CN111934784A - 一种适用于电力系统的星地一体量子密钥分发系统 - Google Patents

Abstract

本发明公开了一种适用于电力系统的星地一体量子密钥分发系统，涉及量子通信技术领域。该网络包括光纤密钥分发层、无线密钥分发层和卫星密钥分发层，卫星密钥分发层基于量子卫星和卫星地面站进行密钥协商生成量子密钥；光纤密钥分发层基于具备QKD功能的量子密钥生成终端和密钥管理机进行密钥协商生成量子密钥；无线密钥分发层基于量子密钥无线分发服务器，量子密钥充注机和量子TF卡、量子Ukey，将量子密钥分发至无光纤覆盖的电力业务终端。本发明实现多级密钥分发，为不同的电力业务提供自主选择的空间，解决了电力业务终端因分布范围广，传输距离长而导致密钥无法分发的问题，充分提高了量子密钥分发整体的灵活性和经济性。

Description

一种适用于电力系统的星地一体量子密钥分发系统

技术领域

本发明公开了一种适用于电力系统的星地一体量子密钥分发系统，属于量子保密通信技术领域。

背景技术

量子保密通信技术以其特有的密钥安全分发机制迅速发展，并逐步走向商用。量子保密通信的绝对安全性在原理上被严格证明，可以解决数据加密传输的安全性问题。相较经典通信方式，量子保密通信不可破解，任何企图窃取信息的操作都会被立刻发现，量子保密通信将在社会各领域大规模应用保障信息传输的安全。量子保密通信是将量子技术与现有信息保密体系结合，极大提高了数据保护的安全级别，有效保障了信息的安全传送。

量子保密通信的光传输主要以光纤为媒介，而光纤传输的过程中信号损失相当严重。实验表明，光纤传输的量子通信信号在两百公里以后就几乎被吸收殆尽，因此，如果仅仅利用光纤传输来实现远距离的量子通信，就必须建立多个安全可信的信号中继站，这无疑会大大增加通信成本。研究发现，特定波段的光在穿透大气层的过程中能量损失仅为百分之二十，也就是说天地之间数千公里甚至上万公里的距离，光在其间传输的损耗要远远低于在地面光纤网络中传输的损耗。根据这一原理，利用空间中的量子卫星作为地面网络的中转站，就可以建立超远距离的千公里级的洲际量子通信网络。

2016年，我国完全自主研制的世界上第一颗空间量子科学实验卫星“墨子号”发射成功，在国际上率先开展星地一体化量子通信实验，其密钥分发速率比地面同距离光纤量子通信水平提高了15个数量级以上。目前量子卫星已完成了三大既定科学目标，经论证后进入两年拓展实验阶段，为开展星地一体量子通信应用示范提供了可靠的技术支撑。

发明内容

本发明提供一种适用于电力系统的星地一体量子密钥分发系统，充分满足了长距离海量电力业务终端的密钥分发需求，丰富了量子保密通信的组网方案，提高了量子密钥分发整体的灵活性和经济性。

为达到上述目的，本发明采用的技术方案如下：

一种适用于电力系统的星地一体量子密钥分发系统，包括：

卫星密钥分发层，用于基于量子卫星和卫星地面站进行密钥协商生成量子密钥，以及将量子密钥分发至该层相互通信的电力业务终端；

光纤密钥分发层，用于基于具备QKD功能的量子密钥生成终端和密钥管理机进行密钥协商生成量子密钥，以及将量子密钥通过量子VPN网关分发至该层相互通信的电力业务终端；

无线密钥分发层，用于基于量子密钥无线分发服务器和量子密钥充注机生成量子密钥，以及将量子密钥通过量子TF卡或量子Ukey分发至该层相互通信的电力业务终端；

以及，

业务应用层，为卫星密钥分发层，光纤密钥分发层和无线密钥分发层部署的电力业务终端。

进一步的，所述卫星密钥分发层具体用于，

卫星地面站对量子卫星成5°-25°的仰角时，建立星地单边量子信道；

卫星地面站对量子卫星成25°-155°的仰角时，量子卫星载荷向卫星地面站随机发射诱骗态的量子信号和同步光；

卫星地面站随机选择基矢探测量子信号，同时接收同步光信号，并根据同步光信号与量子卫星载荷进行时间同步；

卫星地面站上传量子信号测量时刻和基矢信息；

量子卫星载荷核对测量基矢进行认证，认证成功则形成一段初始码；

重复上述过程，对初始码进行纠错；

量子卫星载荷对纠错后的初始码进行末尾补零扩充初始码长度，并进行快速傅立叶变换，协商出最终的量子密钥；

量子卫星载荷将量子密钥分发到卫星地面站中，与卫星地面站之间进行量子加密的数据通信。

进一步的，所述卫星密钥分发层的电力业务终端之间相距千公里级，所述卫星地面站架设于该层的电力业务终端。

进一步的，所述卫星地面站包括固定地面站、便携地面站和车载地面站。

进一步的，所述光纤密钥分发层具体用于，

密钥发起方在量子信道中发射光量子信号，通过光量子交换机传输至密钥接收方；以及将光量子态比对信号通过经典通道传送至密钥接收方；所述密钥发起方是指发起密钥协商的具备QKD功能的量子密钥生成终端；

