WCDMA终端控制干扰技术研究与实现

熊志广，张学飞

(1.中国电子科技集团公司第五十四研究所，河北 石家庄 050081；2.中国人民解放军96651部队，北京 100085)

WCDMA终端控制干扰技术研究与实现

熊志广1，张学飞2

(1.中国电子科技集团公司第五十四研究所，河北 石家庄 050081；2.中国人民解放军96651部队，北京 100085)

针对WCDMA探测干扰系统对终端控制干扰技术的迫切需求，提出了WCDMA终端控制与干扰的总体方案。设计了WCDMA终端的小区重选算法和引导控制算法，构造了控制干扰信号，研制了WCDMA终端控制干扰原理样机，实现了对WCDMA终端用户身份标识的获取及有效管控。利用测试手机和陆地WCDMA基站对算法进行了试验验证，证明了该控制干扰算法的可行性和有效性。

WCDMA；控制干扰；位置更新

0 引言

WCDMA技术以其高容量、高数据传输速率、高频谱效率、标准化以及抗干扰等明显优势，成为了目前世界范围内应用最广泛的陆地移动通信技术，也在卫星移动通信等通信系统中使用[1]。

虽然WCDMA体制通信系统的安全机制较GSM网络有了较大提升，但是在特定区域中WCDMA终端的监测控制仍有迫切需求[2]。WCDMA网络采用了鉴权机制、完整性保护机制和加密机制，这使它无法像GSM网络一样，依靠假冒基站向终端发送假的信令和通过篡改终端与基站之间的信令来欺骗通信双方，更不可能通过实时截获并破解空中接口上传输的无线信号来获取用户的业务内容[3]。

本文提出的WCDMA 终端控制干扰技术利用WCDMA安全机制的漏洞实现对特定区域内用户通信终端的有效管控，使终端主动上报身份标识信息，并持续发送信号，以达到干扰及定位的目的，同时确保管控范围内的终端用户无法通信。

1 WCDMA终端的控制干扰策略

WCDMA终端控制干扰技术通过构造伪WCDMA网络，诱导移动终端发生位置更新。伪网络发射导频信道、同步信道、广播信道及公共控制信道信号。其中，导频信道的信号强度高于正常基站导频信道强度，位置区标识LAC(Link Access Control) 的设置与当前WCDMA基站不同。伪网络信号覆盖范围内的移动终端将认定其跨越了位置区边缘，从而启动位置更新程序，请求接入该伪网络。

在无线资源连接状态下，公共控制信道(Common Control Channel，CCCH) 承载了RRC(Radio Resource Control)的连接请求消息(RRC connection request)[4]。伪网络有效接收且解析出RRC 连接请求消息，则可捕获移动终端的身份信息[5]。

WCDMA终端控制干扰流程主要包括2个阶段：网络参数侦察阶段和控制干扰阶段。

首先，侦察目标区域内WCDMA网络协议参数，包括工作频率、位置区编码、主小区以及邻小区列表等参数，依据侦察到的网络参数建立伪WCDMA网络，然后进入下一阶段。使空闲状态下的用户终端进行小区重选，脱离原服务网络，驻留到伪网络中。

目标区域内的移动终端接入伪网络后，利用WCDMA协议安全漏洞，对移动终端用户的国际移动用户识别号(IMSI)实施探测，捕获用户身份标识信息[6]。获取用户身份标识信息后，伪网络继续与目标移动终端进行信令交互，诱使移动终端持续发出接入请求信号，利用该持续信号对终端进行定位。WCDMA终端控制干扰流程如图1所示。

图1 WCDMA终端控制干扰流程

2 控制干扰算法

2.1 小区重选算法

在空闲模式下，当终端成功驻留到某一个小区后，会根据该小区系统消息的指示，进行无线信号测量[7]。测量的目的是监测当前小区和邻区的信号质量，以选择更好的小区提供服务[8]。

小区重选遵循两个准则，即所谓的S准则与R准则[9]。当服务小区的测量值满足S准则后，则终端会启动同频、异频和异系统测量。S准则的具体规则如下：

终端UE(User Equipment)执行小区重选测量的判断准则：

Squal=Qqualmeas-Qqualmin，

Srelev=Qrxlevmeas-Qrxlevmin-Pcompensation，

式中，Qqualmeas为UE测量的服务小区的Ec/N0，Qqualmin为接入小区所需的最小信号质量，Qrxlevmeas为UE测量的服务小区的RSCP，Qrxlevmin为接入小区所需的最小电平标准。

Pcompensation=MAX(UE_TXPW_MAX_RACH- P_MAX,0)，式中，UE_TXPW_MAX_RACH为PRACH信道随机接入过程中的最大发射功率，P_MAX为UE最大输出功率。

当满足以下条件时，UE开始执行同频、异频和异系统测量：

① 若Sx>Sintrasearch，UE不执行同频小区测量；若Sx≤Sintrasearch，UE执行同频小区测量；若Sintrasearch未在服务小区中发送，UE执行同频小区测量。

② 若Sx>Sintersearch，UE不执行异频小区测量；若Sx≤Sintersearch，UE执行异频小区测量；若Sintersearch未在服务小区中发送，UE进行频间测量。

