一种数据传输方法、通信装置及通信系统与流程

1.本技术实施例涉及通信技术领域，尤其涉及一种数据传输方法、通信装置及通信系统。


背景技术：

2.目前，以太网中通常应用媒体访问控制安全协议(media access control security,macsec)加密技术保证数据传输的安全。
3.基于开放式系统互联(open system interconnection，osi)参考模型，该macsec技术应用于osi参考模型的数据链路层对以太网帧进行加密或解密，依赖于支持macsec功能的芯片，需要在以太网帧中添加相关的加密信息，占用了较多的用户带宽，导致产生的功耗代价较大。


技术实现要素：

4.本技术实施例提供一种数据传输方法、通信装置及通信系统，以期通过对物理层传输的数据进行加密，避免占用用户带宽，降低功耗代价。
5.第一方面，本技术实施例提供一种数据传输方法，所述方法包括：生成n路密文数据流，第一密文数据流是所述n路密文数据流中的任一路密文数据流，所述第一密文数据流包括至少两个第一对齐标识am以及至少两个密文数据段；其中，每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间包括一个所述第一am，所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数，n为正整数；发送所述n路密文数据流。
6.本技术实施例对物理层中的数据流(或称，比特流)进行加密传输，基于am指示加密参数，传输的数据流不占用用户业务带宽，能够提升数据发送量，进而提升数据发送速率。且以太网帧中所有的比特(包括源mac地址、目的mac地址)均可被加密，因而不会暴露地址信息，能够提升安全性。
7.在一种可选的实现方式中，所述第一密文数据流包括第一am集合，所述第一am集合中包括l个所述第一am，所述第一am集合用于承载至少一个指定密文数据段的加密参数；其中，l为正整数。
8.在一种可选的实现方式中，所述第一am集合承载的加密参数包括初始化向量iv和密钥标识；所述第一am集合中的p个所述第一am，用于承载冗余m次的所述初始化向量iv；其中，p为小于l的正整数，m为自然数；所述第一am集合中的q个所述第一am，用于承载冗余n次的所述密钥标识；其中，q为小于l的正整数，n为自然数。
9.在一种可选的实现方式中，所述第一am集合中的r个所述第一am，用于承载所述第一am集合的标识；其中，r为小于l的正整数。
10.在一种可选的实现方式中，l的取值为50；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。
11.在一种可选的实现方式中，所述至少一个指定密文数据段包括所述第一am集合中每个所述第一am之后的第一个密文数据段。
12.在一种可选的实现方式中，所述至少一个指定密文数据段包括指定am之后的至少一个密文数据段，所述指定am是所述第一密文数据流中位于所述第一am集合之后的第一am。
13.在一种可选的实现方式中，所述生成n路密文数据流，包括：获取n路明文数据流，第一明文数据流是所述n路明文数据流中的任一路明文数据流，所述第一明文数据流包括至少两个第二am以及至少两个明文数据段，每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am，所述至少两个第二am用于所述n路明文数据流的数据对齐；根据所述第一明文数据流和所述至少两个密文数据段的加密参数，生成所述第一密文数据流。
14.在一种可选的实现方式中，所述根据所述第一明文数据流和所述至少两个密文数据段的加密参数，生成所述第一密文数据流，包括：根据所述至少两个密文数据段的加密参数对所述第一明文数据流中的至少两个明文数据段进行加密，得到所述第一密文数据流中的至少两个密文数据段；根据所述至少两个密文数据段的加密参数对所述第一明文数据流中的至少两个第二am处理，得到所述第一密文数据流中的至少两个第一am。
15.在一种可选的实现方式中，所述获取n路明文数据流，包括：接收m路物理通道信号；其中，m为正整数；按照设定的比例，将m路物理通道信号转化为n路明文数据流。
16.第二方面，本技术实施例提供一种数据传输方法，所述方法包括：获取n路密文数据流，第一密文数据流是所述n路密文数据流中的任一路密文数据流，所述第一密文数据流包括至少两个第一对齐标识am以及至少两个密文数据段，其中，每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间包括一个所述第一am，所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数，n为正整数；根据所述至少两个密文数据段的加密参数对所述第一密文数据流进行解密，得到第一明文数据流，所述第一明文数据流是n路明文数据流中的任一路明文数据流。
17.本技术实施例对物理层中的数据流(或称，比特流)进行加密传输，基于am指示加密参数，传输的数据流不占用用户业务带宽，能够提升数据发送量，进而提升数据发送速率。且以太网帧中所有的比特(包括源mac地址、目的mac地址)均可被加密，因而不会暴露地址信息，能够提升安全性。
18.在一种可选的实现方式中，所述第一明文数据流包括至少两个第二am以及至少两个明文数据段，每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am，所述至少两个第二am用于所述n路明文数据流的数据对齐。
19.在一种可选的实现方式中，所述根据所述至少两个密文数据段的加密参数对所述第一密文数据流进行解密，得到第一明文数据流，包括：根据所述至少两个密文数据段的加密参数对所述第一密文数据流中的至少两个密文数据段进行解密，得到所述第一明文数据流中的至少两个明文数据段；根据所述至少两个密文数据段的加密参数对所述第一密文数据流中的至少两个第一am进行处理，得到所述第一明文数据流中的至少两个第二am。
20.在一种可选的实现方式中，所述第一密文数据流包括第一am集合，所述第一am集
合中包括l个所述第一am，所述第一am集合用于承载至少一个指定密文数据段的加密参数；其中，l为正整数。
21.在一种可选的实现方式中，所述第一am集合承载的加密参数包括初始化向量iv和密钥标识；所述第一am集合中的p个所述第一am，用于承载冗余m次的所述初始化向量iv；其中，p为小于l的正整数，m为自然数；所述第一am集合中的q个所述第一am，用于承载冗余n次的所述密钥标识；其中，q为小于l的正整数，n为自然数。
22.在一种可选的实现方式中，所述第一am集合中的r个所述第一am，用于承载所述第一am集合的标识；其中，r为小于l的正整数。
23.在一种可选的实现方式中，l的取值为50；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。
24.在一种可选的实现方式中，所述至少一个指定密文数据段包括所述第一am集合中每个所述第一am之后的第一个密文数据段。
25.在一种可选的实现方式中，所述至少一个指定密文数据段包括指定am之后的至少一个密文数据段，所述指定am是所述第一密文数据流中位于所述第一am集合之后的第一am。
26.在一种可选的实现方式中，所述根据所述至少两个密文数据段的加密参数对所述第一密文数据流进行解密，包括：根据所述第一am集合承载的加密参数对所述至少一个指定密文数据段进行解密，得到所述至少一个指定密文数据段对应的明文数据段。
27.第三方面，本技术实施例提供一种通信装置，包括处理器和存储器；该存储器用于存储计算机执行指令，当该装置运行时，该处理器执行该存储器存储的该计算机执行指令，以使该装置执行如上述第一方面或第二方面的各实现方法。
28.第四方面，本技术实施例提供一种通信装置，包括用于执行上述第一方面或第二方面的各实现方法的各个步骤的单元或手段(means)。
