量子保密通信网络系统的中继装置以及包括该装置的通信网络系统的制作方法

本实用新型属于量子通信技术领域，具体涉及量子保密通信网络系统的中继装置以及包括该装置的量子保密通信网络系统。

背景技术：

1.量子密钥分发

量子密钥分发利用了量子的不可克隆原理和量子不可分割的基本特性，采用单光子进行随机数的传递。按照BB84协议，每一个光子随机选择调制的基矢，接收端也采用随机的基矢进行监测。当发送与接收端选择的基矢一致时，接受到的信号被认为是有效的而被记录，如果选择的基矢不一致，则数据被丢弃。这样就可以保证发送与接收方获得了一致的随机数序列(即量子密钥)。量子密钥分发系统需要量子信道和经典信道两个独立信道，地面通信网以光纤承载。

2.量子保密通信

量子通信广义的讲就是将量子态从一个地方传输到另一个地方，包含量子隐形传态、量子纠缠交换及量子密钥分发。目前商用的量子保密通信主要指基于量子密钥分发(Quantum Key Distribution，QKD)的保密通信。

已经发展成熟的点对点量子密钥分发系统无法满足实际应用，并且用户需求正在逐步扩大。为了满足多用户安全通信的需求，与之配套的量子密钥分发网络正逐渐朝着多用户、长距离和网络化的方向发展。从光纤量子密钥分发的发展趋势来看，基于光纤的城际量子通信技术正在走向实用化和产业化发展。

3.传输中继

由于衰减效应，点对点光纤量子密钥分发系统难以实现远距离密钥分发。为了组建量子保密通信的骨干网及城域网，需要设立多个中继节点来实现远距离的量子保密通信。相邻节点间使用QKD产生的量子密钥对传输内容进行保护，中继节点通过解密、加密等处理实现前后节点之间的中继转发。

技术实现要素：

现有中继节点方案中存在以下问题：

1.量子密钥明态输出问题

现行方案中，中继节点内部组成系统通过IP网络相连，QKD-A(即QKD发射端)和QKD-B(即QKD接收端)分别与对端交互产生量子密钥后，均以明文方式输出给中继数据处理系统。在此过程中，存在量子密钥泄露风险。

2.节点间强耦合问题

现行方案中，中继数据处理系统往往将两端的量子密钥逐位异或后进行存储，以提高安全性。但当某个中继节点发生故障，其中的量子密钥全部丢失，由此导致的后果是整条线路上所有中继节点及相连的交换节点或接入节点中已产生的量子密钥均需被丢弃，严重影响线路通信性能。

3.中继节点内两端产生量子密钥的速率不匹配问题

由于量子密钥分发系统成码率受多种因素影响，因此中继节点内部的QKD-A和QKD-B分别产生密钥的速率存在差异。在现行方案中，速率高的一端必须降速适配速率低的一端，影响整体性能。

4.量子密钥分发层易遭受针对IP网络的攻击

节点间量子密钥分发的经典信道采用IP技术进行协商数据的传输，导致量子密钥分发层也易遭受常见网络攻击方式攻击而停止运行。

5.经典信道数据传输安全问题

节点间传输的数据，如量子密钥分发协议的经典信道部分数据，缺少密码技术的保护。

为了克服上述问题，本实用新型提供一种量子保密通信网络系统的中继装置，所述中继装置用于与相邻节点实现量子密钥的生成，实现逐跳方式的数据中继传递；所述中继装置使得所述量子保密通信网络系统的中继节点与交换节点和接入节点分别都使用经典信道及量子信道相连，各个节点间量子密钥分发的经典信道采用无IP方式进行通信。

在一种实施方式中，所述中继装置为一体化设备，其包括数据中继转发模块、通信密钥处理模块和量子密钥生成模块。中继装置为一体化设备是指所有模块与外部环境具有明确的安全边界，既可以是集成在高安全性设计的板卡上，也可以是安装在无人值守的电磁屏蔽机柜内。

