CN118044156A

CN118044156A - 一种通信中用户平面安全性的方法、装置及

Info

Publication number: CN118044156A
Application number: CN202280066168.5A
Authority: CN
Inventors: 诸东炫; 郑丁寿
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2021-10-01
Filing date: 2022-09-14
Publication date: 2024-05-14
Also published as: WO2023054937A1; EP4388709A1; US20230107731A1; KR20230047837A

Abstract

公开了一种用于在4G和5G通信***之后实现高数据传输速率和超低延迟时间的6G通信***。根据本公开的各种实施例，提供了一种选择性地对数据(例如，UP数据、用户数据或应用数据)执行完整性保护或加密的方法、一种用于执行该方法的装置以及一种用于实现实施例的***。根据实施例，提供了基于数据是否被加密的UP安全性过程。根据实施例，当为数据提供机密性和完整性时，提供了用于提高计算效率的分组结构。因此，通过防止已经加密的数据被重叠加密，可以获得减少用于增强数据安全性所花费的计算资源和计算时间的效果，从而可以实现更有效的通信***。

Description

一种通信***中用户平面安全性的方法、装置及***

技术领域

本公开涉及通信***中的用户平面(UP)安全性。更具体地，本公开涉及用于在通信***中提供UP数据的机密性和完整性的UP安全性。

背景技术

对移动通信从一代到一代的发展的回顾表明，发展主要针对用于针对人类的服务的技术，诸如基于语音的服务、多媒体服务和数据服务。预期在5G通信***商业化之后呈指数增长的连接设备将连接到通信网络。连接到网络的事物的示例可以包括车辆、机器人、无人机、家用电器、显示器、连接到各种基础设施的智能传感器、建筑机器和工厂装备。预期移动设备以各种形状因子演进，诸如增强现实眼镜、虚拟现实耳机和全息图设备。为了通过连接6G时代的数十亿设备和事物来提供各种服务，一直在努力开发改进的6G通信***。出于这些原因，6G通信***被称为“后5G”***。

预计大约到2030年实现的6G通信***将具有万亿(tera)(1000千兆(giga))级bps的最大传输速率和100微秒的无线电延迟，因此将是5G通信***的50倍快，并且具有其1/10的无线电延迟。

为了实现这种高数据传输速率和超低延迟，已经考虑在太赫兹波段(例如，95GHz至3THz波段)中实现6G通信***。预期由于太赫兹波段中的路径损耗和大气吸收比5G中引入的mmWave波段中的路径损耗和大气吸收更严重，因此能够确保信号传输距离(即，覆盖)的技术将变得更加关键。作为用于确保覆盖的主要技术，需要开发多天线传输技术，包括射频(RF)元件、天线、具有比OFDM更好的覆盖的新颖波形、波束成形和大规模MIMO、全维MIMO(FD-MIMO)、阵列天线和大规模天线。此外，正在讨论用于改善太赫兹频带信号覆盖范围的新技术，诸如基于超材料的透镜和天线、轨道角动量(OAM)和可重构智能表面(RIS)。

此外，为了提高频率效率和***网络，已经为6G通信***开发了以下技术：用于使得上行链路(UE传输)和下行链路(节点B传输)能够同时使用相同频率资源的全双工技术；用于以集成方式利用卫星、高空平台站(HAPS)等的网络技术；网络结构创新技术，用于支持移动节点B等，并使得网络操作优化和自动化等成为可能；基于频谱使用预测的通过冲突避免的动态频谱共享技术，基于人工智能(AI)的通信技术，用于通过从技术设计步骤使用AI并内化端到端AI支持功能来实现***优化；以及用于通过使用超高性能通信和计算资源(移动边缘计算(MEC)、云等)来实现复杂度超过UE计算能力限制的服务的下一代分布式计算技术。此外，通过设计要在6G通信***中使用的新协议，开发用于基于硬件的安全性环境的实施方式和数据的安全使用的机制，以及开发用于隐私维护方法的技术，已经不断地尝试进一步增强设备之间的连接性，进一步优化网络，促进网络实体的软件实施方式，以及增加无线通信的开放性。

预期6G通信***的这种研究和开发将通过覆盖事物之间的连接和人与事物之间的连接的6G通信***的超连接性来实现新维度中的下一超连接体验。特别地，预期可以通过6G通信***提供诸如真正沉浸式XR、高保真移动全息图和数字复制品的服务。此外，通过增强的安全性和可靠性，将通过6G通信***提供诸如远程手术、工业自动化和紧急响应的服务，因此这些服务将应用于包括工业、医疗、汽车和家用电器领域的各种领域。

在上述通信***中，应当支持具有高可靠性的数据传输方法，并且需要加强安全性，以便处理来自未识别和未指定用户的数据传输错误和攻击。因此，正在讨论增强各种服务上的数据(例如，用户数据、UP数据或应用数据)的安全性的各种方法。

上述信息仅作为背景信息呈现，以协助理解本公开。关于上述内容中的任何内容是否可适用于关于本公开的现有技术，没有做出确定，并且没有做出断言。

发明内容

技术问题

作为增强数据安全性的方法，可以考虑提供机密性保护的加密和提供数据完整性的完整性保护。同时，尽管数据已经在通信***中被加密、完整性保护或加密和完整性保护，但是数据可以被重叠加密。为了实现有效的通信***，需要发明一种根据数据是否被加密来选择性地对数据执行加密或完整性保护的方法，因为加密或完整性保护是具有较高计算复杂度并且需要大量计算时间的过程。

问题的解决方案

为了解决该问题，根据实施例，提供了一种网络实体的方法。该安全性方法包括识别包括在分组中的数据是否被加密，并且当数据被加密时，发送指示为与提供包括在分组中的数据相关的信息的安全性的信号。

根据实施例，提供了一种UE的方法。该UE的方法包括：识别包括在分组中的数据是否被加密，当数据被加密时，发送做出用于提供与包括在分组中的数据相关的信息的安全性的请求的信号，以及响应于信号接收指示提供与数据相关的信息的安全性的信号。

根据实施例，提供了一种服务器的方法。该服务器的方法包括识别包括在分组中的数据是否被加密，并且当数据被加密时，发送做出用于提供与包括在分组中的数据相关的信息的安全性的请求的信号。

根据实施例，提供了一种网络实体。该网络实体包括收发器和连接到收发器的控制器，并且该控制器被配置为识别包括在分组中的数据是否被加密，并且当数据被加密时，通过收发器发送指示提供与包括在分组中的数据相关的信息的信号。

根据实施例，提供了一种UE。该UE包括收发器和连接到收发器的控制器，并且该控制器被配置为识别包括在分组中的数据是否被加密，并且当数据被加密时，通过收发器发送做出用于提供与包括在分组中的数据相关的信息的安全性的请求的信号，并且响应于该信号，通过收发器接收指示提供与数据相关的信息的安全性的信号。

根据实施例，提供了一种服务器。该服务器包括收发器和连接到收发器的控制器，并且该控制器被配置为识别包括在分组中的数据是否被加密，并且当数据被加密时，通过收发器发送做出用于提供与包括在分组中的数据相关的信息的安全性的请求的信号。

发明的有利效果

根据各种实施例，提供了一种选择性地对数据(例如，UP数据、用户数据或应用数据)执行完整性保护或加密的方法、一种用于执行该方法的装置以及一种用于实现实施例的***。

根据实施例，提供了基于数据是否被加密的UP安全性过程。根据实施例，当为数据提供机密性和完整性时，提供了用于提高计算效率的分组结构。

因此，通过防止已经加密的数据被重叠加密，可以获得减少用于增强数据安全性所花费的计算资源和计算时间的效果，从而可以实现更有效的通信***。

可从本公开获得的有利效果可以不限于上述效果，并且本公开所属领域的技术人员可以通过以下描述清楚地理解未提及的其他效果。

附图说明

通过以下结合附图的描述，某些实施例的上述和其他方面、特征和优点将更加清晰，其中：

图1示出了根据本公开的各种实施例的通信***；

图2示出了根据本公开的各种实施例的通信***的协议结构；

图3示出了根据本公开的各种实施例的过程，其中，当UE在可以应用本公开的通信***中建立与网络的连接时，UE执行与BS的无线电资源控制(RRC)连接建立；

图4示出了根据本公开的各种实施例的在通信***中激活数据的完整性保护或加密的过程；

图5示出了根据本公开的各种实施例的通信***中的协议层之间的对数据执行完整性保护或加密的层；

图6示出了根据本公开的各种实施例的用于在通信***中提供数据完整性的完整性保护的示例；

图7示出了根据本公开的各种实施例的用于在通信***中提供数据机密性的加密的示例；

图8示出了根据本公开的各种实施例的在通信***中执行数据加密和完整性保护的层中的分组结构的示例；

图9A示出了根据本公开的各种实施例的可以在通信***中发送和接收数据的协议结构的示例；

图9B示出了根据本公开的各种实施例的可以在通信***中发送和接收数据的协议结构的示例；

图10示出了根据本公开的各种实施例的通信***中的分组结构；

图11示出了根据本公开的各种实施例的UP安全性过程；

图12示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程；

图13示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程；

图14示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程；

图15A示出了根据本公开的各种实施例的分组结构的示例；

图15B示出了根据本公开的各种实施例的分组结构的另一示例；

图15C示出了根据本公开的各种实施例的分组结构的另一示例；

图15D示出了根据本公开的各种实施例的分组结构的另一示例；

图15E示出了根据本公开的各种实施例的分组结构的另一示例；

图16示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程中的发送器和接收器的操作；

图17示出了根据本公开的各种实施例的网络实体的操作；

图18示出了根据本公开的各种实施例的UE的操作；

图19示出了根据本公开的各种实施例的服务器的操作；

图20示出了根据本公开的各种实施例的网络实体的结构；

图21示出了根据本公开的各种实施例的UE的结构；以及

图22示出了根据本公开的各种实施例的服务器的结构。

具体实施方式

在进行下面的详细描述之前，阐述贯穿本专利文件使用的某些词语和短语的定义可能是有利的：术语“包括”和“包含”及其派生词意指包括但不限于；术语“或”是包含性的，意指和/或；短语“与……相关联”和“与其相关联”及其派生词可以意指包括、被包括在……内、与……互连、包含、被包含在……内、连接到或与……连接、耦合到或与……耦合、可与……通信、与……协作、交错、并置、接近于、绑定到或与……绑定、具有、具有……的属性等；并且术语“控制器”意指控制至少一个操作的任何设备、***或其部分，这样的设备可以以硬件、固件或软件或其中至少两个的某种组合来实现。应当注意，与任何特定控制器相关联的功能可以是集中式的或分布式的，无论是本地的还是远程的。

