对用户进行接入控制的方法 【技术领域】
本发明涉及通信领域，特别涉及支持HNB对UE进行接入控制的方法。
背景技术
SAE的系统结构如图1所示。下面是对图1 SAE系统结构的描述。
101用户设备(以下简称UE)是用来接收数据的终端设备。102 EUTRAN是演进系统SAE中的无线接入网络，也可以叫ENB，负责给LTE手机提供接入无线网络的接口，并且与手机的移动管理实体103MME和用户平面实体104 Serving Gateway通过S1接口连接。103MME负责管理用户设备的移动上下文、会话上下文，保存用户与安全有关的信息。104 Serving Gateway主要提供用户平面的功能。S1-MME接口负责给UE提供无线接入承载建立，将UE发送给MME的消息进行从无线接入网的转发。103MME和104 ServingGateway结合起来的功能与原来的106SGSN(通用分组无线业务(以下简称GPRS)支持节点)有些类似，MME与Serving Gateway有可能处于同一个物理实体。105PDN Gateway负责计费、合法监听等功能。Serving Gateway和PDN Gateway有可能处于同一个物理实体。106SGSN是现在UMTS中为数据的传输提供路由的。现有的SGSN是根据接入点名字(以下简称APN)来找到对应的网关GPRS支持节点(以下简称GGSN)。107 HSS是用户设备的家乡归属子系统，它负责保存用户的信息，包括用户设备的当前位置，服务节点的地址，用户的安全有关的信息，用户设备激活的分组数据协议(以下简称PDP)上下文等等。108PCRF通过S7接口提供Qos政策和计费准则。
通常，用户数据流是经过105PDN Gateway到104 Serving Gateway，Serving Gateway通过GPRS隧道协议(以下简称GTP)通道把数据发送给UE所在的ENB，ENB把数据发送给相应的用户设备。
EPC是演进的核心网络，包括MME和S-GW。其中每一个eNB都与MME池(Pool)中的多个MME相连。每一个eNodeB都与S-GW Pool中的多个S-GW相连。ENodeB和eNodeB之间的接口叫做X2接口。
图2是3G HNB的系统结构图。3G HNB是用在家庭的基站，还可以应用于大学，公司等场所。HNB是即插即用的。与普通的宏基站的区别在于：通常不是所有的用户设备都可以接入HNB。比如只有用户家庭的用户设备可以接入家里的HNB，或者此家人同意其它可以接入的用户设备。在一个公司只有公司的员工和其公司允许的合作伙伴可以接入。有相同接入用户群的一组HNB(如用在同一公司的HNB)称为闭合用户组(以下简称CSG，Closed Subscriber Group)。在3G HNB系统下，闭合用户组列表记录的是可以接入到某个HNB的用户的永久标识，例如，IMSI。3G HNB连接到服务网关，服务网关连接到SGSN上面。HNB和服务网关之间是Iuh接口。服务网关和SGSN之间是传统的Iu接口。
HNB的拥有者可以在运营商的监督下把用户加入到用户组列表里面。网络保存用户组列表。这个用户组列表可以下载到HNB接入系统(例如HNB或者HNB GW)上，当用户移动到HNB的覆盖下面，用户会发起RA UpdateRequest消息，HNB解析RA Update Request消息，或者解析RRC消息，如果消息中包含的是用户的临时标识，网络不知道用户的永久标识，HNB伪造一个NAS消息-UE标识请求消息，发送给UE，要求得到用户的IMSI，然后HNB把此IMSI发送到网关上面，网关通过比较用户的IMSI个用户组列表，判断用户是否可以接入这个HNB，如果不能，GW发送消息告诉HNB。HNB拒绝RA Update消息。如果可以接入，GW也发送消息告诉HNB，HNB把RA UpdateRequest消息转发到GW。GW然后再发送给CN。这个方案中，对用户的接入控制需要两个步骤，第一步骤，在RRC建立消息或者RA Update Request消息中得到用户的P-TMSI，这个P-TMSI是非加密地情况下发送给HNB。第二步骤，HNB要得用户发送IMSI，IMSI也是在非加密的情况下发送给HNB的。
