CN108134672A - 基于量子加密交换机装置的数据传输系统及其传输方法 - Google Patents

Abstract

本发明公开了一种基于量子加密交换机装置的数据传输系统及其传输方法，包括第一加密交换传输系统和第二加密交换传输系统；第一加密交换传输系统包括第一加密交换机装置和第一量子密钥分发装置，第一加密交换机装置包括第一数据处理系统、第一承载数据加密模块、第一承载数据解密模块和第一密钥管理模块；第二加密交换传输系统包括第二加密交换机装置和第二量子密钥分发装置，第二加密交换机装置包括第二数据处理系统、第二承载数据加密模块、第二承载数据解密模块和第二密钥管理模块；本发明解决加密交换机与量子加密技术相结合的方法，提升设备安全等级；使得通信双方无需直接连接协商即可获得对称密钥，提高系统可靠性和健壮性。

Description

基于量子加密交换机装置的数据传输系统及其传输方法

技术领域

本发明涉及量子通信领域，具体涉及一种基于量子加密交换机装置的数据传输系统及其传输方法。

背景技术

随着科学技术的发展，通信安全越来越受到人们的重视，其中加密交换机技术不失为一种较好的数据加密方式，该方法通过中心分发或通信双方交换机协商的方式获取密钥，并对经过交换机的数据进行加密后传输，但量子技术的出现，使得基于传统算法复杂度的加密系统安全性面临较大风险。

目前，军事、银行、电网、商业通信中已经出现了一些与量子密码技术结合的的加密应用，通过量子加密机，在通信双方之间建立一条安全通道，当两端需要进行数据交互时，一端的加密机向量子密钥网络请求密钥，并对数据进行加密后发送到另一端，另一端再向量子密钥网络请求密钥，由于两边获取密钥不同步，易造成密钥丢弃，降低密钥利用率，加大数据传输失败的风险。

发明内容

本发明所要解决的技术问题是针对上述现有技术的不足提供一种基于量子加密交换机装置的数据传输系统及其传输方法，本发明解决加密交换机与量子加密技术相结合的方法，提升设备安全等级；使得通信双方无需直接连接协商即可获得对称密钥，提高系统可靠性和健壮性。

为实现上述技术目的，本发明采取的技术方案为：

一种基于量子加密交换机装置的数据传输系统，包括第一加密交换传输系统和第二加密交换传输系统；

所述第一加密交换传输系统包括第一加密交换机装置和第一量子密钥分发装置，所述第一加密交换机装置包括第一数据处理系统、第一承载数据加密模块、第一承载数据解密模块和第一密钥管理模块，所述第一数据处理系统分别与第一承载数据加密模块和第一承载数据解密模块通信连接，所述第一承载数据加密模块和第一承载数据解密模块均与第一密钥管理模块通信连接，所述第一密钥管理模块与所述第一量子密钥分发装置通信连接；

所述第二加密交换传输系统包括第二加密交换机装置和第二量子密钥分发装置，所述第二加密交换机装置包括第二数据处理系统、第二承载数据加密模块、第二承载数据解密模块和第二密钥管理模块，所述第二数据处理系统分别与第二承载数据加密模块和第二承载数据解密模块通信连接，所述第二承载数据加密模块和第二承载数据解密模块均与第二密钥管理模块通信连接，所述第二密钥管理模块与所述第二量子密钥分发装置通信连接；

所述第一量子密钥分发装置和第二量子密钥分发装置量子通信连接。

作为本发明进一步改进的技术方案，还包括中继加密交换传输系统，所述中继加密交换传输系统包括中继加密交换机装置和中继量子密钥分发装置，所述中继加密交换机装置包括中继数据处理系统、中继承载数据加密模块、中继承载数据解密模块和中继密钥管理模块，所述中继数据处理系统分别与中继承载数据加密模块和中继承载数据解密模块通信连接，所述中继承载数据加密模块和中继承载数据解密模块均与中继密钥管理模块通信连接，所述中继密钥管理模块与所述中继量子密钥分发装置通信连接，所述第一量子密钥分发装置通过中继量子密钥分发装置和第二量子密钥分发装置量子通信连接。

作为本发明进一步改进的技术方案，所述中继加密交换传输系统为多个，所述第一量子密钥分发装置依次通过多个中继量子密钥分发装置和第二量子密钥分发装置量子通信连接且多个中继量子密钥分发装置依次量子通信连接。

作为本发明进一步改进的技术方案，所述第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置均采用量子密钥分配终端。

作为本发明进一步改进的技术方案，还包括量子密钥管控中心，所述第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置均与量子密钥管控中心连接。

为实现上述技术目的，本发明采取的另一个技术方案为：

一种基于量子加密交换机装置的数据传输系统的传输方法，包括以下步骤：

(1)第一数据处理系统接收数据并对数据进行分析，将分析后得到的明文数据发送到第一承载数据加密模块；

(2)第一承载数据加密模块向第一密钥管理模块请求量子密钥，第一密钥管理模块接收到量子密钥的请求后向第二加密交换机装置内的第二密钥管理模块发起密钥池一致性检测，若第一密钥管理模块内的密钥池特征信息和第二密钥管理模块内的密钥池特征信息为一致，则第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥；