此外，下面描述的各种功能可以由一个或多个计算机程序实现或支持，每个计算机程序由计算机可读程序代码形成并体现在计算机可读介质中。术语“应用”和“程序”是指适于在合适的计算机可读程序代码中实施方式的一个或多个计算机程序、软件组件、指令集、过程、功能、对象、类、实例、相关数据或其一部分。短语“计算机可读程序代码”包括任何类型的计算机代码，包括源代码、目标代码和可执行代码。短语“计算机可读介质”包括能够由计算机访问的任何类型的介质，诸如只读存储器(ROM)、随机存取存储器(RAM)、硬盘驱动器、光盘(CD)、数字视频光盘(DVD)或任何其他类型的存储器。“非暂时性”计算机可读介质不包括传输暂时性电信号或其他信号的有线、无线、光学或其他通信链路。非暂时性计算机可读介质包括可以永久存储数据的介质和可以存储数据并随后重写数据的介质，诸如可重写光盘或可擦除存储器设备。

贯穿本专利文件提供了某些词语和短语的定义，本领域普通技术人员应当理解，在许多情况下(如果不是大多数情况)，这样的定义适用于这样定义的词语和短语的先前以及未来的使用。

下面讨论的图1至图22以及用于描述本专利文件中的本公开的原理的各种实施例仅作为说明，并且不应以任何方式解释为限制本公开的范围。本领域技术人员将理解，本公开的原理可以在任何适当布置的***或设备中实现。

在下文中，将参考附图详细描述实施例。

在描述实施例时，将省略与本领域公知的技术内容相关并且与本公开不直接相关联的描述。

这种不必要的描述的省略旨在防止模糊本公开的主要构思并且更清楚地传送该主要构思。

出于相同的原因，在附图中，一些元素可能被夸大、省略或示意性地示出。此外，每个元素的大小不完全反映实际大小。在附图中，相同或对应的元素具有相同的附图标记。

通过参考下面结合附图详细描述的实施例，本公开的优点和特征以及实现它们的方式将是清晰的。

然而，本公开不限于下面阐述的实施例，而是可以以各种不同的形式实现。提供以下实施例仅用于完全公开本公开并向本领域技术人员告知本公开的范围，并且本公开仅由所附权利要求的范围限定。在整个说明书中，相同或相似的附图标记表示相同或相似的元素。

这里，应当理解的是，流程图图示的每个框以及流程图图示中的框的组合可以由计算机程序指令实现。这些计算机程序指令可以被提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器以产生机器，使得经由计算机的处理器或其他可编程数据处理装置执行的指令创建用于实现一个或多个流程图框中指定的功能的部件。这些计算机程序指令还可以存储在计算机可用或计算机可读存储器中，其可以指示计算机或其他可编程数据处理装置以特定方式起作用，使得存储在计算机可用或计算机可读存储器中的指令产生包括实现一个或多个流程图框中指定的功能的指令部件的制品。计算机程序指令还可以加载到计算机或其他可编程数据处理装置上，以使得在计算机或其他可编程装置上执行一系列操作步骤，以产生计算机实现的过程，使得在计算机或其他可编程装置上执行的指令提供用于实现在一个或多个流程图框中指定的功能的步骤。

此外，流程图图示的每个框可以表示代码的模块、片段或部分，其包括用于实现指定的逻辑功能的一个或多个可执行指令。还应当注意，在一些替代实施方式中，框中提到的功能可以不按顺序发生。例如，连续示出的两个框实际上可以基本上同时执行，或者这些框有时可以以相反的顺序执行，这取决于所涉及的功能。

如本文所使用的，“单元”是指执行预定功能的软件元素或硬件元素，诸如现场可编程门阵列(FPGA)或专用集成电路(ASIC)。然而，“单元”并不总是具有限于软件或硬件的含义。“单元”可以被构造为存储在可寻址存储介质中或者执行一个或多个处理器。因此，“单元”包括例如软件元素、面向对象的软件元素、类元素或任务元素、进程、功能、属性、过程、子例程、程序代码段、驱动程序、固件、微代码、电路、数据、数据库、数据结构、表、数组和参数。由“单元”提供的元素和功能可以组合成更少数量的元素或“单元”，或者拆分成更大数量的元素或“单元”。此外，元更和“单元”可以被实现为再现设备或安全多媒体卡内的一个或多个CPU。

在以下描述中，为了便于描述，可以使用在第三代合作伙伴计划(3GPP)标准(5G、NR、LTE或类似***的标准)中定义的一些术语和名称。另外，还可以使用在现有通信***中使用的或者在本公开适用的下一代通信***(例如，6G和超5G***)中新定义的术语和名称。这些术语的使用不旨在通过术语和名称来限制本公开，并且本公开可以以相同的方式应用于符合其他标准的***。实施例可以通过修改容易地应用于其他通信***。

如在实施例中所使用的，应当理解，单数表达“一(a)”、“一(an)”和“该(the)”包括复数表达，除非上下文另有明确说明。

如在实施例中所使用的，包括序数的术语(诸如“第一”和“第二”)可以用于描述各种元素，但是对应的元素不应受这些术语的限制。这些术语仅用于区分一个元素和任何其他元素。例如，在不脱离本公开的范围的情况下，第一元素可以被称为第二元素，并且类似地，第二元素可以被称为第一元素。

如在实施例中所使用的，术语“和/或”包括列举的多个相关项目中的任何一个或组合。

实施例中使用的术语仅用于描述具体实施例，并不旨在限制本公开。单数表达可以包括复数表达，除非它们在上下文中明确不同。如本文所使用的，表述“包括”或“具有”旨在指定所提及的特征、数字、步骤、操作、元素、组件或其组合的存在，并且应当被解释为不排除一个或多个其他特征、数字、步骤、操作、元素、组件或其组合的可能存在或添加。

如在实施例中所使用的，短语“与……相关联”和“与其相关联”及其派生词可以意指包括、被包括在……内、与……互连、包含、被包含在……内、连接到或与……连接、耦合到或与……耦合、可与……通信、与……协作、交错、并置、接近于、绑定到或与……绑定、具有、具有……的属性等。

如本公开中所使用的，表述“大于”或“小于”用于确定是否满足或满足特定条件，但这仅旨在说明示例，并且不排除“大于或等于”或“等于或小于”。由表述“大于或等于”指示的条件可以用由“大于”指示的条件代替，由表述“等于或小于”指示的条件可以用由“小于”指示的条件代替，并且由“大于和等于或小于”指示的条件可以用由“大于和小于”指示的条件代替。

在本公开中，将使用在一些通信标准(例如，由第三代合作伙伴计划(3GPP)定义的长期演进(LTE)和新无线电(NR))中采用的术语来描述实施例，但是它们仅仅是为了说明的目的。实施例还可以通过修改容易地应用于其他通信***。

在详细描述本公开之前，下面给出本文使用的一些术语的可解释含义的示例。然而，应当注意，这些术语不限于下面给出的可解释含义的示例。

在本公开中，终端(或通信终端)是与基站或任何其他终端通信的实体，并且可以被称为节点、用户设备(UE)、下一代UE(NG UE)、移动站(MS)、设备、终端等。终端可以包括智能电话、平板个人计算机(PC)、移动电话、视频电话、电子书阅读器、台式PC、膝上型PC、上网本计算机、个人数字助理(PDA)、便携式多媒体播放器(PMP)、MP3播放器、医疗设备、相机和可穿戴设备中的至少一个。此外，终端可以包括电视、数字视频盘(DVD)播放器、音频、冰箱、空调、真空吸尘器、烤箱、微波炉、洗衣机、空气净化器、机顶盒、家庭自动化控制面板、安全控制面板、媒体盒、游戏机、电子词典、电子钥匙、便携式摄像机和电子相框中的至少一个。此外，终端可以包括各种医疗设备(例如，各种便携式医疗测量设备(血糖监测设备、心率监测设备、血压测量设备、体温测量设备等)、磁共振血管造影(MRA)、磁共振成像(MRI)、计算机断层扫描(CT)机、超声机等)、导航设备、全球定位***(GPS)接收器、事件数据记录器(EDR)、飞行数据记录器(FDR)、车辆信息娱乐设备、用于船舶的电子装备(例如，船舶导航设备、陀螺罗盘等)、航空电子设备、安全设备、汽车头部单元、家庭或工业机器人、无人机、银行中的自动柜员机(ATM)、商店中的销售点(POS)或物联网设备(例如，灯泡、各种传感器、电表或燃气表、喷洒设备、火灾报警器、恒温器、路灯、烤面包机、体育用品、热水箱、加热器、锅炉等)等中的至少一个。然而，本公开不受上述示例的限制，并且终端也可以由具有相同或相似含义的术语来指代。

在本公开中，基站是与终端通信并向终端分配资源的实体，并且可以被称为基站(BS)、节点B(NB)、下一代无线电接入网络(NG RAN)、接入点(AP)、发送接收点(TRP)、无线接入单元、基站控制器、网络上的节点等。可替代地，根据功能划分，基站可以被称为中央单元(CU)或分布式单元(DU)。然而，本公开不受上述示例的限制，并且基站也可以由具有相同或相似含义的术语来指代。

在本公开中，无线电资源控制(RRC)消息可以被称为高级信息、高级消息、高级信号、高级信令、高层信令或更高层信令，但是本公开不限于此，并且RRC消息可以被称为具有相同或相似含义的术语。

此外，在本公开内容中，数据可以被称为用户数据、用户平面(UP)数据或应用数据，或者可以被称为具有与通过数据无线承载(DRB)发送和接收的信号相同或相似的含义的术语。

另外，在本公开内容中，从用户设备(UE)发送的数据的方向可以被称为上行链路，并且向UE发送的数据的方向可以被称为下行链路。因此，在上行链路传输的情况下，发送器可以是UE，并且接收器可以是基站(BS)或通信***中的特定网络实体。可替代地，在下行链路传输的情况下，发送器可以是BS或通信***中的特定网络实体，并且接收器可以是UE。

在本公开内容中，完整性保护可以包括发送侧的完整性保护和接收侧的完整性验证。因此，在本公开中对数据执行完整性保护可以具有与为数据提供完整性相同的含义，这可以意味着发送侧对数据执行完整性保护并且接收侧对数据执行完整性验证。

