In einem 5G-Netz bedeutet Mobilitätsmanagement nicht nur, ein Telefon beim Wechsel von einer Funkzelle zur nächsten zu verfolgen. Es ist die Steuerungslogik, die dem 5G-Core mitteilt, ob ein UE registriert, erreichbar, verbunden, inaktiv, zum Dienstzugriff berechtigt oder aufgrund von Standort und Teilnehmerprofil eingeschränkt ist. Ohne diese Ebene wüsste das Netz nicht, wann der Benutzerkontext beibehalten, wann Signalisierungsressourcen freigegeben, wann das Gerät per Funkruf gesucht oder welche Identität bei Registrierungs- und Sicherheitsverfahren verwendet werden soll.
Der 5G-Core nutzt AMF, NAS-Signalisierung, UE-Kontext, temporäre Kennungen, verschleierte Teilnehmerkennungen und Mobilitätsbeschränkungen, um Bewegungen beherrschbar zu machen. Ein UE kann morgens eingeschaltet werden, sich am Netz registrieren, lange Zeit inaktiv bleiben, bei Bedarf an Datendiensten wieder eine Verbindung herstellen und sich im Laufe des Tages durch mehrere Tracking-Bereiche bewegen. Das Netz muss all dies unterstützen und zugleich Ressourcen der Luftschnittstelle, N2-Signalisierungsressourcen und die Privatsphäre der Nutzer schützen.
Die Registrierung bestimmt die Erreichbarkeit
Das Registrierungsmanagement beschreibt, ob sich ein UE am 5G-Core registriert hat. Die beiden entscheidenden Zustände sind RM-DEREGISTERED und RM-REGISTERED. Im nicht registrierten Zustand ist das UE nicht am Kernnetz registriert. Die AMF kennt den Standort des UE nicht, hält keinen nutzbaren UE-Kontext für das Gerät vor und kann es nicht als erreichbar behandeln.
Sobald das UE die Registrierung erfolgreich abgeschlossen hat, wechselt es in den registrierten Zustand. Nun kann es auf 5GC-Dienste zugreifen, und die AMF verfügt über genügend Informationen, um den Standort des Nutzers mit der erforderlichen Genauigkeit zu kennen und den UE-Kontext zu verwalten. Das bedeutet nicht zwangsläufig, dass das UE aktiv Nutzdaten überträgt. Es bedeutet lediglich, dass eine gültige Beziehung zum Kernnetz besteht.
Der Übergang ist einfach. Ein neu eingeschaltetes Gerät beginnt im nicht registrierten Zustand. Wird das Registrierungsverfahren akzeptiert, wechselt das UE in den registrierten Zustand. Wird die Registrierung abgelehnt oder leitet das Netz eine Deregistrierung ein, bleibt das UE im nicht registrierten Zustand oder kehrt dorthin zurück. Dieses Zustandsmodell ähnelt in seinem Grundprinzip der EMM-Logik für registriert und nicht registriert in 4G, wird jedoch innerhalb der 5G-Core-Architektur umgesetzt.
Der Verbindungszustand spart Ressourcen
Das Verbindungsmanagement beschreibt, ob das UE derzeit eine aktive Signalisierungsbeziehung zum Netz besitzt. Die beiden Hauptzustände sind CM-IDLE und CM-CONNECTED. Im inaktiven Zustand ist das UE nicht aktiv über N2-Signalisierung verbunden, und die AMF hält nicht dieselben aktiven Verbindungsressourcen vor wie im verbundenen Betrieb.
Im verbundenen Zustand kennt die AMF den Standort des UE genauer, und das UE kann über eine aufgebaute Verbindung auf 5GC-Dienste zugreifen. Das Netz kann außerdem den für die Diensterbringung erforderlichen UE-Kontext erstellen oder beibehalten. Besteht kein aktiver Dienstbedarf, kann das Netz die N2-Verbindungsressourcen freigeben und das UE wieder in den inaktiven Betrieb versetzen.
Dieses Konzept schützt die Netzeffizienz. Würden alle registrierten UEs den ganzen Tag vollständig verbunden bleiben, würden Funkressourcen, N2-Signalisierung und Vorbereitungen der Benutzerebene verschwendet. Sinnvoller ist es, das UE registriert zu halten, aber aktive Verbindungsressourcen freizugeben, wenn sie nicht benötigt werden. Beginnt der Nutzer später wieder zu browsen, zu streamen, zu telefonieren oder eine Anwendung zu verwenden, kann das UE einen Dienstanforderung oder ein entsprechendes Verfahren auslösen und in den verbundenen Zustand zurückkehren.
