51学通信

深度解析 3GPP TR 33.896：6 Solutions (Part 2 - 漫游无疆，隐私有界：HPLMN与VPLMN的“同意”博弈)

18分钟阅读

好的，这是系列文章的第七篇。在解决了NTN场景的挑战后，我们将把目光转回到更普遍、也更复杂的漫游场景，深入探讨Solution 3和4如何应对“跨越国境”的数据隐私难题。

深度解析 3GPP TR 33.896：6 Solutions (Part 2 - 漫游无疆，隐私有界：HPLMN与VPLMN的“同意”博弈)

本文技术原理深度参考了3GPP TR 33.896 V18.0.1 (2023-06) Release 18规范中，关于“Chapter 6.3 Solution #3”和“Chapter 6.4 Solution #4”的核心章节，旨在为读者深度剖析在5G漫游场景下，当数据需要在归属网络（HPLMN）和拜访网络（VPLMN）之间交换时，3GPP如何设计一套精巧的、以“拜访地”法规为准绳的授权与撤销机制，以确保用户隐私在跨境流动中依然受到严格保护。

引言：美美的“数据护照”——在B国的隐私挑战

在之前的旅程中，我们的主角视频博主美美，已经初步了解了当她在B国漫游时，她的数据可能会在她的归使运营商（HPLMN）和B国当地运营商（VPLMN）之间进行交换，而这背后潜藏着巨大的隐私风险。这正是KI#1所揭示的核心挑战。

现在，美美决定化身为一名“外交官”，深入研究这场围绕着她个人数据的“跨国外交”是如何进行的。她关心的是：

  • 当我的HPLMN想要从VPLMN获取我在B国的数据时，谁来扮演“签证官”的角色，依据哪国的法律来审批这张“数据签证”？
  • 反之，当VPLMN的应用需要我的数据时，这个授权流程又是怎样的？
  • 无论数据流向何方，如果我决定撤销我的“数据护照”（用户同意），这个指令如何能跨越国境，被有效地执行？

这些问题，正是Solution #3 (数据暴露给HPLMN) 和 Solution #4 (数据暴露给VPLMN) 所要给出的答案。今天，我们将深入这两个互为镜像的解决方案，理解在这场复杂的“数据外交”博弈中，3GPP是如何通过设立“中央签证官”和构建跨国通知链条，来确保美美的隐私权益的。

1. 核心原则：拜访地优先 (VPLMN-First) 与执行点 (Enforcement Point)

在深入具体方案前，我们必须先理解贯穿这两个解决方案的一个核心原则，这也是解决跨法律域问题的基石。

  • 拜访地优先原则：数据的处理行为发生在哪个国家（VPLMN），就必须首先遵守哪个国家的法律法规。
  • 执行点 (Enforcement Point)：基于上述原则，那个最终负责检查用户同意、并结合本地法规做出“允许/拒绝”决策的“最终决策者”，必须位于数据处理行为发生地的网络中。

2. Solution #3：HPLMN的“数据引渡”申请 (UE Data Exposure to HPLMN)

本方案聚焦于最常见的漫游场景：HPLMN的应用或网络功能（H-Consumer NF），想要获取美美在VPLMN产生的数据或分析结果。

2.1 核心思想：V-Central NF作为“首席签证官”

If the Consumer NF in the HPLMN requests the data collection or data analytics from the VPLMN, the V-Central NF will perform the role of enforcement point and determine whether the requested … information can be exposed to HPLMN.

深度解析：

方案的核心，是在VPLMN中设立一个逻辑上的“中央节点（V-Central NF）”，由它来扮演“首席签证官”的角色。

  • 角色定位：这个V-Central NF（可以是VPLMN的NWDAF, NEF, DCCF或一个新的NF）是VPLMN对外处理数据暴露请求的唯一入口和最终决策点。
  • 决策依据：它的决策，必须基于一个“三方会审”：
    1. 用户同意（User Consent）：美美本人是否同意。
    2. 运营商策略（Operator Policy）：VPLMN自身的商业和安全策略。
    3. 本地法规（Regulatory Policy）：VPLMN所在国（B国）的数据隐私法律。

2.2 流程详解：Figure 6.2.3-1 的“签证申请”之旅

让我们跟随HPLMN的一次数据请求，走完这趟复杂的“跨国申请”流程：

  • Step 1-2: HPLMN发起请求，VPLMN受理

    • H-Consumer NF（例如，HPLMN的智能旅行助手后台）通过H-NWDAF，向VPLMN的V-Central NF发起数据分析请求。

  • Step 3: V-Central NF的“三方会审”

