5G初始注册：NAS、安全与AMF信令

5G初始注册建立UE的注册及接入与移动性上下文。AMF确认用户身份、执行必要的安全程序，并决定允许的接入与切片。仅注册成功并不会建立互联网数据路径：PDU Session Establishment是另一个独立程序。

在跟踪中区分RRC、NGAP与NAS

以一般NR接入为例，UE会与gNB建立或使用RRC信令连接。RRC通过无线接口携带NAS Registration Request。gNB将NAS-PDU置于NGAP Initial UE Message中，连同TAI、NR-CGI等接入位置信息转发至AMF。NAS在逻辑上运行于UE与AMF之间；NGAP则运行于gNB与AMF之间。

NAS的5GS registration type在本文讨论的一般情况下，用于识别初始注册、移动性注册更新、周期性注册更新或紧急注册。必选的移动身份识别信息与按条件出现的信息具有不同用途。可用的5G-GUTI能指向先前的上下文；否则，通常会依身份选择规则使用SUCI。Requested NSSAI与UE Security Capability依适用的NAS条件携带，并非每个请求都包含的固定字段清单。

初始接入示意图显示UE至gNB的Registration Request，以及送往AMF的Initial UE Message；仪表盘数值仅供示意，并非实测结果。 — 初始接入示意图显示UE至gNB的Registration Request，以及送往AMF的Initial UE Message；

解析身份并在可用时重用先前的上下文

「初始」描述的是注册类型，不一定表示用户第一次使用5G。例如，UE在广州关机、到北京重新开机后，仍可能保留5G-GUTI。其中的GUAMI有助于识别先前的AMF。在适用情况下，新AMF会调用Namf_Communication_UEContextTransfer，取得身份与移动性上下文，包括可用的安全信息。

与旧AMF的交互是有条件的。若AMF需要无法以其他方式取得的身份，NAS Identity Request与Identity Response可以提供所请求的身份，例如SUCI。并非每段成功跟踪都必须出现上下文转移或Identity Request。在把缺少消息判定为故障前，应先检查已可用的身份与上下文。

认证与NAS安全解决不同问题

AMF会依适用情况，利用NRF发现或其他受支持的选择机制选出AUSF。在5G-AKA中，AUSF与归属网络的UDM认证功能取得所需认证数据；归属网络能将SUCI解析为SUPI。AMF在Authentication Request中发送RAND与AUTN，UE完成自身检查后在Authentication Response中返回RES*。

AMF推导HRES*并与HXRES*比较，AUSF则将RES*与XRES*核对。这是服务网络与归属网络各自进行的不同检查。本文以5G-AKA为例；EAP-AKA’也是受支持的主认证方法。有效的既有上下文及适用安全规则会影响必须执行哪些程序。

认证建立对用户凭证的信任。NAS Security Mode利用UE安全能力与网络算法选择，建立或启用适用的NAS保护。这与无线接口安全并不相同。不能仅因出现Authentication Response，就推断之后所有信令均受到保护；应确认认证结果及Security Mode结果。

包含UE、AMF、AUSF与UDM的认证及NAS安全概念图；画面中的跟踪并非逐条对应的真实消息顺序。 — 包含UE、AMF、AUSF与UDM的认证及NAS安全概念图；

签约与策略补全接入上下文

需要时，AMF向UDM登记其服务关系，并取得Access and Mobility Subscription Data。Subscribed NSSAI、UE-AMBR、RAT限制、区域限制及周期性注册参数都可能参与形成最终上下文。数据的取得、更新与重用取决于既有上下文及程序条件；并非每次注册都必须重新取得每一组数据。

也可能取得SMF Selection Subscription Data，包括适用S-NSSAI对应的DNN相关信息。取得这些数据本身不会建立SM Context或PDU Session。当接入与移动性策略需要时，AMF可以选择PCF并建立AM Policy Association。得到的策略可能影响限制及其他移动性决策。

切片授权也必须与位置、签约及服务AMF的能力一致。若初始AMF无法服务选定的切片，有条件的AMF重分配分支可转移注册。这不同于一般的旧AMF上下文取得；后者是取回既有UE上下文，而不是修正目前的服务AMF选择。

送达Registration Accept并检查完成条件

完成必要检查后，AMF向UE发送NAS Registration Accept。若RAN需要初始UE上下文建立，可由NGAP Initial Context Setup Request携带；依上下文不同，Downlink NAS Transport也是另一种传递路径。因此，Initial Context Setup并不是每个Registration Accept都无条件使用的载体。

Registration Accept可依适用规则提供新的5G-GUTI、Allowed NSSAI、TAI清单与T3512。UE在NAS完成条件要求时发送Registration Complete，例如确认已分配的5G-GUTI。在检查Registration Accept内容与相关NAS规则之前，不要将其缺失视为失败。RAN Initial Context Setup Response与NAS Registration Complete确认的是不同程序。

包含UDM、NRF、PCF与AMF的签约、策略及完成阶段概念图；画面中的仪表盘数字仅供示意，并非实测结果。 — 包含UDM、NRF、PCF与AMF的签约、策略及完成阶段概念图；

分开排查注册与数据连接问题

若Registration Request未送达AMF，应检查无线信令、gNB的AMF选择与NGAP Initial UE Message。
若身份识别或认证失败，检查移动身份识别信息、可用的旧AMF上下文、AUSF选择及认证结果。另行确认NAS Security Mode。
若安全处理成功，之后却没有Registration Accept，应检查必要的UDM操作、NSSAI授权、接入限制、有条件的策略处理，以及是否存在AMF重分配。
若注册成功但数据不通，应沿PDU Session Establishment追查SMF与UPF。N3资源及PDR、FAR、QER、URR等N4规则属于会话与用户平面处理，不能作为注册完成的证据。

常见问题

T3512控制什么？

T3512在适用时控制周期性注册更新。其数值及可能的停用状态必须依NAS规则解读；注册不代表存在统一固定的更新间隔。

一定要出现EIR检查吗？

不一定。设备身份检查取决于程序与运营商策略。仅缺少该检查不能证明存在故障。

为什么一般NR流程没有N3IWF？

N3IWF支持以非可信非3GPP方式接入5G核心网。本文的NR案例中，UE经由gNB接入，因此该功能不属于接入路径。

为什么不同跟踪中的NRF发现次数不同？

已缓存的发现结果、配置及SCP等服务路由机制，都可能改变可见的发现流量。应将选定的网络功能与服务请求相互关联，而不是要求每次操作前都出现新的NRF交互。