Ein anschaulicher Vergleich ist die Anmeldung in einem Hotel. Die Registrierung entspricht dem Anmelden und dem Anlegen eines Gästedatensatzes. Die Verbindung entspricht der aktiven Nutzung von Zimmerressourcen wie Beleuchtung, Klimaanlage oder Aufzug. Der Gast bleibt eingecheckt, auch wenn diese Ressourcen gerade nicht genutzt werden. Ebenso kann ein UE registriert bleiben, während seine aktive Verbindung zur Ressourcenschonung freigegeben wird.
Der UE-Kontext enthält wichtige Daten
Der UE-Kontext umfasst die Informationen, die die AMF nach der Registrierung des UE speichert. Er stellt dem Netz die Arbeitsdaten bereit, die für Zugriff, Sicherheit, Standort, Teilnehmerbeschränkungen und Mobilitätsverhalten erforderlich sind. Dieser Kontext besteht nicht aus einem einzelnen Feld, sondern aus einer Sammlung von Kennungen, Fähigkeiten, Standortinformationen und richtlinienbezogenen Parametern.
Zu den wichtigen Bestandteilen des UE-Kontexts gehören SUPI, PEI, GPSI, die vertraglich festgelegte UE-AMBR, die 5GMM-Fähigkeit, Informationen zur ausgewählten PCF, Listen verbotener Bereiche, Dienstbereichsbeschränkungen und der Mobilitätsmanagementkontext. Der MM-Kontext kann außerdem Zugriffsart, NAS-Sicherheitsmodus, Sicherheitsfähigkeiten des UE, erlaubte NSSAI, die letzte Registrierungs-TAI, den RM-Zustand, den Registrierungsbereich und aktuelle Standortinformationen des Nutzers enthalten.
Diese Felder helfen dem Netz, mehrere betriebliche Fragen zu beantworten. Wer ist der Teilnehmer? Welches Endgerät wird verwendet? Welche Zugriffsart ist beteiligt? Welche Sicherheitsalgorithmen werden unterstützt? Auf welche Netzsegmente darf das UE zugreifen? Wo hat es sich zuletzt registriert? Welche Bereiche sind erlaubt oder gesperrt? Die Antworten steuern Registrierungsverarbeitung, Dienstzugriff, Funkruf, Mobilitätsaktualisierungen und Richtlinienkontrolle.
Kennungen schützen die Privatsphäre
Das 5G-Mobilitätsmanagement hängt stark von der Gestaltung der Identitäten ab. Das Netz muss Teilnehmer und Gerät identifizieren, sollte permanente Kennungen über die Luftschnittstelle jedoch möglichst nicht offenlegen. Daher verwendet 5G mehrere miteinander verbundene Kennungen für unterschiedliche Zwecke.
SUPI ist die permanente Teilnehmerkennung. Die häufigste Form ist IMSI; eine weitere Form verwendet NAI für Nicht-3GPP-Zugriffe. PEI kennzeichnet das Gerät und steht üblicherweise mit IMEI oder IMEISV in Verbindung. GPSI ist eine öffentliche Teilnehmerkennung, häufig dargestellt durch MSISDN; ein anderes Format kann eine externe Kennung wie username@realm verwenden.
Temporäre Identitäten verringern die Offenlegung permanenter Informationen. 5G-GUTI ist eine von der AMF zugewiesene, global eindeutige temporäre Identität. Sie kombiniert die AMF-bezogene Kennung GUAMI mit der 5G-TMSI. 5G-S-TMSI ist Bestandteil der 5G-GUTI und wird für Funkruf verwendet. Diese Trennung ist wichtig, weil Funkruf die permanente Identität des Teilnehmers nicht offenlegen soll.
SUCI ist für die 5G-Sicherheit besonders wichtig. Dabei handelt es sich um eine verschleierte Teilnehmerkennung, die durch Verschlüsselung von SUPI-bezogenen Informationen erzeugt wird. In 4G konnte die IMSI in bestimmten Identitätsverfahren ermittelt werden, was ein Datenschutzrisiko an der Luftschnittstelle darstellte. In 5G soll bei der Registrierung nach Möglichkeit die 5G-GUTI verwendet werden. Ist keine 5G-GUTI vorhanden, wird SUCI genutzt. Eine unverschlüsselte IMSI soll nicht als Registrierungsidentität verwendet werden.