在本公开中，加密可以包括在发送侧的加密和在接收侧的解密。因此，在本公开中对数据执行加密可以具有与为数据提供机密性相同的含义，这可以意味着发送侧对数据执行加密并且接收侧对数据执行解密。

在本公开中，在本公开中为数据提供安全性可以具有与将安全性应用于数据相同的含义，这可以意味着执行用于增强数据安全性的一系列过程。例如，它可以意味着执行加密以向数据提供机密性或执行完整性保护以向数据提供完整性。

同时，尽管基于用于向在UP的DRB中发送和接收的数据(用户数据或应用数据)提供安全性的UP安全性过程进行以下描述，但是本公开不限于此。对于本领域技术人员来说清晰的是，本公开可以应用于各种安全性过程。

图1示出了根据本公开的各种实施例的通信***。

参考图1，所示出的无线电接入网络(RAN)节点1-100和1-200可以是连接到诸如演进分组核心(EPC)或5G核心网络(5GC)的移动通信核心网络(CN)的LTE演进节点B(eNodeB)、下一代节点B(NR gNB)、下一代移动通信***中的基站、或执行相同或相似功能的网络节点。同时，RAN节点1-100和1-200可以具有被拆分为中央单元(CU)和分布式单元(DU)的功能，并且CU可以具有被拆分为CU控制平面(CP)和CU用户平面(UP)的功能。

在本公开中，一个RAN节点可以包括一个或多个CU-CUP、一个或多个CU-UP和一个或多个DU。此外，一个RAN节点可以包括CU-CP、CU-UP和DU。例如，一个RAN节点可以包括CU-CP和CU-UP在其中一起实现的CU以及DU。可替代地，一个RAN节点可以以集成基站的形式配置，其中，CU-CP、CU-UP和DU一起实现。同时，RAN的配置仅对应于示例，并且本公开不限于此。一个RAN可以通过除了这些示例之外的另一组合来配置。

在本公开中，CU和DU可以分别支持BS的拆分的功能。例如，CU可以支持无线电资源控制(RRC)层或分组数据汇聚协议(PDCP)层的功能，并且DU可以支持无线电链路控制(RLC)层、介质访问控制(MAC)层、物理(PHY)层或射频(RF)层的功能。此外，CU和DU可以通过内部BS功能之间的接口(诸如W1接口或F1接口)彼此连接。同时，下面参考图2详细描述由CU和DU支持的各个层的功能。

在本公开中，CU可以拆分为CU-CP及CU-UP。在这种情况下，例如，CU-CP可以支持RRC层或PDCP(用于RRC)层的功能，并且CU-UP可以支持PDCH(用于用户数据传输)层的功能。CU-CP和CU-UP可以通过内部基站功能之间的接口(诸如E1接口)连接。

在本公开中，RAN节点或BS可以以集成结构或分布式结构实现，并且集成BS、分布式BS、以及集成BS和分布式BS之间的连接是可能的。RAN节点可以通过BS之间的接口(诸如X2接口或Xn接口)连接。此外，RAN节点和核心网络可以通过诸如S1接口或NG接口的BS和核心网络的接口连接。

在本公开中，核心网络可以包括各种实体(例如，执行其他特定功能的网络实体，诸如用户平面功能(UPF)、会话管理功能(SMF)、接入和移动性功能(AMF)、网络暴露功能(NEF)、或应用功能(AF))。

UPF是用作用户平面的网络功能(NF)。UPF可以基于从控制平面NF中的一个(例如，SMF)接收的信息(例如，分组检测规则(PDF)、转发动作规则(FAR)、服务质量执行规则(QER)或使用报告规则(URR)中的至少一个)来执行将互联网协议(IP)流的分组映射到属于特定协议数据单元(PDU)会话的特定QoS流的功能。

SNF是用作核心网络中的控制平面的网络功能(NF)之一。SMF可以向UPF和BS发送保证服务质量(QoS)所需的信息(例如，QoS流指示符(QFI)、QoS简档、PDR、FAR、QER或URR中的至少一个)。此外，SMF可以确定UP安全性策略，该UP安全性策略指示在PDU会话建立过程中是激活属于对应的PDU会话的所有DRB的UP机密性还是UP完整性，并通过AMF将其传送到BS。

同时，仅作为可以应用本公开的通信***的示例描述了通信***，但是本公开不限于此。也就是说，本公开中提供的实施例可以应用于各种通信***并在其中实现。

图2示出了根据本公开的各种实施例的通信***的协议结构。

参考图2，通信***的协议结构可以包括UE和BS中的服务数据适配协议2-01和2-45、PDCP 2-05和2-40、RLC 2-10和2-35、MAC 2-15和2-30、以及PHY 2-20和2-25。

SDAP 2-01和2-45的主要功能可以包括以下功能中的一些；

-用户数据传输功能(用户平面数据的传送)；

-映射用于上行链路和下行链路的QoS流和数据承载(用于DL和UL两者的QoS流和DRB之间的映射)的功能；

-标记上行链路和下行链路的QoS流ID的功能(标记DL和UL分组中的QoS流ID)；以及

-将反射QoS流映射到用于上行链路SDAP PDU的数据承载(用于UL SDAP PDU的反射QoS流到DRB映射)的功能。

对于SDAP层(或SDAP层设备)，UE可以通过无线电资源控制(RRC)消息来接收指示是否针对每个PDCP层设备、每个承载、或每个逻辑信道使用SDAP层设备的报头或SDAP层设备的功能的配置。当配置SDAP报头时，UE可以通过SDAP报头的非接入层(NAS)服务质量(QoS)反射配置1比特指示符(NAS反射QoS)和接入层(AS)QoS反射配置1比特指示符(AS反射QoS)来指示用于上行链路和下行链路QoS流和数据承载的映射信息的更新或重新配置。SDAP报头可以包括指示QoS的QoS流ID信息。QoS信息可以用于数据处理优先级、调度信息等，以支持平滑服务。

PDCP 2-05和2-40的主要功能可以包括以下功能中的一些：

-报头压缩和解压缩功能(报头压缩和解压缩：仅ROHC)；

-用户数据传输功能(用户数据的传送)；

-顺序递送功能(上层PDU的顺序递送)；

-非顺序递送功能(上层PDU的无序递送)；

-重新排序功能(用于接收的PDCP PDU重新排序)；

-重复检测功能(下层SDU的重复检测)；

-重传功能(PDCP SDU的重传)；

-加密和解密功能(加密和解密)；以及

-基于定时器的SDU移除功能(上行链路中基于定时器的SDU丢弃)。

在上述示例中，PDCP层(或PDCH层设备)的重新排序功能是基于PDCP序列号(SN)顺序地重新排序由更低层接收的PDCP PDU的功能。PDCP层的重新排序功能可以包括将重新排序的数据顺序地传送到更高层的功能。可替代地，PDCP层的重新排序功能可以包括直接发送数据而不考虑其顺序的功能。此外，PDCP层的重新排序功能可以包括执行重新排序和记录丢失的PDCP PDU的功能、向发送侧报告丢失的PDCP PDU的状态的功能、以及请求重新发送丢失的PDCP PDU的功能。

RLC 2-10和2-35的主要功能可以包括以下功能中的一些：

-数据传输功能(上层PDU的传送)；

-顺序递送功能(上层PDU的顺序递送)；

-非顺序递送功能(上层PDU的无序递送)；

-ARQ功能(通过ARQ的纠错)；

-级联、分段和重组功能(RLC SDU的级联、分段和重组)；

-重新分段功能(RLC数据PDU的重新分段)；

-重新排序功能(RLC数据PDU的重新排序)；

-重复检测功能(重复检测)；

-错误检测功能(协议错误检测)；

-RLC SDU删除功能(RLC SDU丢弃)；以及

-RLC重建功能(RLC重建)。

在以上描述中，RLC层的顺序递送功能(按顺序递送)可以是将从更低层接收的RLCSDU顺序传送到更高层的功能。当一个RLC SDU被拆分为多个RLC SDU并被接收时，RLC层的顺序递送功能(顺序递送)可以包括重组然后发送RLC SDU的功能。

RLC层的顺序递送功能(顺序递送)可以包括基于RLC序列号(SN)或PDCP序列号(SN)对接收的RLC PDU进行重新排序的功能。RLC层的顺序递送功能(顺序递送)可以包括执行重新排序和记录丢失的RLC PDU的功能。RLC层的顺序传送功能(顺序递送)可以包括向发送侧报告丢失的RLC PDU的状态的功能以及请求重传丢失的RLC PDU的功能。

RLC层的顺序递送功能(顺序递送)可以包括以下功能：如果存在丢失的RLC SDU，则仅顺序地将丢失的RLC SDU之前的RLC SDU传送到更高层。

RLC层的顺序递送功能(顺序递送)可以包括以下功能：如果即使存在丢失的RLCSDU，预定定时器到期，则顺序地将在定时器开始之前接收的所有RLC SDU传送到更高层。

RLC层的顺序递送功能(顺序递送)可以包括以下功能：如果即使存在丢失的RLCSDU，预定定时器到期，则顺序地将到目前为止接收到的所有RLC SDU传送到更高层。

RLC层可以顺序地处理接收到的RLC PDU，而不管序列号如何(无序递送)，并将RLCPDU传送到PDCP层。

当接收分段时，RLC层可以接收存储在缓冲器中或将来要接收的分段，将分段重新配置为一个完整的RLC PDU，然后将RLC PDU传送到PDCP层。

RLC层可以不包括级联功能。可替代地，MAC层可以执行级联功能，或者级联功能可以用MAC层的复用功能代替。

在以上描述中，RLC层的非顺序递送功能(无序递送)可以是将从更低层接收的RLCSDU直接传送到更高层而不管其顺序的功能。当一个RLC SDU被拆分为多个RLC SDU并被接收时，RLC层的非顺序递送功能(无序递送)可以包括重组然后发送RLC SDU的功能。RLC层的非顺序递送功能(无序递送)可以包括存储接收到的RLC PDU的RLC SN或PDCP SN，对其重新排序，以及记录丢失的RLC PDU的功能。