(3)第一密钥管理模块向第一承载数据加密模块发送量子密钥，第一承载数据加密模块通过量子密钥对明文数据进行加密，得到密文数据，将密文数据发送到第一数据处理系统；

(4)第一数据处理系统将第一承载数据加密模块发送的密文数据进行处理，并将处理后的数据发送到第二加密交换机装置内；

(5)第二加密交换机装置内的第二数据处理系统接收密文数据，并对密文数据进行分析，将分析后得到的密文数据发送到第二承载数据解密模块；

(6)第二承载数据解密模块向第二密钥管理模块请求量子密钥，并通过量子密钥对密文数据进行解密，将解密后得到的数据发送到第二数据处理系统；

(7)第二数据处理系统将第二承载数据解密模块发送的数据进行处理，并将处理后的数据转发出去。

作为本发明进一步改进的技术方案，所述的第一密钥管理模块接收到量子密钥的请求后向第二加密交换机装置内的第二密钥管理模块发起密钥池一致性检测具体包括以下步骤：

(1)第一加密交换机装置向第一量子密钥分发装置发起连接认证，第二加密交换机装置向第二量子密钥分发装置发起连接认证，若连接认证均成功，则执行下一步骤；

(2)第一密钥管理模块将自身的密钥池特征信息发送到第一量子密钥分发装置，第一量子密钥分发装置将第一密钥管理模块的密钥池特征信息发送到第二量子密钥分发装置；

(3)第二量子密钥分发装置将第一密钥管理模块的密钥池特征信息发送到第二加密交换机装置内的第二密钥管理模块，第二密钥管理模块将第一密钥管理模块的密钥池特征信息与自身的密钥池特征信息进行对比，并将对比结果依次通过第二量子密钥分发装置和第一量子密钥分发装置反馈到第一加密交换机装置内的第一密钥管理模块；

(4)第一密钥管理模块接收密钥池一致性检测的对比结果，若对比结果为第一密钥管理模块的密钥池特征信息和第二密钥管理模块的密钥池特征信息一致，则第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥；否则，第一密钥管理模块和第二密钥管理模块重新同步密钥池。

作为本发明进一步改进的技术方案，所述的第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥的具体步骤包括：

(1)第一密钥管理模块向第一量子密钥分发装置发起量子密钥请求，或者第一量子密钥分发装置定时发起量子密钥推送消息，第一量子密钥分发装置和第二量子密钥分发装置均对量子密钥请求或者量子密钥推送消息内的密钥参数进行校验，若参数校验成功，则执行下一步骤；

(2)第一量子密钥分发装置与第二量子密钥分发装置之间通过量子通信产生相同的量子密钥；

(3)第一量子密钥分发装置向第二量子密钥分发装置发送第一加密交换机装置与第一量子密钥分发装置的连接状态，第二量子密钥分发装置向第一量子密钥分发装置发送第二加密交换机装置与第二量子密钥分发装置的连接状态，若第二量子密钥分发装置接收到的信息为第一加密交换机装置与第一量子密钥分发装置处于连接状态，且第一量子密钥分发装置接收到的信息为第二加密交换机装置与第二量子密钥分发装置处于连接状态，则执行下一步骤；

(4)第一量子密钥分发装置发送量子密钥到第一加密交换机装置内的第一密钥管理模块，同时，第二量子密钥分发装置发送量子密钥到第二加密交换机装置内的第二密钥管理模块；

(5)第一密钥管理模块在成功获取第一量子密钥分发装置的量子密钥后，向第一量子密钥分发装置进行应答，第二密钥管理模块在成功获取第二量子密钥分发装置的量子密钥后，向第二量子密钥分发装置进行应答；

(6)若第一密钥管理模块或第二密钥管理模块没有在预设时间内返回正确的应答信息，则第一密钥管理模块和第二密钥管理模块在下一次的密钥池一致性检测时重新同步密钥池。

作为本发明进一步改进的技术方案，所述的第一量子密钥分发装置和第二量子密钥分发装置均对量子密钥请求或者量子密钥推送消息内的密钥参数进行校验的具体步骤包括：

(1)第一量子密钥分发装置对密钥参数进行校验，若第一量子密钥分发装置校验成功，则将密钥参数发送到第二量子密钥分发装置，执行下一步骤，否则校验失败，流程结束；

(2)第二量子密钥分发装置对密钥参数进行校验，将校验结果发送到第一量子密钥分发装置；

(3)若第一量子密钥分发装置接收到的校验结果为第二量子密钥分发装置校验成功，则判断参数校验成功，执行下一步骤；否则校验失败，流程结束。

本发明的有益效果为：本发明一方面结合了传统二三层交换机的功能，另一方面通过量子密钥对进入加密交换机的数据进行加密重组后转发，实现数据在外网中的密文传输，保证数据的安全性。本发明基于量子密码技术，实现了一种经典网络设备间数据加密传输的方法，具有较高的通用性，相对于传统的基于算法复杂度的加密方法，量子密钥分发是绝对安全的，极大地提高了通信的安全性。第一加密交换机装置向第一量子密钥分发装置获取密钥，同时第二加密交换机装置可以向第二量子密钥分发装置获取密钥，两端获取密钥可以实现同步，相对于传统交换机的两端分别读取密钥的方法，该方法使得通信双方无需直接连接协商即可获得对称密钥，降低了密钥池同步异常风险，提高了量子密钥利用率，增强了系统的可靠性和健壮性。