29.第五方面，本技术实施例提供一种通信装置，包括处理器和接口电路，所述处理器用于通过接口电路与其它装置通信，并执行上述第一方面或第二方面的各实现方法。该处理器的数量为一个或多个。
30.第六方面，本技术实施例提供一种通信装置，包括处理器，用于与存储器相连，用于调用所述存储器中存储的程序，以执行上述第一方面或第二方面的各实现方法。该存储器可以位于该装置之内，也可以位于该装置之外。该处理器的数量为一个或多个。
31.第七方面，本技术实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得上述第一方面或第二方面的各实现方法被执行。
32.第八方面，本技术实施例还提供一种计算机程序产品，该计算机产品包括计算机程序，当计算机程序运行时，使得上述第一方面或第二方面的各实现方法被执行。
33.第九方面，本技术实施例还提供一种芯片系统，包括：处理器，用于执行上述第一方面或第二方面的各实现方法。
34.第十方面，本技术实施例还提供一种通信系统，包括：用于执行上述第一方面各实现方法的通信装置，和用于执行上述第二方面各实现方法的通信装置。
附图说明
35.图1为一种osi参考模型架构示意图；
36.图2为一种bitmux工作原理示意图；
37.图3为一种串行流分发交织示意图；
38.图4a为一种macsec加密示意图；
39.图4b为一种以太网帧结构示意图；
40.图4c为一种macsec芯片部署示意图；
41.图5为一种光模块结构示意图；
42.图6a为本技术实施例提供的一种光模块的加密流程示意图；
43.图6b为本技术实施例提供一种数据加密的方法流程示意图；
44.图7a为本技术实施例提供的一种加密参数分布结构示意图之一；
45.图7b为本技术实施例提供的一种加密参数分布结构示意图之二；
46.图7c为本技术实施例提供的一种加密参数分布结构示意图之三；
47.图7d为本技术实施例提供的一种加密参数分布结构示意图之四；
48.图8为本技术实施例提供的一种加密参数分布结构示意图之五；
49.图9为本技术实施例提供的一种加密参数分布结构示意图之六；
50.图10a为本技术实施例提供的一种光模块的解密流程示意图；
51.图10b为本技术实施例提供一种数据解密的方法流程示意图；
52.图11为本技术实施例提供的一种数据传输方法的流程示意图；
53.图12为本技术实施例提供的一种通信装置的示意图；
54.图13为本技术实施例提供的另一种通信装置的示意图。
具体实施方式
55.本技术实施例可应用于以太网、未来网络等数据网络。
56.以下对本技术中提供的部分用语进行解释说明，方便本领域技术人员理解：
57.(1)密文数据流
58.密文数据流指示物理层中逻辑通道承载的加密的信号。本技术实施例中，n路密文数据流指的是通过n个逻辑通道传输的加密的数据流，将n路密文数据流中的任一路密文数据流称为第一密文数据流，第一密文数据流包括至少两个第一对齐标识(以下，简称第一am)和至少两个密文数据段。所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数。
59.作为一种实现方式，第一密文数据流内的第一am和密文数据段是周期性出现的，例如所述第一密文数据流中的每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间包括一个所述第一am。同一路密文数据流内的至少两个第一am不完全相同，即至少两个第一am中可以有部分相同也可以有部分不同。
60.(2)密文数据段
61.密文数据段指的是加密的比特数据，密文数据段共一个或多个比特。
62.(3)加密参数
63.加密参数包括密钥标识、初始化向量(initialization vector，iv)等，可以用于
实现明文与密文之间的转换，本技术实施例在第一密文数据流中，至少两个第一am中的部分或者全部来指示至少两个密文数据段的加密参数。
64.(4)明文数据流
65.明文数据流指示物理层中逻辑通道承载的信号。本技术实施例中，n路明文数据流指的是通过n个逻辑通道传输的未经加密的数据流，将n路明文数据流中的任一路明文数据流称为第一明文数据流，第一明文数据流包括至少两个第二对齐标识(以下，简称第二am)和至少两个明文数据段，所述至少两个第二am用于所述n路明文数据流的数据对齐。
66.作为一种实现方式，第一明文数据流内的第二am是周期性插入的，同一路明文数据流内的第二am是相同的，不同路明文数据流内的第二am不同。第一明文数据流内的第二am和明文数据段是周期性出现的。例如所述第一明文数据流中的每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am。
67.作为一种实现的方式，本技术实施例中，对n路明文数据流加密，得到n路密文数据流。
68.(5)明文数据段
69.明文数据段指的是未经加密的比特数据，明文数据段共一个或多个比特。作为一种实现方法，本技术实施例中基于加密参数对明文数据段进行加密处理，可得到对应的密文数据段。
70.(6)本技术实施例中涉及的多个，是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，a和/或b，可以表示：单独存在a，同时存在a和b，单独存在b这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。另外，应当理解，尽管在本发明实施例中可能采用术语第一、第二等来描述各数据、但这些数据不应限于这些术语。这些术语仅用来将各数据彼此区分开。
71.下面将结合附图对本技术作进一步地详细描述。
72.参见图1示意的一种osi参考模型架构，该osi参考模型架构是一种网络互连模型，定义了网络互连的七层框架，由底层到高层，依次为物理层、数据链路层、网络层、传输层、会话层、表示层以及应用层。以太网处于该osi参考模型中的物理层和数据链路层，如图1所示，数据链路层包括两个子层：逻辑链路控制(logical link control，llc)子层和负责解析和组装以太网帧的媒体访问控制(medium access control，mac)子层；物理媒介相关子层(physical medium dependent，pmd)、物理层包括物理媒介附加(physical medium attachment，pma)子层、物理编码子层(physical coding sublayer，pcs)。图1还示意出了pmd下连的介质(medium)，该介质可以是电缆、可插拔光模块或光纤等。
73.对于发送端而言，数据链路层从用户侧接收报文，经由mac子层组帧传到物理层。在物理层中的pcs内完成码块编码形成串行流，然后分发到并行的多个逻辑通道；经由pma子层内的比特复用或解复用器(bit muxplexer or demuxplerxer，bitmux)转换，多个逻辑通道的数据流转换成多个物理通道的数据流。多个物理通道的数据流经过介质以电信号或者是光信号的形式被传输出去。参见图2，为bitmux工作原理示意图，bitmux主要完成以比特交织方式将输入通道的数据流转换到输出通道。比如有4个输入通道和2个输出通道，其中2个输入通道的数据流比特交织为1个输出通道的数据流。bitmux部署于phy如pma子层内，可以用于逻辑通道与物理通道之间的转换。或者bitmux部署于光模块中，可以用于逻辑
通道与物理通道之间的转换。
74.本技术实施例中的逻辑通道(logic lane)，也称为虚拟通道(virtual lane，vl)，指的是pcs通道或fec通道(100g标准中为fec通道，200g/400g标准中为pcs通道)。比如在以太网规范中，200g对应的pcs通道个数为8，400g对应的pcs通道个数为16,100g对应的fec通道个数为4；逻辑通道可以分布在pcs内。物理通道也可以称为pma通道(pma lane，pl)，一个物理通道对应一个或多个逻辑通道，一个物理通道中包括一个逻辑通道中的数据流或者多个逻辑通道中的数据流。
