CN109121469A

CN109121469A - 设备识别与认证的***和方法

Info

Publication number: CN109121469A
Application number: CN201780026809.3A
Authority: CN
Inventors: 纳坦·爱德华·坦尼; 金辉
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2016-05-06
Filing date: 2017-04-19
Publication date: 2019-01-01
Also published as: EP3446538A4; US20170325270A1; EP3446538A1; WO2017190590A1

Abstract

本发明提供一种为远程设备(remote device，简称RD)提供中继服务的方法，包括：接收来自所述RD的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与通信***的实体进行主动无线通信；限制来自所述RD的通信的中继服务；向网络节点发送包括所述中继服务请求的至少一部分的第一认证请求；接收确认所述RD的身份的第二认证响应；解除对来自RD的通信的中继服务的限制。

Description

设备识别与认证的***和方法

本发明申请要求于2016年5月6日递交的发明名称为“设备识别与认证的***和方法”的第15/148,771号美国非临时专利申请案的在先申请优先权，该在先申请的内容以引入的方式并入本文。

技术领域

本发明大体涉及数字通信，尤其涉及一种设备识别与认证的***和方法。

背景技术

远程设备(Remote device，简称RD)通常是带有嵌入式电子产品、软件、传感器的物件，以及使这些物件能够与操作员、制造商、用户和/或其它相连物件交换信息的连接。远程设备通常很小，由电池供电。例如，在未更换电池或无用户干预的情况下，感应操作(如天气、火灾、安防、健康、汽车等)使用的远程设备期望可以运行多年。同时，可能要求这些远程设备实物较小(以为便携，使其在有限的空间中部署等)，这可能限制其电池的可行尺寸。因此，电池寿命是一个重要的考虑因素。

虽然远程设备已连接，但其连接性通常仅限于短距离技术，例如PC5、蓝牙(BlueTooth，简称BT)，设备到设备(device-to-device，简称D2D)，临近服务(proximityservice，简称ProSe)等，以帮助最大程度减小功耗。即使对于能够进行更远距离通信的远程设备，也倾向使用短距离技术，因为这些技术通常比长距离技术功耗更小。因此，为了远程定位设备和/或服务，需要中间设备来中继与远程设备之间的通信。

发明内容

示例实施例提供用于设备识别与认证的***和方法。

根据示例实施例，提供了一种为通信***的远程设备(remote device，简称RD)提供中继服务的方法。该方法包括：中继设备接收来自RD的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与所述通信***的实体进行主动无线通信；所述中继设备限制来自所述RD的通信的中继服务；所述中继设备向网络节点发送包括所述中继服务请求的至少一部分的第一认证请求；所述中继设备接收确认所述RD的身份的第二认证响应；所述中继设备解除对来自RD的通信的中继服务的限制。

根据上述任一实施例的方法，所述RD通过先前建立的无线连接附着到所述通信***。

根据上述任一实施例的方法，限制所述中继服务包括阻断来自所述RD的所有通信，其中，所述中继服务请求还包括至少覆盖所述RD的标识的加密签名。

根据上述任一实施例的方法，中继服务请求还包括新鲜性参数。

根据上述任一实施例的方法，所述第一认证请求请求对所述加密签名进行认证。

根据上述任一实施例的方法，所述第一认证请求包括所述RD的标识和所述加密签名。

根据上述任一实施例的方法，限制所述中继服务包括：阻断除认证流程相关消息外的来自所述RD的所有通信。

根据上述任一实施例，该方法还包括：所述中继设备向RD发送第二认证请求；所述中继设备接收来自所述RD的第二认证响应；所述中继设备发送所述第二认证响应。

根据上述任一实施例，该方法还包括：所述中继设备根据所述RD的标识对RD应用准入控制。

根据上述任一实施例的方法，应用准入控制包括应用白名单、应用黑名单、提示所述中继设备的所有者以及检查所述中继设备订阅的至少一个。

根据另一示例实施例，提供了一种为通信***的远程设备(remote device，简称RD)提供中继服务的中继设备。所述中继设备包括：处理器和计算机可读存储介质，用于存储所述处理器执行的程序。所述程序包括用于使所述中继设备执行以下操作的指令：接收来自所述RD的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与所述通信***的实体进行主动无线通信；限制来自所述RD的通信的中继服务；向网络节点发送包括所述中继服务请求的至少一部分的第一认证请求；接收确认所述RD的身份的第二认证响应；解除对来自RD的通信的中继服务的限制。

根据上述任一实施例的设备，所述程序包括阻断来自所述RD的所有通信的指令，其中，所述中继服务请求还包括至少覆盖所述RD的标识的加密签名。

根据上述任一实施例的设备，所述中继服务请求还包括一个随机数。

根据上述任一实施例的设备，所述程序包括阻断除认证流程相关消息外的来自所述RD的所有通信的指令。

根据上述任一实施例的设备，所述程序包括用于向RD发送第二认证请求、从RD接收第二认证响应以及发送第二认证响应的指令。

根据上述任一实施例的设备，所述程序包括根据RD的标识对RD应用准入控制的指令。

根据上述任一实施例的设备，所述程序包括进行应用白名单、应用黑名单、提示所述中继设备的所有者以及检查所述中继设备订阅的至少一个的指令。

根据上述任一实施例的设备，所述中继设备和所述RD通过短距离无线连接进行连接，所述短距离无线连接不同于将所述中继设备连接到所述通信***的无线连接。

根据另一示例实施例，提供了一种非瞬时性计算机可读介质，用于存储处理器执行的程序。所述程序包括用于使所述中继设备执行以下操作的指令：接收来自远程设备(remote device，简称RD)的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与包括所述RD的通信***的实体进行主动无线通信；限制来自所述RD的通信的中继服务；向网络节点发送包括所述中继服务请求的至少一部分的第一认证请求；接收确认所述RD的身份的第二认证响应；解除对来自RD的通信的中继服务的限制。

根据上述任一实施例的计算机可读介质，所述程序包括阻断来自所述RD的所有通信的指令，其中，所述中继服务请求还包括至少覆盖所述RD的标识的加密签名。

根据上述任一实施例的计算机可读介质，所述程序包括阻断除认证流程相关消息外的来自所述RD的所有通信的指令。

根据上述任一实施例的计算机可读介质，所述程序包括用于向RD发送第二认证请求、从RD接收第二认证响应以及发送第二认证响应的指令。

根据上述任一实施例的计算机可读介质，所述程序包括根据RD的标识对RD应用准入控制的指令。

上述实施例的实践使得中继设备能够被告知中继设备正在进行中继的远程设备的标识和认证，使得中继设备可以继续或中断对远程设备的中继业务。

附图说明

为了更完整地理解本发明及其优点，现在参考下文结合附图进行的描述，其中：

图1示出了根据本文所述示例实施例的示例性无线通信***；

图2示出了根据本文所述示例实施例的示例性通信***，其中突显了中继UE为RD提供中继服务时RD和中继UE的相关信息分发；

图3示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，其中突显了中继服务的发起；

图4示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，其中突显了用于发起中继服务的第一直接路径解决方案；

图5示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，其中突显了用于发起中继服务的第一直接路径解决方案；

图6示出了根据本文所述示例实施例的在参与RD的通信配置的RD处发生的示例操作的流程图；

图7示出了根据本文所述示例实施例的在参与RD的通信配置的中继UE处发生的示例性操作的流程图；

图8示出了根据本文所述示例实施例的在参与RD的通信配置的核心网实体处发生的示例操作的流程图；

图9示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，其中突显了基于用于发起中继服务的技术进行认证；

图10示出了根据本文所述示例实施例的示例通信***，其中突显了中继UE、RD和MME/HSS的参数值和发生的处理；

图11示出了根据本文所述示例实施例的在参与RD的通信配置的RD处发生的示例操作的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术；

