入駐專網售前5G解決方案模板

`XXX入駐專網項目5G解決方案

目錄第一章 中國移動能力優(yōu)勢 41.1 中國移動20年快速發(fā)展，實現(xiàn)行業(yè)引領 41.2 云南移動能力優(yōu)勢 4第二章 入駐專網產品介紹 6第三章 項目背景和目標 73.1 項目背景 73.2 建設目標 7第四章 需求分析 84.1 業(yè)務需求 84.2 網絡需求 8第五章 網絡組網方案 105.1 總體網絡架構（按實際需求保留或刪除） 105.2 無線網建設方案 115.2.1 整體架構 115.2.2 網絡能力 135.2.3 建設內容 145.3 核心網建設方案 145.3.1 整體架構 145.3.2 UPF能力 165.3.3 網絡能力 205.3.4 建設內容 225.4 傳送網建設方案 225.4.1 整體架構 225.4.2 網絡能力 235.4.3 建設內容 24第六章 5G專網安全方案 266.1.1 終端安全 276.1.2 無線安全 286.1.3 傳輸安全 296.1.4 核心網絡安全 30

中國移動能力優(yōu)勢中國移動20年快速發(fā)展，實現(xiàn)行業(yè)引領中國移動勇?lián)W絡強國、數(shù)字中國、智慧社會主力軍，錨定世界一流信息服務科技創(chuàng)新公司目標定位，聚焦“數(shù)智化轉型、高質量發(fā)展”主線，系統(tǒng)構建以5G、算力網絡、智慧中臺為重點的新型信息基礎設施，放大信息通信企業(yè)拉動投資、促進消費的“扁擔效應”，助力數(shù)字經濟蓬勃發(fā)展。網絡規(guī)模最大：500萬+基站總規(guī)模，開通5G基站280萬+，為全國所有地級市和部分重點縣城提供5GSA服務，4G基站數(shù)量達146萬，雄冠全球，覆蓋中國99.7%?？蛻魯?shù)量最多：服務9.7億移動用戶、2.4億家庭用戶、2200萬政企用戶，5G套餐用戶5.9億、終端客戶4億、網絡客戶3億戶。盈利能力卓越：連續(xù)18年在國資委經營業(yè)績考核中獲A級，連續(xù)22年入選《財富》世界500強企業(yè)，2023年排名第62位。市值排名前列：全球電信企業(yè)排名第3位，市值近萬億港幣，位居港股前10名，2022年1月回歸A股市場，募集資金514億人民幣。品牌價值領先：2023年BrandZ全球品牌價值500強排名榜第32位，品牌價值493.22億美元，排名國內第十二、國企第八。生態(tài)資源豐富：與94個大型企業(yè)簽訂集團級戰(zhàn)略合作伙伴協(xié)議，入股企業(yè)58家，其他合作伙伴超30萬家。云南移動能力優(yōu)勢引領信息通信網絡能級跨越：截止目前，云南移動已建成全省規(guī)模最大的5G網絡，目前擁有5G基站7.7萬個，占全省5G基站規(guī)模的70%以上，并完成中國廣電5G網絡共建共享，2023年底已實現(xiàn)130個區(qū)縣2.6G+700M雙層網覆蓋、所有鄉(xiāng)鎮(zhèn)5G連續(xù)覆蓋，72%以上自然村5G覆蓋，2024年底100%自然村將實現(xiàn)4/5G連續(xù)覆蓋。在提升基礎覆蓋的同時，持續(xù)打造城區(qū)高品質5G網絡，城區(qū)道路測試覆蓋率目前達到99.68%，平均下載速率達到564Mbps，上傳速率達到124Mpbs，2024年開始云南移動開始5G-A的建設部署，3月底前完成了全省縣城以上區(qū)域RedCap連續(xù)覆蓋，并在部分區(qū)域引入通感一體，三載波聚合等技術，進一步提升了5G網絡性能，峰值速率達到4.2Gbps以上，展現(xiàn)出強大的應用潛力和市場前景。引領城鄉(xiāng)“數(shù)字鴻溝”不斷縮小：連續(xù)五年承擔超過75%的電信普遍服務建設任務，已累計建設基站超3600個，累計解決近6000個自然村、52條新建高速路和303個移民安置點的4G網絡覆蓋問題，近五年語音資費和手機上網資費單價降幅均達到90%。引領通信“走出去”步伐持續(xù)加快：完成中緬和中老跨境陸纜超百G擴容和國際政企專網建設，年內建成昆明國際互聯(lián)網專用通道，與現(xiàn)有中國移動（云南昆明）大數(shù)據(jù)中心，昆明區(qū)域性國際出入口局、中緬中老跨境陸地光纜傳輸系統(tǒng)實現(xiàn)整合組網，攻克多山、多隧道、多雨林等網絡建設難題，中老鐵路實現(xiàn)國內段4G全覆蓋、重點區(qū)域5G覆蓋。引領建成面向南亞東南亞的全光智慧底座：建成全國技術領先的“139時延圈”全光網絡，即1ms昆明都市時延圈，3ms滇中城市群時延圈，9ms南亞東南亞輻射時延圈；昆明成為全國第三個全光智慧底座城市，實現(xiàn)200G級別大帶寬傳送能力的智慧調度；依托國際政企專網，20毫秒內數(shù)據(jù)轉運至東部地區(qū)。