③ 若Sx>SsearchRATm，UE不执行异系统的小区测量；若Sx≤SsearchRATm，UE执行异系统的小区测量；若SsearchRATm未在服务小区中发送，UE执行异系统的小区测量。

其中，Sx为Squal或Srelev。对频分网络时Sx=Squal；对时分网络时Sx=Srelev。

触发测量后，UE会从SIB11中读取邻区信息，并通过S准则筛选出6个候选小区，然后使用R准则对其进行排序。R准则具体计算公式如下：

Rs=Qmeas_s +Qhysts，

Rn=Qmeas_n -Qoffsets_N，

式中，Qmeas_s为服务小区接收信号测量值，Qmeas_n为邻小区接收信号测量值，Qhysts为小区重选迟滞，Qoffsets_n为2个小区接收信号质量要求的差值。

在进行R准则时，信号的测量可以为RSCP或者Ec/N0，由系统消息指示。

如果在Treselection时间内，Rn一直大于Rs，终端将重新选择到邻小区上。

2.2 引导控制算法

由终端小区重选算法可知，终端重选到某个特定的小区，只要终端所在的原服务小区的重选参数设置的不是极限值，同时伪网络小区发送信号质量较好，就能够诱使终端进行小区重选。当终端重选到伪小区后，会发起接入流程，伪小区利用接入流程对手机进行身份探测，并诱使目标终端持续发送信号。

伪网络小区的系统消息设计是引导控制算法的关键之一。伪网络小区扰码号要在终端当前服务小区的邻区列表中，使得终端进行小区重选时可以直接选择伪网络小区进行驻留。当终端重选到伪小区之后，需要达到2个效果：一是终端不会重选到其他小区；二是终端持续发送信号。

确保终端驻留在伪小区有2种方法：一是增加伪小区的信号功率；二是修改伪小区的系统消息，提高小区重选的门限，迫使终端不能进行小区重选。

使终端持续发送信号可以从接入层(AS)和非接入层(NAS)2个层次实现。

在接入层，终端选择伪小区之后，会发起RRC建立请求，首先会发送接入前导信号(PRACH Preamble)。在没有收到小区发送的AICH响应之前，终端会一直周期性地重复发送PRACH Preamble。每一次请求中Preamble最大发送次数、Preamble功率爬坡步长和Preamble请求的最大周期数等都可以通过修改小区系统消息来进行设置，从而控制终端发送PRACH Preamble的频率。

非接入层可以将伪小区的LAC(Location Area Code)设置成与服务小区不同。终端选择伪小区后，由于终端里存储的本地小区的LAC与伪小区的不同，会触发终端发起位置更新请求，进而触发接入层发起RRC连接。在多次接入伪小区无果后，终端会进行小区重选，但由于伪小区信号质量好且切换门限高，致使终端又一次选择伪小区，重新发起NAS层的请求，周而复始，终端处于持续发送信号过程。利用终端持续发送的信号，可以对终端进行定位。

3 WCDMA控制干扰信号设计

3.1 控制干扰信号信道设计

构造控制干扰信号是整个控制干扰系统重要的步骤。为了保证伪WCDMA网络的控制干扰信号被移动终端识别，控制干扰信号的系统消息块需要设计成与服务小区相似，扰码号设计为终端服务小区相邻小区的扰码号[10]。

控制干扰信号涉及4个信道的信号，即公共导频信道、同步信道、广播信道和公共控制物理信道。只需构造这4个信道的信号，就可以完成对终端的控制干扰。另外，控制干扰信号要构造完整的系统广播消息。若控制干扰信号发出的系统消息不符合3GPP标准，当终端被强导频信号诱导到伪小区后，将无法解析系统广播消息，从而不能进行小区重选[11]。

3.2 系统广播消息设计

根据对地面WCDMA网络系统广播消息的解析，LAC信息位于SIB1系统信息块中[12]。控制干扰信号中构造的SIB1系统信息块要与原服务小区网络广播消息中的LAC值不同，终端才易于发起小区重选。

基站周期性地测量邻小区的基站信号质量并对其进行排序，同时把排序列表和对应的邻小区扰码号在SIB11中进行广播，而移动终端将在SIB11中接收到排序列表，并把排序第一的信号对应的小区作为当前服务小区[13]。因此，当设计的控制干扰系统可诱导移动终端识别并驻留伪小区时，则将控制干扰信号的扰码号设置为原服务小区SIB11系统信息块中信号质量排序第一的扰码号。

4 硬件实现

图2为WCDMA终端控制干扰样机实现原理图。

图2 WCDMA终端控制干扰样机原理图

WCDMA终端控制干扰样机主要分为天线、双工器、变频设备、侦察解调单元、协议分析单元、伪网络建立单元、通信单元和显控单元。

当样机工作于网络参数侦察阶段时，天线和低噪声放大器完成WCDMA下行信号的接收。侦察解调单元完成WCDMA下行信号的Rake接收、解扰和解扩，将处理结果传输到协议分析单元。协议分析单元完成对WCDMA信号的协议分析功能，得到WCDMA小区的网络参数，并将得到的网络参数传输到显控单元。显控单元将网络参数传输到伪网络建立单元，伪网络建立单元完成伪网络小区建立和WCDMA上行信号的处理，进而完成对WCDMA通信系统终端的控制干扰。