图12示出了根据本文所述示例实施例的在参与RD的通信配置的中继UE处发生的示例性操作的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术；

图13示出了根据本文所述示例实施例的在参与RD的通信配置的eNB处发生的示例性操作的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术；

图14示出了根据本文所述示例实施例的在参与RD的通信配置的核心网实体处发生的示例性操作的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术；

图15示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，其中突显了包括在认证之前暂时信任RD的身份的技术；

图16示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，其中突显了中继服务请求中TAU消息包含的UE上下文交换；

图17示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，突显了RD认证期间触发的UE上下文交换。

图18示出了根据本文所述示例实施例的通信***中发生的消息交换和处理的消息交换图，突显了涉及RD的标识的中继服务请求；

图19示出了用于执行本文所述方法的实施例处理***的框图；

图20示出了用于通过电信网络传输和接收信令的收发器的框图。

具体实施方式

以下详细论述当前示例实施例的操作和其结构。但应了解，本发明提供的许多适用发明概念可实施在多种具体环境中。所论述的具体实施例仅仅说明所述实施例的具体结构以及用于操作所述实施例的具体方式，而不应限制本发明的范围。

一实施例涉及用于设备识别与认证的***和方法。例如，中继设备接收来自RD的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与所述通信***的实体进行主动无线通信；限制来自所述RD的通信的中继服务；向网络节点发送包括所述中继服务请求的至少一部分的第一认证请求；接收确认所述RD的身份的第二认证响应；解除对来自RD的通信的中继服务的限制。

结合特定上下文中的示例实施例，即支持用于远程设备(remote device，简称RD)的中继通信的通信***来描述该实施例。该实施例可应用于符合标准的通信***，例如遵循第三代合作伙伴计划(3rd Generation Partnership Project，简称3GPP)和IEEE802.11等，遵循技术标准和非标准兼容，并支持用于RD的中继通信的通信***。

图1示出了示例性无线通信***100。无线通信***100包括服务于多个用户设备(user equipment，简称UE)，例如UE 110、UE 112和UE 114的演进型基站(evolved Node B，简称eNB)105。在蜂窝操作模式中，多个UE之间的通信通过eNB 105进行，而在机对机通信模式中，例如临近服务(proximity service，简称ProSe)操作模式，例如，UE之间可进行直接通信。eNB通常也可以被称为节点基站、控制器、基站、接入点等，而UE通常也可以被称为移动站、移动台、终端、用户、订户、站等。从eNB到UE的通信通常被称为下行通信，而从UE到eNB的通信通常被称为上行通信。

无线通信***100还包括网络实体，例如分组数据网络网关(PDN网关或P-GW)115，提供网络之间的互连，以及服务网关(serving gateway，简称S-GW)120，为用户所使用的数据包提供入口和出口点。无线通信***100还包括多个远程设备(远程设备，简称RD)，例如RD 125、RD 127和RD 129。所述多个RD可以包括传感器设备、可穿戴设备、智能设备等。可以理解的是，虽然通信***可以使用能够与多个UE和RD通信的多个eNB，但为了简洁起见，仅示出了一个eNB，若干UE和若干RD。

如上所述，RD的连接选项在范围上通常受限。例如，考虑到功耗，很可能许多RD将不具有中到长距离无线连接，例如3GPP LTE，更长距离IEEE 802.11WiFi技术，码分多址(Code Division Multiple Access，简称CDMA)等连通性。此外，由于功耗和/或无线电性能受限，与智能手机等典型的较长距离设备相比，即使是支持较长距离通信技术的RD，可能也会出现链路预算下降。因此，无线通信***中的UE可以作为服务于与RD之间中继通信的中继器。UE可以在短距离连接上连接到RDs，如PC5、蓝牙、临近服务、较短距离IEEE 802.11WiFi技术、D2D等连接，并在RD和远程定位服务和/或设备之间转发报文。提供中继服务的UE可称为中继UE。作为示例，UE 110充当RD 125和RD 127的中继，UE 112充当RD 127和RD 129的中继，通过eNB 105提供RD和远程定位服务130和/或设备135之间的连接。

中继UE可以为一个或多个RD提供中继服务，从RD接收报文，将所接收的报文转发给服务于中继UE的eNB，或从服务于UE的eNB接收报文，并将所接收的报文转发给各自的RD。单个中继UE支持的RD数量可能会迅速增长。例如，期望中继UE中继由UE的所有者拥有的RD，包括智能手表、智能眼镜、健身或活动***等的报文。中继UE还可以为可能在一天中遇到的其它RD中继报文。中继UE可以为每个RD使用单独的数据无线承载(data radio bearer，简称DRB)。

在许多情况下，RD和中继UE属于同一所有者，而RD使用中继UE的中继服务不需要特殊许可。然而，在某些情况下，中继UE也可中继他人拥有的RD的业务。作为说明性示例，RD可以由家庭成员拥有。作为另一个说明性示例，通信***的运营商可以提供“反向计费”激励。在中继UE为他人拥有的RD提供中继服务时，中继UE所有者可接收诸如服务信用、带宽信用等的激励。在这种情况下，在允许RD进入中继服务之前，需要得到中继UE所有者的某种形式的同意。

然而，当RD和中继UE首次在直接接口上进行联系时，中继UE只拥有RD的标识的文字。在某些时候，需要通过与通信***(例如核心网)的认证来确认RD的身份。尽管认证流程对提供给核心网的RD的标识进行认证，但是现有认证流程不通知中继UE认证结果。在实践中，中继UE需要被通知认证结果的信息，以便它可以确认或否认关于RD的原始准入决定是否正确。此外，应确认在两个过程中使用相同的标识(在中继UE处的RD身份确认和在核心网的RD认证)，即不应允许RD向中继UE宣布第一身份或向核心网宣布第二身份。基线行为可以涉及中继UE接受所宣布的RD的身份，并假设核心网处的认证将负责验证。若在这种情况下认证失败，核心网将拒绝RD的附着请求，RD应该停止尝试附着。然而，这种方法存在一些问题，包括：

-中继UE未深入了解RD与核心网之间的非接入层(non-access stratum，简称NAS)消息传递，因此中继UE不知道认证失败。因此，中继UE无法在其内部状态中兼顾认证结果，例如更新其允许的RD白名单或其不允许RD的黑名单。

-若RD的凭证有问题(或者RD是恶意的)，中继UE无法阻止RD不断重试其中继请求。这种被称为“喋喋不休的白痴”问题。核心网可以自动拒绝重复的认证请求，但是中继UE不知道这种情况正在发生，并且可能因为参与中继请求而浪费带宽和功率。若中继UE知道RD在核心网处的认证失败，则中继UE可以从一开始就立即对中继请求进行节流，从而减轻其自身资源的负担并消除由于RD行为不当导致的网络负担。

-无法确保RD向中继UE和核心网呈现相同的身份。例如，RD可以使用假身份(例如，声称为属于与中继UE相同的所有者的RD)来请求中继，但当在核心网进行认证时，RD将使用其自己的身份。这将造成关于中继UE的服务失窃，包括可能使用中继UE来传输恶意业务。