MAC 2-15和2-30可以连接到在一个UE中配置的多个NR RLC层，并且NR MAC的主要功能可以包括以下功能中的一些：

-映射功能(逻辑信道和传输信道之间的映射)；

-复用和解复用功能(MAC SDU的复用/解复用)；

-调度信息报告功能(调度信息报告)；

-HARQ功能(通过HARQ的纠错)；

-逻辑信道优先级控制功能(一个UE的逻辑信道之间的优先级处理)；

-UE优先级控制功能(通过动态调度在UE之间进行优先级处理)；

-MBMS服务标识功能(MBMS服务标识)；

-传输格式选择功能(传输格式选择)；以及

-填充功能(填充(padding))。

PHY层2-20和2-25执行以下操作：信道编码和调制更高层数据以生成OFDM符号并通过无线电信道发送OFDM符号，或者解调和信道解码通过无线电信道接收的OFDM符号并将解调和信道解码的OFDM符号发送到更高层。

同时，可以改变参考图2描述的协议结构中的各个层的功能或名称。

图3示出了根据本公开的各种实施例的过程的示例，其中，当UE在通信***中建立与网络的连接时，UE执行无线电资源控制(RRC)连接建立。

参考图3，当由于预定原因或预定时间而在RRC连接模式(例如，称为RRC连接模式、RRC连接状态或具有相同或相似含义的术语)下发送和接收数据的UE没有数据发送/接收时，在操作3-01中，BS可以向UE发送RRC消息(例如，RRCConnectionRelease消息)，并且UE可以切换到RRC空闲模式(例如，称为RRC空闲模式、RRC空闲状态或具有相同或相似含义的术语)。将来，当存在要发送的数据时，没有连接配置的UE(例如，处于空闲模式的UE)可以执行与BS的RRC连接配置过程(例如，RRC连接建立过程)。

在操作3-05中，UE通过随机接入过程执行与BS的同步，并将RRC消息(例如，RRCConnectionRequest消息)发送到BS。此时，RRC消息可以包括UE的标识符和建立连接的原因(建立原因)。

在操作3-10中，BS可以发送RRC消息(例如，RRCConnectionSetup消息)以建立RRC连接。此时，RRC消息可以包括用于每个逻辑信道的至少一条配置信息、用于每个承载的配置信息、用于PDCP层的配置信息、用于RLC层的配置信息或用于MAC层的配置信息。此外，RRC消息可以为每个承载分配承载标识符(例如，SRB标识符或DRB标识符)，并且指示每个承载的PDCP层、RLC层、MAC层或PHY层的配置。此外，RRC消息可以指示针对每个承载的PDCP层执行加密功能还是解密功能，或者指示完整性保护功能或者是否执行完整性保护功能。例如，RRC消息可以包括针对每个承载去激活(禁用)PDCP层的加密功能的指示符和激活(启用)完整性保护功能的指示符中的至少一个。

在操作3-15中，已经建立RRC连接的UE向BS发送RRC消息(例如，RRCConnectionSetupComplete消息)。此时，RRC消息可以包括UE通过其向AMF或MME发出用于配置用于预定服务的承载的请求的消息(例如，服务请求消息)。在操作3-20中，BS可以将包括在RRC消息中的消息发送到AMF或MME。AMF或MME可以确定是否提供由UE请求的服务。

当基于确定结果确定提供UE请求的服务时，在操作3-25中，AMF或MME可以向BS发送消息(例如，初始上下文建立请求消息)。此时，该消息可以包括当配置DRB时要应用的服务质量(QoS)信息和要应用于DRB的安全性相关信息(例如，安全性密钥和安全性算法)。

BS可以交换安全性配置相关消息(例如，SecurityModeCommand消息和SecurityModeComplete消息)，以便在操作3-30和3-35中与UE配置安全性。当安全性被完全配置时，在操作3-40中，BS可以向UE发送RRC消息(例如，RRCConnectionReconfiguration消息)。此时，RRC消息可以为每个承载分配承载标识符(例如，SRB标识符或DRB标识符)，并且指示每个承载的PDCP层、RLC层、MAC层或PHY层的配置。此外，RRC消息可以指示针对每个承载的PDCP层执行加密功能还是解密功能，或者指示完整性保护功能或者是否执行完整性保护功能。例如，RRC消息可以包括针对每个承载去激活(禁用)PDCP层的加密功能的指示符和激活(启用)完整性保护功能的指示符中的至少一个。此外，RRC消息可以包括处理用户数据的DRB的配置信息，并且在操作3-45中，UE可以通过应用该信息来配置DRB并且向BS发送RRC消息(例如，RRCConnectionReconfigurationComplete消息)。已经完成与UE的DRB配置的BS可以向AMF或MME发送消息(例如，初始上下文建立完成消息)并完成连接。

当过程完全完成时，UE可以在操作3-55和3-60中通过BS和核心网络发送和接收数据。根据实施例，数据传输处理可以主要包括RRC连接建立、安全性配置和DRB配置，并且BS可以发送RRC消息(例如，RRCConnectionReconfiguration消息)，以便出于预定原因新进行、添加或改变UE中的配置。此时，RRC消息可以为每个承载分配承载标识符(例如，SRB标识符或DRB标识符)，并且指示每个承载的PDCP层、RLC层、MAC层或PHY层的配置。此外，RRC消息可以指示针对每个承载的PDCP层执行加密功能还是解密功能，或者指示完整性保护功能或者是否执行完整性保护功能。例如，RRC消息可以包括针对每个承载去激活(禁用)PDCP层的加密功能的指示符和激活(启用)完整性保护功能的指示符中的至少一个。

如上所述，UE与BS之间的连接建立过程不仅可以应用于NR***中的UE与BS之间的连接建立，而且可以应用于UE与LTE BS之间的连接建立，并且还可以应用于可以应用本公开的各种通信***中的BS与UE之间的连接建立。此外，在该过程中，可以改变消息的名称和可以包括在消息中的信息。

同时，在上述通信***中，应当支持具有高可靠性的数据传输方法，并且需要加强安全性，以便处理来自未识别和未指定用户的数据传输错误和攻击。同时，作为增强数据安全性的方法，可以考虑向数据提供机密的加密或提供完整性的完整性保护。为此，可以执行激活加密和完整性保护的过程。在下文中，参考图4对此进行详细描述。

图4示出了根据本公开的各种实施例的在通信***中激活加密或完整性保护的过程。

当UE向SMF(执行SMF的网络实体)做出发送数据的请求时，SMF可以确定指示在协议数据单元(PDU)会话建立过程期间是否激活属于对应的PDU会话的所有DRB的UP机密性或完整性的UP安全性策略，并将UP安全性策略发送到BS。UP安全性策略可以用于由BS激活属于对应的PDU会话的所有DRB的UP机密性或UP完整性。例如，当UP安全性策略指示“需要”UP机密性或UP完整性保护时，BS可以激活UP机密性或UP完整性保护，并将其应用于对应的PDU会话中的所有业务(数据)。可替代地，当UP安全性策略指示“不需要”UP机密性或UP完整性保护时，BS可以不激活UP机密性或UP完整性保护，并且不将其应用于对应的PDU会话。同时，BS可以通过参考图3描述的RRC信令来激活针对每个DRB的机密性或UP完整性保护。也就是说，BS可以根据对应的UP安全性策略通过RRC信令向UE指示UP机密性或UP完整性保护的激活。此后，BS和UE可以根据共享UP机密性还是UP完整性保护被激活来对数据执行加密和完整性保护过程，以便保护对应的数据。

同时，参考图4，可以使用参考图3描述的RRC连接重新配置过程来执行激活UP机密性或UP完整性保护的过程作为DRB添加(或修改)的一部分。

用于添加(或修改)DRB的RRC连接重新配置过程可以在RRC安全性被激活之后作为AS安全模式命令过程的一部分来执行。也就是说，可以在包括RRC加密和RRC完整性保护的RRC安全性被激活之后执行该过程。因此，在操作405中，BS可以识别RRC安全性是否被激活。

当RRC安全性被激活时，在操作410中，BS可以根据从SMF接收的UP安全性策略向UE发送RRC消息(例如，RRC连接重新配置消息)，该RRC消息包括指示用于提供每个DRB的机密性的加密是否被激活的指示符或者指示用于提供完整性的完整性保护是否被激活的指示符。

当如RRC消息所指示的针对DRB激活完整性保护并且BS不具有用于UP完整性保护的密钥(例如，K_UPint)时，在操作415中，BS生成密钥(K_UPint)并且由BS开始针对DRB的UP完整性保护。类似地，当如RRC消息所指示的针对DRB激活加密并且BS不具有用于UP加密的密钥(例如，K_UPEnc)时，BS生成密钥(K_UPEnc)并且由BS开始针对DRB的UP加密。

在操作420中，UE可以验证从BS接收的RRC消息。

在验证成功的情况下，当如RRC消息所指示的针对DRB激活完整性保护并且UE不具有用于UP完整性保护的密钥(例如，K_UPint)时，UE生成密钥(K_UPint)，并且由UE开始针对DRB的UP完整性保护。

类似地，当如RRC消息所指示的针对DRB激活加密并且UE不具有用于UP加密的密钥(例如，K_UPEnc)时，UE生成密钥(K_UPEnc)并且由由UE开始针对DRB的UP加密。

此后，当UE成功地验证RRC消息的完整性时，在操作430中，UE可以向BS发送RRC消息(例如，RRC连接重新配置完成消息)。

同时，当没有为DRB激活UP完整性保护时，BS和UE不保护在对应的DRB中发送和接收的数据(或业务)的完整性，不生成用于BS和UE对数据的完整性保护的信息(例如，消息认证码完整性(MAC-I))，并且不将其***到包括(或携带)数据的分组中。

此外，当没有为DRB激活UP加密时，BS和UE不加密在对应的DRB中发送和接收的数据(或业务)。

同时，在本公开中，由于上述协议结构，可以在特定层中执行用于增强数据安全性的加密和完整性保护过程。这将参考图5详细描述。

图5示出了根据本公开的各种实施例的通信***中的协议层之间的对数据执行完整性保护或加密的层。

在图5中，PDCP层被描述为执行数据加密和完整性保护的层的示例。然而，本公开不限于此，并且根据本公开的执行数据加密和完整性保护的层可以改变并且不受名称的限制。此外，本公开甚至可以应用于在至少一个层中执行加密和完整性保护的情况。

参考图5，发送器的PDCP层可以根据安全配置对数据执行完整性保护并对其进行加密。同时，接收器的PDCP层可以对接收到的分组进行解密并执行完整性验证。当解密和完整性验证中没有错误时，接收器的PDCP层可以执行记录对应的分组、检测重复分组、压缩和解压缩报头等的过程。

