承载网与MBS服务网进行交互，以确认终端请求的MBS业务已经得到MBS服务网的授权。如果通过授权，则通过安全联盟添加消息和密钥请求、密钥答复消息将MBS的安全联盟和安全密钥及其上下文下发给终端，从而确保密钥传输的安全性，避免密钥被截取、破坏、或被其它非法终端获取，确保合法用户的利益，使得合法用户能够根据该安全密钥和MBS服务网下发的MBS授权密钥，成功接收并解码对应的MBS业务，获取业务内容。 

承载网与MBS服务网进行交互确认终端请求的MBS业务已经得到MBS服务网的授权后，如果MBS业务的网络资源还未配置，则首先发起MBS业务网络侧的资源配置过程，在网络资源配置完成后，根据实际的配置情况下发相应的组播参数，使得本方法更加周全。 

附图说明

图1是现有技术中WiMAX的网络结构示意图； 

图2是本发明通信***中终端加入组播广播业务的方法中终端请求MAK的原理图； 

图3是本发明通信***中终端加入组播广播业务的方法中MBS服务网主动下发MAK的原理图； 

图4是本发明通信***中终端加入组播广播业务的方法中终端请求加入MBS的原理图； 

图5是本发明通信***中终端加入组播广播业务的方法中承载网请求终端加入MBS的原理图； 

图6是根据本发明第一实施方式的通信***中终端加入组播广播业务的方法流程图； 

图7是根据本发明第二实施方式的通信***中终端加入组播广播业务的方法流程图； 

图8是根据本发明第三实施方式的通信***中终端加入组播广播业务的方法流程图； 

图9是根据本发明第四实施方式的通信***中终端加入组播广播业务的方法流程图； 

图10是根据本发明第五实施方式的通信***中终端加入组播广播业务的方法中MAK更新的流程图； 

图11是根据本发明第六实施方式移动通信网络中MBS服务网与承载网分离的网络结构示意图； 

图12是根据本发明第六实施方式移动通信网络中MBS服务网与承载网合一的网络结构示意图。 

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。 

本发明中，终端从MBS服务网获取MBS授权密钥(MBS AuthorizationKey，简称“MAK”)及其上下文，从承载网获取MBS业务的组播参数和组播安全密钥，通过所获取的信息可以成功地在组播参数指示的承载上，通过MBS授权密钥和组播安全密钥生成的MBS业务密钥(MTK)接收对应的MBS业务数据。其中，终端从MBS服务网的步骤和从承载网获取的步骤没有固定的先后顺序，可以先从MBS服务网再从承载网获取，也可以先从承 载网获取再从MBS服务网，还可以并发地从MBS服务网和承载网获取。 

具体地说，终端从MBS服务网获取MAK及其上下文和/或MBS业务标识的方法有两种，一是由终端主动请求MBS服务网下发MAK及其上下文和/或MBS业务标识，或在满足条件时，自动触发MBS服务网下发MAK及其上下文和/或MBS业务标识。 

比如说，如果在终端入网时，网络侧已经完成该MBS业务的配置过程，则终端入网后可以直接触发MBS服务网下发MAK及其上下文和/或MBS业务标识。如果在终端入网时，网络侧还未完成MBS业务的资源配置过程，则在终端入网后，网络侧完成该MBS业务的资源配置过程后，触发MBS服务网下发MAK及其上下文和/或MBS业务标识。 

终端请求下发MAK及其上下文和/或MBS业务标识过程如图2所示。 

在步骤201中，终端向MBS服务网发送MBS请求消息，其中的MBS请求和响应消息可以承载在http协议上。 

接着进入步骤202，服务网收到该请求后，对终端所请求的MBS业务进行认证，如果认证通过则下发MAK及其上下文和/或MBS业务标识。MBS业务可以通过如下信息进行标识：组播IP地址和/或端口号，和/或MBSContents ID(MBS内容ID)，和/或Authorization Token(授权令牌)，和/或MBS Zone ID(MBS区ID)。所述的授权令牌是应用层给某个MBS业务分配的一个标识，可以标识一个MBS业务和其QoS参数，用于授权应用层业务流创建或修改流程生成的一个或多个IP流的QoS。 