一般而言，当RD请求来自中继UE的中继服务时，中继UE(或中继UE的所有者)应控制是否接受中继请求。通常，中继UE的所有者可能只允许访问他们自己的RD，这种接受可能自动发生。所有者也可选择允许访问他人拥有的RD。在某些情况下，这一决定可能是持久性或永久性的。作为说明性示例，可以允许永久性地访问家庭成员和/或朋友的RD。在其它情况下，该决定可能是一次性授权，或只在有限的时间内进行。

如上所述，请求中继UE提供中继服务的RD需要向中继UE标明身份。然而，中继UE需要知道RD提供的标识是否准确。为验证RD的身份，假设RD具有关于核心网的凭证(用于认证的信息)，在许多情况下，可以为中继UE自己的订阅。凭证可以与中继UE的订阅相关联(例如，在所有者拥有RD和中继UE两者的情况下)。然而，认证流程也应适用于中继UE先前未知的RD。

图2示出了示例性通信***200，其中突显了中继UE为RD提供中继服务时RD和中继UE的相关信息分发。通信***200包括RD 205、中继UE 225、移动性管理实体(mobilitymanagement entity，简称MME)245和归属用户服务器(home subscriber server，简称HSS)265。在RD 205，该信息包括RD标识(RD identifier，简称RD ID)210和全球用户身份模块(universal subscriber identity module，简称USIM)凭证212。RD ID 210是唯一标识RD205的标识，例如RD 205的媒体访问控制地址，且USIM凭证212包括关于用于RD 205的访问认证的RD 205的信息。在中继UE 225，该信息包括白名单230、黑名单232以及中继UE标识(UE identifier，简称UE ID)和凭证234。白名单230包括中继UE 225将提供中继服务的RD的列表，黑名单232包括中继UE 225将不提供中继服务的RD的列表。UE ID和凭证232包括用于访问认证的中继UE 225的信息。

在MME 245中，该信息包括中继UE上下文250，其中包括有关中继UE 225的会话的信息，以及潜在的RD上下文252，其中包括关于RD 205(若存在)的会话状态的信息。在HSS265中，该信息包括中继UE概况270，其中包括影响中继UE 225如何体验服务的信息；以及RD概况272，其中包括影响RD 205如何体验服务的信息。

如图2所示，假定中继UE 225和RD 205连接到相同的HSS(即HSS 265)。若中继UE225和RD 205未连接到相同的HSS，则通信将包括与用于RD的合适的归属公共陆地移动网(home public land mobile network，简称HPLMN)的交互。若RD 205具有激活的核心网附件，则MME 245可以具有RD 205的上下文(RD上下文252)。值得注意的是，激活的核心网附件可以通过不同的MME而不是通过MME 245。

中继UE 225与RD 205之间的通信可能通过短距离无线接入技术(radio accesstechnology，简称RAT)进行，如PC5、蓝牙、临近服务、短距离IEEE 802.11WiFi技术、D2D等。这里介绍的示例实施例与用于提供中继UE 225到RD 205的连接的RAT无关。

图3示出了通信***中发生的消息交换和处理的消息交换图300，其中突显了中继服务的发起。消息交换图300显示了在RD 305、中继UE 310和核心网315处的消息交换和处理。RD305向中继UE 310发送中继请求(如事件320所示)。中继UE 310做出接受中继请求的决定(如事件325所示)。中继UE 310可能需要根据RD 305在中继请求中提供的信息，做出称为准入判决的决定。但中继UE 310可在之后的时间取消准入判决。

中继UE 310通过核心网315建立RD 305的无线承载(如事件330所示)。中继UE 310可能不需要建立支持RD 305的中继服务的所有数据无线承载(data radio bearer，简称DRB)，但中继UE 310建立了至少一个S1资源和信令无线电承载(signaling radio bearer，简称SRB)。中继UE 310将无线承载的配置信息发送到RD 305(如事件335所示)。中继UE 310中继RD 305与核心网315之间的通信(如事件340所示)。注意，RD 305使用现有技术进行认证的第一次机会是在事件340的中继通信期间。

图4示出了通信***中发生的消息交换和处理的消息交换图400，其中突显了用于发起中继服务的第一直接路径解决方案。消息交换图400显示了在RD 405、中继UE 407、用于RD的MME(MME for RD，简称MME-RD)409，用于中继UE的MME(MME for relay UE，简称MME-UE)411，用于中继UE的服务网关(serving gateway for relay UE，简称SGW-UE)413，以及用于RD的PDN网关(PDN gateway for RD，简称PGW-RD)415的消息交换和处理。直接路径指的是RD 405与核心网之间(例如，在RD 405和PGW-RD 415之间)呈现的现有连接，且不依赖于通过中继UE进行通信。

RD 405选择附近的中继UE(例如中继UE 407)，并发送具有RD 405的全局唯一的临时标识(globally unique temporary ID，简称GUTI)的相关性请求(事件420)。该相关性请求是认证设备，本情况下即为RD 405，的身份的请求的示例。若中继UE 407处于空闲状态，则中继UE 407通过发送服务请求消息到MME-UE 411进入连接状态(方框422)。中继UE 407还向MME-UE 411发送(例如转发)与RD 405的GUTI相关的请求(事件424)。MME-UE 411向MME-RD 409发送认证请求(事件426)。认证请求根据相关性请求生成。MME-RD 409向MME-UE411发送认证响应(事件428)。认证请求(事件426)和认证响应(事件428)可通过空中传送，但可能无法保证通信成功。

消息在MME-RD 409和HSS 417之间交换，以执行RD 405的身份认证和/或安全校验。应注意若RD 405没有与核心网的直接路径连接，则RD 405的认证(事件426)并非总是可能。若MME-RD 409无法认证RD 405(例如，由于HSS 417不可达、MME-RD 409中的上下文失效等等)，则RD 405的认证可以依赖于RD 405与MME-UE 411之间的NAS消息的交换。然而，若MME-UE 411没有用于RD 405的上下文信息，则NAS消息无法传递到RD 405或从RD 405传递。即使MME-RD 409和MME-UE 411实际上是在一个设备中，也不存在朝向中继UE 407的RD信令的S1无线电承载。

若RD 405认证通过，则MME-UE 411将进行校验，以确定中继UE 407是否可以根据中继UE 407的订阅为RD 405提供中继服务(方框432)。若MME-UE 411不能确定中继UE 407是否可以基于中继UE 407的订阅来提供中继服务，则MME-UE 411将RD 405的信息发送给中继UE 407(事件434)。该信息可以通过NAS消息发送。中继UE 407向所有者显示RD 405的信息，询问中继UE 407是否可以为RD 405进行中继(方框436)。中继UE 407将来自所有者的响应发送到MME-UE 411(事件438)。该响应可以通过NAS消息发送。应注意若中继UE 407将根据中继UE 407的订阅为RD 405进行中继，则不需要事件434、方框436和事件438(如444的范围所示)。若中继UE 407将为RD 405提供中继服务，则MME-UE 411将RD 405的标识(RD ID)与PC5认证密钥一起发送到中继UE 407(事件440)。中继UE 407和RD 405建立连接(事件442)。

然而，上述描述的过程未考虑到RD 405有可能需要初始认证以便在核心网中建立任意上下文。例如，若RD 405因为缺少支持硬件(例如，如果它是仅支持蓝牙设备)或者超出蜂窝覆盖范围，而缺少无线广域网(wireless wide area network，简称WWAN)，则可能发生这种情况。在这种情况下，RD 405需要与HSS 417交换信息以进行认证，但由于无WWAN了访问，所以RD 405无法进行。下文所述的其它方面示出了如何解决这一问题。