75.当数据流在不同的逻辑通道、物理通道上传输时，为了保证接收端可以对多个逻辑通道进行对齐，ieee 802.3规范设计了对齐标识(alignment marker，am)，对齐标识也可以称为对齐码块或对齐单元。其中200g、400g的am格式如表1所示，其中cm0,cm1,cm2,cm3,cm4,cm5各个逻辑通道的共同标识，而um0,um1,um2,um3,um4,um5则唯一标识一个逻辑通道，不同的逻辑通道具有不同的“um0,um1,um2,um3,um4,um
5”。up0,up1,up2为用户可编辑的字段，通常是ieee 802.3规范设定的取值。am长度一般为120比特(bits)，以0～119定位(position),下表1中{cm0,cm1,cm2}占24比特：0～23；{up0}占8比特：24～31；{cm3,cm4,cm5}占24比特：32～55；{up1}占8比特：56～63；{um0,um1,um2}占24比特：64～87；{up2}占8比特：88～95；{um3,um4,um5}占24比特：96～119。
76.表1
77.{cm0,cm1,cm2}{up0}{cm3,cm4,cm5}{up1}{um0,um1,um2}{up2}{um3,um4,um5}
78.以400g为例，下表2示意出了400g存在16个逻辑通道，以及每一个逻辑通道所规定的模式。接收端只有接收到除up0～up2字段之外的其他字段均与下表2中匹配的am时才能对一个逻辑通道进行锁定，正确识别出这个逻辑通道的编号(number)。
79.表2
80.[0081][0082]
发送端在发送一条串行流在发送到多个逻辑通道时，会周期性的往每个逻辑通道插入对齐标识(alignment marker，am)。接收端获取到多个逻辑通道中的数据流，可根据各个逻辑通道的am进行锁定，以便实施多个逻辑通道中的数据流合并还原出前述串行流。参见图3所示的一种流分发交织示意图，示意出了逻辑通道、物理通道、am以及bitmux(内置于pma)的分布关系。如图3中的(a)，发送端可以在串行流中周期性的插入8个逻辑通道的am，经由里德-所罗门编码算法编码后分发到各逻辑信道，即将串行流分发到8个逻辑通道；假设按照8：4的比例，则8个逻辑通道经过pma内置的bitmux转换到4个物理通道。然后4个物理通道的数据流经过介质以电信号或者是光信号的形式被传输出去。如图3中的(b)，接收端通过介质获取4个物理通道的数据流，按照4：8的比例，则4个物理通道经过pma内置的bitmux转换到8个逻辑通道；然后执行am锁定、去抖、逻辑通道重排序以及解交织等操作，并经由里德-所罗门编码算法解码后交织出包含am的串行流；进而移除am得到串行流。可选的也可以忽略编码和解码纠错过程，发送端和接收端不执行通过里德-所罗门编码和解码算法纠错的过程，本技术实施例对此并不进行限制。
[0083]
参见图4a，为一种macsec加密示意图。目前采用的macsec技术具体部署在数据链路层中mac子层之上。加密对象和解密对象为一个以太网帧(或称，用户帧)。参见图4b，一种以太网帧结构示意图，包括目的地址(destination address)、源地址(source address)以及数据(data)。采用macsec加密之后，以太网帧结构被更改为：目的地址(destination address)、源地址(source address)、加密标签(security tag，sectag)、加密的数据(encrypted data)和完整性保护向量(integrity check value，icv)，其中sectag包括密钥标识(key identification)、初始化向量(initialization vector，iv)等关键参数。mac-sec针对每一帧或包加密，需要每一帧都携带32字节，当平均帧长64字节时，占用32/64＝50％用户带宽，代价较大。其次，参见图4c所示的一种macsec芯片部署示意图。从macsec实现方式上来说，目前通常采用在单板部署支持macsec加密功能的物理芯片，或者在交换芯片上集成macsec加密功能，所需功耗较大。但不论是基于独立物理芯片还是集成交换芯片的方式，该实现都与单板硬件强相关，仅基于传统单板无法实现macsec加密功能。由于实际应用中对端口加密的需求往往动态变化且难以预测，例如在购买网络设备时仅有8个固定端口支持macsec加密功能基本可满足当时需求，若后续应用需要更多macsec端口便只能更新硬件方案、追加投资；若购买网络设备的macsec端口数远多于实际需求，又容易过度投资，因此该方案也无法满足客户已有传统硬件系统或现场动态变化需求。
[0084]
于是本技术实施例提供一种物理层加密/解密的技术方案，对物理层中的数据流(或称，比特流)进行加密传输，传输的数据流不占用用户业务带宽，能够提升数据发送量，进而提升数据发送速率。且以太网帧中所有的比特(包括源mac地址、目的mac地址)均可被加密，因而不会暴露地址信息，能够提升安全性。该方案可具体应用于网络设备的光模块或
物理层芯片，无需增加新的硬件结构，减少功耗。网络设备作为发送端时，应用于该网络设备的光模块或物理层芯片负责对数据流进行加密发送，网络设备作为接收端时，应用于该网络设备的光模块或物理层芯片负责对接收的数据流进行解密。
[0085]
具体的，如图3中的(a)所示，对于发送端来说，加密方案可具体由物理层芯片将串行流分发成多个逻辑通道的数据流过程中实现，或者由光模块(介质)在处理数据流的过程中实现。如图3中的(b)所示，对于接收端来说，解密方案可具体由物理层芯片通过pma获取到多个逻辑通道的数据流之后且在恢复出串行流之前的过程中实现，或者由光模块(介质)在处理接收到的数据流的过程中实现。
[0086]
以下对本技术实施例提供的应用于光模块中的加密方案以及解密方案进行详细说明。
[0087]
首先，参见图5示意一种光模块结构示意图，该光模块包括比特复用或解复用器(bitmux)，光数字信号处理芯片(optical digital signal processor，odsp)，微控制器单元(micro-controller unit，mcu)，以及光电收发器件(简称tx/rx)。其中，该光模块应用于发送端时，光模块接收物理层中电芯片传输的多路物理通道信号；bitmux用于将输入到光模块中的多路物理通道信号，转换为多路逻辑通道信号；再将多路逻辑通道信号转换为输入odsp的数字信号，odsp负责将输入的数字信号实施算法处理(例如色散补偿预处理)等经电光转发单元tx处理并通过光纤发送给其他光模块。其中，该光模块应用于接收端时，通过光纤接收来自其他光模块的光信号，光信号经由rx光电转换和odsp算法处理(例如色散补偿等)，然后将数字信号输出到bitmux；则bitmux将odsp输出的数字信号转换为多路逻辑通道信号，并将多路逻辑通道信号转换成多路物理通道信号传输到物理层中的电芯片。需要说明的是前述物理通道信号、逻辑通道信号属于数字信号。
[0088]
(一)本技术实施例中的加密方案可具体部署在光模块的bitmux中，mcu可控制在bitmux中转换多路逻辑通道信号的过程中，对数据进行加密。参见图6a，为本技术实施例提供的一种光模块的加密流程示意图。以光模块获取m路物理通道信号，按照设定的比例如m：n，m路物理通道信号(如图中物理通道0～物理通道m-1)经由bitmux中的bitmux(a)转换为n路逻辑通道信号(如图中逻辑通道0～逻辑通道n-1)，n路逻辑通道信号包括的是明文数据，n路逻辑通道信号也可以称为n路明文数据流。则mcu可在n路明文数据流的基础上生成n路密文数据流。进一步n路密文数据流经由bitmux中的bitmux(b)转换成可输入到odsp的k路数字信号。可选的，mcu可配置和更新加密单模块所需的加密参数，该加密参数包括加密关键参数，如初始化向量iv和密钥标识。可选的，也可以在光模块的bitmux中部署相应功能模块如am锁定模块和加密/解密模块。具体可以针对每个逻辑通道单独部署am锁定模块和加密/解密模块。其中,针对每个逻辑通道对应的一路明文数据流，am锁定模块可用于将加密参数插入到该明文数据流中的am，加密/解密模块可用于基于加密参数对该明文数据流进行加密(encryption)，得到密文数据流。具体的，mcu可在第一次启动时配置iv，后续则由加密/解密模块按照设定的规则自动更新iv；mcu配置以及修改密钥标识。am lock模块负责锁定逻辑通道中的am，并使用锁定的am承载最新的加密参数。