这个解决方案，给HNB带来了复杂度。不仅GW需要保存用户组列表，HNB也需要保存。而且，对系统的安全也带来了威胁。在UMTS系统，IMSI和P-TMSI的对应关系是不在空中接口用非加密的方式传输的。IMSI在下面两种情况，可以在空中接口传输。在Attach过程中，IMSI是非加密的发送给网络，网络对用户进行认证，然后网络分配P-TMSI，以加密的消息发送给UE，以后的信令使用的是P-TMSI。如果Attach Request或者RA UpdateRequest消息中发送的是P-TMSI，网络不能找到用户的上下文信息，网络发送Identity Request，要求得到用户的IMSI。得到IMSI之后，网络必须进行认证过程，来保证用户是一个合法的用户。而目前的解决方案，在HNB得到IMSI之后，并没有一个认证过程，这样，3G HNB不能保证跟UMTS同样的安全性能。
而且，如果拒绝用户使用了“路由区域更新拒绝”消息，拒绝的原因是“位置区域不允许”、“位置区域没有合适的小区”、“位置区域漫游不允许”时，UE会把RAI保存在SIM卡上，在24小时，或者12小时之内不能在同样的RA发送RA更新请求消息。因为在HNB的情况下，RA是可以重用的，所以，用“路由区域更新拒绝”消息会使UE回到自己的HNB下面，有可能不能够发起RA更新请求消息。目前有方案，让UE可以驻留在非自己的HNB上面，只要这个HNB跟自己的HNB使用相同的RA。但是，这样的话，当用户进行业务请求的时候，只能拒绝用户的请求。
如上所述，因为HNB保存用户组列表，给HNB带来了复杂度，而且，目前的解决方案，不能保证3G HNB系统跟UMTSI同样的安全性能。
【发明内容】
本发明的目的是提供一种支持HNB网关进行用户的接入控制的方法。
为实现上述目的，一种对用户进行接入控制的方法，包括步骤：
家用基站发送消息给家用基站网关，所述消息中包含UE对周围小区的测量信息和UE发送给核心网络节点的非接入层NAS消息；
家用基站网关解析非接入层消息，得到非接入层NAS消息中包含的用户标识；
家用基站网关对比用户标识和用户组列表，决定是否可以允许UE接入；
家用基站网关发送NAS消息的响应给家用基站，同时告知家用基站对UE的接入指示。
本发明降低了HNB的复杂度，提高安全性能，并且让用户在周围有宏小区覆盖的情况下只能驻留在本HNB，或者驻留在宏小区。
【附图说明】
图1是SAE的网络结构图；
图2是3G HNB的结构图；
图3是本发明的实施例；
图4是本发明的基站网关的动作流程图；
图5是3G HNB GW控制用户接入的流程图；
图6是3G HNB GW控制用户接入的流程图。
【具体实施方式】
本发明的实施例是以3G HNB为例来描述的，但是本发明不限于3G HNB，还包含LTE HNB和其他接入系统下的HNB。
本发明的实施例一如图3所示。下面是对该图的详细说明。在下面的描述中对与本发明无关的技术忽略了详细的技术说明。
301步骤：UE建立和3G HNB之间的RRC连接。从UE的角度，UE不区分宏基站和家用基站。如果UE处于空闲模式，当用户发现当前小区所在的RAI跟UE保存的RAI不一致，用户要发起路由更新的过程。或者当用户开机，用户要发起Attach过程；或者路由更新时钟到了更新时刻，UE要发起周期性的路由更新过程。这些场景下，UE都要首先建立跟家用基站之间的RRC连接。建立RRC连接的时候，UE汇报对周围小区的测量报告。302步骤，UE发送非接入层消息例如“路由更新请求”消息，或者发送“Attach请求”消息或者“业务请求”消息给家用基站。
303步骤，家用基站把非接入层消息转发给家用基站网关。在此步骤中，家用基站把301步骤收到的测量报告也发送给网关。如果HNB从UE收到的测量结果是以小区的物理层ID来标识的，可选的，HNB可以把物理层标识转化成UTRAN下的小区标识，把测量的小区标识列表发送给基站网关。
304步骤，家用基站网关解析非接入层消息，得到非接入层消息中包含的用户标识。如果用户标识是永久用户标识，IMSI，进行307步骤。如果非接入层消息中包含的标识是用户的临时标识，基站网关检查是否保存了UE的移动管理上下文。移动管理上下文信息包含了用户的永久标识。家用基站网关根据用户的临时标识，和临时标识的签名信息，检查是否保存了这个用户的移动管理上下文。如果根据P-TMSI能找到用户设备的上下文信息，家用基站网关从上下文信息中得到用户的永久标识。如果基站网关没有保存用户设备的上下文信息，进行305步骤。