图6示出了根据本公开内容的各种实施例的用于在通信***中提供数据完整性的完整性保护的示例。

参考图6，发送器的PDCP层可以基于由更高层(例如，RRC层或非接入层(NAS)层)引入或应用的安全密钥、对应于完整性要被保护的数据的COUNT值或对应于数据的承载标识符来执行完整性保护过程。例如，发送器的PDCP层可以根据完整性保护算法以特定字节(例如，8字节(64比特))为单位计算完整性要被保护的数据，计算特定类型(例如，4字节(32比特))的MAC-I，并将其附加到数据的末尾。同时，接收器的PDCP层可以将通过将完整性验证算法应用于接收到的数据而获取的X-MAC与MAC-I进行比较，并且当两个值彼此相同时，确定接收到的数据的完整性验证成功。

可替代地，当两个值彼此不同时，可以确定完整性验证失败并且接收到的数据可以被丢弃。同时，在本公开中，完整性保护算法和完整性验证算法可以包括EIA0、EIA1和EIA2中的至少一个，或者可以使用各种其它算法。参考图6描述的用于完整性保护的过程仅对应于示例，并且本公开不限于此。因此，可以根据向数据提供完整性的各种方法来执行数据的完整性保护，在这种情况下可以应用本公开。

图7示出了根据本公开的各种实施例的用于在通信***中提供数据机密性的加密的示例。

参考图7，发送器的PDCP层可以基于由更高层(例如，RRC层或非接入层(NAS)层)引入或应用的安全密钥、对应于要被加密的数据的COUNT值或对应于数据的承载标识符，通过加密算法生成具有与要被加密的数据相同长度的密钥流。此后，可以通过对生成的密钥流和要加密的数据执行XOR过程来生成加密数据。同时，接收器的PDCP层可以对生成的密钥流和加密数据执行XOR过程，以通过解密算法执行解密。同时，在本公开中，加密算法和解密算法可以包括EEA0、EEA1、EEA2和EEA3中的至少一个，并且可以使用各种其他算法。参考图7描述的用于加密的过程仅对应于示例，并且本公开不限于此。因此，可以根据向数据提供机密性的各种方法来执行数据加密，在这种情况下，可以应用本公开。

图8示出了根据本公开的各种实施例的在通信***中执行数据加密和完整性保护的层中的分组结构的示例。

参考图8，示出了PDCP层的分组结构。在本公开中，发送数据的每个层将与数据相关的信息(例如，对应的d层的报头或附加信息)添加到数据，并将其传送到协议结构中的更低层。例如，协议数据单元(PDU)层将PDU报头(PDU-H)添加到数据，并将包括PDU报头和数据的分组传送到对应于更低层的SDAP层。SDAP层将SDAP报头(SDAP-H)添加到从PDU层接收的分组，并将其传送到对应于更低层的PDCP层。PDCP层对从SDAP层接收的分组执行完整性保护或加密，并将添加了PDPC报头(PDCP-H)的分组传送到更低层(例如，RLC层)。同时，当PDCP层对分组执行完整性保护时，生成并添加(或***)用于对应的分组的完整性保护的信息(例如，MAC-I)以位于分组内的数据之后。此外，当PDCP层执行加密以提供机密性时，分组内除了SDAP报头之外的部分被加密。

同时，可以根据上述协议结构经由许多层执行可以应用本公开的通信***中的数据发送和接收，并且其一些层(例如，PDCP层)可以为数据提供安全性。在通信***中，尽管数据已经被加密，但是数据可以被重叠加密。在下文中，这将参考附图9A至图10详细描述。

图9A和图9B示出了根据本公开的各种实施例的可以在通信***中发送和接收数据的UP协议结构的示例。

参考图9A和图9B所示，当发送数据时，可以经由数据网络(DA)中的至少一个层将数据发送到UE。同时，数据通过的层中的一些层可以为数据提供安全性。例如，当数据是应用数据时，应用层可以通过诸如传输层安全性(TLS)的应用安全性来保护数据。此外，例如，当SMF将UP安全性策略配置为“需要”以便保护图9B所示的F1-U部分和NR-Uu部分中的数据并且BS指示相同时，BS根据UP安全性策略激活数据的安全性(例如，完整性保护或加密)，并且UE的PDCP层和BS对对应的数据执行完整性保护或加密。在这种情况下，尽管数据已经被加密，但是PDCP层可以重叠地加密数据。

同时，图9A和图9B仅是为了便于描述的示例，并且本公开不限于此。图9A和图9B中所示的协议结构内的各个层的名称和功能可以改变，并且CU和DU之间的接口也可以改变。此外，本公开可以应用于不考虑CU和DU的功能分离的协议结构。

图10示出了根据本公开的各种实施例的通信***中的分组结构的示例。

图10示出了当应用层和PDCP层如参考图9所描述的那样对数据进行加密时在F1-U部分中包括数据的分组的结构。

参考图10，示出了为PDCP-H、SDAP-H、PDU-H和数据提供UP安全性(例如，加密)并且为数据提供TLS安全性(例如，加密)的情况。如上所述，当应用层和PDCP层执行加密时，分组内的数据被重叠地加密。如参考图6和图7所描述的，加密是具有较高计算复杂度并且需要许多计算资源和计算时间的过程，但是与每当重叠执行加密时花费的计算资源和计算时间的巨大增加相比，数据的安全性没有显著提高到大于或等于预定阈值。因此，这可能导致低效的通信***。

同时，在可以应用本公开的通信***中或在诸如6G通信***的下一代通信***中，应当支持具有高可靠性和低延迟的有效数据传输方法。因此，本公开提供了用于根据计算资源消耗和由于数据的重叠加密导致的计算时间增加来解决通信延迟问题的各种实施例。根据实施例，提供了一种识别数据是否被加密的方法、以及用于执行该方法的装置和***。根据实施例，提供了一种基于数据是否被加密来选择性地提供数据的安全性(例如，加密或完整性保护)的方法，以及用于执行该方法的装置和***。根据实施例，提供了一种基于数据是否被加密来指示数据的选择性提供(例如，加密或完整性保护)的方法，以及用于执行该方法的装置和***。根据实施例，当提供数据的安全性时，提供用于提高计算效率的分组结构。在下文中，详细描述本公开中提供的实施例。

在传统通信***中，UE或网络实体(例如，BS、BS或核心网络的特定网络实体)不能识别是否发送了加密数据，并且因此，当安全性应用于数据时，安全性应用于包括数据的所有分组。因此，当数据对应于已经加密的数据时，数据被重叠地加密。同时，根据本公开中提供的实施例，仅对与分组内的数据相关的信息(例如，每个协议层的报头或附加信息)执行加密或完整性保护，或者基于关于发送和接收的分组内的数据(或有效载荷)是否由通信***的UE或网络实体加密的确定来对数据执行加密或完整性保护的选择性UP安全性方法，以及用于执行该方法的装置和***。

如上所述，为了根据分组内的数据是否被加密来选择性地对数据执行加密或完整性保护，可以首先识别在UE和DN之间发送和接收的数据是否被加密。同时，数据是否被加密可以由被配置为生成和发送数据的发送器、被配置为接收数据的接收器或被配置为在发送器和接收器之间发送数据的节点来确定，并且在本公开中提供了用于被配置为确定数据是否被加密的每个实体的UP安全性过程。

图11示出了根据本公开的各种实施例的UP安全性过程。

具体地，参考图11，根据实施例的UP安全性过程可以包括以下元素中的至少一个或其一些的组合。

在A的一个示例中，通信***的网络实体(例如，BS或核心网络的特定网络实体)可以确定(或识别)发送和接收的数据是否被加密。当基于确定结果数据是加密数据时，网络实体可以向网络实体请求或指示对分组内的一些或全部加密数据和与数据相关的信息(例如，协议层的报头或附加信息)执行加密或完整性保护。

在B的一个示例中，当为发送和接收的数据提供安全性时，通信***的UE可以向网络实体(例如，BS或核心网络的特定网络实体)通知数据是否被加密，或者向网络实体发出针对分组内的一些或全部加密数据或与数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护的请求。

在C的一个示例中，当为发送和接收的数据提供安全性时，通信***外部的服务器可以向网络实体(例如，BS或核心网络的特定网络实体)通知数据是否被加密，或者向网络实体请求对分组内的一些或全部加密数据或与数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。

同时，在本公开中，可以基于传输层安全(TLS)、安全套接字层(SSL)、互联网协议安全(IPSec)、虚拟专用网络(VPN)、超文本传输协议安全(HTTPS)、简单网络管理协议(SNMP)、域名***安全扩展(DNSSEC)、介质访问控制安全(MACSec)或各种其他协议对数据进行加密。根据实施例，可以通过基于上述协议中的至少一个协议确定数据是否被加密来识别数据是否被加密。在下文中，参考图12至图14详细描述该方法。

图12示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程。

参考图12，通信***的网络实体(例如，BS或核心网络的特定网络实体)可以位于UE与服务器之间，并且可以将从服务器接收的数据传送到UE或者将从UE接收的数据传送到服务器。此外，即使UE移动，网络实体也可以发送数据。在这样的过程中，网络实体可以检查在UE和服务器之间发送和接收的分组，并且在分组检查中基于加密协议(例如，TLS、SSL、IPSec、VPN、HTTPS、SNMP、DNSSEC、MACSec和各种其他协议中的至少一个)来识别对应的分组是否被加密。因此，可以确定分组内的数据是否被加密。加密协议根据确定的规则生成分组结构。例如，当通过分组检查识别出分组具有与加密协议相关联的特定结构时，网络实体可以基于加密协议识别出分组被加密，并相应地识别出分组内的数据被加密。同时，根据实施例，网络可以针对与特定服务质量(QoS)要求、QoS流指示符(QFI)、保证比特率(GBR)和非GBR中的至少一个相关联的每个IP流检查对应的IP流的分组。此时，可以预先将检查以确定IP流的分组内的数据是否被加密的分组的数量确定为特定数量。可替代地，可以检查对应的IP流的所有分组。

可替代地，可以基于与对应的IP流相关联的特定QoS要求、QoS流(QFI)、GBR和非GBR中的至少一个来确定针对对应的IP流检查的分组的数量。根据另一实施例，网络实体可以执行针对每个DRB发送和接收的分组的检查，在这种情况下，被检查以确定在对应的DRB中发送和接收的分组内的数据是否被加密的分组的数量可以预先确定为特定数量。