图5示出了通信***中的消息交换和处理的消息交换图500，其中突显用于发起中继服务的第一直接路径解决方案。消息交换图500显示了RD 505、中继UE 507、MME-RD 509、MME-UE 511、SGW-UE 513和PGW-RD 515的消息交换和进行的处理。

如图5所示，RD 505附着于MME-RD 509(方框520)。作为附着MME-RD 509的一部分，RD 505已经通过认证，其中可能包括上述讨论的要求(例如，涉及直接路径或新的认证流程，以及RD 505将如何进行第一次认证)。RD 505监测附近的中继UE(方框522)。例如，RD505可以测量附近中继UE传输的信号的信号强度。RD 505还可以监测附近UE发出的信息，例如服务发现信令消息，以确定其中哪一个UE可以提供中继服务。RD 505向MME-RD 509发送与中继UE ID列表、RD 505的GUTI和相应的信号状态相关的请求(事件524)。MME-RD 509从中继UE ID列表中选择ID(以及与ID关联的中继UE)(方框526)。ID的选择可根据，例如中继UE的订阅和RD 505的订阅以及信号状态来进行。

MME-RD 509向MME-UE 511发送相关性请求(可以为在事件524中接收的相关性请求或从事件524中接收的相关性请求中的信息导出的消息，例如，由MME-RD 509发送的相关性请求指示选择的中继UE ID以及RD GUTI)(事件528)。若中继UE 507处于空闲状态，则MME-UE 511寻呼中继UE 507(方框530)。MME-UE 511进行校验，以确定中继UE 507是否可以根据中继UE 507的订阅为RD 505提供中继服务(方框532)。若MME-UE 511不能确定中继UE507是否可以基于中继UE 507的订阅来提供中继服务，则MME-UE 511将RD 505的信息发送给中继UE 507(事件534)。该信息可以通过NAS消息发送。中继UE 507向所有者显示RD 505的信息，询问中继UE 507是否可以为RD 505进行中继(方框536)。中继UE 507将来自所有者的响应发送到MME-UE 511(事件538)。该响应可以通过NAS消息发送。应注意若中继UE 507将根据中继UE 507的订阅为RD 505进行中继，则不需要事件534、方框536和事件538(如548的范围所示)。

若中继UE 507将为RD 505提供中继服务，则MME-UE 511将RD 505的标识(RD ID)与PC5认证密钥一起发送到中继UE 507(事件540)。MME-UE 511向MME-RD 509发送相关性响应(事件542)。MME-RD 509向RD 505发送中继UE 507的标识(UE ID)和认证密钥(事件544)。中继UE 505和RD 505建立连接(事件546)。

如图5所示，由于尚未建立通过中继UE 507的路径，事件524和544中的NAS信令发生在直接路径上。此外，即使MME-RD 509和MME-UE 511实际为一个单台设备，MME-RD 509也没有朝向中继UE 507的S1无线承载。甚至在这样的情况下，MME-RD 509不知道将RD消息发送至哪里。此外，RD ID由MME-UE 511，而非RD 505提交给中继UE 507。因此，MME-RD 509可利用NAS完整性确认RD ID。MME-RD 509可能需要校验RD 505发送的GUTI是否与RD 505的标识匹配。应注意，该校验不是完整性校验，其仅提供发送方正确签署消息的证据，在完整性校验之外，MME-RD 509可能需要确认包含GUTI的消息字段的正确值。没有直接路径NAS信令，其它设备无法验证RD ID，且无法将RD ID发送到MME-RD 509。

根据一示例实施例，中继UE需要RD的加密签名(cryptographic signature，简称CS)以进行认证。例如，CS是由RD计算的消息认证码(message authentication code，简称MAC)。若RD先前未附着，则RD可以基于RD中可用的信息，例如在RD中提供或存储在诸如USIM的安全模块中的安全凭证生成CS。CS可以被传送到核心网进行认证，核心网将认证结果通知给中继UE。直到RD通过认证，否则RD的业务不被***接受。优选地，中继UE停止来自未认证的RD的业务，而非传送到网络或进一步要求资源来处理业务。

图6示出了在参与RD的通信配置的RD处发生的示例操作600的流程图。操作600可以指示在RD处发生的操作，例如RD 125、RD 127或RD 129，作为参与RD的通信配置的RD。操作600从RD向中继UE发送中继服务请求开始(方框605)。中继服务请求包括RD的标识(例如，RD ID)和RD的CS。可选地，中继服务请求包括新鲜性参数，例如随机数(选择的数值使得不太可能或不可能重复使用相同的值)，以建立加密函数以帮助防止重放攻击。作为一个示例，CS为MAC。或者，CS可以为覆盖RD的标识的任意加密序列。若与MME-UE不同，则RD ID指示与RD相关联的MME。RD ID的示例为RD的GUTI。若没有MME-RD或者MME-RD不支持RD认证流程，则RD可以提供永久ID，发送到HSS。若RD提供的RD ID与不支持RD认证流程的MME-RD相关联，则会产生错误结果。换句话说，RD需要知道其MME-RD是否支持RD认证流程。若MME-RD不支持RD认证流程，则RD可确定发送永久ID(例如，国际移动用户识别码(international mobilesubscriber identity，简称IMSI)，而非与MME-RD相关联的临时ID(例如GUTI)。

出于讨论目的，假设RD具有支持中继服务的有效订阅，允许中继UE向RD提供中继服务，并且CS认证成功。则RD从中继UE接收中继服务响应，该中继服务响应包括说明已接受RD的指示(方框610)。RD开始进行通信(方框615)。RD通过中继UE进行通信，通过与中继UE的短距离连接将报文中继到RD或从RD中继报文。

图7示出了在参与RD的通信配置的中继UE处发生的示例性操作700的流程图。操作700可以指示在中继UE处发生的操作，例如中继UE 110或中继UE 112，作为参与RD的通信配置的中继UE。

操作700从中继UE接收中继服务请求开始(方框705)。中继服务请求包括RD的标识(例如，RD ID)和RD的CS。可选地，中继服务请求包括新鲜性参数，其也用于生成CS。作为说明性示例，新鲜性参数可能为RD处生成的一个随机数。作为说明性示例，CS为MAC。或者，CS可以为覆盖RD标识的任意加密序列。

中继UE进行校验，以确定RD ID是否可接受于中继服务(方框710)。作为说明性示例，中继UE可以具有其将要服务的RD的白名单和/或其将不服务的RD的黑名单，以及利用白名单和/或黑名单进行校验，以确定RD ID是否可接受，有利于提高性能。实现这样一个列表中继UE可以大大降低配置中继服务的复杂性和时间。例如，中继UE可以校验RD ID是否在白名单中(即，RD ID可接受)来确定RD ID是否可接受，是否在黑名单中(即，RD ID不可接受)，或者两者都不在(即，RD ID的可接受性是不确定的，可能需要进一步的流程来最终确定是否向RD提供中继服务)，以确定RD ID是否可接受。注意，取决于实现方式，即使RD ID是可接受的(即，RD ID在白名单中)，中继UE仍然可以认证RD。这可能是必要的，因为恶意RD可能提供错误的RD ID。若RD ID不可接受，则中继UE可以简单地拒绝继续进行向RD提供中继服务的过程。中继UE还可以通知核心网其黑名单上的RD正在尝试获得中继服务。