SUCI wird mit asymmetrischer Verschlüsselung erzeugt. Das UE verwendet einen in der USIM gespeicherten oder auf dem Gerät verfügbaren öffentlichen Schlüssel, um die Teilnehmeridentität zu verschleiern. Die verschleierte Kennung wird anschließend über Zugangs- und Kernnetz zum Heimatnetz übertragen, wo der private Schlüssel zur Wiederherstellung der SUPI eingesetzt wird. Der Weiterleitungsindikator hilft dem Kernnetz, die Signalisierungsnachricht an die richtigen Funktionen des Heimatnetzes weiterzuleiten, obwohl ein Teil der Identität verborgen ist.
Beschränkungen steuern Dienstbereiche
Zum Mobilitätsmanagement gehören auch Beschränkungen. Nicht jedes UE darf jede Funktechnologie, jeden Tracking-Bereich oder jeden Dienstbereich nutzen. Der 5G-Core verwendet Mobilitätsbeschränkungen, um zu steuern, wo und wie ein UE Netzdienste verwenden darf.
Eine Registrierungsbereich ist eine Gruppe von Tracking-Bereiche, die dem UE zugewiesen wird. Innerhalb dieses Bereichs ist der Dienst nicht eingeschränkt, und das UE muss seine Registrierung nicht bei jeder kleinen Bewegung aktualisieren. Eine RAT-Beschränkung stammt aus den Teilnehmerdaten und kann verhindern, dass ein UE eine bestimmte Funkzugangstechnologie wie 5G nutzt. Eine verbotener Bereich ist eine Gruppe von Bereichen, in denen der Zugriff auf 5G-Dienste für dieses UE nicht erlaubt ist.
Eine Dienstbereichsbeschränkung kann erlaubte und nicht erlaubte Bereiche festlegen. In erlaubten Bereichen kann das UE auf 5G-Dienste zugreifen. In nicht erlaubten Bereichen wird der Zugriff entsprechend der Richtlinie gesperrt oder eingeschränkt. Solche Beschränkungen eignen sich für Teilnehmersteuerung, Roaming-Kontrolle, Planung privater Netze, Dienstsegmentierung und regulatorische Anforderungen.
Registrierungsmanagement, Verbindungsmanagement, UE-Kontext, sichere Kennungen und Mobilitätsbeschränkungen bilden gemeinsam die Mobilitätsgrundlage des 5G-Core. Ziel ist nicht nur, den Standort eines Geräts zu kennen. Entscheidend ist, das Gerät bei Bedarf erreichbar zu halten, Netzressourcen im inaktiven Zustand zu schützen, die Identitätsprivatsphäre zu wahren und Zugriffsregeln anhand von Teilnehmerprofil und Standort durchzusetzen.
Häufig gestellte Fragen
Warum trennt 5G Registrierung und Verbindung?
Durch die Trennung bleibt das UE dem Kernnetz bekannt, ohne ständig aktive Signalisierungsressourcen zu belegen. Das erhöht die Effizienz, wenn viele Geräte registriert sind, den Dienst jedoch nicht durchgehend nutzen.
Warum wird 5G-S-TMSI für Funkruf verwendet?
5G-S-TMSI wird aus der temporären Identitätsstruktur abgeleitet und ermöglicht daher Funkruf, ohne permanente Teilnehmerinformationen über die Funkschnittstelle offenzulegen.
Worin unterscheidet sich SUCI von SUPI?
SUPI ist die permanente Teilnehmeridentität, während SUCI eine verschleierte Form ist, die diese permanente Identität schützt, wenn keine temporäre Identität verfügbar ist.
Warum benötigt die AMF den UE-Kontext?
Die AMF benötigt den UE-Kontext, um Sicherheit, Zugriffsart, Registrierungszustand, Standortinformationen, erlaubte Netzsegmente, Dienstbeschränkungen und mobilitätsbezogene Entscheidungen für das UE zu verwalten.
Wie beeinflussen Mobilitätsbeschränkungen den Dienstzugriff?
Mobilitätsbeschränkungen legen anhand des Registrierungsbereichs, des verbotenen Bereichs, der Dienstbereichsrichtlinie und der Teilnehmerdaten fest, ob ein UE bestimmte Bereiche oder Funktechnologien nutzen darf.