可替代地，可以检查在对应的DRB中发送和接收的所有分组，并且可以基于与对应的DRB相关联的QoS要求、QoS流、GBR和非GBR中的至少一个来确定针对对应的DRB检查的分组的数量。根据另一实施例，网络实体可以对针对每个PDU会话发送和接收的分组执行检查，在这种情况下，可以预先将被检查以确定在对应的PDU会话中发送和接收的分组内的数据是否被加密的分组的数量确定为特定数量，或者可以检查在对应的PDU会话中发送和接收的所有分组。同时，在检查分组之后，网络实体可以通过NAS信令、RRC信令或各种其它控制信令来识别是否对来自UE或服务器的分组进行了加密。当识别出分组内的数据被加密时，网络实体可以向UE通知对应的数据被加密。

例如，网络实体可以通过NAS信令、RRC信令或各种其它控制信令来向UE通知数据是否被加密。可替代地，网络实体可以通过向UE发出针对与除了分组内的加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)的请求或指示仅对这些信息执行加密或完整性保护，来配置在UE中配置UP安全性。

可替代地，网络实体可以通过仅对分组内的一些或全部加密数据以及与数据相关的一些或全部信息(例如，协议层的报头或附加信息)进行请求或指示执行加密或完整性保护来在UE中配置UP安全性。例如，网络实体可以通过NAS信令、RRC信令或各种其它控制信令来在UE中配置UP安全性。同时，可以根据参考图4描述的过程来执行UP安全性的配置。例如，网络实体可以通过发送RRC消息来在UE中配置UP安全性，该RRC消息包括指示仅针对与分组内的除了加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或另外的信息)进行加密或完整性保护的指示符。

可替代地，网络实体可以通过向UE传送RRC消息来在UE中配置UP安全性，该RRC消息包括指示分组内的一些或全部加密数据的加密的指示符以及与该数据相关的一些或全部信息(例如，协议层的报头或附加信息)。此外，当识别出分组内的数据被加密时，网络实体可以仅对与除了分组内的加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。可替代地，网络实体可以对分组内的一些或全部加密数据以及与数据相关的一些或全部信息(例如，附加信息或协议层的报头)执行加密或完整性保护。

同时，参考图12描述的实施例可以应用于上行链路和下行链路的所有发送和接收。

图13示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程。

参考图13，当通信***中的UE为发送和接收的数据提供安全性时，UE可以向通信***中的网络实体(例如，BS或核心网络的特定网络实体)通知安全性的提供。例如，UE可以向网络实体通知所发送和接收的数据是加密数据，这可以通过NAS信令、RRC信令或各种其它控制信令来执行。

可替代地，UE可以向网络实体请求仅针对与分组内的除了加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护，这可以通过NAS信令、RRC信令或各种其它控制信令来执行。

可替代地，UE可以向网络实体发出针对分组内的一些或全部加密数据和与数据相关的信息(例如，协议层的报头或附加信息)执行加密或完整性保护的请求，这可以通过NAS信令、RRC信令或各种其它控制信令来执行。通过通知或请求，网络实体可以识别在UE和服务器之间发送和接收的分组内的数据是否被加密。网络实体可以基于通知或请求的信任来操作。例如，网络实体可以通过基于通知或请求指示针对与分组内除了加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)的加密或完整性保护来在UE中配置UP安全性，这可以通过NAS信令、RRC信令或各种其它控制信令来执行。

可替代地，网络实体可以通过基于通知或请求向UE指示针对分组内的一些或全部加密数据的加密或完整性保护以及与数据相关的一些或全部信息(例如，协议层的报头或附加信息)来在UE中配置UP安全性，这可以通过NAS信令、RRC信令或各种其它控制信令来执行。同时，可以根据参考图4描述的过程来执行UP安全性的配置。例如，网络实体可以通过发送RRC消息来在UE中配置UP安全性，该RRC消息包括指示仅针对与分组内的除了加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或另外的信息)进行加密或完整性保护的指示符。

可替代地，网络实体可以通过向UE传送RRC消息来在UE中配置UP安全性，该RRC消息包括指示分组内的一些或全部加密数据的加密或完整性保护的指示符以及与该数据相关的一些或全部信息(例如，协议层的报头或附加信息)。此外，当识别出分组内的数据被加密时，网络实体可以仅对与除了分组内的加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。可替代地，网络实体可以对分组内的一些或全部加密数据以及与数据相关的一些或全部信息(例如，协议层的报头)执行加密或完整性保护。

同时，参考图13描述的实施例可以应用于上行链路和下行链路的所有发送和接收。

尽管该方法描述了通信***中UE与网络实体之间的数据发送和接收，但是本公开不限于此。例如，该方法可以应用于UE之间的通信(例如，设备到设备(D2D)通信、侧链路通信或车辆到万物(V2X)通信)。在这种情况下，发送UE可以通过检查分组来确定要发送的分组内的数据是否被加密。当基于分组检查结果识别出分组内的数据被加密时，发送UE可以仅对与除了分组内的加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。可替代地，发送UE可以对分组内的一些或全部加密数据以及与数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。

同时，网络实体可以执行如参考图12所描述的通过检查在UE和服务器之间发送和接收的分组来验证分组内的数据是否实际被加密的操作，或者可以通过通信***外部的服务器验证来自UE的通知或请求的可靠性。例如，网络实体可以做出用于验证从UE到服务器的通知或请求的请求，并且服务器可以基于UE是否被包括在可靠的UE列表中、用于服务器和UE之间的通信的信息(例如，诸如凭证的秘密信息)或诸如第三方凭证机构(CA)的各种方法来验证来自服务器的通知或请求的可靠性，然后向网络实体通知验证结果。

图14示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程。

参考图14，当为由通信***外部的服务器发送和接收的数据提供安全性时，可以向通信***的网络实体(例如，BS或核心网络的特定网络实体)通知安全性的提供。例如，服务器可以向网络实体通知发送和接收的数据是加密数据。

可替代地，服务器可以向网络实体请求仅对与分组内除了加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。可替代地，服务器可以向网络实体发出对分组内的一些或全部加密数据和与数据相关的信息(例如，协议层的报头或附加信息)执行加密或完整性保护的请求。通过通知或请求，网络实体可以识别在UE和服务器之间发送和接收的分组内的数据是否被加密。网络实体可以基于通知或请求的信任来操作。例如，网络实体可以通过基于通知或请求指示针对与分组内除了加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)的加密或完整性保护来在UE中配置UP安全性，这可以通过NAS信令、RRC信令或各种其它控制信令来执行。

可替代地，网络实体可以通过基于通知或请求向UE指示针对分组内的一些或全部加密数据的加密或完整性保护以及与数据相关的一些或全部信息(例如，协议层的报头或附加信息)来在UE中配置UP安全性，这可以通过NAS信令、RRC信令或各种其它控制信令来执行。同时，可以根据参考图4描述的过程来执行UP安全性的配置。例如，网络实体可以通过向UE发送RRC消息来在UE中配置UP安全性，该RRC消息包括指示仅针对与分组内的除了加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或另外的信息)的加密或完整性保护的指示符。可替代地，网络实体可通过向UE传送RRC消息来在UE中配置UP安全性，该RRC消息包括指示分组内的一些或全部加密数据的加密的指示符以及与该数据相关的一些或全部信息(例如，协议层的报头或附加信息)。

此外，当识别出分组内的数据被加密时，网络实体可以仅对与除了分组内的加密数据之外的数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。可替代地，网络实体可以对分组内的一些或全部加密数据以及与数据相关的一些或全部信息(例如，协议层的报头)执行加密或完整性保护。

同时，网络实体可以执行如参考图12所描述的通过检查在UE和服务器之间发送和接收的分组来验证分组内的数据是否实际被加密的操作，或者可以通过UE验证来自服务器的通知或请求的可靠性。例如，网络实体可以做出用于验证从服务器到UE的通知或请求的请求，并且UE可以基于各种方法(诸如可靠通信目标的列表、用于服务器和UE之间的通信的信息(例如，诸如凭证的秘密信息)或第三方凭证机构(CA))来验证来自服务器的通知或请求的可靠性，然后向网络实体通知验证结果。

同时，参考图14描述的实施例可以应用于上行链路和下行链路的所有发送和接收。

在下文中，提供了用于更多地提高计算效率以根据实施例选择性地向数据提供安全性的分组结构。这将参考图15A至图15E详细描述。

图15A示出了根据本公开的各种实施例的分组结构的示例。

参考图15A，示出了当基于数据是否被加密为数据选择性地提供安全性时包括数据的分组的结构。根据实施例，可以执行完整性保护，以仅为与除了分组内已经加密的数据之外的数据相关的一些或全部信息(例如，协议层(PDCP-H、SDAP-H、IP-H、TCP-H或TLS-H)的报头或附加信息)提供完整性。因此，可以生成用于与数据相关的一些或全部信息的完整性保护的信息(例如，MAC-I)，其可以被添加以位于数据之前。通过将用于完整性保护的信息(MAC-I)放置在数据之前，当接收器的PDCP层通过用于完整性保护的信息(MAC-I)执行分组的完整性验证时，不需要将分组解码到结束，因此可以提高计算效率。

根据实施例，除了分组内的加密数据和用于完整性保护的信息(MAC-I)之外，可以对与数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密。或者，可以对分组内的一些或全部加密数据、与数据相关的一些或全部信息(例如，协议层的报头或附加信息)以及用于完整性保护的信息(MAC-I)执行加密。根据图15A所示的分组结构，由于用于完整性保护的信息被添加以位于与数据相关的信息和未加密的数据之间，所以当执行加密时，可以获得提高块加密的计算效率的效果。

同时，图15A示出了仅对与分组内除了加密数据之外的数据相关的信息(例如，协议层的报头或附加信息)执行完整性保护和加密，但是这仅是为了方便描述的示例，并且本公开不限于此。例如，可以对分组内的一些或全部加密数据或与数据相关的一些或全部信息执行完整性保护和加密。在这种情况下，可以生成一些或全部加密数据或用于一些或全部数据的完整性保护的信息，并将其添加到数据之前。

图15B示出了根据本公开的各种实施例的分组结构的另一示例。

参考图15B，示出了当基于数据是否被加密为数据选择性地提供安全性时包括数据的分组的结构。根据实施例，可以执行完整性保护，以仅为与除了分组内已经加密的数据之外的数据相关的一些或全部信息(例如，协议层(PDCP-H、SDAP-H、IP-H、TCP-H或TLS-H)的报头或附加信息)提供完整性。因此，可以生成用于与数据相关的一些或全部信息的完整性保护的信息(例如，MAC-I)并将其添加到数据之后。根据分组结构，当基于从更高层接收的服务数据单元(SDU)生成发送到更低层的协议数据单元(PDU)时，只要用于完整性保护的信息正好位于数据之后，而不需要在分组重组期间生成任何单独的操作(例如，字节复制)，就具有降低操作复杂性的优点。根据图15B所示的分组结构，可以使与数据相关的信息和用于完整性保护的信息作为连续数据，然后可以对其执行加密，或者可以对与数据相关的信息和用于完整性保护的信息单独执行加密。