[0089]
参见图6b，本技术实施例提供一种数据加密的方法流程示意图。对于在光模块内生成n路密文数据流的方式可参照步骤s601～s603实施。
[0090]
s601，光模块接收m路物理通道信号；其中，m为正整数。
[0091]
s602，光模块按照设定的比例，将m路物理通道信号转化为n路明文数据流。
[0092]
s603，光模块对n路明文数据流进行加密处理，生成n路密文数据流。第一密文数据流是所述n路密文数据流中的任一路密文数据流，所述第一密文数据流包括至少两个第一对齐标识am以及至少两个密文数据段；其中，每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间包括一个所述第一am，所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数。m和n均为正整数。需要说明的是，在光模块直接可以获取逻辑通道信号的情况下，可以不执行s601～s602，即s601～s602并不是必须的步骤。光模块可不进行物理通道信号到逻辑通道信号的转换，直接生成n路密文数据流，也属于本技术实施例保护的范围，本技术实施例对此并不进行限定。
[0093]
其中，第一明文数据流是所述n路明文数据流中的任一路明文数据流。基于此，光模块对n路明文数据流进行加密处理，包括：光模块根据所述第一明文数据流和所述至少两个密文数据段的加密参数，生成所述第一密文数据流。
[0094]
在一种可选的实施方式中，所述第一明文数据流包括至少两个第二am以及至少两个明文数据段，每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am，所述至少两个第二am用于所述n路明文数据流的数据对齐。光模块生成所述第一密文数据流具体可参照如下方式实施：光模块根据所述至少两个密文数据段的加密参数对所述第一明文数据流中的至少两个明文数据段进行加密，得到所述第一密文数据流中的至少两个密文数据段；光模块根据所述至少两个密文数据段的加密参数对所述第一明文数据流中的至少两个第二am处理，得到所述第一密文数据流中的至少两个第一am。
[0095]
可选的，针对第一密文数据流，光模块可以参照如下方式实现对于加密参数的指示：光模块在至少两个第一am中选取第一am集合(set)，该第一am集合用于承载至少一个指定密文数据段的加密参数。其中，该第一am集合中包括l个所述第一am，l为正整数。可选的，第一密文数据流中第一am集合包括的l个第一am与第一明文数据流中相同位置的l个第二am之间具备一对一映射关系。
[0096]
以下对于前述第一am集合和至少一个指定密文数据段的分布方式进行详细描述。
[0097]
分布方式(1)：光模块可将至少两个第一am划分成多个am集合，前述第一am集合为多个am集合中的任意一个am集合。至少一个指定密文数据段包括的是目标am集合中每个所述第一am之后的第一个密文数据段。
[0098]
可选的，前述目标am集合可以为第一am集合；前述目标am集合也可以是第二am集合，该第二am集合可以位于第一am集合之前或之后；该第二am集合与第一am集合之间可以间隔一个或多个am集合，第二am集合也可以是与第一am集合连续，即第二am集合可以是位于第一am集合之后的第一个am集合，或者第二am集合可以是位于第一am集合之前的最后一个am集合。或者可以理解为：第一am集合为第一密文数据流包括的第i个am集合，目标am集合为第一密文数据流包括的第i
±
x个am集合。第i个am集合承载至少一个指定密文数据段的加密参数，该至少一个指定密文数据段指的是第i
±
x个am集合中每个第一am之后的第一个密文数据段。其中，i小于l，x为自然数，
“±”
表示加法运算(+)或者减法运算(-)的运算符。
[0099]
可选的，第一am集合承载的加密参数包括初始化向量iv和密钥标识，该密钥标识用于标识发送端和接收端所共享的加密密钥。光模块可以根据iv、密钥标识的长度和/或者设定的冗余次数，确定第一am集合包括的第一am的数量，即前述l的值。具体的承载方式如下：第一am集合中的p个所述第一am，用于承载冗余m次的所述初始化向量iv；第一am集合中的q个所述第一am，用于承载冗余n次的所述密钥标识。其中，q为小于l的正整数，p为小于l的正整数；m、n均为自然数，m和n的取值可以相同也可以不相同，m/n取0表示数据不重复，例如m为0则表示p个第一am所承载的iv仅出现一次，n为0则表示q个第一am所承载的密钥标识仅出现1次；而m/n取大于0表示数据重复出现，例如m为1则表示p个第一am所承载的iv出现2次，n为1则表示q个第一am所承载的密钥标识出现2次；例如m为2则表示p个第一am所承载的iv出现3次，n为2则表示q个第一am所承载的密钥标识出现3次。可选的，mcu还可以在第一am集合中选择r个第一am承载第一am集合的标识，表示一个am集合的起始，不同am集合的标识可以相同或者不相同；其中，r为小于l的正整数。可选的，参照上述表1～2所示的am编码方式，可具体基于第一am中的up0～up2来承载相关参数。
[0100]
示例性的，如图7a/图7b示意的加密参数分布结构示意图。假设每个第一am中的up0,up1,up2共24比特，可以采用1个第一am承载第一am集合的标识；密钥标识长2比特，冗余11次，则需要1个第一am来指示冗余11次的密钥标识，冗余11次的密钥标识也可以理解为12个相同的密钥标识；iv长12个字节，每个字节长8比特，冗余11次，则需要48个第一am来指示冗余11次的iv，冗余11次的iv也可以理解为12个相同的iv。则第一am集合包括50个第一am，也即前述l的取值为50；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。第一am集合为第一密文数据流包括的多个am集合中的任意一个am集合，多个am集合的分布结构相同，均可采用图7a/图7b中第一am集合的分布结构。
[0101]
其中，图7a中还示意出了至少一个指定密文数据段包括第一am集合中每个第一am之后的第一个密文数据段。图7b中还示意出第二am集合为第一am集合之后的第一个am集合，至少一个指定密文数据段包括第二am集合中每个第一am之后的第一个密文数据段。第二am集合具有与第一am集合相同的分布结构，图7b中省略了第二am集合的具体结构。
[0102]
可选的，可具体使用2比特取值为“10”表示一个am集合的标识，则第一am集合中的第1个第一am中的up0,up1,up2字段共24比特，可用于承载12个“10”：up0的bit0～bit7二进制取值“10101010”，up1的bit0～bit7二进制取值“10101010”和up2的bit0～bit7二进制取值“10101010”，表示第一am集合的标识冗余11次。可具体使用2比特取值为“10”或者“01”表示一个密钥标识，则第一am集合中的第2个第一am中的up0,up1,up2共24个比特，可用于承载12个“10”，表示密钥标识冗余11次：up0的bit0～bit7二进制取值“10101010”，up1的bit0～bit7二进制取值“10101010”和up2的bit0～bit7二进制取值“10101010”；或者第一am集合中的第2个第一am中的up0,up1,up2字段共24个比特，可用于承载12个“01”，表示密钥标识冗余11次：up0的bit0～bit7二进制取值“01010101”，up1的bit0～bit7二进制取值“01010101”和up2的bit0～bit7二进制取值“01010101”。进而第一am集合中剩下的48个第一am承载冗余11次的iv，即12个相同的iv。