305步骤：基站网关伪造一个消息“标识请求”，发送给UE。这个消息设置成要求得到用户的永久标识IMSI。
306步骤：UE发送响应消息，消息包含用户的永久标识IMSI。
307步骤：基站网关保存了允许接入到这个家用基站的用户标识的列表。格式可以如下：
HNB ID1：IMSI1，IMSI2，IMSI3…
HNB ID2：IMSI1，IMSI2，IMSI3…
在上述步骤，基站网关已经得到了用户的永久标识，通过查看这个家用基站的用户列表，看这个用户的永久标识是否保存在用户列表里面，可以判断用户是否被允许接入。如果用户能够接入这个基站，进行308步骤，否则进行309步骤，或者310步骤。
308步骤：基站网关把301步骤的非接入层消息转发到SGSN。非接入层消息可以是“路由区域更新请求”，或者“Attach请求”，或者“业务请求”消息。然后进行310步骤。
309步骤：基站网关根据基站汇报的测量报告信息，检查UE有没有在宏小区的覆盖范围，如果有宏小区的覆盖，基站网关可以发送310步骤的消息，建议HNB把用户重置到宏小区上。基站网关检查它控制下的基站的用户列表，检查是否在GW的控制下的家用基站，有没有能允许这个用户接入的基站，如果网关间有接口，还可以检查周围的网关是否有这个用户的HNB，如果没有，基站网关可以发送309步骤的消息“路由区域更新拒绝”给UE。然后发送311步骤的消息，让HNB释放RRC连接。如果有，或者即使GW的控制下没有这个用户的HNB，基站网关也可以进行308步骤，转发“路由区域更新请求”消息给SGSN，SGSN会发送“路由区域接受”消息给UE，然后进行311的步骤，让HNB释放RRC连接。如果周围没有宏小区的覆盖，那只能让用户驻留在此HNB上面，基站网关进行308步骤，转发“路由区域更新请求”消息给SGSN，SGSN会发送“路由区域接受”消息给UE，然后可以通过311步骤的消息，通知HNB，只能让此用户进行紧急业务的呼叫。
310步骤：基站网关收到了SGSN发送的“路由区域接受”消息，转发给UE。
311步骤：网关发送消息给HNB，通知HNB这个用户不能接入到这个HNB上。建议HNB释放RRC连接，或者把用户重置到宏小区。
网关发送消息给HNB，通知HNB释放RRC连接。
网关发送消息给HNB，标识此用户是特殊的用户，只能接入紧急业务。因为如果周围没有宏小区的覆盖，那只能让用户驻留在此HNB上面，在310步骤，发送的是“路由区域更新接受”消息，那当用户有业务的时候，会又发起建立RRC连接的过程。如果HNB在311的步骤中，知道这用户是一个特殊的用户，是因为周围没有宏小区覆盖才驻留在HNB上面的，那HNB判断RRC连接建立的原因，只允许这个用户进行紧急业务的呼叫。不是紧急业务，就不建立RRC连接。
312步骤：基站根据基站网关发送的消息，释放RRC连接，或者让UE重选宏小区。
图4是基站网关的动作流程图。
401步骤，基站网关收到非接入层消息“路由更新请求”消息，或者“Attach请求”消息。家用基站网关解析非接入层消息，得到非接入层消息中包含的用户标识。如果用户标识是永久用户标识，IMSI，进行405步骤。否则，进行402步骤，基站网关检查是否保存了UE的移动管理上下文。移动管理上下文信息包含了用户的永久标识。如果空闲模式曾经驻留在基站网关上，基站网关就保存了用户的信息，比如用户的临时标识，签名信息和他的永久标识。如果已经保存了，进行405步骤，否则，进行404步骤。
404步骤：基站网关伪造一个消息“标识请求”，发送给UE。这个消息设置成要求得到用户的永久标识IMSI。UE发送响应消息，消息包含用户的永久标识IMSI。
405步骤：基站网关通过查看这个家用基站的用户列表和用户的IMSI，判断用户是否被允许接入。如果能允许这个用户接入，进行406步骤。否则，进行407步骤。
406步骤：基站网关更新用户的移动管理上下文。在本发明中，这个UE的移动上下文在用户进行空闲模式后，也不释放。这样，当用户进行周期性的“路由区域更新请求”的时候，基站网关不需要进行405步骤。只有当用户第一次接入这个基站的时候，需要进行405步骤。如果是因为UE第一次进入到这个路由区域，发送路由区域更新请求消息，基站网关没有保存UE的上下文信息，基站网关需要发送“标识请求”消息给UE，得到UE的永久标识。
基站网关把401步骤收到的非接入层消息转发给SGSN。之后的步骤，就和目前实现的过程是一样的。