密钥接收方检测光量子态，协商出量子密钥；

密钥发起方和密钥接收方分别将协商的量子密钥分发至对应的量子VPN网关；

量子VPN网关使用量子密钥与电力业务终端建立IPsec VPN隧道，进行电力业务终端通信。

进一步的，所述光纤密钥分发层中，电力业务终端相距几十公里级或者百公里级；

对于电力业务终端相距几十公里级，采用裸纤芯构建点对点或者点对多点的量子信道和经典信道；

对于电力业务终端相距百公里级，采用密钥中继设备进行点对点或者点对多点的量子密钥传递。

进一步的，所述无线密钥分发层具体用于，

量子密钥充注机从量子密钥无线分发服务器获取量子密钥；

量子TF卡或量子Ukey从量子密钥充注机获取量子密钥；

量子TF卡或量子Ukey插入相互通信的电力业务终端进行数据加密。

进一步的，所述量子密钥无线分发服务器部署在量子安全服务控制平台。

进一步的，所述量子密钥充注机内置随机数发生器，所述量子密钥充注机部署在量子密钥存储管理平台。

进一步的，所述无线密钥分发层的电力业务终端为无光纤覆盖的电力业务终端，包括手机终端、笔记本终端、办公电脑终端和集中器。

本发明所达到的有益效果为：

本方明将卫星密钥分发融入现有的量子密钥分发，形成星地一体量子密钥分发网络，从而扩大了量子密钥分发技术在电力系统的适用范围，丰富了多公里级的量子保密通信的组网方案。

采用本发明，不同的电力业务可以按照最优方式进行密钥分发方式选择卫星密钥分发，光纤密钥分发或者无线密钥分发，进一步加强了量子密钥分发方式与电力业务耦合度，提高了量子密钥分发整体的灵活性和经济性。

附图说明

图1为本发明的星地一体量子密钥分发网络的物理架构示意图；

图2为本发明的星地一体量子密钥分发网络的逻辑架构示意图；

图3为本发明的卫星密钥分发的网络架构示意图；

图4为本发明的光纤密钥分发的网络架构示意图；

图5为本发明的无线密钥分发的网络架构示意图。

具体实施方式

下面结合附图对技术方案的实施作进一步的详细描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

如图1所示，本实施例提供一种适用于电力系统的星地一体量子密钥分发网络，网络架构主要以量子卫星、卫星地面站、地面量子分发设备、量子密钥服务管理设备、量子通信运行监控中心、电力业务终端设备等要素为核心。其中，卫星地面站包括固定地面站、便携地面站、车载地面站等多种类型地面站。地面量子分发设备包括QKD设备、密钥中继设备、密钥充注设备等。量子通信运行监控中心包括各类监控中心和卫星运控中心。电力业务终端设备包括变电站、离线移动应用等。

如图2所示，星地一体量子密钥分发网络逻辑架构包括3层，分别是卫星密钥分发层、光纤密钥分发层、无线密钥分发层及业务应用层。卫星密钥分发层主要是利用量子卫星和卫星地面站之间的相互通信实现千公里级的广域密钥协商，通过量子密钥服务管理设备获得成对的量子密钥。光纤密钥分发层主要包括具备QKD功能的量子密钥生成终端、密钥管理机、量子VPN网关等设备，光纤密钥分发层可实现地面百公里级城域网络的密钥分发。无线密钥分发层通过搭建量子密钥充注机、量子随机数发生器所在的离线充注平台，进行身份认证和密钥更新，可实现无光纤覆盖的末端密钥分发。

（1）卫星密钥分发

在千公里级的卫星密钥分发中，考虑通信资源和通信距离的影响，现有的光纤密钥分发及无线密钥分发并不能实现。而卫星密钥分发主要是一种超长距、业务终端分布范围广的量子密钥分发技术，需要基于量子卫星和地面站实现广域互联。目前卫星密钥分发可以应用于异地容灾、应急保电、金融财务交易等电力业务。

如图3所示，卫星密钥分发网络架构主要包括量子卫星、卫星地面站、密钥服务管理设备等装置。相距千公里级的多个通信节点（电力业务终端）需要架设地面站，通过地面站与量子卫星的通信，从而完成多个通信节点之间的密钥分发。

