CN111988782B - 安全会话方法和装置 - Google Patents

Abstract

本申请实施例提供了一种安全会话方法和装置，以期能够考虑更多的应用场景，满足不同的业务需求，提高用户体验。该方法可以包括：接入网设备接收会话管理网元发送的会话请求消息，该会话请求消息携带终端设备的用户面安全策略以及第一速率的信息；在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备可以基于会话请求消息中的用户面安全策略或者指示信息，按照第二速率激活完整性保护，其中，第二速率低于第一速率。

Description

安全会话方法和装置

技术领域

本申请涉及无线通信领域，并且更具体地，涉及安全会话方法和装置。

背景技术

移动通信的安全问题正越来越多地受到关注。在第五代(5th Generation，5G)通信***中，增加了终端设备和接入网设备(如基站)之间的用户面完整性保护，以此来防止终端设备的数据在传输至接入网设备之前被篡改或丢失等。

考虑到完整性保护对网络性能消耗较大，可以根据业务特性决策确定是否进行完整性保护。通常，对精确性要求较高的业务的数据，终端设备和接入网设备之间需要进行完整性保护；对精确性要求较低的业务的数据，终端设备和接入网设备之间可以不进行完整性保护。

这种方式太过局限，不能很好地满足不同的业务需求。

发明内容

本申请提供一种安全会话方法和装置，以期能够考虑更多的应用场景，满足不同的业务需求，提高用户体验。

第一方面，提供了一种安全会话方法。该方法可以由接入网设备执行，或者，也可以由配置于接入网设备中的芯片或电路执行，本申请对此不作限定。

该方法可以包括：接入网设备接收会话管理网元发送的会话请求消息，所述会话请求消息携带终端设备的用户面安全策略以及第一速率的信息；在所述接入网设备无法按照所述第一速率执行所述用户面安全策略的情况下，所述接入网设备按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率。

基于上述技术方案，在接入网设备无法按照第一速率执行用户面安全策略的情况下，换句话说，在接入网设备的能力无法对会话进行完整性保护且按照会话要求的速率(例如记作第一速率)进行服务的情况下，换句话说，在接入网设备无法按照第一速率激活完整性保护的情况下，接入网设备可以按照低于第一速率的速率(例如记作第二速率)激活完整性保护，进而通过考虑到各种业务的应用场景，提出又一种方案，进而可以提供又一种选择，便于尽可能地满足不同业务的需求，匹配更多的应用场景，提高用户体验。

另外，需要指出的是，所述接入网设备无法按照第一速率执行用户面安全策略包括：所述接入网设备无法同时既开启完整性保护又按照第一速率进行数据传输。那么在这种情况下，就可以优先开启完整性保护；然后在能力范围内，按照第二速率进行数据传输，其中所述第二速率低于所述第一速率。

相反地，如果仅是规定：对某些业务必须进行完整性保护，或者，对某些业务不进行完整性保护，或者，当完整性保护与业务速率冲突的情况下舍弃完整性保护，这种方式太过绝对，对于某些业务来说，能够实行完整性保护当然更好，但是如果实在无法完整性保护，偶尔的丢包篡改也不影响业务的传输，那么针对于该业务，现有的规定会影响用户体验，降低传输性能。

可选地，所述接入网设备按照第二速率激活完整性保护，可以表示，所述接入网设备按照低于第一速率的任一速率激活完整性保护；或者，也可以表示为，所述接入网设备激活完整性保护并降低速率；或者，也可以表示，所述接入网设备按照某一确定的速率激活完整性保护。

结合第一方面，在第一方面的某些实现方式中，所述第二速率小于或等于所述接入网设备当前能够支持的最大传输速率。

基于上述技术方案，在接入网设备无法按照第一速率执行用户面安全策略的情况下，可以坚持完整性保护，并降低传输速率，例如以第二速率来与终端设备传输业务数据，该第二速率小于会话要求的速率(例如记作第一速率)，或者，该第二速率可以是接入网设备当前能够支持的最大传输速率，或者，该第二速率也可以小于接入网设备当前能够支持的最大传输速率。

结合第一方面，在第一方面的某些实现方式中，所述接入网设按照第二速率激活完整性保护，包括：基于所述用户面安全策略，所述接入网设备按照所述第二速率激活完整性保护。

基于上述技术方案，接入网设备可以根据终端设备的用户面安全策略，在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护。

可选地，所述终端设备的用户面安全策略用于指示：在所述接入网设备无法按照所述第一速率执行所述用户面安全策略的情况下，所述接入网设备按照所述第二速率激活完整性保护。

可选地，可以对现有的安全策略进行完善，增加完整性保护与业务速率冲突的时候开启完整性保护的方式。下文实施例具体描述。

结合第一方面，在第一方面的某些实现方式中，所述终端设备的用户面安全策略是所述会话管理网元或统一数据管理网元确定的。

基于上述技术方案，终端设备的用户面策略可以是会话管理网元确定的，也可以是统一数据管理网元确定的，对此不做限定。

结合第一方面，在第一方面的某些实现方式中，所述会话请求消息还包括指示信息；所述接入网设备按照第二速率激活完整性保护，包括：基于所述指示信息，所述接入网设备按照所述第二速率激活完整性保护。

基于上述技术方案，接入网设备可以根据指示信息，在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护。

可选地，所述接入网设备接收来自以下任意一项设备的指示信息：所述会话管理网元、统一数据管理网元、或所述终端设备，其中，所述指示信息用于指示：在接入网设备无法按照所述第一速率执行用户面安全策略的情况下，所述接入网设备按照所述第二速率激活完整性保护。

基于上述技术方案，该指示信息可以是由会话管理网元、统一数据管理网元、或所述终端设备中的任意一个设备指示的。

结合第一方面，在第一方面的某些实现方式中，所述接入网设备按照第二速率激活完整性保护，包括：在确定所述会话满足预设条件的情况下，所述接入网设备按照所述第二速率激活完整性保护。

基于上述技术方案，接入网设备可以自行判断是否要在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护。例如，可以根据会话类型或业务类型等，判断是否要在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护。

结合第一方面，在第一方面的某些实现方式中，所述安全会话方法还包括：所述接入网设备接收来自策略控制网元的速率信息，所述速率信息用于指示所述第二速率。

基于上述技术方案，接入网设备可以基于策略控制网元的速率信息，确定与终端设备传输业务数据时的传输速率。

结合第一方面，在第一方面的某些实现方式中，所述安全会话方法还包括：所述接入网设备向会话管理网元发送所述第二速率的信息。

第二方面，提供了一种安全会话方法。该方法可以由会话管理网元执行，或者，也可以由配置于会话管理网元中的芯片或电路执行，本申请对此不作限定。

该方法可以包括：会话管理网元确定终端设备的用户面安全策略，所述用户面安全策略用于指示：在接入网设备无法按照第一速率执行所述用户面安全策略的情况下，所述接入网设备按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率；所述会话管理网元向所述接入网设备发送所述用户面安全策略。

基于上述技术方案，会话管理网络可以确定终端设备的用户面安全策略，该用户面安全策略可以用于指示，在接入网设备无法按照第一速率执行用户面安全策略的情况下，换句话说，在接入网设备的能力无法对会话进行完整性保护且按照会话要求的速率进行服务的情况下，换句话说，在接入网设备无法按照第一速率激活完整性保护的情况下，接入网设备可以按照低于第一速率的速率(例如记作第二速率)激活完整性保护，进而通过考虑到各种业务的应用场景，提出又一种方案，进而可以提供又一种选择，便于尽可能地满足不同业务的需求，匹配更多的应用场景，提高用户体验。

相反地，如果安全策略仅是：对某些业务必须进行完整性保护，或者，对某些业务不进行完整性保护，或者，当完整性保护与业务速率冲突的情况下舍弃完整性保护，这种方式太过绝对，对于某些业务来说，能够实行完整性保护当然更好，但是如果实在无法完整性保护，偶尔的丢包篡改也不影响业务的传输，那么针对于该业务，现有的规定会影响用户体验，降低传输性能。

结合第二方面，在第二方面的某些实现方式中，所述会话管理网元获取所述终端设备的签约信息；所述会话管理网元确定终端设备的用户面安全策略，包括：所述会话管理网元基于所述终端设备的签约信息，确定所述终端设备的用户面安全策略。

基于上述技术方案，会话管理网元可以基于终端设备的签约信息，确定终端设备的用户面安全策略，或者，基于终端设备的签约信息，确定接入网设备是否要在无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护，从而可以动态地调整完整性保护策略，进而匹配更多的应用场景。

结合第二方面，在第二方面的某些实现方式中，所述会话管理网元确定所述终端设备的用户面安全策略，包括：所述会话管理网元根据所述终端设备的会话请求消息，确定所述终端设备的用户面安全策略。

基于上述技术方案，会话管理网元可以基于终端设备的会话请求消息，确定终端设备的用户面安全策略，或者，基于终端设备的会话请求消息，确定接入网设备是否要在无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护，从而可以根据会话请求消息动态地调整完整性保护策略，进而尽可能地提高数据传输性能，提高用户体验。

结合第二方面，在第二方面的某些实现方式中，所述安全会话方法还包括：所述会话管理网元接收所述策略控制网元提供的速率信息；基于所述速率信息，所述会话管理网元向所述接入网设备发送用于指示所述第二速率的信息。

结合第二方面，在第二方面的某些实现方式中，所述安全会话方法还包括：所述会话管理网元接收所述接入网设备发送的所述第二速率的信息。

第三方面，提供了一种安全会话方法。该方法可以由会话管理网元执行，或者，也可以由配置于会话管理网元中的芯片或电路执行，本申请对此不作限定。

该方法可以包括：会话管理网元接收接入和移动管理网元发起的会话创建会话管理上下文服务请求；基于所述会话创建会话管理上下文服务请求，所述会话管理网元向所述AMF返回会话创建会话管理上下文服务响应，所述会话创建会话管理上下文服务响应包括指示信息，所述指示信息用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，所述接入网设备按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率。

基于上述技术方案，会话管理网元可以根据调用接入和移动管理网元提供的会话创建会话管理上下文服务请求，确定是否要指示接入网设备，在接入网设备无法按照第一速率执行用户面安全策略的情况下，换句话说，在接入网设备的能力无法对会话进行完整性保护且按照会话要求的速率进行服务的情况下，换句话说，在接入网设备无法按照第一速率激活完整性保护的情况下，接入网设备可以按照低于第一速率的速率(例如记作第二速率)激活完整性保护，进而通过考虑到各种业务的应用场景，提出又一种方案，进而可以提供又一种选择，便于尽可能地满足不同业务的需求，匹配更多的应用场景，提高用户体验。

可选地，会话管理网元接收所述接入和移动管理网元发起的会话创建会话管理上下文服务请求，包括：会话管理网元接收所述接入和移动管理网元发起的分组数据单元(packet data unit，PDU)会话创建会话管理上下文服务请求。

可选地，所述会话管理网元向所述接入和移动管理网元返回会话创建会话管理上下文服务响应，包括：所述会话管理网元向所述接入和移动管理网元返回PDU会话创建会话管理上下文服务响应。

结合第三方面，在第三方面的某些实现方式中，所述会话创建会话管理上下文服务请求包括通知信息，所述通知信息用于通知在所述接入网设备无法按照所述第一速率执行用户面安全策略的情况下，所述接入网设备按照所述第二速率激活完整性保护；所述方法还包括：基于所述通知信息，所述会话管理网元确定所述指示信息。

基于上述技术方案，终端设备可以自行确定接入网设备是否要在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护，从而可以更好地满足用户体验。当终端设备确定接入网设备要在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护的情况下，可以通知给会话管理网元，进而会话管理网元通知接入网设备。

结合第三方面，在第三方面的某些实现方式中，所述会话创建会话管理上下文服务请求包括所述终端设备的业务类型的信息；所述安全会话方法还包括：基于所述业务类型的信息，所述会话管理网元确定所述指示信息。

基于上述技术方案，会话管理网元可以根据业务类型确定接入网设备是否要在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护，从而可以满足不同业务的需求。

结合第三方面，在第三方面的某些实现方式中，所述安全会话方法还包括：所述会话管理网元接收策略控制网元提供的速率信息；基于所述速率信息，所述会话管理网元确定所述第二速率。

结合第三方面，在第三方面的某些实现方式中，所述安全会话方法还包括：所述会话管理网元接收所述接入网设备发送的所述第二速率的信息。

第四方面，提供了一种安全会话方法。该方法可以由终端设备执行，或者，也可以由配置于终端设备中的芯片或电路执行，本申请对此不作限定。

该方法可以包括：终端设备确定指示信息，所述指示信息用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，所述接入网设备按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率；所述终端设备向接入和移动管理网元发送所述指示信息。