若RD ID是可接受的(并且希望进行CS认证)，或者若RD ID未确定，则中继UE将中继服务请求转发到核心网以进行CS认证(方框715)。由于中继UE通常不具有认证CS所需的所有信息，因此中继UE将中继服务请求转发到核心网以执行CS认证。作为说明性示例，可以使用涉及核心网实体的S1-AP流程来执行用于确定CS是否有效的校验，该流程利用由RD使用的相同输入参数来生成本地版本CS，以进行比较。输入参数包括RD ID以及密钥，可选地，包括新鲜性参数。中继服务请求包括RD ID，可选地，包括新鲜性参数。密钥可长期或永久地提供给RD。密钥可以在RD和核心网实体(如HSS)中提供。一般来说，派生密钥优于永久分配的密钥。密钥的生成可以使用中继UE的标识来作为输入，使得密钥为RD-中继UE对专用。新鲜性参数可以用来帮助防止密钥重复。新鲜性参数可以基于时间。或者，中继UE可以选择任意值作为新鲜性参数，其对于RD中继UE对来说是唯一的。当生成CS以供比较时，RD可以提供第二个新鲜性参数，例如第二随机数。

中继UE从核心网接收CS认证校验的结果(方框720)。若CS未被成功认证，则中继UE可以将RD ID添加到黑名单，并且中继UE可以拒绝继续进行向该RD提供中继服务的过程。若CS已经成功认证，则中继UE执行校验以确定中继UE是否应该准入该RD(方框725)。作为说明性示例，中继UE可以查询中继UE的所有者，以确定所有者是否同意中继UE向RD提供中继服务。作为替代的说明性示例，若CS已经被认证功并且RD在白名单中，则将准入RD而不必向所有者查询许可。或者，如果RD已经被认证成功，但RD不在白名单中，则中继UE可以针对为RD提供中继服务向所有者查询。若已经准入RD，则中继UE向RD发送中继服务响应，中继服务响应包括中继UE同意向RD提供中继服务的指示(方框730)。一旦建立中继服务，RD就可以立即开始发送和/或接收业务。中继UE开始将业务中继到RD和从RD中继业务(方框735)。

图8示出了在参与RD的通信配置的核心网实体处发生的示例操作800的流程图。操作800可以指示在核心网实体处发生的操作，例如MME或HSS，作为核心网中参与RD通信配置的实体。

核心网实体从中继UE接收中继业务请求(方框805)。中继服务请求包括RD的标识(例如，RD ID)和RD的CS。可选地，中继服务请求包括新鲜性参数。核心网实体使用RD的安全上下文和中继服务请求中包含的信息校验CS(方框810)。作为说明性示例，核心网实体使用S1-AP流程(CS认证流程)来根据RD ID、与RD相关联的密钥以及可选地，新鲜性参数生成本地CS。核心网实体将本地CS与中继服务请求中包含的CS进行比较。如果它们匹配，CS认证通过。如果它们不匹配，CS认证不通过。如果将参数提供给MME-RD，则CS认证流程可以在HSS或MME-RD中执行。

核心网实体向中继UE发送CS认证校验结果(方框815)。出于讨论目的，假定CS认证成功。核心网实体通过中继UE开始与RD通信(方框820)。

图9示出了在通信***中发生的消息交换和处理的消息交换图900，其中突显了基于用于发起中继服务的的技术进行认证。消息交换图900显示在RD 905、中继UE 907、核心网909和演进型分组核心网(evolved packet core，简称EPC)911发生的消息交换和处理。核心网909至少包括MME(用于RD 905和中继UE 907的MME可能不同)和HSS。

RD 905向中继UE 907发送中继服务请求(事件920)。中继服务请求包括与RD 905相关联的RD ID，由RD 905生成的CS，以及可选地，新鲜性参数。中继UE 907请求核心网909进行MAC校验(即CS认证)(事件922)。中继UE 907在请求中发送CS和RD ID(以及可选地，新鲜性参数)。核心网909根据关于RD的安全性上下文的请求中提供的RD ID(以及可选地，新鲜性参数)来认证CS(方框924)。核心网909可以使用上述讨论的CS认证流程。核心网909使用CS认证流程和RD ID，密钥(先前提供的)以及可选地，新鲜性参数来生成本地CS。核心网909将本地CS与在中继服务请求中接收的CS进行比较。若它们匹配，则CS认证通过，若它们不匹配，则CS认证未通过。核心网909将MAC校验(即，CS认证)的结果发送到中继UE 907(事件926)。若CS已认证通过(并且因此RD 905也认证通过)，则中继UE 907执行准入控制(方框928)准入控制可以包括提示中继UE 907的所有者以获得许可。或者，若RD 905在白名单中，则若RD 905通过认证，准入控制可以自动进行。中继UE 907发送指示中继UE 907接受为RD905进行中继的响应消息(事件930)。涉及RD 905的正常通信开始(事件932)。

图10示出了示例通信***1000，其中突显了中继UE 1005、RD 1007和MME/HSS1039的参数值和发生的处理。中继UE 1005具有第一新鲜性参数(示为第一随机数((NONCE_1))1011和存储在存储器中的UE标识(UE ID)1013。在发现过程中，通过发现信令1009与RD1007交换第一新鲜性参数1011和UE ID 1013，从而RD 1007将第一新鲜性参数(在第一随机数1015中)和UE ID(在UE ID 1017中)的副本存储在存储器中。RD 1007可以利用密钥导出函数(key derivation function，简称KDF)1021和由HSS提供的密钥(K_RD)1019，连同例如第一随机数1015和UE ID 1017一起生成会话密钥(K_SESSION)1023。CS生成器1029根据会话密钥1023、第二新鲜性参数(示为第二随机数(NONCE_2))1025以及RD标识(RD ID)1027生成CS 1031，例如，MAC。

RD 1007向中继UE 1005发送中继服务请求1033。中继服务请求1033包括RD ID1027、CS 1031以及可选地，第二随机数1025，这些作为第一参数1035由中继UE 1005存储在存储器中。中继UE 1005通过向MME/HSS 1039发送RD校验请求1037来请求MME/HSS 1039进行RD校验。RD校验请求1037包括第一参数1035(CS 1031、RD ID 1027以及第二随机数1025)、第一随机数1011以及UE ID 1013，这些作为第二参数1041存储在存储器中。RD校验请求1037可以使MME/HSS 1039通过存储在第二参数1041中的数值进行CS认证流程。CS认证流程可以包括：MME/HSS 1039通过KDF 1051根据参数第一随机数和UE ID 1047，以及HSS(K_RD)1049提供的用于RD 1007的密钥来生成会话密钥1053。CS生成器1045通过会话密钥1053以及第二参数1041中的RD ID和第二随机数1043生成本地CS(存储在本地CS 1057中)。比较器1055将本地CS 1057中的本地CS与来自第二参数1041的CS(存储在CS 1059中)进行比较，并将比较结果提供给UE 1005。

根据示例实施例，中继UE暂时信任RD已经提供了良好的身份，即，与用于RD和核心网之间的认证的RD ID匹配的身份，但随后验证了RD的身份，以确保RD提供的身份是良好的。除了认证消息之外，中继UE不中继来自RD的消息，直到RD的身份被验证。作为说明性示例，当中继UE从RD接收到中继服务请求时，中继UE暂时信任RD提供的身份并开始准入控制。中继UE中继关于认证流程而交换的消息，但不中继其它消息。作为示例，中继UE将认证请求消息中继到RD并且中继来自RD的认证响应消息，但是除非RD被成功认证，否则不中继任何其它消息。

图11示出了在参与RD的通信配置的RD处发生的示例操作1100的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术。操作1100可以指示RD参与RD的通信配置时在RD处发生的操作，其中突显了在认证RD的身份之前暂时信任RD的身份的技术。