卫星密钥分发首先需要完成卫星与地面站的信息交互。首先，当地面站对量子卫星成5°-25°的仰角时，建立星地单边量子信道。随着量子卫星的移动，当地面站对量子卫星成25°-155°的仰角时，量子卫星进入量子密钥发射模式，而地面站进入量子密钥接收模式。与此同时，量子卫星载荷向地面站随机发射诱骗态的量子信号和同步光。地面站随机选择基矢探测量子信号，同时接收同步光信号。地面站根据同步光信号与卫星载荷建立高精度时间同步。此时，地面站需要上传信号测量时刻和基矢信息，载荷核对测量基矢进行认证，认证成功则形成一段初始码。经过多次的卫星与地面站的信息交互，完成对初始码的偏差纠错，进行隐私放大，从而协商出最终绝对安全的量子密钥。

将量子密钥分发到地面站中，与地面站之间进行数据通信的量子加密。

具体的，初始码是一段二进制序列，经过多次的卫星与地面站的信息交互后，形成许多二进制序列。对许多二进制序列进行偏差纠错，是采用一定的算法过滤二进制序列中可能出现的噪声扰动、随机误差等不符合要求的序列。

进行隐私放大，是指对纠错后的初始码进行末尾补零扩充初始码长度，然后进行快速傅立叶变换，从而形成量子密钥。

本发明中卫星密钥分发层以墨子号量子卫星为中心，组网覆盖面最广，适合超长距通信，通过与地面站进行通信实现了洲际互联。

（2）光纤密钥分发

光纤密钥分发主要适用于具备光纤资源的几十公里甚至百公里级场景。在几十公里级的场景，可利用裸纤芯构建点对点、点对多点实现量子密钥的安全分发；但对于百公里级的场景，可利用中继密钥分发技术实现密钥的连续传递，最终保证分发起点和终点的密钥一致性。目前光纤密钥分发已经广泛应用于调度自动化、源网荷协调控制、电话电视会议、银电业务等电力业务。

如图4所示，光纤密钥分发网络架构是由点对点、点对多点及可信中继网络共同构成的基于光纤直连的量子密钥分发网络。通过光量子交换机实现单个QKD接收端与多个QKD发送端的互联，形成复杂组网。

一般而言，光纤密钥分发需要2裸纤芯。其中一根裸纤芯作为量子信道，用于传送光子量子态。另一根裸纤芯作为经典信道，用于传输量子密钥协商信息，生成量子密钥。因此，光纤密钥分发网络具备密钥生成、密钥存储、密钥输出、密钥更新、密钥销毁、策略生成、光路切换、可信中继等功能。

每个电力业务终端配置具备QKD功能的量子密钥生成终端、密钥管理机和量子VPN网关等设备。量子密钥生成与管理终端A（具备QKD功能的量子密钥生成终端）在量子信道中发射光量子信号，通过波分复用设备（光量子交换机）传输至量子密钥生成与管理终端B，通过硬件模块检测光量子态。以及，量子密钥生成与管理终端A将光量子态比对信号通过经典通道传送至B（仅比对信号，非密钥数据），通过协商得出量子密钥，并存储于各自的密钥存储模块。通过密钥管理软件协商，量子密钥生成与管理终端A和量子密钥生成与管理终端B分别将匹配的对称密钥分发至对应的量子VPN网关。量子VPN获取密钥后，使用量子密钥与业务终端建立IPsec VPN隧道，为业务传输提供端到端安全保障。

本发明中光纤密钥分发层必须依赖光纤通信，组网覆盖面较小，适合短距离通信。光纤密钥分发层通过搭建点对点拓扑、点对多点拓扑、中继拓扑来实现省域互联。

（3）无线密钥分发

基于量子保密通信技术的电力业务承载，普遍采用裸光纤信道进行密钥分发，技术成熟度较高，应用范围较广。但是对于光纤难以覆盖的海量电力业务终端，一方面受限于纤芯资源，另一方面受限于成本，难以直接采用光纤信道进行量子密钥分发。采用量子无线密钥分发技术，实现了对现有通信方式安全性的大幅提升，可以节约大量的光纤资源，提高网络运行的经济性，大幅降低建设成本，具有较大的技术优势。目前量子无线密钥分发已经广泛应用于配用电业务、电子商务平台、协同办公系统、保密语音通信、移动办公系统等电力业务。

如图5所示，量子无线密钥分发网络架构包括：量子安全服务控制平台、量子密钥存储管理平台和海量电力业务终端平台。量子安全服务控制平台承载了量子密钥无线分发服务器，量子密钥存储管理平台包含了量子密钥充注机，实时补充量子密钥，并为量子TF卡、量子Ukey等无线介质充入量子密钥，以供电力业务终端使用。海量电力业务终端平台是使用量子密钥的海量电力业务终端，插入量子TF卡、量子Ukey等无线介质即可使用量子密钥加密业务数据。

