一种基于量子密钥分发技术的量子保密通信网络系统的制作方法

本实用新型涉及量子通信网络领域，具体涉及一种基于量子密钥分发技术的量子保密通信网络系统。

背景技术：

1.量子密钥分发

量子密钥分发利用了量子的不可克隆原理和量子不可分割的基本特性，采用单光子进行随机数的传递。按照BB84协议，每一个光子随机选择调制的基矢，接收端也采用随机的基矢进行监测。当发送与接收端选择的基矢一致时，接收到的信号被认为是有效的而被记录，如果选择的基矢不一致，则数据被丢弃。这样就可以保证发送与接收方获得了一致的随机数序列(即量子密钥)。量子密钥分发系统需要量子信道和经典信道两个独立信道，地面通信网以光纤承载。

2.量子保密通信

量子通信广义的讲就是将量子态从一个地方传输到另一个地方，包含量子隐形传态、量子纠缠交换及量子密钥分发。目前商用的量子保密通信主要指基于量子密钥分发(Quantum Key Distribution，QKD)的保密通信。

已经发展成熟的点对点量子密钥分发系统无法满足实际应用，并且用户需求正在逐步扩大。为了满足多用户安全通信的需求，与之配套的量子密钥分发网络正逐渐朝着多用户、长距离和网络化的方向发展。从光纤量子密钥分发的发展趋势来看，基于光纤的城际量子通信技术正在走向实用化和产业化发展。

3.现有IP化组网方法

在现有的组网方法中，各节点之间经典信道的通信使用TCP/IP网络技术，并设立全网集中的路由计算节点，该节点根据收集的全网信息进行路由表计算，再下发给全网节点。

当需要实现网络两节点之间的数据传输时，经调度中心统一调度，在两点之间通过使用量子密钥保护的逐跳中继方式形成通信密钥，并将密钥作为结果输出给用户系统或设备。

现有组网方法中采用集中化的路由计算，一旦该系统发生异常或其与网络节点通信存在异常，将影响全网或部分网络节点的运行，即存在单点故障问题。因此，现有组网方法存在集中化路由带来的单点故障问题。

现有组网方法将全网节点使用TCP/IP技术进行连通，虽然简化了经典信道中数据传输方式，但给全网带来网络攻击的威胁。因此，全网使用TCP/IP 技术连通面临较多网络攻击的问题。

技术实现要素：

为了克服上述问题，本实用新型提供一种基于量子密钥分发的量子保密通信网络系统及其应用。所述量子保密通信网络系统物理上包括接入节点、中继节点和交换节点三类网络节点，各个网络节点之间都分别使用经典信道及量子信道进行连接，其中量子密钥分发的经典信道采用无IP方式进行通信。IP是指网络之间互连的协议；网络之间互连的协议也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。IP 地址具有唯一性。由于本实用新型中量子密钥分发的经典信道采用无IP方式进行通信，使得本实用新型的量子保密通信网络系统克服了使用TCP/IP技术连通所面临网络攻击的问题。

在一种实施方式中，本实用新型提供一种基于量子密钥分发技术的量子保密通信网络系统，其特征在于，所述量子保密通信网络系统物理上包括接入节点、交换节点和中继节点，各个节点之间分别都使用经典信道及量子信道相连，其中量子密钥分发的经典信道采用无IP方式进行通信；所述网络系统逻辑上自下而上分为量子密钥分发层、中继链路层、网络传输层、服务提供层、用户应用层。网络系统逻辑分层就是将网络节点所要完成的数据的发送或转发、打包或拆包，控制信息的加载或拆出等工作，分别由不同的硬件和软件模块去完成。这样可以将往来通信和网络互连这一复杂的问题变得较为简单。

在一种实施方式中，所述接入节点用于实现用户端装置的网络接入，完成业务数据的上网和下网，并通过限制通信目的端的方式控制业务数据上网的权限；所述交换节点用于与同一逻辑链路对端的相连节点间实现基于量子密钥保护的共享通信密钥，并通过相连节点间的路由信息交互建立起路由表，实现业务数据传输的路径动态选择；和所述中继节点用于与相邻节点实现量子密钥的生成，实现逐跳方式的数据中继传递。