入駐專網產品介紹結合行業(yè)應用場景需求，中國移動提供流量專網、園區(qū)專網、入駐專網、雙域專網四大精品專網產品，5G專網根據(jù)無線資源隔離要求、接入控制要求、切片要求等進行產品選擇?；诨緦Ｓ?、UPF/UPF+等網元能力下沉提供5G專網定制化網絡方案，實現(xiàn)分級分檔下沉部署到客戶機房，滿足企業(yè)客戶對數(shù)據(jù)不出場、網絡定制專用、應急保障等多維度需求。實現(xiàn)網絡資源專用，滿足高安全性、高隔離度等定制需求。入駐專網是“B2公網專用/B3專網專用+A2業(yè)務隔離+A4數(shù)據(jù)不出場”的能力組合。其中，B2RB無線資源保障提供基于SA的定制化增強型無線網絡;B3基站專用在特定場景為行業(yè)客戶提供專用無線覆蓋和物理隔離保障;A2業(yè)務隔離提供專用業(yè)務數(shù)據(jù)通道，實現(xiàn)流量的定向匯聚，確保數(shù)據(jù)安全、降低業(yè)務時延；A4數(shù)據(jù)不出場或現(xiàn)場應急保障提供核心網元分級分檔下沉。流量專網是B1公網公用+A1業(yè)務加速+A2業(yè)務隔離的能力組合。其中，B1公網公用提供面向公眾無線資源，產品功能為5G行業(yè)流量;A1業(yè)務加速為簽約用戶提供優(yōu)先調度能力，提供差異化業(yè)務質量;A2業(yè)務隔離提供專用業(yè)務數(shù)據(jù)通道，實現(xiàn)流量的定向匯聚確保數(shù)據(jù)安全、降低業(yè)務時延。入駐專網分為基礎套餐和尊享套餐，基礎套餐使用B2RB預留；尊享套餐使用B3基站專用，均可搭配A2業(yè)務隔離和A4數(shù)據(jù)不出場/現(xiàn)場應急保障（二選其一)。

項目背景和目標項目背景隨著第5代移動通信技術走向應用，5G時代已經來臨，萬物互聯(lián)是大勢所趨，以5G、人工智能、物聯(lián)網為代表的數(shù)字基礎設施，持續(xù)推動XXX行業(yè)數(shù)字化、網絡化、智能化發(fā)展。5G技術，不僅是信息通信技術的迭代升級，更是一場影響行業(yè)和全社會的技術變革。隨著5G技術在XXX領域的應用，5G將推動運營商去管道化，廣泛應用到更多的安全領域。本項目對XXX單位進行5G專網建設，實現(xiàn)低時延、高速率、廣連接的專屬網絡服務。為XXX單位提供專用業(yè)務數(shù)據(jù)通道，實現(xiàn)業(yè)務數(shù)據(jù)流量定向匯聚，確保數(shù)據(jù)安全，數(shù)據(jù)不出場，降低業(yè)務時延，助力XXX單位XXX業(yè)務智能化、實現(xiàn)XXX智能運用（需根據(jù)實際情況進行補充）建設目標本期利舊5G基站/新建5G網絡滿足XXX單位5G網絡覆蓋，同時基于5G專網DNN、RB預留/基站專用、端到端網絡切片、UPF下沉園區(qū)等策略機制建設數(shù)據(jù)回傳網絡，打造一張5G專用無線通信網絡，與有線網絡深度，實現(xiàn)XXX單位的業(yè)務定向接入至XX服務器，完成業(yè)務數(shù)據(jù)交互，保證數(shù)據(jù)不出場，提高數(shù)據(jù)安全性降低時延，綜合提升XXX行業(yè)務運營效率、降低業(yè)務運營成本,滿足XX單位5G網絡高安全性、高隔離度等需求，提供用戶專業(yè)網絡覆蓋、數(shù)據(jù)安全、大帶寬等業(yè)務服務，達到5G專網高品質的服務能力。

需求分析業(yè)務需求本期業(yè)務需求為對XXX單位進行5G專網建設，實現(xiàn)低時延、高速率、廣連接的網絡覆蓋。為XXX單位提供專用業(yè)務數(shù)據(jù)通道，實現(xiàn)業(yè)務數(shù)據(jù)流量定向匯聚，確保數(shù)據(jù)安全，并降低業(yè)務時延，助力XXX單位XXX業(yè)務智能化、實現(xiàn)XXX智能運用（根據(jù)實際客戶業(yè)務場景需求撰寫）。本項目覆蓋區(qū)域為XX園區(qū)XX米范圍，滿足園區(qū)XXX和XXX應用場景需求，采用5G專網解決方案具備帶寬、時延和可靠性優(yōu)先保障，數(shù)據(jù)不出場（根據(jù)實際客戶業(yè)務場景進行撰寫）本項目業(yè)務需求主要為如下幾個方面：（根據(jù)實際客戶業(yè)務場景需求撰寫）XXXX設備的數(shù)據(jù)回傳到內網。同一個VLAN下兩個設備間可以互聯(lián)通信；終端設備均為5G設備，終端設備為4/5G設備，XXX臺；終端的IP地址為靜態(tài)/動態(tài)；訪問XXX內網；數(shù)據(jù)不出場網絡需求為滿足上述業(yè)務需求，對現(xiàn)網進行分析。在無線方面，業(yè)務覆蓋區(qū)域為XXXX，利舊現(xiàn)網資源/新建5G網絡滿足覆蓋需求，保障5G終端業(yè)務接入5G專網。在核心網方面，將用戶面網元UPF下沉至企業(yè)園區(qū)提供超低時延及高隔離保護能力，通過N6口將數(shù)據(jù)轉發(fā)至客戶內網服務器，保證數(shù)據(jù)在園區(qū)內閉環(huán)，數(shù)據(jù)不出園區(qū)。在傳輸方面，N3、N4口新建傳輸設備及光纜資源對接無線和核心網。整體業(yè)務通過端到端網絡切片技術實現(xiàn)終端定向訪問XXX內網服務器，（若終端為4/5G設備則通過策略配置完成5G回落4G），將訪問通道與外網隔離，確保網絡訪問的安全性及數(shù)據(jù)傳輸?shù)乃矫苄?；通過端到端的網絡切片實現(xiàn)數(shù)據(jù)通道邏輯隔離，保障客戶數(shù)據(jù)安全。實現(xiàn)XXX單位數(shù)據(jù)采集分流，數(shù)據(jù)不出場，保障XX業(yè)務安全可靠運行。根據(jù)業(yè)務需求分析，本項目網絡需求匯總如下：（若客戶有明確的需求則填寫，對于客戶的網絡需求按照SLA判斷是否可以滿足）業(yè)務類別上行速率下行速率時延抖動XXXX≥XXMbps≥XXMbps≤XXms<XXms