基于上述技术方案，终端设备可以自行确定接入网设备是否要在接入网设备无法按照第一速率执行用户面安全策略的情况下，换句话说，确定接入网设备是否要在接入网设备的能力无法对会话进行完整性保护且按照会话要求的速率进行服务的情况下，换句话说，确定接入网设备是否要在接入网设备无法按照第一速率激活完整性保护的情况下，按照低于第一速率的速率(例如记作第二速率)激活完整性保护，从而可以更好地满足用户体验。当终端设备确定接入网设备要在接入网设备无法按照第一速率激活完整性保护的情况下，按照第二速率激活完整性保护，可以通知给会话管理网元，进而便于会话管理网元通知接入网设备。

第五方面，提供了一种安全会话装置，包括用于执行上述第一至第四方面中任一种可能实现方式中的方法的各个模块或单元。

第六方面，提供了一种安全会话设备，包括处理器。该处理器与存储器耦合，可用于执行存储器中的指令，以实现上述第一至第四方面中任一种可能实现方式中的方法。可选地，该安全会话设备还包括存储器。可选地，该安全会话设备还包括通信接口，处理器与通信接口耦合。

在一种实现方式中，该安全会话设备为通信设备，如本申请实施例中的终端设备、会话管理网元或接入网设备。当该安全会话设备为通信设备时，所述通信接口可以是收发器，或，输入/输出接口。

在另一种实现方式中，该安全会话设备为配置于通信设备中的芯片，如配置于如本申请实施例中的终端设备、会话管理网元或接入网设备中的芯片。当该安全会话设备为配置于通信设备中的芯片时，所述通信接口可以是输入/输出接口。

可选地，所述收发器可以为收发电路。可选地，所述输入/输出接口可以为输入/输出电路。

第七方面，提供了一种处理器，包括：输入电路、输出电路和处理电路。所述处理电路用于通过所述输入电路接收信号，并通过所述输出电路发射信号，使得所述处理器执行上述第一至第四方面任一种可能实现方式中的方法。

在具体实现过程中，上述处理器可以为芯片，输入电路可以为输入管脚，输出电路可以为输出管脚，处理电路可以为晶体管、门电路、触发器和各种逻辑电路等。输入电路所接收的输入的信号可以是由例如但不限于接收器接收并输入的，输出电路所输出的信号可以是例如但不限于输出给发射器并由发射器发射的，且输入电路和输出电路可以是同一电路，该电路在不同的时刻分别用作输入电路和输出电路。本申请实施例对处理器及各种电路的具体实现方式不做限定。

第八方面，提供了一种处理装置，包括处理器和存储器。该处理器用于读取存储器中存储的指令，并可通过接收器接收信号，通过发射器发射信号，以执行上述第一至第四方面任一种可能实现方式中的方法。

可选地，所述处理器为一个或多个，所述存储器为一个或多个。

可选地，所述存储器可以与所述处理器集成在一起，或者所述存储器与处理器分离设置。

在具体实现过程中，存储器可以为非瞬时性(non-transitory)存储器，例如只读存储器(read only memory，ROM)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本申请实施例对存储器的类型以及存储器与处理器的设置方式不做限定。

应理解，相关的数据交互过程例如发送指示信息可以为从处理器输出指示信息的过程，接收能力信息可以为处理器接收输入能力信息的过程。具体地，处理输出的数据可以输出给发射器，处理器接收的输入数据可以来自接收器。其中，发射器和接收器可以统称为收发器。

上述第八方面中的处理装置可以是一个芯片，该处理器可以通过硬件来实现也可以通过软件来实现，当通过硬件实现时，该处理器可以是逻辑电路、集成电路等；当通过软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，该存储器可以集成在处理器中，可以位于该处理器之外，独立存在。

第九方面，提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序(也可以称为代码，或指令)，当所述计算机程序被运行时，使得安全会话装置执行上述第一至第四方面中任一种可能实现方式中的方法。

第十方面，提供了一种计算机可读介质，所述计算机可读介质存储有计算机程序(也可以称为代码，或指令)当其在安全会话装置上运行时，使得安全会话装置执行上述第一至第四方面中任一种可能实现方式中的方法。

第十一方面，提供了一种***，包括前述的终端设备、会话管理网元、以及接入网设备。

附图说明

图1是适用于本申请实施例提供的方法的网络架构的示意图；

图2是根据本申请实施例提供的安全会话方法的示意图；

图3是本申请另一实施例提供的安全会话方法的示意性流程图；

图4是本申请又一实施例提供的安全会话方法的示意性流程图；

图5是本申请再一实施例提供的安全会话方法的示意性流程图；

图6是本申请又一实施例提供的安全会话方法的示意性流程图；

图7是本申请再一实施例提供的安全会话方法的示意性流程图；

图8是本申请实施例提供的安全会话装置的示意性框图；

图9是本申请实施例提供的安全会话设备的示意性框图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

本申请实施例的技术方案可以应用于各种通信***，例如：全球移动通讯(GlobalSystem of Mobile communication，GSM)***、码分多址(Code Division MultipleAccess，CDMA)***、宽带码分多址(Wideband Code Division Multiple Access，WCDMA)***、通用分组无线业务(General Packet Radio Service，GPRS)、长期演进(Long TermEvolution，LTE)***、LTE频分双工(Frequency Division Duplex，FDD)***、LTE时分双工(Time Division Duplex，TDD)、通用移动通信***(Universal MobileTelecommunication System，UMTS)、全球互联微波接入(Worldwide Interoperabilityfor Microwave Access，WiMAX)通信***、第五代(5th Generation，5G)***或新无线(NewRadio，NR)、或未来的通信***等。

应理解，本申请实施例并未对本申请实施例提供的方法的执行主体的具体结构特别限定，只要能够通过运行记录有本申请实施例的提供的方法的代码的程序，以根据本申请实施例提供的方法进行通信即可，例如，本申请实施例提供的方法的执行主体可以是终端或网络侧设备，或者，是UE或网络侧设备中能够调用程序并执行程序的功能模块。

为便于理解本申请实施例，首先结合图1详细说明本申请实施例的一个应用场景。

图1是适用于本申请实施例提供的方法的网络架构的示意图。如图所示，该网络架构例如可以是非漫游(non-roaming)架构。该网络架构具体可以包括下列网元：

1、用户设备(user equipment，UE)：可以称终端设备、终端、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、无线通信设备、用户代理或用户装置。终端设备还可以是蜂窝电话、无绳电话、会话启动协议(Session InitiationProtocol，SIP)电话、无线本地环路(Wireless Local Loop，WLL)站、个人数字处理(Personal Digital Assistant，PDA)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备，未来5G网络中的终端设备或者未来演进的公用陆地移动通信网络(Public Land Mobile Network，PLMN)中的终端设备等，本申请实施例对此并不限定。

2、接入网(access network，AN)：为预设区域的授权用户提供入网功能，并能够根据用户的级别，业务的需求等使用不同质量的传输隧道。接入网络可以为采用不同接入技术的接入网络。目前的无线接入技术有两种类型：第三代合作伙伴计划(3rd GenerationPartnership Project，3GPP)接入技术(例如3G、4G、5G或6G***中采用的无线接入技术)和非第三代合作伙伴计划(non-3GPP)接入技术。3GPP接入技术是指符合3GPP标准规范的接入技术，采用3GPP接入技术的接入网络称为无线接入网络(Radio Access Network，RAN)，其中，5G***中的接入网设备称为下一代基站节点(next generation Node Base station，gNB)。非3GPP接入技术是指不符合3GPP标准规范的接入技术，例如，以wifi中的接入点(access point，AP)为代表的空口技术。

基于无线通信技术实现接入网络功能的接入网可以称为无线接入网(radioaccess network，RAN)。无线接入网能够管理无线资源，为终端提供接入服务，进而完成控制信号和用户数据在终端和核心网之间的转发。

无线接入网例如可以是全球移动通讯(Global System of Mobilecommunication，GSM)***或码分多址(Code Division Multiple Access，CDMA)中的基站(Base Transceiver Station，BTS)，也可以是宽带码分多址(Wideband Code DivisionMultiple Access，WCDMA)***中的基站(NodeB，NB)，还可以是LTE***中的演进型基站(Evolutional NodeB，eNB或eNodeB)，还可以是云无线接入网络(Cloud Radio AccessNetwork，CRAN)场景下的无线控制器，或者该网络设备可以为中继站、接入点、车载设备、可穿戴设备以及未来5G网络中的网络设备或者未来演进的PLMN网络中的网络设备等，本申请实施例并不限定。

3、接入和移动管理功能(access and mobility management function，AMF)实体：主要用于移动性管理和接入管理等，可以用于实现移动性管理实体(mobilitymanagement entity，MME)功能中除会话管理之外的其它功能，例如，合法监听、或接入授权(或鉴权)等功能。在本申请实施例中，可用于实现接入和移动管理网元的功能。

4、会话管理功能(session management function，SMF)实体：主要用于会话管理、UE的网际协议(Internet Protocol，IP)地址分配和管理、选择可管理用户平面功能、策略控制、或收费功能接口的终结点以及下行数据通知等。在本申请实施例中，可用于实现会话管理网元的功能。

5、用户平面功能(User Plane Function，UPF)实体：即，数据面网关。可用于分组路由和转发、或用户面数据的服务质量(quality of service，QoS)处理等。用户数据可通过该网元接入到数据网络(data network，DN)。在本申请实施例中，可用于实现用户面网关的功能。

6、数据网络(DN)：用于提供传输数据的网络。例如，运营商业务的网络、因特(Internet)网、第三方的业务网络等。

7、认证服务功能(authentication server function，AUSF)实体：主要用于用户鉴权等。

8、网络开放功能(network exposure function，NEF)实体：用于安全地向外部开放由3GPP网络功能提供的业务和能力等。

9、网络存储功能((network function(NF)repository function，NRF)实体：用于保存网络功能实体以及其提供服务的描述信息，以及支持服务发现，网元实体发现等。

10、策略控制功能(policy control function，PCF)实体：用于指导网络行为的统一策略框架，为控制平面功能网元(例如AMF，SMF网元等)提供策略规则信息等。

11、统一数据管理(unified data management，UDM)实体：用于统一数据管理、5G用户数据管理、处理用户标识、接入鉴权、注册、或移动性管理等。

12、应用功能(application function，AF)实体：用于进行应用影响的数据路由，接入网络开放功能网元，或，与策略框架交互进行策略控制等。

在该网络架构中，N1接口为终端与AMF实体之间的参考点；N2接口为AN和AMF实体的参考点，用于非接入层(non-access stratum，NAS)消息的发送等；N3接口为(R)AN和UPF实体之间的参考点，用于传输用户面的数据等；N4接口为SMF实体和UPF实体之间的参考点，用于传输例如N3连接的隧道标识信息，数据缓存指示信息，以及下行数据通知消息等信息；N6接口为UPF实体和DN之间的参考点，用于传输用户面的数据等。

应理解，上述应用于本申请实施例的网络架构仅是举例说明的从传统点到点的架构和服务化架构的角度描述的网络架构，适用本申请实施例的网络架构并不局限于此，任何能够实现上述各个网元的功能的网络架构都适用于本申请实施例。

还应理解，图1中所示的AMF实体、SMF实体、UPF实体、NSSF实体、NEF实体、AUSF实体、NRF实体、PCF实体、UDM实体可以理解为核心网中用于实现不同功能的网元，例如可以按需组合成网络切片。这些核心网网元可以各自独立的设备，也可以集成于同一设备中实现不同的功能，本申请对此不做限定。

下文中，为便于说明，将用于实现AMF的实体记作接入和移动管理网元，将用于实现SMF的实体记作会话管理网元，将用于实现UPF的实体记作用户面网关，将用于实现UDM功能的实体记作统一数据管理网元，将用于实现PCF的实体记作策略控制网元。应理解，上述命名仅为用于区分不同的功能，并不代表这些网元分别为独立的物理设备，本申请对于上述网元的具体形态不作限定，例如，可以集成在同一个物理设备中，也可以分别是不同的物理设备。此外，上述命名仅为便于区分不同的功能，而不应对本申请构成任何限定，本申请并不排除在5G网络以及未来其它的网络中采用其他命名的可能。例如，在6G网络中，上述各个网元中的部分或全部可以沿用5G中的术语，也可能采用其他名称等。在此进行统一说明，以下不再赘述。

还应理解，图1中的各个网元之间的接口名称只是一个示例，具体实现中接口的名称可能为其他的名称，本申请对此不作具体限定。此外，上述各个网元之间的所传输的消息(或信令)的名称也仅仅是一个示例，对消息本身的功能不构成任何限定。