407步骤：基站网关根据保存的或者收到的信息，检查UE有没有在宏小区的覆盖范围，如果没有宏小区的覆盖，只能让用户驻留在此HNB上面，基站网关进行409步骤。如果有宏小区的覆盖，基站网关进行408步骤。
408步骤：基站网关检查它控制下的基站的用户列表，检查是否在网关的控制下的家用基站，有没有能允许这个用户接入的基站，如果网关之间有接口，可以检查周围的网关的控制下是否有这个用户的HNB。如果没有，进行410步骤。
如果在网关的控制下，有用户的HNB，或者即使没有，但是为了避免路由区域拒绝消息的发生，网关可以进行409步骤。
409步骤：基站网关把401步骤收到的消息转发给SGSN。
410步骤：基站网关伪造NAS消息“路由区域更新拒绝”消息，发送给UE。然后进行411步骤。
411步骤：基站网关发送消息给基站，消息可以包含下述信息：
用户的标识，P-TMSI
建议基站把用户重置到宏小区的覆盖下。
建议基站把用户的RRC连接释放。
指示这个用户不能接入到此HNB。
周围没有宏小区，此用户是一个特殊的用户，只能接入紧急业务。
这些信息要保存在HNB上面，如果指示这个用户不能接入到此HNB，但是下一次，有用同样的P-TMSI进行RRC连接请求的时候，HNB只允许接入紧急业务。如果不是紧急业务，HNB发送“RRC连接拒绝”消息。P-TMSI的删除，当基站网关发送UE改变了P-TMSI，或者已经移动到了其他的宏小区，或者其他的HNB下面，可以让基站网关发送消息，通知HNB。
412步骤：过程结束。
本发明的实施例二如图5所示。下面是对该图的详细说明。在下面的描述中对与本发明无关的技术忽略了详细的技术说明。
501步骤：UE建立和3G HNB之间的RRC连接。从UE的角度，UE不区分宏基站和家用基站。如果UE处于空闲模式，当用户发现当前小区所在的RAI跟UE保存的RAI不一致，用户要发起路由更新的过程。或者当用户开机，用户要发起Attach过程；或者路由更新时钟到了更新时刻，UE要发起周期性的路由更新过程。这些场景下，UE都要首先建立跟家用基站之间的RRC连接。建立RRC连接的时候，UE汇报对周围小区的测量报告。502步骤，UE发送非接入层消息例如“路由更新请求”消息，或者发送“Attach请求”消息或者“业务请求”消息给家用基站。
503步骤，家用基站把非接入层消息转发给家用基站网关。在此步骤中，家用基站把501步骤收到的测量报告也发送给网关。如果HNB从UE收到的测量结果是以小区的物理层ID来标识的，可选的，HNB可以把物理层标识转化成UTRAN下的小区标识，把测量的小区标识列表发送给基站网关。
504步骤，如果从UE收到的非接入层消息中没有包含UE的IMSI，HNB GW又没有保存对应此UE(P-TMSI)的IMSI，HNB GW发起请求UE的IMSI的过程，该过程与图3中相同，这里忽略详细的技术说明。
505步骤：基站网关保存了允许接入到这个家用基站的用户标识的列表。格式可以如下：
HNB ID1：IMSI1，IIMSI2，IMSI3…
HNB ID2：IMSI1，IMSI2，IMSI3…
基站网关通过查看这个家用基站的用户列表，看这个UE的永久标识是否保存在用户列表里，可以判断用户是否被允许接入。如果用户能够接入这个基站，进行506步骤。通过查看基站网关保存的用户列表，如果用户不属于授权的用户，根据基站汇报的UE的测量信息，该UE当前位置收不到宏小区的信号，HNB GW允许该UE接入对应的HNB，进行506步骤。否则进行509步骤。
506步骤：基站网关把503步骤的非接入层消息转发到SGSN。非接入层消息可以是“路由区域更新请求”，或者“Attach请求”，或者“业务请求”消息。
507步骤，SGSN通过Iu接口的“直接转移”消息发送“路由区域更新接受”消息给HNB GW。
508步骤，HNB GW转发收到的“路由区域更新接受”消息给UE。路由区域更新接受分别是通过Iuh接口和Uu接口发送下行NAS消息的接入层消息发送的。