    • V-Central NF作为“首席签证官”，开始审查。它会检查B国的法律是否允许此类数据出境？VPLMN的策略是否支持？最重要的是，美美是否同意？
    • 如何检查用户同意？ 规范的NOTE 2指出，如果HPLMN和VPLMN属于同一法律区域（如都在欧盟内），V-Central NF可以直接通过Nudm_SDM_Get服务向HPLMN的UDM查询。如果分属不同法律区域，这个查询过程可能需要通过两国运营商之间更复杂的、预先约定的协议来进行。但无论如何，决策的权力掌握在VPLMN手中。

  • Step 4a/4b, 5a/5b: VPLMN内部的“数据准备”

    • 如果审查通过，V-Central NF会指令VPLMN内部的数据源（如V-NWDAF或V-NF）去收集或生成所需的数据。

  • Step 6-7: “签证”获批，数据出境

    • V-Central NF将准备好的数据，通过Analytics Response返回给H-NWDAF，最终送达H-Consumer NF。

2.3 “撤销”的跨国连锁反应

Steps 8-10 are performed after the user consent is modified or revoked.

  • Step 8: 用户发起撤销：美美在HPLMN的App上点击了“撤销”。
  • Step 9a & 9b: HPLMN的“外交照会”：这个撤销指令，通过V-Central NF，被传递给了HPLMN的数据消费者（H-NWDAF → H-Consumer NF）。H-Consumer NF收到后，必须立即停止处理并删除相关数据。
  • Step 10a & 10b: VPLMN的“内部清查”：同时，V-Central NF还会向VPLMN内部的数据提供者（V-NWDAF, V-NF）发送通知，命令它们立即停止为该请求收集和生成数据。

美美的“外交豁免权”：她看到，即使身在异国，她对自己数据的控制权，通过这套以VPLMN为核心的“三方会审”和“连锁通知”机制，依然得到了尊重和执行。她的“撤销”指令，如同一份具有最高效力的“外交照会”，能够同时让HPLMN的“数据使用者”和VPLMN的“数据生产者”都令行禁止。

3. Solution #4：VPLMN的“本地服务”申请 (UE Data Exposure to VPLMN)

本方案是Solution 3的镜像，聚焦于VPLMN的本地应用（V-Consumer NF）想要获取漫游用户美美的数据。

3.1 核心思想：H-NWDAF作为“监护人”

If the Consumer NF in the VPLMN requests the analytics information from the HPLMN, the H-NWDAF will perform the role of enforcement point…

深度解析：

  • 角色反转：此时，“同意执行点（enforcement point）”的角色，转移到了HPLMN的H-NWDAF身上。
  • 角色定位：H-NWDAF在这里，扮演了美美数据的“法定监护人”。任何来自VPLMN的、针对美美的数据请求，都必须先经过“监护人”的审查。
  • 决策依据：H-NWDAF的决策，同样是基于“三方会审”：用户同意（直接从本网UDM获取）、HPLMN的策略、以及HPLMN本国的法规。

3.2 流程简介：Figure 6.4.2-1

流程与Solution 3类似，但方向相反：

  1. V-Consumer NF通过V-NWDAF发起请求。
  2. 请求最终被路由到HPLMN的H-NWDAF（“监护人”）。
  3. H-NWDAF进行“三方会审”，检查用户同意和本国法规。
  4. 如果同意，H-NWDAF指令HPLMN内部的数据源准备数据（或从VPLMN获取，这就可能又触发Solution 3的流程，形成嵌套）。
  5. 数据最终通过V-NWDAF传递给V-Consumer NF。
  6. 撤销流程同样由H-NWDAF作为发起点，向VPLMN的消费者和相关数据源发送通知。

4. 总结：一场围绕“执行点”的精妙博弈

通过对Solution 3和4的深度剖析，我们看到了一套极其精妙的、围绕着“同意执行点（Enforcement Point）”动态切换的跨域治理框架。

  • 核心原则：谁的“地盘”，谁做主。但这个“主”，指的是对数据暴露行为的最终决策权。
    • 当数据要从VPLMN流向HPLMN时，VPLMN是最终的“守门人”（V-Central NF as EP），因为它要为“数据出境”这一行为，对本地法律负责。
    • 当数据要在VPLMN内部被消费（即使数据源可能来自HPLMN）时，HPLMN是最终的“授权人”（H-NWDAF as EP），因为它要为“授权其漫游用户的数据被使用”这一行为，对用户和本国法律负责。
  • 闭环管理：通过一个双向的、连锁的撤销通知机制，确保了无论用户在哪里发起撤销，都能让数据链条上的所有相关方（消费者和生产者）及时中止操作，形成了完整的生命周期闭环。