为便于理解，在描述本申请实施例之前，首先对本申请涉及的几个术语做简单介绍。

1、完整性保护：发送端根据完整性保护算法以及完整性保护密钥对明文或密文进行完整性保护。接收端可以根据相同的完整性保护算法和完整性保护密钥对进行了完整性保护的数据进行完整性验证。其中，完整性保护密钥可以是在接收端接收到接入层安全模式命令AS SMC之后生成的(根据AS SMC中携带的用户面完整性保护算法生成)，也可以是需要开启完整性保护时生成的(根据AS SMC中携带的用户面完整性保护算法生成)。

2、安全能力：包括但不限于：安全算法、安全参数、密钥等。在本申请实施例中，安全能力例如可以包括UE的安全能力和用户面网关的安全能力等。

3、安全算法：用于在对数据安全保护时使用的算法。例如可包括：加/解密算法、完整性保护算法等。

4、激活用户面安全保护：可以理解为开启了安全保护功能。在本实施例中，激活用户面安全保护包括激活完整性保护。例如激活完整性保护，即开启了完整性保护功能。相反，不激活完整性保护，即不开启完整性保护功能。在确定激活某种安全保护的情况下可直接开启相应的安全保护。

应理解，本申请实施例并未限定于此，激活用户面安全保护还可以包括激活加/解密保护、完整性验证等。

可以理解的是，在本申请实施例中，对于下行传输来说，用户面网关可以是完整性保护端，激活用户面安全保护可以包括激活完整性保护；终端设备可以是完整性验证端，激活用户面安全保护可以包括激活完整性验证。对于上行传输来说，终端设备可以是完整性保护端，激活用户面安全保护可以包括激活完整性保护；用户面网关可以是完整性验证端，激活用户面安全保护可以包括激活完整性验证。

因此，在数据传输过程中，终端设备可以同时作为完整性保护端和完整性验证端；用户面网关可以同时作为完整性保护端和完整性验证端。若激活完整性保护/验证，则终端设备和用户面网关可以均激活完整性保护和完整性验证。

应理解，下文中在未作出特别说明的情况下，“激活完整性保护”和“激活完整性保护/验证”所表达的含义是一致的，或者说，可替换的。

5、安全策略：至少可用于指示是否激活加密保护和/或完整性保护。可选地，安全策略还可用于指示其他更多的信息，比如安全算法的强度建议等，其具体内容本申请实施例不做限定。

安全策略，或者也可以称为用户面安全策略，下文统一用安全策略表述。

在一种实现方式中，安全策略可以指示安全保护的偏好，例如，可以指示需要的(required)、推荐的(preferred)和不需要的(not needed)安全保护。基于该安全保护的偏好可以确定是否激活加密保护和/或完整性保护。

其中，required：终端设备和接入网设备(如基站)之间必须进行完整性保护。如果接入网设备因自身能力不支持则直接拒绝相应业务会话的建立。例如，对于上报测量数据的这种业务，数据精确性十分重要，被篡改了影响很大，所以必须开启完保。

其中，not needed：终端设备和接入网设备之间不需要进行完整性保护。例如，对于大型游戏等高流量业务，稍微的丢包或者包篡改不影响游戏的整体体验，只需要高速率即可，所以不需要进行完整性保护。

其中，preferred：终端设备和接入网设备之间优先进行完整性保护，换句话说，当接入网设备的能力可以支持完整性保护时就会采用完整性保护，当接入网设备的能力不支持完整性保护的时候就不进行。例如，当终端设备的业务要求能力是1兆比特每秒(millionbits per second，Mbps)，且安全策略为preferred，接入网设备能够支持完整性保护，但是因为负载等原因，无法在支持开启完整性保护的情况下还支持1Mbps的速率。那么，该情况下，接入网设备会选择关闭完整性保护以满足1Mbps的速率要求。也就是说，preferred指的是，接入网设备能够满足业务速率要求并且也能够支持开启完整性保护的情况下，才会开启完整性保护，或者，也可以理解为，当速率与完整性保护二者只能选其一的时候会优先满足速率而关闭完整性保护。

在本申请实施例中，为区分，可以将required对应的安全策略记为第一策略、将not need对应的安全策略记为第二策略、将preferred对应的安全策略记为第三策略。应理解，第一策略、第二策略、第三策略仅是为区分做的命名，并不对本申请实施例的保护范围造成限定。

由上可知，现有的安全策略基本考虑了三种情况：必须完整性保护(例如记作第一策略)、不完整性保护(例如记作第二策略)、以及完整性保护与业务速率冲突时舍弃完整性保护以保持速率(例如记作第三策略)。

本申请实施例提出一种安全会话方法，以便能够匹配更多的业务场景。

下面结合附图详细说明本申请实施例提供安全会话方法。

需要说明的是，在下文中结合附图描述实施例的过程中，图中仅为便于理解而示意，不应对本申请构成任何限定。此外，图中示出的gNB可对应于接入网设备，AMF可对应于接入和移动管理网元，SMF可对应于会话管理网元，UDM可对应于统一数据管理网元，PCF可对应于策略管理网元。各网元名称仅为区分不同的功能而定义，不应对本申请构成任何限定。本申请并不排除定义其他网元来实现相同或相似功能的可能。

图2是本申请实施例提供的一种方法200的示意***互图。方法200可以包括以下步骤。

210，接入网设备接收会话管理网元发送的会话请求消息，该会话请求消息携带终端设备的用户面安全策略以及第一速率的信息。

其中，第一速率，可以用于表示会话要求的速率，或者，换句话说，可以用于表示当接入网设备执行用户面安全策略时会话要求的速率，或者，换句话说，可以用于表示当接入网设备激活完整性保护时会话要求的速率，或者，换句话说，可以用于表示接入网设备对会话进行完整性保护时需要满足的传输速率，或者，换句话说，可以用于表示接入网设备对会话进行完整性保护时终端设备要求的传输速率。下文统一用第一速率表示。

其中，用户面安全策略可以包括已有技术中签约信息中包含的用户面安全策略，如上文所述的required、not need、preferred，此外，用户面安全策略还可以包括又一策略，为区分，将该策略记为第四种策略。

该第四策略至少可以为以下两种形式中的任意一种。

形式1，该第四策略可以用于指示当速率与完整性保护冲突时优先选择完整性保护。

换句话说，该第四策略可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，或者说，在接入网设备的能力无法对会话进行完整性保护且按会话的速率进行服务时，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，或者说，在接入网设备无法按照第一速率激活完整性保护的情况下，接入网设备选择开启完整性保护。

形式2，该第四策略可以用于指示当速率与完整性保护冲突时优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。

换句话说，该第四策略可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，或者说，在接入网设备的能力无法对会话进行完整性保护且按会话的速率进行服务时，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，或者说，在接入网设备无法按照第一速率激活完整性保护的情况下，接入网设备选择开启完整性保护，且接入网设备以当前能够提供的最大速率与终端设备传输数据。

接入网设备接收会话请求消息，或者，也可以是，接入网设备接收业务请求消息。接入网基于该会话请求消息或业务请求消息，可以与终端设备进行相应的数据传输。

220，在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备按照第二速率激活完整性保护，其中，第二速率低于第一速率。

换句话说，接入网设备收到会话请求消息后，在接入网设备的能力无法对会话进行完整性保护同时且按会话的速率(例如记作第一速率)进行服务的情况下，会选择激活完整性保护但是会按照小于第一速率进行服务。

在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备按照第二速率激活完整性保护，也可以理解为，在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备降低速率，并激活完整性保护；或者，也可以理解为，在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备激活完整性保护；或者，也可以理解为，在速率与完整性保护冲突的情况下，接入网设备选择实行完整性保护。

应理解，第二速率用于表示低于第一速率的速率。也就是说，接入网设备在激活完整性保护的情况下，其传输速率小于第一速率。可选地，该第二速率可以是接入网设备自行确定的速率，也可以是其它网元指示的速率，对此不做限定。

在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备激活完整性保护，至少可以通过以下三种方式中的任意一种方式实现；或者说，接入网设备可以基于以下任意一种方式，确定在接入网设备无法按照第一速率执行用户面安全策略的情况下，是否要按照第二速率激活完整性保护。

方式A：在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备基于第四策略激活完整性保护。

例如，步骤210中，会话请求消息携带的终端设备的用户面安全策略为第四策略，该第四策略可以为上述任一形式。接入网设备接收到该第四策略后，基于该第四策略确定在接入网设备无法按照第一速率执行用户面安全策略的情况下，激活完整性保护。

示例性地，该第四策略可以是会话管理网元确定的。例如，会话管理网元确定第四策略，并向接入网设备发送该第四策略的信息。

示例性地，该第四策略可以是统一数据管理网元确定的。例如，统一数据管理网元确定第四策略，并向会话管理网元发送该第四策略的信息，换句话说，会话管理网元接收统一数据管理网元提供的第四策略。

一种可能的实现方式，会话管理网元可以直接向接入网设备发送该第四策略的信息。

又一种可能的实现方式，会话管理网元也可以先确定是否实现第四策略，当确定可以实现第四策略时，向接入网设备发送该第四策略的信息。

例如，会话管理网元可以基于业务类型和/或接入网设备的能力等来确定是否可以实行第四策略。

如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以实行第四策略。

方式B：在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备基于指示信息激活完整性保护。

该指示信息用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备激活完整性保护，或者，在接入网设备无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护。

示例性地，该指示信息可以是终端设备确定的。换句话说，终端设备确定在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备是否要激活完整性保护，并且向接入网设备指示。该指示信息可以通过单独的信令发送给接入网设备，如通过会话管理网元转发给接入网设备；该指示信息也可以携带于会话请求消息中，对此不做限定。

示例性地，该指示信息可以是会话管理网元确定的。换句话说，会话管理网元确定在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备激活完整性保护，接入网设备是否要激活完整性保护，并且向接入网设备指示。该指示信息可以通过单独的信令发送给接入网设备；该指示信息也可以携带于会话请求消息中，如携带于会话管理网元向接入和移动管理网元返回的会话创建会话管理上下文服务响应中，对此不做限定。

示例性地，该指示信息可以是统一数据管理网元确定的。换句话说，统一数据管理网元确定在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备激活完整性保护，接入网设备是否要激活完整性保护，并且向接入网设备指示。该指示信息可以通过单独的信令发送给接入网设备，如通过会话管理网元转发给接入网设备；该指示信息也可以携带于会话请求消息中，对此不做限定。

方式C：接入网设备确定在无法按照第一速率执行用户面安全策略的情况下，激活完整性保护。

例如，在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备确定会话是否满足预设条件，当会话满足预设条件时，接入网设备激活完整性保护。

会话满足预设条件，或者也可以理解为，业务满足预设条件，例如业务为小容量语音等业务，或者，业务为这一类型的业务，即偶尔的丢包篡改影响不大的业务，或者丢包带来的影响小于预设阈值等等。

其中，该预设条件或者预设阈值可以是预先规定好的，如协议预先规定，或者，也可以是网络设备预先规定的，或者也可以是终端设备通知给网络设备的，或者也可以是从核心网获取的，对此不做限定。

可选地，接入网设备接收来自策略控制网元的速率信息，该速率信息用于指示第二速率。

可选地，接入网设备向会话管理网元上报第二速率。

关于第二速率的确定，下文结合图6实施例具体描述。

基于上述方案，接入网设备在能力达不到业务能力要求的情况下，即在速率与完整性保护冲突的情况下，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，可以自行决策优先选择完整性保护，且可以通知会话管理网元，从而可以实现根据业务动态调整完整性保护策略，以尽可能地匹配不同的业务场景。

下面结合图3至图7对上述方法作出更详细的说明。

图3是本申请实施例提供的一种方法300的示意***互图。方法300可以包括以下步骤。

310，终端设备向接入和移动管理网元发送业务请求消息。相应地，接入和移动管理网元接收来自终端设备的业务请求消息。

换句话说，终端设备向接入和移动管理网元发起业务请求消息。业务请求消息可以用于请求建立终端设备与数据网络的业务服务器的连接，该业务请求消息所请求建立的与数据网络的业务服务器的连接可用于传输数据。该数据例如可以是普通数据、小数据、具体的业务对应的数据等，本申请对此不作限定。

为区分，在本申请实施例中，将终端设备向接入和移动管理网元发送的业务请求消息记为第一业务请求消息，下文统一用第一业务请求消息表示。

可选地，终端设备可以经由接入网设备向接入和移动管理网元发送第一业务请求消息。

可选地，该第一业务请求消息为服务请求(service request)消息或分组数据单元(packet data unit，PDU)会话建立请求(PDU session establishment request)消息。

