通信方法和相关产品

摘要

本申请实施例公开了通信方法和相关产品，一种通信方法包括：在UE从一个源切片转到另一个互斥的目标切片情况下，服务目标切片的目标AMF和所述UE均可获取第一AMF密钥Kamf_new，其中，所述第一AMF密钥Kamf_new不同于第二AMF密钥Kamf，其中第二AMF密钥Kamf是服务源切片的源AMF的密钥。本申请实施例方案有利于在互斥切片切换场景下提高通信安全性和有效性。

权利要求

1.一种通信方法，其特征在于，包括：在用户设备UE从一个源切片切换到另一个与之互斥的目标切片的情况下，所述UE向所述目标切片的目标接入与移动性管理功能AMF网元发送注册请求消息，所述注册请求消息携带有所述UE请求的所述目标切片的网络切片选择辅助信息NSSAI；

所述UE获取第一AMF密钥Kamf_new；

其中，所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF网元的密钥，所述Kamf_old为服务所述源切片的源AMF网元的密钥，其中，所述UE和网络侧生成Kamf_new的机制相同。

2.根据权利要求1所述的方法，其特征在于，所述UE获取第一AMF密钥Kamf_new之前，所述方法还包括：所述UE接收所述目标AMF网元发送的携带密钥输入参数的第一消息，生成所述Kamf_new使用到所述密钥输入参数。

3.根据权利要求1或2所述的方法，其特征在于，所述UE获取第一AMF密钥Kamf_new之前，所述方法还包括：接收所述目标AMF网元发送的携带有第一密钥更新指示的第二消息，所述第一密钥更新指示用于指示所述UE更新AMF密钥。

4.根据权利要求1所述的方法，其特征在于，所述注册请求消息携带密钥输入参数T1，其中，生成所述Kamf_new使用到所述密钥输入参数T1。

5.根据权利要求1或4所述的方法，其特征在于，所述注册请求消息携带第二密钥更新指示，其中，所述第二密钥更新指示用于指示网络侧更新AMF密钥。

6.一种通信方法，其特征在于，包括：在用户设备UE从一个源切片转到另一个与之互斥的目标切片的情况下，服务所述目标切片的目标接入与移动性管理功能AMF网元接收来自所述UE的注册请求消息，其中，所述注册请求消息携带有所述UE请求的所述目标切片的网络切片选择辅助信息NSSAI；

所述目标AMF网元获取第一AMF密钥Kamf_new，所述第一AMF密钥Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为所述目标AMF的密钥，所述Kamf_old为服务所述源切片的源AMF网元的密钥。

7.根据权利要求6所述的方法，其特征在于，所述注册请求消息还携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥；所述目标AMF网元根据所述第二密钥更新指示获取所述Kamf_new；

或者，所述目标AMF网元获取所述Kamf_new是在确定本地预设的密钥更新条件满足的情况下执行。

8.根据权利要求6所述的方法，其特征在于，所述注册请求消息携带密钥输入参数T1，其中，生成所述Kamf_new使用到所述密钥输入参数T1。

9.根据权利要求6至8任意一项所述的方法，其特征在于，所述目标AMF网元在接收来自所述UE的注册请求消息之后，所述方法还包括：所述目标AMF网元向认证服务器功能AUSF网元发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参数T1和/或密钥输入参数T2；所述目标AMF网元接收所述AUSF网元返回的对所述密钥更新服务请求的响应，所述响应中携带安全锚点功能SEAF密钥Kseaf_new，生成所述Kseaf_new使用到所述密钥输入参数T1和/或密钥输入参数T2；所述Kseaf_new用于生成所述Kamf_new；

或者，

所述目标AMF网元向AUSF网元发送密钥更新服务请求；所述目标AMF网元接收所述AUSF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，生成所述Kseaf_new使用到所述密钥输入参数T3；所述Kseaf_new用于生成所述Kamf_new；所述目标AMF网元向所述UE发送携带所述密钥输入参数T3的第一消息；

或者，

所述目标AMF网元向AUSF网元发送密钥更新服务请求，其中，所述密钥更新服务请求中携带密钥输入参数T2和/或密钥输入参数T1；所述目标AMF网元接收所述AUSF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，其中，生成所述Kseaf_new使用到所述密钥输入参数T3和携带于所述密钥更新服务请求的密钥输入参数；其中，所述Kseaf_new用于生成所述Kamf_new，所述目标AMF网元向所述UE发送携带所述密钥输入参数T3的第一消息。

10.根据权利要求6至8任意一项所述的方法，其特征在于，所述目标AMF接收来自所述UE的注册请求消息之后，所述方法还包括：所述目标AMF网元向安全锚点功能SEAF网元发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参数T2和/或所述密钥输入参数T1；所述目标AMF网元接收所述SEAF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new，其中，生成所述Kamf_new使用到密钥输入参数T2和/或所述密钥输入参数T1；

或者，

所述目标AMF网元向SEAF网元发送密钥更新服务请求；所述目标AMF网元接收所述SEAF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，生成所述Kamf_new使用到所述密钥输入参数T4；所述目标AMF网元向所述UE发送携带所述密钥输入参数T4的第一消息；

或者，

所述目标AMF网元向发送SEAF网元的密钥更新服务请求，其中，所述密钥更新服务请求中携带有密钥输入参数T2和/或所述密钥输入参数T1；所述目标AMF网元接收所述SEAF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，生成所述Kamf_new使用到所述密钥输入参数T4和携带于所述密钥更新服务的密钥输入参数；所述目标AMF网元向所述UE发送携带所述密钥输入参数T4的第一消息。

11.根据权利要求6至8任意一项所述的方法，其特征在于，所述目标AMF网元接收来自所述UE的注册请求消息之后，所述方法还包括：所述目标AMF网元向切片认证和授权服务器AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF网元接收所述AAA‑S发送的密钥生成参数T5，生成所述Kamf_new使用到所述密钥输入参数T5；

或者

所述目标AMF网元向AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF网元接收所述AAA‑S发送的密钥生成参数T5；生成所述Kamf_new使用到所述密钥输入参数T5，生成所述Kamf_new还使用到密钥输入参数T1和/或密钥输入参数T2。

12.一种通信方法，其特征在于，包括：在用户设备UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF网元的密钥更新服务请求后，认证服务器功能AUSF网元生成安全锚点功能SEAF密钥Kseaf_new，所述Kseaf_new用于生成Kamf_new；所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标接入与移动性管理功能AMF网元的密钥，所述Kamf_old为服务所述源切片的源AMF网元的密钥；

所述AUSF网元向所述目标AMF网元返回对所述密钥更新服务请求的响应，其在，所述响应携带所述Kseaf_new，所述Kseaf_new用于生成所述Kamf_new；

其中，生成Kseaf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T3中的一种或多种；

其中，当生成Kseaf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述密钥更新服务请求中；

其中，当生成Kseaf_new使用到密钥输入参数T3，所述密钥更新服务请求的响应中携带所述密钥输入参数T3。

13.一种通信方法，其特征在于，包括：在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标接入与移动性管理功能AMF网元的密钥更新服务请求后，安全锚点功能SEAF网元生成Kamf_new,其中，所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF网元的密钥，所述Kamf_old为服务所述源切片的源AMF网元的密钥；

所述SEAF网元向所述目标AMF网元返回对所述密钥更新服务请求的响应，其中，所述响应携带所述Kamf_new；

其中，生成所述Kamf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T4中的一种或多种；

其中，当生成Kamf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述密钥更新服务请求中；

其中，当生成Kseaf_new使用到密钥输入参数T4，所述密钥更新服务请求的响应中携带所述密钥输入参数T4。

14.一种用户设备UE，其特征在于，包括：收发单元，用于在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，向所述目标切片的目标接入与移动性管理功能AMF网元发送注册请求消息，其中，所述注册请求消息携带有所述UE请求的所述目标切片的网络切片选择辅助信息NSSAI；

处理单元，用于获取第一AMF密钥Kamf_new，其中，所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF网元的密钥，所述Kamf_old为服务所述源切片的源AMF网元的密钥，其中，所述UE和网络侧生成Kamf_new的机制相同。

15.根据权利要求14所述的UE，其特征在于，所述收发单元，还用于获取所述第一AMF密钥Kamf_new之前，接收所述目标AMF网元发送的携带密钥输入参数的第一消息，生成所述Kamf_new使用到所述密钥输入参数。

16.根据权利要求14或15所述的UE，其特征在于，所述收发单元，还用于获取第一AMF密钥Kamf_new之前，接收所述目标AMF网元发送的携带有第一密钥更新指示的第二消息，所述第一密钥更新指示用于指示所述UE更新AMF密钥。

17.根据权利要求14所述的UE，其特征在于，所述注册请求消息携带密钥输入参数T1，其中，生成所述Kamf_new使用到所述密钥输入参数T1。

18.根据权利要求14或17所述的UE，其特征在于，所述注册请求消息携带第二密钥更新指示，其中，所述第二密钥更新指示用于指示网络侧更新AMF密钥。

19.一种目标接入与移动性管理功能AMF网元，其特征在于，包括：收发单元，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，接收来自所述UE的注册请求消息，其中，所述注册请求消息携带有所述UE请求的所述目标切片的网络切片选择辅助信息NSSAI；

处理单元，用于获取第一AMF密钥Kamf_new，所述第一AMF密钥Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为所述目标AMF网元的密钥，其中，所述目标AMF网元为服务所述目标切片的AMF网元，所述Kamf_old为服务所述源切片的源AMF网元的密钥。

20.根据权利要求19所述的目标AMF网元，其特征在于，所述注册请求消息还携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥；所述目标AMF网元根据所述第二密钥更新指示获取所述Kamf_new；

或者，所述目标AMF网元获取所述Kamf_new是在确定本地预设的密钥更新条件满足的情况下执行。

21.根据权利要求19所述的目标AMF网元，其特征在于，所述注册请求消息携带密钥输入参数T1，其中，生成所述Kamf_new使用到所述密钥输入参数T1。

22.根据权利要求19至21任意一项所述的目标AMF网元，其特征在于，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，向认证服务器功能AUSF网元发送密钥更新服务请求，其中，所述密钥更新服务请求中携带密钥输入参数T1和/或密钥输入参数T2；接收所述AUSF网元返回的对所述密钥更新服务请求的响应，其中，所述响应中携带安全锚点功能SEAF密钥Kseaf_new，生成所述Kseaf_new使用到所述密钥输入参数T1和/或密钥输入参数T2；所述Kseaf_new用于生成所述Kamf_new；

或者，

向AUSF网元发送密钥更新服务请求；接收所述AUSF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，其中，生成所述Kseaf_new使用到所述密钥输入参数T3；所述Kseaf_new用于生成所述Kamf_new；向所述UE发送携带所述密钥输入参数T3的第一消息；

或者，

向AUSF网元发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参数T2和/或密钥输入参数T1；接收所述AUSF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，生成所述Kseaf_new使用到所述密钥输入参数T3和携带于所述密钥更新服务请求的密钥输入参数；所述Kseaf_new用于生成所述Kamf_new，向所述UE发送携带所述密钥输入参数T3的第一消息。

23.根据权利要求19至21任意一项所述的目标AMF网元，其特征在于，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，向安全锚点功能SEAF网元发送密钥更新服务请求，其中，所述密钥更新服务请求中携带密钥输入参数T2和/或所述密钥输入参数T1；接收所述SEAF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new，其中，生成所述Kamf_new使用到密钥输入参数T2和/或所述密钥输入参数T1；

或者，

向SEAF网元发送密钥更新服务请求；

接收所述SEAF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生成所述Kamf_new使用到所述密钥输入参数T4；向所述UE发送携带所述密钥输入参数T4的第一消息；

或者，

向SEAF网元发送密钥更新服务请求，其中，所述密钥更新服务请求中携带有密钥输入参数T2和/或所述密钥输入参数T1；接收所述SEAF网元返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生成所述Kamf_new使用到所述密钥输入参数T4和携带于所述密钥更新服务请求的密钥输入参数；向所述UE发送携带所述密钥输入参数T4的第一消息。

24.根据权利要求19至21任意一项所述的目标AMF网元，其特征在于，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，向切片认证和授权服务器AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；接收所述AAA‑S发送的密钥生成参数T5，生成所述Kamf_new使用到所述密钥输入参数T5；

或者，

所述目标AMF网元向AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF网元接收所述AAA‑S发送的密钥生成参数T5；生成所述Kamf_new使用到所述密钥输入参数T5，生成所述Kamf_new还使用到密钥输入参数T1和/或密钥输入参数T2。

25.一种认证服务器功能AUSF网元，其特征在于，包括：处理单元，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF网元的密钥更新服务请求后，生成Kseaf_new，所述Kseaf_new用于生成安全锚点功能SEAF密钥Kamf_new；所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF网元的密钥，所述Kamf_old为服务所述源切片的源AMF网元的密钥；

收发单元，用于向所述目标AMF网元返回对所述密钥更新服务请求的响应，其在，所述响应携带所述Kseaf_new，所述Kseaf_new用于生成所述Kamf_new；

其中，生成Kseaf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T3中的一种或多种；

其中，当生成Kseaf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述AUSF网元的密钥更新服务请求中；

其中，当生成Kseaf_new使用到密钥输入参数T3，所述密钥更新服务请求的响应中携带所述密钥输入参数T3。

26.一种安全锚点功能SEAF网元，其特征在于，包括：处理单元，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF网元的密钥更新服务请求后，生成Kamf_new,其中，所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF网元的密钥，所述Kamf_old为服务所述源切片的源AMF网元的密钥；

收发单元，用于向所述目标AMF网元返回对所述密钥更新服务请求的响应，其中，所述响应携带所述Kamf_new；

其中，生成所述Kamf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T4中的一种或多种；

其中，当生成Kamf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述SEAF网元的密钥更新服务请求中；

其中，当生成Kseaf_new使用到密钥输入参数T4，所述密钥更新服务请求的响应中携带所述密钥输入参数T4。

27.一种用户设备，其特征在于，包括：相互耦合的处理器和存储器；

其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行权利要求1至5任意一项所述的方法。

28.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行以完成权利要求1至5任意一项所述的方法。

29.一种目标接入与移动性管理功能AMF网元，其特征在于，包括：相互耦合的处理器和存储器；

其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行权利要求6至11任意一项所述的方法。

30.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行以完成权利要求6至11任意一项所述的方法。

31.一种认证服务器功能AUSF网元，其特征在于，包括：相互耦合的处理器和存储器；

其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行权利要求12所述的方法。

32.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行以完成权利要求12所述的方法。

33.一种安全锚点功能SEAF网元，其特征在于，包括：相互耦合的处理器和存储器；

其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行权利要求13所述的方法。

34.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行以完成权利要求13所述的方法。

说明书

通信方法和相关产品

技术领域

[0001] 本申请涉及通信技术领域，尤其涉及了通信方法和相关产品。

背景技术

[0002] 在例如5G网络等通信网络中，互斥切片可以被定义为：当两个网络切片(Network Slice)各自的单个网络切片辅助信息(S‑NSSAI,network slice selection assistance 
information)都在用户设备(UE，User Equipment)的订阅数据中，并且，UE不能够同时访问
这两个S‑NSSAIs之时，则这两个网络切片对UE是互相排斥的，那么两个网络切片可互称为
互斥切片。

[0003] 互斥切片的应用例子非常多，例如，某些公司、部门或者运营商等的内部规定禁止UE同时访问“常规的”和“特殊的”服务。具体例如，某个特定机构的官员所使用的UE受限只
能处于off‑duty模式(常规)或者on‑duty模式(特殊)，规定禁止该UE同时访问off‑duty服
务和on‑duty服务。