MBS服务网主动下发MAK及其上下文和/或MBS业务标识的过程如图3所示。 

MBS服务网在满足预设的条件时，如终端入网或网络侧完成MBS业务的资源配置过程，或受到承载网的触发，自动触发步骤301。 

在步骤301中，MBS服务网向终端下发MAK及其上下文和/或MBS业务标识，授权该终端加入MBS业务。其中终端必须是通过MBS业务认证的终端。 

终端可以通过请求加入MBS业务的过程，或网络侧请求终端加入MBS的过程中，从承载网获取MBS业务的组播参数和组播安全密钥。 

终端主动请求加入MBS业务的过程如图4所示，在步骤401中，终端通过向基站发送动态业务流添加(Dynamic Service Addition，简称“DSA”)请求消息发起MBS业务加入过程，携带MBS业务标识。该MBS业务标识可以是以下之一或其任意组合：组播IP地址和/或端口号、MBS Contents ID、Authorization Token(授权令牌)、MBS Zone ID(MBS区ID)。MBS业务标识终端可以在获取MAK的过程中获得。 

接着进入步骤402和/或步骤403，步骤402和步骤403通过不同的方式对终端的MBS业务进行了认证，可以只执行其中的一个步骤，也可以执行两个步骤，进行多次认证。 

在步骤402和/或步骤403中，承载网和/或MBS服务网对终端进行认证。该认证包含用户认证和/或MBS业务认证。在步骤403中，承载网还可以通过与MBS服务网交互来确认终端请求的MBS业务是否已经得到MBS服务网的授权。MBS业务认证方式可以是：承载网和/或MBS服务网根据该终端的MBS业务签约信息和/或该终端的MBS业务认证结果进行策略。在该过程中，MBS服务网和/或承载网完成对终端的MBS授权后，将该终端加入相应的组播业务的组播用户组，和/或记录该终端的MBS业务激活情况。 

经过步骤402和/或步骤403，如果确定终端的MBS业务认证已经通过，或已经得到授权，则进入步骤404。 

在步骤404中，承载网在终端还需要安全联盟(Security Association，简称“SA”)等辅助信息的情况下，该辅助信息包括MBS组安全联盟(Group Security Association，简称“MBS GSA”)和MBS组业务加密密钥(MBS GroupTraffic Encryption Key，简称“MGTEK”)及其上下文，和/或组密钥加密密钥(Group Key Encryption Key，简称“GKEK”)及其上下文等，通过SA过程和PKM过程获取以上信息。该过程可通过SA-Addition(安全联盟添加)，Key-Request(密钥请求)和Key-Reply(密钥应答)过程建立，在该过程中采用PKM相关消息，具体可参考802.16标准。 

接着进入步骤405，承载网和终端继续DSA过程，完成MBS业务建立。在该过程中，承载网将用户想接收的MBS业务的组播参数发送给移动终端。MBS业务的组播参数包括：MBS Contents ID(MBS内容ID)，MBS ZoneIdentifier(MBS区标识)，业务流标识(Service Flow Identifier，简称“SFID”)，Multicast CID(组播连接标识)，MBS GSA ID(MBS组安全联盟ID)，QoS参数等。该过程中，承载网可以将该终端加入相应的组播业务的组播用户组，和/或记录该终端的MBS业务激活情况。 

在本发明中，承载网也可以主动请求终端加入MBS业务。其中，承载网主动请求加入MBS业务的终端必须是已经通过MBS业务认证的终端。 

具体如图5所示，在步骤501中，承载网或者MBS服务网在终端已经事先通过MBS业务认证的前提下(若该MBS业务需要认证的话)，主动请求终端加入MBS业务。 

接着进入步骤502，承载网在终端还需要安全联盟(Security Association，简称“SA”)和组播安全密钥等辅助信息的情况下，该辅助信息包括MBS组安全联盟(Group Security Association，简称“MBS GSA”)和MBS组业务加密密钥(MBS Group Traffic Encryption Key，简称“MGTEK”)及其上下文，和/或组密钥加密密钥(Group Key Encryption Key，简称“GKEK”)及其上下文等，通过SA和PKM过程获取以上信息。该过程可通过 SA-Addition(安全联盟添加)，Key-Request(密钥请求)和Key-Reply(密钥应答)过程建立，在该过程中采用PKM相关消息，具体可参考802.16标准。 