操作1100由RD向中继UE发送具有RD的标识(例如RD ID)的中继服务请求开始(方框1105)。RD从中继UE接收认证请求(方框1110)。RD向中继UE回复认证响应(方框1115)。认证请求和认证响应可以是在认证流程期间交换的标准认证消息，例如在诸如LTE和UMTS的各种蜂窝***中使用的认证密钥协商(AKA)流程中交换的标准认证消息。认证请求可以源自核心网实体，例如MME或HSS。在将认证请求转发到RD之后，中继UE允许RD发送单个消息，即认证响应。其它所有通过中继UE从RD到其它目的地的消息都被阻断。一旦认证流程成功完成，中继操作就由中继UE中继去往和来自RD的消息开始(方框1120)。

图12示出了在参与RD的通信配置的中继UE处发生的示例性操作1200的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术。操作1200可以指示中继UE参与RD的通信配置时在中继UE处发生的操作，其中突显了在认证RD的身份之前暂时信任RD的身份的技术。

操作1200开始于中继UE从RD接收中继服务请求(方框1205)。中继服务请求包括RD的标识，例如RD ID。中继UE还执行UE的准入控制(方框1205)。准入控制可以包括：中继UE利用可接受的RD的白名单和/或不可接受的RD的黑名单中的信息来校验由RD提供的RD ID。若RD ID在白名单中或不在黑名单中，则中继UE还可以提示中继UE的所有者，以询问确认关于中继UE向RD提供中继服务。可能会记住所有者的响应，但白名单和/或黑名单尚未更新。准入控制还可以包括：中继UE检查自己的订阅和/或许可信息，以确定其是否可以向RD提供中继服务。也可能存在对无线接入技术的依赖，例如，对于PC5，可能需要eNB许可，但对于蓝牙则不然。

若RD通过准入控制，则中继UE转发中继服务请求(方框1210)。中继服务请求可以被转发到服务于中继UE的eNB，然后eNB将中继服务请求发送到核心网实体，例如MME或HSS。中继UE可以用封装了初始UE消息的新消息的形式将中继服务请求发送到eNB。中继UE接收认证请求(方框1215)。认证请求可以在来自核心网实体的NAS消息中。转发中继服务请求和接收认证请求可为RD分配资源，例如，RD的S1承载，由eNB标识为S1AP UE ID。中继UE将认证请求转发到RD(方框1215)。

在中继UE将认证请求转发到RD之后，中继UE能够从RD中继单个消息(方框1220)。在认证RD之前中继UE将为RD中继的单个消息可以为认证响应，其是RD对中继UE转发到RD的认证请求的响应。中继UE从RD接收认证响应(方框1225)。中继UE中继认证响应并停止对来自RD的任何其他消息的中继，直到RD被认证(方框1230)。注意，尽管中继UE暂时信任RD，但中继UE将不中继来自RD的任何消息，直到中继UE从核心网实体(例如MME或HSS)接收到认证请求为止。且此后将仅从RD中继单个消息(即认证响应)。中继UE接收认证结果并校验认证结果(方框1235)。认证结果可以从核心网实体接收，且可以包括RD的标识。中继UE对照从RD接收到的中继服务请求中RD提供的标识，校验认证结果中提供的RD的标识。如果标识匹配，中继UE为RD启用中继服务，并提交RD响应(框1240)。中继UE可以更新白名单和/或黑名单，并且若接收到认证结果，则考虑中继UE的所有者的响应。中继操作开始(方框1245)。

图13示出了在参与RD的通信配置的eNB处发生的示例性操作1300的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术。操作1300可以指示eNB参与RD的通信配置时在eNB处发生的操作，其中突显了在认证RD的身份之前暂时信任RD的身份的技术。

操作1300从eNB自中继UE接收中继服务请求开始(方框1305)。中继服务请求可以用封装了初始UE消息的新消息的形式接收。eNB参与RD资源的建立(方框1310)。eNB可以参与RD的S1承载的建立。eNB中继来自核心网实体的认证请求，例如MME或HSS(方框1315)。认证请求通过中继UE中继给RD。eNB中继认证响应(方框1320)。eNB通过中继UE从RD接收认证响应，并向核心网实体转发认证响应。eNB中继认证结果(方框1325)。中继通信开始(方框1330)。

图14示出了在参与RD的通信配置的核心网实体处发生的示例性操作1400的流程图，其中突显了包括在认证之前暂时信任RD的身份的技术。操作1400可以指示核心网实体，如MME或HSS参与RD的通信配置时在核心网实体处发生的操作，其中突显了在认证RD的身份之前暂时信任RD的身份的技术。

操作1400以实体参与RD的资源设置的开始(方框1405)。实体和服务于中继UE的eNB可以为RD建立S1承载。作为资源建立的结果，eNB S1AP UE ID被建立，其允许将NAS消息从实体路由到eNB。实体获取RD的安全上下文(方框1410)。例如，实体可以从RD的HSS获取安全上下文。实体向中继UE发送认证请求(方框1415)。认证请求可以通过使用RD的资源设置路由的NAS消息发送到中继UE。实体通过中继UE从RD接收认证响应(方框1420)。可以从通过RD的资源设置进行路由的NAS消息中接收认证响应。实体根据认证响应中包含的信息对RD进行认证(方框1425)。实体发送认证结果(方框1430)。中继通信开始(方框1435)。

图15示出了通信***中发生的消息交换和处理的消息交换图1500，其中突显了包括在认证之前暂时信任RD的身份的技术。消息交换图1500显示了RD 1505、中继UE 1507、核心网1509和MME/HSS 1511发生的消息交换和处理。

RD 1505向中继UE 1507发送中继服务请求(事件1520)。中继服务请求包括RD的标识，例如RD ID。中继UE 1507根据RD ID执行准入控制(方框1522)。准入控制可以包括比较RD ID与白名单和/或黑名单中的信息，提示中继UE 1507的所有者，校验中继UE 1507的订阅和/或权限等。中继UE 1507将中继服务请求转发给eNB 1509(事件1524)。中继服务请求可以用封装了初始UE消息的新消息的形式转发。eNB 1509为RD 1505建立资源(事件1526)。RD 1505的资源是通过eNB 1509和MME/HSS 1511之间交换的消息建立起来的。除了为RD1505建立资源外，MME/HSS 1511还获得RD 1505的安全上下文(方框1528)。例如，RD 1505的安全上下文从HSS中获取。

MME/HSS 1511通过中继UE 1507向RD 1505发送认证请求(事件1530)。认证请求可以通过NAS消息发送到中继UE 1507。中继UE 1507将认证请求转发到RD 1505(事件1532)。中继UE 1507为一个消息进行中继(方框1534)。例如，中继UE 1507将中继的一个消息为对应于认证请求的认证响应。在准入控制的范围1546期间(方框1522)启用中继(方框1534)，中继UE 1507不进行RD 1505的业务中继。RD 1505向中继UE 1507发送认证响应(事件1536)。中继UE 1507向MME/HSS 1511中继认证响应，同时阻断任何其它去往或来自RD 1505的消息(方框1538)。MME/HSS 1511利用RD 1505在认证响应中提供的信息进行认证，并将认证结果发送给中继UE 1507(事件1540)。例如，中继UE 1507可以通过检查事务标识来确定认证请求和认证结果是相关的。出于讨论目的，假定RD 1505通过认证，中继UE 1507允许RD1505的业务中继，并提交所有者关于准入控制的响应(方框1542)。通信开始(事件1544)。