[0004] 当一个UE从网络切片Slice 1切换到与之互斥的网络切片Slice 2时，网络侧重新分配接入与移动性管理功能(AMF,Access and Mobility Management Function)。在切片
切换过程中如何保证Kamf的前向安全性是一个需要考虑的问题。

发明内容

[0005] 本申请实施例提供通信方法和相关产品。

[0006] 第一方面，一种通信方法，包括：在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，所述UE发送注册请求消息，所述注册请求消息携带有所述UE请求的所述目
标切片的网络切片选择辅助信息(NSSAI)；所述UE获取第一AMF密钥Kamf_new，其中，所述
Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF
(Target AMF)的密钥，所述Kamf_old为服务所述源切片的源AMF(Source AMF)的密钥。

[0007] 可见，本申请实施例上述方案，在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，UE获取第一AMF密钥Kamf_new，Kamf_new不同于第二AMF密钥Kamf_old，由于
Kamf_new不同于Kamf_old，进而可实现在互斥切片切换的场景下，Source AMF和Target 
AMF之间的密钥隔离，进而可实现Kamf前向安全。

[0008] 在一些可能的实施方式中，所述UE获取所述第一AMF密钥Kamf_new之前，所述方法还可以包括：所述UE接收所述目标AMF发送的携带密钥输入参数的第一消息，生成所述
Kamf_new使用到第一消息携带的密钥输入参数。

[0009] 其中，第一消息携带的密钥输入参数例如包括如下密钥输入参数中的一种或多种：密钥输入参数T2、密钥输入参数T3或密钥输入参数T4。密钥输入参数T2例如由目标AMF
提供；密钥输入参数T3例如由AUSF提供；密钥输入参数T4例如由SEAF提供；密钥输入参数T5
例如由AAA‑S提供。

[0010] 在一些可能的实施方式中，UE获取第一AMF密钥Kamf_new之前，方法还可包括：接收所述目标AMF发送的携带有第一密钥更新指示的第二消息，所述第一密钥更新指示用于
指示所述UE更新AMF密钥。相应的，例如UE获取第一AMF密钥Kamf_new可以是在所述第一密
钥更新指示的触发下执行。

[0011] 例如，第二消息和第一消息可为同一消息，也可以是不同消息。例如第二消息和第一消息可为非接入层安全模式控制（NAS Security Mode Command）消息或其他消息。

[0012] 在一些可能的实施方式中，所述注册请求消息可携带密钥输入参数T1，生成所述Kamf_new使用到所述密钥输入参数T1。例如密钥输入参数T1例如由UE提供，UE通过注册请
求消息将密钥输入参数T1传递给网络侧，以便于网络侧据此生成所述Kamf_new。

[0013] 在一些可能的实施方式中，所述注册请求消息携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥。相应的，例如网络侧相关设备获取第一AMF密
钥Kamf_new可以是在所述第二密钥更新指示的触发下执行。

[0014] 第二方面，一种通信方法，可以包括：在UE从一个源切片转到另一个与之互斥的目标切片的情况下，服务所述目标切片的目标AMF接收来自所述UE的注册请求消息，其中，所
述注册请求消息携带有所述UE请求的所述目标切片的网络切片选择辅助信息NSSAI；所述
目标AMF获取第一AMF密钥Kamf_new，所述第一AMF密钥Kamf_new不同于第二AMF密钥Kamf_
old，所述Kamf_new为所述目标AMF的密钥，所述Kamf_old为服务所述源切片的源AMF的密
钥。

[0015] 在一些可能的实施方式中，所述注册请求消息还携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥；或者，所述目标AMF获取所述Kamf_new是在
确定本地预设的密钥更新条件满足的情况下执行。

[0016] 在一些可能的实施方式中，注册请求消息携带密钥输入参数T1，生成所述Kamf_new使用到所述密钥输入参数T1。当然生成所述Kamf_new还可能使用到其它密钥输入参数。

[0017] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0018] 所述目标AMF向认证服务器功能AUSF发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参数T1和/或密钥输入参数T2；所述目标AMF接收所述AUSF返回的对所
述密钥更新服务请求的响应，所述响应中携带SEAF密钥Kseaf_new，生成所述Kseaf_new使
用到所述密钥输入参数T1和/或密钥输入参数T2；所述Kseaf_new用于生成所述Kamf_new。
进一步的，所述目标AMF可向所述UE发送携带生成所述Kseaf_new使用到的部分或全部密钥
输入参数（例如密钥输入参数T2等等）的第一消息。

[0019] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0020] 所述目标AMF向AUSF发送密钥更新服务请求；所述目标AMF接收所述AUSF返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，生成所
述Kseaf_new使用到所述密钥输入参数T3；所述Kseaf_new用于生成所述Kamf_new；所述目
标AMF向所述UE发送携带所述密钥输入参数T3的第一消息。

[0021] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法可还包括：

[0022] 所述目标AMF向AUSF发送密钥更新服务请求，其中，所述密钥更新服务请求中携带密钥输入参数T2和/或密钥输入参数T1；所述目标AMF接收所述AUSF返回的对所述密钥更新
服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，其中，生成所述
Kseaf_new使用到所述密钥输入参数T3和携带于所述密钥更新服务请求的密钥输入参数；
其中，所述Kseaf_new用于生成所述Kamf_new，所述目标AMF向所述UE发送携带所述密钥输
入参数T3的第一消息。

[0023] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0024] 所述目标AMF向安全锚点功能SEAF发送密钥更新服务请求，所述密钥更新服务调用请求中携带密钥输入参数T2和/或所述密钥输入参数T1；所述目标AMF接收所述SEAF返回
的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new，其中，生成所述Kamf_
new使用到密钥输入参数T2和/或所述密钥输入参数T1。进一步的，所述目标AMF可向所述UE
发送携带生成所述Kamf_new使用到的部分或全部密钥输入参数（例如密钥输入参数T2等）
的第一消息。

[0025] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0026] 所述目标AMF向SEAF发送密钥更新服务请求；所述目标AMF接收所述SEAF返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生
成所述Kamf_new使用到所述密钥输入参数T4；所述目标AMF向所述UE发送携带所述密钥输
入参数T4的第一消息。

[0027] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0028] 所述目标AMF向发送SEAF的密钥更新服务请求，其中，所述密钥更新服务请求中携带有密钥输入参数T2和/或所述密钥输入参数T1；所述目标AMF接收所述SEAF返回的对所述
密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，生成所述
Kamf_new使用到所述密钥输入参数T4和携带于所述密钥更新服务的密钥输入参数；所述目
标AMF向所述UE发送携带所述密钥输入参数T4的第一消息。

[0029] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0030] 所述目标AMF向切片认证和授权服务器AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF接收所述AAA‑S发送的密
钥生成参数T5，生成所述Kamf_new使用到所述密钥输入参数T5；

[0031] 或者，

[0032] 所述目标AMF向AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF接收所述AAA‑S发送的密钥生成参数T5；其中，生
成所述Kamf_new使用到所述密钥输入参数T5，生成所述Kamf_new还使用到密钥输入参数T1
和/或密钥输入参数T2。

[0033] 第三方面，一种通信方法，包括：

[0034] 在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF的密钥更新服务请求后，所述AUSF生成Kseaf_new，所述Kseaf_new用于生成Kamf_new；
所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF
的密钥，所述Kamf_old为服务所述源切片的源AMF的密钥；

[0035] 所述AUSF向所述目标AMF返回对所述密钥更新服务请求的响应，其在，所述响应携带所述Kseaf_new，所述Kseaf_new用于生成所述Kamf_new；

[0036] 其中，生成Kseaf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T3中的一种或多种；

[0037] 其中，当生成Kseaf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述密钥更新服务请求中；

[0038] 其中，当生成Kseaf_new使用到密钥输入参数T3，所述密钥更新服务请求的响应中携带所述密钥输入参数T3。

[0039] 第四方面，一种通信方法，包括：

[0040] 在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF的SEAF的密钥更新服务请求后，所述SEAF生成Kamf_new,其中，所述Kamf_new不同于第
二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF的密钥，所述Kamf_old
为服务所述源切片的源AMF的密钥；

[0041] 所述SEAF向所述目标AMF返回对所述密钥更新服务的响应，其中，所述响应携带所述Kamf_new；

[0042] 其中，生成所述Kamf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T4中的一种或多种；

[0043] 其中，当生成Kamf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述密钥更新服务请求中；

[0044] 其中，当生成Kseaf_new使用到密钥输入参数T4，所述密钥更新服务请求的响应中携带所述密钥输入参数T4。

[0045] 第五方面，一种用户设备UE，包括：

[0046] 收发单元，用于在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，发送注册请求消息，其中，所述注册请求消息携带有所述UE请求的所述目标切片的网络切
片选择辅助信息NSSAI；

[0047] 处理单元，用于获取第一AMF密钥Kamf_new，其中，所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF的密钥，所述Kamf_old为服务所
述源切片的源AMF的密钥。

[0048] 在一些可能的实施方式中，所述收发单元，还用于获取所述第一AMF密钥Kamf_new之前，接收所述目标AMF发送的携带密钥输入参数的第一消息，生成所述Kamf_new使用到所
述密钥输入参数。

[0049] 在一些可能的实施方式中，所述收发单元，还用于获取第一AMF密钥Kamf_new之前，接收所述目标AMF发送的携带有第一密钥更新指示的第二消息，所述第一密钥更新指示
用于指示所述UE更新AMF密钥。

[0050] 在一些可能的实施方式中，所述注册请求消息携带密钥输入参数T1，生成所述Kamf_new使用到所述密钥输入参数T1。

[0051] 在一些可能的实施方式中，所述注册请求消息携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥。

[0052] 第六方面，一种目标AMF，包括：

[0053] 收发单元，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，接收来自所述UE的注册请求消息，其中，所述注册请求消息携带有所述UE请求的所述目标切
片的网络切片选择辅助信息NSSAI；

[0054] 处理单元，用于获取第一AMF密钥Kamf_new，所述第一AMF密钥Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为所述目标AMF的密钥，其中，所述目标AMF为服务所述
目标切片的AMF，所述Kamf_old为服务所述源切片的源AMF的密钥。

[0055] 在一些可能的实施方式中，所述注册请求消息还携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥；或者，所述目标AMF获取所述Kamf_new是在
确定本地预设的密钥更新条件满足的情况下执行。

[0056] 在一些可能的实施方式中，所述注册请求消息携带密钥输入参数T1，生成所述Kamf_new使用到所述密钥输入参数T1。

[0057] 在一些可能的实施方式之中，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，

[0058] 向认证服务器功能AUSF发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参数T1和/或密钥输入参数T2；接收所述AUSF返回的对所述密钥更新服务请求的响
应，所述响应中携带SEAF密钥Kseaf_new，生成所述Kseaf_new使用到所述密钥输入参数T1
和/或密钥输入参数T2；所述Kseaf_new用于生成所述Kamf_new。

[0059] 进一步的，所述收发单元还可用于向所述UE发送携带生成所述Kseaf_new使用到的部分或全部密钥输入参数（例如密钥输入参数T2等）的第一消息。

[0060] 在一些可能的实施方式之中，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，

[0061] 向AUSF发送密钥更新服务请求；接收所述AUSF返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，其中，生成所述Kseaf_new使用到
所述密钥输入参数T3；所述Kseaf_new用于生成所述Kamf_new；向所述UE发送携带所述密钥
输入参数T3的第一消息。

[0062] 在一些可能的实施方式之中，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，向AUSF发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参数
T2和/或密钥输入参数T1；接收所述AUSF返回的对所述密钥更新服务请求的响应，所述响应
中携带所述Kseaf_new和密钥输入参数T3，生成所述Kseaf_new使用到所述密钥输入参数T3
和携带于所述密钥更新服务请求的密钥输入参数；所述Kseaf_new用于生成所述Kamf_new，
向所述UE发送携带所述密钥输入参数T3的第一消息。

[0063] 在一些可能的实施方式之中，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，向安全锚点功能SEAF发送密钥更新服务请求，其中，所述密钥更新服务请求中
携带密钥输入参数T2和/或所述密钥输入参数T1；接收所述SEAF返回的对所述密钥更新服
务请求的响应，所述响应中携带所述Kamf_new，其中，生成所述Kamf_new使用到密钥输入参
数T2和/或所述密钥输入参数T1。进一步的，所述收发单元还可用于向所述UE发送携带生成
所述Kamf_new使用到的部分或全部密钥输入参数（例如密钥输入参数T2等）的第一消息。

[0064] 在一些可能的实施方式之中，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，向SEAF发送密钥更新服务请求；接收所述SEAF返回的对所述密钥更新服务请
求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生成所述Kamf_new使用
到所述密钥输入参数T4；向所述UE发送携带所述密钥输入参数T4的第一消息。

[0065] 在一些可能的实施方式之中，所述收发单元，还用于在接收来自所述UE的注册请求消息之后，向SEAF发送密钥更新服务请求，其中，所述密钥更新服务请求中携带有密钥输
入参数T2和/或所述密钥输入参数T1；接收所述SEAF返回的对所述密钥更新服务请求的响
应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生成所述Kamf_new使用到所述
密钥输入参数T4和携带于所述密钥更新服务请求的密钥输入参数；向所述UE发送携带所述
密钥输入参数T4的第一消息。

[0066] 在一些可能实施方式中，收发单元，还用于在接收来自所述UE的注册请求消息后，向切片认证和授权服务器（AAA‑S）发送携带密钥参数指示的消息；密钥参数指示用于指示
AAA‑S生成密钥输入参数T5；接收所述AAA‑S发送的密钥生成参数T5，生成所述Kamf_new可
使用到所述密钥输入参数T5；

[0067] 或者，所述目标AMF向AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF接收所述AAA‑S发送的密钥生成参数T5；生
成所述Kamf_new使用到所述密钥输入参数T5，生成所述Kamf_new还使用到密钥输入参数T1
和/或密钥输入参数T2。

[0068] 第七方面，一种认证服务器功能AUSF，包括：

[0069] 处理单元，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF的密钥更新服务请求后，所述AUSF生成Kseaf_new，所述Kseaf_new用于
生成Kamf_new；所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标
切片的目标AMF的密钥，所述Kamf_old为服务所述源切片的源AMF的密钥；

[0070] 收发单元，用于向所述目标AMF返回对所述密钥更新服务请求的响应，其在，所述响应携带所述Kseaf_new，所述Kseaf_new用于生成所述Kamf_new；

[0071] 其中，生成Kseaf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T3中的一种或多种；

[0072] 其中，当生成Kseaf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述AUSF的密钥更新服务请求中；

[0073] 其中，当生成Kseaf_new使用到密钥输入参数T3，所述密钥更新服务请求的响应中携带所述密钥输入参数T3。

[0074] 第八方面，一种安全锚点功能SEAF，可包括：

[0075] 处理单元，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF的密钥更新服务请求后，所述SEAF生成Kamf_new,其中，所述Kamf_new
不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF的密钥，所述
Kamf_old为服务所述源切片的源AMF的密钥；

[0076] 收发单元，用于向所述目标AMF返回对所述密钥更新服务请求的响应，其中，所述响应携带所述Kamf_new；

[0077] 其中，生成所述Kamf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T4中的一种或多种；

[0078] 其中，当生成Kamf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述SEAF的密钥更新服务请求中；

[0079] 其中，当生成Kseaf_new使用到密钥输入参数T4，所述密钥更新服务请求的响应中携带所述密钥输入参数T4。

[0080] 上述一些举例中提到了密钥输入参数T1、密钥输入参数T2、密钥输入参数T3、密钥输入参数T4和密钥输入参数T5。密钥输入参数T1例如可由UE提供；密钥输入参数T2例如可
由目标AMF提供；密钥输入参数T3例如可由AUSF提供；密钥输入参数T4例如可由SEAF提供；
密钥输入参数T5例如可由AAA‑S提供。

