4、终端（UE）能力与身份标识：UE分类、5G-GUTI、SUCI/SUPI、IMEI、安全凭证及USIM在接入中的作用
5G核心网与终端之间的每一次信令交互，都始于对“你是谁、你能做什么、你被允许做什么”这三个问题的回答。终端（UE）的能力决定了网络为其配置的服务策略，而身份标识体系则是网络完成鉴权、加密和移动性管理的基础。本章将围绕UE分类、5G-GUTI、SUCI/SUPI、IMEI、安全凭证及USIM展开，厘清这些标识在终端注册、切换和去注册流程中的具体作用，帮助学员建立从物理卡到核心网用户数据的完整映射关系。
4.1 UE分类与能力上报机制
核心原理：5G UE的分类维度包括：制式能力（NSA/SA）、频段支持（FR1/FR2）、多天线能力（4T4R/8T8R）、调制阶数（256QAM/1024QAM）、载波聚合组合以及双连接能力（EN-DC、NR-DC）。这些能力参数在UE注册时通过RRC消息中的UE-Network-Capability IE上报给gNB，再由gNB通过NGAP消息透传给AMF。AMF将能力信息存储在UE上下文中，用于后续的QoS策略制定、切片选择和移动性决策。
判断方法：网络侧通过以下流程获取UE能力：
- UE在RRC连接建立完成后，主动上报UE-Network-Capability（包含NR、EUTRA、CA、DC等能力位）；
- gNB根据上报内容判断是否触发UE Capability Enquiry（当网络需要更详细能力时）；
- UE响应UECapabilityInformation，包含完整的频段组合、MIMO层数、调制方式等；
- gNB将能力信息映射为NGAP UE Context信息，传递给AMF。
4.2 5G-GUTI：临时身份标识的分配与更新
核心原理：5G-GUTI（Globally Unique Temporary Identifier）由AMF在注册接受消息中分配给UE，结构为GUAMI（Globally Unique AMF Identifier）+ 5G-TMSI。GUAMI包含MCC、MNC、AMF Region ID、AMF Set ID和AMF Pointer，用于定位UE所属的AMF实例。5G-TMSI为32位随机数，在AMF内唯一标识UE。5G-GUTI的作用是避免空口频繁传输永久标识（SUPI），降低IMSI捕获风险。
操作流程：
- UE首次注册时携带SUCI，AMF完成鉴权后分配5G-GUTI；
- UE后续注册、服务请求、切换时优先携带5G-GUTI；
- AMF在UE上下文变更（如跨AMF移动）时重新分配5G-GUTI；
- UE收到新的5G-GUTI后，必须在下一次信令中确认更新。
| 场景 | UE携带标识 | 网络处理 |
|---|---|---|
| 初始注册 | SUCI | UDM/AUSF完成鉴权，AMF分配5G-GUTI |
| 移动性注册 | 5G-GUTI | AMF通过GUAMI路由到原AMF获取上下文 |
| 服务请求 | 5G-GUTI | AMF验证临时标识有效性，恢复UE上下文 |
| 去注册 | 5G-GUTI | AMF释放上下文，删除临时标识 |
4.3 SUCI/SUPI：隐私保护与永久标识的分离
核心原理：SUPI（Subscription Permanent Identifier）即IMSI，是用户永久身份标识，存储在USIM和UDM中。为避免空口暴露IMSI，5G引入了SUCI（Subscription Concealed Identifier）机制：UE使用网络侧下发的公钥（来自UDM的Home Network Public Key）对SUPI进行椭圆曲线加密（ECIES），生成SUCI。SUCI包含加密后的IMSI、公钥标识、加密算法标识等字段。
判断方法：核心网收到SUCI后，通过以下步骤解析：
- AMF根据SUCI中的Routing Indicator和Protection Scheme ID判断归属网络；
- AMF将SUCI转发给AUSF/UDM；
- UDM使用私钥解密SUCI，还原SUPI；
- UDM将解密后的SUPI返回AMF，完成身份确认。
4.4 IMEI与设备管理
核心原理：IMEI（International Mobile Equipment Identity）是终端硬件唯一标识，由TAC（Type Allocation Code）+ SNR（Serial Number）+ CD（Check Digit）组成。IMEI与用户身份无关，主要用于设备追踪、防盗和网络兼容性管理。在5G中，UE在注册请求中可携带IMEI或IMEISV（含软件版本），AMF可将其上报给EIR（Equipment Identity Register）进行设备状态查询。
操作流程：
- UE在RRC连接建立后，通过NAS消息携带IMEISV；
- AMF向EIR发送ME Identity Check请求；
- EIR返回设备状态（白名单/黑名单/灰名单）；
- AMF根据策略决定是否允许UE接入。
4.5 安全凭证与USIM在接入中的作用
核心原理：USIM（Universal Subscriber Identity Module）存储了SUPI（IMSI）、Ki（128位长期密钥）、OPc（运营商密钥）以及鉴权算法（Milenage或TUAK）。这些安全凭证是5G鉴权的基础：网络侧AUSF/UDM持有与USIM对应的Ki副本，通过5G AKA（Authentication and Key Agreement）流程实现双向鉴权。
鉴权流程：
- AMF向AUSF发起鉴权请求，携带SUCI或SUPI；
- AUSF从UDM获取鉴权向量（RAND、AUTN、XRES、KSEAF）；
- AMF将RAND和AUTN发送给UE；
- USIM验证AUTN中的MAC，确认网络合法性；
- USIM计算RES并返回UE，UE将RES发送给AMF；
- AMF比较RES与XRES，一致则鉴权通过。
| 参数 | 存储位置 | 作用 |
|---|---|---|
| Ki | USIM + UDM | 长期密钥，用于生成鉴权向量 |
| OPc | USIM + UDM | 运营商密钥，参与算法运算 |
| RAND | 网络生成 | 随机数，每次鉴权不同 |
| AUTN | 网络生成 | 网络认证令牌，UE验证网络合法性 |
| KSEAF | 网络生成 | 会话密钥，用于后续加密和完整性保护 |
4.6 各标识在注册流程中的协同工作
核心原理：一次完整的5G注册流程中，UE和网络侧会依次使用SUCI、5G-GUTI、IMEI和安全凭证。初始注册时UE携带SUCI，网络完成鉴权后分配5G-GUTI；后续信令优先使用5G-GUTI，减少永久标识暴露。IMEI在注册请求中可选携带，用于设备管理。USIM中的安全凭证贯穿整个鉴权过程，确保通信安全。
协同流程：
- UE开机，读取USIM中的SUPI，生成SUCI；
- UE发送注册请求（携带SUCI + IMEISV）；
- AMF触发AUSF/UDM鉴权，UE通过USIM完成响应；
- 鉴权通过后，AMF分配5G-GUTI并下发注册接受；
- UE后续移动性事件使用5G-GUTI，无需重复暴露SUCI。