[0103]
示例性的，参见图7c/图7d，假设每个第一am中的up0,up1,up2字段共24比特，可以采用1个第一am承载第一am集合的标识；密钥标识长2比特，冗余11次，则需要1个第一am来指示冗余11次的密钥标识，冗余11次的密钥标识也可理解为12个相同的密钥标识；iv长4个
字节，每个字节长8比特，冗余11次，则需要16个第一am来指示冗余11次的iv，冗余11次的iv也可理解为12个相同的iv。则第一am集合包括18个第一am，也即前述l的取值为18；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。第一am集合为第一密文数据流包括的多个am集合中的任意一个am集合，多个am集合的分布结构相同，均可采用图7c/图7d中第一am集合的分布结构。
[0104]
其中，图7c中还示意出了至少一个指定密文数据段包括第一am集合中每个第一am之后的第一个密文数据段。图7d中还示意出第二am集合为第一am集合之后的第一个am集合，至少一个指定密文数据段包括第二am集合中每个第一am之后的第一个密文数据段。第二am集合具有与第一am集合相同的分布结构，图7d中省略了第二am集合的具体结构。
[0105]
可选的，可具体使用2比特取值为“10”表示一个am集合的标识，则第一am集合中的第1个第一am中的up0,up1,up2字段共24比特，可用于承载12个“10”：up0的bit0～bit7二进制取值“10101010”，up1的bit0～bit7二进制取值“10101010”和up2的bit0～bit7二进制取值“10101010”，表示第一am集合的标识冗余11次。可具体使用2比特取值为“10”或者“01”表示一个密钥标识，则第一am集合中的第2个第一am中的up0,up1,up2共24个比特，可用于承载12个“10”，表示密钥标识冗余11次：up0的bit0～bit7二进制取值“10101010”，up1的bit0～bit7二进制取值“10101010”和up2的bit0～bit7二进制取值“10101010”；或者第一am集合中的第2个第一am中的up0,up1,up2字段共24个比特，可用于承载12个“01”，表示密钥标识冗余11次：up0的bit0～bit7二进制取值“01010101”，up1的bit0～bit7二进制取值“01010101”和up2的bit0～bit7二进制取值“01010101”。进而第一am集合中剩下的16个第一am承载冗余11次的iv，即12个相同的iv。
[0106]
假设通道比特误码率(bit error ratio)为ber＝1e^-4，每比特的可靠性＝1-ber，11次冗余，即12个比特中正确比特数大于等于7的概率am集合标识正确性概率＝p2；密钥标识正确性概率＝p2；iv正确性概率＝p
96
。考虑am在每个逻辑通道出现的时间周期，am集合的标识、key index出错的时间超过数十万年，iv出错的概率约万年，可靠性极高。
[0107]
分布方式(2)：至少一个指定密文数据段包括指定am之后的至少一个密文数据段，所述指定am是所述第一密文数据流中位于所述第一am集合之后的第一am。
[0108]
可选的，第一am集合承载加密参数的方式可参照分布方式(1)执行，本技术实施例对此不再进行赘述。
[0109]
示例性的，参见图8，假设每个第一am中的up0,up1,up2共24比特，可以采用1个第一am承载第一am集合的标识；密钥标识长2比特，冗余11次，则需要1个第一am来指示冗余11次的密钥标识，冗余11次的密钥标识也可称作12个相同的密钥标识；iv长12个字节，每个字节长8比特，冗余11次，则需要48个第一am来指示冗余11次的iv，冗余11次的iv也可称作12个相同的iv。则第一am集合包括50个第一am，也即前述l的取值为50；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。该第一am集合所承载的加密参数为图8中所示的指定am之后的所有密文数据段的加密参数。可选的第一am集合承载加密参数的方式可参照图7a/图7b下可选的实施方式实施，本技术实施例对此不再进行赘述。
[0110]
分布方式(3)：针对第一密文数据流，光模块在第一密文数据流中选取多个am集合，每个am集合包括l个第一am，每两个am集合之间包括设定数目(如s个，s为正整数)的密
文数据段。前述第一am集合为光模块选取的多个am集合中的任意一个am集合。第二am集合是第一am集合之后的第一个am集合。则至少一个指定密文数据段包括第一am集合和第二am集合之间的至少一个密文数据段。
[0111]
可选的，第一am集合承载加密参数的方式可参照分布方式(1)执行，本技术实施例对此不再进行赘述。
[0112]
示例性的，参见图9，本技术实施例提供了一种分布结构示意图。假设每个第一am中的up0,up1,up2共24比特，可以采用1个第一am承载第一am集合的标识；密钥标识长2比特，冗余11次，则需要1个第一am来指示冗余11次的密钥标识，冗余11次的密钥标识也可称作12个相同的密钥标识；iv长4个字节，每个字节长8比特，冗余11次，则需要16个第一am来指示冗余11次的iv，冗余11次的iv也可称作12个相同的iv。则第一am集合包括18个第一am，也即前述l的取值为18；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。第二am集合的分布结构与第一am集合的分部结构相同，但第二am集合承载的加密参数和第一am集合所承载的加密参数可以不同。该第一am集合所承载的加密参数为图9中所示的第一am集合和第二am集合之间的5个密文数据段的加密参数。图9中的第一am集合、第二am集合内部的分布结构可参照图7c/图7d中的第一am集合的分布结构，图9中不再详细示意。可选的第一am集合承载加密参数的方式可参照图7c/图7d下可选的实施方式实施，本技术实施例对此不再进行赘述。
[0113]
以下对至少一个指定密文数据段进行加密的方式进行具体说明。至少一个指定密文数据段在第一明文数据流中的相同位置对应至少一个指定明文数据段。发送端和接收端部署有相同的第一加密算法，例如高级加密标准-伽罗瓦/计数器模式(advanced encryption standard-galois/counter mode，aes-gcm)、chacha20-ploy1305等。应用于发送端的光模块可根据第一加密算法结合第一am集合承载的加密参数(如iv、密钥标识)生成一个加密字符串，该加密字符串与指定明文数据端的长度相同。光模块针对至少一个指定明文数据端中的每个指定明文数据段，可将该加密字符串与指定明文数据端进行异或操作，得到该指定明文数据段所对应的指定密文数据段。
[0114]
(二)本技术实施例中的解密方案可具体部署在光模块的bitmux中，mcu可控制在bitmux中转换出多路逻辑通道信号的过程中，对数据进行解密。参见图10a，为本技术实施例提供的一种光模块的解密流程示意图。光模块接收的光信号经由odsp恢复出k路数字信号，bitmux中的bitmux(b)将k数字信号转换出n路密文数据流，并基于bitmux中部署的am锁定模块锁定n路密文数据流，以及基于bitmux中部署的加密/解密模块，对n路密文数据流进行解密(decryption)，得到n路明文数据流。n路明文数据流或称为n路逻辑通道信号(如图中逻辑通道0～逻辑通道n-1)，bitmux中的bitmux(a)按照设定比例如m：n，将n路逻辑通道信号恢复成m路物理通道信号(如图中物理通道0～物理通道m-1)。进而光模块将m路物理通道信号传输至物理层的电芯片。