網絡組網方案總體網絡架構（按實際需求保留或刪除）入駐專網是“B2公網專用/B3專網專用+A2業(yè)務隔離+A4數(shù)據(jù)不出場”的能力組合，分為基礎套餐B2RB預留/尊享套餐B3基站專用?；A套餐B2RB預留：本項目采用“入駐專網”產品模式，利舊現(xiàn)網無線資源完成進行XXX單位5G信號覆蓋，經SPN設備接入園區(qū)下沉UPF設備，終端業(yè)務數(shù)據(jù)經光纖對接客戶內網服務器，完成端到端數(shù)據(jù)連接，保障XXX業(yè)務低時延、高安全可靠及業(yè)務數(shù)據(jù)不出園區(qū)。本次項目為XXX單位專網用戶簽約專用DNN,終端以配置專用DNN的方式接入XXX單位內網。專網用戶建立會話時，SMF根據(jù)專用DNN選擇園區(qū)下沉UPF進行數(shù)據(jù)分流至XXX單位內網服務器。網絡示意圖如下所示：尊享套餐B3基站專用：本項目采用“入駐專網”產品模式，新建無線網絡完成進行XXX單位5G信號覆蓋，經SPN設備接入園區(qū)下沉UPF設備，終端業(yè)務數(shù)據(jù)經光纖對接客戶內網服務器，完成端到端數(shù)據(jù)連接，保障XXX業(yè)務低時延、高安全可靠及業(yè)務數(shù)據(jù)不出園區(qū)。本次項目為XXX單位專網用戶簽約專用DNN,終端以配置專用DNN的方式接入XXX單位內網。專網用戶建立會話時，SMF根據(jù)專用DNN選擇園區(qū)下沉UPF進行數(shù)據(jù)分流至XXX單位內網服務器。網絡示意圖如下圖所示：無線網建設方案基礎套餐B2RB預留：無線網本期利舊現(xiàn)有5G基站，提供網絡覆蓋、基礎容量保障及高隔離能力。尊享套餐B3基站專用：無線網本期新建5G基站，提供網絡覆蓋、基站專用及高安全隔離能力。整體架構無線網本次采用5G空口新技術，具體在“新架構、新設計、新頻段、新天線”四個方面。（1）新架構秉持“以用戶為中心”的無線網絡設計理念，采用CU/DU兩級架構，即集中式廣域控制和分布式本地業(yè)務結合。5G總體架構如下圖所示，無線網包括gNB和ng-eNB兩種網元，其中gNB提供NR用戶平面和控制平面協(xié)議和功能，ng-eNB提供E-UTRA用戶平面和控制平面協(xié)議和功能。（2）在新設計方面，為了適應不同的業(yè)務需求以及不同客戶不同的流量和物聯(lián)網需求，設計了全動態(tài)結構的新系統(tǒng)，能做到動態(tài)幀結構和資源配置、靈活上下行時隙切換以及包括子載波、GP等在內的多種參數(shù)配置。5G無線空口由layer1—物理層、layer2—MAC層和layer3—RRC層組成。（3）中國移動獲得工業(yè)和信息化部發(fā)放的2600MHz和4900MHz頻段頻率使用許可，中國移動與中國廣電合作共建共享5G700MHz網絡。（4）在大規(guī)模MIMO（MassiveMIMO）系統(tǒng)中，基站配置大量的天線數(shù)目，通常有幾十、幾百甚至幾千根，是現(xiàn)有MIMO系統(tǒng)天線數(shù)目的1~2個數(shù)量級以上，它是5G中提高系統(tǒng)容量和頻譜利用率的關鍵技術。大規(guī)模MIMO系統(tǒng)的空間分辨率與現(xiàn)有MIMO系統(tǒng)相比顯著提高，它能深度挖掘空間維度資源，使得基站覆蓋范圍內的多個用戶在同一時頻資源上利用大規(guī)模MIMO提供的空間自由度與基站同時進行通信，提升頻譜資源在多個用戶之間的復用能力，從而在不需要增加基站密度和帶寬的條件下大幅度提高頻譜效率。大規(guī)模MIMO系統(tǒng)可形成更窄的波束，集中輻射于更小的空間區(qū)域內，從而使基站與UE之間的射頻傳輸鏈路上的能量效率更高，減少基站發(fā)射功率損耗，是構建未來高能效綠色寬帶無線通信系統(tǒng)的重要技術。大規(guī)模MIMO系統(tǒng)具有更好的魯棒性能。由于天線數(shù)目遠大于處于數(shù)據(jù)傳輸狀態(tài)的UE數(shù)目，系統(tǒng)具有很高的空間自由度，系統(tǒng)具有很強的抗干擾能力。當基站天線數(shù)目趨于無窮時，白噪聲和衰落等負面影響全都可以忽略不計。以下是5G大規(guī)模MIMO天線形態(tài)：網絡能力無線網具備業(yè)務加速、業(yè)務隔離能力、無線專用、接入控制能力。（1）業(yè)務加速行業(yè)應用需要增強數(shù)據(jù)業(yè)務質量保障，根據(jù)業(yè)務質量要求在帶寬和時延方面提供差異性的服務質量保障，保證高優(yōu)先級用戶獲得更好的業(yè)務加速體驗。業(yè)務加速功能實現(xiàn)涉及端到端網絡QoS優(yōu)先調度技術能力。無線網支持按照規(guī)則將業(yè)務流匹配到QoSFlow；支持通過MinBR/PBR實現(xiàn)最低速率保障，通過調度級別參數(shù)配置實現(xiàn)相對調度優(yōu)先級保障，以及根據(jù)5QI按需開啟專門的時延保障增強功能和可靠性保障功能。針對高時延保障場景，基站支持按5QI開關預調度、調整SR周期、開關DRX、開關保守調度（使用或不用低MCS配置表）、開關minislot功能等；針對高可靠性要求場景，無線網支持針對特定5QI承載配置更低碼率的MCS策略、支持PDCP重復、支持mini-slotaggregation/repetition等。（2）業(yè)務隔離行業(yè)應用要求專用網絡資源與公眾網隔離，通過專用的業(yè)務數(shù)據(jù)通道實現(xiàn)業(yè)務流量的定向匯聚傳輸和隔離，保證數(shù)據(jù)專用和安全。業(yè)務隔離功能實現(xiàn)涉及網絡切片技術能力。