一种光网络中量子密钥的动态更新方法与系统与流程

本发明涉及通信技术领域，更具体地，涉及一种光网络中量子密钥的动态更新方法与系统。

背景技术：

目前，光网络目前存在极大的安全问题和隐患，而量子密钥分发(Quantum Key Distribution,QKD)系统能够为光网络提供安全加密保障。由于量子本身在理论上具有“绝对安全性”，从而量子密钥分发系统可以保证密钥传输的绝对安全。在基于量子密钥分发系统的光网络中，通过在光纤中利用波分复用技术建立数据通道、量子密钥通道、测量基通道来保证量子密钥在光网络加密过程的切实可行。数据通道用于传输数据业务，量子密钥通道用于传输对相应数据业务的量子密钥，测量基通道用于传输与量子通道同步的信息。

量子密钥虽然能够提高网络数据业务传输中的安全性，但是密钥本身仍然存在被泄露的可能。为了提升密钥的安全性，在对称密码技术标准中，提出了固定周期更新密钥的方法，即通过多次、周期性的更新密钥，对数据业务进行加密。如图1所示，每个量子密钥的传输时间设为固定的时隙t，在固定密钥更新周期的情况下，每个数据业务的量子密钥每隔周期T动态更新一次。这种基于固定周期的密钥更新方法存在较强规律性，很容易被攻击破坏，因此需要一种更灵活的密钥更新方法。