在一种实施方式中，所述量子密钥生成模块包括两个QKD接收端子模块和随机密钥生成子模块，或者两个QKD发射端子模块和随机密钥生成子模块；两个QKD接收端子模块或两个QKD发射端子模块分别与前序相邻节点和后继相邻节点的相应QKD模块共同产生量子密钥，并分别在所述随机密钥生成子模块生成的随机密钥的保护下输出到所述通信密钥处理模块进行存储。

在一种实施方式中，所述量子密钥生成模块包括QKD接收端子模块、QKD发射端子模块和随机密钥生成子模块，QKD接收端子模块和QKD发射端子模块分别与前序相邻节点和后继相邻节点的相应QKD模块共同产生量子密钥，并分别在所述随机密钥生成子模块生成的随机密钥的保护下输出到所述通信密钥处理模块进行存储。

在一种实施方式中，所述通信密钥处理模块与所述量子密钥生成模块中的QKD接收端子模块和QKD发射端子模块通过无IP方式连接。

在一种实施方式中，所述QKD接收端子模块和所述QKD发射端子模块分别与前序节点和后继节点的相应QKD发射端子模块和QKD接收端子模块运行量子密钥分发协议，生成明态量子密钥qA和qR，明态量子密钥掉电即毁。

在一种实施方式中，所述随机密钥生成子模块生成随机密钥T，并将其分别与明态量子密钥qA和qB进行逐位异或加密，形成密态量子密钥TA和TB，然后输出给所述通信密钥处理模块。

在一种实施方式中，所述通信密钥处理模块存储所述密态量子密钥TA和TB；还对通信密钥进行加密、解密、转发处理操作，实现通信密钥的安全分发。

在一种实施方式中，所述数据中继处理模块实现对与其相关的网络管理数据的处理。

在一种实施方式中，所述数据中继处理模块还实现对用户业务数据和网络管理数据的中继转发。

在一种实施方式中，通过在所述量子密钥生成模块、通信密钥处理模块、数据中继转发模块预置对称密钥或签发设备证书，实现节点间的双向认证和传输保护。

在一种实施方式中，本实用新型提供一种基于量子密钥分发的量子保密通信网络系统，所述量子保密通信网络系统包括上述任一所述的中继装置。

本实用新型的中继节点的集成化中继装置通过集成化装置设计，保证量子密钥的生成和使用均在装置内部，减少泄露风险。

本实用新型的中继节点的集成化中继装置通过引入随机密钥，在保护量子密钥的同时，解耦节点间的强关联关系，应对中继节点故障导致全链路丢弃已有量子密钥的情况。本实用新型的中继节点的集成化中继装置在高安全的同时实现解耦合。

本实用新型的中继节点的集成化中继装置使得经典信道无需组网，减少被网络攻击的可能性，大幅提高中继节点安全性。

本实用新型的中继节点的集成化中继装置使用密码技术实现节点间的双向认证和通信数据加密保护。

本实用新型的中继节点的集成化中继装置在量子密钥生成模块中引入随机密钥生成子模块，使相邻节点达成的量子密钥用随机密钥掩盖变换为密态的，从而使量子中继密钥实现密态存储、密态导出、密态使用，并且是一次一密。明态的量子密钥和随机密钥都只出现在装置的芯片内存中，掉电即毁，确保了安全性。本实用新型的中继节点的集成化中继装置在物理实现上要求量子密钥生成模块在一个芯片中实现，使得装置高安全。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来说，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为现行中继装置的结构示意图；

图2为本实用新型基于量子密钥分发的量子保密通信网络系统组网拓扑示意图；

图3为本实用新型的集成化中继装置结构示意图；

图4为本实用新型集成化中继装置中的密态量子密钥的输出流程示意图；

图5为本实用新型集成化中继装置中的通信密钥中继转发流程示意图；

图6为本实用新型集成化中继装置中的管理数据中继转发流程示意图。

具体实施方式

为了使本领域技术领域人员更好地理解本申请中的技术方案，下面将结合实施例对本实用新型作进一步说明，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都应当属于本申请保护的范围。下面结合附图及实施例对本实用新型作进一步描述。

实施例一：现行中继装置

现行解决方案中，每个中继节点机房内需部署QKD发射端(QKD-A)、QKD接收端(QKD-B)以及中继数据处理系统，三部分之间物理上相互独立，并通过内部IP网络相连，如图1所示。工作原理如下。