無線網子切片，作為網絡切片中的一個關鍵組成部分，能根據(jù)端到端切片編排管理系統(tǒng)下發(fā)的不同業(yè)務的不同SLA需求，進行靈活的子切片定制。無線網為了保障SLA需求，一方面可以基于QoS機制，從空口速率、時延、可靠性三個維度對無線網絡進行深度優(yōu)化，實現(xiàn)QoS保障；另一方面，可以為特定切片的用戶預留資源，保障該切片內用戶的業(yè)務體驗。（3）無線專用行業(yè)應用在局域覆蓋且對安全隔離或業(yè)務質量要求很高的場景下，要求使用專用的基站或者專用的頻段，同時提供業(yè)務隔離和業(yè)務質量保障。（4）接入控制當行業(yè)用戶使用專用基站或者專用頻段時，要求只允許特定用戶接入，不允許其他用戶接入，而且客戶能夠對哪些用戶接入進行控制。無線網支持多種基于小區(qū)級和區(qū)域級的接入控制技術，通過多種手段靈活保障特定行業(yè)專網用戶的無線資源和業(yè)務體驗。建設內容基礎套餐B2RB預留：本次需求覆蓋區(qū)域為XXX單位園區(qū)，園區(qū)周邊已有X個2.6G和X個700M宏站。根據(jù)網絡測試情況，已滿足5G網絡業(yè)務及網絡需求。結合園區(qū)現(xiàn)網狀況和應用需求，本期利舊現(xiàn)有5G基站。尊享套餐B3基站專用：本次需求覆蓋區(qū)域為XXX單位園區(qū)，園區(qū)周邊5G網絡覆蓋弱/無覆蓋，需新建5G網絡滿足本期業(yè)務及網絡需求。本期室外新建X個4.9G/X個2.6G/X個700M無線基站，室內新建無線室分系統(tǒng)，新建X個pRRU滿足室內5G網絡覆蓋，滿足園區(qū)內XXX終端接入5G網絡，具體建設方案及建站位置以現(xiàn)場勘察為準。本次規(guī)劃覆蓋區(qū)域為XXX園區(qū)（附圖說明）核心網建設方案整體架構核心網本次采用5GSA服務化架構（SBA），包括AMF、SMF、UPF、AUSF、UDM、PCF、UDR、NSSF、NRF等多種NF（網絡功能），系統(tǒng)架構如下圖所示：參考點架構能夠更直觀的體現(xiàn)不同NF之間的連接關系，基于參考點的5G系統(tǒng)架構如下圖所示：5GSA核心網各類NF的主要網絡功能為：UPF（UserplaneFunction）：用戶平面功能，負責用戶數(shù)據(jù)報文的路由轉發(fā)、業(yè)務識別、策略執(zhí)行、計費流量上報等用戶面功能。SMF（SessionManagementFunction）：會話管理功能，負責5G用戶的會話的生命周期管理、數(shù)據(jù)路由選擇、業(yè)務連續(xù)性管理、策略規(guī)則匹配以及流量計費處理等。AMF（AccessandMobilityManagementFunction）：接入及移動性管理功能，處理NAS信令、接入安全驗證、5G用戶的網絡接入控制、注冊管理、連接管理、業(yè)務請求、移動性限制、用戶可達性管理、基于Xn/N2切換、網元選擇等。UDM（UnifiedDataManagement)：統(tǒng)一數(shù)據(jù)管理功能，基于存儲于UDR中的用戶簽約數(shù)據(jù)（包含鑒權數(shù)據(jù)），為用戶提供接入授權、注冊等服務。UDR（UnifiedDataRepository）：統(tǒng)一數(shù)據(jù)存儲功能，提供5G用戶簽約數(shù)據(jù)的存儲/讀取/訂閱/通知等功能。PCF（PolicyControlFunction）：策略控制功能，提供5G用戶的接入控制、切片選擇等非會話類策略管理以及會話控制、QoS控制等功能。AUSF（AuthenticationServerFunction）：認證服務器功能，負責用戶從5GC網絡接入時的鑒權。NEF（NetworkExposureFunction）：能力開放功能，提供5GC各網元能力的開放的入口。NSSF（NetworkSliceSelectionFunction）：網絡切片選擇功能，提供UE的切片選擇、切片對應的AMF選擇以及基于TA的切片信息更新/訂閱/去訂閱/通知/刪除等服務。NRF（NFRepositoryFunction）：網絡注冊功能，負責5GC服務化網元的服務管理、服務發(fā)現(xiàn)和服務授權。BSF（BootstrappingServerFunction）：綁定支持功能，提供UE的PDU會話上下文信息的管理和查詢等功能，包括該UE所注冊的PCF地址等信息。SMSF（ShortMessageServiceFunction）：短消息服務功能，通過5GNAS信令傳遞短消息業(yè)務，提供5GNAS短信用戶的注冊和轉發(fā)等功能。CHF（ChargingFunction）：計費功能，負責在線計費消息轉發(fā)和離線話單生成、存儲。UDSF（UnstructuredDataStoragenetworkfunction）：非結構化數(shù)據(jù)存儲功能，任何NF都可以將信息存儲和檢索為非結構化數(shù)據(jù)。NWDAF（NetworkDataAnalyticsFunction）；網絡數(shù)據(jù)分析功能，為NF提供特定切片的網絡數(shù)據(jù)分析。UPF能力邊緣UPF作為5GC網絡業(yè)務面網元，主要支持UE業(yè)務數(shù)據(jù)的路由和轉發(fā)、數(shù)據(jù)和業(yè)務識別、動作和策略執(zhí)行等。（1）基本業(yè)務功能支持IP/Ethernet/Unstructured類型連接/會話。