在一种实施方式中，所述接入节点、交换节点、中继节点分别通过各自内部的QKD模块或设备实现与之相邻节点间量子密钥的生成。

在一种实施方式中，所述接入节点和交换节点各自通过随机数生成器产生通信密钥，并基于量子密钥进行安全保护通过中继节点逐跳方式传递给相同逻辑链路对端的交换节点或接入节点，实现两个相连节点之间共享通信密钥。

在一种实施方式中，相连的接入节点或交换节点间定期或由指令触发进行路由信息交换，并构建节点的路由表。

在一种实施方式中，所述量子保密通信网络系统还包括用户端装置，所述用户端装置通过TCP/IP网络与所述接入节点相连。

在一种实施方式中，所述用户端装置包括离线导入导出专用终端、用户密钥分发中心和密码设备。

在一种实施方式中，所述量子保密通信网络系统还包括管理中心，所述管理中心与交换节点相连，其网络接入方式与接入节点相同，用于搜集网络状态信息、下发管理数据和统一认证。

在一种实施方式中，所述管理中心根据功能不同可分为设备管理中心、密钥管理中心、策略管理中心和运维管理中心。

在一种实施方式中，本实用新型提供上述量子保密通信网络系统的应用，所述应用包括以下步骤：a.网络生产流程，所述网络生产流程中通过接入节点 /交换节点之间协商的通信密钥，依赖于底层QKD设备产生的量子密钥进行安全传输；和b.网络传输流程，所述网络传输流程中接入节点/交换节点实现通信密钥共享，网络具备业务数据传输能力。

在一种实施方式中，所述通信密钥生成包括以下步骤：

a1.接入节点、交换节点和中继节点分别通过各自内部的QKD模块或设备实现与之相邻节点间量子密钥的生成；

a2.接入节点/交换节点通过随机数生成器产生通信密钥，并以逐跳方式传递给同一逻辑链路对端的相连节点，实现两个相连节点之间通信密钥的共享；和

a3.同一逻辑链路两端的相连节点定期交换路由信息，并构建各自的节点路由表。

在一种实施方式中，所述网络传输流程包括以下步骤：

b1.用户端系统/设备通过TCP/IP网络提交业务数据至接入节点，并指明传输的目的端，形成待传数据包；

b2.接入节点使用通信密钥对待传数据包进行完整性和机密性保护，并将密文发送给相邻的交换节点；

b3.交换节点使用通信密钥进行解密，并检查完整性，根据完整性结果向上一节点反馈成功或失败消息；

b4.交换节点根据目的端和当前节点路由表选择最优路径，并使用相对应的通信密钥进行完整性和机密性保护；该密文数据经中继转发逐跳传输至路径的下一交换节点，并重复步骤3直到传递给接入节点；和

b5.当密文数据传递到接入节点时，接入节点对密文进行解密和完整性检查，根据完整性结果向上一交换节点反馈成功或失败消息；接入节点将业务数据发送给与其相连的用户端装置，完成传输。

在一种实施方式中，所述应用还包括网络管理流程，其采用带内管理模式，逻辑上分为三级，第一级是管理中心，制定全网策略，汇总全网状态；第二级是交换节点，对代管的节点进行策略下发和状态采集；和第三级是中继节点，接收策略和状态上报。

在本实用新型中，各个相邻的网络节点之间运行量子密钥分发协议，生成相邻节点间共享的量子密钥；所述逻辑链路两端的交换节点、接入节点之间通过逻辑链路上已生成的量子密钥保护实现相连节点间通信密钥安全共享；接入节点将业务数据以通信密钥进行加密处理，并通过逻辑链路构成的通信网络进行路由传输，在传输路径上的交换节点使用上一跳逻辑链路通信密钥对业务数据进行解密，再使用下一跳逻辑链路通信密钥对业务数据进行加密；所述管理中心，其网络接入方式与接入节点相同，用于搜集网络状态、下发管理数据和统一认证。