当与中继UE(MME-UE)相关联的MME不具有RD的安全性上下文时，可能需要一些额外的处理。在第一种情况下，若RD提供可用于识别另一MME(MME-RD)的标识，例如遵循3GPPLTE的通信***中的GUTI，则MME-UE可以能够从MME-RD获得安全上下文。若MME-UE在中继服务请求转发期间获得安全性上下文，则可以使用跟踪区更新(tracking area update，简称TAU)，因为用于检索UE上下文的通用分组无线业务(general packet radio service，简称GPRS)隧道协议(GPRS tunneling protocol，简称GTP)信令存在于两个MME间的接口，并要求包含来自TAU消息的信息。但是，若没有TAU消息，当前的技术标准不允许UE上下文交换。

根据示例实施例，包括用于UE上下文交换的必要参数的TAU消息包含在中继服务请求中。此外，在为RD建立资源时，TAU消息作为初始UE消息从eNB发送到MME-UE。

图16示出了通信***中发生的消息交换和处理的消息交换图1600，其中突显了中继服务请求中TAU消息包含的UE上下文交换。消息交换图1600显示了在RD 1605、中继UE1607、eNB 1609、MME-UE 1611以及MME-RD 1613处发生的消息交换和处理。

消息交换图1600的方框1620显示了处理中继服务请求时交换的消息。中继服务请求可以是将TAU消息发送到MME-UE 1611的方式。中继服务请求包括：RD 1605向中继UE1607发送携带TAU消息的中继服务请求(事件1622)。TAU消息可以包括涉及MME-RD 1613的RD 1605的GUTI。中继UE 1607将携带TAU消息的中继服务请求转发到eNB 1609(事件1624)。携带NAS协议数据单元(protocol data unit，简称PDU)的无线资源控制(radio resourcecontrol，简称RRC)消息可以用于转发携带TAU消息的中继服务请求。eNB1609将TAU消息作为初始UE消息发送给MME-UE 1611(事件1626)。初始UE消息用于为RD 1605建立eNB S1APUE ID。作为TAU消息和其中包括的GUTI的结果，MME-UE 1611能够识别MME-RD 1613并执行UE上下文传送1628，包括UE上下文请求1630和UE上下文响应1632。消息交换图1600的方框1634显示了交换的消息和在认证期间执行的处理。认证以如前所述的方式进行，并且若MME-UE 1611不能在UE上下文传送1628中检索UE上下文，则MME-UE 1611能够在方框1636中检索UE上下文。换句话说，若MME-UE 1611不能连接MME-RD 1613，则MME-UE 1611可能能够在RD 1605的认证期间从HSS检索UE上下文。消息交换图1600还包括方框1638和RD 1605的通知。

根据另一示例实施例，若UE上下文请求在TAU消息交换期间失败，MME-UE在RD认证期间触发UE上下文交换。若安全上下文请求在实际TAU消息交换期间失败，则MME-UE可以在RD的认证期间直接触发与RD的HSS的UE上下文交换。在该示例实施例中，即使没有正在进行的TAU流程，也可同样地直接触发与HSS的UE上下文交换。

图17示出了通信***中发生的消息交换和处理的消息交换图1700，突显了RD认证期间触发的UE上下文交换。消息交换图1700显示在RD 1705、中继UE 1707、eNB 1709和MME-UE 1711处发生的消息交换和处理。

消息交换图1700的方框1720显示中继服务请求中交换的消息。消息交换图1700的方框1722显示交换的消息和RD认证期间执行的处理。在RD认证期间，MME-UE 1711从与RD1705的HSS获得RD 1705的UE上下文(方框1724)，而无需首先尝试从可能存在的MME-RD检索UE上下文。MME-UE 1711的操作类似在中继服务请求失败或未发生之后执行的UE上下文交换。应注意，由于UE上下文在没有MME-RD的情况下进行交换，因此在消息交换图1700中呈现的技术可在RD 1705与核心网之间不存在直接连接的情况下操作。换句话说，消息交换图1700可在RD 1705初始附着到核心网期间操作。消息交换图1700还包括方框1726和RD 1705的通知。

根据另一示例实施例，在没有TAU消息交换的情况下，允许UE上下文请求和响应交互。中继服务请求包括GUTI或永久RD ID，其可以由MME-UE用于从MME-RD请求RD的UE上下文。若UE上下文传送失败或未发生，则可以在RD认证期间检索UE上下文。

图18示出了通信***中发生的消息交换和处理的消息交换图1800，突显了涉及RD的标识的中继服务请求。消息交换图1800显示在RD 1805、中继UE 1807、eNB 1809、MME-UE1811和MME-RD 1813处发生的消息交换和处理。

消息交换图1800的方框1820显示中继服务请求中交换的消息。中继服务请求包括涉及MME-RD 1813的标识，如GUTI或永久标识。中继服务请求是将标识发送到MME-UE 1811的方式。中继服务请求包括：RD 1805向中继UE 1807发送携带标识的中继服务请求(事件1822)。在RRC消息中将标识转发到例如eNB 1809，eNB 1809将初始UE消息中的标识发送到MME-UE 1811。作为初始UE消息和其中包括的标识的结果，MME-UE 1811能够识别MME-RD1813并执行UE上下文传送1822，而无需伴随的TAU流程，具体地，不包括与UE上下文传送1822的上下文请求消息中的TAU消息有关的有效信息。

若UE上下文传送1822失败或未发生，则UE上下文可以由MME-UE 1811在RD认证1824期间从HSS获得(方框1826)消息交换图1800还包括方框1826和RD 1805的通知。

图19示出了用于执行本文所述方法的实施例处理***1900的框图，该***可以安装在主机设备中。如图所示，处理***1900包括处理器1904、存储器1906和接口1910至1914，其可以(或可以不)如图19所示布置。处理器1904可以为任意组件或组件集合，用于执行计算和/或其它处理相关任务，存储器1906可以为用于存储由处理器1904执行的程序和/或指令的任意组件或组件集合。在一个实施例中，存储器1906包括非瞬时性计算机可读介质。所述接口1910、1912和1914可以为使所述***1900与其它设备/组件和/或用户进行通信的任意组件或组件集合。例如，接口1910、1912和1914中的一个或多个可用于将数据、控制或管理消息从处理器1904传送到安装在主机设备和/或远程设备上的应用程序。作为另一示例，接口1910、1912和1914中的一个或多个可用于允许用户或用户设备(例如个人计算机(personal computer，简称PC)等)与处理***1900交互/通信。处理***1900可以包括图19中未示出的附加组件，例如长期存储器(如非易失性存储器等)。

在一些实施例中，处理***1900包括在正在接入电信网络或作为电信网络的一部分的网络设备中。在一个示例中，处理***1900位于无线或有线电信网络中的网络侧设备中，例如基站、中继站、调度器、控制器、网关、路由器、应用服务器或电信网络中的任何其它设备。在其它实施例中，处理***1900位于访问无线或有线电信网络的用户侧设备中，例如移动站、用户设备(user equipment，简称UE)、个人计算机(personal computer，简称PC)、平板、可穿戴通信设备(例如智能手表等)，或任何其它用于访问电信网络的设备。