附图说明

图1为本发明的装置网络连接图；

图2为本发明的第一加密交换机装置加密流程图。

图3为本发明的第二加密交换机装置解密流程图。

图4为本发明的第一加密交换机装置和第二加密交换机装置之间的密钥池一致性检测示意图。

图5为本发明获取量子密钥的流程图。

图6为本发明的点对点加密交换机装置的应用场景示意图。

图7为本发明的多点互通加密交换机装置应用场景示意图。

图8为本发明带量子密钥管控中心的获取量子密钥的流程图。

具体实施方式

下面根据图1至图8对本发明的具体实施方式作出进一步说明：

参见图1、图2和图3，本实施例提供一种基于量子加密交换机装置的数据传输系统，包括第一加密交换传输系统和第二加密交换传输系统；所述第一加密交换传输系统包括第一加密交换机装置和第一量子密钥分发装置，所述第一加密交换机装置包括第一数据处理系统、第一承载数据加密模块、第一承载数据解密模块和第一密钥管理模块，所述第一数据处理系统分别与第一承载数据加密模块和第一承载数据解密模块通信连接，所述第一承载数据加密模块和第一承载数据解密模块均与第一密钥管理模块通信连接，所述第一密钥管理模块与所述第一量子密钥分发装置通信连接；所述第二加密交换传输系统包括第二加密交换机装置和第二量子密钥分发装置，所述第二加密交换机装置包括第二数据处理系统、第二承载数据加密模块、第二承载数据解密模块和第二密钥管理模块，所述第二数据处理系统分别与第二承载数据加密模块和第二承载数据解密模块通信连接，所述第二承载数据加密模块和第二承载数据解密模块均与第二密钥管理模块通信连接，所述第二密钥管理模块与所述第二量子密钥分发装置通信连接；所述第一量子密钥分发装置和第二量子密钥分发装置量子通信连接。

其中第一数据处理系统和第二数据处理系统：用于实现数据的接收、拆包解析和转发功能；第一承载数据加密模块和第二承载数据加密模块：用于实现网络数据包业务数据加密功能；第一承载数据解密模块和第二承载数据解密模块：用于实现网络数据包业务数据解密功能；第一密钥管理模块和第二密钥管理模块：用于实现密钥的请求、接收和管理功能。

图6为本发明的点对点加密交换机装置的应用场景示意图，即有2个加密交换传输系统，分别为第一加密交换传输系统和第二加密交换传输系统；图7为本发明的多点互通加密交换机装置应用场景示意图。即有3个或3个以上的加密交换传输系统，即分别为第一加密交换传输系统、单个或多个中继加密交换传输系统和第二加密交换传输系统。其中第一加密交换传输系统、中继加密交换传输系统和第二加密交换传输系统内部结构相同，为相同产品，仅仅位置不同，下面介绍一下多点互通时的具体连接方式。

本实施例还包括中继加密交换传输系统，所述中继加密交换传输系统包括中继加密交换机装置和中继量子密钥分发装置，所述中继加密交换机装置包括中继数据处理系统、中继承载数据加密模块、中继承载数据解密模块和中继密钥管理模块，所述中继数据处理系统分别与中继承载数据加密模块和中继承载数据解密模块通信连接，所述中继承载数据加密模块和中继承载数据解密模块均与中继密钥管理模块通信连接，所述中继密钥管理模块与所述中继量子密钥分发装置通信连接，所述第一量子密钥分发装置通过中继量子密钥分发装置和第二量子密钥分发装置量子通信连接。

本实施例中，所述中继加密交换传输系统也可为多个，所述第一量子密钥分发装置依次通过多个中继量子密钥分发装置和第二量子密钥分发装置量子通信连接且多个中继量子密钥分发装置依次量子通信连接。当第一加密交换传输系统需要与第二加密交换传输系统进行数据传输时，如果距离太远，需要通过多个中继加密交换传输系统所在的网络中继获得。

另考虑到如果量子密钥分发有中继时，如果加密交换机装置之间需要通过量子分发系统网络传输数据时延时较大，在网络部署时可增加量子密钥管控中心服务。即当有中继加密交换传输系统时，本实施例还可设有量子密钥管控中心，所述第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置均与量子密钥管控中心连接。通过量子密钥管控中心实现第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置的三者中其中两者之间的数据传输。量子密钥管控中心不仅能提供各个装置间的数据交互，还能对量子密钥分发装置(第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置)、加密交换机装置(第一加密交换机装置、中继加密交换机装置和第二加密交换机装置)的接入权限进行管理，同时量子密钥管控中心可选择性的对加密交换机进行管理，并可对加密交换机的运行状态、性能参数、密钥状态等进行实时监控。