5 试验验证

5.1 测试方法

对目标终端进行控制干扰示意图如图3所示。

图3 WCDMA终端控制干扰试验示意图

用测试手机作为目标终端，利用WCDMA终端控制干扰设备对地面WCDMA基站和测试手机进行试验，利用TEMS路测软件记录测试手机的信令流程。

5.2 测试结果分析

试验所在地WCDMA基站小区频点为10 713，扰码号为341。WCDMA控制干扰设备伪装成同频的伪小区，伪小区的扰码号为250。伪小区诱使测试手机进行了小区重选，捕获了测试手机的身份标识IMSI和IMEI，能够使测试手机持续发送信号。利用专用软件检测测试手机的IMSI和IMEI与样机捕获的信息一致，可有效验证本文终端控制干扰技术的正确性。

利用WCDMA控制干扰设备对15部手机进行控制干扰测试，记录30 s内设备捕获的手机数量，结果如表1所示。共进行5次测试，捕获手机总数量为68，捕获概率为90.7%，具备工程实用性。

表1 终端捕获测试表

6 结束语

本文在分析WCDMA网络安全机制基础上，提出了WCDMA终端控制干扰算法，设计了WCDMA 诱导控制信号，研制了控制干扰原理样机，并进行了试验验证。能够利用构造的WCDMA 伪网络，诱导移动终端进行小区重选，捕获移动终端的身份信息，并使移动终端持续发送信号，进而可以实现对终端的精确定位。WCDMA 终端控制干扰算法的研究和实现，对于特定场合下移动终端的监控管理具有重要的实际应用价值,该控制干扰方法在公共安全等领域也具有广泛的应用前景。

[1] 庄云胜，王力男，孙 凯.WCDMA体制卫星通信系统抗衰落技术研究 [J].无线电工程，2013(3)：27-29.

[2] 3G TS 25.331：Technical Specification Group Radio Access Network;Radio Resource Control(RRC)(FDD) [S].

[3] 蔺 萌，陈乐然，刘正军.WCDMA系统安全机制研究 [J].通信技术，2007(4)：51-53.

[4] 章 力，徐 颖.3G(WCDMA)架构和网络承载技术 [J].辽宁工程技术大学学报，2006，25(3)：415-417.

[5] 王增鑫，邱 玲.一种同频异构网中上行干扰集中调度方案 [J].无线电工程，2015,45(11)：1-3.

[6] 韩 星，张华冲，熊志广，等.全数字高速OQPSK信号解调技术分析 [J].无线电工程，2011，41(12)：18-21.

[7] 李世鸿，李方伟.3G移动通信中的安全改进 [J].重庆邮电大学学报，2002，14(4)：24-27.

[8] 邓 巍.WCDMA移动网新建基站网络质量评估研究 [J].移动通信，2013(13)：11-15.

[9] 3G TS 25.212：Multiplexing and Channel Coding(FDD) [S].[10] 3G TS 25.213：Spreading and Modulation(FDD) [S].

[11] 朱 静，钱建波，于正永.移动通信基站安防系统的研发 [J].无线电工程，2013(1)：50-52.

[12] 顾明超，李 倩.基于FPGA实现的WCDMA上行Rake接收机 [J].无线电通信技术，2013，39(5)：72-75.

[13] 赵 俊，翁明俊.WCDMA虚拟多载波的实现研究[J].移动通信，2015，39(9)：69-72.

Research and Implementation of WCDMA Terminal Controlled Jamming Technique

XIONG Zhi-guang1,ZHANG Xue-fei2

(1.The 54th Research Institute of CETC,Shijiazhuang Hebei 050081,China； 2.Unit 96651,PLA,Beijing 100085,China)

To meet the significant requirement of user controlled jamming technology by the WCDMA detection and jamming system,a controlled jamming algorithm for the WCDMA terminal is designed.A cell reselection algorithm and a novel identification guidance algorithm are designed,and the jamming signal is constructed.The terminal’s identification is captured with the help of the constructed signal from the pseudo base station.Moreover,by using the terminal for the testing,the feasibility and effectiveness of the controlled jamming algorithm are verified.

WCDMA;controlled jam;location update

10.3969/j.issn.1003-3114.2017.03.22

熊志广，张学飞. WCDMA终端控制干扰技术研究与实现[J].无线电通信技术,2017,43(3): 91-94.

[XIONG Zhiguang, ZHANG Xuefei. Research and Implementation of WCDMA Terminal Controlled Jamming Technique. [J].Radio Communications Technology, 2017,43(3):91-94.]

2016-11-22

国家部委基金资助项目

熊志广(1984—)，男，工程师,主要研究方向：通信协议分析、通信对抗、信号处理；张学飞(1985—)，男，工程师，主要研究方向：通信系统、装备管理。

TN911

A

1003-3114(2017)03-91-4