可选地，该第一业务请求消息可以携带切片或者具体业务相关信息，如业务类型、单一切片选择辅助信息(single network slice selection assistance information，S-NSSAI)等，例如可以通过S-NSSAI指示终端设备请求的切片信息。可选地，该第一业务请求消息可以携带数据网络名称(date network name，DNN)，以指示终端设备请求访问的数据网络名称。

应理解，以上列举的信令仅为示例，不应对本申请构成任何限定。该第一业务请求消息也可以是终端设备和接入和移动管理网元之间传输的其他消息。

320，接入和移动管理网元向会话管理网元发送第二业务请求消息。

为区分，在本申请实施例中，将接入和移动管理网元向会话管理网元发送的业务请求消息记为第二业务请求消息，下文统一用第二业务请求消息表示。

可选地，该第二业务请求消息可以为PDU会话创建会话管理上下文服务请求。换句话说，步骤320，也可以理解为，会话管理网元接收接入和移动管理网元发起的PDU会话创建会话管理上下文服务请求。

应理解，在本申请实施例中，各个网元之间可以通过调用的方式传输消息，例如，接入和移动管理网元向会话管理网元发送第二业务请求消息，可以理解为，接入和移动管理网元调用会话管理网元提供的会话创建会话管理上下文服务。下文不再赘述。

可选地，该第二业务请求消息可以携带该终端设备的标识。该终端设备的标识例如可以包括但不限于：国际移动设备识别码(international mobile equipmentidentity，IMEI)、国际移动用户识别码(international mobile subscriberidentification number，IMSI)、IP多媒体子***私有用户标识(IMS(IP multimediasubsystem)private user identity，IMPI)、临时移动用户标识(temporary mobilesubscriber identity，TMSI)、IP多媒体公共标识(IP multimedia public identity，IMPU)、媒体接入控制(media access control，MAC)地址、IP地址、手机号码、全球唯一UE标识(globally unique temporary UE identity，GUTI)(例如对于5G来说，具体可以是5GGUTI)、永久身份标识(subscription permanent identifier，SUPI)、隐藏的身份标识(subscriber concealed identifier，SUCI)或永久设备标识(permanent equipmentidentifier，PEI)。

应理解，该第二业务请求消息中也可以不携带该终端设备的标识。例如，在此前的注册请求消息中已经携带了终端设备的标识，如，SUPI、5G GUTI或PEI等。

可选地，该第二业务请求消息还可以包括DNN、S-NSSAI等信息。

应理解，以上列举的信令仅为示例，不应对本申请构成任何限定。该第二业务请求消息也可以是接入和移动管理网元和会话管理网元之间传输的其他消息。

330，会话管理网元向统一数据管理网元发送第三业务请求消息。

为区分，在本申请实施例中，将会话管理网元向统一数据管理网元发送的业务请求消息记为第三业务请求消息，下文统一用第三业务请求消息表示。

也可以理解为，会话管理网元调用统一数据管理网元提供的用户数据管理获取请求服务，从统一数据管理网元处获取终端设备的签约信息。

可选地，该第三业务请求消息可以为签约请求消息或会话管理网元和统一数据管理网元之间的通信消息(Nudm_SDM_Get_request)。

可选地，该第三业务请求消息可以包括终端设备的标识。关于终端设备的标识可参考步骤320中的描述，此处不再赘述。

可选地，该第三业务请求消息还可以包括DNN、S-NSSAI等信息。

应理解，以上列举的信令仅为示例，不应对本申请构成任何限定。该第三业务请求消息也可以是会话管理网元和统一数据管理网元之间传输的其他消息。

340，统一数据管理网元向会话管理网元发送第三业务响应消息。

该第三业务响应消息为针对步骤330中第三业务请求消息的响应。为区分，在本申请实施例中，将统一数据管理网元向会话管理网元发送的业务响应消息记为第三业务响应消息，下文统一用第三业务响应消息表示。

也可以理解为，统一数据管理网元根据终端设备的标识，如SUPI，找到终端设备的签约信息，并将该签约信息通过第三业务响应消息通知给会话管理网元。或者，也可以理解为，统一数据管理网元向会话管理网元返回第三业务响应消息。

可选地，该第三业务响应消息可以为签约响应消息或会话管理网元和统一数据管理网元之间的通信消息(Nudm_SDM_Get_response)。

可选地，该终端设备的签约信息可以预先保存在统一数据管理网元中。该签约信息中可以包含用户面(user plane，UP)安全策略(UP security policy)，该用户面安全策略可以用于指示是否需要激活完整性保护。

在本申请实施例中，用户面安全策略可以包括已有技术中签约信息中包含的用户面安全策略，如上文所述的required、not need、preferred，此外，用户面安全策略还可以包括又一策略，为区分，将该策略记为第四种策略。

该第四策略至少可以为以下两种形式中的任意一种。

形式1，该第四策略可以用于指示当速率与完整性保护冲突时优先选择完整性保护。

换句话说，该第四策略可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，或者说，在接入网设备的能力无法对会话进行完整性保护且按会话的速率进行服务时，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，或者说，在接入网设备无法按照第一速率激活完整性保护的情况下，接入网设备选择开启完整性保护。

对于该形式，该终端设备的签约信息中可以包括第四策略，该第四策略可以用于指示当速率与完整性保护冲突时优先选择完整性保护。

形式2，该第四策略可以用于指示当速率与完整性保护冲突时优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。

其中，速率与完整性保护冲突包括：当按照第一速率进行数据传输时无法开启完整性保护，或者，当开启完整性保护时无法按照第一速率进行数据传输。

换句话说，该第四策略可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，或者说，在接入网设备的能力无法对会话进行完整性保护且按会话的速率进行服务时，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，或者说，在接入网设备无法按照第一速率激活完整性保护的情况下，接入网设备选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

对于该形式，该终端设备的签约信息中可以包括第四策略，该第四策略可以用于指示当速率与完整性保护冲突时优先选择完整性保护，且指示接入网设备以当前能够提供的最大速率传输。

应理解，在本申请中，多次提及接入网设备无法按照第一速率执行用户面安全策略，其可以用于表示，接入网设备如果实行完整性保护将不能满足业务的需求；或者，接入网设备如果实行完整性保护，其传输速率将不能满足业务要求的传输速率；或者，速率与完整性保护有冲突；或者，接入网设备的能力不支持终端设备的业务要求等等。下文统一用速率与完整性保护冲突的方式来表述。

还应理解，在本申请中，多次提及优先选择完整性保护，其可以用于表示，在速率与完整性保护冲突的情况下，接入网设备选择实行完整性保护，此外，接入网设备还可以采取一些措施以能够实行完整性保护，例如降低传输速率等。

可选地，统一数据管理网元可以根据业务的类型，确定是否要指示第四策略。如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以实行第四策略。

应理解，以上列举的信令仅为示例，不应对本申请构成任何限定。该第三业务请求响应也可以是会话管理网元和统一数据管理网元之间传输的其他消息。

350，会话管理网元根据签约信息和/或本地策略(local policy)，确定实行第四策略。

也就是说，会话管理网元可以根据签约信息和/或本地策略，确定接入网设备是否要实行第四策略或者确定是否要指示第四策略；或者，换句话说，会话管理网元根据签约信息和/或本地策略，确定是否要指示接入网设备，在速率与完整性保护冲突的情况下，对当前终端设备请求的会话实行优先选择完整性保护的策略。

该第四策略可以为上述形式1或形式2中的任意一种。

例如，该第四策略为上述形式1，那么会话管理网元确定实行第四策略，即表示会话管理网元向接入网设备指示第四策略，相应地，接入网设备接收到该第四策略后，在速率与完整性保护冲突的情况下会优先选择完整性保护。

又如，该第四策略为上述形式2，那么会话管理网元确定实行第四策略，即表示会话管理网元向接入网设备指示第四策略，相应地，接入网设备接收到该第四策略后，在速率与完整性保护冲突的情况下会优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。

该第四策略可以是统一数据管理网元指示的，也可以是会话管理网元指示的，对此不做限定。下面分别说明。

一种可能的实现方式，会话管理网元从统一数据管理网元处获取的终端设备的签约信息中得到第四策略。

或者，也可以理解为，会话管理网元根据终端设备的签约信息中包含的用户面安全策略确定是否实行第四策略；或者，换句话说，第四策略为统一数据管理网元指示的，会话管理网元判断是否可以实行第四策略。

会话管理网元可以基于终端设备的签约信息中包含的用户面安全策略(即第四策略)，生成第一安全策略。该第一安全策略可以包括该用户面安全策略(即第四策略)，或者说，该第一安全策略可用于指示在速率与完整性保护冲突的情况下，接入网设备优先选择开启完整性保护，或者，该第一安全策略可用于指示在速率与完整性保护冲突的情况下，接入网设备优先选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

会话管理网元可以基于业务类型和/或接入网设备的能力等来确定是否可以实行第四策略。

例如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以实行第四策略。

又一种可能的实现方式，会话管理网元根据其他信息得到第四策略。

或者，也可以理解为，会话管理网元根据终端设备的其他信息确定第四策略；或者，换句话说，第四策略为会话管理网元指示的，即会话管理网元判断是否可以实行第四策略，如果可以实行，则会话管理网元指示第四策略。

会话管理网元还可以基于其他信息，比如本地策略(local policy)、获得的切片相关信息、支持的服务类型等信息中的一项或多项综合判断来生成第二安全策略，或者说，确定在速率与完整性保护冲突的情况下，接入网设备是否要优先选择开启完整性保护。其中，该业务类型的安全需求可以从签约信息获取；还可以通过与其他网元交互，比如策略控制网元、应用服务网元等。

例如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以实行第四策略。

因此，可以理解，该会话管理网元确定的第一安全策略与从终端设备的签约信息中获取的用户面安全策略有可能是相同的，也有可能是不同的，本申请对此不作限定。

应理解，在本实施例中，为方便说明，假设第一安全策略或第二安全策略仅用于指示第四策略。即，与已有的用户面安全策略中所指示的信息的项目相同，但所指示的具体信息可能相同，也可能不同。但应理解，本申请并不排除第一安全策略或第二安全策略包括其他信息的可能，如安全能力信息、用户面安全的终结点信息等。

应理解，图3中为便于理解，仅示出了确定实行第四策略的情况，本申请实施例并未限定于此。例如，会话管理网元还可以确定实行以下任一策略：第一策略、第二策略、或第三策略。

假设在步骤350中，会话管理网元确定接入网设备可以实行第四策略，方法300还可以包括如下步骤。

360，会话管理网元向接入和移动管理网元发送第二业务响应消息。

该第二业务响应消息为针对步骤320中第二业务请求消息的响应。为区分，在本申请实施例中，将会话管理网元向接入和移动管理网元发送的业务响应消息记为第二业务响应消息，下文统一用第二业务响应消息表示。

可选地，该第二业务响应消息可以为PDU会话创建会话管理上下文服务响应。换句话说，步骤360，也可以理解为，会话管理网元向接入和移动管理网元返回PDU会话创建会话管理上下文服务响应。

会话管理网元向接入和移动管理网元发送的第二业务响应消息中携带生成的第一安全策略或第二安全策略，换句话说，该第二业务响应消息可以包括第四策略，该第四策略用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，或者，该第四策略用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。

370，接入和移动管理网元向接入网设备发送指示第四策略的信息。

接入和移动管理网元将从会话管理网元接收到的信息转发给接入网设备。例如，接入和移动管理网元向接入网设备发送第四策略的信息。

其中，第四策略，可以携带于接入和移动管理网元与接入网设备的N2接口消息，比如N2接口PDU会话请求(N2 PDU session request)消息。

380，接入网设备根据第四策略，优先实行完整性保护。

也就是说，接入网设备接收到第四策略后，在速率无法达到要求的情况下或者说在速率与完整性保护冲突的情况下，优先选择完整性保护；或者，接入网设备接收到第四策略后，在速率无法达到要求的情况下或者说在速率与完整性保护冲突的情况下，优先选择完整性保护，并以接入网设备当前能够提供的最大速率进行服务。

可选地，接入网设备可以通知会话管理网元已做降速处理以及最终的速率。

应理解，上述实施例主要介绍了接入网设备实行第四策略的情况，应理解，本申请实施例并未限定于此。例如，上述实施例可以应用于其他策略，如第一策略、第二策略、或第三策略的场景。