[0081] 第九方面，一种用户设备，包括：相互耦合的处理器和存储器；其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一种方法中由UE
执行的部分或全部步骤。

[0082] 第十方面，一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行，以完成执行本申请实施例提供的任意一种方法中由UE执行的
部分或全部步骤。

[0083] 第十一方面，一种目标AMF，包括：相互耦合的处理器和存储器；其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一种方法中由
目标AMF执行的部分或全部步骤。

[0084] 第十二方面，一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行，以完成本申请实施例提供的任意一种方法中由目标AMF执
行的部分或全部步骤。

[0085] 第十三方面，一种AUSF，包括：相互耦合的处理器和存储器；其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一种方法中由AUSF
执行的部分或全部步骤。

[0086] 第十四方面，一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行，以完成本申请实施例提供的任意一种方法中由AUSF执行的
部分或全部步骤。

[0087] 第十五方面，一种SEAF，包括：相互耦合的处理器和存储器；其中，所述处理器用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一种方法中由SEAF
执行的部分或全部步骤。

[0088] 第十六方面，一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行,以完成本申请实施例提供的任意一种方法中由SEAF执行的
部分或全部步骤。

[0089] 第十七方面，一种通信方法，包括：

[0090] 在UE从一个源切片转到另一个与之互斥的目标切片的情况下，切片认证和授权服务器AAA‑S接收来自目标AMF的携带密钥参数指示的消息，所述密钥参数指示用于指示AAA‑
S生成密钥输入参数T5；

[0091] 生成密钥输入参数T5；向所述目标AMF发送密钥生成参数T5，其中，生成第一AMF密钥Kamf_new可使用到所述密钥输入参数T5；其中，所述第一AMF密钥Kamf_new不同于第二
AMF密钥Kamf_old，所述Kamf_new为所述目标AMF的密钥，其中，所述目标AMF为服务所述目
标切片的AMF，所述Kamf_old为服务所述源切片的源AMF的密钥。

[0092] 第十八方面，一种切片认证和授权服务器AAA‑S，包括：

[0093] 收发单元，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，接收来自目标AMF的携带密钥参数指示的消息，密钥参数指示用于指示AAA‑S生成密钥输入参
数T5；

[0094] 处理单元，用于生成密钥输入参数T5；

[0095] 收发单元还用于，向所述目标AMF发送密钥生成参数T5，其中，生成第一AMF密钥Kamf_new可使用到所述密钥输入参数T5；其中，所述第一AMF密钥Kamf_new不同于第二AMF
密钥Kamf_old，所述Kamf_new为所述目标AMF的密钥，其中，所述目标AMF为服务所述目标切
片的AMF，所述Kamf_old为服务所述源切片的源AMF的密钥。

[0096] 第十九方面，一种切片认证和授权服务器AAA‑S包括：相互耦合的处理器和存储器；所述处理器用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任
意一种方法中由AAA‑S执行的部分或全部步骤。

[0097] 第二十方面，一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行,以完成本申请实施例提供的任意一种方法中由AAA‑S执行
的部分或全部步骤。

[0098] 第二十一方面，本申请实施例提供了一种包括指令的计算机程序产品，当所述计算机程序产品计算机设备上运行时，使得计算机设备可执行以本申请实施例提供的任意设
备执行的任意一种方法的部分或全部步骤。

附图说明

[0099] 下面将对本申请实施例涉及的一些附图进行说明。

[0100] 图1‑A是本申请实施例提供的一种通信系统的结构示意图。

[0101] 图1‑B是本申请实施例提供的一种通信方法的流程示意图

[0102] 图2是本申请实施例提供的另一种通信方法的流程示意图。

[0103] 图3是本申请实施例提供的另一种通信方法的流程示意图。

[0104] 图4是本申请实施例提供的另一种通信方法的流程示意图。

[0105] 图5是本申请实施例提供的另一种通信方法的流程示意图。

[0106] 图6是本申请实施例提供的另一种通信方法的流程示意图。

[0107] 图7是本申请实施例提供的另一种通信方法的流程示意图。

[0108] 图8是本申请实施例提供的另一种通信方法的流程示意图。

[0109] 图9是本申请实施例提供的另一种通信方法的流程示意图。

[0110] 图10是本申请实施例提供的另一种通信方法的流程示意图。

[0111] 图11是本申请实施例提供的一种用户设备的结构示意图。

[0112] 图12是本申请实施例提供的一种目标AMF的结构示意图。

[0113] 图13是本申请实施例提供的一种AUSF的结构示意图。

[0114] 图14是本申请实施例提供的一种SEAF的结构示意图。

[0115] 图15是本申请实施例提供的另一种用户设备的结构示意图。

[0116] 图16是本申请实施例提供的另一种目标AMF的结构示意图。

[0117] 图17是本申请实施例提供的另一种AUSF的结构示意图。

[0118] 图18是本申请实施例提供的另一种SEAF的结构示意图。

具体实施方式

[0119] 下面结合本申请实施例中的附图对本申请实施例进行描述。

[0120] 参见图1‑A，图1‑A是本申请实施例举例的一种5G网络架构的示意图。其中，5G网络对4G网络的某些功能网元(例如移动性管理实体(MME，Mobility Management Entity)等
等)进行了一定拆分，并定义了基于服务化架构的架构。在图1‑A所示网络架构中，类似4G网
络中的MME的功能，被拆分成了接入与移动性管理功能(AMF,Access and Mobility 
Management Function)和会话管理功能(SMF,Session Management Function)等等。

[0121] 下面对其他一些相关网元/实体进行介绍。

[0122] 用户终端(UE，User Equipment)通过接入运营商网络来访问数据网络(DN，Data Network)等等，使用DN上的由运营商或第三方提供的业务。

[0123] 接入与移动性管理功能(AMF)是3GPP网络中的一种控制面网元，主要负责UE接入运营商网络的接入控制和移动性管理。其中，安全锚点功能(SEAF,Security Anchor 
Function)可以部署于AMF之中，或SEAF也可能部署于不同于AMF的另一设备中，图1‑A中以
SEAF被部署于AMF中为例。当SEAF被部署于AMF中时，SEAF和AMF和合称AMF。

[0124] 会话管理功能(SMF)是3GPP网络中的一种控制面网元，其中，SMF主要用于负责管理UE的数据包(PDU,Packet Data Unit) 会话。PDU会话是一个用于传输PDU的通道，UE可以
通过PDU会话与DN互相发送PDU。SMF负责PDU会话的建立、维护和删除等管理工作。

[0125] 数据网络(DN,Data Network)也称为分组数据网络(PDN,Packet Data Network)，是位于3GPP网络之外的网络。其中，3GPP网络可接入多个DN，DN上可部署运营商或第三方提
供的多种业务。例如，某个DN是一个智能工厂的私有网络，安装在智能工厂车间的传感器扮
演UE的角色，DN中部署了传感器的控制服务器。UE与控制服务器通信，UE在获取控制服务器
的指令之后，可根据这个指令将采集的数据传递给控制服务器。又例如，DN是一个公司的内
部办公网络，该公司员工所使用的终端则可扮演UE的角色，这个UE可以访问公司内部的信
息和其他资源。

[0126] 其中，统一数据管理网元(UDM，Unified Data Management)也是3GPP网络中的一种控制面网元，UDM主要负责存储3GPP网络中签约用户(UE)的签约数据、信任状
(credential)和持久身份标识(SUPI,Subscriber Permanent Identifier)等。这些数据可
以被用于UE接入运营商3GPP网络的认证和授权。

[0127] 认证服务器功能(AUSF,Authentication Server Function)也是3GPP网络中的一种控制面网元，AUSF主要用于第一级认证(即3GPP网络对其签约用户的认证)。

[0128] 其中，网络开放功能(NEF,Network Exposure Function)也是3GPP网络之中的一种控制面网元。NEF主要负责以安全的方式对第三方开放3GPP网络的对外接口。其中，在SMF
等网元需要与第三方网元通信时，可以以NEF为通信的中继。其中，中继时，NEF可以进行内
外部标识的翻译。比如，将UE的SUPI从3GPP网络发送到第三方时，NEF可以将SUPI翻译成其
对应的外部身份标识(ID,Identity)。反之，NEF可以将外部身份ID在发送到3GPP网络时，将
其翻译成对应的SUPI。

[0129] 其中，网络存储功能(NRF,Network Repository Function)也是3GPP网络中的一种控制面网元，主要负责存储可被访问的网络功能(NF)的配置额服务资料(profile)，为其
他网元提供网络功能的发现服务。

[0130] 用户面功能(UPF,User Plane Function)是3GPP网络与DN通信的网关。

[0131] 策略控制功能(PCF,Policy Control Function)是3GPP网络中的一种控制面功能，用于向SMF提供PDU会话的策略。策略可包括计费、服务质量(QoS,Quality of 
Service)、授权相关策略等。

[0132] 接入网(AN，Access Network)是3GPP网络的一个子网络，UE要接入3GPP网络，首先需要经过AN。在无线接入场景下AN也称无线接入网(RAN,Radio Access Network),因此RAN
和AN这两个术语经常不做区分的混用。

[0133] 3GPP网络是指符合3GPP标准的网络。其中，图1‑A中除了UE和DN以外的部分可看作是3GPP网络。3GPP网络不只局限于3GPP定义的5G网络，还可包括2G、3G、4G网络。通常3GPP网
络由运营商来运营。此外，在图1‑A所示架构中的N1、N2、N3、N4、N6等分别代表相关网元/网
络功能之间的参照点(Reference Point)。Nausf、Namf...等，分别代表相关网络功能的服
务化接口。本申请实施例的技术方案可以基于图1‑A举例所示架构的通信系统或其形变架
构来具体实施。

[0134] 本申请实施例提供一些在AMF重新分配情况下实现安全通信的方案，例如实现前向安全性的方案。

[0135] 其中，前向安全性：服务Slice 1(网络切片1)的AMF，即Source AMF（源AMF），不能获取UE和Target AMF（目标AMF）之间的AMF密钥Kamf。后向安全性：服务Slice 2(网络切片
2)的AMF，即Target AMF，不能获取UE和Source AMF之间的AMF密钥Kamf。例如网络切片1与
网络切片2为互斥的两个网络切片。

[0136] 为简化描述，本申请一些实施例有时候也将网络切片简称为“切片”，即切片和网络切片有时候是混用的。

[0137] 下面通过具体一些实施例进行举例说明。

[0138] 参见图1‑B，图1‑B为本申请实施例提供的一种通信方法的流程示意图。一种通信方法可包括：

[0139] 101.在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，所述UE向目标AMF发送注册请求消息，所述注册请求消息携带有所述UE请求的所述目标切片的网络切
片选择辅助信息(NSSAI)。

[0140] 相应的，服务所述目标切片的目标AMF接收来自所述UE的注册请求消息。

[0141] 102.所述UE获取第一AMF密钥Kamf_new。

[0142] 103.所述目标AMF获取第一AMF密钥Kamf_new。

[0143] 其中，Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的Target AMF的密钥，所述Kamf_old为服务所述源切片的Source AMF的密钥。

[0144] 其中，步骤102和步骤103的没有必然的执行先后顺序。

[0145] 在一些可能的实施方式中，所述UE获取所述第一AMF密钥Kamf_new之前，所述方法还可以包括：所述UE接收所述目标AMF发送的携带密钥输入参数的第一消息，生成所述
Kamf_new使用到第一消息携带的密钥输入参数。

[0146] 其中，第一消息携带的密钥输入参数例如包括如下密钥输入参数中的一种或多种：密钥输入参数T2、密钥输入参数T3或密钥输入参数T4。密钥输入参数T2例如由目标AMF
提供；密钥输入参数T3例如由AUSF提供；密钥输入参数T4例如由SEAF提供；密钥输入参数T5
例如由AAA‑S提供。

[0147] 在一些可能的实施方式中，UE获取第一AMF密钥Kamf_new之前，方法还可包括：接收所述目标AMF发送的携带有第一密钥更新指示的第二消息，所述第一密钥更新指示用于
指示所述UE更新AMF密钥。相应的，例如UE获取第一AMF密钥Kamf_new可以是在所述第一密
钥更新指示的触发下执行。

[0148] 例如，第二消息和第一消息可为同一消息，也可以是不同消息。例如第二消息和第一消息可为非接入层安全模式控制(NAS Security Mode Command)消息或其他消息。

[0149] 在一些可能的实施方式中，所述注册请求消息可携带密钥输入参数T1，生成所述Kamf_new使用到所述密钥输入参数T1。例如密钥输入参数T1例如由UE提供，UE通过注册请
求消息将密钥输入参数T1传递给网络侧，以便于网络侧据此生成所述Kamf_new。

[0150] 在一些可能的实施方式中，所述注册请求消息还携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥。相应的，例如网络侧相关设备获取第一AMF
密钥Kamf_new可以是在所述第二密钥更新指示的触发下执行。

[0151] 可见，本实施例上述方案，可实现在切片切换场景下Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安全。

[0152] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0153] 所述目标AMF向认证服务器功能AUSF发送密钥更新服务请求(目标AMF通过向认证服务器功能AUSF发送密钥更新服务请求，来调用AUSF的密钥更新服务)，所述密钥更新服务
请求中携带密钥输入参数T1和/或密钥输入参数T2；所述目标AMF接收所述AUSF返回的对所
述密钥更新服务请求的响应，所述响应中携带SEAF密钥Kseaf_new，生成所述Kseaf_new使
用到所述密钥输入参数T1和/或密钥输入参数T2；所述Kseaf_new用于生成所述Kamf_new。
进一步的，所述目标AMF可向所述UE发送携带生成所述Kseaf_new使用到的部分或全部密钥
输入参数（例如密钥输入参数T2等等）的第一消息。

[0154] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0155] 所述目标AMF向AUSF发送密钥更新服务请求；所述目标AMF接收所述AUSF返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，生成所
述Kseaf_new使用到所述密钥输入参数T3；所述Kseaf_new用于生成所述Kamf_new；所述目
标AMF向所述UE发送携带所述密钥输入参数T3的第一消息。

[0156] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法可还包括：

[0157] 所述目标AMF向AUSF发送密钥更新服务请求，其中，所述密钥更新服务请求中携带密钥输入参数T2和/或密钥输入参数T1；所述目标AMF接收所述AUSF返回的对所述密钥更新
服务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，其中，生成所述
Kseaf_new使用到所述密钥输入参数T3和携带于所述密钥更新服务请求的密钥输入参数；
其中，所述Kseaf_new用于生成所述Kamf_new，所述目标AMF向所述UE发送携带所述密钥输
入参数T3的第一消息。

[0158] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0159] 所述目标AMF向安全锚点功能SEAF发送密钥更新服务请求，所述密钥更新服务调用请求中携带密钥输入参数T2和/或所述密钥输入参数T1；所述目标AMF接收所述SEAF返回
的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new，其中，生成所述Kamf_
new使用到密钥输入参数T2和/或所述密钥输入参数T1。进一步的，所述目标AMF可向所述UE
发送携带生成所述Kamf_new使用到的部分或全部密钥输入参数（例如密钥输入参数T2等）
的第一消息。

[0160] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0161] 所述目标AMF向SEAF发送密钥更新服务请求；所述目标AMF接收所述SEAF返回的对所述密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生
成所述Kamf_new使用到所述密钥输入参数T4；所述目标AMF向所述UE发送携带所述密钥输
入参数T4的第一消息。

[0162] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的请求接入所述目标切片的注册请求消息之后，所述方法还可包括：