所述第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置均采用量子密钥分配终端。

本实施例根据上述传输系统提供一种基于量子加密交换机装置的数据传输系统的传输方法，包括加密传输方法和解密传输方法，参见图2，加密传输方法如下：

(1)第一数据处理系统接收数据包并对数据包分析，将分析后得到的明文数据发送到第一承载数据加密模块；

(2)第一承载数据加密模块向第一密钥管理模块请求量子密钥，第一密钥管理模块接收到量子密钥的请求后向第二加密交换机装置内的第二密钥管理模块发起密钥池一致性检测，若第一密钥管理模块内的密钥池特征信息和第二密钥管理模块内的密钥池特征信息为一致，则第一密钥管理模块可获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块可获取第二量子密钥分发装置内的量子密钥；

(3)第一密钥管理模块向第一承载数据加密模块发送量子密钥，第一承载数据加密模块通过量子密钥对明文数据进行加密，得到密文数据，并将量子加密标志、密钥池编号、密钥特征值和明文数据特征值填充到IP首部选项字段中，将密文数据和IP首部选项字段发送到第一数据处理系统；

(4)第一数据处理系统将第一承载数据加密模块发送的密文数据和IP首部选项字段进行整理封包，并将封包后的数据发送到第二加密交换机装置。

参见图3，解密传输方法如下：

(1)第二加密交换机装置内的第二数据处理系统接收密文数据，并对密文数据进行分析，将分析后得到的密文数据发送到第二承载数据解密模块；；

(2)第二承载数据解密模块向第二密钥管理模块请求量子密钥，并通过量子密钥对密文数据进行解密，将解密后得到的数据发送到第二数据处理系统；

(3)第二数据处理系统将第二承载数据解密模块发送的数据进行处理，即删除IP首部选项字段(包括量子加密标志、密钥池编号、密钥特征值和明文数据特征值)，并对解密后得到的数据重新封包并将封包后的数据转发出去。

当然上述加密传输方法也可以在中继加密交换传输系统或第二加密交换传输系统内实现，解密传输方法也可以在中继加密交换传输系统或第一加密交换传输系统内实现，具体主要是判断谁是发送端或接收端，其中第一加密交换传输系统、中继加密交换传输系统或第二加密交换传输系统均可以作为发送端，第一加密交换传输系统、中继加密交换传输系统或第二加密交换传输系统也可以作为接收端，发送端进行加密，接收端进行解密。

参见图4，密钥池一致性检测可由多种方式触发，当有明文数据输入到第一加密交换机装置时，在进行加密之前第一加密交换机装置会发起密钥池进行一致性检测，并将第一加密交换机装置的密钥池特征信息转发到量子密钥系统(第一量子密钥分发装置和第二量子密钥分发装置)；密钥池一致性检测的触发机制也可以通过策略选用定时器触发机制；第一密钥管理模块接收到量子密钥的请求后向第二加密交换机装置内的第二密钥管理模块发起密钥池一致性检测具体包括以下步骤：

(1)第一加密交换机装置向第一量子密钥分发装置发起连接认证，第二加密交换机装置向第二量子密钥分发装置发起连接认证，若连接认证均成功，则执行下一步骤；

(2)第一密钥管理模块将自身的密钥池特征信息发送到第一量子密钥分发装置，第一量子密钥分发装置将第一密钥管理模块的密钥池特征信息发送到第二量子密钥分发装置；

(3)第二量子密钥分发装置将第一密钥管理模块的密钥池特征信息发送到第二加密交换机装置内的第二密钥管理模块，第二密钥管理模块将第一密钥管理模块的密钥池特征信息与本地的密钥池特征信息进行对比，并将对比结果依次通过第二量子密钥分发装置和第一量子密钥分发装置反馈到第一加密交换机装置内的第一密钥管理模块；

(4)第一密钥管理模块接收密钥池一致性检测的对比结果，若对比结果为第一密钥管理模块的密钥池特征信息和第二密钥管理模块的密钥池特征信息一致，则第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥；否则，第一密钥管理模块和第二密钥管理模块重新同步密钥池。

中继加密交换机装置与第一加密交换机装置的密钥池一致性检测方法或中继加密交换机装置与第二加密交换机装置的密钥池一致性检测方法均与上述一致。密钥的使用方式可通过策略采用一次一密方式，每次数据加密都从量子密钥分发装置中获取新的密钥，也可以对密钥设置生效时间，定时更新密钥。

第一密钥管理模块和第二密钥管理模块重新同步密钥池的具体步骤为：第一加密交换机装置和第二加密交换机装置均删除自身的原密钥池，第一加密交换机装置根据第一加密交换机装置的ID信息和第二加密交换机装置的ID信息等创建新的密钥池，并通知第二加密交换机装置创建新的密钥池。