在一些实施例中，一个或多个接口1910、1912、1914将处理***1900连接到用于通过电信网络发送和接收信令的收发器。图20示出了用于通过电信网络传输和接收信号的收发器2000的框图。收发器2000可以安装在主机设备中。如图所示，收发器2000包括网络侧接口2002、耦合器2004、发射机2006、接收机2008、信号处理器2010和设备侧接口2012。网络侧接口2002可以包括用于通过无线或有线电信网络发送或接收信令的任意组件或组件集合。耦合器2004可以包括用于促进网络侧接口2002上的双向通信的任意组件或组件集合。发射机2006可以包括用于将基带信号转换成适合通过网络侧接口2002传输的调制载波信号的任意组件或组件集合(例如上变频器、功率放大器等)。接收器2008可以包括用于将通过网络侧接口702接收的载波信号转换为基带信号的任意组件或组件集合(例如下变频器，低躁声放大器等)。信号处理器2010可包括用于将基带信号转换为适合通过设备侧接口(2012)进行通信的数据信号的任意组件或组件集合，或反之亦然。设备侧接口2012可以包括用于在信号处理器2010与主机设备内的组件(例如处理***1900、局域网(local areanetwork，简称LAN)端口等)之间传送数据信号的任意组件或组件集合。

收发器2000可以通过任何类型的通信媒介传输和接收信令。在一些实施例中，收发器2000通过无线介质传输和接收信令。例如，收发器2000可以为用于根据无线电信协议进行通信的无线收发器，例如蜂窝协议(例如长期演进(Long Term Evolution，简称LTE)等)、无线局域网(wireless local area network，简称WLAN)协议(例如Wi-Fi等)，或任何其它类型的无线协议(例如蓝牙、近距离无线通信技术(Near Field Communication，简称NFC)等)。在这些实施例中，网络侧接口2002包括一个或多个天线/辐射元件。例如，网络侧接口2002可以包括单个天线、多个单独的天线、或者配置用于多层通信的多天线阵列，例如，单收入多输出(single-input multiple-output，简称SIMO)，多输入单输出(multiple-input-single-output，简称MISO)、多输入多输出(multiple-input multiple-output，简称MIMO)等。在其它实施例中，收发器2000通过有线介质，例如双绞线电缆、同轴电缆、光纤等传输和接收信令。特定处理***和/或收发器可以利用所示的所有组件，或者仅利用组件的子集，且集成水平可以随设备而变化。

应了解，本文提供的实施例方法的一个或多个步骤可由对应单元或模块执行。例如，信号可以由传输单元或传输模块传输。信号可以由接收单元或接收模块接收。信号可以由处理单元或处理模块处理。其它步骤可以由限制单元/模块、无限制单元/模块，和应用单元/模块执行。各单元/模块可以是硬件、软件或其组合。例如，一个或多个单元/模块可以为集成电路，例如现场可编程门阵列(field programmable gate array，FPGA)或专用集成电路(application-specific integrated circuit，简称ASIC)。

虽然已详细地描述了本发明及其优点，但是应理解，可以在不脱离如所附权利要求书所界定的本发明的精神和范围的情况下对本发明做出各种改变、替代和更改。

Claims

1.一种向通信***的远程设备(remote device，简称RD)提供中继服务的方法，其特征在于，该方法包括：

中继设备接收来自所述RD的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与所述通信***的实体进行主动无线通信；

所述中继设备限制来自所述RD的通信的中继服务；

所述中继设备向网络节点发送包括所述中继服务请求的至少一部分的第一认证请求；

所述中继设备接收确认所述RD的身份的第二认证响应；

所述中继设备解除对来自RD的通信的中继服务的限制。

2.根据权利要求1所述的方法，其特征在于，所述RD通过先前建立的无线电连接附着到所述通信***。

3.根据权利要求1所述的方法，其特征在于，限制所述中继服务包括阻断来自所述RD的所有通信，其中，所述中继服务请求还包括至少覆盖所述RD的标识的加密签名。

4.根据权利要求3所述的方法，其特征在于，所述中继服务请求还包括一个新鲜性参数。

5.根据权利要求3所述的方法，其特征在于，所述第一认证请求请求对所述加密签名进行认证。

6.根据权利要求3所述的方法，其特征在于，所述第一认证请求包括所述RD的标识和所述加密签名。

7.根据权利要求1所述的方法，其特征在于，限制所述中继服务包括：阻断除认证流程相关消息外的来自所述RD的所有通信。

8.根据权利要求7所述的方法，其特征在于，还包括：

所述中继设备向RD发送第二认证请求；

所述中继设备接收来自所述RD的第二认证响应；

所述中继设备发送所述第二认证响应。

9.根据权利要求1所述的方法，其特征在于，还包括：

所述中继设备根据所述RD的标识对RD应用准入控制。

10.根据权利要求9所述的方法，其特征在于，应用准入控制包括应用白名单、应用黑名单、提示所述中继设备的所有者以及检查所述中继设备订阅的至少一个。

11.一种中继设备，用于向通信***的远程设备(remote device，简称RD)提供中继服务，其特征在于，所述中继设备包括：

处理器；

计算机可读存储介质，用于存储所述处理器执行的程序，所述程序包括用于使所述中继设备执行以下操作的指令：

接收来自所述RD的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与所述通信***的实体进行主动无线通信；

限制来自所述RD的通信的中继服务；

向网络节点发送包括所述中继服务请求的至少一部分的第一认证请求；

接收确认所述RD的身份的第二认证响应；

解除对来自RD的通信的中继服务的限制。

12.根据权利要求11所述的中继处理器，其特征在于，所述程序包括阻断来自所述RD的所有通信的指令，其中，所述中继服务请求还包括至少覆盖所述RD的标识的加密签名。

13.根据权利要求12所述的方法，其特征在于，所述中继服务请求还包括一个随机数。

14.根据权利要求11所述的中继设备，其特征在于，所述程序包括阻断除认证流程相关消息外的来自所述RD的所有通信的指令。

15.根据权利要求11所述的中继设备，其特征在于，所述程序包括用于向RD发送第二认证请求、从RD接收第二认证响应以及发送第二认证响应的指令。

16.根据权利要求11所述的中继设备，其特征在于，所述程序包括根据RD的标识对RD应用准入控制的指令。

17.根据权利要求16所述的中继设备，其特征在于，所述程序包括进行应用白名单、应用黑名单、提示所述中继设备的所有者以及检查所述中继设备订阅的至少一个的指令。

18.根据权利要求11所述的中继设备，其特征在于，所述中继设备和所述RD通过短距离无线连接进行连接，所述短距离无线连接不同于将所述中继设备连接到所述通信***的无线连接。

19.非瞬时性计算机可读介质，用于存储处理器执行的程序，所述程序包括指令，用于：

接收来自远程设备(remote device，简称RD)的中继服务请求，所述中继服务请求至少包括所述RD的标识，所述RD不与包括所述RD的通信***的实体进行主动无线通信；

限制来自所述RD的通信的中继服务；

接收确认所述RD的身份的第二认证响应；

解除对来自RD的通信的中继服务的限制。

20.根据权利要求19所述的非瞬时性计算机可读介质，其特征在于，所述程序包括阻断来自所述RD的所有通信的指令，其中，所述中继服务请求还包括至少覆盖所述RD的标识的加密签名。

21.根据权利要求19所述的非瞬时性计算机可读介质，其特征在于，所述程序包括阻断除认证流程相关消息外的来自所述RD的所有通信的指令。

22.根据权利要求19所述的非瞬时性计算机可读介质，其特征在于，所述程序包括用于向RD发送第二认证请求、从RD接收第二认证响应以及发送第二认证响应的指令。

23.根据权利要求19所述的非瞬时性计算机可读介质，其特征在于，所述程序包括根据RD的标识对RD应用准入控制的指令。