接着进入步骤503，承载网通过DSA过程让终端加入该MBS业务。在该过程中，承载网将用户想接收的MBS业务的组播参数发送给移动终端。该过程中，承载网可以将该终端加入相应的组播业务的组播用户组，和/或记录该终端的MBS业务激活情况。 

若步骤501中，是由MBS服务网触发终端加入MBS业务的过程，则进入步骤504，承载网可选地向MBS服务网报告该终端的MBS业务建立结果。MBS服务网还可以将该终端加入相应的组播业务的组播用户组，和/或记录该终端的MBS业务激活情况。如果终端还缺少MAK等应用层信息，则接着进入步骤505，终端MBS服务网申请MAK及其上下文，以上已做了详细介绍，在此不多做说明。 

在本发明中，承载网可进一步包括ASN、漫游连接服务网络(V-CSN)、家乡连接服务网络(H-CSN)；MBS服务网可进一步包括漫游MBS服务器(V-MBS Server)、家乡MBS服务器(H-MBS Server)、漫游AAA服务器、家乡AAA服务器，内容提供商(Content Provider)、和/或第三方应用服务器。 

下面根据发明原理结合具体的网元对本发明第一实施方式进行说明，本发明第一实施方式涉及通信***中终端加入组播广播业务的方法，如图6所示。 

在步骤601中，终端在空口向BS发送DSA-REQ消息，请求加入MBS业务。该消息中携带参数：请求的MBS组播业务标识，和/或MBS Service。该MBS组播业务标识可以是组播IP地址/端口号，和/或MBS Contents ID，和/或Authorization token，和/或MBS Zone ID等。 

接着进入步骤602，BS收到DSA-REQ后进行承载认证。BS发送MBS加入请求消息给MBS代理，该消息携带参数：用户标识符(如终端ID)，请求的MBS组播业务标识，和/或组播指示。若BS已获知该MBS业务的终端认证结果，则可以直接进行步骤607，对于漫游场景，还需执行步骤605′。 

接着进入步骤603，MBS代理收到请求后，发送MBS加入请求消息给V-MBS服务器，该消息中携带参数：用户标识符(如NAI)，请求的MBS组播业务标识。若MBS代理已获知该终端的MBS业务认证结果，则可以直接进入步骤606，对于漫游场景，还需执行步骤605′。 

接着进入步骤604，V-MBS服务器收到请求后，可以通过与AAA服务器交互，对该终端的MBS业务进行认证和/或用户认证，或确认该终端请求的MBS业务已经通过授权。若认证/授权通过，AAA服务器可以设置终端的该MBS业务激活指示。若MBS服务器处已经有终端的MBS业务认证结果，则可以直接进行步骤605。 

接着进入步骤605，V-MBS服务器根据该终端的MBS业务认证结果进行决策，然后发送MBS加入响应消息给MBS代理。该消息携带参数：用户标识符(如NAI)，策略结果，MBS业务标识。若授权通过，MBS服务器可以将该终端加入相应的组播业务的组播用户组。 

对于漫游场景，接着进入步骤605′，BS或MBS代理或V-MBS服务器可以可选地向H-MBS服务器和/或H-AAA服务器发送该终端的MBS加入报告消息，告知H-MBS服务器和/或H-AAA服务器该终端加入该组播业务，以用于计费支持等。V-MBS服务器与H-MBS服务器之间若不能直接通信，则可能要经过V-AAA服务器和H-AAA服务器的中转。 

接着进入步骤606，MBS代理向BS发送MBS加入响应消息。该消息携带参数：用户标识符(如终端ID)，策略结果，MBS业务标识等。 

接着进入步骤607，BS发送PKMv2-RSP消息(即SA-Addition，用于通 知终端所使用的MBS GSA)给终端，告知终端该MBS业务对应的SA信息，携带的参数包括：MBS GSA ID，SA-type(SA类型)，SA Service type(SA服务类型)，Cryptographic-Suite等。接着进入步骤608。 

若终端入网时，网络侧已完成该MBS组播业务的网络侧资源配置过程，则步骤607中传递的参数也可以在终端初始入网的PKMv2-RSP(SA-TEK-Challenge)消息中下发给终端。此时，可以省略步骤607，步骤608可以在终端经过MBS认证后的任意时刻进行。 

在步骤608中，BS和终端在空***互“PKMv2 Key Req”/“PKMv2KeyReply”消息，将MBS安全密钥(MGTEK，和/或GKEK等)及其上下文告知终端。 