IP業(yè)務能支持IPv4、IPv6及IPv4/IPv6版本的PDN連接/PDU會話。UPF設備支持EPS和5GC的QoS控制功能，并支持EPS和5GC互操作時的QoS控制功能。UPF不限制接入的終端類型，保證用戶最大以3Gbps下行速率、1Gbps上行速率正常使用業(yè)務，確保QoS參數(shù)本地配置、QoS參數(shù)傳遞、QoS協(xié)商、QoS控制、切片參數(shù)配置和傳遞等流程正常進行。（2）數(shù)據(jù)轉發(fā)功能UPF設備支持對IP、Non-IP和Ethernet等類型的數(shù)據(jù)報文的轉發(fā)，支持將從上一個節(jié)點接收到的數(shù)據(jù)（GTP-UPDU）轉發(fā)給路由中下一個節(jié)點的功能以及對GTP-UPDU排序的功能。UPF設備保證在UPF設備之間、或與UE之間傳送的協(xié)議數(shù)據(jù)報文的最大尺寸為1500字節(jié)。對從外部數(shù)據(jù)網收到的大于上述要求的數(shù)據(jù)報文，UPF設備根據(jù)上下文的類型和具體實施要求對其進行分段、丟棄或拒絕。UPF設備具有將來自外部數(shù)據(jù)網的GTP-UPDU用GTP字頭和TCP/IP或UDP/IP字頭進行封裝的功能，并以這些字頭中的相關地址信息作為標識，在骨干網中利用一條點到點的雙向隧道來傳輸封裝數(shù)據(jù)。對于去往外部數(shù)據(jù)網的GTP-UPDU，UPF設備去除其封裝字頭后再轉發(fā)給外部數(shù)據(jù)網。UPF支持N9接口基于DNN分流到不同的物理接口，不同的物理接口使用不同的接口IP地址。UPF支持內置DNSCache功能。（3）數(shù)據(jù)分流功能UPF支持上行流量分類（ULCL）功能，將與SMF提供的過濾器匹配的流量分流到數(shù)據(jù)網絡的不同接入點。UPF支持基于SMF提供的流量檢測（PDR）和流量轉發(fā)規(guī)則（FAR）向不同的PDU會話錨點UPF轉發(fā)上行業(yè)務流，以及將來自鏈路上的不同PDU會話錨點UPF的下行業(yè)務流合并到UE。UPF支持IPv6多歸屬（Multi-homing）功能，一個PDU會話可以與多個IPv6前綴相關聯(lián)，UPF作為分支點（BranchingPoint）連接多個PDU會話錨點UPF，再接入數(shù)據(jù)網絡。UPF支持提供將不同IPv6前綴的上行業(yè)務流轉發(fā)至不同的PDU會話錨點UPF，以及將來自鏈路上的不同PDU會話錨點UPF的下行業(yè)務流合并到UE。UPF支持同時作為IPv6多歸屬的分支點和PDU會話錨點的能力。UPF支持接收SMF的指示執(zhí)行與RAN之間的N3隧道以及UPF之間的N9隧道的分配和釋放。當網絡配置為UPF分配CN隧道時，UPF向SMF上報相關用戶面隧道信息；當為SMF分配CN隧道時，UPF接收SMF下發(fā)的相關用戶面隧道信息并保存。當PDU會話的UP連接被去激活，且N3終止點的UPF被釋放時，連接到該UPF的其他UPF（如BP、ULCL、PDU會話錨點的UPF）將緩存下行數(shù)據(jù)；否則，由具有N3連接的UPF緩存下行數(shù)據(jù)。（4）接入外部數(shù)據(jù)網功能DiffServ功能：SMF/PGW-C和UPF支持DiffServ功能（RFC2474、2475），實現(xiàn)根據(jù)業(yè)務所屬類型（如5QI、ARP）將其進行分類和標記功能（可通過命令行等方式，進行靈活配置映射策略）。隧道功能：支持IPv4及IPv6的GRE隧道和IPv6overIPv4手工隧道功能。（5）對外接口N3接口是NGRAN與UPF間的接口，采用GTP-U協(xié)議在NGRAN與UPF之間進行用戶數(shù)據(jù)的隧道傳輸，協(xié)議棧如圖所示：N4接口是SMF和UPF之間的接口。N4接口控制面用于SMF和UPF之間傳輸節(jié)點消息和會話消息，采用PFCP協(xié)議，協(xié)議棧如圖所示：N4接口用戶面?zhèn)鬏擲MF需要通過UPF接收或發(fā)送的報文，采用GTP-U協(xié)議，協(xié)議如圖所示：N6接口是UPF和外部數(shù)據(jù)網之間的接口，需要支持IPv4和IPv6數(shù)據(jù)包。當訪問LADN的場景下需要支持隧道或NAT。（6）電信級可靠性UPF系統(tǒng)關鍵軟件、硬件有一定的備份措施，進行N+1或1+1冗余備份。保證系統(tǒng)的不間斷運行，系統(tǒng)具有軟件、硬件故障在線恢復的能力。UPF設備達到99.9997%及以上的電信級可靠性。可靠性指標如下表：典型配置系統(tǒng)高可用度HA≥99.9997%平均故障間隔時間MTBF≥150000h平均故障修復時間MTTR≤0.5h主備板倒換成功率≥95%（7）環(huán)境要求機房溫濕度要求如下表所示：設備及機房名稱溫度（℃）相對濕度（％）③長期條件①短期條件②長期條件短期條件核心網設備及外圍設備15～300～4540～6520～90注：2m0.4m（機架前后沒有保護板時測量1.5m處測量的數(shù)值。②短期工作條件是指連續(xù)不超過48h和每年累計不超過15天。③對于相對濕度較低的環(huán)境（20％以下機房防塵要求如下：1) 直徑>5μm灰塵的濃度≤3×104粒/m3；2) 灰塵粒子為非導電、導磁性和非腐蝕性的。網絡能力核心網具備業(yè)務加速、業(yè)務隔離、業(yè)務數(shù)據(jù)不出園區(qū)園區(qū)能力。