参见图5，所述的第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥的具体步骤包括：

(1)第一加密交换机装置向第一量子密钥分发装置发起连接认证，第二加密交换机装置向第二量子密钥分发装置发起连接认证，若连接认证均成功，则执行下一步骤；

(2)第一密钥管理模块向第一量子密钥分发装置发起量子密钥请求，第一量子密钥分发装置将密钥请求发送到第二量子密钥分发装置，第一量子密钥分发装置和第二量子密钥分发装置均对量子密钥请求内的密钥参数(如密钥池状态、密钥长度、两端加密交换机ID等)进行校验，若参数校验成功，则执行下一步骤；或者：第一量子密钥分发装置定时向第一密钥管理模块发起量子密钥推送消息，第一量子密钥分发装置可配置密钥推送参数，并将密钥参数信息通知第二量子密钥分发装置，第一量子密钥分发装置检测推送的密钥长度是否小于等于自身密钥池可用密钥长度，第二量子密钥分发装置再检测两端加密交换机的ID信息有效，检测推送的密钥参数信息内的密钥长度是否小于等于自身密钥池可用密钥长度，从而判断参数检验是否成功；

(3)第一量子密钥分发装置与第二量子密钥分发装置之间通过量子通信产生相同的量子密钥，并对量子密钥进行校验，以确保量子密钥的一致性；

(4)确保量子密钥的一致性后，第一量子密钥分发装置向第二量子密钥分发装置发送第一加密交换机装置与第一量子密钥分发装置的连接状态，第二量子密钥分发装置向第一量子密钥分发装置发送第二加密交换机装置与第二量子密钥分发装置的连接状态，若第二量子密钥分发装置接收到的信息为第一加密交换机装置与第一量子密钥分发装置处于连接状态，且第一量子密钥分发装置接收到的信息为第二加密交换机装置与第二量子密钥分发装置处于连接状态，则执行下一步骤；

(5)第一量子密钥分发装置发送量子密钥到第一加密交换机装置内的第一密钥管理模块，同时，第二量子密钥分发装置主动推送量子密钥到第二加密交换机装置内的第二密钥管理模块；

(6)第一密钥管理模块在成功获取第一量子密钥分发装置的量子密钥后，向第一量子密钥分发装置进行应答，第二密钥管理模块在成功获取第二量子密钥分发装置的量子密钥后，向第二量子密钥分发装置进行应答；

(7)若第一密钥管理模块或第二密钥管理模块没有在预设时间内返回正确的应答信息，则第一密钥管理模块和第二密钥管理模块在下一次的密钥池一致性检测时重新同步密钥池。

所述的第一量子密钥分发装置和第二量子密钥分发装置均对量子密钥推送消息内的密钥参数进行校验的具体步骤包括：

(1)第一量子密钥分发装置对密钥参数进行校验，若第一量子密钥分发装置校验成功，则将密钥参数发送到第二量子密钥分发装置，否则进行校验失败处理：第一量子密钥分发装置反馈校验失败结果到第一密钥管理模块，第一密钥管理模块向第一量子密钥分发装置发起新的量子密钥请求；

(2)第二量子密钥分发装置对密钥参数进行校验，将校验结果发送到第一量子密钥分发装置；

(3)若第一量子密钥分发装置接收到的校验结果为第二量子密钥分发装置也校验成功，则判断参数校验成功，执行下一步骤；否则进行校验失败处理：第一量子密钥分发装置反馈校验失败结果到第一密钥管理模块，第一密钥管理模块向第一量子密钥分发装置发起新的量子密钥请求。

其中密钥参数包括双端的加密交换机装置的ID信息和密钥长度，具体校验方法为：

所述的第一量子密钥分发装置对密钥参数进行校验：判断密钥参数内的密钥长度是否小于等于自身密钥池中可用密钥长度；若密钥参数内的密钥长度是小于等于自身密钥池中可用密钥长度，则第一量子密钥分发装置校验成功。

第二量子密钥分发装置对密钥参数进行校验：判断密钥参数内的密钥长度是否小于等于自身密钥池中可用密钥长度；且将密钥参数内的第一加密交换机装置的ID信息与第二加密交换机装置的ID信息进行对比，若密钥参数内的密钥长度是小于等于自身密钥池中可用密钥长度且第一加密交换机装置的ID信息与第二加密交换机装置的ID信息对等，则第二量子密钥分发装置校验成功。当第一量子密钥分发装置和第二量子密钥分发装置均校验成功时，才能判断参数校验成功。

下表1中展示了一种IP数据包的格式，用于保证数据传输中的完整性以及区分输入加密交换机的数据是需要加密还是解密，在IP首部的选项字段增加1字节的量子加密标志、1个字节的密钥池编号，2个字节的密钥特征值，2字节的原始数据校验特征值(明文数据特征值)，量子加密标志用来区分接收到的数据是明文还是密文，密钥池编号用来确定本端加密机与对端加密机相同的密钥池信息，密钥特征值用来标识本次加密所采用的密钥位置，可以是密钥序号、不可逆算法生成的特征值等，原始数据校验特征值由明文数据通过不可逆的算法生成，用于保证数据的一致性，具体实施步骤如下，即所述的第一数据处理系统接收数据并对数据分析的具体步骤为：