[0163] 所述目标AMF向发送SEAF的密钥更新服务请求，其中，所述密钥更新服务请求中携带有密钥输入参数T2和/或所述密钥输入参数T1；所述目标AMF接收所述SEAF返回的对所述
密钥更新服务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，生成所述
Kamf_new使用到所述密钥输入参数T4和携带于所述密钥更新服务的密钥输入参数；所述目
标AMF向所述UE发送携带所述密钥输入参数T4的第一消息。此外，第一消息还可携带生成所
述Kamf_new使用到其它部分或全部密钥输入参数。

[0164] 在一些可能的实施方式中，所述目标AMF在接收来自所述UE的注册请求消息之后，所述方法还可包括：

[0165] 所述目标AMF向切片认证和授权服务器AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF接收所述AAA‑S发送的密
钥生成参数T5，生成所述Kamf_new使用到所述密钥输入参数T5，

[0166] 或者，

[0167] 所述目标AMF向AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF接收所述AAA‑S发送的密钥生成参数T5；其中，生
成所述Kamf_new使用到所述密钥输入参数T5，生成所述Kamf_new还使用到密钥输入参数T1
和/或密钥输入参数T2。

[0168] 可见，本实施例方案无需通过主认证来更新整个密钥体系，便可在切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，相比于通过主认证来更新整个密钥体
系，来实现Kamf前向安全方案，本申请实施例方案的相关效率明显提高。

[0169] 参见图2，图2为本申请实施例举例提供的一种通信方法的流程示意图。一种通信方法可以包括：

[0170] 201.在UE从一个源切片转到另一个与之互斥的目标切片的情况下，所述目标AMF向AUSF发送密钥更新服务请求。

[0171] 其中，目标AMF可在接收到来自UE的请求接入所述目标切片的注册请求消息后，请求AUSF的密钥更新服务。

[0172] 202.在接收到来自目标AMF的密钥更新服务请求后，所述AUSF生成Kseaf_new，所述Kseaf_new用于生成Kamf_new。

[0173] 其中，生成Kseaf_new例如使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T3中的一种或多种。

[0174] 其中，当生成Kseaf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述密钥更新服务请求中。

[0175] 203.AUSF向所述目标AMF返回对所述密钥更新服务请求的响应，其在，所述响应携带所述Kseaf_new。

[0176] 204.接收对密钥更新服务请求的响应之后，目标AMF使用Kseaf_new生成Kamf_new。所述Kamf_new不同于第二AMF密钥Kamf_old，其中，所述Kamf_new为服务所述目标切片
的目标AMF的密钥，所述Kamf_old为服务所述源切片的源AMF的密钥。

[0177] 其中，当生成Kseaf_new使用到密钥输入参数T3，所述密钥更新服务请求的响应中携带所述密钥输入参数T3。

[0178] 可见，本实施例上述方案，可以实现在切片切换场景下Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安全。

[0179] 可见，本实施例方案无需通过主认证来更新整个密钥体系，利用AUSF的密钥更新服务来更新Kseaf_new和Kamf_new，便可在切片切换场景下实现Source AMF和Target AMF
之间的密钥隔离，相比于通过主认证来更新整个密钥体系，来实现Kamf前向安全方案，本申
请实施例方案的相关效率明显提高。

[0180] 例如如果采用主认证流程, SEAF向AUSF请求进行UE认证，AUSF接受到请求之后向UDM请求生成认证向量，基于认证向量，UE和服务网络及归属网络进行相互认证，在相互认
证成功能之后，才更新服务网络的密钥体系。主认证过程中，整个密钥体系都进行更新，包
括更新AUSF密钥。本申请实施例一些方案中，主要SEAF向AUSF请求进行密钥更新。更新的是
SEAF密钥和AMF密钥。AUSF密钥没有更新，也不需要UDM参与，相关效率明显提高。

[0181] 参见图3，图3为本申请实施例举例提供的另一种通信方法的流程示意图。另一种通信方法可以包括：

[0182] 301.在UE从一个源切片转到另一个与之互斥的目标切片的情况下，所述目标AMF向SEAF发送密钥更新服务请求，以请求调用SEAF的密钥更新服务。

[0183] 目标AMF可在接收到来自UE的注册请求消息之后，向SEAF发送密钥更新服务请求，以请求调用SEAF的密钥更新服务。

[0184] 302.在接收到来自目标AMF的密钥更新服务请求后，所述SEAF生成Kamf_new。所述Kamf_new不同于第二AMF密钥Kamf_old，其中，所述Kamf_new为服务所述目标切片的目标
AMF的密钥，所述Kamf_old为服务所述源切片的源AMF的密钥。

[0185] 其中，生成所述Kamf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T4中的一种或多种；

[0186] 其中，当生成Kamf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述密钥更新服务请求中。

[0187] 303.SEAF向所述目标AMF返回对所述密钥更新服务请求的响应，其中，所述响应携带所述Kamf_new。

[0188] 相应的，所述目标AMF接收SEAF返回的对密钥更新服务请求的响应，所述目标AMF从所述响应获取Kamf_new。

[0189] 其中，当生成Kseaf_new使用到密钥输入参数T4，所述密钥更新服务请求的响应中携带所述密钥输入参数T4。进而可通过目标AMF将密钥输入参数T4传递给UE.

[0190] 可见，本实施例上述方案，可以实现在切片切换场景下Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安全。

[0191] 并且，本实施例方案无需通过主认证来更新整个密钥体系，利用SEAF的密钥更新服务来更新Kamf_new，便可在切片切换场景下实现Source AMF和Target AMF之间的密钥隔
离，相比于通过主认证来更新整个密钥体系来实现Kamf前向安全的方案，本申请实施例方
案的相关效率明显提高。

[0192] 其中，在本申请一些实施例中，触发更新目标AMF密钥的条件可以是：由UE指示目标AMF更新目标AMF的密钥；或者目标AMF通过判断本地预设的密钥更新条件是否满足来判
断是否需要更新目标AMF的密钥。触发UE更新目标AMF的密钥的条件可以是：UE自己通过判
断本地预设的密钥更新条件是否满足来判断是否需要更新目标AMF的密钥，或者由目标AMF
指示UE目标AMF的密钥。

[0193] 其中，网络侧生成Kamf_new给Target AMF使用。网络侧在生成Kamf_new时，可以由不同的网元配合完成，例如：AUSF生成一个新的Kseaf，即Kseaf_new。SEAF根据Kseaf_new生
成Kamf_new；例如：SEAF生成Kamf_new；例如：Target AMF生成Kamf_new。

[0194] UE与网络侧采用同样的方式生成Kamf_new。

[0195] 关于生成Kamf_new需使用到的密钥输入参数。生成Kamf_new时可引入新参数，以保证Kamf_new和Source AMF的Kamf(或其水平推演生成的Kamf’)之间的隔离。

[0196] 其中，密钥输入参数可能包括但不限于如下参数的一种或多种：随机数、密钥更新Counter、NASUL Counter、目标切片实例的标识符、目标切片实例的描述信息、目标切片所
属的切片组或者切片类的标识符、目标切片所属的切片组或者切片类的描述信息等。

[0197] 当然，本申请实际上不对生成Kamf_new使用的参数做特别限制，只要求使用的这些参数生成的Kamf_new和Source AMF的Kamf_old(或者其水平生成的Kamf’)是隔离的即
可。

[0198] 下面通过一些更具体的应用场景进行举例说明。

[0199] 参见图4，图4为本申请实施例提供的另一种通信方法的流程示意图。

[0200] 本实施例中，以SEAF和AMF一体部署(这种情况下SEAF和AMF可合称AMF)为例。在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，由AUSF来生成Kseaf_new，将生
成的Kseaf_new发送给Target AMF(内置SEAF)。Target AMF根据Kseaf_new生成Kamf_new。
生成Kseaf_new和Kamf_new要使用到的一些参数由UE提供。

[0201] 如图4举例所示，一种通信方法可包括：

[0202] 401.UE发送注册请求(Registration Request)消息。

[0203] 其中，所述注册请求消息携带UE请求接入的目标切片的NSSAI(s)，所述注册请求消息还携带生成新AMF密钥Kamf_new需使用到的密钥输入参数T1。

[0204] 其中，密钥输入参数T1可以包括以下参数的一种或者几种：UE生成的随机数、UE和AUSF之间同步维护的用于密钥更新的Counter、目标切片的S‑NSSAI、目标切片所属的切片
组(或者切片类class)的描述信息、目标切片所属的切片组(或者切片类)的标识符、目标切
片实例的描述信息、目标切片实例的标识符等等。密钥输入参数T1的目的是使最终生成的
Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T1的具体类型做限制，只要满
足该目的输入参数都可以。

[0205] 可选地,所述注册请求消息还可携带密钥输入参数T1的完整性验证信息Auth_T1。Auth_T1可用于AUSF验证密钥输入参数T1的来源是否为是UE，还可用于验证密钥输入参数
T1是否被篡改等等。Auth_T1的一种样例：Auth_T1= HMAC(Kausf,密钥输入参数T1)。这里不
对Auth_T1的具体形式做限制，只要可满足：AUSF通过Auth_T1能够验证密钥输入参数T1的
来源和密钥输入参数T1是否被篡改即可。

[0206] 可选地，注册请求消息还可携带New_Kseaf_Kamf_Indicator。其中，UE使用这个New_Kseaf_Kamf_Indicator来通知Target AMF网络侧需要生成Kseaf_new和Kamf_new。当
然UE也可通过其他方式来通知网络侧需要生成Kseaf_new和Kamf_new。

[0207] 402.Target AMF接收注册请求后，Target AMF发起UE上下文传输(UE Context Transfer)流程。其中，Target AMF通过UE Context Transfer流程可从Source AMF处获取
Source AMF的密钥Kamf_old和UE的持久身份标识(SUPI,Subscriber  Permanent 
Identifier)等。

[0208] 403.Target AMF向AUSF发送密钥更新服务请求(Nausf_KeyUpdate_MEANS Request)，以请求调用AUSF的密钥更新服务。

[0209] 若注册请求消息携带有New_Kseaf_Kamf_Indicator(即Kseaf_Kamf更新指示)，那么Target AMF可以在注册请求消息携带的New_Kseaf_Kamf_Indicator的指示下，向AUSF发
送密钥更新服务请求，以请求调用AUSF的密钥更新服务。

[0210] 此外，如果注册请求消息未携带New_Kseaf_Kamf_Indicator，那么Target AMF可以在确定预置的密钥更新条件满足时，向AUSF发送密钥更新服务请求，以请求调用AUSF的
密钥更新服务。

[0211] 其中，在向AUSF发送的密钥更新服务请求中可以携带来自于注册请求消息的密钥输入参数T1。

[0212] 其中，在向AUSF发送的密钥更新服务请求中还可携带UE的持久身份标识(SUPI)和服务网络名称(SN‑name)等。

[0213] 如果若注册请求消息携带完整性验证信息Auth_T1，则向AUSF发送的密钥更新服务请求中还携带完整性验证信息Auth_T1。

[0214] 404.AUSF接收来自Target AMF的密钥更新服务请求。

[0215] 其中，若来自Target AMF的密钥更新服务请求中携带的密钥输入参数T1包括UE和AUSF之间同步维护的用于密钥更新的Counter，则AUSF可进一步检测密钥输入参数T1包括
的Counter是否可接受。如果不能接受，则AUSF可以返回错误原因给Target AMF，并可终止
后面的密钥更新流程。

[0216] 若来自Target AMF的密钥更新服务请求中携带Auth_T1,则AUSF则验证密钥输入参数T1的来源和密钥输入参数T1是否被篡改。如果被篡改，则AUSF返回错误原因给Target 
AMF，并可终止后面的密钥更新流程。

[0217] AUSF生成Kseaf_new。其中，生成Kseaf_new使用Kausf作为输入密钥，密钥输入参数可包括密钥输入参数T1和SN‑name等。

[0218] 405、AUSF向Target AMF发送密钥更新服务响应(Nausf_KeyUpdate_MEANS Response)。

[0219] 其中，如果密钥更新成功，密钥更新服务响应（即对密钥更新服务请求的响应）中携带成功指示(Success)和Kseaf_new等等，此外，如果密钥更新失败，密钥更新服务响应中
可携带失败原因等。

[0220] 406、Target AMF接收来自AUSF的密钥更新服务响应。

[0221] 其中，如果密钥更新服务响应指示密钥更新成功，则Target AMF生成Kamf_new(具体由内置于Target AMF中的SEAF生成Kamf_new)。

[0222] 其中，Target AMF生成Kamf_new所使用的输入密钥为Kseaf_new。其中，Kamf_new的密钥输入参数包括SUPI和ABBA（Anti‑bidding down between architectures，不同架构
的防降维攻击）等。Kamf_new的密钥输入参数还可包括密钥输入参数T1。

[0223] 例如 Kamf_new = KDF(Kseaf_new,SUPI,ABBA,[T1])。

[0224] 其中，本申请各实施例中，[]中的参数表示是可选参数。

[0225] 407.Target AMF向UE发送用于激活新密钥的消息M4。

[0226] 其中，如果注册请求消息中未携带New_Kseaf_Kamf_Indicator，那么Target AMF可在消息M4中携带New_Kseaf_Kamf_Indicator，其中，这个New_Kseaf_Kamf_Indicator可
以用于指示UE生成Kseaf_new和Kamf_new。如果注册请求消息中携带New_Kseaf_Kamf_
Indicator，那么Target AMF可不在消息M4中携带New_Kseaf_Kamf_Indicator。

[0227] 其中，消息M4还可携带密钥输入参数T1等。

[0228] 其中，消息M4例如可使用由Kamf_new生成的NAS keys做完整性保护。

[0229] 举例来说，消息M4可以为NAS Security Mode Command消息。

[0230] 408.UE接收到来自Target AMF的消息M4。

[0231] 其中，如果消息M4中携带New_Kseaf_Kamf_Indicator，则UE采用跟网络侧相同的机制生成Kseaf_new和Kamf_new。

[0232] 此外，UE也可自己判断是否需要生成Kseaf_new和Kamf_new，如果需要的话，则UE采用跟网络侧相同的机制生成Kseaf_new和Kamf_new。这种情况下，UE可在发送注册请求消
息之后且在发送消息M5之前的任何时候，执行判断是否需要生成Kseaf_new和Kamf_new和
生成Kseaf_new和Kamf_new的操作。

[0233] 此外，如果消息M4使用由Kamf_new生成的NAS keys做完整性保护，那么UE生成Kamf_new之后，可根据Kamf_new生成的NAS keys，并验证消息M4的完整性。其中，如果完整
性验证未通过，UE例如可终止相关流程等。

[0234] UE向Target AMF发送消息M5来通知Target AMF完成密钥激活。消息M5例如为非接入层安全模式完成（NAS Security Mode Complete）消息。

[0235] 409.执行目标切片的网络切片认证流程。

[0236] 410.在目标切片的网络切片认证通过后，Target AMF向UE发送用于通知目标切片注册成功的注册接受（Registration Accept）消息。

[0237] 其中，本实施例中密钥输入参数T1可包括UE和AUSF之间维护的密钥更新Counter。该密钥更新Counter的生成、初始值设置、使用后的更新和同步方式，本申请不做具体限定。

[0238] 本实施例的步骤401‑409发生在切片转换发起和转换结束之间。

[0239] 可见，本实施例方案，可由UE来提供生成Kseaf_new和Kamf_new的一些参数，可在互斥切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安
全。并且本实施例方案无需通过主认证来更新整个密钥体系，便可在切片切换场景下实现
Source AMF和Target AMF之间的密钥隔离，相比于一些通过主认证来更新整个密钥体系，
来实现Kamf前向安全的可能方案，本申请实施例方案的相关效率明显提高。