509步骤，HNB GW发送“直接转移”消息给HNB。所述消息中包含信息元素重置的指示。信息元素重置的指示是可选的。根据HNB汇报上来的UE的测量信息，HNB GW可以过滤掉UE不可以接入的小区，得到HNB可以把UE重置的小区。可选的，所述消息中包含信息元素可以重置的小区列表或者频率列表。可选的，所述消息可以是一条单独的消息，也可以是用于发送下行NAS信令的消息。对应前者，HNB GW还需要通过发送下行NAS信令的消息把路由区域更新拒绝发送给HNB，由HNB转发给UE。对应后者，所述“直接转移”消息中还包含信息元素NAS分组数据单元(路由区域更新拒绝)。所述路由区域更新拒绝消息中拒绝的原因应该设置成现有的原因中UE不会把该TA放到‘禁止的TA列表中’。可选的，当HNB GW决定把UE重置到宏小区的情况下(所述的直接转移消息中包含重置的指示)，HNB GW也可以发送路由区域更新接受消息给UE。
510步骤，HNB发送RRC释放或者RRC拒绝消息给UE，可选的，所述消息中包含重置的信息。
本发明的实施例三如图6所示。下面是对该图的详细说明。在下面的描述中对与本发明无关的技术忽略了详细的技术说明。
601步骤：UE建立和3G HNB之间的RRC连接。从UE的角度，UE不区分宏基站和家用基站。如果UE处于空闲模式，当用户发现当前小区所在的RAI跟UE保存的RAI不一致，用户要发起路由更新的过程。或者当用户开机，用户要发起Attach过程；或者路由更新时钟到了更新时刻，UE要发起周期性的路由更新过程。这些场景下，UE都要首先建立跟家用基站之间的RRC连接。建立RRC连接的时候，UE汇报对周围小区的测量报告。602步骤，UE发送非接入层消息例如“路由更新请求”消息，或者发送“Attach请求”消息或者“业务请求”消息给家用基站。
603步骤，如果从UE收到的非接入层消息中没有包含UE的IMSI，HNB又没有保存对应此UE(P-TMSI)的IMSI，HNB发起请求UE的IMSI的过程，该过程与图3中相同，这里忽略详细的技术说明。
604步骤，家用基站发送“UE注册”消息给HNB GW。所述消息中包含UE的IMSI。所述消息中还包含信息元素UE的测量信息。UE的测量信息可以包括：同频的小区列表，异频的小区列表。如果HNB从UE收到的测量结果是以小区的物理层ID来标识的，可选的，HNB可以把物理层标识转化成UTRAN下的小区标识，把测量的小区标识列表发送给基站网关。
605步骤：基站网关保存了允许接入到这个家用基站的用户标识的列表。格式可以如下：
HNB ID1：IMSI1，IIMSI2，IMSI3…
HNB ID2：IMSI1，IMSI2，IMSI3…
基站网关通过查看这个家用基站的用户列表，看这个UE的永久标识是否保存在用户列表里面，可以判断用户是否被允许接入。通过查看基站网关保存的用户列表，如果用户不属于授权的用户，根据基站汇报的UE的测量信息，HNB GW可以过滤UE可以接入的小区列表或者频率列表。HNB GW得到HNB可以把UE重置的小区。
606步骤，HNB GW发送“UE注册响应”消息给HNB。所述消息中包含UE是否可以接入的指示。如果UE不能接入，所述消息中还包含信息元素UE可接入的小区列表或者频率列表。所述的信息元素UE可接入的小区列表或者频率列表是可选的。
607步骤，如果UE可以接入，HNB发送“路由区域更新请求”消息给HNBGW，由HNB GW发送给SGSN。路由区域更新请求是分别通过Iuh接口和Iu接口发送上行NAS消息的接入层消息发送的。
608步骤，SGSN发送“路由区域接受”消息给HNB。609步骤，HNB发送路由区域更新接受给UE。路由区域更新接受是分别通过Iu接口、Iuh接口和Uu接口发送下行NAS消息的接入层消息发送的。
如果UE不能接入该HNB，HNB发送609路由区域更新拒绝消息给UE。所述路由区域更新拒绝消息中拒绝的原因应该设置成现有的原因中UE不会把该TA放到‘禁止的TA列表中’。可选的，当HNB在610步骤决定把UE重置到宏小区的情况下，HNB也可以发送路由区域更新接受消息给UE。路由区域更新拒绝(或者接受)是通过Uu接口发送下行NAS消息的接入层消息发送的。610如果UE不能接入HNB，HNB发送RRC连接释放或者RRC连接拒绝消息给UE。根据UE的测量信息及HNB GW的过滤信息，HNB可以把UE重置到其它的小区或者频率。所述的RRC消息中包含重置的信息。
尽管本发明按照所述的实施例进行了描述，需要指出的是，这些实施例都是用来解释，而不是用来对本发明进行限定。本领域的普通技术人员能够很容易对这些实施例进行更改、增加、删除任何步骤而不脱离本发明的精神和范围。