[0115]
参见图10b，本技术实施例提供一种数据解密的方法流程示意图。对于在光模块内恢复出n路明文数据流的方式可参照步骤s1001～s1002实施。
[0116]
s1001，光模块获取n路密文数据流，第一密文数据流是所述n路密文数据流中的任一路密文数据流，所述第一密文数据流包括至少两个第一对齐标识am以及至少两个密文数据段，其中，每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间
包括一个所述第一am，所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数，n为正整数；
[0117]
s1002，光模块对n路密文数据流进行解密处理，得到n路明文数据流。
[0118]
具体的，光模块可根据所述至少两个密文数据段的加密参数对所述第一密文数据流进行解密，得到第一明文数据流，所述第一明文数据流是n路明文数据流中的任一路明文数据流。其中，第一明文数据流包括至少两个第二am以及至少两个明文数据段，每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am，所述至少两个第二am用于所述n路明文数据流的数据对齐。可选的，光模块可具体根据所述至少两个密文数据段的加密参数对所述第一密文数据流中的至少两个密文数据段进行解密，得到所述第一明文数据流中的至少两个明文数据段；以及根据所述至少两个密文数据段的加密参数对所述第一密文数据流中的至少两个第一am进行处理，得到所述第一明文数据流中的至少两个第二am。
[0119]
可选的，若第一密文数据流中包括所述第一密文数据流包括第一am集合(set)，所述第一am集合中包括l个所述第一am，所述第一am集合用于承载至少一个指定密文数据段的加密参数；其中，l为正整数。可选的，所述第一am集合承载的加密参数包括初始化向量iv和密钥标识；所述第一am集合中的p个所述第一am，用于承载冗余m次的所述初始化向量iv；其中，p为小于l的正整数，m为自然数；所述第一am集合中的q个所述第一am，用于承载冗余n次的所述密钥标识；其中，q为小于l的正整数，n为自然数。所述第一am集合中的r个所述第一am，用于承载所述第一am集合的标识；其中，r为小于l的正整数。在一种可选的实现方式中，l的取值为50；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。
[0120]
光模块可根据所述第一am集合承载的加密参数对所述至少一个指定密文数据进行解密，得到所述至少一个指定密文数据段对应的明文数据段。具体的可参照如下步骤s21～s24实施：
[0121]
s21，光模块可以从第一am集合中提取出加密参数。
[0122]
可选的，光模块可以对接收到第一am集合中的加密参数进行有效性验证。示例性的，若第一am集合承载的是冗余11次的iv和冗余11次的密钥标识。则光模块可从第一am集合提取出12个相同的iv和12个相同的密钥标识之后，若12个相同的iv中至少7个正确传输，确定12个相同的密钥标识中至少7个正确传输，则光模块可确定接收到的第一am集合中的加密参数有效。具体的，以冗余11次的iv，iv长4字节即32比特为例。光模块可在第一am集合中提取出冗余11次的iv，即32*12个比特。按顺序分成12段比特序列，每段比特序列包括32个比特，每段比特序列表示一个iv。光模块可采用多比特判决方式，比较12段比特序列中的各个比特是否相同，若存在7段及7段以上的比特序列中的每个比特相同，则光模块可确定接收到的第一am集合中的加密参数有效。
[0123]
s22，光模块基于第一am集合与指定密文数据的分布方式，定位至少一个指定密文数据段。
[0124]
例如前述分布方式(1)：至少一个指定密文数据段包括第一am集合中每个第一am之后的第一密文数据段。分布方式(2)：至少一个指定密文数据段包括指定am之后的至少一个密文数据段，所述指定am是所述第一密文数据流中位于所述第一am集合之后的第一am。分布方式(3)：至少一个指定密文数据段包括第一am集合和第二am集合之间的至少一个密
文数据段，第二am集合与第一am集合之间包括设定数目(如s个，s为正整数)的密文数据段。
[0125]
s23，光模块根据第一am集合承载的加密参数，对至少一个指定密文数据段进行解密，得到至少一个指定明文数据段。其中，至少一个指定明文数据段和至少一个指定明文数据段之间具备一对一的对应关系。
[0126]
具体的，发送端和接收端部署有相同的第一加密算法，例如aes-gcm、chacha20-ploy1305等。应用于接收端的光模块可根据第一加密算法结合第一am集合承载的加密参数生成一个加密字符串，该加密字符串与指定密文数据端的长度相同。光模块针对至少一个指定密文数据端中的每个指定密文数据段，可将该加密字符串与指定密文数据端进行异或操作，得到该指定密文数据段所对应的指定明文数据段。
[0127]
s24，光模块将第一密文数据流中的至少两个第一am，恢复成第一明文数据流中的至少两个第二am。具体的，光模块可将第一am内up0～up2中的内容更换成ieee 802.3规范设定的取值。
[0128]
以下对本技术实施例提供的应用于物理层芯片中加密方案以及解密方案进行详细说明。
[0129]
对于应用于发送端的物理层芯片来说，物理层芯片可以在将串行流分发成n路逻辑通道信号时，对n路逻辑通道信号进行加密生成n路密文数据流。具体的生成n路密文数据流的方式可以参照前述光模块的加密方式实施，本技术实施例对此不再进行赘述。进而物理层芯片生成的n路密文数据流可通过介质发送出去，例如物理层芯片生成的n路密文数据流可通过光模块转换为光信号发送出去。
[0130]
对于应用于接收端的物理层芯片来说，物理层芯片可以通过介质(例如，光模块)获取m路加密的物理通道信号，并基于pma内置的bitmux转出n路加密的逻辑通道信号，也即n路密文数据流；则物理层芯片可对n路密文数据流进行解密得到n路明文数据流。
[0131]
基于上述实施例，本技术实施例还提供一种数据传输方法。参见图11，该方法包括如下流程。
[0132]
s1101，发送端生成n路密文数据流。其中，第一密文数据流是所述n路密文数据流中的任一路密文数据流，所述第一密文数据流包括至少两个第一对齐标识am以及至少两个密文数据段；其中，每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间包括一个所述第一am，所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数，n为正整数。
[0133]
可选的，可由应用于发送端的光模块或者物理层芯片生成n路密文数据流。
[0134]
s1102，发送端向接收端发送n路密文数据流，接收端接收来自发送端的n路密文数据流。
[0135]
s1103，接收端对n路密文数据流进行解密，得到n路明文数据流。
[0136]
可选的，可由应用于接收端的光模块或者物理层芯片对n路密文数据流进行解密，得到n路明文数据流。
[0137]
可选的，第一明文数据流是所述n路明文数据流中的任一路明文数据流所述第一明文数据流包括至少两个第二am以及至少两个明文数据段，每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am，所述至少两个第二
am用于所述n路明文数据流的数据对齐。
[0138]
基于相同的构思，参见图12，本技术实施例提供一种通信装置的结构示意图。该装置用于实现上述实施例中对应通信装置所执行的各个步骤，如图12所示，该装置1200包括收发单元1210和处理单元1220。
[0139]
在第一个实施例中，该通信装置应用于发送端的光模块或物理层芯片，且用于实现加密功能，则：
[0140]