还应理解，上述实施例涉及信令仅是示例性说明，并不对本申请实施例的保护范围造成限定。

还应理解，上述实施例中，在速率与完整性保护冲突的情况下，接入网设备可以实行完整性保护，并且以第二速率进行传输。也就是说，接入网设备可以以第二速率来与终端设备传输数据。该第二速率可以是第四策略中指示的接入网设备当前能够提供的最大速率，或者，该第二速率也可以小于接入网设备当前能够提供的最大速率的任一速率，或者，该第二速率也可以是策略控制网元指示的一速率。可选地，接入网设备可以将该第二速率上报给会话管理网元。下文将结合图6所示的实施例详细描述。

基于上述方案，通过第四策略，接入网设备在能力达不到业务能力要求的情况下，即在速率与完整性保护冲突的情况下，优先选择完整性保护，从而可以实现根据业务动态调整完整性保护策略，以尽可能地匹配不同的业务场景。其中，该第四策略可以是会话管理网元进行决策并选择的，也可以是统一数据管理网元进行决策并选择的。

图4是本申请实施例提供的一种方法400的示意***互图。方法400可以包括以下步骤。

410，终端设备向接入和移动管理网元发送业务请求消息。相应地，接入和移动管理网元接收来自终端设备的业务请求消息。

为区分，在本申请实施例中，将终端设备向接入和移动管理网元发送的业务请求消息记为第一业务请求消息，下文统一用第一业务请求消息表示。

该步骤同方法300中的步骤310相同，具体可参考上述步骤310，此处不再赘述。

420，接入和移动管理网元向会话管理网元发送第二业务请求消息。

为区分，在本申请实施例中，将接入和移动管理网元向会话管理网元发送的业务请求消息记为第二业务请求消息，下文统一用第二业务请求消息表示。

该步骤同方法300中的步骤320相同，具体可参考上述步骤320，此处不再赘述。

430，会话管理网元向统一数据管理网元发送第三业务请求消息。

为区分，在本申请实施例中，将会话管理网元向统一数据管理网元发送的业务请求消息记为第三业务请求消息，下文统一用第三业务请求消息表示。

该步骤同方法300中的步骤330相同，具体可参考上述步骤330，此处不再赘述。

440，统一数据管理网元向会话管理网元发送第三业务响应消息。

该第三业务响应消息为针对步骤430中第三业务请求消息的响应。为区分，在本申请实施例中，将统一数据管理网元向会话管理网元发送的业务响应消息记为第三业务响应消息，下文统一用第三业务响应消息表示。

也可以理解为，统一数据管理网元根据终端设备的标识，如SUPI，找到终端设备的签约信息，并将该签约信息通过第三业务响应消息通知给会话管理网元。或者，也可以理解为，统一数据管理网元向会话管理网元返回第三业务响应消息。

可选地，该第三业务响应消息可以为签约响应消息或会话管理网元和统一数据管理网元之间的通信消息(Nudm_SDM_Get_response)。

可选地，该终端设备的签约信息可以预先保存在统一数据管理网元中。该签约信息中可以包含用户面安全策略(UP security policy)，该用户面安全策略可以用于指示是否需要激活完整性保护。在本申请实施例中，用户面安全策略可以包括已有技术中签约信息中包含的用户面安全策略，如上文所述的required、not need、preferred。

可选地，该第三业务响应消息可以包括第一指示信息。

一种可能的实现方式，该第一指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护。换句话说，该第一指示信息可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，或者，该第一指示信息可以用于指示在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备优先选择开启完整性保护。

又一种可能的实现方式，该第一指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。换句话说，该第一指示信息可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，或者，该第一指示信息可以用于指示在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备优先选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

在步骤430中，统一数据管理网元可以根据业务的类型等信息，确定是否要发送第一指示信息。如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以发送第一指示信息。

应理解，以上列举的信令仅为示例，不应对本申请构成任何限定。该第一指示信息也可以携带于会话管理网元和统一数据管理网元之间传输的其他消息中，或者，也可以通过单独的一个信令发送。

450，会话管理网元根据签约信息和/或本地策略，确定第二指示信息。

一种可能的实现方式，该第二指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护。

换句话说，该第二指示信息可以用于指示在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备优先选择开启完整性保护。

在该实现方式下，会话管理网元确定第二指示信息，即表示会话管理网元向接入网设备指示：在速率与完整性保护冲突的情况下优先选择完整性保护。

又一种可能的实现方式，该第二指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。换句话说，该第二指示信息可以用于指示在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备优先选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

在该实现方式下，会话管理网元确定第二指示信息，即表示会话管理网元向接入网设备指示：在速率与完整性保护冲突的情况下优先选择完整性保护，且指示接入网设备以当前能够提供的最大速率传输。

该第二指示信息和步骤440中的第一指示信息可以相同，也可以不同，对此不做限定。下面分别说明。

一种可能的实现方式，会话管理网元基于从统一数据管理网元处获取到的第一指示信息，得到第二指示信息。

或者，也可以理解为，会话管理网元根据从统一数据管理网元处获取到的第一指示信息，确定是否要向接入网设备指示在速率与完整性保护冲突的情况下优先选择完整性保护，或确定是否要向接入网设备指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输；或者，换句话说，第二指示信息为统一数据管理网元指示的，会话管理网元判断是否可以向接入网设备指示该第二指示信息。

会话管理网元可以基于第一指示信息，生成第二指示信息。该第二指示信息可以包括该第一指示信息或者也可以为第一指示信息，或者说，该第二指示信息可用于指示在速率与完整性保护冲突的情况下，接入网设备优先选择开启完整性保护，或者，该第二指示信息可用于指示在速率与完整性保护冲突的情况下，接入网设备优先选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

会话管理网元可以基于业务类型和/或接入网设备的能力等来确定是否要指示第二指示信息。或者，会话管理网元也可以直接根据第一指示信息确定向接入网设备指示第二指示信息。

可选地，会话管理网元可以根据从统一数据管理网元处获取的终端设备的签约信息生成第三安全策略，该第三安全策略可以包括步骤440中的用户面安全策略，如，required、not need、或preferred。

又一种可能的实现方式，会话管理网元根据其他信息得到第二指示信息。

或者，也可以理解为，会话管理网元根据终端设备的其他信息确定是否可以向接入网设备指示第二指示信息；或者，换句话说，第二指示信息为会话管理网元指示的，即会话管理网元判断在速率与完整性保护冲突的情况下，接入网设备是否要优先选择开启完整性保护，如果是，则会话管理网元指示第二指示信息。

会话管理网元还可以基于其他信息，比如本地策略、获得的切片相关信息、支持的服务类型等信息中的一项或多项综合判断来生成第二指示信息，或者说，确定在速率与完整性保护冲突的情况下，接入网设备是否要优先选择开启完整性保护。其中，该业务类型的安全需求可以从签约信息获取；还可以通过与其他网元交互，比如策略控制网元、应用服务网元等。

例如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以指示第二指示信息。

可选地，会话管理网元也可以根据其他信息生成第四安全策略，比如本地策略(local policy)、获得的切片相关信息、支持的服务类型等信息中的一项或多项综合判断来生成第四安全策略，该第四安全策略例如可以包括为：required、not need、或preferred。其中，该业务类型的安全需求可以从签约信息获取；还可以通过与其他网元交互，比如策略控制网元、应用服务网元等。

应理解，第二指示信息与第一指示信息有可能是相同的，也有可能是不同的，本申请对此不作限定。

还应理解，图4中为便于理解，仅示出了确定第二指示信息的情况，即接入网设备优先选择完整性保护的情况，本申请实施例并未限定于此。

假设在步骤450中，会话管理网元确定第二指示信息，方法400还可以包括如下步骤。

460，会话管理网元向接入和移动管理网元发送第二业务响应消息。

该第二业务响应消息为针对步骤420中第二业务请求消息的响应。为区分，在本申请实施例中，将会话管理网元向接入和移动管理网元发送的业务响应消息记为第二业务响应消息，下文统一用第二业务响应消息表示。

可选地，该第二业务响应消息可以为PDU会话创建会话管理上下文服务响应。换句话说，步骤460，也可以理解为，会话管理网元向接入和移动管理网元返回PDU会话创建会话管理上下文服务响应。

会话管理网元向接入和移动管理网元发送的第二业务响应消息中携带步骤450中的第二指示信息，换句话说，该第二业务响应消息可以包括第二指示信息，该第二指示信息用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，或者，该第二指示信息用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。

470，接入和移动管理网元向接入网设备发送指示第二指示信息的信息。

接入和移动管理网元将从会话管理网元接收到的信息转发给接入网设备。例如，接入和移动管理网元向接入网设备发送第二指示信息和安全策略，安全策略即为第三安全策略或第四安全策略。

其中，第二指示信息和安全策略，可以携带于接入和移动管理网元与接入网设备的N2接口消息，比如N2接口PDU会话请求(N2 PDU session request)消息。

480，接入网设备根据第二指示信息，优先实行完整性保护。

也就是说，接入网设备接收到第二指示信息后，在速率无法达到要求的情况下或者说在速率与完整性保护冲突的情况下，优先选择完整性保护；或者，接入网设备接收到第二指示信息后，在速率无法达到要求的情况下或者说在速率与完整性保护冲突的情况下，优先选择完整性保护，并以接入网设备当前能够提供的最大速率进行服务。

可选地，接入网设备可以通知会话管理网元已做降速处理以及最终的速率。

应理解，上述实施例涉及信令仅是示例性说明，并不对本申请实施例的保护范围造成限定。

还应理解，上述实施例中，在速率与完整性保护冲突的情况下，接入网设备可以实行完整性保护，并且以第二速率进行传输，也就是说，接入网设备可以以第二速率来与终端设备传输数据。该第二速率可以是第二指示信息中指示的接入网设备当前能够提供的最大速率，或者，该第二速率也可以小于接入网设备当前能够提供的最大速率的任一速率，或者，该第二速率也可以是策略控制网元指示的一速率。可选地，接入网设备可以将该第二速率上报给会话管理网元。下文将结合图6所示的实施例详细描述。

基于上述方案，通过指示信息，接入网设备在能力达不到业务能力要求的情况下，即在速率与完整性保护冲突的情况下，优先选择完整性保护，从而可以实现根据业务动态调整完整性保护策略，以尽可能地匹配不同的业务场景。其中，该指示信息可以是会话管理网元进行决策并生成的，即第二指示信息；或者，该指示信息也可以是统一数据管理网元进行决策并生成的，即第一指示信息。

图5是本申请实施例提供的一种方法500的示意***互图。方法500可以包括以下步骤。

510，终端设备向接入和移动管理网元发送业务请求消息。相应地，接入和移动管理网元接收来自终端设备的业务请求消息。

换句话说，终端设备向接入和移动管理网元发起业务请求消息。业务请求消息可以用于请求建立终端设备与数据网络的业务服务器的连接，该业务请求消息所请求建立的与数据网络的业务服务器的连接可用于传输数据。该数据例如可以是普通数据、小数据、具体的业务对应的数据等，本申请对此不作限定。

为区分，在本申请实施例中，将终端设备向接入和移动管理网元发送的业务请求消息记为第一业务请求消息，下文统一用第一业务请求消息表示。

可选地，终端设备可以经由接入网设备向接入和移动管理网元发送第一业务请求消息。

可选地，该第一业务请求消息为服务请求消息或PDU会话建立请求消息。

可选地，该第一业务请求消息可以携带切片或者具体业务相关信息，如业务类型、S-NSSAI等，例如可以通过S-NSSAI指示终端设备请求的切片信息。可选地，该第一业务请求消息可以携带DNN，以指示终端设备请求访问的数据网络名称。

在本申请实施例中，该第一业务请求消息可以包括第三指示信息。

一种可能的实现方式，该第三指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护。换句话说，该第三指示信息可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，接入网设备优先选择开启完整性保护。

又一种可能的实现方式，该第三指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。换句话说，该第三指示信息可以用于指示在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备优先选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

在步骤510中，终端设备可以根据待传输业务的类型等信息，确定是否要发送第三指示信息。如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以发送第三指示信息。

可选地，终端设备发送的第三指示信息可以为会话粒度，即针对不同数据网络(data network，DN)或者应用的指示信息。针对不同DN或应用的指示信息，可以预先配置，如协议预先规定；或者也可以是终端设备自身配置；或者也可以是在注册流程中从核心网获取等，对此不做限定。

可选地，可以在用户路由选择策略(UE routing selection policy，URSP)中引入该指示(即第三指示信息)。例如，通过URSP定义应用与PDU会话属性的关系，对于某些类型的应用，可以在速率不满足要求的情况下，不拒绝会话，以当前能够提供的最大速率传输即可。

应理解，以上列举的信令仅为示例，不应对本申请构成任何限定。该第三指示信息也可以携带于终端设备和接入和移动管理网元之间传输的其他消息中，或者，也可以通过单独的一个信令发送。