(1)当外部数据到达第一加密交换机装置的第一数据处理系统，第一数据处理系统接收数据并对数据进行分析，该系统会对数据的IP首部进行解析，查看数据包内是否包含IP首部选项字段以及IP首部选项字段内是否包含量子加密标志，若均包含，则第一数据处理系统判断接收到的数据包内包含的数据为密文数据，并将密文数据发送到第一承载数据解密模块从而进行解密，执行步骤(4)；若数据包内不包含IP首部选项字段或IP首部选项字段内不包含量子加密标志，则第一数据处理系统判断接收到的数据包内包含的数据为明文数据，并将明文数据发送到第一承载数据加密模块从而进行加密，执行步骤(2)。

(2)第一承载数据加密模块对明文数据进行加密，并将量子加密标志、密钥池特征值、密钥特征值和原始数据特征值填充到IP首部选项字段中，将密文数据和IP首部选项字段发送到第一数据处理系统；

(3)第一数据处理系统将第一承载数据加密模块发送的密文数据和IP首部选项字段进行整理封包并将处理后的数据转发出去，流程结束；

(4)第一承载数据解密模块对密文数据进行解密，并对解密后的数据进行特征值计算，然后与IP首部选项字段中的特征值进行比较，一致后，删除IP首部选项字段中的数据，然后将处理后的数据回传到第一数据处理系统，若不一致，执行步骤6；

(5)第一数据处理系统将数据进行整理封包并转发出去，流程结束；

(6)丢弃数据包，流程结束。

表1：

针对传输方法另外介绍3个实施例场景，即图6的点对点的实施例，图7的多点互通的实施例，图8的带量子密钥管控中心的获取量子密钥的实施例。

图6为本发明的点对点加密交换机装置的应用场景示意图。局域网A中的设备A需要与局域网B中的设备B进行保密通信，采用量子加密交换机方案，分别在局域网A和局域网B中搭建好量子加密交换机环境，具体实施步骤如下：

(1)局域网A中的设备A将数据发送到第一加密交换机装置，第一加密交换机装置从第一量子密钥分发装置中获取密钥并对数据进行加密；

(2)第一加密交换机装置将加密后的密文数据发送出去；

(3)加密后的密文数据通过网关、路由器等设备转发并最终到达局域网B中的第二加密交换机装置中；

(4)第二加密交换机装置获得加密数据后，从第二加密交换机装置的密钥池中获取密钥，对密文数据解密和校验，若校验成功执行步骤(5)，失败执行步骤(7)；

(5)第二加密交换机装置将解密后的数据发送到设备B通信成功；

(6)局域网B下的设备B向局域网A下的设备A发送数据与上述流程一致；

(7)校验失败，则发起密钥池一致性检验，若不一致则发起新的密钥同步流程，若一致则通知对端进行数据重发。

图7为本发明的多点互通加密交换机装置应用场景示意图。当有多个局域网内的设备需要互相通信，网络A、B、C内的设备互相之间需要进行通信，采用量子加密交换机方案，分别在局域网A、B、C中搭建好量子加密交换机环境，具体实施步骤如下：

(1)对交换机配置：由于各网络中的加密交换机装置存在多个密钥池，数据发送的方向也不确定，可通过对加密交换机装置进行配置，使加密交换机端口、需要通信的双方设备以及加密交换机链路建立映射关系；加密交换机装置间的每次数据加密交互都需要通过映射关系获得密钥并对指定端口进行发送；

(2)数据加解密流程与图6实施步骤相同：当网络A中设备需要与网络C中的设备进行通信时，网络A内的加密交换机装置和网络C中的加密交换机装置处的密钥是通过量子密钥分发装置经过网络B中继获得的。

图8为带量子密钥管控中心的获取量子密钥的应用场景示意图。如图8，带量子密钥管控中心的加密交换机装置的密钥获取流程步骤如下：

(1)当量子密钥分发有中继时，加密交换机装置之间数据交互可通过量子密钥分发装置中继传输，若传输数据时延时较大，可在网络部署时增加量子密钥管控中心服务；

(2)量子密钥管控中心不仅能提供各个装置间的数据交互，还能对量子密钥分发装置(上述中第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置均称为量子密钥分发装置)、加密交换机装置(上述中第一加密交换机装置、中继加密交换机装置和第二加密交换机装置均称为加密交换机装置)的接入权限进行管理，同时量子密钥管控中心可选择性的对加密交换机装置进行管理，并可对加密交换机装置的运行状态、性能参数、密钥状态等进行实时监控。

(3)第一加密交换机装置和第二加密交换机装置分别向第一量子密钥分发装置和第二量子密钥分发装置发起连接认证；

(4)认证成功后可由第一加密交换机装置发起请求密钥命令，第一量子密钥分发装置和第二量子密钥分发装置对所请求的密钥参数(如密钥长度，两端交换机ID等)进行校验，校验时的数据交互通过量子密钥管控中心转发；