处理单元1220，用于生成n路密文数据流，第一密文数据流是所述n路密文数据流中的任一路密文数据流，所述第一密文数据流包括至少两个第一对齐标识am以及至少两个密文数据段；其中，每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间包括一个所述第一am，所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数，n为正整数。
[0141]
收发单元1210，用于发送所述n路密文数据流。
[0142]
本技术实施例对物理层中的数据流(或称，比特流)进行加密传输，基于am指示加密参数，传输的数据流不占用用户业务带宽，能够提升数据发送量，进而提升数据发送速率。且以太网帧中所有的比特(包括源mac地址、目的mac地址)均可被加密，因而不会暴露地址信息，能够提升安全性。
[0143]
在一种可选的实施方式中，所述第一密文数据流包括第一am集合，所述第一am集合中包括l个所述第一am，所述第一am集合用于承载至少一个指定密文数据段的加密参数；其中，l为正整数。
[0144]
在一种可选的实施方式中，所述第一am集合承载的加密参数包括初始化向量iv和密钥标识；所述第一am集合中的p个所述第一am，用于承载冗余m次的所述初始化向量iv；其中，p为小于l的正整数，m为自然数；所述第一am集合中的q个所述第一am，用于承载冗余n次的所述密钥标识；其中，q为小于l的正整数，n为自然数。
[0145]
在一种可选的实施方式中，所述第一am集合中的r个所述第一am，用于承载所述第一am集合的标识；其中，r为小于l的正整数。
[0146]
在一种可选的实施方式中，l的取值为50；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。
[0147]
在一种可选的实施方式中，所述至少一个指定密文数据段包括所述第一am集合中每个所述第一am之后的第一个密文数据段。
[0148]
在一种可选的实施方式中，所述至少一个指定密文数据段包括指定am之后的至少一个密文数据段，所述指定am是所述第一密文数据流中位于所述第一am集合之后的第一am。
[0149]
在一种可选的实施方式中，所述处理单元1220，还用于获取n路明文数据流，第一明文数据流是所述n路明文数据流中的任一路明文数据流，所述第一明文数据流包括至少两个第二am以及至少两个明文数据段，每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am，所述至少两个第二am用于所述n路明文数据流的数据对齐。所述处理单元1210，还用于根据所述第一明文数据流和所述至少两个密文数据段的加密参数，生成所述第一密文数据流。
[0150]
在一种可选的实施方式中，所述处理单元1210，具体用于：根据所述至少两个密文数据段的加密参数对所述第一明文数据流中的至少两个明文数据段进行加密，得到所述第一密文数据流中的至少两个密文数据段；根据所述至少两个密文数据段的加密参数对所述第一明文数据流中的至少两个第二am处理，得到所述第一密文数据流中的至少两个第一am。
[0151]
在一种可选的实施方式中，所述收发单元1210，还用于接收m路物理通道信号；其中，m为正整数；所述处理单元1220，还用于按照设定的比例，将m路物理通道信号转化为n路明文数据流。
[0152]
在第二个实施例中，该通信装置应用于接收端的光模块或物理层芯片，且用于实施解密功能，则：
[0153]
收发单元1210，用于获取n路密文数据流，第一密文数据流是所述n路密文数据流中的任一路密文数据流，所述第一密文数据流包括至少两个第一对齐标识am以及至少两个密文数据段，其中，每两个所述第一am之间包括一个所述密文数据段，每两个所述密文数据段之间包括一个所述第一am，所述至少两个第一am用于所述n路密文数据流的数据对齐，所述至少两个第一am中的部分或全部第一am指示所述至少两个密文数据段的加密参数，n为正整数。
[0154]
处理单元1220，用于根据所述至少两个密文数据段的加密参数对所述第一密文数据流进行解密，得到第一明文数据流，所述第一明文数据流是n路明文数据流中的任一路明文数据流。
[0155]
本技术实施例对物理层中的数据流(或称，比特流)进行加密传输，基于am指示加密参数，传输的数据流不占用用户业务带宽，能够提升数据发送量，进而提升数据发送速率。且以太网帧中所有的比特(包括源mac地址、目的mac地址)均可被加密，因而不会暴露地址信息，能够提升安全性。
[0156]
在一种可选的实施方式中，所述第一明文数据流包括至少两个第二am以及至少两个明文数据段，每两个所述第二am之间包括一个所述明文数据段，每两个所述明文数据段之间包括一个所述第二am，所述至少两个第二am用于所述n路明文数据流的数据对齐。
[0157]
在一种可选的实施方式中，所述处理单元1220，具体用于：根据所述至少两个密文数据段的加密参数对所述第一密文数据流中的至少两个密文数据段进行解密，得到所述第一明文数据流中的至少两个明文数据段；根据所述至少两个密文数据段的加密参数对所述第一密文数据流中的至少两个第一am进行处理，得到所述第一明文数据流中的至少两个第二am。
[0158]
在一种可选的实施方式中，所述第一密文数据流包括第一am集合，所述第一am集合中包括l个所述第一am，所述第一am集合用于承载至少一个指定密文数据段的加密参数；其中，l为正整数。
[0159]
在一种可选的实施方式中，所述第一am集合承载的加密参数包括初始化向量iv和密钥标识；所述第一am集合中的p个所述第一am，用于承载冗余m次的所述初始化向量iv；其中，p为小于l的正整数，m为自然数；所述第一am集合中的q个所述第一am，用于承载冗余n次的所述密钥标识；其中，q为小于l的正整数，n为自然数。
[0160]
在一种可选的实施方式中，所述第一am集合中的r个所述第一am，用于承载所述第
一am集合的标识；其中，r为小于l的正整数。
[0161]
在一种可选的实施方式中，l的取值为50；p的取值为48；m的取值为11；q的取值为1；n的取值为11；r的取值为1。
[0162]
在一种可选的实施方式中，所述至少一个指定密文数据段包括所述第一am集合中每个所述第一am之后的第一个密文数据段。
[0163]
在一种可选的实施方式中，所述至少一个指定密文数据段包括指定am之后的至少一个密文数据段，所述指定am是所述第一密文数据流中位于所述第一am集合之后的第一am。
[0164]
在一种可选的实施方式中，所述处理单元1220，还用于根据所述第一am集合承载的加密参数对所述至少一个指定密文数据段进行解密，得到所述至少一个指定密文数据段对应的明文数据段。
[0165]
可选的，上述通信装置1200还可以包括存储单元，该存储单元用于存储数据或者指令(也可以称为代码或者程序)，上述各个单元可以和存储单元交互或者耦合，以实现对应的方法或者功能。
[0166]
应理解以上装置中单元的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且装置中的单元可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分单元以软件通过处理元件调用的形式实现，部分单元以硬件的形式实现。例如，各个单元可以为单独设立的处理元件，也可以集成在装置的某一个芯片中实现，此外，也可以以程序的形式存储于存储器中，由装置的某一个处理元件调用并执行该单元的功能。此外这些单元全部或部分可以集成在一起，也可以独立实现。这里所述的处理元件又可以成为处理器，可以是一种具有信号的处理能力的集成电路。在实现过程中，上述方法的各步骤或以上各个单元可以通过处理器元件中的硬件的集成逻辑电路实现或者以软件通过处理元件调用的形式实现。
[0167]