1.QKD-B通过量子信道和经典信道与前序节点的QKD发射端相连，协商生成量子密钥qB并输出；同时，QKD-A通过量子信道和经典信道与后继节点的QKD接收端相连，并协商生成量子密钥qA并输出。

2.中继数据处理系统外部通过经典信道分别与前序节点和后继节点的中继数据处理系统相连，内部通过IP网络与QKD-A和QKD-B相连，接收量子密钥qB和qA并存储将量子密钥对qB和qA相互进行逐位异或后形成的中继密钥QAB。

3.当接收到前序节点发送的数据KB，中继数据处理系统使用中继密钥QAB对其进行逐位异或处理，得到数据KA并发送给后继节点。

实施例二：本实用新型的量子保密通信网络系统

如图2所示，在一种实施方式中，本实用新型的基于量子密钥分发的量子保密通信网络系统包括接入节点、交换节点和中继节点，各个节点之间分别使用经典信道及量子信道相连，其中节点间量子密钥分发的经典信道采用无IP方式进行通信。

量子信道是指传输量子信号的物理通道；量子信号是指以微观量子态承载信息的物理信号，如：对偏振、时间、轨道角动量等进行调制后的单光子。

经典信道是传输经典信号的物理信道；经典信号是指现代通信技术中以宏观物理量荷载信息的信号，如高电平、低电平、亮光脉冲、暗光脉冲，不同偏振状态的明亮光脉冲、不同相位差的明亮光脉冲。

在量子密钥分发协议中，量子信道用于传输量子信号，而经典信道用于传输协商数据，如接收端的测量基选择等信息。除此之外，经典信道还用于节点间组网协议、管理数据、业务数据的传输。

接入节点：实现用户端装置的网络接入，完成用户数据的上网和下网，并通过限制通信目的端的方式控制用户数据上网的权限。

交换节点：与相邻的交换节点/接入节点实现共享的通信密钥，通过相邻接入节点/交换节点间的信息交互建立路由表，并实现用户数据传输的路径选择。

中继节点：与相邻节点实现量子密钥的生成，实现逐跳方式的数据中继传递。

在一些实施方式中，本实用新型的量子保密通信网络系统还包括用户端装置，该用户端装置可以包括专用终端、用户密钥分发中心(KDC)和密码设备。

专用终端是指专门用于与量子密钥服务系统进行交互的终端，并允许通过离线方式(如密码棒)接收用户密钥导入。

用户密钥分发中心是指用户自建或已建的密钥分发系统，提供用户密钥的导入和导出功能。

密码设备是指具有密码算法实现、需使用用户密钥的专用安全设备，如VPN网关等。

对于量子保密通信网而言，用户密钥被视为业务数据进行网络化传输。

在一些实施方式中，本实用新型的量子保密通信网络系统还包括管理中心。

管理中心实现对量子保密通信网络的设备、密钥、策略、运维、运营等方面的管理，是逻辑概念。具体实现上，可以根据管理对象的不同进行拆分。例如，设备管理中心实现对组网设备的准入管理；密钥管理中心实现对网络运行中密码算法所需的密钥管理；策略管理中心实现对传统网络设备、安全设备、量子设备等运行方式的管理；运维管理中心实现对全网设备运行状态的管理；运营管理中心根据业务传输进行计费、服务质量等统计。

在一些实施方式中，管理中心与交换节点相连。在一些实施方式中，用户端装置(专用终端、用户密钥分发中心和密码设备等)通过TCP/IP网络与接入节点相连。

实施例三：本实用新型中继节点的集成化中继装置

1.本实用新型中继节点的集成化中继装置的结构

如图3本实用新型的集成化中继装置为一体化设备，其内部包括量子密钥生成模块、通信密钥处理模块和数据中继转发模块。

1.1.量子密钥生成模块：QKD-B子模块和QKD-A子模块分别与前序节点和后继节点的相应QKD模块共同产生量子密钥，并在随机密钥生成子模块生成的随机密钥的保护下输出到通信密钥处理模块进行存储；