技术实现要素：

本发明提供一种克服上述问题或者至少部分地解决上述问题的基于光时分复用的量子密钥通道传输方法与系统。

根据本发明的一个方面，提供一种光网络中量子密钥的动态更新方法，包括：

S1，基于动态密钥更新机制，在一个数据业务的持续时间内以及一个密钥更新周期内产生一个新量子密钥；

S2，在光网络中获取所述新量子密钥的传输资源，传输所述新量子密钥以对所述一个数据业务进行加密。

进一步，所述一种光网络中量子密钥的动态更新方法还包括：

S3，基于时间窗口的密钥重传机制，对更新失败的新量子密钥，在所述一个数据业务的持续时间内进行重传。

具体的，S1中所述动态密钥更新机制包括：

基于量子密钥波长通道，不同的量子密钥波长通道提供不同的第一密钥更新周期，在一个量子密钥波长通道上按相同时间间隔更新量子密钥；和/或

基于随机分配策略，为不同的数据业务提供随机化的第二密钥更新周期，在一个量子密钥波长通道上按随机化的时间间隔更新所述数据业务的量子密钥。

进一步，所述S1进一步包括：

S1.1，确定所述一个数据业务的特定密钥更新周期；

S1.2，基于所述特定密钥更新周期，判断当前时间到所述一个数据业务传输完成的时间段是否足够进行密钥更新，若是则产生一个新量子密钥。

进一步，所述S2进一步包括：

S2.1，以所述一个数据业务的源节点和宿节点为端点，在光网络物理拓扑中获取一条最短路径为所述新量子密钥的密钥路由；

S2.2，在所述密钥路由的每条路径上获取量子密钥波长资源，并以所述量子密钥波长传输所述新量子密钥。

进一步，所述S3进一步包括：

S3.1，以当前时间到所述一个数据业务传输完成的时间段为重传时间窗口，在所述重传时间窗口内随机选择所述特定密钥更新周期中一个时间周期的开始时间作为重传时间；

S3.2，判断在所述重传时间到所述一个数据业务传输完成的时间段是否能完成所述新量子密钥的传输；

S3.3，若能完成所述新量子密钥的传输，则为所述新量子密钥分配路由及量子密钥波长资源并传输所述新量子密钥。

进一步，所述S1.1进一步包括：在首次量子密钥传输完成后，确定所述第一密钥更新周期或者所述第二密钥更新周期为所述特定密钥更新周期。

进一步，所述S1.2进一步包括：

S1.2.1，在当前量子密钥传输完成后，产生下一个量子密钥更新请求；

S1.2.2，基于所述更新请求，判断当前时间到所述一个数据业务传输完成的时间段是否足够进行密钥更新；

S1.2.3，若足够进行密钥更新，则按所述特定密钥更新周期产生一个新量子密钥。

进一步，获取所述量子密钥波长资源的时隙资源，在所述时隙资源上传输所述新量子密钥。

根据本发明的另一个方面，还提供一种光网络中量子密钥的动态更新系统，包括：

新密钥触发模块，用于基于动态密钥更新机制，在一个数据业务的持续时间内以及一个密钥更新周期内产生一个新量子密钥；

新密钥传输模块，用于在光网络中获取所述新量子密钥的传输资源，传输所述新量子密钥以对所述一个数据业务进行加密。

密钥重传模块，用于基于时间窗口的密钥重传机制，对更新失败的新量子密钥，在所述一个数据业务的持续时间内进行重传。

本申请提出一种光网络中量子密钥的动态更新方法与系统，根据光网络不同需求场景，提出了一种动态密钥更新机制，并具体提供了两种量子密钥更新周期配置策略；根据量子密钥更新周期的配置策略来动态触发密钥更新请求的到达，解决量子密钥固定更新周期存在容易被破坏的问题；并提供一种量子密钥更新失败后重传的机制，对量子密钥更新失败的情况进行处理，保障了量子密钥的有效传输从而保障了数据业务的加密传输。

附图说明

图1为现有技术基于固定周期的量子密钥更新机制示意图；

图2为本发明端到端量子密钥分发系统示意图；

图3为本发明一种光网络中量子密钥的动态更新方法流程图；

图4为本发明所述基于量子密钥波长通道的动态密钥更新机制示意图；

图5为本发明所述基于随机分配策略的动态密钥更新机制示意图；

图6为本发明一种光网络中量子密钥的动态更新系统示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

如图2所示的端到端量子密钥分发系统示意图，为本发明具体实施所依据的基础。

如图2所示，量子密钥分发系统包括Alice发送方和Bob接收方，所述Alice发送方包括量子发射机和发送方数据收发器；所述Bob接收方包括量子接收机和接收方数据收发器；所述量子密钥分发系统还包括连接Alice发送方和Bob接收方的光纤，并通过波分复用(WDM)技术在所述光纤上实现Alice发送方和Bob接收方共用的数据通道(TDCh)、量子密钥通道(QKCh)和测量基通道(MBCh)。

所述量子密钥分发(QKD)系统基于量子力学中的“测量塌缩理论”、“海森堡测不准原理”和“量子不可克隆定律”来保证理论上的无条件安全通信。该量子密钥分发(QKD)系统利用三种类型通道进行通信，即数据通道(TDCh)，量子密钥通道(QKCh)和测量基通道(MBCh)；所述数据通道(TDCh)用于传送数据业务信息，所述数据通道(TDCh)用于实现量子密钥的传送，所述数据通道(TDCh)用于收发端信息交互，完成测量基信息确认，相互正交的两种状态可以被认为是一个测量基。三种通道的功能和实现原理可参考BB84协议。

如图3所示，一种光网络中量子密钥的动态更新方法，包括：

S1，基于动态密钥更新机制，在一个数据业务的持续时间内以及一个密钥更新周期内产生一个新量子密钥；

S2，在光网络中获取所述新量子密钥的传输资源，传输所述新量子密钥以对所述一个数据业务进行加密。

本发明为解决量子密钥固定更新周期容易被破坏的问题，提出一种动态密钥更新机制；在一个数据业务的持续时间内，按量子密钥的更新周期定时产生新的量子密钥用于更新所述一个数据业务的量子密钥；量子密钥与所述一个数据业务始终同步传输以保障数据业务的安全性。

本发明所述一种光网络中量子密钥的动态更新方法还包括：

S3，基于时间窗口的密钥重传机制，对传输失败的新量子密钥，在所述一个数据业务的持续时间内进行重传。

在通信传输过程中，不可避免的存在传输失败的问题或者其他导致所述新量子密钥更新失败的问题，因此本发明提出一种基于时间窗口的密钥重传机制，针对更新失败的密钥进行重传。