(5)参数验证好后，第一加密交换机装置从第一量子密钥分发装置中获取密钥，第二加密交换机装置从第二量子密钥分发装置中获取密钥，并对密钥进行校验，以确保密钥的一致性，校验时的数据交互可通过量子密钥管控中心转发；

(6)确认密钥一致后，第一量子密钥分发装置和第二量子密钥分发装置进行交换机连接状态检验，有量子密钥管控中心时，第一量子密钥分发装置和第二量子密钥分发装置均会将各自与加密交换机装置的连接状态上报给量子密钥管控中心，状态验证时由一端向量子密钥管控中心发起状态查询流程，另一端响应；

(7)第一加密交换机装置与第一量子密钥分发装置的连接状态验证成功，且第二加密交换机装置与第二量子密钥分发装置的连接状态验证成功后，第一量子密钥分发装置发送密钥给第一加密交换机装置，同时通过量子密钥管控中心通知第二量子密钥分发装置主动推送密钥到第二加密交换机装置；

(8)第一加密交换机装置在成功获取密钥后向第一量子密钥分发装置进行应答，第二加密交换机装置在成功获取密钥后向第二量子密钥分发装置进行应答；

(9)如果有一端或两端没有在规定时间内返回正确应答信息，则表明出现异常，密钥池也可能发生异常，第一加密交换机装置和第二加密交换机装置会在下一次密钥池一致性检测时重新进行同步。

本发明一方面结合了传统二、三层交换机的功能，另一方面通过量子密钥对进入加密交换机的数据进行加密重组后转发，实现数据在外网中的密文传输，保证数据的安全性。

本发明的保护范围包括但不限于以上实施方式，本发明的保护范围以权利要求书为准，任何对本技术做出的本领域的技术人员容易想到的替换、变形、改进均落入本发明的保护范围。

Claims (9)

1.一种基于量子加密交换机装置的数据传输系统，其特征在于：包括第一加密交换传输系统和第二加密交换传输系统；

所述第一加密交换传输系统包括第一加密交换机装置和第一量子密钥分发装置，所述第一加密交换机装置包括第一数据处理系统、第一承载数据加密模块、第一承载数据解密模块和第一密钥管理模块，所述第一数据处理系统分别与第一承载数据加密模块和第一承载数据解密模块通信连接，所述第一承载数据加密模块和第一承载数据解密模块均与第一密钥管理模块通信连接，所述第一密钥管理模块与所述第一量子密钥分发装置通信连接；

所述第二加密交换传输系统包括第二加密交换机装置和第二量子密钥分发装置，所述第二加密交换机装置包括第二数据处理系统、第二承载数据加密模块、第二承载数据解密模块和第二密钥管理模块，所述第二数据处理系统分别与第二承载数据加密模块和第二承载数据解密模块通信连接，所述第二承载数据加密模块和第二承载数据解密模块均与第二密钥管理模块通信连接，所述第二密钥管理模块与所述第二量子密钥分发装置通信连接；

所述第一量子密钥分发装置和第二量子密钥分发装置量子通信连接。

2.根据权利要求1所述的基于量子加密交换机装置的数据传输系统，其特征在于：还包括中继加密交换传输系统，所述中继加密交换传输系统包括中继加密交换机装置和中继量子密钥分发装置，所述中继加密交换机装置包括中继数据处理系统、中继承载数据加密模块、中继承载数据解密模块和中继密钥管理模块，所述中继数据处理系统分别与中继承载数据加密模块和中继承载数据解密模块通信连接，所述中继承载数据加密模块和中继承载数据解密模块均与中继密钥管理模块通信连接，所述中继密钥管理模块与所述中继量子密钥分发装置通信连接，所述第一量子密钥分发装置通过中继量子密钥分发装置和第二量子密钥分发装置量子通信连接。

3.根据权利要求2所述的基于量子加密交换机装置的数据传输系统，其特征在于：所述中继加密交换传输系统为多个，所述第一量子密钥分发装置依次通过多个中继量子密钥分发装置和第二量子密钥分发装置量子通信连接且多个中继量子密钥分发装置依次量子通信连接。

4.根据权利要求3所述的基于量子加密交换机装置的数据传输系统，其特征在于：所述第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置均采用量子密钥分配终端。

5.根据权利要求3所述的基于量子加密交换机装置的数据传输系统，其特征在于：还包括量子密钥管控中心，所述第一量子密钥分发装置、中继量子密钥分发装置和第二量子密钥分发装置均与量子密钥管控中心连接。

6.一种根据权利要求1所述的基于量子加密交换机装置的数据传输系统的传输方法，其特征在于：包括以下步骤：

(1)第一数据处理系统接收数据并对数据进行分析，将分析后得到的明文数据发送到第一承载数据加密模块；

(2)第一承载数据加密模块向第一密钥管理模块请求量子密钥，第一密钥管理模块接收到量子密钥的请求后向第二加密交换机装置内的第二密钥管理模块发起密钥池一致性检测，若第一密钥管理模块内的密钥池特征信息和第二密钥管理模块内的密钥池特征信息为一致，则第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥；