1.2.通信密钥处理模块：以密文方式存储两端的量子密钥，即密态量子密钥(TA、TB)；并对通信密钥进行加密、解密、转发处理操作，实现通信密钥的安全分发。为了对通信密钥K进行中继，该模块使用密态量子密钥TA和TB对输入的密态通信密钥KB进行两次异或操作，即其输出即为输出的密态通信密钥KA；

1.3.数据中继转发模块：实现对业务数据和管理数据的中继转发。业务数据MK是指经过通信密钥K保护的网络传输净载荷数据；该模块仅对业务数据进行转发。管理数据是指网络管理中心下发的各类指令以及各类网络节点按要求报送的节点状态信息数据；该模块会识别与之相关的管理数据，并进行处理，而不将相关的管理数据则进行转发。

2.本实用新型的集成化中继装置的工作流程

2.1.密态量子密钥的生成

中继节点对于两端的量子密钥使用随机密钥进行保护，存储和使用均在密态下进行。

如图4所示，量子密钥生成模块通过以下过程生成密态量子密钥：

1)QKD-A(QKD-B)子模块与对端的QKD-B(QKD-A)子模块运行BB84协议，生成明态量子密钥qA(qB)及其索引；

2)随机密钥生成子模块生成随机密钥T及其索引，并将随机密钥分别与生成明态量子密钥qA(qB)进行逐位异或，形成密态量子密钥TA和TB，然后输出给通信密钥处理模块；同时，将随机密钥及其索引存入随机密钥缓存中；

3)通信密钥处理模块分别存储密态量子密钥TA和TB及两者对应的量子密钥索引，并备用。

2.2.通信密钥的中继转发

交换/接入节点使用线路中已产生的量子密钥实现两个相邻交换/接入节点之间通信密钥K的分发。

如图5所示，当前节点的通讯密钥处理模块需进行如下操作：

1)从经典信道接收到由量子密钥qB加密的通信密钥密文KB；

2)根据量子密钥索引，找到对应的密态量子密钥TB，并将其与KB进行逐位异或得到KT；

3)根据随机密钥索引找到相同随机密钥保护的下一跳密态量子密钥TA，并将其与KT再进行逐位异或得到KA；

4)从经典信道发送通信密钥密文KA，正确运行的情况下，

5)当得到后继节点的确认后，告知随机密钥生成子模块随机密钥索引以删除缓存的随机密钥T。

2.3.管理数据的发送、接收和转发

一方面，中继装置需要与管理中心进行管理数据交互，实现管理中心对节点的统一管理；另一方面，中继装置需要为其他节点中继转发管理数据。

如图6所示，当前节点的数据中继转发模块需进行如下操作：

1)从经典信道接收上一跳节点发送的管理数据；

2)根据管理数据中接收方标识，判断是否需要当前节点进行状态更新操作，如安全策略更新，如需要则执行操作；

3)根据管理数据中接收方标识，判断是否需要将该管理数据发送给下一跳节点，如需要则进行发送。

2.3.1管理数据发送

中继装置根据管理中心策略收集状态信息并通过经典信道逐跳向管理中心发送。

2.3.2管理数据接收

中继装置从经典信道接收到管理数据，通过数据接收地址来判断是进行接收还是转发。管理数据可包括安全策略、各类密态的设备认证密钥等。

2.3.3管理数据转发

对于中继转发的管理数据，中继装置不做处理。

2.4错误处理流程

a.接收端量子密钥不存在

通信密钥处理模块接收到通信密钥密文KB时，如无法根据其量子密钥索引找到密态的接收端量子密钥TB，则将该错误反馈给前序节点。

b.发送端量子密钥不存在

通信密钥处理模块使用接收端量子密钥密文TB与其接收到的通信密钥密文KB进行逐位异或后，如无法根据其随机密钥索引找到发送端量子密钥密文TA，则通知随机密钥生成子模块提供与该随机密钥索引对应的新的发送端量子密钥密文。

本领域的技术人员容易理解的是，在不冲突的前提下，上述各有利方式可以自由地组合、叠加。以上仅为本实用新型的较佳实施例而已，并不用以限制本实用新型，凡在本实用新型的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本实用新型的保护范围之内。以上仅是本实用新型的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本实用新型技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本实用新型的保护范围。