520，接入和移动管理网元向会话管理网元发送第二业务请求消息。

为区分，在本申请实施例中，将接入和移动管理网元向会话管理网元发送的业务请求消息记为第二业务请求消息，下文统一用第二业务请求消息表示。也可以理解为，接入和移动管理网元调用会话管理网元提供的会话创建会话管理上下文服务。

该步骤同方法300中的步骤320相似，具体可参考上述步骤320，此处不再赘述。

可选地，第二业务请求消息中包括第三指示信息，即步骤510中的第三指示信息。

530，会话管理网元根据第二业务请求消息确定第四指示信息。

换句话说，会话管理网元根据接收到的第二业务请求消息，确定在速率与完整性保护冲突的情况下是否要优先选择完整性保护。

一种可能的实现方式，该第四指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护。

换句话说，该第四指示信息可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，接入网设备优先选择开启完整性保护。

在该实现方式下，会话管理网元确定第四指示信息，即表示会话管理网元向接入网设备指示：在速率与完整性保护冲突的情况下优先选择完整性保护。

又一种可能的实现方式，该第四指示信息可以用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。

换句话说，该第四指示信息可以用于指示当接入网设备的能力不支持终端设备的业务要求能力时，接入网设备优先选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

在该实现方式下，会话管理网元确定第四指示信息，即表示会话管理网元向接入网设备指示：在速率与完整性保护冲突的情况下优先选择完整性保护，且指示接入网设备以当前能够提供的最大速率传输。

该第四指示信息和步骤510中的第三指示信息可以相同，也可以不同，对此不做限定。下面分别说明。

一种可能的实现方式，会话管理网元基于获取到的第三指示信息，得到第四指示信息。

或者，也可以理解为，会话管理网元根据从终端设备处获取到的第三指示信息，确定是否要向接入网设备指示在速率与完整性保护冲突的情况下优先选择完整性保护，或确定是否要向接入网设备指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输；或者，换句话说，第四指示信息为终端设备指示的，会话管理网元判断是否可以向接入网设备指示该第四指示信息。

会话管理网元可以基于第三指示信息，生成第四指示信息。该第四指示信息可以包括该第三指示信息或者也可以为第三指示信息，或者说，该第四指示信息可用于指示在速率与完整性保护冲突的情况下，接入网设备优先选择开启完整性保护，或者，该第四指示信息可用于指示在速率与完整性保护冲突的情况下，接入网设备优先选择开启完整性保护，且接入网设备以当前能够提供的最大速率传输。

会话管理网元可以基于业务类型和/或接入网设备的能力等来确定是否要指示第四指示信息。或者，会话管理网元也可以直接根据第三指示信息确定向接入网设备指示第四指示信息。

又一种可能的实现方式，会话管理网元根据其他信息得到第四指示信息。

或者，也可以理解为，会话管理网元根据终端设备的其他信息确定是否可以向接入网设备指示第四指示信息；或者，换句话说，第四指示信息为会话管理网元指示的，即会话管理网元判断在速率与完整性保护冲突的情况下，接入网设备是否要优先选择开启完整性保护，如果是，则会话管理网元指示第四指示信息。

会话管理网元还可以基于其他信息，比如本地策略、获得的切片相关信息、支持的服务类型等信息中的一项或多项综合判断来生成第四指示信息，或者说，确定在速率与完整性保护冲突的情况下，接入网设备是否要优先选择开启完整性保护。其中，该业务类型的安全需求可以从签约信息获取；还可以通过与其他网元交互，比如策略控制网元、应用服务网元等。

例如，对于某些业务，如小容量语音等业务，能够完整性保护当然更好，如果实在无法完整性保护，偶尔的丢包篡改也不影响理解语音的内容，故针对该类业务，可以指示第四指示信息。

因此，可以理解，第四指示信息与第三指示信息有可能是相同的，也有可能是不同的，本申请对此不作限定。

可选地，会话管理网元可以生成安全策略，该安全策略可以为，required、notneed、或preferred。

关于会话管理网元生成安全策略的方式，可以参考方法400中的描述，此处不再赘述。

应理解，图5中为便于理解，仅示出了确定第四指示信息的情况，即接入网设备优先选择完整性保护的情况，本申请实施例并未限定于此。

假设在步骤530中，会话管理网元确定第四指示信息，方法500还可以包括如下步骤。

540，会话管理网元向接入和移动管理网元发送第二业务响应消息。

该第二业务响应消息为针对步骤520中第二业务请求消息的响应。为区分，在本申请实施例中，将会话管理网元向接入和移动管理网元发送的业务响应消息记为第二业务响应消息，下文统一用第二业务响应消息表示。

可选地，该第二业务响应消息可以为PDU会话创建会话管理上下文服务响应。换句话说，步骤540，也可以理解为，会话管理网元向接入和移动管理网元返回PDU会话创建会话管理上下文服务响应。

会话管理网元向接入和移动管理网元发送的第二业务响应消息中携带步骤530中的第四指示信息，换句话说，该第二业务响应消息可以包括第四指示信息，该第四指示信息用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，或者，该第四指示信息用于指示在速率与完整性保护冲突的情况下优先选择完整性保护，且接入网设备以当前能够提供的最大速率传输。

550，接入和移动管理网元向接入网设备发送指示第四指示信息的信息。

接入和移动管理网元将从会话管理网元接收到的信息转发给接入网设备。例如，接入和移动管理网元向接入网设备发送第四指示信息和安全策略，安全策略即为步骤530中生成的安全策略。

其中，第四指示信息和安全策略，可以携带于接入和移动管理网元与接入网设备的N2接口消息，比如N2接口PDU会话请求(N2 PDU session request)消息。

560，接入网设备根据第四指示信息，优先实行完整性保护。

也就是说，接入网设备接收到第四指示信息后，在速率无法达到要求的情况下或者说在速率与完整性保护冲突的情况下，优先选择完整性保护；或者，接入网设备接收到第四指示信息后，在速率无法达到要求的情况下或者说在速率与完整性保护冲突的情况下，优先选择完整性保护，并以接入网设备当前能够提供的最大速率进行服务。

可选地，接入网设备还可以根据自身的能力确定是否需要进行降速处理。

可选地，接入网设备可以通知会话管理网元已做降速处理以及最终的速率。

应理解，上述实施例涉及信令仅是示例性说明，并不对本申请实施例的保护范围造成限定。

还应理解，上述实施例中，在速率与完整性保护冲突的情况下，接入网设备可以实行完整性保护，并且以第二速率进行传输，也就是说，接入网设备可以以第二速率来与终端设备传输数据。该第二速率可以是第四指示信息中指示的接入网设备当前能够提供的最大速率，或者，该第二速率也可以小于接入网设备当前能够提供的最大速率的任一速率，或者，该第二速率也可以是策略控制网元指示的一速率。可选地，接入网设备可以将该第二速率上报给会话管理网元。下文将结合图6所示的实施例详细描述。

基于上述方案，通过指示信息，接入网设备在能力达不到业务能力要求的情况下，即在速率与完整性保护冲突的情况下，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，优先选择完整性保护，从而可以实现根据业务动态调整完整性保护策略，以尽可能地匹配不同的业务场景。其中，该指示信息可以是终端设备进行决策并生成的。

下面结合图6介绍接入网设备与终端设备传输数据时的传输速率，即第二速率。

图6是本申请实施例提供的一种方法600的示意***互图。方法600可以包括以下步骤。

610，终端设备向接入和移动管理网元发送业务请求消息。相应地，接入和移动管理网元接收来自终端设备的业务请求消息。

为区分，在本申请实施例中，将终端设备向接入和移动管理网元发送的业务请求消息记为第一业务请求消息，下文统一用第一业务请求消息表示。

该步骤可以参考上述方法300中的步骤310、方法400中的步骤410、或方法500中的步骤510，此处不再赘述。

620，接入和移动管理网元向会话管理网元发送第二业务请求消息。

为区分，在本申请实施例中，将接入和移动管理网元向会话管理网元发送的业务请求消息记为第二业务请求消息，下文统一用第二业务请求消息表示。

该步骤可以参考上述方法300中的步骤320、方法400中的步骤420、或方法500中的步骤520，此处不再赘述。

630，会话管理网元向统一数据管理网元发送第三业务请求消息。

为区分，在本申请实施例中，将会话管理网元向统一数据管理网元发送的业务请求消息记为第三业务请求消息，下文统一用第三业务请求消息表示。

该步骤可以参考上述方法300中的步骤330、或方法400中的步骤430，此处不再赘述。

640，统一数据管理网元向会话管理网元发送第三业务响应消息。

该步骤可以参考上述方法300中的步骤340、或方法400中的步骤440，此处不再赘述。

650，会话管理网元根据签约信息和/或本地策略，确定接入网设备是否要优先选择完整性保护。

该步骤可以参考上述方法300中的步骤350，即会话管理网元根据签约信息和/或本地策略确定实行第四策略，此处不再赘述。

或者，该步骤可以参考上述方法400中的步骤450，即会话管理网元根据签约信息和/或本地策略确定第二指示信息，此处不再赘述。

或者，该步骤可以参考上述方法500中的步骤530，即会话管理网元根据第二业务请求消息确定第四指示信息，此处不再赘述。

在本申请实施例中，策略控制网元可以确定第二速率，即在速率与完整性保护冲突的情况下，接入网设备实行完整性保护时的传输速率。如可以通过如下步骤601至603，确定第二速率。

601，会话管理网元向策略控制网元发送第五指示信息。

该第五指示信息可以用于指示在速率与完整性保护冲突的情况下接入网设备将实行完整性保护。

该第五指示信息可以携带于会话管理网元与策略控制网元之间的通信消息(Npcf_SMPolicyControl_Create_request)。

可选地，该第五指示信息可以包括接入网设备当前能够提供的最大速率。

602，策略控制网元确定第二速率。

策略控制网元根据第五指示信息，确定最终速率，该最终速率可以为服务数据流(service data flow)的速率。

603，策略控制网元向会话管理网元发送第六指示信息。

该第六指示信息可以为针对第五指示信息的响应。也可以理解为，策略控制网元向会话管理网元返回第六指示信息。

该第六指示信息可以指示上述步骤602中的最终速率的信息。

该第六指示信息可以携带于会话管理网元与策略控制网元之间的通信消息(Npcf_SMPolicyControl_Create_response)。

会话管理网元接收到该第六指示信息后，可以将该第六指示信息指示的最终速率进行处理以得到服务质量(quality of service，QoS)流(QoSflow)。

基于上述步骤601至步骤603，会话管理网元可以确定最终的接入网设备与终端设备传输的数据对应的QoS流。

660，会话管理网元向接入和移动管理网元发送第二业务响应消息。

该步骤可以参考上述方法300中的步骤360、方法400中的步骤460、或方法500中的步骤540，此处不再赘述。

可选地，该第二业务响应消息中还可以包括QoS流的信息。

670，接入和移动管理网元向接入网设备发送指示接入网设备优先选择完整性保护的信息。

该步骤可以参考上述方法300中的步骤370，即接入和移动管理网元向接入网设备发送指示第四策略的信息，此处不再赘述。

或者，该步骤可以参考上述方法400中的步骤470，即接入和移动管理网元向接入网设备发送指示第二指示信息的信息，此处不再赘述。

或者，该步骤可以参考上述方法500中的步骤550，即接入和移动管理网元向接入网设备发送指示第四指示信息的信息，此处不再赘述。

可选地，该指示接入网设备优先选择完整性保护的信息中还可以包括QoS流的信息。

680，接入网设备根据指示接入网设备优先选择完整性保护的信息，优先实行完整性保护。

该步骤可以参考上述方法300中的步骤380，即接入网设备根据第四策略优先实行完整性保护，此处不再赘述。

或者，该步骤可以参考上述方法400中的步骤480，即接入网设备根据第二指示信息优先实行完整性保护，此处不再赘述。

或者，该步骤可以参考上述方法500中的步骤560，即接入网设备根据第四指示信息优先实行完整性保护，此处不再赘述。

可选地，该指示接入网设备优先选择完整性保护的信息中还可以包括QoS流的信息，接入网设备可以基于该QoS流的信息确定是否降速以及第二速率。该第二速率小于或等于接入网设备当前能够提供的最大速率。

或者，接入网设备也可以结合自身的能力确定是否需要做降速处理。

可选地，接入网设备可以通知会话管理网元已做降速处理以及最终的速率。

应理解，上述实施例涉及信令仅是示例性说明，并不对本申请实施例的保护范围造成限定。

还应理解，上述方法600可以与方法300、方法400、或方法500结合使用。

基于上述方案，接入网设备在能力达不到业务能力要求的情况下，即在速率与完整性保护冲突的情况下，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，优先选择完整性保护，从而可以实现根据业务动态调整完整性保护策略，以尽可能地匹配不同的业务场景。此外，接入网设备还可以根据策略控制网元的指示，确定最终的传输速率(即第二速率)。