(3)第一密钥管理模块向第一承载数据加密模块发送量子密钥，第一承载数据加密模块通过量子密钥对明文数据进行加密，得到密文数据，将密文数据发送到第一数据处理系统；

(4)第一数据处理系统将第一承载数据加密模块发送的密文数据进行处理，并将处理后的数据发送到第二加密交换机装置内；

(5)第二加密交换机装置内的第二数据处理系统接收密文数据，并对密文数据进行分析，将分析后得到的密文数据发送到第二承载数据解密模块；

(6)第二承载数据解密模块向第二密钥管理模块请求量子密钥，并通过量子密钥对密文数据进行解密，将解密后得到的数据发送到第二数据处理系统；

(7)第二数据处理系统将第二承载数据解密模块发送的数据进行处理，并将处理后的数据转发出去。

7.一种根据权利要求6所述的基于量子加密交换机装置的数据传输系统的传输方法，其特征在于：所述的第一密钥管理模块接收到量子密钥的请求后向第二加密交换机装置内的第二密钥管理模块发起密钥池一致性检测具体包括以下步骤：

(1)第一加密交换机装置向第一量子密钥分发装置发起连接认证，第二加密交换机装置向第二量子密钥分发装置发起连接认证，若连接认证均成功，则执行下一步骤；

(2)第一密钥管理模块将自身的密钥池特征信息发送到第一量子密钥分发装置，第一量子密钥分发装置将第一密钥管理模块的密钥池特征信息发送到第二量子密钥分发装置；

(3)第二量子密钥分发装置将第一密钥管理模块的密钥池特征信息发送到第二加密交换机装置内的第二密钥管理模块，第二密钥管理模块将第一密钥管理模块的密钥池特征信息与自身的密钥池特征信息进行对比，并将对比结果依次通过第二量子密钥分发装置和第一量子密钥分发装置反馈到第一加密交换机装置内的第一密钥管理模块；

(4)第一密钥管理模块接收密钥池一致性检测的对比结果，若对比结果为第一密钥管理模块的密钥池特征信息和第二密钥管理模块的密钥池特征信息一致，则第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥；否则，第一密钥管理模块和第二密钥管理模块重新同步密钥池。

8.一种根据权利要求6所述的基于量子加密交换机装置的数据传输系统的传输方法，其特征在于：所述的第一密钥管理模块获取第一量子密钥分发装置内的量子密钥，第二密钥管理模块获取第二量子密钥分发装置内的量子密钥的具体步骤包括：

(1)第一密钥管理模块向第一量子密钥分发装置发起量子密钥请求，或者第一量子密钥分发装置定时发起量子密钥推送消息，第一量子密钥分发装置和第二量子密钥分发装置均对量子密钥请求或者量子密钥推送消息内的密钥参数进行校验，若参数校验成功，则执行下一步骤；

(2)第一量子密钥分发装置与第二量子密钥分发装置之间通过量子通信产生相同的量子密钥；

(3)第一量子密钥分发装置向第二量子密钥分发装置发送第一加密交换机装置与第一量子密钥分发装置的连接状态，第二量子密钥分发装置向第一量子密钥分发装置发送第二加密交换机装置与第二量子密钥分发装置的连接状态，若第二量子密钥分发装置接收到的信息为第一加密交换机装置与第一量子密钥分发装置处于连接状态，且第一量子密钥分发装置接收到的信息为第二加密交换机装置与第二量子密钥分发装置处于连接状态，则执行下一步骤；

(4)第一量子密钥分发装置发送量子密钥到第一加密交换机装置内的第一密钥管理模块，同时，第二量子密钥分发装置发送量子密钥到第二加密交换机装置内的第二密钥管理模块；

(5)第一密钥管理模块在成功获取第一量子密钥分发装置的量子密钥后，向第一量子密钥分发装置进行应答，第二密钥管理模块在成功获取第二量子密钥分发装置的量子密钥后，向第二量子密钥分发装置进行应答；

(6)若第一密钥管理模块或第二密钥管理模块没有在预设时间内返回正确的应答信息，则第一密钥管理模块和第二密钥管理模块在下一次的密钥池一致性检测时重新同步密钥池。

9.一种根据权利要求8所述的基于量子加密交换机装置的数据传输系统的传输方法，其特征在于：所述的第一量子密钥分发装置和第二量子密钥分发装置均对量子密钥请求或者量子密钥推送消息内的密钥参数进行校验的具体步骤包括：

(1)第一量子密钥分发装置对密钥参数进行校验，若第一量子密钥分发装置校验成功，则将密钥参数发送到第二量子密钥分发装置，执行下一步骤，否则进行校验失败处理，流程结束；

(2)第二量子密钥分发装置对密钥参数进行校验，将校验结果发送到第一量子密钥分发装置；

(3)若第一量子密钥分发装置接收到的校验结果为第二量子密钥分发装置校验成功，则判断参数校验成功，执行下一步骤；否则进行校验失败处理，流程结束。