本实用新型基于量子密钥分发技术的量子保密通信网络系统，克服了现有网络采用集中路由服务器导致的单点故障问题。本实用新型对量子密钥分发的经典信道采用无IP方式连通，有效避免了针对TCP/IP技术的网络攻击，并将基于量子密钥的通信保护作为基础功能，进一步提升经典信道的传输安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来说，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本实用新型基于量子密钥分发的量子保密通信网络系统的拓扑示意图；

图2为本实用新型基于量子密钥分发的量子保密通信网络系统的分层示意图；

图3为本实用新型基于量子密钥分发的量子保密通信网络系统的通信密钥生产流程；

图4为本实用新型基于量子密钥分发的量子保密通信网络业务数据传输过程示意图；

图5为本实用新型基于量子密钥分发的量子保密通信网络管理模型示意图；和

图6为本实用新型基于量子密钥分发的量子保密通信网络状态数据采集流程示意图。

具体实施方式

为了使本领域技术领域人员更好地理解本申请中的技术方案，下面将结合实施例对本实用新型作进一步说明，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都应当属于本申请保护的范围。下面结合附图及实施例对本实用新型作进一步描述。

实施例一：一种基于量子密钥分发的量子保密通信网络系统

如图1所示，在一种实施方式中，本实用新型的基于量子密钥分发技术的量子保密通信网络系统物理上包括接入节点、交换节点、接入节点和中继节点三类网络节点以及管理中心，各个节点之间分别使用经典信道及量子信道相连，其中量子密钥分发的经典信道采用无IP方式进行通信。

量子信道是指传输量子信号的物理通道；量子信号是指以微观量子态承载信息的物理信号，如：对偏振、时间、轨道角动量等进行调制后的单光子。

经典信道是传输经典信号的物理信道；经典信号是指现代通信技术中以宏观物理量荷载信息的信号，如高电平、低电平、亮光脉冲、暗光脉冲，不同偏振状态的明亮光脉冲、不同相位差的明亮光脉冲。

在量子密钥分发协议中，量子信道用于传输量子信号，而经典信道用于传输协商数据，如接收端的测量基选择等信息。除此之外，经典信道还用于节点间组网协议、管理数据、业务数据的传输。

接入节点：实现用户端装置的网络接入，完成业务数据的上网和下网，并通过限制通信目的端的方式控制业务数据上网的权限。

交换节点：与相邻的交换节点/接入节点实现共享的通信密钥，通过相邻接入节点/交换节点间的信息交互建立路由表，并实现业务数据传输的路径选择。

中继节点：与相邻节点实现量子密钥的生成，实现逐跳方式的数据中继传递。

在一些实施方式中，本实用新型的量子保密通信网络系统还包括用户端装置，该用户端装置可以包括离线导入导出专用终端、用户密钥分发中心和密码设备。

离线导入导出专用终端是指专门用于与量子密钥服务系统进行交互的终端，并允许通过离线方式(如密码棒)接收用户密钥导入。

用户密钥分发中心是指用户自建或已建的密钥分发中心，提供用户密钥的生成、导入、导出、查询等功能。

密码设备是指具有密码算法实现、需使用用户密钥的专用安全设备，如 VPN网关等。

对于量子保密通信网而言，用户密钥被视为业务数据进行网络化传输。

在一些实施方式中，本实用新型的量子保密通信网络系统还包括管理中心。

管理中心实现对量子保密通信网络的设备、密钥、策略、运维、运营等方面的管理，是逻辑概念。具体实现上，可以根据管理对象的不同进行拆分。例如，设备管理中心实现对组网设备的准入管理；密钥管理中心实现对网络运行中密码算法所需的密钥管理；策略管理中心实现对传统网络设备、安全设备、量子设备等运行方式的管理；运维管理中心实现对全网设备运行状态的管理；运营管理中心根据业务传输进行计费、服务质量等统计。

在一些实施方式中，管理中心与交换节点相连。在一些实施方式中，用户端装置(离线导入导出专用终端、用户密钥分发中心和密码设备等)通过TCP/IP 网络与接入节点相连。

在一些实施方式中，本实用新型的接入节点、交换节点和中继节点具有如图2所示的网络分层，自下而上划分为量子密钥分发层、中继链路层、网络传输层、服务提供层和用户应用层，各层功能分别描述如下。