接着进入步骤609，BS向终端发送DSA-RSP消息，将该用户想要接收的MBS业务的参数发送给终端。携带的参数包括：MBS Contents ID，MBSZone Identifier，SFID，Multicast CID，QoS参数等。该过程中，承载网可以将该终端加入相应的组播业务的组播用户组，和/或记录该终端的MBS业务激活情况。 

接着进入步骤610，终端发送DSA-ACK消息给BS。 

至此，终端成功获取MBS组播参数，如果终端已经获取了MAK及其上下文等应用层信息，则可以在组播参数指示的承载上，根据MBS业务标识、MAK、安全密钥等接收对应的MBS业务。如果终端尚未获取MAK及其上下文，则可以向MBS服务网发送请求，获取MAK及其上下文。 

在本实施方式中，MBS服务器和MBS代理可以合并为MBS服务器，即MBS服务器位于ASN GW上或者在ASN内作为独立网元，此时步骤603、步骤605可以省略。相应的步骤605′可以在ASN与H-MBS服务器或者H-AAA服务器之间进行，或者在V-PF与H-MBS服务器或者H-AAA服务器之间进行。 

另外，本实施方式中MBS请求和响应消息的传递路径也可以是：终端<->BS<->ASN GW<->PF<->MBS服务器(<->AAA服务器)。 

本发明第二实施方式涉及通信***中终端加入组播广播业务的方法，与第一实施方式大致相同，其区别仅在于终端请求加入MBS业务消息以及相应的响应消息经过的网元的和传递路径不同。在本实施方式中，ASN和策略功能(PF)代替第一实施方式中的BS和MBS代理。 

具体如图7所示，在步骤701中，终端在空口向ASN发送DSA-REQ消息，请求加入MBS业务。该消息中携带参数：请求的MBS组播业务标识。该MBS组播业务标识可以是组播IP地址/端口号，和/或MBS Contents ID，和/或Authorization token，和/或MBS Zone ID，和/或MBS Service等。 

接着进入步骤702，ASN收到DSA-REQ后进行承载认证。ASN发送MBS加入请求消息给PF，该消息携带参数：用户标识符(如终端ID)，请求的MBS组播业务标识，和/或组播指示。若ASN已获知该MBS业务的终端认证结果，则可以直接进行步骤707，对于漫游场景，还需执行步骤705′。 

接着进入步骤703，PF收到请求后，发送MBS加入请求消息给V-MBS服务器，该消息中携带参数：用户标识符(如NAI)，请求的MBS组播业务标识。若PF已获知该终端的MBS业务认证结果，则可以直接进入步骤707，对于漫游场景，还需执行步骤705′。 

接着进入步骤704，V-MBS服务器收到请求后，可以通过与AAA服务器交互，对该终端的MBS业务进行认证和/或用户认证，或确认该终端请求的MBS业务已经通过授权。若认证/授权通过，AAA服务器可以设置终端的该MBS业务激活指示。若MBS服务器处已经有终端的MBS业务认证结果，则可以直接进行步骤705。 

接着进入步骤705，V-MBS服务器根据该终端的MBS业务认证结果进行决策，然后发送MBS加入响应消息给PF。该消息携带参数：用户标识符 (如NAI)，策略结果，MBS业务标识。若授权通过，MBS服务器可以将该终端加入相应的组播业务的组播用户组。 

对于漫游场景，接着进入步骤705′，ASN或PF或V-MBS服务器可以可选地向H-MBS服务器和/或H-AAA服务器发送该终端的MBS加入报告消息，告知H-MBS服务器和/或H-AAA服务器该终端加入该组播业务，以用于计费支持等。V-MBS服务器与H-MBS服务器之间若不能直接通信，则可能要经过V-AAA服务器和H-AAA服务器的中转。 

接着进入步骤706，PF向ASN发送MBS加入响应消息。该消息携带参数：用户标识符(如终端ID)，策略结果，MBS业务标识等。 

接着进入步骤707，ASN发送PKMv2-RSP消息(即SA-Addition，用于通知终端所使用的SA)给终端，告知终端该MBS业务对应的SA信息，携带的参数包括：MBS GSA ID，SA-type(SA类型)，SA Service type(SA服务类型)，Cryptographic-Suite等。接着进入步骤708。 