同时，图15B示出了仅对与分组内除了加密数据之外的数据相关的信息(例如，协议层的报头或附加信息)执行完整性保护和加密，但是这仅是为了方便描述的示例，并且本公开不限于此。例如，可以对分组内的一些或全部加密数据或与数据相关的一些或全部信息执行完整性保护和加密。在这种情况下，可以生成一些或全部加密数据或用于一些或全部数据的完整性保护的信息，并将其添加到数据之后。

图15C示出了根据本公开的各种实施例的分组结构的另一示例。

参考图15C，示出了当基于数据是否被加密为数据选择性地提供安全性时包括数据的分组的结构。根据实施例，可以执行完整性保护，以仅为与除了分组内已经加密的数据之外的数据相关的一些或全部信息(例如，协议层(PDCP-H、SDAP-H、IP-H、TCP-H或TLS-H)的报头或附加信息)提供完整性。因此，可以生成并添加用于与数据相关的一些或全部信息的完整性保护的信息(例如，MAC-I)以位于分组的最前面。根据分组结构，由于用于完整性保护的信息(MAC-I)和与数据相关的信息被定位成被连续地收集，因此存在一次有效地处理分组的优点。

同时，图15C示出了仅对与分组内除了加密数据之外的数据相关的信息(例如，协议层的报头或附加信息)执行完整性保护和加密，但是这仅是为了方便描述的示例，并且本公开不限于此。例如，可以对分组内的一些或全部加密数据或与数据相关的一些或全部信息执行完整性保护和加密。在这种情况下，可以生成一些或全部加密数据或用于一些或全部数据的完整性保护的信息，并将其添加到位于分组的最前面。

图15D示出了根据本公开的各种实施例的分组结构的另一示例。

参考图15D，示出了当基于数据是否被加密为数据选择性地提供安全性时包括数据的分组的结构。根据实施例，可以执行完整性保护，以仅为与除了分组内已经加密的数据之外的数据相关的一些或全部信息(例如，协议层(PDCP-H、SDAP-H、IP-H、TCP-H或TLS-H)的报头或附加信息)提供完整性。因此，针对与数据相关的信息中的一些或全部的用于完整性保护的信息(例如，MAC-I)可以被生成并且被添加以位于与被考虑用于生成用于完整性保护的信息的数据相关的信息之前。根据分组结构，由于用于完整性保护的信息(MAC-I)和与数据相关的信息被定位成被连续地收集，所以只要将用于完整性保护的信息添加到与用于完整性保护的信息的生成所考虑的数据相关的信息之前，就可以更有效地一次处理分组，并且可以降低操作的复杂度，而无需在分组重组中生成任何单独的操作(例如，字节复制)。

同时，图15D示出了仅对与分组内除了加密数据之外的数据相关的信息(例如，协议层的报头或附加信息)执行完整性保护和加密，但是这仅是为了方便描述的示例，并且本公开不限于此。例如，可以对分组内的一些或全部加密数据或与数据相关的一些或全部信息执行完整性保护和加密。在这种情况下，可以生成一些或全部加密数据或用于一些或全部数据的完整性保护的信息，并将其添加到与被考虑用于生成完整性保护的信息的数据相关的信息之前。

图15E示出了根据本公开的各种实施例的分组结构的另一示例。

参考图15E，示出了当基于数据是否被加密为数据选择性地提供安全性时包括数据的分组的结构。根据实施例，可以执行完整性保护，以仅为与除了分组内已经加密的数据之外的数据相关的一些或全部信息(例如，协议层(PDCP-H、SDAP-H、IP-H、TCP-H或TLS-H)的报头或附加信息)提供完整性。因此，用于与数据相关的信息中的一些或全部的完整性保护的信息(例如，MAC-I)可以被生成并被添加以位于与被考虑用于生成完整性保护的信息的数据相关的多条信息之间。例如，用于完整性保护的信息可以被添加以位于与数据相关的多条信息之间的PDCP-H或SDAP-H之后。根据分组结构，可以执行连续加密，从而可以提高计算效率。根据另一实施例，可以添加用于完整性保护的信息以位于与数据相关的多条信息中的PDCP-H和SDAP-H之间。根据分组结构，只要用于完整性保护的信息被添加到位于PDCH-H和SDAP-H之间，而不需要在分组重组中生成任何单独的操作(例如，字节复制)，就具有降低操作复杂性的优点。

同时，图15A至图15E对应于可以应用本公开的分组结构的示例，并且本公开不限于此。例如，本公开内容可以应用于图15A至图15E中未示出的分组结构。此外，示出了由PDCP层执行完整性保护和加密，但是本公开不限于此。执行完整性保护和加密的层的名称不受限制，并且完整性保护和加密可以由至少一个层执行。

图16示出了根据本公开的各种实施例的基于数据是否被加密的UP安全性过程中的发送器和接收器的操作。

在图16中，假设数据被加密，并且在发送器和接收器之间共享用于完整性保护和加密的密钥。同时，该假设仅是为了便于描述，并且本公开不限于此。此外，与图16所示的数据相关的信息可以包括相应协议层(诸如PDCP、SDAP、IP、TCP和TLS)的报头，或者在发送和接收数据时包括附加信息。

参考图16，发送器可以基于与要完整性保护的分组内的数据相关的信息中的一些或全部信息作为根据本公开内容的完整性保护算法的输入值来生成用于完整性保护的信息(在图16中示出为MAC-I)，并将该信息添加到分组的特定位置。同时，不仅可以对与分组内的数据相关的信息中的一些或全部执行完整性保护，而且还可以对加密数据中的一些或全部执行完整性保护。根据实施例，可以通过发送器和接收器之间的预配置来定义要被完整性保护的数据或与数据相关的信息。

例如，发送器和接收器可以通过预配置来共享指示要完整性保护的数据中的一些或全部的信息以及与数据相关的信息中的一些或全部。同时，图16所示的分组结构中的用于完整性保护的信息(MAC-I)的位置正好在数据之前，但是本公开不限于此。根据实施例，用于完整性保护的信息(MAC-I)的位置(例如，对应于参考图15A至图15E描述的位置或对应于与参考图15A至图15E描述的位置不同的位置)可以由发送器和接收器之间的预配置来定义。

在执行完整性保护过程之后，发送器可以基于与数据相关的信息和基于加密算法的输入值的用于完整性保护的信息(MAC-I)中的一些或全部来执行加密，用传统分组替换加密，并将加密发送到接收器。同时，不仅可以对与分组内的数据相关的一些或全部信息执行加密，而且还可以对一些或全部加密数据执行加密。根据实施例，可以通过发送器和接收器之间的预配置来定义通过加密提供机密性的数据或与数据相关的信息。例如，发送器和接收器可以通过预配置共享指示要加密的数据中的一些或全部的信息或者与数据相关的信息中的一些或全部。接收器基于所接收的分组作为解密算法的输入值来执行解密。此后，通过基于作为完整性验证算法的输入值的与分组内的数据相关的信息中的一些或全部来计算用于完整性验证的信息(例如，X-MAC)并将该信息与分组内的MAC-1进行比较来执行完整性验证。当它们基于比较结果彼此相同时，可以确定完整性验证被成功执行。可替代地，当它们彼此不同时，可以确定完整性验证失败并且可以丢弃接收到的分组。

图16示出了根据参考图15A描述的分组结构的UP安全性过程中的发送器和接收器的操作。同时，本公开不限于此，并且可以根据参考图15B或图15E描述的分组结构来执行参考图16描述的操作，或者可以根据与参考图15A至图15E描述的分组结构不同的分组结构来执行参考图16描述的操作。

同时，在上行链路的情况下，发送器可以指代UE(或UE的PDCP层或在UE的协议层中执行完整性保护和加密的层)，并且接收器可以指代网络实体(或BS、BS的PDCP层或在BS的协议层中执行完整性保护和加密的层)。可替代地，在下行链路的情形中，发送器可以指代网络实体(或BS、BS的PDCP层、或在BS的协议层之中执行完整性保护和加密的层)，并且接收器可以指代UE(或UE的PDCP层、或在UE的协议层之中执行完整性保护和加密的层)。

图17示出了根据本公开的各种实施例的网络实体的操作。

参考图17，在操作1705中，网络实体可以识别是否接收到用于选择性地为发送和接收的分组内的数据提供安全性的请求。例如，如图13中所示，网络实体可以不为分组内的数据提供安全性，并且可以识别是否仅针对来自UE的与数据相关的一些或全部信息(例如，附加信息或协议层的报头)执行加密或完整性保护的请求。可替代地，如图14所示，网络实体可以不为分组内的数据提供安全性，并且可以识别是否仅针对来自通信***外部的服务器的与数据相关的一些或全部信息(例如，附加信息或协议层的报头)执行加密或完整性保护的请求。

当接收到请求时，在操作1710中，网络实体可以不对发送和接收的分组内的数据执行加密或完整性保护，而是可以仅对与分组内的数据相关的一些或全部信息(例如，协议层的报头或另外的信息)执行加密或完整性保护。

可替代地，当未接收到请求时，网络实体可以在操作1715中检查发送和接收的分组。在操作1720中，网络实体可以基于分组的检查结果来确定对应的分组内的数据是否被加密。例如，网络实体可以通过基于特定加密协议对分组的检查来识别对应的分组是否被加密，并且因此确定对应的分组内的数据是否被加密。同时，根据实施例，网络可以针对与特定QoS要求、QoS流(QFI)、GBR和非GBR中的至少一个相关联的每个IP流检查对应的IP流的分组。此时，可以预先将被检查以确定IP流的分组内的数据是否被加密的分组的数量确定为特定数量。或者，可以检查对应的IP流的所有分组。