图7是本申请实施例提供的一种方法700的示意***互图。方法700可以包括以下步骤。

710，终端设备向接入和移动管理网元发送业务请求消息。相应地，接入和移动管理网元接收来自终端设备的业务请求消息。

为区分，在本申请实施例中，将终端设备向接入和移动管理网元发送的业务请求消息记为第一业务请求消息，下文统一用第一业务请求消息表示。

该步骤可以参考上述方法300中的步骤310、或方法400中的步骤410，此处不再赘述。

720，接入和移动管理网元向会话管理网元发送第二业务请求消息。

为区分，在本申请实施例中，将接入和移动管理网元向会话管理网元发送的业务请求消息记为第二业务请求消息，下文统一用第二业务请求消息表示。

该步骤可以参考上述方法300中的步骤320、或方法400中的步骤420，此处不再赘述。

730，基于第二业务请求消息，会话管理网元进行处理。

例如，会话管理网元可以基于该第二业务请求消息确定安全算法；又如，会话管理网元基于该第二业务请求消息，生成加密密钥和完整性保护密钥；又如，会话管理网元基于该第二业务请求消息，生成安全策略，等等。该步骤可以按照现有标准实现，本申请实施例对此不做限定。

740，会话管理网元向接入和移动管理网元发送第二业务响应消息。

该第二业务响应消息为针对步骤720中第二业务请求消息的响应。为区分，在本申请实施例中，将会话管理网元向接入和移动管理网元发送的业务响应消息记为第二业务响应消息，下文统一用第二业务响应消息表示。

可选地，该第二业务响应消息可以为PDU会话创建会话管理上下文服务响应。换句话说，步骤740，也可以理解为，会话管理网元向接入和移动管理网元返回PDU会话创建会话管理上下文服务响应。

会话管理网元向接入和移动管理网元发送的第二业务响应消息中可以携带步骤730中会话管理网元确定的信息，如安全策略和/或安全算法等等。

750，接入和移动管理网元向接入网设备发送请求消息。

接入和移动管理网元将从会话管理网元接收到的信息转发给接入网设备。

其中，请求消息可以为接入和移动管理网元与接入网设备的N2接口消息，比如N2接口PDU会话请求(N2 PDU session request)消息。

上述步骤710至步骤750可参考现有标准实现，本申请实施例对此不做限定。

在本申请实施例中，在速率与完整性保护冲突的情况下，接入网设备可以自行决策是否要优先选择完整性保护。方法700还可以包括如下步骤。

760，基于请求消息，接入网设备确定是否可以做降速处理。

也就是说，接入网设备接收到请求消息后，发现速率无法达到要求或者说速率与完整性保护冲突，那么接入网设备可以确定是否可以做降速处理，以实行完整性保护。

例如，接入网设备可以结合自身能力确定是否能够做降速处理。

一种可能的实现方式，当接入网设备确定在速率与完整性保护冲突的情况下，优先选择完整性保护，并自行进行降速处理，且接入网设备可以通知会话管理网元降速处理结果。

又一种可能的实现方式，当接入网设备确定在速率与完整性保护冲突的情况下，优先选择完整性保护，并向会话管理网元请求是否可以降速处理。也就是说，接入网设备获得会话管理网元的批准后再进行降速处理。

假设接入网设备获得会话管理网元的批准后再进行降速处理，则方法700还可以包括步骤770和步骤780。

770，接入网设备向会话管理网元发送请求降速的消息。

该请求降速的消息用于请求会话管理网元，接入网设备是否可以做降速处理。

该请求降速的消息可以通过接入和移动管理网元的转发进行实现。即接入网设备向接入和移动管理网元发送该请求降速的消息，接入和移动管理网元向会话管理网元转发该请求降速的消息。

780，会话管理网元向接入网设备发送指示降速的消息。

该指示降速的消息可以通过接入和移动管理网元的转发进行实现。即会话管理网元向接入和移动管理网元发送该指示降速的消息，接入和移动管理网元向接入网设备转发该指示降速的消息。

该指示降速的消息用于指示接入网设备可以进行降速处理或者不可以进行降速处理。

例如，当该指示降速的消息用于指示接入网设备可以进行降速处理时，接入网设备可以实现完整性保护，并进行降速处理。

又如，当该指示降速的消息用于指示接入网设备不可以进行降速处理时，接入网设备不会实现完整性保护，也不会进行降速处理。

应理解，上述实施例中，在速率与完整性保护冲突的情况下，接入网设备降速处理后，可以以第二速率来与终端设备传输数据。该第二速率可以是通过方法600的方式获得的第二速率，或者，也可以是接入网设备自身确定的，或者，也可以是接入网设备自身确定且会话管理网元批准的。该第二速率可以小于或等于接入网设备当前能够提供的最大速率。可选地，接入网设备可以向会话管理网元上报该第二速率。

还应理解，上述实施例涉及信令仅是示例性说明，并不对本申请实施例的保护范围造成限定。

基于上述方案，接入网设备在能力达不到业务能力要求的情况下，即在速率与完整性保护冲突的情况下，或者说，在接入网设备无法按照第一速率执行用户面安全策略的情况下，可以自行决策优先选择完整性保护，且可以通知会话管理网元，从而可以实现根据业务动态调整完整性保护策略，以尽可能地匹配不同的业务场景。

应理解，在本文描述的各个实施例中，各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

本文中描述的各个实施例可以为独立的方案，也可以根据内在逻辑进行组合，这些方案都落入本申请的保护范围中。

可以理解的是，上述各个方法实施例中，由终端侧实现的方法和操作，也可以由可用于终端侧设备的部件(例如芯片或者电路)实现，由网络侧实现的方法和操作，也可以由可用于网络侧设备的部件(例如芯片或者电路)实现。

以上，结合图2至图7详细说明了本申请实施例提供的方法。以下，结合图8至图9详细说明本申请实施例提供的安全会话装置。应理解，装置实施例的描述与方法实施例的描述相互对应，因此，未详细描述的内容可以参见上文方法实施例，为了简洁，这里不再赘述。

上述主要从各个网元之间交互的角度对本申请实施例提供的方案进行了介绍。可以理解的是，各个网元，例如发射端设备或者接收端设备，为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本申请实施例可以根据上述方法示例对发射端设备或者接收端设备进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。下面以采用对应各个功能划分各个功能模块为例进行说明。

图8是本申请实施例提供的安全会话装置800的示意性框图。如图所示，该通信装置800可以包括：收发单元810和处理单元820。

在一种可能的设计中，该安全会话装置800可以是上文方法实施例中的接入网设备，也可以是用于实现上文方法实施例中接入网设备的功能的芯片。

在一种可能的实现方式，收发单元810用于：接收会话管理网元发送的会话请求消息，会话请求消息携带终端设备的用户面安全策略以及第一速率的信息；处理单元820用于：在安全会话装置800无法按照第一速率执行用户面安全策略的情况下，按照第二速率激活完整性保护，其中，第二速率低于第一速率。

可选地，第二速率小于或等于安全会话装置800当前能够支持的最大传输速率。

可选地，处理单元820具体用于：基于用户面安全策略，按照第二速率激活完整性保护。

可选地，用户面安全策略是会话管理网元或统一数据管理网元确定的。

可选地，会话请求消息包括指示信息；处理单元820具体用于：基于指示信息，按照第二速率激活完整性保护。

可选地，处理单元820具体用于：在确定会话满足预设条件的情况下，按照第二速率激活完整性保护。

可选地，收发单元810还用于：接收来自策略控制网元的速率信息，速率信息用于指示第二速率。

可选地，收发单元810还用于：向会话管理网元发送第二速率的信息。

具体地，该安全会话装置800可对应于根据本申请实施例的方法200至700中的接入网设备，该安全会话装置800可以包括用于执行图2中的方法200至图7中的方法700中的接入网设备执行的方法的单元。并且，该安全会话装置800中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

在另一种可能的设计中，该安全会话装置800可以是上文方法实施例中的会话管理网元，也可以是用于实现上文方法实施例中会话管理网元的功能的芯片。

一种可能的实现方式中，处理单元820用于：确定终端设备的用户面安全策略，用户面安全策略用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备按照第二速率激活完整性保护，其中，第二速率低于第一速率；收发单元810用于：向接入网设备发送用户面安全策略。

可选地，收发单元810还用于：获取终端设备的签约信息；处理单元820具体用于：基于终端设备的签约信息，确定终端设备的用户面安全策略。

可选地，处理单元820具体用于：根据终端设备的会话请求消息，确定终端设备的用户面安全策略。

可选地，处理单元820还用于：接收来自策略控制网元提供的速率信息；收发单元810还用于：基于速率信息，向接入网设备发送用于指示第二速率的信息。

可选地，收发单元810还用于：接收接入网设备发送的第二速率的信息。

又一种可能的实现方式中，收发单元810用于：接收接入和移动管理网元发起的会话创建会话管理上下文服务请求；收发单元810还用于：基于会话创建会话管理上下文服务请求，向接入和移动管理网元返回会话创建会话管理上下文服务响应，会话创建会话管理上下文服务响应包括指示信息，指示信息用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备按照第二速率激活完整性保护，其中，第二速率低于第一速率。

可选地，会话创建会话管理上下文服务请求包括通知信息，通知信息用于通知在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备按照第二速率激活完整性保护；收发单元810具体用于：基于通知信息，确定所述指示信息。

可选地，会话创建会话管理上下文服务请求包括终端设备的业务类型的信息；处理单元820用于：基于业务类型的信息，确定所述指示信息。

可选地，收发单元810还用于：接收策略控制网元提供的速率信息；处理单元820还用于：基于速率信息，确定在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备按照第二速率激活完整性保护。

可选地，收发单元810还用于：接收接入网设备发送的第二速率的信息。

具体地，该安全会话装置800可对应于根据本申请实施例的方法200至700中的会话管理网元，该安全会话装置800可以包括用于执行图2中的方法200至图7中的方法700中的会话管理网元执行的方法的单元。并且，该安全会话装置800中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

在另一种可能的设计中，该安全会话装置800可以是上文方法实施例中的UE，也可以是用于实现上文方法实施例中UE的功能的芯片。

一种可能的实现方式，处理单元820用于：确定指示信息，指示信息用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，接入网设备按照第二速率激活完整性保护，其中，第二速率低于第一速率；收发单元810用于：向接入和移动管理网元发送指示信息。

具体地，该安全会话装置800可对应于根据本申请实施例的方法200至700中的UE，该安全会话装置800可以包括用于执行图2中的方法200至图7中的方法700中的UE执行的方法的单元。并且，该安全会话装置800中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。

在另一种可能的设计中，该安全会话装置800可以是上文方法实施例中的接入和移动管理网元，也可以是用于实现上文方法实施例中接入和移动管理网元的功能的芯片。

具体地，该安全会话装置800可对应于根据本申请实施例的方法200至700中的接入和移动管理网元，该安全会话装置800可以包括用于执行图2中的方法200至图7中的方法700中的接入和移动管理网元执行的方法的单元。并且，该安全会话装置800中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

在另一种可能的设计中，该安全会话装置800可以是上文方法实施例中的统一数据管理网元，也可以是用于实现上文方法实施例中统一数据管理网元的功能的芯片。

具体地，该安全会话装置800可对应于根据本申请实施例的方法200至700中的统一数据管理网元，该安全会话装置800可以包括用于执行图2中的方法200至图7中的方法700中的统一数据管理网元执行的方法的单元。并且，该安全会话装置800中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。

在另一种可能的设计中，该安全会话装置800可以是上文方法实施例中的策略控制网元，也可以是用于实现上文方法实施例中策略控制网元的功能的芯片。

具体地，该安全会话装置800可对应于根据本申请实施例的方法600中的策略控制网元，该安全会话装置800可以包括用于执行图6中的方法600中的策略控制网元执行的方法的单元。并且，该安全会话装置800中的各单元和上述其他操作和/或功能分别为了实现图6中的方法600的相应流程。

应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

还应理解，该安全会话装置800中的收发单元可对应于图9中示出的安全会话设备900中的收发器920，该安全会话装置800中的处理单元820可对应于图9中示出的安全会话设备900中的处理器910。

还应理解，当该安全会话装置800为芯片时，该芯片包括收发单元和处理单元。其中，收发单元可以是输入输出电路或通信接口；处理单元可以为该芯片上集成的处理器或者微处理器或者集成电路。