若终端入网时，网络侧已完成该MBS组播业务的网络侧资源配置过程，则步骤707中传递的参数也可以在终端初始入网的PKMv2-RSP(SA-TEK-Chanllenge)消息中下发给终端。此时，可以省略步骤707，步骤708可以在终端经过MBS认证后的任意时刻进行。 

在步骤708中，ASN和终端在空***互“PKMv2 Key Req”/“PKMv2 KeyReply”消息，将MBS安全密钥(MGTEK，和/或GKEK等)及其上下文告知终端。 

接着进入步骤709，ASN向终端发送DSA-RSP消息，将该用户想要接收的MBS业务的参数发送给终端。携带的参数包括：MBS Contents ID，MBSZone Identifier，SFID，Multicast CID，QoS参数等。该过程中，承载网可以将该终端加入相应的组播业务的组播用户组，和/或记录该终端的MBS业务激活情况。 

接着进入步骤710，终端发送DSA-ACK消息给ASN。 

至此，终端成功获取MBS组播参数，如果终端已经获取了MAK及其上下文等应用层信息，则可以在组播参数指示的承载上，根据MBS业务标识、MAK、安全密钥等接收对应的MBS业务。如果终端尚未获取MAK及其上下文，则可以向MBS服务网发送请求，获取MAK及其上下文。 

另外，在本实施方式中，ASN中还包括BS、服务SFA、锚点SFA，消息在各功能实体间的传递路径为：BS<->服务SFA<->锚点SFA。 

下面对本发明第三实施方式进行说明。本发明第三实施方式涉及通信***中终端加入组播广播业务的方法，如图8所示。在本实施方式中，网络侧主动请求终端加入MBS业务，请求加入MBS的终端必须通过MBS业务安全认证。 

如果ASN内有终端的MBS认证结果和/或MBS签约信息，则可以直接进入步骤803；或者，如果V-PF有终端的MBS认证结果和/或MBS签约信息，则可以直接进入步骤802；如果V-MBS服务器处有终端的MBS认证结果和/或MBS签约信息，则进入步骤801。 

在步骤801中，V-MBS服务器向PF发送MBS业务加入请求消息，该消息携带参数：用户标识符(如NAI)，请求的MBS组播业务标识，和/或组播指示。该请求也可以由AAA服务器或PF或ASN触发MBS服务器发送。 

接着进入步骤802，PF继而向ASN发送MBS业务加入请求消息，该消息同样携带参数：用户标识符(如NAI)，请求的MBS组播业务标识，和/或组播指示。该ASN中还包括BS、服务SFA、锚点SFA，请求消息在各功能实体间的传递路径为：锚点SFA->服务SFA->BS。接着进入步骤803。 

步骤803至步骤806与步骤707至步骤710相类似，在此不再赘述。其中，步骤803-804与步骤805-806在执行顺序上可以任意确定，无固定先后顺序。 

ASN收到终端的响应消息后，接着进入步骤807，ASN向PF发送MBS业务加入响应消息，该消息携带参数：用户标识符(如NAI)，终端加入结果，MBS组播业务标识，和/或组播指示。 

接着进入步骤808，PF向V-MBS服务器发送MBS业务加入响应消息，该消息携带参数：用户标识符(如NAI)，终端加入结果，MBS组播业务标识，和/或组播指示。 

对于漫游场景，接着进入步骤809，ASN或PF或V-MBS服务器可选地向H-MBS服务器和/或H-AAA服务器发送该终端的MBS加入报告消息，告知H-MBS服务器和/或H-AAA服务器该终端加入该组播业务，以用于计费支持等。V-MBS服务器与H-MBS服务器之间若不能直接通信，则可能要经过V-AAA服务器和H-AAA服务器的中转。 

至此，终端成功获取MBS组播参数，如果终端已经获取了MAK及其上下文等应用层信息，则可以在组播参数指示的承载上，根据MBS业务标识、MAK和组播安全密钥生成的MBS业务密钥等接收对应的MBS业务。如果终端尚未获取MAK及其上下文，则可以向MBS服务网发送请求，获取MAK及其上下文。 