可替代地，可以基于与对应的IP流相关联的特定QoS要求、QoS流(QFI)、GBR和非GBR中的至少一个来确定针对对应的IP流检查的分组的数量。根据另一实施例，网络实体可以执行针对每个DRB发送和接收的分组的检查，在这种情况下，被检查以确定在对应的DRB中发送和接收的分组内的数据是否被加密的分组的数量可以预先确定为特定数量。可替代地，可以检查在对应的DRB中发送和接收的所有分组，并且可以基于与对应的DRB相关联的QoS要求、QoS流、GBR和非GBR中的至少一个来确定针对对应的DRB检查的分组的数量。根据另一实施例，网络实体可以对针对每个PDU会话发送和接收的分组执行检查，在这种情况下，可以预先将被检查以确定在对应的PDU会话中发送和接收的分组内的数据是否被加密的分组的数量确定为特定数量，或者可以检查在对应的PDU会话中发送和接收的所有分组。

当如上所述通过分组的检查识别出分组内的数据被加密时，在操作1710中，网络实体可以不对发送和接收的分组内的数据执行加密或完整性保护，而是可以仅对与分组内的数据相关的一些或全部信息(例如，协议层的报头或附加信息)执行加密或完整性保护。此外，如图12中所示，网络实体可以仅对与所发送和接收的分组内的数据相关的一些或全部信息进行请求或指示执行加密或完整性保护。

可替代地，当通过对分组的检查识别出分组内的数据未被加密时，在操作1725中，网络实体可以对发送和接收的分组内的数据和与数据相关的信息执行加密或完整性保护。

同时，图17所示的操作1705至1725可以改变顺序，可以省略其中的一些操作，或者可以同时执行。此外，图17示出了不对分组内的加密数据执行加密或完整性保护，但是本公开不限于此，并且不仅可以对与分组内的数据相关的一些或全部信息执行加密或完整性保护，而且还可以对一些或全部加密数据执行加密或完整性保护。

图18示出了根据本公开的各种实施例的UE的操作。

参考图18，在操作1805中，UE可以向网络实体指示是对分组内的数据进行加密，还是请求仅对与分组内的数据相关的信息(例如，协议层的报头或附加信息)执行加密或完整性保护。

在操作1810中，UE可以通过从网络实体接收对仅针对与分组内的数据相关的信息的加密或完整性保护的指示来接收UP安全性的配置。

此后，在操作1815中，UE可以根据配置的UP安全性向网络实体发送数据和从网络实体接收数据。

同时，图18所示的操作1805至1815可以改变顺序，可以省略其中的一些，或者可以同时执行。

图19示出了根据本公开的各种实施例的服务器的操作。

参考图19，在操作1905中，服务器可以确定数据是否被加密。

当数据被加密时，在操作1910中，服务器可以向网络实体指示是对分组内的数据进行加密，还是仅对与分组内的数据相关的信息(例如，协议层的报头或附加信息)进行加密或完整性保护的请求。

同时，图19中所示的操作1905至1910可以改变顺序，可以省略其中的一些，或者可以同时执行。

图20示出了根据本公开的各种实施例的网络实体的结构。

参考图20，根据实施例的网络实体2000可以包括收发器2005、控制器2010和存储单元2015。在本公开内容中，网络实体2000的控制器2010可以被定义为电路、专用集成电路或至少一个处理器。

收发器2005可以发送和接收信号。收发器2005可以根据实施例向UE或服务器发送例如信号，并且从UE或服务器接收信号。

控制器2010可以根据本公开中提供的实施例来控制网络实体2000的整体操作。例如，控制器2010可以控制各个块之间的信号流，以根据上述附图(或流程图)执行操作。

存储单元2015可以存储通过收发器2005发送和接收的至少一条信息和通过控制器2010生成的信息。

图21示出了根据本公开的各种实施例的UE的结构。

参考图21，根据实施例的UE 2100可以包括收发器2105、控制器2110和存储单元2115。在本公开中，UE 2100的控制器2110可以被定义为电路、专用集成电路或至少一个处理器。

收发器2105可以发送和接收信号。收发器2105可以根据实施例向网络实体发送例如信号，并且从网络实体接收信号。

控制器2110可以根据本公开中提供的实施例来控制UE 2100的整体操作。例如，控制器2110可以控制各个块之间的信号流，以根据上述附图(或流程图)执行操作。

存储单元2115可以存储通过收发器2105发送和接收的至少一条信息和通过控制器2010生成的信息。

图22示出了根据本公开的各种实施例的服务器的结构。

参考图22，根据实施例的服务器2200可以包括收发器2205、控制器2210和存储单元2215。在本公开中，服务器2200的控制器2210可被定义为电路、专用集成电路、或至少一个处理器。

收发器2205可以发送和接收信号。收发器2205可以根据实施例向网络实体发送例如信号，并且从网络实体接收信号。

控制器2210可以根据本公开中提供的实施例来控制服务器2200的整体操作。例如，控制器2210可以控制各个块之间的信号流，以根据上述附图(或流程图)执行操作。

存储单元2215可以存储通过收发器2205发送和接收的至少一条信息和通过控制器2210生成的信息。

上面已经描述了用于解决根据计算资源消耗的通信延迟和由于通信***中数据的重叠加密而导致的计算时间增加的问题的各种实施例。

根据实施例，提供了一种识别数据是否被加密的方法，以及用于执行该方法的装置和***。根据实施例，提供了一种基于数据是否被加密来选择性地提供数据的安全性(例如，加密或完整性保护)的方法，以及用于执行该方法的装置和***。根据实施例，提供了一种基于数据是否被加密来指示对数据的安全性(例如，加密或完整性保护)的选择性提供的方法，以及用于执行该方法的装置和***。根据实施例，在提供数据安全性时，提供了用于提高计算效率的分组结构。因此，当数据已经被加密时，可以获得防止重叠加密和最小化由加密过程或完整性保护过程消耗的计算资源以及通过减少计算时间最小化计算延迟时间的效果，从而实现更有效的通信***。

在本公开中提供的方法中，在不脱离本公开的基本精神和范围的情况下，可以组合实现包括在相应实施例中的一些或全部内容。

说明书和附图中描述和示出的实施例仅仅是为了容易地解释本公开的技术内容并帮助理解本公开而呈现的具体示例，并且不旨在限制本公开的范围。也就是说，对于本领域技术人员清晰的是，可以实现基于本公开的技术构思的其他变型。

此外，尽管已经通过使用特定术语在说明书和附图中描述和显示了示例性实施例，但是它们在一般意义上仅用于容易地解释本公开的技术内容并帮助理解本公开，并且不旨在限制本公开的范围。对于本领域技术人员清晰的是，除了本文公开的实施例之外，还可以实现基于本公开的技术构思的其他变型。

尽管已经利用各种实施例描述了本公开，但是可以向本领域技术人员建议各种改变和修改。本公开旨在涵盖落入所附权利要求的范围内的这些改变和修改。

Claims

1.一种网络实体的方法，所述方法包括：

确定包括在分组中的数据是否被加密；以及

基于确定包括在分组中的数据被加密，发送指示为与包括在分组中的数据相关的信息提供安全性的第一信号。

2.根据权利要求1所述的方法，其中，确定分组中的数据是否被加密包括：

执行对分组的检查；以及

基于至少一个加密协议，确定包括在分组中的数据是否被加密。

3.根据权利要求1所述的方法，其中，确定分组中的数据是否被加密包括：

从UE或服务器接收指示数据是否被加密的第二信号；

基于从UE或服务器接收的第二信号，确定数据是否被加密；以及

从UE或服务器接收消息，所述消息包括用于为与包括在分组中的数据相关的信息提供安全性的请求。

4.根据权利要求1所述的方法，还包括：

基于确定数据被加密，对与数据相关的信息执行完整性保护过程；以及

基于完整性保护过程的结果和与数据相关的信息，对完整性保护的信息执行加密过程，

其中，所述完整性保护的信息包括消息认证码完整性(MAC-I)和分组内的完整性保护的信息的位置，所述信息的位置是基于数据的位置来确定的。

5.一种用户设备(UE)的方法，所述方法包括：

确定包括在分组中的数据是否被加密；

发送包括用于为与包括在分组中的数据相关的信息提供安全性的请求的消息；以及

响应于发送第二信号，接收指示为与数据相关的信息提供安全性的第一信号。

6.根据权利要求5所述的方法，还包括：发送指示数据是否被加密的第二信号，

其中，基于确定数据被加密，对与数据相关的信息执行完整性保护过程，

完整性保护的信息包括消息认证码完整性(MAC-I)，以及

基于数据的位置来确定分组内的完整性保护的信息的位置。

7.一种服务器的方法，所述方法包括：

确定包括在分组中的数据是否被加密；以及

基于确定包括在分组中的数据被加密，发送包括用于为与包括在分组中的数据相关的信息提供安全性的请求的消息。

8.根据权利要求7所述的方法，还包括发送指示数据是否被加密的消息。

9.一种网络实体，包括：

收发器；以及

控制器，可操作地连接到收发器，所述控制器被配置为：

确定包括在分组中的数据是否被加密，以及

10.根据权利要求9所述的网络实体，其中，所述控制器还被配置为：

执行对分组的检查；以及

11.根据权利要求9所述的网络实体，其中，所述控制器还被配置为：

从UE或服务器接收指示数据是否被加密的第二信号，

基于从UE或服务器接收的第二信号，确定数据是否被加密，以及

12.根据权利要求9所述的网络实体，其中，所述控制器还被配置为：

基于确定数据被加密，对与数据相关的信息执行完整性保护过程；

基于完整性保护过程的结果和与数据相关的信息，对完整性保护的信息执行加密过程；以及

完整性保护的信息包括消息认证码完整性(MAC-I)和分组内的完整性保护的信息的位置，所述信息的位置是基于数据的位置来确定的。

13.一种用户设备(UE)，包括：

收发器；以及

控制器，可操作地连接到收发器，所述控制器被配置为：

确定包括在分组中的数据是否被加密，

发送包括用于提供与包括在分组中的数据相关的信息的安全性的请求的消息，以及

响应于发送第二信号，接收指示提供与数据相关的信息的安全性的第一信号。

14.根据权利要求13所述的UE，其中，所述控制器还被配置为：

发送指示数据是否被加密的第二信号；

基于确定数据被加密，对与数据相关的信息执行完整性保护过程，

完整性保护的信息包括消息认证码完整性(MAC-I)，以及

基于数据的位置来确定分组内的完整性保护的信息的位置。

15.一种服务器，包括：

收发器；以及

控制器，可操作地连接到收发器，所述控制器被配置为：

确定包括在分组中的数据是否被加密，以及

基于确定包括在分组中的数据被加密，发送包括用于提供与包括在分组中的数据相关的信息的安全性的请求的消息。