图9是本申请实施例提供的安全会话设备900的示意性框图。如图所示，该安全会话设备900包括：处理器910和收发器920。该处理器910与存储器耦合，用于执行存储器中存储的指令，以控制收发器920发送信号和/或接收信号。可选地，该安全会话设备900还包括存储器930，用于存储指令。

应理解，上述处理器910和存储器930可以合成一个处理装置，处理器910用于执行存储器930中存储的程序代码来实现上述功能。具体实现时，该存储器930也可以集成在处理器910中，或者独立于处理器910。

还应理解，收发器920可以包括接收器(或者称，接收机)和发射器(或者称，发射机)。收发器还可以进一步包括天线，天线的数量可以为一个或多个。

在一种可能的设计中，该安全会话设备900可以是上文方法实施例中的接入网设备，也可以是用于实现上文方法实施例中接入网设备的功能的芯片。

具体地，该安全会话设备900可对应于根据本申请实施例的方法200至700中的接入网设备，该安全会话设备900可以包括用于执行图2中的方法200至图7中的方法700中的接入网设备执行的方法的单元。并且，该安全会话设备900中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

在另一种可能的设计中，该安全会话设备900可以是上文方法实施例中的会话管理网元，也可以是用于实现上文方法实施例中会话管理网元的功能的芯片。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

在另一种可能的设计中，该安全会话设备900可以是上文方法实施例中的会话管理网元，也可以是用于实现上文方法实施例中会话管理网元的功能的芯片。

具体地，该安全会话设备900可对应于根据本申请实施例的方法200至700中的会话管理网元，该安全会话设备900可以包括用于执行图2中的方法200至图7中的方法700中的会话管理网元执行的方法的单元。并且，该安全会话装置800中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

在另一种可能的设计中，该安全会话设备900可以是上文方法实施例中的接入和移动管理网元，也可以是用于实现上文方法实施例中接入和移动管理网元的功能的芯片。

具体地，该安全会话设备900可对应于根据本申请实施例的方法200至700中的接入和移动管理网元，该安全会话设备900可以包括用于执行图2中的方法200至图7中的方法700中的接入和移动管理网元执行的方法的单元。并且，该安全会话设备900中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

在另一种可能的设计中，该安全会话设备900可以是上文方法实施例中的UE，也可以是用于实现上文方法实施例中UE的功能的芯片。

具体地，该安全会话设备900可对应于根据本申请实施例的方法200至700中的UE，该安全会话设备900可以包括用于执行图2中的方法200至图7中的方法700中的UE执行的方法的单元。并且，该安全会话设备900中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。

在另一种可能的设计中，该安全会话设备900可以是上文方法实施例中的统一数据管理网元，也可以是用于实现上文方法实施例中统一数据管理网元的功能的芯片。

具体地，该安全会话设备900可对应于根据本申请实施例的方法200至700中的统一数据管理网元，该安全会话设备900可以包括用于执行图2中的方法200至图7中的方法700中的统一数据管理网元执行的方法的单元。并且，该安全会话设备900中的各单元和上述其他操作和/或功能分别为了实现图2中的方法200、图3中的方法300、图4中的方法400、图5中的方法500、图6中的方法600或图7中的方法700的相应流程。

在另一种可能的设计中，该安全会话设备900可以是上文方法实施例中的策略控制网元，也可以是用于实现上文方法实施例中策略控制网元的功能的芯片。

具体地，该安全会话设备900可对应于根据本申请实施例的方法600中的策略控制网元，该安全会话设备900可以包括用于执行图6中的方法600中的策略控制网元执行的方法的单元。并且，该安全会话设备900中的各单元和上述其他操作和/或功能分别为了实现图6中的方法600的相应流程。

应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。

当该安全会话设备900为芯片时，该芯片包括收发单元和处理单元。其中，收发单元可以是输入输出电路或通信接口；处理单元可以为该芯片上集成的处理器或者微处理器或者集成电路。

本申请实施例还提供了一种处理装置，包括处理器和接口。所述处理器可用于执行上述方法实施例中的方法。

应理解，上述处理装置可以是一个芯片。例如，该处理装置可以是现场可编程门阵列(field programmable gate array，FPGA)，可以是专用集成芯片(applicationspecific integrated circuit，ASIC)，还可以是***芯片(system on chip，SoC)，还可以是中央处理器(central processor unit，CPU)，还可以是网络处理器(networkprocessor，NP)，还可以是数字信号处理电路(digital signal processor，DSP)，还可以是微控制器(micro controller unit，MCU)，还可以是可编程控制器(programmable logicdevice，PLD)或其他集成芯片。

在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。为避免重复，这里不再详细描述。

应注意，本申请实施例中的处理器可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

可以理解，本申请实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(dynamic RAM，DRAM)、同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double data rateSDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(directrambus RAM，DR RAM)。应注意，本文描述的***和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。

根据本申请实施例提供的方法，本申请还提供一种计算机程序产品，该计算机程序产品包括：计算机程序代码，当该计算机程序代码在计算机上运行时，使得该计算机执行图2至图7所示实施例中任意一个实施例的方法。

根据本申请实施例提供的方法，本申请还提供一种计算机可读介质，该计算机可读介质存储有程序代码，当该程序代码在计算机上运行时，使得该计算机执行图2至图7所示实施例中任意一个实施例的方法。

根据本申请实施例提供的方法，本申请还提供一种***，其包括前述的会话管理网元、接入网设备以及UE。

根据本申请实施例提供的方法，本申请还提供一种***，其包括前述的会话管理网元、接入和移动管理网元、接入网设备、统一数据管理网元以及UE。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如，高密度数字视频光盘(digital video disc，DVD))、或者半导体介质(例如，固态硬盘(solid state disc，SSD))等。

上述各个装置实施例中网络侧设备与终端设备和方法实施例中的网络侧设备或终端设备对应，由相应的模块或单元执行相应的步骤，例如通信单元(收发器)执行方法实施例中接收或发送的步骤，除发送、接收外的其它步骤可以由处理单元(处理器)执行。具体单元的功能可以参考相应的方法实施例。其中，处理器可以为一个或多个。

在本说明书中使用的术语“部件”、“模块”、“***”等用于表示计算机相关的实体、硬件、固件、硬件和软件的组合、软件、或执行中的软件。例如，部件可以是但不限于，在处理器上运行的进程、处理器、对象、可执行文件、执行线程、程序和/或计算机。通过图示，在计算设备上运行的应用和计算设备都可以是部件。一个或多个部件可驻留在进程和/或执行线程中，部件可位于一个计算机上和/或分布在两个或更多个计算机之间。此外，这些部件可从在上面存储有各种数据结构的各种计算机可读介质执行。部件可例如根据具有一个或多个数据分组(例如来自与本地***、分布式***和/或网络间的另一部件交互的二个部件的数据，例如通过信号与其它***交互的互联网)的信号通过本地和/或远程进程来通信。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的***、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的***、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (22)

1.一种安全会话方法，其特征在于，包括：

接入网设备接收会话管理网元发送的会话请求消息，所述会话请求消息携带终端设备的用户面安全策略以及第一速率的信息；

在所述接入网设备无法按照所述第一速率执行所述用户面安全策略的情况下，所述接入网设备按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率。

2.根据权利要求1所述的安全会话方法，其特征在于，

所述接入网设备按照第二速率激活完整性保护，包括：

基于所述用户面安全策略，所述接入网设备按照所述第二速率激活完整性保护。

3.根据权利要求1所述的安全会话方法，其特征在于，

所述会话请求消息还包括指示信息；

所述接入网设备按照第二速率激活完整性保护，包括：

基于所述指示信息，所述接入网设备按照所述第二速率激活完整性保护。

4.根据权利要求1所述的安全会话方法，其特征在于，

所述接入网设备按照第二速率激活完整性保护，包括：

在确定所述会话请求消息的会话满足预设条件的情况下，所述接入网设备按照所述第二速率激活完整性保护。

5.根据权利要求1至4中任一项所述的安全会话方法，其特征在于，所述安全会话方法还包括：

所述接入网设备接收来自策略控制网元的速率信息，所述速率信息用于指示所述第二速率。

6.根据权利要求1至4中任一项所述的安全会话方法，其特征在于，所述方法还包括：

所述接入网设备向会话管理网元发送所述第二速率的信息。

7.一种安全会话方法，其特征在于，包括：

会话管理网元接收接入和移动管理网元发起的会话创建会话管理上下文服务请求；

基于所述会话创建会话管理上下文服务请求，所述会话管理网元向所述接入和移动管理网元返回会话创建会话管理上下文服务响应，所述会话创建会话管理上下文服务响应包括指示信息，所述指示信息用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，所述接入网设备按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率。

8.根据权利要求7所述的安全会话方法，其特征在于，

所述会话创建会话管理上下文服务请求包括通知信息，所述通知信息用于通知在所述接入网设备无法按照所述第一速率执行用户面安全策略的情况下，所述接入网设备按照所述第二速率激活完整性保护；

所述安全会话方法还包括：

基于所述通知信息，所述会话管理网元确定所述指示信息。

9.根据权利要求7所述的安全会话方法，其特征在于，

所述会话创建会话管理上下文服务请求包括终端设备的业务类型的信息；

所述安全会话方法还包括：

基于所述业务类型的信息，所述会话管理网元确定所述指示信息。

10.根据权利要求7至9中任一项所述的安全会话方法，其特征在于，所述安全会话方法还包括：

所述会话管理网元接收策略控制网元提供的速率信息；

基于所述速率信息，所述会话管理网元确定所述第二速率。

11.一种安全会话装置，其特征在于，包括：处理单元和收发单元，

所述收发单元用于：接收会话管理网元发送的会话请求消息，所述会话请求消息携带终端设备的用户面安全策略以及第一速率的信息；

所述处理单元用于：在所述安全会话装置无法按照所述第一速率执行所述用户面安全策略的情况下，按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率。

12.根据权利要求11所述的安全会话装置，其特征在于，

所述处理单元具体用于：

基于所述用户面安全策略，按照所述第二速率激活完整性保护。

13.根据权利要求11所述的安全会话装置，其特征在于，

所述会话请求消息还包括指示信息；

所述处理单元具体用于：

基于所述指示信息，按照所述第二速率激活完整性保护。

14.根据权利要求11所述的安全会话装置，其特征在于，所述处理单元具体用于：

在确定所述会话请求消息的会话满足预设条件的情况下，按照所述第二速率激活完整性保护。

15.根据权利要求11至14中任一项所述的安全会话装置，其特征在于，所述收发单元还用于：

接收来自策略控制网元的速率信息，所述速率信息用于指示所述第二速率。

16.根据权利要求11至14中任一项所述的安全会话装置，其特征在于，所述收发单元还用于：

向会话管理网元发送所述第二速率的信息。

17.一种安全会话装置，其特征在于，包括：收发单元，

所述收发单元用于：接收接入和移动管理网元发起的会话创建会话管理上下文服务请求；

所述收发单元还用于：基于所述会话创建会话管理上下文服务请求，向所述接入和移动管理网元返回会话创建会话管理上下文服务响应，所述会话创建会话管理上下文服务响应包括指示信息，所述指示信息用于指示：在接入网设备无法按照第一速率执行用户面安全策略的情况下，所述接入网设备按照第二速率激活完整性保护，其中，所述第二速率低于所述第一速率。

18.根据权利要求17所述的安全会话装置，其特征在于，

所述会话创建会话管理上下文服务请求包括通知信息，所述通知信息用于通知在所述接入网设备无法按照所述第一速率执行用户面安全策略的情况下，所述接入网设备按照所述第二速率激活完整性保护；

所述安全会话装置还包括处理单元，所述处理单元用于：

基于所述通知信息，确定所述指示信息。

19.根据权利要求17所述的安全会话装置，其特征在于，

所述会话创建会话管理上下文服务请求包括终端设备的业务类型的信息；

所述安全会话装置还包括处理单元，所述处理单元用于：

基于所述业务类型的信息，确定所示指示信息。

20.根据权利要求17至19中任一项所述的安全会话装置，其特征在于，

所述收发单元还用于：

接收策略控制网元提供的速率信息；

所述安全会话装置还包括处理单元，所述处理单元用于：

基于所述速率信息，确定所述第二速率。

21.一种安全会话装置，包括处理器和存储器，所述存储器用于存储指令，所述处理器用于读取所述存储器中存储的指令，使得所述安全会话装置实现上述权利要求1至10中任一项所述的方法。

22.一种计算机可读介质，其特征在于，所述计算机可读介质上存储有计算机程序，当所述计算机程序在安全会话装置运行时，使得所述安全会话装置执行如权利要求1至10中任一项所述的方法。

Images