量子无线密钥分发需要依托量子密钥充值系统。量子密钥充值系统主要包括量子密钥无线分发系统、量子密钥充注机、以及量子Ukey或安装量子TF卡的手机终端、笔记本终端、办公电脑终端、集中器等业务终端。其中，量子密钥充注机内置随机数发生器，量子Ukey或量子TF卡通过量子密钥充注机获取密钥后，使用量子密钥进行身份认证，通过量子SSLVPN（安全套接层虚拟专用网）网关建立安全通道，接入内网，访问相关应用服务器。

本发明的无线密钥分发层必须依赖无线通信，组网覆盖面较大，适合中长距离通信。无线密钥分发层通过WLAN、4G、微波等无线通信方式来实现末端互联。

本发明将卫星密钥分发融入现有的量子密钥分发，形成星地一体量子密钥分发网络，从而扩大了量子密钥分发技术在电力系统的适用范围，丰富了多公里级的量子保密通信的组网方案。不同的电力业务可以按照最优方式进行密钥分发方式选择，进一步加强了量子密钥分发方式与电力业务耦合度，提高了量子密钥分发整体的灵活性和经济性。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (10)

1.一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，包括：

卫星密钥分发层，用于基于量子卫星和卫星地面站进行密钥协商生成量子密钥，以及将量子密钥分发至该层相互通信的电力业务终端；

光纤密钥分发层，用于基于具备QKD功能的量子密钥生成终端和密钥管理机进行密钥协商生成量子密钥，以及将量子密钥通过量子VPN网关分发至该层相互通信的电力业务终端；

无线密钥分发层，用于基于量子密钥无线分发服务器和量子密钥充注机生成量子密钥，以及将量子密钥通过量子TF卡或量子Ukey分发至该层相互通信的电力业务终端；

以及，

业务应用层，为卫星密钥分发层，光纤密钥分发层和无线密钥分发层部署的电力业务终端。

2.根据权利要求1所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述卫星密钥分发层具体用于，

卫星地面站对量子卫星成5°-25°的仰角时，建立星地单边量子信道；

卫星地面站对量子卫星成25°-155°的仰角时，量子卫星载荷向卫星地面站随机发射诱骗态的量子信号和同步光；

卫星地面站随机选择基矢探测量子信号，同时接收同步光信号，并根据同步光信号与量子卫星载荷进行时间同步；

卫星地面站上传量子信号测量时刻和基矢信息；

量子卫星载荷核对测量基矢进行认证，认证成功则形成一段初始码；

重复上述过程，对初始码进行纠错；

量子卫星载荷对纠错后的初始码进行末尾补零扩充初始码长度，并进行快速傅立叶变换，协商出最终的量子密钥；

量子卫星载荷将量子密钥分发到卫星地面站中，与卫星地面站之间进行量子加密的数据通信。

3.根据权利要求1所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述卫星密钥分发层的电力业务终端之间相距千公里级，所述卫星地面站架设于该层的电力业务终端。

4.根据权利要求3所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述卫星地面站包括固定地面站、便携地面站和车载地面站。

5.根据权利要求1所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述光纤密钥分发层具体用于，

密钥发起方在量子信道中发射光量子信号，通过光量子交换机传输至密钥接收方；以及将光量子态比对信号通过经典通道传送至密钥接收方；所述密钥发起方是指发起密钥协商的具备QKD功能的量子密钥生成终端；

密钥接收方检测光量子态，协商出量子密钥；

密钥发起方和密钥接收方分别将协商的量子密钥分发至对应的量子VPN网关；

量子VPN网关使用量子密钥与电力业务终端建立IPsec VPN隧道，进行电力业务终端通信。

6.根据权利要求5所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述光纤密钥分发层中，电力业务终端相距几十公里级或者百公里级；

对于电力业务终端相距几十公里级，采用裸纤芯构建点对点或者点对多点的量子信道和经典信道；

对于电力业务终端相距百公里级，采用密钥中继设备进行点对点或者点对多点的量子密钥传递。

7.根据权利要求1所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述无线密钥分发层具体用于，

量子密钥充注机从量子密钥无线分发服务器获取量子密钥；

量子TF卡或量子Ukey从量子密钥充注机获取量子密钥；

量子TF卡或量子Ukey插入相互通信的电力业务终端进行数据加密。

8.根据权利要求7所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述量子密钥无线分发服务器部署在量子安全服务控制平台。

9.根据权利要求7所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述量子密钥充注机内置随机数发生器，所述量子密钥充注机部署在量子密钥存储管理平台。

10.根据权利要求7所述的一种适用于电力系统的星地一体量子密钥分发系统，其特征在于，所述无线密钥分发层的电力业务终端为无光纤覆盖的电力业务终端，包括手机终端、笔记本终端、办公电脑终端和集中器。

Images