另外，本实施方式中MBS业务加入请求和响应消息的传递路径也可以是：MBS服务器<->MBS代理<->BS<->终端。 

在本实施方式中，MBS服务器和MBS代理同样可以合并为MBS服务器，即MBS服务器位于ASN GW上或者在ASN内作为独立网元，此时步骤801、步骤808可以省略。以上各实施方式均是在网络侧完成MBS资源配置的前提下，进行相应的操作，在本发明第四实施方式中，终端请求加入MBS业务时，网络侧尚未进行MBS资源配置，在本实施方式的流程触发网络侧进行相应的MBS资源配置。本发明第四实施方式同样涉及通信***中终端加入组播广播业务的方法，具体如图9所示。 

在步骤901中，终端在空口向BS发送DSA-REQ消息。该消息中携带参数：请求的MBS组播业务标识，和/或MBS Service。其中，MBS组播业务标识可以为组播IP地址/端口号，和/或MBS Contents ID，和/或Authorization token，和/或MBS Zone ID等。 

接着进入步骤902，BS收到消息后，发送MBS加入请求消息给MBS代理，该消息携带参数：用户标识符(如MSID)，请求的MBS组播业务标识，和/或组播指示。 

接着进入步骤903，MBS代理收到该消息后，发送MBS加入请求消息给MBS服务器，该消息中携带参数：用户标识符(如NAI)，请求的MBS组播业务标识。 

接着进入步骤904，MBS服务器收到请求后，可以通过与AAA服务器交互，对该终端的MBS业务进行认证和/或用户认证，或确认该终端请求的MBS业务已经通过授权。若MBS服务器处已经有终端的MBS业务认证结果，则可以直接进行步骤905。 

如果终端通过认证/授权，且MBS服务器确认该终端想加入的MBS业务网络还未配置，进入步骤905，MBS服务器和MBS代理、一个MBS区内的所有BS进行网络侧MBS业务的配置过程。MBS业务的配置过程不在本发明的范围内，故此处不再赘述。通过该过程，网络侧为该MBS业务分配参数，预留资源，建立承载。 

MBS服务器在收到网络侧资源已建立成功的触发指示时，进入步骤906，MBS服务器向MBS代理发送MBS加入响应消息。该消息携带参数：用户标识符(如NAI)，策略结果，MBS业务标识等。MBS业务标识可以为FID，或MBS Contents ID，或组播IP地址/端口号等。 

接着进入步骤907，MBS代理向BS发送MBS加入响应消息。该消息携带参数：用户标识符(如MSID)，策略结果，MBS业务标识等。接着进入 步骤908。 

步骤908至步骤911与步骤607至步骤610相类似，在此不再赘述。 

至此，终端成功获取MBS组播参数，如果终端已经获取了MAK及其上下文等应用层信息，则可以在组播参数指示的承载上，根据MBS业务标识、MAK、安全密钥等接收对应的MBS业务。如果终端尚未获取MAK及其上下文，则可以向MBS服务网发送请求，获取MAK及其上下文。 

另外，本实施方式中MBS请求和响应消息的传递路径也可以是：终端<->BS<->Serving SFA<->Anchor SFA<->PF<->MBS服务器(<->AAA服务器)。在本实施方式中，MBS服务器和MBS代理同样可以合并为MBS服务器，即MBS服务器位于ASN GW上或者在ASN内作为独立网元，此时步骤903、步骤906可以省略。 

在本发明中，终端请求加入MBS业务流程消息传输路径可以有以下几种，由于其方法相类似，因此在以上实施方式中选择其中几种进行具体说明，其余就不一一具体阐述了。 

(1)终端<->服务ASN<->锚点SFA<->PF<->MBS服务器(<->AAA服务器) 

(2)终端<->服务ASN<->PF<->MBS服务器(<->AAA服务器) 

(3)终端<->服务ASN<->锚点SFA<->MBS服务器(<->AAA服务器) 

(4)终端<->服务ASN<->锚点数据通路功能(Data Path Function，简称“DPF”)/FA<->MBS服务器(<->AAA服务器) 

(6)终端<->服务ASN<->MBS服务器(<->AAA服务器) 

(7)终端<->服务ASN<->锚点DPF/FA<->AAA服务器 

(9)终端<->服务ASN<->AAA服务器 

(10)终端<->服务ASN<->锚点SFA<->AAA服务器 

(11)终端<->服务ASN<->锚点SFA<->PF<->AAA服务器 

(12)终端<->服务ASN<->PF<->AAA服务器 

本发明第五实施方式涉及MBS业务MAK的更新方法，具体如图10所示。 

在本实施方式中，MBS服务器或者第三方服务器侧和终端侧各自独立维护一个定时器，MBS服务器或者第三方服务器侧的定时器周期大于终端侧的定时器周期，二者均小于MAK的生命周期。 