[0240] 参见图5，图5为本申请实施例提供的另一种通信方法的流程示意图。

[0241] 以SEAF和AMF一体部署(这种情况下SEAF和AMF可合称AMF)为例。在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，由AUSF来生成Kseaf_new，将生成的Kseaf_
new发送给Target AMF(内置SEAF)。Target AMF根据Kseaf_new生成Kamf_new。生成Kseaf_
new和Kamf_new要使用到的一些参数由Target AMF提供。

[0242] 如图5举例所示，一种通信方法可包括：

[0243] 501.UE发送注册请求消息。

[0244] 其中，所述注册请求消息携带请求接入的目标切片的NSSAI(s)。

[0245] 可选地，注册请求消息还可携带New_Kseaf_Kamf_Indicator。其中，UE使用这个New_Kseaf_Kamf_Indicator来通知Target AMF网络侧需要生成Kseaf_new和Kamf_new。当
然UE也可通过其他方式来通知网络侧需要生成Kseaf_new和Kamf_new。

[0246] 502.Target AMF接收注册请求后，Target AMF发起UE上下文传输(UE Context Transfer)流程。其中，Target AMF通过UE Context Transfer流程可从Source AMF处获取
Source AMF的密钥Kamf_old、UE的持久身份标识(SUPI)、网络切片的实例等。

[0247] 503.Target  AMF向AUSF发送密钥更新服务请求Nausf_KeyUpdate_MEANS Request。

[0248] 若注册请求消息携带有New_Kseaf_Kamf_Indicator(即Kseaf_Kamf更新指示)，那么Target AMF可以在注册请求消息携带的New_Kseaf_Kamf_Indicator的指示下，向AUSF发
送密钥更新服务请求，以请求调用AUSF的密钥更新服务。

[0249] 此外，如果注册请求消息未携带New_Kseaf_Kamf_Indicator，那么Target AMF可以在确定预置的密钥更新条件满足时，向AUSF发送密钥更新服务请求，以请求调用AUSF的
密钥更新服务。

[0250] 其中，在向AUSF发送的密钥更新服务请求中携带密钥输入参数T2。其中这个密钥输入参数T2可以是以下参数的一种或者几种：Target AMF生成的随机数、TargetAMF和AUSF
之间维护的用于密钥更新的Counter（可以简称密钥更新Counter）、、目标切片所属的切片
组(或切片类)的描述信息、目标切片所属的切片组(或切片类)的标识符、NAS UL Counter
目标切片的S‑NSSAI目标切片实例的描述信息、目标切片实例的标识符、Target AMF的标识
符、Target AMF的实例的描述信息、Target AMF的实例标识符、Target AMF所属的AMF Set
的描述信息、或者Target AMF所属的AMF Set的标识符等等。密钥输入参数T2的目的是使最
终生成的Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T2的具体类型做限
制，只要满足该目的输入参数都可以。

[0251] 其中，在向AUSF发送的密钥更新服务请求中可以携带来自于注册请求消息的密钥输入参数T2。

[0252] 其中，在向AUSF发送的密钥更新服务请求中还可以携带UE的持久身份标识(SUPI)和服务网络名称(SN‑name)等。

[0253] 504.AUSF接收Target AMF的密钥更新服务请求Nausf_KeyUpdate_MEANS Request。

[0254] 其中，若来自Target AMF的密钥更新服务请求中携带的密钥输入参数T2包括TargetAMF和AUSF之间同步维护的用于密钥更新的Counter，则AUSF可进一步检测密钥输入
参数T2包括的Counter是否可接受。如果不能接受，则AUSF可以返回错误原因给Target 
AMF，并可终止后面的密钥更新流程。

[0255] AUSF生成Kseaf_new。其中，生成Kseaf_new使用Kausf作为输入密钥，密钥输入参数可包括密钥输入参数T2和SN‑name等。

[0256] 505、AUSF向Target AMF发送密钥更新服务响应Nausf_KeyUpdate_MEANS Response。

[0257] 其中，如果密钥更新成功，密钥更新服务响应（即对密钥更新服务请求的响应）中携带成功指示(Success)和Kseaf_new等等，此外，如果密钥更新失败了，密钥更新服务的响
应中可以携带失败原因等。

[0258] 506、Target AMF接收来自AUSF的密钥更新服务响应。

[0259] 如果密钥更新服务响应指示密钥更新成功，则Target AMF生成Kamf_new(具体由内置于Target AMF中的SEAF生成Kamf_new)。

[0260] 其中，Target AMF生成Kamf_new所使用的输入密钥为Kseaf_new。其中，Kamf_new的密钥输入参数包括SUPI和ABBA等。Kamf_new的密钥输入参数还可包括密钥输入参数T2。

[0261] 例如 Kamf_new = KDF(Kseaf_new,SUPI,ABBA,[T2])。

[0262] 其中，本申请各实施例中，[]中的参数表示是可选参数。

[0263] 507.Target AMF向UE发送用于激活新密钥的消息M4。

[0264] 其中，如果注册请求消息中未携带New_Kseaf_Kamf_Indicator，那么Target AMF可在消息M4中携带New_Kseaf_Kamf_Indicator，其中，这个New_Kseaf_Kamf_Indicator可
以用于指示UE生成Kseaf_new和Kamf_new。如果注册请求消息中携带New_Kseaf_Kamf_
Indicator，那么Target AMF可不在消息M4中携带New_Kseaf_Kamf_Indicator。

[0265] 如果密钥输入参数T2中的一些参数，UE不知道，比如Target AMF生成的随机数、Target AMF和AUSF维护的密钥更新Counter等，则Target AMF在消息M4中携带这些参数，或
者Target AMF也可在消息M4中携带密钥输入参数T2包括的所有参数。

[0266] 其中，消息M4例如可使用由Kamf_new生成的NAS keys做完整性保护。

[0267] 举例来说，消息M4可以为NAS Security Mode Command消息。

[0268] 508.UE接收到来自Target AMF的消息M4。

[0269] 如果消息M4中携带New_Kseaf_Kamf_Indicator，则UE采用跟网络侧相同的机制生成Kseaf_new和Kamf_new。

[0270] 此外，UE也可自己判断是否需要生成Kseaf_new和Kamf_new，如果需要的话，则UE采用跟网络侧相同的机制生成Kseaf_new和Kamf_new。这种情况下，UE可在发送注册请求消
息之后且在发送消息M5之前的任何时候，执行判断是否需要生成Kseaf_new和Kamf_new和
生成Kseaf_new和Kamf_new的操作。

[0271] 此外，如果消息M4使用由Kamf_new生成的NAS keys做完整性保护，那么UE生成Kamf_new之后，可根据Kamf_new生成的NAS keys，并验证消息M4的完整性。其中，如果完整
性验证未通过，UE例如可终止相关流程等。

[0272] UE进一步向Target AMF发送消息M5来通知Target AMF完成密钥激活。消息M5例如为非接入层安全模式完成（NAS Security Mode Complete）消息。

[0273] 509.执行目标切片的网络切片认证流程。

[0274] 510.在目标切片的网络切片认证通过后，Target AMF向UE发送用于通知目标切片注册成功的注册接受（Registration Accept）消息。

[0275] 其中，本实施例中密钥输入参数T2可以包括Target AMF和AUSF之间维护的密钥更新Counter。其中，该密钥更新Counter的生成、初始值设置、使用后的更新和同步方式，本申
请不做具体限定。

[0276] 本实施例的步骤501‑509发生在切片转换发起和转换结束之间。

[0277] 可见，本实施例方案，可由Target AMF提供生成Kseaf_new和Kamf_new的一些参数，可在互斥切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，进而可以实
现Kamf前向安全。并且本实施例方案无需通过主认证来更新整个密钥体系，便可在切片切
换场景下实现Source AMF和Target AMF之间的密钥隔离，相比于一些通过主认证来更新整
个密钥体系，来实现Kamf前向安全的可能方案，本申请实施例方案的相关效率明显提高。

[0278] 参见图6，图6为本申请实施例提供的另一种通信方法的流程示意图。

[0279] 本实施例中，以SEAF和AMF一体部署(这种情况下SEAF和AMF可合称AMF)为例。在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，由AUSF来生成Kseaf_new，将生
成的Kseaf_new发送给Target AMF(内置SEAF)。Target AMF根据Kseaf_new生成Kamf_new。
生成Kseaf_new和Kamf_new要使用到的一些参数由AUSF提供。

[0280] 如图6举例所示，另一种通信方法可包括：

[0281] 601.UE发送注册请求消息。

[0282] 其中，所述注册请求消息携带请求接入的目标切片的NSSAI(s)。

[0283] 可选地，注册请求消息还可携带New_Kseaf_Kamf_Indicator。其中，UE使用这个New_Kseaf_Kamf_Indicator来通知Target AMF网络侧需要生成Kseaf_new和Kamf_new。当
然UE也可通过其他方式来通知网络侧需要生成Kseaf_new和Kamf_new。

[0284] 602.Target AMF接收注册请求后，Target AMF发起UE上下文传输(UE Context Transfer)流程。其中，Target AMF通过UE Context Transfer流程可从Source AMF处获取
Source AMF的密钥Kamf_old、UE的持久身份标识(SUPI)、网络切片的实例等。

[0285] 603.Target  AMF向AUSF发送密钥更新服务请求Nausf_KeyUpdate_MEANS Request。

[0286] 若注册请求消息携带有New_Kseaf_Kamf_Indicator(即Kseaf_Kamf更新指示)，那么Target AMF可以在注册请求消息携带的New_Kseaf_Kamf_Indicator的指示下，向AUSF发
送密钥更新服务请求，以请求调用AUSF的密钥更新服务。

[0287] 此外，如果注册请求消息未携带New_Kseaf_Kamf_Indicator，那么Target AMF可以在确定预置的密钥更新条件满足时，向AUSF发送密钥更新服务请求，以请求调用AUSF的
密钥更新服务。

[0288] 在密钥更新服务请求中还可以携带UE的持久身份标识(SUPI)和服务网络名称(SN‑name)等等。

[0289] 604.AUSF接收来自Target AMF的密钥更新服务请求Nausf_KeyUpdate_MEANS Request。

[0290] AUSF生成Kseaf_new。其中，生成Kseaf_new使用Kausf作为输入密钥，密钥输入参数包括密钥输入参数T3和SN‑name。

[0291] 其中，密钥输入参数T3可以是以下输入参数中的一种或者几种：TargetAMF和AUSF之间维护的密钥更新Counter、AUSF生成的随机数等。使用密钥输入参数T3的目的是使最终
生成的Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T3的具体类型做限制，
只要满足该目的输入参数都可以。

[0292] 605、AUSF向Target AMF发送密钥更新服务响应Nausf_KeyUpdate_MEANS Response。

[0293] 其中，如果密钥更新成功，密钥更新服务响应即对密钥更新服务请求的响应）中携带成功指示(Success)、Kseaf_new和密钥输入参数T3等，此外，如果密钥更新失败了，密钥
更新服务响应中可以携带失败原因等。

[0294] 606、Target AMF接收来自AUSF的密钥更新服务响应。

[0295] 如果密钥更新服务响应指示密钥更新成功，则Target AMF生成Kamf_new(具体由内置于Target AMF中的SEAF生成Kamf_new)。

[0296] 其中，Target AMF生成Kamf_new所使用的输入密钥为Kseaf_new。其中，Kamf_new的密钥输入参数包括SUPI和ABBA等。Kamf_new的密钥输入参数还可包括密钥输入参数T3。

[0297] 例如 Kamf_new = KDF(Kseaf_new,SUPI,ABBA,[T3])。

[0298] 其中，本申请各实施例中，[]中的参数表示是可选参数。

[0299] 607.Target AMF向UE发送用于激活新密钥的消息M4。

[0300] 其中，如果注册请求消息中未携带New_Kseaf_Kamf_Indicator，那么Target AMF可在消息M4中携带New_Kseaf_Kamf_Indicator，其中，这个New_Kseaf_Kamf_Indicator可
以用于指示UE生成Kseaf_new和Kamf_new。如果注册请求消息中携带New_Kseaf_Kamf_
Indicator，那么Target AMF可不在消息M4中携带New_Kseaf_Kamf_Indicator。

[0301] 其中，消息M4中携带可密钥输入参数T3。

[0302] 其中，消息M4例如可使用由Kamf_new生成的NAS keys做完整性保护。

[0303] 举例来说，消息M4可以为NAS Security Mode Command（NAS SMC）消息。

[0304] 608.UE接收到来自Target AMF的消息M4。

[0305] 如果消息M4中携带New_Kseaf_Kamf_Indicator，则UE采用跟网络侧相同的机制生成Kseaf_new和Kamf_new。

[0306] 此外，UE也可自己判断是否需要生成Kseaf_new和Kamf_new，如果需要的话，则UE采用跟网络侧相同的机制生成Kseaf_new和Kamf_new。这种情况下，UE可在发送注册请求消
息之后且在发送消息M5之前的任何时候，执行判断是否需要生成Kseaf_new和Kamf_new和
生成Kseaf_new和Kamf_new的操作。

[0307] 此外，如果消息M4使用由Kamf_new生成的NAS keys做完整性保护，那么UE生成Kamf_new之后，可根据Kamf_new生成的NAS keys，并验证消息M4的完整性。其中，如果完整
性验证未通过，UE例如可终止相关流程等。

[0308] UE进一步向Target AMF发送消息M5来通知Target AMF完成密钥激活。消息M5例如为非接入层安全模式完成（NAS Security Mode Complete）消息。

[0309] 609.执行目标切片的网络切片认证流程。

[0310] 610.在目标切片的网络切片认证通过后，Target AMF向UE发送用于通知目标切片注册成功的注册接受（Registration Accept）消息。

[0311] 其中，本实施例中密钥输入参数T3可以包括Target AMF和AUSF之间维护的密钥更新Counter。其中，该密钥更新Counter的生成、初始值设置、使用后的更新和同步方式，本申
请不做具体限定。

[0312] 本实施例的步骤601‑609发生在切片转换发起和转换结束之间。

[0313] 可见，本实施例方案，可由AUSF提供生成Kseaf_new和Kamf_new的一些参数，可在互斥切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安
全。并且本实施例方案无需通过主认证来更新整个密钥体系，便可在切片切换场景下实现
Source AMF和Target AMF之间的密钥隔离，相比于一些通过主认证来更新整个密钥体系，
来实现Kamf前向安全的可能方案，本申请实施例方案的相关效率明显提高。

[0314] 此外，图4‑图6所示实施例中，主要是以AUSF生成Kseaf_new并给Target AMF。Target AMF再根据Kseaf_new生成Kamf_new。这几个实施例中，密钥输入参数分别由UE、
Target AMF或AUSF提供为例进行说明。

[0315] 然而，另在一些可能的实施方式中，也可能仍由AUSF生成Kseaf_new并给SEAF，Target AMF再根据Kseaf_new生成Kamf_new。并且，生成Kseaf_new的密钥输入参数，还可以
由UE、AUSF和Target AMF中的一个或者几个共同提供，例如，UE提供的密钥输入参数T1和
AUSF提供的密钥输入参数T3共同作为密钥输入参数；又例如Target AMF提供的密钥输入参
数T2和AUSF提供密钥输入参数T3共同作为密钥输入参数。又例如，UE提供的密钥输入参数
T1、Target AMF提供的密钥输入参数T2和AUSF提供的密钥输入参数T3共同作为密钥输入参
数。其他情况可以此类推。

[0316] 参见图7，图7为本申请实施例提供的另一种通信方法的流程示意图。

[0317] 本实施例中，Target AMF和SEAF分体部署(即SEAF未部署于AMF中)，由SEAF生成Kamf_new之后发送给Target AMF。其中，生成Kamf_new要使用到的密钥输入参数由UE提供。