传输失败包括两种情况：

一、密钥更新第一次失败。

二、密钥更新第一次失败后进行重传但再次失败，失败次数不限。

针对传输失败的量子密钥，不论失败多少次，只要数据业务还没有传输完，并且在数据业务剩余的持续时间内有足够的时间重传量子密钥，都按密钥重传机制进行重传。

具体的，S1中所述动态密钥更新机制包括：

基于量子密钥波长通道，不同的量子密钥波长通道提供不同的第一密钥更新周期，在一个量子密钥波长通道上按预定时间间隔更新量子密钥；和/或

基于随机分配策略，为不同的数据业务提供随机化的第二密钥更新周期，在一个量子密钥波长通道上按随机化的时间间隔更新所述数据业务的量子密钥。

如图4所示，为本发明所述基于量子密钥波长通道的动态密钥更新机制示意图。在一条量子密钥波长通道提供一种量子密钥更新周期服务，不同量子密钥波长通道提供不同的量子密钥更新周期服务。

本发明所述基于量子密钥波长通道的动态密钥更新机制中按预定时间间隔更新量子密钥包括两种情况：

一、在一个量子密钥波长通道上按固定时间间隔更新量子密钥。

二、在一个量子密钥波长通道上按一定周期的时间间隔更新量子密钥。比如为一个量子密钥波长通道设定一个周期{1，2，3，4}，按1秒、2秒、3秒和4秒的时间间隔周期性更新量子密钥；为另一个量子密钥波长通道设定一个周期{4，2，1，3}，按4秒、2秒、1秒和1秒的时间间隔周期性更新量子密钥。

如图4所示，为固定时间的更新周期，四个波长的量子密钥波长通道分别提供四种不同的量子密钥更新周期服务；带箭头的横轴表示将一条波长在时间维度上进行时隙划分，不同波长上的时隙划分的间隔不一样。相对于固定密钥更新周期的配置方法，基于量子密钥波长通道的密钥更新周期配置方法可以提供更多种类的密钥更新周期服务。

如图5所示，为本发明所述基于随机分配策略的动态密钥更新机制示意图。每个数据业务的量子密钥更新周期可以按照一定的分布随机选择，比如：随机分布、高斯分布或瑞利分布等。如图5所示，每个业务的量子密钥更新周期完全随机化，量子密钥更新周期的配置方法不容易被攻击者破解，从而避免量子密钥被破坏，可以进一步提升量子密钥的安全性。

本发明所述基于量子密钥波长通道的动态密钥更新机制和所述基于随机分配策略的动态密钥更新机制在一个光网络中可以混合使用，也可以分别单独使用。例如，在光网络中，对全网数据业务均采用基于量子密钥波长通道的动态密钥更新机制；或者均采用基于随机分配策略的动态密钥更新机制；或者对光网络中的一部分数据业务采用基于量子密钥波长通道的动态密钥更新机制，对光网络中的另一部分数据业务采用基于随机分配策略的动态密钥更新机制。

在一个可选的实施例中，在光网络的一根光纤中，使用一个波长数据通道D1传输一个数据业务A，所述数据业务A采用基于量子密钥波长通道的动态密钥更新机制来进行加密，即选择一个量子密钥通道Q1，按所述量子密钥通道Q1的密钥更新周期来更新所述数据业务A的量子密钥。在同一根光纤中，使用一个波长数据通道D2传输一个数据业务B，所述数据业务B采用基于随机分配策略的动态密钥更新机制来进行加密，即选择一个量子密钥通道Q2，为所述数据业务B产生一个随机的密钥更新周期，在所述量子密钥通道Q1上按所述随机的密钥更新周期来更新所述数据业务B的量子密钥，从而实现量子动态更新机制的混合使用。

作为一个可选的实施例，所述S1进一步包括：

S1.1，确定所述一个数据业务的特定密钥更新周期；

S1.2，基于所述特定密钥更新周期，判断当前时间到所述一个数据业务传输完成的时间段是否足够进行密钥更新，若是则产生一个新量子密钥。

本实施例具体确定所述一个数据业务是按基于量子密钥波长通道的动态密钥更新机制，还是按所述基于随机分配策略的动态密钥更新机制来更新量子密钥。

对于更新周期内的每一个密钥更新，需要先判断是否能够进行更新，如果能够进行更新才会产生新量子密钥，否则不会产生新量子密钥直接进入下一个更新周期。一个更新周期完成了量子密钥的产生和传输后，就进入下一个更新周期，按同样的方法先判断是否能够进行更新。