这套方案，不再试图用一个“全球统一”的僵硬规则，去应对复杂的国际法律现实。相反，它设计了一套灵活的、基于数据流动方向和处理地点的动态授权框架，在最大程度上，将技术的实现与各国独立的司法主权，进行了优雅的解耦与协调。

FAQ 环节

Q1：为什么Solution 3中需要一个V-Central NF？直接让HPLMN和V-NWDAF对接不行吗？ A1：引入V-Central NF的概念，主要是为了统一管理和策略执行。VPLMN内部可能有多个数据源（不同的NWDAF实例、NEF、DCCF等）。如果让HPLMN去和每一个数据源单独对接，会非常混乱。由V-Central NF作为VPLMN侧的唯一对外接口，可以：

  1. 简化外部交互：HPLMN只需要与V-Central NF这一个点打交道。
  2. 集中执行策略：VPLMN可以在V-Central NF上，集中配置和执行所有与数据出境相关的本地法规和运营商策略。
  3. 屏蔽内部复杂性：VPLMN内部的数据源如何组织和获取数据，对HPLMN是透明的。

Q2：在Solution 3中，V-Central NF如何获取HPLMN侧的用户同意信息？ A2：这是该方案的一个关键，也是一个难点。规范在NOTE 2中给出了两种可能性：

  1. 同一法律域内：如果HPLMN和VPLMN都在欧盟内部，它们都遵守GDPR。在这种“互信”较高的场景下，V-Central NF可能被允许通过标准的Nudm_SDM_Get服务，直接（或通过HPLMN的某个代理NF）查询HPLMN的UDM。
  2. 不同法律域内：如果两国法律差异巨大，直接的技术接口访问可能不被允许。此时，用户同意的传递，可能需要通过更上层的、基于运营商之间漫游协议约定的方式来进行，例如通过某种批量的、经过审核的数据同步，或者在每次请求时都附带一个由HPLMN签发的、证明用户同意的“授权断言”。规范在这里留下了开放性，将具体实现交由运营商根据双边协议决定。

Q3：用户撤销同意时，通知是必达的吗？如果因为网络问题，VPLMN没有收到撤销通知怎么办？ A3：这是一个非常重要的问题。一个健壮的系统设计，必须考虑通知失败的情况。

  1. 可靠的通知机制：3GPP的NF间通信，通常都带有确认和重传机制，以保证通知的可靠送达。
  2. 定期的状态同步：作为兜底机制，即使依赖推送通知，系统也应该有一个定期的、主动的状态同步（轮询）机制。例如，V-Central NF可以每隔24小时，就主动向HPLMN查询一次相关用户的最新同意状态，以修正可能因通知丢失而导致的状态不一致。
  3. 授权的有效期：所有的数据访问授权，都应该附带一个有效期（TTL - Time To Live）。即使撤销通知完全丢失，一旦授权过期，VPLMN也必须重新发起授权检查，这可以最大限度地控制风险暴露的时间窗口。

Q4：这些方案对我们普通用户在国外使用手机上网，有什么影响吗？ A4：对于普通的上网浏览，几乎没有影响。这些方案主要针对的是那些需要网络层面进行深度数据分析和信息交换的“智能业务”，例如：

  • 运营商为了优化你的漫游体验，需要分析你在VPLMN的无线信号质量。
  • 你的“智能旅行助手”App，需要从VPLMN获取本地的交通拥堵分析数据。 对于这些场景，这些方案将确保，你的数据只会在你明确同意，并且符合当地法律的前提下，才会被收集和使用，从而为你提供更安全、更可信的漫游体验。

Q5：HPLMN和VPLMN，哪个更关心我的隐私？ A5：理论上，两者都非常关心，但关心的驱动力不同。

  • HPLMN：作为你的签约服务提供商，它与你有直接的法律和商业关系。保护你的隐私，是维护客户关系、遵守本国法律的直接责任。
  • VPLMN：它虽然不与你直接签约，但它在其本国境内处理你的数据，因此必须遵守其本国的法律。违反这些法律，会使其面临来自本国监管机构的严厉处罚。 因此，你可以认为，你的隐私受到了来自你“祖国”（HPLMN）和“所在国”（VPLMN）的双重法律保护。本章的解决方案，正是这双重保护在技术上的体现。

关系图谱