量子密钥分发层：实现量子信道和经典信道的信号定义、信号同步，实现邻近节点间量子密钥的产生和控制。

中继链路层：通过基于量子密钥保护的中继方式，实现接入节点/交换节点之间通信密钥安全共享。

网络传输层：实现接入节点/交换节点之间路径选择、路由信息表生成及过程中所需的相邻节点信息交换，构建由逻辑链路为组成单元的传输网络；实现网络中两个接入节点/交换节点之间数据的安全传输链路。

服务提供层：向用户提供网络化安全传输服务，对用户业务数据的网络传输进行封装及传输权限进行控制，实现用户接入点之间的安全传输链路。

用户应用层：用户端装置对传输净载荷的应用封装，实现用户端装置间的安全传输链路。

实施例二：本实用新型的基于量子密钥分发的量子保密通信网络系统工作流程

一、网络生产流程

如图3所示，接入节点/交换节点之间协商的通信密钥，依赖于底层QKD 设备产生的量子密钥进行安全传输。底层QKD设备指的是指量子密钥分发设备或模块，分发射端和接收端，两者之间用量子信道和经典信道相连，并运行量子密钥分发协议，如BB84协议。

通信密钥的生成过程描述如下：

1)接入节点、交换节点、中继节点分别通过各自内部的QKD模块或设备实现与之相邻节点间量子密钥的生成，即q1,…,q15；

2)接入节点/交换节点通过随机数生成器产生通信密钥，并以逐跳方式传递给同一逻辑链路对端的相连节点，实现两个相连节点之间通信密钥的共享，即K1,…,K8；接入节点和交换节点中产生通信密钥的随机数生成器可以复用QKD 模块中的随机数生成器也可以使用独立的随机数生成器；

3)同一逻辑链路两端的相连节点定期交换路由信息，并构建各自的节点路由表。

二、网络传输流程

当接入节点/交换节点实现通信密钥共享，网络具备业务数据传输能力，其原理如图4所示。业务数据传输过程如下所述。

1.用户端系统/设备通过TCP/IP网络提交业务数据M至接入节点，并指明传输的目的端，形成待传数据包M|Addr；

2.接入节点使用通信密钥K1对待传数据包M|Addr进行完整性和机密性保护，并将密文发送给相邻的交换节点；

3.交换节点使用通信密钥K1进行解密，并检查完整性，根据完整性结果向上一节点反馈成功或失败消息；

4.交换节点根据目的端和当前节点路由表选择最优路径，并使用相对应的通信密钥K2进行完整性和机密性保护；该密文数据经中继转发逐跳传输至路径的下一交换节点，并重复步骤3直到传递给接入节点；

5.当密文数据传递到接入节点时，接入节点对密文进行解密和完整性检查，根据完整性结果向上一交换节点反馈成功或失败消息；接入节点将业务数据发送给与其相连的用户端装置，完成传输。

三、网络管理流程

1.网络管理模型

如图5所示，网络管理采用带内管理模式，逻辑上分为三级：第一级是管理中心(如设备管理中心)，制定全网策略，汇总全网状态；第二级是交换节点，对代管的节点进行策略下发和状态采集；第三级是中继节点，接收策略和状态上报。

2.状态数据采集

网络状态采集原理如图6所示。网络状态采集流程描述如下：

1)中继节点收集其自身的状态信息，并通过经典信道报送给上级的交换节点；

2)交换节点汇聚所管辖的中继节点状态信息，附上自身的状态信息，并以逐跳方式传输给管理中心。

该过程所使用的经典信道可以采用量子密钥或通信密钥并结合密码算法进行安全保护。

3.管理数据下发

管理数据包含策略数据等，下发流程与采集流程相反。

本领域的技术人员容易理解的是，在不冲突的前提下，上述各有利方式可以自由地组合、叠加。以上仅为本实用新型的较佳实施例而已，并不用以限制本实用新型，凡在本实用新型的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本实用新型的保护范围之内。以上仅是本实用新型的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本实用新型技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本实用新型的保护范围。