在一个例子中，以上任一装置中的单元可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路(application specific integrated circuit，asic)，或，一个或多个微处理器(digital singnal processor，dsp)，或，一个或者多个现场可编程门阵列(field programmable gate array，fpga)，或这些集成电路形式中至少两种的组合。再如，当装置中的单元可以通过处理元件调度程序的形式实现时，该处理元件可以是通用处理器，例如中央处理器(central processing unit，cpu)或其它可以调用程序的处理器。再如，这些单元可以集成在一起，以片上系统(system-on-a-chip，soc)的形式实现。
[0168]
以上收发单元1210是一种该装置的接口电路，用于从其它装置接收信号或向其它装置发送信号。例如，当该装置以芯片的方式实现时，该收发单元1210是该芯片用于从其它芯片或装置接收信号，和/或向其它芯片或装置发送信号的接口电路。
[0169]
参考图13，为本技术实施例提供的另一种通信装置示意图，用于实现以上实施例中通信装置(如光模块内的通信装置或物理层芯片内的通信模块)的操作。如图13所示，该通信装置包括：处理器1310和接口1330，可选的，该通信装置还包括存储器1320。接口1330用于实现与其他设备进行通信。
[0170]
以上实施例中通信装置执行的方法可以通过处理器1310调用存储器(可以是通信
装置中的存储器1320，也可以是外部存储器)中存储的程序来实现。即，通信装置可以包括处理器1310，该处理器1310通过调用存储器中的程序，以执行以上方法实施例中通信装置执行的方法。这里的处理器可以是一种具有信号的处理能力的集成电路，例如cpu。通信装置可以通过配置成实施以上方法的一个或多个集成电路来实现。例如：一个或多个asic，或，一个或多个微处理器dsp，或，一个或者多个fpga等，或这些集成电路形式中至少两种的组合。或者，可以结合以上实现方式。
[0171]
具体的，图12中的收发单元1210和处理单元1220的功能/实现过程可以通过图13所示的通信装置1300中的处理器1310调用存储器1320中存储的计算机可执行指令来实现。或者，图12中的处理单元1220的功能/实现过程可以通过图13所示的通信装置1300中的处理器1310调用存储器1320中存储的计算机执行指令来实现，图12中的收发单元1210的功能/实现过程可以通过图13中所示的通信装置1300中的接口1330来实现。
[0172]
应理解，在本技术的各种实施例中，上述各过程的序号(或称，编号)的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。
[0173]
本技术还提供了一种计算机可读介质，其上存储有计算机程序，该计算机程序被计算机执行时实施上述任意方法实施例的功能。
[0174]
本技术还提供了一种计算机程序产品，该计算机程序产品被计算机执行时实施上述任意方法实施例的功能。
[0175]
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
[0176]
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实施。当使用软件实施时，可以全部或部分地以计算机程序产品的形式实施。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本技术实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包括一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，dvd)、或者半导体介质(例如固态硬盘(solid state disk，ssd))等。
[0177]
本技术实施例中所描述的各种说明性的逻辑单元和电路可以通过通用处理器，数字信号处理器，专用集成电路(asic)，现场可编程门阵列(fpga)或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实施或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实施，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实施。
[0178]
本技术实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件单元、或者这两者的结合。软件单元可以存储于随机存取存储器(random access memory，ram)、闪存、只读存储器(read-only memory，rom)、eprom存储器、eeprom存储器、寄存器、硬盘、可移动磁盘、cd-rom或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于asic中。
[0179]
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实施的处理，从而在计算机或其他可编程设备上执行的指令提供用于实施在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
[0180]
在一个或多个示例性的设计中，本技术所描述的上述功能可以在硬件、软件、固件或这三者的任意组合来实施。如果在软件中实施，这些功能可以存储与电脑可读的媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但不限于ram、rom、eeprom、cd-rom或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电脑、双绞线、数字用户线(dsl)或以例如红外、无线和微波等无线方式传输的也被包含在所定义的电脑可读媒介中。所述的碟片(disk)和磁盘(disc)包括压缩磁盘、镭射盘、光盘、数字通用光盘(英文：digital versatile disc，简称：dvd)、软盘和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合也可以包含在电脑可读媒介中。
[0181]
本领域技术人员应该可以意识到，在上述一个或多个示例中，本技术所描述的功能可以用硬件、软件、固件或它们的任意组合来实施。当使用软件实施时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。
[0182]
以上所述的具体实施方式，对本技术的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本技术的具体实施方式而已，并不用于限定本技术的保护范围，凡在本技术的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本技术的保护范围之内。本技术说明书的上述描述可以使得本领域技术任何可以利用或实施本技术的内容，任何基于所公开内容的修改都应该被认为是本领域显而易见的，本技术所描述的基本原则可以应用到其它变形中而不偏离本技术的发明本质和范围。因此，本技术所公开的内容不仅仅局限于所描述的实施例和设计，还可以扩展到与本技术原则和所公开的新特征一致的最大范围。
[0183]
尽管结合具体特征及其实施例对本技术进行了描述，显而易见的，在不脱离本技术的精神和范围的情况下，可对其进行各种修改和组合。相应地，本说明书和附图仅仅是所
附权利要求所界定的本技术的示例性说明，且视为已覆盖本技术范围内的任意和所有修改、变化、组合或等同物。显然，本领域的技术人员可以对本技术进行各种改动和变型而不脱离本技术的范围。这样，倘若本技术的这些修改和变型属于本技术权利要求及其等同技术的范围之内，则本技术也意图包括这些改动和变型在内。