作为一个可选的实施例，所述S1.1进一步包括：在首次量子密钥传输完成后，确定所述第一密钥更新周期或者所述第二密钥更新周期为所述特定密钥更新周期。

作为一个可选的实施例，所述S1.2进一步包括：

S1.2.1，在当前量子密钥传输完成后，产生下一个量子密钥更新请求；

S1.2.2，基于所述更新请求，判断当前时间到所述一个数据业务传输完成的时间段是否足够进行密钥更新；

S1.2.3，若足够进行密钥更新，则按所述特定密钥更新周期产生一个新量子密钥。

在一个可选的实施例中，一个持续时间为10s的数据业务到达，采取第一密钥更新周期。假设量子密钥的更新周期为一个固定的数值2s，判断所述数据业务剩余的持续时间是否足够进行下一次密钥更新，如果是，则2s后触发下一个量子密钥更新流程，反之则量子密钥更新流程结束。假设所述数据业务的剩余持续时间为1s，不足够一个量子密钥的更新周期，则量子密钥更新流程结束；假设所述数据业务的剩余持续时间为2s，足够一个量子密钥的更新周期，则触发下一个量子密钥更新流程。

作为一个可选的实施例，所述S2进一步包括：

S2.1，以所述一个数据业务的源节点和宿节点为端点，在光网络物理拓扑中获取一条最短路径为所述新量子密钥的密钥路由；

S2.2，在所述密钥路由的每条路径上获取量子密钥波长资源，并以所述量子密钥波长传输所述新量子密钥。

本实施例完成量子密钥通道的路由计算和传输资源分配。由于新量子密钥是为所述一个数据业务服务，因此所述新量子密钥与所述一个数据业务具有相同的源节点和宿节点，以此源节点和宿节点进行寻路获得密钥路由。

在所述密钥路由的每条路径上，按照所述新量子密钥所分配的量子密钥通道获得波长资源，并在所述波长上传输所述新量子密钥。

作为一个可选的实施例，本发明还可以对所述量子密钥通道的波长资源进行时隙划分，按照所述新量子密钥所分配的时隙获取所述量子密钥波长资源的时隙资源，在所述时隙资源上传输所述新量子密钥。

作为一个可选的实施例，所述S3进一步包括：

S3.1，以当前时间到所述一个数据业务传输完成的时间段为重传时间窗口，在所述重传时间窗口内随机选择所述特定密钥更新周期中一个时间周期的开始时间作为重传时间；

S3.2，判断在所述重传时间到所述一个数据业务传输完成的时间段是否能完成所述新量子密钥的传输；

S3.3，若能完成所述新量子密钥的传输，则为所述新量子密钥分配路由及量子密钥波长资源并传输所述新量子密钥。

本实施例与所述正常的量子密钥更新流程具有类似的操作，选择重传时间，判断是否能够传输，获取传输资源进行传输。当判断在所述重传时间到所述一个数据业务传输完成的时间段不能完成所述新量子密钥的传输时，则不进行所述新量子密钥的重传。

如图6所示，本发明还提供一种光网络中量子密钥的动态更新系统，包括：

新密钥触发模块，用于基于动态密钥更新机制，在一个数据业务的持续时间内以及一个密钥更新周期内产生一个新量子密钥；

新密钥传输模块，用于在光网络中获取所述新量子密钥的传输资源，传输所述新量子密钥以对所述一个数据业务进行加密。

密钥重传模块，用于基于时间窗口的密钥重传机制，对更新失败的新量子密钥，在所述一个数据业务的持续时间内进行重传。

本申请提出一种光网络中量子密钥的动态更新方法与系统，核心在于对量子密钥的更新周期进行动态设置，使攻击者不能轻易破坏量子密钥的分发。首先根据不同网络业务情况，确定相应的动态密钥更新机制；然后判断数据业务持续时间是否需要进行下一个密钥的更新，以此来触发下一个更新密钥请求；对每个到达的更新密钥请求进行算路和资源分配。最后，针对密钥更新失败的情况，提出了基于时间窗口的量子密钥失败重传机制。

本发明所述动态密钥更新机制有效解决了密钥固定更新周期存在容易被破坏的问题，避免了密钥分发后的密钥泄露的问题，尤其克服了密钥在传输过程中被破坏的问题，具有良好的有益效果。

最后，本申请的方法仅为较佳的实施方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。