（1）業(yè)務加速核心網支持根據(jù)不同QoS參數(shù)，發(fā)起會話建立、修改和刪除等操作；支持根據(jù)用戶簽約和業(yè)務信息配置不同規(guī)則，并下發(fā)終端和無線網；支持通過參數(shù)配置實現(xiàn)最高速率上限差異化保障。（2）業(yè)務隔離業(yè)務隔離功能實現(xiàn)除涉及網絡切片技術能力，同時包括專用DNN和核心網定制。1）網絡切片核心網提供網絡功能和資源按需部署的能力，在統(tǒng)一設施基礎上，構建網絡切片服務于不同業(yè)務。網絡切片是對現(xiàn)有網絡進行切分，形成多個物理/邏輯網絡，為差異化業(yè)務提供定制化服務，來滿足多樣化的業(yè)務需求。同時根據(jù)不同業(yè)務的SLA及定制化需求，分配相應的網絡功能和資源至對應網絡切片。核心網切片除UPF網元外，其他網元基于云化技術部署，云化技術通過軟硬件解耦及功能抽象，資源可以充分靈活共享，實現(xiàn)新業(yè)務的快速開發(fā)和部署，并可根據(jù)實際需求實現(xiàn)自動部署、彈性伸縮、故障隔離和自愈等功能，為網絡切片的設計、部署和管理帶來了更大的靈活性。5G網絡切片核心網基于服務化架構（SBA）實現(xiàn)，引入獨立的網絡切片選擇功能（NSSF），當用戶初次在網絡中注冊時，可攜帶相應的網絡切片標識（NSSAI），請求NSSF獲取相應接入的網絡切片選擇信息。核心網支持網絡切片標識簽約、管理與更新、網元選擇與接入等流程。2）專用DNN5G網絡支持為行業(yè)客戶分配獨立的DNN，提供專用的業(yè)務數(shù)據(jù)通道，支持根據(jù)DNN為行業(yè)用戶選擇特定的UPF，實現(xiàn)流量匯聚。3）核心網定制核心網邊緣UPF分為網云一體或網云分離場景，網云一體是采用增強一體化UPF，具備網、云一體快速集成能力；網云分離是采用普通UPF，由客戶指定邊緣云。同時，根據(jù)業(yè)務需求，可選擇5G/10G/20G/50G等不同類型UPF。（3）業(yè)務數(shù)據(jù)不出園區(qū)行業(yè)應用要求超低時延保障（≤20ms)，企業(yè)內部相關業(yè)務數(shù)據(jù)要在園區(qū)內分流卸載，不出園區(qū)，滿足數(shù)據(jù)安全和本地數(shù)據(jù)快速處理的需求。對于存在數(shù)據(jù)不出場、用戶面超低時延等要求的業(yè)務場景，可采用UPF下沉的方案滿足業(yè)務需求。UPF下沉后的容災方案采用主備容災方式。數(shù)據(jù)不出場方案分為專用DNN和專用切片方案。1）專用DNN方案園區(qū)內單獨部署一個企業(yè)專用的DNN設備，并通過N6接口直連企業(yè)的園區(qū)應用。園區(qū)專用終端中預制專用的DNN，該終端的所有數(shù)據(jù)業(yè)務均只能接入至邊緣UPF，并訪問到企業(yè)園區(qū)的應用，進而實現(xiàn)數(shù)據(jù)不出場。當專用終端移動至園區(qū)外時，可將省中心/地市級的UPF作為I-UPF使用，進而訪問到企業(yè)園區(qū)的應用。普通用戶無論是在園區(qū)內還是在園區(qū)外，其終端使用大網默認的DNN，選擇到省中心/地市的通用UPF訪問至Internet網絡，實現(xiàn)與園區(qū)專用終端的業(yè)務隔離。2）專用切片方案當園區(qū)型業(yè)務，除了數(shù)據(jù)不出場需求外，進一步需要利用切片技術為園區(qū)業(yè)務提供切片級的專屬保障服務（如無線的資源預留、傳輸?shù)挠哺綦x管道等）時，可通過專用切片方案在園區(qū)內部署專屬的切片UPF。僅當企業(yè)專屬用戶使用專用的NSSAI在園區(qū)內是可訪問到園區(qū)的邊緣UPF，進而訪問園區(qū)的應用。當該專屬用戶離開園區(qū)，或者非企業(yè)專屬用戶都無法連接到企業(yè)園區(qū)所部屬的邊緣UPF，也無法訪問企業(yè)相應的業(yè)務。建設內容根據(jù)客戶單位低時延、高可靠性、安全隔離、數(shù)據(jù)不出園區(qū)等業(yè)務需求，本項目下沉1套華為/中興UPF至園區(qū)客戶機房，UPF容量為10G，具體建設內容如下表：序號地市UPF名稱硬件模型部署地點1XXXXXX2BUPF5G/10G/20G/50G，帶MEP/不帶MEPXXX機房(客戶機房)傳送網建設方案整體架構切片分組網（SPN）具備業(yè)務靈活調度、高可靠性、低時延、高精度時鐘、易運維、嚴格QoS保障等屬性的傳送網絡，面向城域綜合業(yè)務承載的傳送網技術機制，對5G專網高質量要求的業(yè)務進行承載，具備在一張物理網絡進行資源切片隔離，為多種業(yè)務提供差異化(如帶寬、時延、抖動等)的業(yè)務承載服務能力。本次SPN傳送網采用核心、匯聚和接入三層架構，網絡結構圖如下所示：SPN網絡具有以下基本技術特征：（1）基于城域傳送網通道（MTNChannel）的端到端交叉連接：通過基于66B碼塊的序列交叉連接（S-XC）提供分組網絡硬切片、低時延轉發(fā)和帶寬保障，通過MTNChannel層的端到端OAM和保護提供硬切片的電信級運維能力。（2）分組層面向連接和面向無連接業(yè)務的統(tǒng)一承載：通過SR-TP隧道技術提供面向連接業(yè)務的承載能力，為點到點或點到多點連接業(yè)務提供高質量、易運維的傳送服務；同時具備通過SR-BE隧道技術提供面向無連接業(yè)務的承載能力，為多點到多點業(yè)務提供易部署、可靠的傳送服務。