[0318] 如图7举例所示，一种通信方法可包括：

[0319] 701.UE发送注册请求消息。

[0320] 其中，所述注册请求消息携带请求的目标切片的NSSAI(s)，所述注册请求消息还携带用于生成新密钥的密钥输入参数T1。

[0321] 其中，密钥输入参数T1可为以下参数的一种或者几种：UE生成的随机数、UE和SEAF之间维护的用于密钥更新的Counter、目标切片的S‑NSSAI、目标切片所属的切片组(或者切
片类)的描述信息、目标切片所属的切片组(或切片类)的标识符、目标切片实例的描述信
息、目标切片实例的标识符等等。

[0322] 其中，使用密钥输入参数T1的目的是使最终生成的Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T1的具体类型做限制，只要满足该目的输入参数都可以。

[0323] 可选的，所述注册请求消息还可携带密钥输入参数T1的完整性验证信息Auth_T1。Auth_T1可用于AUSF验证密钥输入参数T1的来源是否为是UE，还可用于验证密钥输入参数
T1是否被篡改等。Auth_T1的一种样例：Auth_T1= HMAC(Kausf,密钥输入参数T1)。这里不对
Auth_T1的具体形式做限制，只要可满足：AUSF通过Auth_T1能够验证密钥输入参数T1的来
源和密钥输入参数T1是否被篡改即可。

[0324] 可选地，注册请求消息还可携带New_Kamf_Indicator1。UE使用New_Kamf_Indicator1来通知Target AMF网络侧需要生成Kamf_new。当然，UE也可通过其他方式来通
知网络侧需要生成Kamf_new。

[0325] 702.Target AMF接收注册请求消息后，可以发起UE上下文传输(UE Context Transfer)流程。Target AMF通过UE Context Transfer流程可从Source AMF处获取例如
Source AMF的密钥Kamf、UE的持久身份标识(SUPI,Subscriber Permanent Identifier)、
和网络切片的实例等等。

[0326] 703.Target  AMF向SEAF发送密钥更新服务请求Nseaf_KeyUpdate_MEANS Request。

[0327] 若注册请求消息携带New_Kamf_Indicator1，那么Target AMF可以在注册请求消息携带的New_Kamf_Indicator1的指示下，向SEAF发送密钥更新服务请求，以请求调用SEAF
的密钥更新服务。

[0328] 此外，如果注册请求消息未携带New_Kamf_Indicator1，那么Target AMF可以在确定预置的密钥更新条件满足时，SEAF发送密钥更新服务请求，以请求调用SEAF的密钥更新
服务。

[0329] 其中，在密钥更新服务请求中可携带密钥输入参数T1和SUPI等。

[0330] 704.SEAF接收来自Target AMF的密钥更新服务请求Nseaf_KeyUpdate_MEANS Request。

[0331] 其中，如果来自Target的密钥更新服务请求携带的密钥输入参数T1包括：UE和SEAF之间维护的用于密钥更新的Counter，则SEAF检测该Counter是否可接受。如果不能接
受，则SEAF返回错误原因给Target AMF，并终止后面密钥更新流程。

[0332] 如果来自Target AMF的密钥更新服务请求中携带Auth_T1,则SEAF验证密钥输入参数T1的来源和密钥输入参数T1是否被篡改。如果被篡改，则SEAF返回错误原因给Target 
AMF，并可终止后面的密钥更新流程。

[0333] SEAF生成Kamf_new。其中，生成Kamf_new使用Kseaf作为输入密钥，密钥输入参数包括密钥输入参数T2。其中，Kamf_new生成的方式例如可以可有方式A、方式B和方式C。

[0334] 方式A:直接以Kseaf作为输入密钥来生成Kamf_new，且直接以密钥输入参数T1作为密钥输入参数的部分来生成Kamf_new：

[0335] 例如Kamf _new= KDF（Kseaf,SUPI,ABBA,T1）。

[0336] 方式B：直接以Kseaf作为输入密钥、间接以密钥输入参数T1作为密钥输入参数来生成Kamf_new。例如先使用ABBA和密钥输入参数T1作为参数，使用某种算法生成ABBA’。这
里对生成ABBA’的算法不做限制。生成ABBA’后，以Kseaf为输入密钥，SUPI和ABBA’为密钥输
入参数生成Kamf_new：

[0337] 例如ABBA’= F（ABBA，T1）；

[0338] 例如 Kamf_new= KDF（Kseaf，SUPI，ABBA’）。

[0339] 方式C:间接以Kseaf作为输入密钥来生成Kamf_new，具体例如先以Kseaf作为输入密钥来生成Kseaf’，再以Kseaf’作为输入密钥来生成Kamf_new：

[0340] 例如Kseaf’= KDF(Kseaf,T1)。

[0341] 例如Kamf_new = KDF（Kseaf’,SUPI,ABBA，[T1]）。

[0342] 其中，本申请各实施例中，[]中的参数表示是可选参数。

[0343] 当然，方式B和C中，由于Kseaf’基于Kseaf得到，因此仍然可将Kseaf看作是Kamf_new的输入密钥,将T1看做是Kamf_new的密钥输入参数。

[0344] 705、SEAF向Target AMF发送密钥更新服务响应Nseaf_KeyUpdate_MEANS Response。

[0345] 如果密钥更新成功，密钥更新服务响应中携带成功指示(Success)和Kamf_new等，此外如果密钥更新失败，密钥更新服务响应中可携带失败原因等。

[0346] 706、Target AMF接收来自SEAF的密钥更新服务响应。

[0347] 如果该密钥更新服务响应指示密钥更新失败，则Target AMF可向UE发送例如接入切片失败的通知，该通知可在例如注册拒绝消息中携带。

[0348] 其中，如果该密钥更新服务响应指示密钥更新成功，则Target AMF发送用于激活新密钥的消息M4。

[0349] 707.Target AMF向UE发送用于激活新密钥的消息M4。

[0350] 其中，如果注册请求消息中未携带New_Kamf_Indicator1，那么Target AMF可在消息M4中携带New_Kamf_Indicator1，其中，这个New_Kamf_Indicator1可以用于指示UE生成
Kamf_new。如果注册请求消息中携带有New_Kamf_Indicator1，那么Target AMF可不在消息
M4中携带New_Kamf_Indicator1。

[0351] 其中，消息M4中也可携带密钥输入参数T1。

[0352] 其中，消息M4例如可使用由Kamf_new生成的NAS keys做完整性保护。

[0353] 举例来说，消息M4可以为NAS Security Mode Command消息。

[0354] 708.UE接收到来自Target AMF的消息M4。

[0355] 其中，如果消息M4中携带了New_Kamf_Indicator1，则UE采用跟网络侧相同的机制生成Kamf_new。

[0356] 此外，UE也可自己判断是否需要生产Kamf_new，如果需要的话，则UE采用跟网络侧相同的机制生成Kamf_new。这种情况下，UE可在发送注册请求消息之后且在发送消息M5之
前的任何时候，执行判断是否需要生成Kamf_new和生成Kamf_new的操作。

[0357] 此外，如果消息M4使用由Kamf_new生成的NAS keys做完整性保护，那么UE生成Kamf_new之后，可根据Kamf_new生成的NAS keys，并验证消息M4的完整性。其中，如果完整
性验证未通过，UE例如可终止流程等。

[0358] UE进一步向Target AMF发送消息M5通知Target AMF完成密钥激活。

[0359] 其中，消息M5例如为非接入层安全模式完成（NAS Security Mode Complete）消息。

[0360] 709.执行目标切片的网络切片认证流程。

[0361] 710.在目标切片的网络切片认证通过后，Target AMF向UE发送用于通知目标切片注册成功的注册接受（Registration Accept）消息。

[0362] 其中，本实施例中密钥输入参数T1可包括UE和SEAF之间维护的密钥更新Counter。该密钥更新Counter的生成、初始值设置、使用后的更新和同步方式，本申请不做具体限定。

[0363] 本实施例的步骤701‑709发生在切片转换发起和转换结束之间。

[0364] 可见，本实施例方案，可由UE提供生成Kseaf_new和Kamf_new的一些参数，可在互斥切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安
全。并且本实施例方案无需通过主认证来更新整个密钥体系，便可在切片切换场景下实现
Source AMF和Target AMF之间的密钥隔离，相比于一些通过主认证来更新整个密钥体系，
来实现Kamf前向安全的可能方案，本申请实施例方案的相关效率明显提高。

[0365] 参见图8，图8为本申请实施例提供的林另一种通信方法的流程示意图。

[0366] 本实施例中，AMF和SEAF分体部署(即SEAF未部署于AMF中)，由SEAF生成Kamf_new之后发送给AMF。其中，生成Kamf_new要使用到的密钥输入参数由Target AMF提供。

[0367] 如图8举例所示，一种通信方法可包括：

[0368] 801.UE发送注册请求Registration Request消息。

[0369] 其中，所述注册请求消息携带请求接入的目标切片的NSSAI(s)。

[0370] 可选地，注册请求消息还可携带New_Kamf_Indicator1。UE使用New_Kamf_Indicator1来通知Target AMF网络侧需要生成Kamf_new。当然，UE也可通过其他方式来通
知网络侧需要生成Kamf_new。

[0371] 802.Target AMF接收注册请求消息后，可以发起UE上下文传输(UE Context Transfer)流程。Target AMF通过UE Context Transfer流程可从Source AMF处获取例如
Source AMF的密钥Kamf、UE的持久身份标识(SUPI,Subscriber Permanent Identifier)、
和网络切片的实例等等。

[0372] 803.Target  AMF向SEAF发送密钥更新服务请求Nseaf_KeyUpdate_MEANS Request。

[0373] 若注册请求消息携带New_Kamf_Indicator1，那么Target AMF可以在注册请求消息携带的New_Kamf_Indicator1的指示下，向SEAF发送密钥更新服务请求，以请求调用SEAF
的密钥更新服务。

[0374] 此外，如果注册请求消息未携带New_Kamf_Indicator1，那么Target AMF可以在确定预置的密钥更新条件满足时，向SEAF发送密钥更新服务请求，以请求调用SEAF的密钥更
新服务。

[0375] 其中，在SEAF的密钥更新服务请求中，携带密钥输入参数T2和SUPI等。其中这个密钥输入参数T2可以是以下参数的一种或者几种：Target AMF生成的随机数、TargetAMF和
SEAF之间维护的用于密钥更新的Counter、NAS UL Counter、目标切片的S‑NSSAI、目标切片
所属的切片组(或者切片类)的描述信息、目标切片所属的切片组(或者切片类)的标识符、
目标切片实例的描述信息、目标切片实例的标识符、Target AMF的标识符、Target AMF的实
例的描述信息、Target AMF的实例标识符、Target AMF所属的AMF Set的描述信息、Target 
AMF所属的AMF Set的标识符等等。密钥输入参数T2的目的是使生成的Kamf_new跟Kamf_old
隔离。本申请实施例不对密钥输入参数T2的具体类型做限制，只要满足该目的输入参数都
可以。

[0376] 其中，密钥更新服务请求中携带来自于注册请求消息的密钥输入参数T2。

[0377] 其中，在SEAF的密钥更新服务请求中还可以携带UE的持久身份标识(SUPI)和服务网络名称(SN‑name)等。

[0378] 804.SEAF接收来自Target AMF的密钥更新服务请求Nseaf_KeyUpdate_MEANS Request。

[0379] 其中，若来自Target AMF的密钥更新服务请求中携带的密钥输入参数T2包括TargetAMF和SEAF之间同步维护的用于密钥更新的Counter，则SEAF可进一步检测密钥输入
参数T2包括的Counter是否可接受。如果不能接受，则SEAF可以返回错误原因给Target 
AMF，并可终止后面的密钥更新流程。

[0380] SEAF生成Kamf_new。其中，生成Kamf_new使用Kseaf作为输入密钥，密钥输入参数包括密钥输入参数T2。

[0381] 其中，Kamf_new生成的方式例如可以可有方式A、方式B和方式C等。

[0382] 方式A:直接以Kseaf作为输入密钥来生成Kamf_new：

[0383] 例如Kamf _new= KDF（Kseaf,SUPI,ABBA,T2）。

[0384] 方式B：直接以Kseaf作为输入密钥、间接以密钥输入参数T1作为密钥输入参数来生成Kamf_new。例如先使用ABBA和密钥输入参数T2作为参数，使用某种算法生成ABBA’。这
里对生成ABBA’的算法不做限制。生成ABBA’后，以Kseaf为输入密钥，SUPI和ABBA’为密钥输
入参数生成Kamf_new：

[0385] 例如ABBA’= F（ABBA，T2）；

[0386] 例如 Kamf_new= KDF（Kseaf，SUPI，ABBA’）。

[0387] 方式C:间接以Kseaf作为输入密钥来生成Kamf_new，具体例如先以Kseaf作为输入密钥来生成Kseaf’，再以Kseaf’作为输入密钥来生成Kamf_new：

[0388] 例如Kseaf’= KDF(Kseaf,T2)。

[0389] 例如Kamf_new = KDF（Kseaf’,SUPI,ABBA,[T2]）。

[0390] 其中，本申请各实施例中，[]中的参数表示是可选参数。

[0391] 当然，方式B和C中，由于Kseaf’基于Kseaf得到，因此仍然可将Kseaf看作是Kamf_new的输入密钥,将T2看做是Kamf_new的密钥输入参数。

[0392] 805、SEAF向Target AMF发送密钥更新服务响应Nseaf_KeyUpdate_MEANS Response。

[0393] 其中，如果密钥更新成功，密钥更新服务响应中携带成功指示(Success)和Kamf_new，此外如果密钥更新失败了，密钥更新服务响应中可以携带失败原因等。

[0394] 806、Target AMF接收来自SEAF的密钥更新服务的响应。

[0395] 如果该密钥更新服务响应指示密钥更新失败，则Target AMF可向UE发送例如接入切片失败的通知，该通知可在例如注册拒绝消息中携带。

[0396] 其中，如果该密钥更新服务响应指示密钥更新成功，则Target AMF发送用于激活新密钥的消息M4。

[0397] 807.Target AMF向UE发送用于激活新密钥的消息M4。

[0398] 其中，如果注册请求消息中未携带New_Kamf_Indicator1，那么Target AMF可在消息M4中携带New_Kamf_Indicator1，其中，这个New_Kamf_Indicator1可以用于指示UE生成
Kamf_new。如果注册请求消息中携带有New_Kamf_Indicator1，那么Target AMF可不在消息
M4中携带New_Kamf_Indicator1。

[0399] 如果密钥生产参数T2中的一些参数，UE不知道，比如Target AMF生成的随机数、Target AMF和SEAF维护的密钥更新Counter等，则Target AMF在消息M4中发送这些参数、或
者Target AMF也可在消息M4中发送T2包括的所有参数。

[0400] 其中，消息M4例如可使用由Kamf_new生成的NAS keys做完整性保护。

[0401] 举例来说，消息M4可以为NAS Security Mode Command消息。

[0402] 808.UE接收到来自Target AMF的消息M4。

[0403] 其中，如果消息M4中携带New_Kamf_Indicator1，则UE采用跟网络侧相同的机制生成和Kamf_new。

[0404] 此外，UE也可自己判断是否需要生成Kamf_new，如果需要的话，则UE采用跟网络侧相同的机制生成Kamf_new。这种情况下，UE可在发送注册请求消息之后且在发送消息M5之
前的任何时候，执行判断是否需要生成Kamf_new和生成Kamf_new的操作。

[0405] 此外，如果消息M4使用由Kamf_new生成的NAS keys做完整性保护，那么UE生成Kamf_new之后，可根据Kamf_new生成的NAS keys，并验证消息M4的完整性。其中，如果完整
性验证未通过，UE例如可终止相关流程等。