当MBS服务器或者第三方服务器侧的MAK更新记时器启动后进入步骤1001，MBS服务器或者第三方服务器主动向终端发送更新的MAK及其上下文。 

接着进入步骤1002，终端收到最新更新的MAK及其上下文后，可选地向MBS服务器或者第三方服务器发送MAK更新确认消息。 

如果当终端侧的MAK更新定时器启动时，终端仍未获得更新的MAK及其上下文，则接着进入步骤1003，终端向MBS服务器或者第三方服务器发送MAK更新请求消息。 

接着进入步骤1004，MBS服务器或者第三方服务器收到该请求后，向终端发送更新的MAK及其上下文。 

其中，终端侧的MAK更新定时器可以使用TEK Grace Time定时器。 

下面对本发明第六实施方式进行说明，第六实施方式涉及移动通信网络，网络中包含MBS服务网和承载网，MBS服务网和承载网可以分别独立存在，如图11所示，或者两者合而为一，如图12所示，应用较为灵活。MBS服务网用于对终端的MBS业务进行认证，在认证通过后，向终端下发MBS授权密钥；承载网在终端请求的MBS业务经过授权通过后，向终端下发MBS 业务的组播参数和组播安全密钥，并指示终端在组播参数标识的承载上，通过MBS授权密钥和组播安全密钥生成的MBS业务密钥MTK接收对应的MBS业务。其中，MBS服务网可以在收到终端的请求时或满足预设条件时(如终端入网时或完成MBS资源配置或受到承载网的触发时)，向终端下发MBS授权密钥。承载网可以在请求终端加入MBS业务或收到终端请求加入MBS业务的消息时，下发MBS业务的组播参数和组播安全密钥。该承载网可进一步包含ASN、V-CSN、H-CSN之一或其任意组合；MBS服务网可进一步包含V-MBS服务器、H-MBS服务器、漫游AAA服务器、家乡AAA服务器，内容提供商、第三方应用服务器之一或其任意组合。MBS业务最终是通过承载网发送给终端的，在终端入网之前，承载网可能已经在发送MBS业务了。 

虽然通过参照本发明的某些优选实施方式，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。 

Claims (22)

1.一种通信***中终端加入组播广播业务的方法，其特征在于，包含以下步骤：

A所述终端从组播广播业务MBS服务网获取MBS授权密钥；

B所述终端从承载网获取所述MBS的组播参数和/或组播安全密钥；

C所述终端在所述组播参数指示的承载上，根据所述MBS授权密钥和所述组播安全密钥生成的MBS业务密钥接收对应的MBS；

所述步骤A、B以任意顺序执行。

2.根据权利要求1所述的通信***中终端加入组播广播业务的方法，其特征在于，所述MBS服务网在收到终端的请求或满足预设条件时，向所述终端下发所述MBS授权密钥。

3.根据权利要求2所述的通信***中终端加入组播广播业务的方法，其特征在于，所述MBS服务网在下发所述MBS授权密钥的同时，还下发MBS业务标识和/或所述MBS授权密钥的上下文信息。

4.根据权利要求2所述的通信***中终端加入组播广播业务的方法，其特征在于，所述MBS服务网在下发所述MBS授权密钥之前，对所述终端进行认证，在认证通过后，向所述终端下发所述MBS授权密钥。

5.根据权利要求2所述的通信***中终端加入组播广播业务的方法，其特征在于，所述预设条件为：终端入网；或网络侧完成MBS业务的配置过程；或受到承载网的触发。

6.根据权利要求2所述的通信***中终端加入组播广播业务的方法，其特征在于，在MBS授权密钥更新的时间段内，所述终端同时维护原MBS授权密钥和更新后的MBS授权密钥，在所述原MBS授权密钥解码失败时， 和/或更新后的MBS授权密钥解码成功时，所述新MBS授权密钥生效。

7.根据权利要求1所述的通信***中终端加入组播广播业务的方法，其特征在于，所述终端通过加入MBS业务的过程从所述承载网获取所述MBS组播参数和组播安全密钥，所述终端加入MBS业务的过程由网络侧发起，或由终端发起。