（3）光層通過灰光和彩光的有機結合及優(yōu)化OADM光層組網來適應不同應用場景。（4）集中管理和控制的SDN架構：支持業(yè)務部署和運維的自動化能力，以及感知網絡狀態(tài)并進行實時優(yōu)化的網絡自優(yōu)化能力。同時，基于SDN的管控融合架構提供簡化網絡協(xié)議、開放網絡、跨網絡域/技術域的業(yè)務協(xié)同管控等能力。（5）電信級故障檢測和性能管理：具備網絡級的分層OAM故障檢測和性能管理能力，支持對網絡中各邏輯層次、各類網絡連接、各類業(yè)務通過OAM機制進行連通性、丟包率、時延和抖動等屬性進行監(jiān)測和管理。（6）高可靠網絡保護恢復：具備網絡級的分層保護能力。支持基于設備轉發(fā)面預置保護倒換機制，在轉發(fā)面檢測到故障時進行電信級快速保護倒換；支持基于SDN控制平面通過IGP協(xié)議實時刷新網絡拓撲狀態(tài)，在感知到網絡狀態(tài)變化后重新計算業(yè)務最優(yōu)路徑。（7）時鐘和時間同步機制：支持同步以太網功能，實現(xiàn)穩(wěn)定可靠的頻率同步；支持PTP功能，實現(xiàn)高精度的時間同步。（8）低時延轉發(fā)：支持網絡級三層就近轉發(fā)和設備級物理層低時延轉發(fā)能力，匹配時延敏感業(yè)務的傳送要求。網絡能力傳送網具備業(yè)務加速、業(yè)務隔離能力。（1）業(yè)務加速傳送網支持根據(jù)核心網、無線映射的VLANPri、DSCP等參數(shù)進行QoS調度。（2）業(yè)務隔離傳輸SPN融合了L0~L3層網絡技術的新型綜合業(yè)務承載網，支持軟硬網絡切片能力，具備業(yè)務靈活調度、高可靠性、低時延、高精度時鐘、易運維、嚴格QoS保障等屬性。SPN由三個網絡子層構成：1) 最上層是負責L2和L3分組交換轉發(fā)的切片分組層（SPL），分組轉發(fā)隧道支持以太網MAC和VLAN、MPLS-TP以及段路由（SR）技術，基于L2VPN和L3VPN提供邏輯隔離的網絡軟切片服務能力；2) 中間一層是負責L1TDM時隙轉發(fā)的切片通道層（SCL），采用ITU-T規(guī)范的城域傳送網（MTN）段（Section）層和通路（Path層）構建基于TDM管道隔離的網絡硬切片服務能力；3) 最底層是負責L0光傳輸?shù)那衅瑐魉蛯樱⊿TL），采用IEEE802.3標準以太網物理層或波分復用（WDM）的光媒質層，可以通過不同的以太網物理鏈路或WDM波長提供基于物理硬隔離的網絡硬切片服務能力。SPN在客戶接口（UNI）側的網絡切片資源規(guī)劃支持基于端口+VLANID的標識方式。SPN在網絡接口（NNI）側的網絡切片資源規(guī)劃支持以下三類網絡切片資源及其組合：1) STL層支持基于不同MTN接口（組）的鏈路或WDM波長，實現(xiàn)基于L0的網絡硬切片。2) SCL層支持基于MTN接口（組）內不同MTN通道（MTNClient），提供基于L1TDM隔離的網絡硬切片，帶寬可靈活配置N*5Gb/s;3) 在每個MTN通道內部，可基于不同的分組轉發(fā)隧道，實現(xiàn)L2VPN或L3VPN的網絡軟切片。建設內容本次項目在XXX單位XX機房新增2臺SPN設備，新建物理雙路由上聯(lián)SPN傳輸環(huán)。根據(jù)XXX單位所在區(qū)域，搭建5G基礎傳輸網絡，完成從無線設備機房至最近移動傳輸機房SPN設備的對接，做到5G接入網/傳輸網/接入光纜全覆蓋，完成BBU、SPN與UPF設備對接，同時以5G切片技術為基礎構建端到端、大帶寬、高隔離度的專屬網絡，為低時延、多接入、高安全性應用奠定基礎。

5G專網安全方案5G安全既包括由終端和網絡組成的5G網絡本身通信安全，也包括5G網絡承載的上層應用安全。移動通信網絡標準在設計之初，就充分考慮了網絡接入的移動性、可靠性和安全性。通過SIM/USIM等身份標識、認證授權、信道與承載加密、訪問控制等方式，提供了良好的安全通信能力。經過全球通信行業(yè)幾十年的共同努力，移動通信網絡安全架構日臻完善。5G網絡繼承了4G的安全特性，同時對認證授權、隱私保護、數(shù)據(jù)傳輸安全、網絡架構和互通安全等進行了優(yōu)化或增強。相對WiFi、企業(yè)專網等非3GPP接入機制，5G提供了更大范圍的移動性，也為用戶提供了更健壯的業(yè)務安全性、更嚴密的數(shù)據(jù)保護以及更強的用戶隱私性。5G繼承了4G網絡分層分域的安全架構，在3GPP5G安全標準《5G系統(tǒng)安全架構和流程》中規(guī)定：在安全分層方面，5G與4G完全一樣，分為傳送層、歸屬層/服務層和應用層，各層間相互隔離。在安全分域方面，5G安全框架分為接入域安全、網絡域安全、用戶域安全、應用域安全、服務域安全、安全可視化和配置安全六個域，與4G網絡安全架構相比，增加了服務域安全。與4G相比，5G具有更強的安全能力，主要體現(xiàn)在：服務域安全。針對5G全新服務化架構帶來的安全風險，5G采用完善的服務注冊、發(fā)現(xiàn)、授權安全機制及安全協(xié)議來保障服務域安全。增強的用戶隱私保護。5G網絡使用加密方式傳送用戶身份標識，以防范攻擊者利用空中接口明文傳送用戶身份標識來非法追蹤用戶的位置和信息。增強的完整性保護。在4G空中接口用戶面數(shù)據(jù)加密保護的基礎上，5G網絡進一步支持用戶面數(shù)據(jù)的完整性保護，以防范用戶面數(shù)據(jù)被篡改。增強的網間漫游安全。