[0406] UE可进一步向Target AMF发送消息M5通知Target AMF完成密钥激活。消息M5例如为非接入层安全模式完成（NAS Security Mode Complete）消息。

[0407] 809.执行目标切片的网络切片认证流程。

[0408] 810.在目标切片的网络切片认证通过后，Target AMF向UE发送用于通知目标切片注册成功的注册接受（Registration Accept）消息。

[0409] 其中，本实施例中密钥输入参数T2可包括Target AMF和SEAF之间维护的密钥更新Counter。其中，该密钥更新Counter的生成、初始值设置、使用后的更新和同步方式，本申请
不做具体限定。

[0410] 本实施例的步骤801‑809发生在切片转换发起和转换结束之间。

[0411] 可见，本实施例方案，可由Target AMF提供生成Kseaf_new和Kamf_new的一些参数，可在互斥切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，进而可以实
现Kamf前向安全。并且本实施例方案无需通过主认证来更新整个密钥体系，便可在切片切
换场景下实现Source AMF和Target AMF之间的密钥隔离，相比于一些通过主认证来更新整
个密钥体系，来实现Kamf前向安全的可能方案，本申请实施例方案的相关效率明显提高。

[0412] 参见图9，图9为本申请实施例提供的另一种通信方法的流程示意图。

[0413] 本实施例中，Target AMF和SEAF分体部署(即SEAF未部署于AMF中)，由SEAF生成Kamf_new之后发送给Target AMF。其中，生成Kamf_new要使用到的密钥输入参数由SEAF提
供。

[0414] 如图9举例所示，另一种通信方法可包括：

[0415] 901.UE发送注册请求消息。

[0416] 其中，所述注册请求消息携带UE请求的目标切片的NSSAI(s)。

[0417] 可选地，注册请求消息还可携带New_Kamf_Indicator1。UE使用New_Kamf_Indicator1来通知Target AMF网络侧需要生成Kamf_new。当然，UE也可通过其他方式来通
知网络侧需要生成Kamf_new。

[0418] 902.Target AMF接收注册请求消息后，可以发起UE上下文传输(UE Context Transfer)流程。Target AMF通过UE Context Transfer流程可从Source AMF处获取例如
Source AMF的密钥Kamf、UE的持久身份标识(SUPI,Subscriber Permanent Identifier)、
和网络切片的实例等等。

[0419] 903.Target  AMF向SEAF发送密钥更新服务请求Nseaf_KeyUpdate_MEANS Request。

[0420] 若注册请求消息携带New_Kamf_Indicator1，那么Target AMF可以在注册请求消息携带的New_Kamf_Indicator1的指示下，向SEAF发送密钥更新服务请求，以请求调用SEAF
的密钥更新服务。

[0421] 此外，如果注册请求消息未携带New_Kamf_Indicator1，那么Target AMF可以在确定预置的密钥更新条件满足时，向SEAF发送密钥更新服务请求，以请求调用SEAF的密钥更
新服务。

[0422] 其中，在密钥更新服务请求中携带SUPI等。

[0423] 904.SEAF接收来自Target AMF的密钥更新服务请求Nseaf_KeyUpdate_MEANS Request。

[0424] SEAF生成Kamf_new。其中，生成Kamf_new使用Kseaf作为输入密钥，密钥输入参数包括密钥输入参数T4。其中，该密钥输入参数T4可以是以下几种参数的一种或者几种：SEAF
生成的随机数、SEAF和UE之间共同维护的Counter等。密钥输入参数T4的目的是使最终生成
的Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T4的具体类型做限制，只要
满足该目的输入参数都可以。

[0425] 其中，Kamf_new生成的方式例如可以可有方式A、方式B和方式C等。

[0426] 方式A:直接以Kseaf作为输入密钥来生成Kamf_new：

[0427] 例如Kamf _new= KDF（Kseaf,SUPI,ABBA, T4）。

[0428] 方式B：直接以Kseaf作为输入密钥、间接以密钥输入参数T1作为密钥输入参数来生成Kamf_new。例如先使用ABBA和密钥输入参数T4作为参数，使用某种算法生成ABBA’。这
里对生成ABBA’的算法不做限制。生成ABBA’后，以Kseaf为输入密钥，SUPI和ABBA’为密钥输
入参数生成Kamf_new：

[0429] 例如ABBA’= F（ABBA，T4）；

[0430] 例如 Kamf_new= KDF（Kseaf，SUPI，ABBA’）。

[0431] 方式C:间接以Kseaf作为输入密钥来生成Kamf_new，具体例如先以Kseaf作为输入密钥来生成Kseaf’，再以Kseaf’作为输入密钥来生成Kamf_new：

[0432] 例如Kseaf’= KDF(Kseaf,T4)。

[0433] 例如Kamf_new = KDF（Kseaf’,SUPI,ABBA，[T4]）。

[0434] 其中，本申请各实施例中，[]中的参数表示是可选参数。

[0435] 当然，方式B和C中，由于Kseaf’基于Kseaf得到，因此仍然可将Kseaf看作是Kamf_new的输入密钥,将T4看做是Kamf_new的密钥输入参数。

[0436] 905、SEAF向Target AMF发送密钥更新服务响应Nseaf_KeyUpdate_MEANS Response。

[0437] 其中，如果密钥更新成功，密钥更新服务响应中携带成功指示(Success)、Kamf_new和和T4等，此外，如果密钥更新失败，密钥更新服务响应中可携带失败原因等。

[0438] 906、Target AMF接收来自SEAF的密钥更新服务的响应。

[0439] 如果该密钥更新服务响应指示密钥更新失败，则Target AMF可向UE发送例如接入切片失败的通知，该通知可在例如注册拒绝消息中携带。

[0440] 其中，如果该密钥更新服务响应指示密钥更新成功，则Target AMF发送用于激活新密钥的消息M4。

[0441] 907.Target AMF向UE发送用于激活新密钥的消息M4。

[0442] 其中，如果注册请求消息中未携带New_Kamf_Indicator1，那么Target AMF可在消息M4中携带New_Kamf_Indicator1，其中，这个New_Kamf_Indicator1可以用于指示UE生成
Kamf_new。如果注册请求消息中携带有New_Kamf_Indicator1，那么Target AMF可不在消息
M4中携带New_Kamf_Indicator1。

[0443] 其中，消息M4中携带密钥输入参数T4。

[0444] 其中，消息M4例如可使用由Kamf_new生成的NAS keys做完整性保护。

[0445] 举例来说，消息M4可以为NAS Security Mode Command消息。

[0446] 908.UE接收到来自Target AMF的消息M4。

[0447] 其中，如果消息M4中携带New_Kamf_Indicator1，则UE采用跟网络侧相同的机制生成和Kamf_new。

[0448] 此外，UE也可自己判断是否需要生成Kamf_new，如果需要的话，则UE采用跟网络侧相同的机制生成Kamf_new。这种情况下，UE可在发送注册请求消息之后且在发送消息M5之
前的任何时候，执行判断是否需要生成Kamf_new和生成Kamf_new的操作。

[0449] 此外，如果消息M4使用由Kamf_new生成的NAS keys做完整性保护，那么UE生成Kamf_new之后，可以根据Kamf_new生成的NAS keys，并验证消息M4的完整性。其中，如果完
整性验证未通过，UE例如可终止流程等。

[0450] UE可进一步向Target AMF发送消息M5通知Target AMF完成密钥激活。消息M5例如为非接入层安全模式完成（NAS Security Mode Complete）消息。

[0451] 909.执行目标切片的网络切片认证流程。

[0452] 910.在目标切片的网络切片认证通过后，Target AMF向UE发送用于通知目标切片注册成功的注册接受（Registration Accept）消息。

[0453] 其中，本实施例中密钥输入参数T4可包括Target AMF和SEAF之间同步维护的密钥更新Counter。该密钥更新Counter的生成、初始值设置、使用后的更新和同步方式，本申请
不做具体限定。

[0454] 本实施例的步骤901‑909发生在切片转换发起和转换结束之间。

[0455] 可见，本实施例方案，可由SEAF提供生成Kseaf_new和Kamf_new的一些参数，可在互斥切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安
全。并且本实施例方案无需通过主认证来更新整个密钥体系，便可在切片切换场景下实现
Source AMF和Target AMF之间的密钥隔离，相比于一些通过主认证来更新整个密钥体系，
来实现Kamf前向安全的可能方案，本申请实施例方案的相关效率明显提高。

[0456] 此外，在图7‑图9所示实施例中，主要是以SEAF生成Kamf_new并给Target AMF。这几个实施例中，密钥输入参数分别由UE、Target AMF或SEAF提供为例进行说明。

[0457] 然而，另在一些可能的实施方式中，也可能仍由SEAF生成Kamf_new给Target AMF。并且，生成Kamf_new的密钥输入参数，还可以由UE、SEAF和Target AMF中的一个或者几个共
同提供，例如，UE提供的密钥输入参数T1和SEAF提供的密钥输入参数T4共同作为密钥输入
参数；又例如Target AMF提供的密钥输入参数T2和SEAF提供密钥输入参数T4共同作为密钥
输入参数。又例如，UE提供的密钥输入参数T1、Target AMF提供的密钥输入参数T2和SEAF提
供的密钥输入参数T4共同作为密钥输入参数。其他情况以此类推。

[0458] 参见图10，图10为本申请实施例提供的另一种通信方法的流程示意图。

[0459] 本实施例中，AMF和SEAF合体部署(即SEAF部署于AMF中)，其中，由Target AMF生成Kamf_new。其中，生成Kamf_new的一些密钥输入参数由AAA‑S提供。

[0460] 如图10举例所示，另一种通信方法可包括：

[0461] 1001.UE发送注册请求消息。

[0462] 其中，所述注册请求消息携带请求的目标切片的NSSAI(s)。

[0463] 其中，所述注册请求消息还可携带密钥更新指示New_Kamf_Indicator2。密钥更新指示New_Kamf_Indicator2用于指示Target AMF网络侧需要生成Kamf_new。当然，UE也可通
过其他方式来通知网络侧需要生成Kamf_new。

[0464] 1002.Target AMF接收注册请求消息后，可以发起UE上下文传输(UE Context Transfer)流程。Target AMF通过UE Context Transfer流程可从Source AMF处获取例如
Source AMF的密钥Kamf、UE的持久身份标识(SUPI,Subscriber Permanent Identifier)、
和网络切片的实例等等。

[0465] 1003.Target AMF决定发起切片认证流程。Target AMF发起EAPID获取流程。TargetAMF向UE发送EAPID请求。

[0466] 1004.UE在接收到EAPID请求后，发送携带对应的EAPID的EAPID响应给TargetAMF。

[0467] 1005.Target AMF向AAA‑F发送认证请求（Authentication Request）。

[0468] 若注册请求消息携带New_Kamf_Indicator2，那么Target AMF可以在注册请求消息携带的New_Kamf_Indicator2的指示下，在认证请求消息中携带参数请求指示
ParaReqIndicator。

[0469] 如果注册请求消息中没有携带New_Kamf_Indicator2，那么TargetAMF可以在确定预置的密钥更新条件满足时，在认证请求消息中携带参数请求指示ParaReqIndicator。

[0470] 其中，参数请求指示ParaReqIndicator用于指示AAA‑S生产密钥输入参数T5。该密钥输入参数T5用于生成Kamf_new。

[0471] 1006.AAA‑F向AAA‑S转发上述认证请求Authentication Request。

[0472] 1007.AAA‑S接收到AAA‑F转发的认证请求Authentication Request。

[0473] 如果该认证请求中，携带有参数请求指示ParaReqIndicator，则AAA‑S在该参数请求指示ParaReqIndicator的指示下，生成密钥输入参数T5。

[0474] 如果该认证请求中，没有携带参数请求指示ParaReqIndicator，则AAA‑S可在确定预设的密钥参数生成条件满足的情况下，生成密钥输入参数T5。

[0475] 其中。该密钥输入参数T5的生成可以使用UE和AAA‑S之间的共享秘密，例如切片认证产生的Extended Master Session Key(EMSK)。该本申请不对该密钥输入参数T5的生成
算法和使用的输入做限制。只要生成的密钥输入参数T5能满足：只有UE和AAA‑S才能生成密
钥输入参数T5即可。

[0476] 1008.AAA‑S发送认证响应（Authentication Response）给AAA‑F。

[0477] 其中，上述认证响应中携带密钥输入参数T5。

[0478] 1009. AAA‑F在接收到来自AAA‑S的Authentication Response之后，向Target AMF转发这个Authentication Response。

[0479] 1010.TargetAMF接收AAA‑F的认证响应Authentication Response。

[0480] 1011.Target AMF生成Kamf_new。生成Kamf_new使用的输入密钥是Target AMF从Source AMF获取的Kamf，生成Kamf_new使用的密钥输入参数包括密钥输入参数T5。

[0481] 例如：Kamf_new = KDF（Kamf_old,T5）。

[0482] 1012.Target AMF向UE发送用于激活新密钥的消息M4。

[0483] 其中，如果注册请求消息中未携带New_Kamf_Indicator2，那么Target AMF可在消息M4中携带New_Kamf_Indicator2，其中，这个New_Kamf_Indicator2可以用于指示UE生成
Kamf_new。如果注册请求消息中携带有New_Kamf_Indicator1，那么Target AMF可不在消息
M4中携带New_Kamf_Indicator1。

[0484] 其中，消息M4例如可使用由Kamf_new生成的NAS keys做完整性保护。

[0485] 举例来说，消息M4可以为NAS Security Mode Command消息。

[0486] 1013.UE接收到来自Target AMF的消息M4。

[0487] 如果消息M4中携带New_Kamf_Indicator2，则UE根据该指示，采用跟AAA‑S相同的机制生成密钥输入参数T5，采用跟TargetAMF相同的机制生成Kamf_new。

[0488] 如果消息M4中未携带New_Kamf_Indicator2，UE也可在确定预设的密钥更新条件满足的情况下，采用跟AAA‑S相同的机制生成密钥输入参数T5，采用跟TargetAMF相同的机
制生成Kamf_new。这种情况下，UE可在发送注册请求消息后，在发送M5消息之前的任何时
候，进行判断以及生成密钥输入参数T5和Kamf_new。

[0489] 此外，如果消息M4使用由Kamf_new生成的NAS keys做完整性保护，那么UE可先验证消息M4的完整性，在完整性验证通过之后，执行生成Kseaf_new和Kamf_new的步骤。如果
完整性验证未通过，UE例如可终止流程等。

[0490] 1014.UE向Target AMF发送消息M4。

[0491] 其中，消息M4例如为NAS Security Mode Complete消息。

[0492] 1015.在目标切片的网络切片认证通过后，Target AMF向UE发送用于通知目标切片注册成功的注册接受（Registration Accept）消息。

[0493] 此外，图10所示实施例中，Target  AMF还可在任何一条认证请求中发送ParaReqIndicator给AAA‑S。

[0494] 此外，图10所示实施例中，AAA‑S可在生成密钥输入参数T5之后，在切片认证的任何一条认证响应消息中发送密钥输入参数T5给网络。

[0495] 可见，本实施例上述方案，可以实现在切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，进而实现Kamf前向安全。并且，本实施例方案无需通过主认证来更新
整个密钥体系，便可在切片切换场景下实现Source AMF和Target AMF之间的密钥隔离，相
比于一些通过主认证来更新整个密钥体系，来实现Kamf前向安全的可能方案，本申请实施
例方案的相关效率明显提高。

[0496] 此外，图10所示实施例中，主要是以Target AMF生成Kamf_new。该实施例中，密钥输入参数，由AAA‑S提供为例进行说明。然而，另在一些可能的实施方式中，也可能仍由
Target AMF生成Kamf_new。

[0497] 并且，生成Kamf_new的密钥输入参数，还可:

[0498] 由AAA‑S和UE提供，即UE提供的密钥输入参数T1和AAA‑S提供密钥输入参数T5共同作为密钥输入参数；或者，

[0499] 由AAA‑S和Target AMF提供，即Target AMF提供的密钥输入参数T2和AAA‑S提供密钥输入参数T5共同作为密钥输入参数；或者，

[0500] 由AAA‑S、UE和Target AMF提供，即，UE提供的密钥输入参数T1、AAA‑S提供密钥输入参数T5、Target AMF提供的密钥输入参数T2共同作为密钥输入参数。

[0501] 前面图4‑10对应实施例的举例方案中，都是基于当UE从一个源切片切换到下一个互斥的目标切片，由UE向网络侧发起注册请求消息。实际上，当UE从一个源切片切换到下一
个互斥的目标切片，也可以是由网络侧触发的，如服务源切片的源AMF根据目标切片获取可
服务目标切片的目标AMF，并通知目标AMF，将UE接入目标切片。在这种场景中，Kamf的前向
安全仍可采用上述举例方案的类似机制实现，

[0502] 其中，生成新密钥Kamf_new/Kseaf_new的网元可以是如下网元中的一个：AUSF、SEAF和Target AMF。

[0503] 主要不同之处在于，提供生成新的密钥（Kamf_new/Kseaf_new）使用到的秘钥输入参数的网元可以是如下网元中的一个：Target AMF、AUSF、SEAF（在SEAF和AMF分体部署场景
下）和AAA‑S等等。

[0504] 其中，由Target AMF提供密钥输入参数T2。密钥输入参数T2可以是以下参数中的一种或几种：Target AMF生成的随机数、用于密钥更新的Counter、NAS UL Counter、目标切
片的S‑NSSAI、目标切片所属的切片组(或切片类)的描述信息、目标切片所属的切片组(或
切片类)的标识符、目标切片实例的描述信息、目标切片实例的标识符、Target AMF的标识
符、Target AMF的实例、Target AMF的实例标识符、Target AMF所属的AMF Set的描述信息、
Target AMF所属的AMF Set的标识符等等。其中，提供密钥输入参数T2的目的是使最终生成
的Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T2的具体类型做限制，只要
满足该目的输入参数都可以。

[0505] 其中，由AUSF提供生成密钥输入参数T3。其中，密钥输入参数T3可以是以下参数中的一种或者几种：AUSF生成的随机数、用于密钥更新的Counter等等。其中，密钥输入参数T3
的目的是使最终生成的Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T3的具
体类型做限制，只要满足该目的输入参数都可以。

[0506] 其中，由SEAF提供密钥输入提供生成密钥输入参数T4。密钥输入T4可以是以下参数中的一种或者几种：SEAF生成的随机数、用于密钥更新的Counter等等。密钥输入参数T4
的目的是使最终生成的Kamf_new跟Kamf_old隔离。本申请实施例不对密钥输入参数T4的具
体类型做限制，只要满足该目的输入参数都可以。

[0507] 由切片认证和授权的功能AAA‑S提供密钥输入参数T5。密钥输入参数T5的生成例如使用UE和AAA‑S之间的共享秘密例如UE和AAA‑S之间建立的Extended Master Session 
Key等。该发明不对密钥输入参数T5生成使用的方法做限制，只要满足只有UE和AAA‑S才能
生成密钥输入参数T5即可。

[0508] 主要不同之处还在于：触发网络侧生成Kamf_new的条件可以是：由Source AMF指示Target AMF；或者Target AMF自己判断是否需要生成Kamf_new。触发UE侧生成Kamf_new
的条件可以是：由Target AMF指示 UE生成Kamf_new。

[0509] 其中，由网络侧触发的UE从一个源切片切换到下一个互斥的目标切片的场景，相似实施方式可以参考上述实施例的相关描述，此处不再赘述。

[0510] 下面还提供本申请实施例方案涉及的一些产品。

[0511] 参见图11，一种用户设备UE1100，可以包括：收发单元1110和处理单元1120。

[0512] 收发单元1110用于在UE从一个源切片切换到另一个与之互斥的目标切片的情况下，发送注册请求消息，其中，所述注册请求消息携带有所述UE请求的所述目标切片的网络
切片选择辅助信息NSSAI。

[0513] 处理单元1120，用于获取第一AMF密钥Kamf_new，其中，所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF的密钥，所述Kamf_old为
服务所述源切片的源AMF的密钥。

[0514] 在一些可能的实施方式中，所述收发单元1110，还用于获取所述第一AMF密钥Kamf_new之前，接收所述目标AMF发送的携带密钥输入参数的第一消息，生成所述Kamf_new
使用到所述密钥输入参数。

[0515] 在一些可能的实施方式中，所述收发单元1110，还用于获取第一AMF密钥Kamf_new之前，接收所述目标AMF发送的携带有第一密钥更新指示的第二消息，所述第一密钥更新指
示用于指示所述UE更新AMF密钥。

[0516] 在一些可能的实施方式中，所述注册请求消息携带密钥输入参数T1，生成所述Kamf_new使用到所述密钥输入参数T1。

[0517] 在一些可能的实施方式中，所述注册请求消息携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥。

[0518] 其中，本实施例中用户设备1100的各个功能模块，可以配合完成上述方法实施例中由UE执行的任意方法的部分或全部步骤。

[0519] 参见图12，一种目标AMF，可以包括：收发单元1210和处理单元1220。

[0520] 收发单元1210，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，接收来自所述UE的注册请求消息，其中，所述注册请求消息携带有所述UE请求的所述目
标切片的网络切片选择辅助信息NSSAI；

[0521] 处理单元1220，用于获取第一AMF密钥Kamf_new，所述第一AMF密钥Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为所述目标AMF的密钥，其中，所述目标AMF为服务
所述目标切片的AMF，所述Kamf_old为服务所述源切片的源AMF的密钥。

[0522] 在一些可能的实施方式中，所述注册请求消息还携带第二密钥更新指示，所述第二密钥更新指示用于指示网络侧更新AMF密钥；或者，所述目标AMF获取所述Kamf_new是在
确定本地预设的密钥更新条件满足的情况下执行。

[0523] 在一些可能的实施方式中，所述注册请求消息携带密钥输入参数T1，生成所述Kamf_new使用到所述密钥输入参数T1。

[0524] 在一些可能的实施方式中，所述收发单元1210，还用于在接收来自所述UE的注册请求消息之后，

[0525] 向认证服务器功能AUSF发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参数T1和/或密钥输入参数T2；接收所述AUSF返回的对所述密钥更新服务请求的响
应，所述响应中携带SEAF密钥Kseaf_new，生成所述Kseaf_new使用到所述密钥输入参数T1
和/或密钥输入参数T2；所述Kseaf_new用于生成所述Kamf_new。

[0526] 进一步的，所述收发单元还可用于向所述UE发送携带生成所述Kseaf_new使用到的部分或全部密钥输入参数（例如密钥输入参数T2等）的第一消息。

[0527] 在一些可能的实施方式之中，所述收发单元1210，还用于在接收来自所述UE的注册请求消息之后，向AUSF发送密钥更新服务请求；接收所述AUSF返回的对所述密钥更新服
务请求的响应，所述响应中携带所述Kseaf_new和密钥输入参数T3，其中，生成所述Kseaf_
new使用到所述密钥输入参数T3；所述Kseaf_new用于生成所述Kamf_new；向所述UE发送携
带所述密钥输入参数T3的第一消息。

[0528] 在一些可能的实施方式中，所述收发单元1210，还用于在接收来自所述UE的注册请求消息之后，向AUSF发送密钥更新服务请求，所述密钥更新服务请求中携带密钥输入参
数T2和/或密钥输入参数T1；接收所述AUSF返回的对所述密钥更新服务请求的响应，所述响
应中携带所述Kseaf_new和密钥输入参数T3，生成所述Kseaf_new使用到所述密钥输入参数
T3和携带于所述密钥更新服务请求的密钥输入参数；所述Kseaf_new用于生成所述Kamf_
new，向所述UE发送携带所述密钥输入参数T3的第一消息。

[0529] 在一些可能的实施方式中，所述收发单元1210，还用于在接收来自所述UE的注册请求消息之后，向安全锚点功能SEAF发送密钥更新服务请求，其中，所述密钥更新服务请求
中携带密钥输入参数T2和/或所述密钥输入参数T1；接收所述SEAF返回的对所述密钥更新
服务请求的响应，所述响应中携带所述Kamf_new，其中，生成所述Kamf_new使用到密钥输入
参数T2和/或所述密钥输入参数T1。进一步的，所述收发单元还可用于向所述UE发送携带生
成所述Kamf_new使用到的部分或全部密钥输入参数（例如密钥输入参数T2等）的第一消息。

[0530] 在一些可能的实施方式之中，所述收发单元1210，还用于在接收来自所述UE的注册请求消息之后，向SEAF发送密钥更新服务请求；接收所述SEAF返回的对所述密钥更新服
务请求的响应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生成所述Kamf_new
使用到所述密钥输入参数T4；向所述UE发送携带所述密钥输入参数T4的第一消息。

[0531] 在一些可能的实施方式之中，收发单元1210，还用于在接收来自所述UE的注册请求消息之后，向SEAF发送密钥更新服务请求，其中，所述密钥更新服务请求中携带有密钥输
入参数T2和/或所述密钥输入参数T1；接收所述SEAF返回的对所述密钥更新服务请求的响
应，所述响应中携带所述Kamf_new和密钥输入参数T4，其中，生成所述Kamf_new使用到所述
密钥输入参数T4和携带于所述密钥更新服务请求的密钥输入参数；向所述UE发送携带所述
密钥输入参数T4的第一消息。

[0532] 在一些可能实施方式中，收发单元1210还用于在接收来自所述UE的请求接入所述目标切片的注册请求消息后，向切片认证和授权服务器（AAA‑S）发送携带密钥参数指示的
消息；密钥参数指示用于指示AAA‑S生成密钥输入参数T5；接收所述AAA‑S发送的密钥生成
参数T5，生成所述Kamf_new可使用到所述密钥输入参数T5；

[0533] 或者，所述目标AMF向AAA‑S发送携带密钥参数指示的消息；所述密钥参数指示用于指示AAA‑S生成密钥输入参数T5；所述目标AMF接收所述AAA‑S发送的密钥生成参数T5；生
成所述Kamf_new使用到所述密钥输入参数T5，生成所述Kamf_new还使用到密钥输入参数T1
和/或密钥输入参数T2。

[0534] 其中，本实施例中目标AMF 1200的各个功能模块，可以配合完成上述方法实施例中由目标AMF执行的任意方法的部分或全部步骤。

[0535] 参见图13，一种认证服务器功能AUSF 1300，包括：

[0536] 处理单元1320，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF的密钥更新服务请求后，所述AUSF生成Kseaf_new，所述Kseaf_
new用于生成Kamf_new；所述Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务
所述目标切片的目标AMF的密钥，所述Kamf_old为服务所述源切片的源AMF的密钥；

[0537] 收发单元1310，用于向所述目标AMF返回对所述密钥更新服务请求的响应，其在，所述响应携带所述Kseaf_new，所述Kseaf_new用于生成所述Kamf_new。

[0538] 其中，生成Kseaf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T3中的一种或多种；

[0539] 其中，当生成Kseaf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述AUSF的密钥更新服务请求中。

[0540] 其中，当生成Kseaf_new使用到密钥输入参数T3，所述密钥更新服务请求的响应中携带所述密钥输入参数T3。

[0541] 其中，本实施例中AUSF 1300的各个功能模块，可以配合完成上述方法实施例中由AUSF执行的任意方法的部分或全部步骤。

[0542] 参见图14，一种安全锚点功能SEAF 1400，可包括：

[0543] 处理单元1420，用于在UE从一个源切片转到另一个与之互斥的目标切片的情况下，在接收到来自目标AMF的密钥更新服务请求后，所述SEAF生成Kamf_new,其中，所述
Kamf_new不同于第二AMF密钥Kamf_old，所述Kamf_new为服务所述目标切片的目标AMF的密
钥，所述Kamf_old为服务所述源切片的源AMF的密钥；

[0544] 收发单元1410，用于向所述目标AMF返回对所述密钥更新服务请求的响应，其中，所述响应携带所述Kamf_new；

[0545] 其中，生成所述Kamf_new使用到密钥输入参数T1、密钥输入参数T2和密钥输入参数T4中的一种或多种；

[0546] 其中，当生成Kamf_new使用到密钥输入参数T1和/或密钥输入参数T2，所述密钥输入参数T1和/或密钥输入参数T2携带于所述SEAF的密钥更新服务请求中。

[0547] 其中，当生成Kseaf_new使用到密钥输入参数T4，所述密钥更新服务请求的响应中携带所述密钥输入参数T4。

[0548] 其中，本实施例中SEAF 1400的各个功能模块，可以配合完成上述方法实施例中由SEAF执行的任意方法的部分或全部步骤。

[0549] 参见图15，一种用户设备1500，包括：相互耦合的处理器1510和存储器1520；所述处理器1510用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一
种方法中由UE执行的部分或全部步骤。

[0550] 参见图16，一种目标AMF 1600，包括：相互耦合的处理器1610和存储器1620；所述处理器1610用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一
种方法中由目标AMF执行的部分或全部步骤。

[0551] 参见图17，一种AUSF 1700，包括：相互耦合的处理器1710和存储器1720；所述处理器1710用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一种方
法中由AUSF执行的部分或全部步骤。

[0552] 参见图18，一种SEAF 1800，包括：相互耦合的处理器1810和存储器1820；所述处理器1810用于调用所述存储器中存储的计算机程序，以执行本申请实施例提供的任意一种方
法中由SEAF执行的部分或全部步骤。

[0553] 本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被硬件（例如处理器等）执行，以本申请实施例中由任意一个
网元执行的任意一种方法的部分或全部步骤。

[0554] 本申请实施例还提供了一种包括指令的计算机程序产品，当所述计算机程序产品在计算机设备上运行时，使得所述计算机设备执行以上各方面的任意一个网元执行的任意
一种方法的部分或全部步骤。

[0555] 在上述实施例中，可全部或部分地通过软件、硬件、固件、或其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品
包括 一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分
地产生 按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算
机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质
中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机
指令可以从一 个网站站点、计算机、服务器或数据中心通过有线（例如同轴电缆、光纤、数
字用户线）或无线（例如红外、无线、微波等）方式向另一个网站站点、计算机、服务器或数据
中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包
含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁
性介质（例如软盘、硬盘、磁带）、光介质（例如光盘）、或者半导体介质（例如固态硬盘）等。在
上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见
其他实施例的相关描述。

[0556] 在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

[0557] 在本申请所提供的几个实施例中，应该理解到，所揭露的装置，也可以通过其它的方式实现。例如以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一
种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可结合或者可
以集成到另一个系统，或一些特征可以忽略或不执行。另一点，所显示或讨论的相互之间的
间接耦合或者直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连
接，可以是电性或其它的形式。

[0558] 所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者，也可以分布到多个
网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例的方案的
目的。

[0559] 另外，在本申请各实施例中的各功能单元可集成在一个处理单元中，也可以是各单元单独物理存在，也可两个或两个以上单元集成在一个单元中。上述集成的单元既可以
采用硬件的形式实现，或者也可以采用软件功能单元的形式实现。

[0560] 所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请技术方案本质上或
者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品（即计算机
程序）的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得
一台计算机设备（可为个人计算机、用户设备、移动通信网元、服务器或固网网元等）执行本
申请各个实施例所述方法的全部或部分步骤。而前述存储介质例如可包括：U盘、移动硬盘、
只读存储器（ROM，Read‑Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁
碟或光盘等各种可存储程序代码的介质。