8.根据权利要求7所述的通信***中终端加入组播广播业务的方法，其特征在于，所述终端发起的加入MBS业务的流程包含以下步骤：

终端通过DSA-REQ消息发起加入MBS业务的过程，所述消息中携带MBS业务标识；

所述承载网通过DSA-RSP消息，将组播参数下发给所述终端。

9.根据权利要求7所述的通信***中终端加入组播广播业务的方法，其特征在于，所述网络侧发起的终端加入MBS业务的流程为：

所述承载网或MBS服务网向已经通过MBS业务认证的终端下发MBS加入请求消息，将其加入MBS业务；

所述承载网通过动态业务流添加过程将所述组播参数下发给该终端。

10.根据权利要求3或8所述的通信***中终端加入组播广播业务的方法，其特征在于，所述MBS业务标识为以下之一或其任意组合：

组播IP地址和端口号、MBS内容标识，授权令牌、MBS区标识。

11.根据权利要求8所述的通信***中终端加入组播广播业务的方法，其特征在于，承载网和/或MBS服务网在终端发起加入MBS业务的过程后，对终端进行MBS业务认证和/或用户认证。

12.根据权利要求11所述的通信***中终端加入组播广播业务的方法，其特征在于，所述的MBS业务认证方法是：承载网和/或MBS服务网根据所述终端的MBS业务签约信息和/或该终端的MBS业务认证结果进行策略。 

13.根据权利要求12所述的通信***中终端加入组播广播业务的方法，其特征在于，所述终端授权通过后，如果还需要组播安全密钥，则网络侧向所述终端下发所述组播安全密钥，所述组播安全密钥包含MBS组密钥加密密钥及其上下文和/或组密钥加密密钥及其上下文。

14.根据权利要求13所述的通信***中终端加入组播广播业务的方法，其特征在于，所述承载网将所述组播安全密钥及其上下文下发给所述终端之前，首先通知所述终端该MBS对应的安全联盟信息。

15.根据权利要求1至9中任一项所述的通信***中终端加入组播广播业务的方法，其特征在于，所述MBS的组播参数包含以下之一或其任意组合：MBS内容标识，MBS区标识，业务流标识，组播连接标识，MBS组安全联盟标识，服务质量参数。

16.根据权利要求11所述的通信***中终端加入组播广播业务的方法，其特征在于，承载网和/或MBS服务网确定所述终端通过MBS业务认证后，如果所述MBS的网络资源还未配置，则首先发起所述MBS业务网络侧的资源配置过程。

17.一种通信***，其特征在于，包含：

MBS服务网，用于向终端下发MBS授权密钥；

承载网，用于向终端下发所述MBS的组播参数和组播安全密钥，指示所述终端在所述组播参数指示的承载上，根据所述MBS授权密钥和所述组播安全密钥生成的MBS业务密钥接收对应的MBS。

18.根据权利要求17所述的通信***，其特征在于，所述MBS服务网在收到终端的请求或满足预设条件时，向所述终端下发所述MBS授权密钥。

19.根据权利要求17所述的通信***，其特征在于，所述MBS服务网还用于在下发所述MBS授权密钥之前，对所述终端的MBS业务进行认证，在认证通过后，向所述终端下发所述MBS授权密钥。 

20.根据权利要求17所述的通信***，其特征在于，所述承载网在终端加入MBS业务的过程中下发所述MBS的组播参数和组播安全密钥；

所述终端加入MBS业务的过程由终端发起，或由网络侧触发。

21.根据权利要求17所述的通信***，其特征在于，所述承载网还用于在下发所述MBS的组播参数和组播安全密钥之前，对所述终端进行认证，在认证通过后，向所述终端下发所述MBS的组播参数和组播安全密钥。

22.根据权利要求17至21中任一项所述的通信***，其特征在于，所述MBS服务网由以下之一或其任意组合组成：

漫游MBS服务器、家乡MBS服务器、漫游认证授权计费服务器、家乡认证授权计费服务器、内容提供商、第三方应用服务器；

所述MBS服务网与所述承载网独立存在，或合而为一；

所述承载网由以下之一或其任意组合组成：

接入服务网络、漫游连接服务网络、家乡连接服务网络。 

Images