5G網絡提供了網絡運營商網間信令的端到端保護，防范以中間人攻擊方式獲取運營商網間的敏感數(shù)據(jù)。統(tǒng)一認證框架。4G網絡不同接入技術采用不同的認證方式和流程，難以保障異構網絡切換時認證流程的連續(xù)性。5G采用統(tǒng)一認證框架，能夠融合不同制式的多種接入認證方式。綜上，5G針對服務化架構、隱私保護、認證授權等安全方面的增強需求，提供了標準化的解決方案和更強的安全保障機制。終端安全5G為萬物互聯(lián)而生，5G除了滿足人與人的通信，還要實現(xiàn)人與物、物與物的通信，為此，5G網絡需要支持采用不同接入類型和技術的不同種類終端接入。按接入類型分，5G網絡需要支持3GPP接入和非3GPP接入，可信任接入和非可信任接入；從接入技術分，5G網絡需要支持5G新無線技術接入，還要向下兼容3G接入、LTE接入、WLAN接入以及各種固網接入技術；從終端類型分，可以是有卡終端和無卡終端。有卡終端以SIM/USIM卡作為用戶身份和密鑰載體，具備一定的計算和存儲能力；無卡終端沒有內置專用載體存儲身份密鑰信息，通常以IP地址或者MACMAC:直譯為MAC:直譯為媒體存取控制位址，也稱為局域網地址（LANAddress），MAC位址，以太網地址（EthernetAddress）或物理地址（PhysicalAddress），它是一個用來確認網絡設備位置的位址。本期項目5G終端安全面臨安全風險，對于終端硬件，5G網絡支持的終端多樣化，終端面臨的安全問題主要源于終端芯片設計上存在的漏洞或硬件體系安全防護的不足，導致敏感數(shù)據(jù)面臨被泄露、篡改等安全風險；在終端軟件方面，還存在網絡攻擊者通過終端的軟件系統(tǒng)發(fā)起攻擊的安全風險。終端面臨與5G網絡通信相關的安全風險點具體如下：（1）終端的真實性與數(shù)據(jù)的機密性真實性較低的終端設備會受到普通文件傳輸協(xié)議（TFTP）中間人攻擊，導致第三方設備對會話中的通信進行竊聽，對數(shù)據(jù)的機密性構成威脅。（2）終端存在虛假非法終端接入或攻擊其他合法終端等風險?；诮K端面臨的安全風險點，5G終端安全風險解決措施如下：面向終端的基礎安全模塊：提供一套獨立于硬件和廠商的接口，實現(xiàn)全生命周期的密鑰管理、數(shù)字證書管理以及各類安全域的動態(tài)管理，提供包括實體認證、信息的保密性、完整性、不可否認性等各類需求，還要具備高強度的硬件安全防護體系，能抵御各類物理攻擊?；A安全模塊安全管理技術：全基礎安全模塊系統(tǒng)框架設計、生命周期密鑰管理、安全域控制（安全域動態(tài)分配和回收、跨域安全交互、安全策略的下載/更新/刪除/鎖定/解鎖）、安全協(xié)議的設計、信息格式設計、基礎安全模塊的硬件安全設計（包括主機接口協(xié)議設計、密鑰安全管理設計、密鑰算法種類以及實現(xiàn)效率設計）。基礎安全模塊安全檢測技術：引入人工智能來檢測未知攻擊、復雜攻擊，使用機器學習的方法。包括安全功能檢測（包括虛擬機異常監(jiān)控、惡意代碼檢測、核心網流量異常檢測、密碼算法、隨機數(shù)發(fā)生器、殘余信息保護機制、存儲器訪問控制機制功能性檢測）、抗攻擊能力檢測（基礎安全模塊芯片表面、背面的檢測和簡要分析）、建立自動化防御機制。為了快速應對安全威脅，運營商之間、運營商與廠商之間、運營商與行業(yè)用戶之間需要聯(lián)動，實時交換安全情報，實現(xiàn)安全協(xié)同的自動化、智能化。切片安全：切片安全差異化機制；切片的安全隔離，物理資源共享，邏輯功能分離，由于切片橫跨多個子域（終端、接入網、核心網、承載網）各個子域的隔離都需要考慮，終端與切片網絡的網元交互、安全協(xié)議、流程也需要隔離；終端訪問切片控制，終端訪問切片的控制方式也將是多種多樣的，保證用戶設備能適時接入切片，同時得到應有的訪問安全防護，防止受到外界的攻擊；切片管理面安全，保護切片在整個生命周期的安全，包括切片的準備、配置與激活、運行、撤銷。無線安全5G網絡空口安全協(xié)議,實現(xiàn)多域融合的密鑰管理、網絡和用戶身份認證、用戶隱私保護、網絡空口數(shù)據(jù)/信令加密保護、完整性保護、端到端安全認證和數(shù)據(jù)保護、安全域融合等。本期5G無線網絡基站空口存在的安全風險主要包括兩大類：（1）由無線環(huán)境中的外部不可控因素引發(fā)的安全風險：無線環(huán)境中的偽基站會干擾無線信號，導致5G終端降級接入，連接至不安全的2G/3G/4G網絡中。無線環(huán)境中廣泛分布的安全性較低的物聯(lián)網設備若遭受攻擊，可能會對基站或核心網發(fā)起DDoS攻擊，這會降低網絡設備功能的可用性。（2）空口協(xié)議存在的安全風險：3GPP協(xié)議自身存在的漏洞可能面臨身份假冒、服務抵賴、重放攻擊等風險，這會對終端真實性造成影響；終端制造商為提升服務質量、降低時延，選擇關閉對用戶數(shù)據(jù)的加密或完整性保護選項，導致用戶數(shù)據(jù)被惡意篡改，這會給數(shù)據(jù)的機密性與完整性帶來影響?；?G無線網絡面臨的安全風險點，5G無線安全風險解決措施如下：基于統(tǒng)一認證框架的雙向認證能力，可防范偽基站；通過EAP-AKA’和EAP-AKA認證算法，增加歸屬網絡認證結果；用戶面增加完整性保護功能，防止用戶面數(shù)據(jù)被篡改；用戶身份標識SUPI用公鑰加密，空口不進行明文傳輸；同時加密密鑰增強為256Bit，監(jiān)控/對消/時鐘備份抵御空口干擾，解決無線網絡