无源光网络中的量子密钥分发和管理的制作方法

无源光网络中的量子密钥分发和管理
1.相关申请
2.本技术要求huberman等人于2019年10月17日提交的名称为“method for creating a provable secure transport layer(tls)using quantum key distribution[使用量子密钥分发创建可证明的安全传输层(tls)的方法]”的美国临时专利申请号62/916,553、huberman等人于2019年10月30日提交的名称为“method for creating a provable secure transport layer(tls)using quantum key distribution(qkd)and qkd-tls key management[使用量子密钥分发(qkd)和qkd-tls密钥管理创建可证明的安全传输层(tls)的方法]”的美国临时专利申请号62/928,118、以及wang等人于2019年10月17日提交的名称为“systems and methods to integrate quantum key distribution into passive optical networks[将量子密钥分发集成到无源光网络中的系统和方法]”的美国临时专利申请号62/916,562的权益。这些申请中的每一个都转让给本技术的受让人，并且明确地通过引用以其全文并入本文。


背景技术：

[0003]
本披露内容的领域涉及量子密钥，并且更具体地涉及无源光网络(pon)中的量子密钥分发(qkd)。
[0004]
pon可以包括用于向最终客户提供宽带网络访问的光纤电信技术。另外，pon可以实施点对多点拓扑，其中，中央节点可以通过光纤使用无电(例如，无源)光纤部件(例如，光分路器、波长复用器)为多个远程节点提供服务，以在多个远程节点之间划分光纤带宽。在一些情况下，将中央节点与多个远程节点耦合的光纤部分可能会成为数据容量(例如，用户容量)的瓶颈、降低通信速度(例如，引入延迟)、或以其他方式对用户体验产生负面影响。另外，将中央节点与多个远程节点耦合的光纤部分可能容易受到安全威胁。即，网络攻击可能依靠所述光纤部分的广播性质来对用户数据的不安全通信进行窃听。


技术实现要素：

[0005]
所描述的技术涉及在无源光网络(pon)中支持量子密钥分发(qkd)的改进方法、系统、装置或设备。一般而言，所描述的技术提供了分发量子密钥以对中央节点与一个或多个远程节点(例如，pon内)之间的通信进行加密。即，一个或多个远程节点中的每一个可以经由经典信道(例如，用于传输数据)和qkd信道(例如，用于传输量子密钥)与中央节点耦合。在一些情况下，经典信道和qkd信道可以依靠同一根光纤。远程节点可以各自包括用于传输量子密钥的qkd发射器。另外，中央节点可以包括用于接收量子密钥的qkd接收器。在一些示例中，远程节点可以根据时分复用与中央节点通信。这里，远程节点可以经由一组资源与中央节点通信量子密钥，这些资源与同中央节点通信的一个或多个其他远程节点相关联的资源时分复用。在另一示例中，远程节点可以根据波分复用与中央节点通信。这里，远程节点可以经由一组资源与中央节点通信量子密钥，这些资源与同中央节点通信的一个或多个其他远程节点相关联的资源波分复用。在任一示例中，每个远程节点都可以向中央节点传输
量子密钥，用于对中央节点与远程节点之间的通信进行加密。然后，中央节点和一个或多个远程节点中的每一个可以基于量子密钥来通信加密数据。
[0006]
传输层安全性(tls)是网络(例如，互联网)中用于保护数据传输的协议。将tls增强为支持量子密钥作为信息的对称加密和解密的基础可以在理论上或可证明地保护信息不受窃听方的影响。在tls中支持量子密钥可以包括密钥分发层在经由量子信道连接的各网络节点之间交换量子密钥，以实现每个节点之间的量子安全通信，即使在未通过量子信道直接连接时也是如此。在一些实例中，第一网络节点可以通过第一网络节点处的qkd客户端从第二网络节点接收量子密钥(例如，用于加密第一网络节点与第二网络节点之间的通信)。qkd客户端可以与第一网络节点的协议栈分离，并且qkd客户端然后可以将量子密钥传递到第一网络节点的协议栈内的加密协议(例如，tls协议)。然后第一网络节点可以依靠量子密钥来加密和解密与第二网络节点的通信。在一些情况下，第一网络节点可以另外被配置为使用第四量子密钥与第三网络节点交换安全通信。例如，第一网络节点可以从第二网络节点接收从用于第二网络节点与第三网络节点之间的通信的第三量子密钥导出的第二量子密钥，并且从第一量子密钥和第二量子密钥导出第三量子密钥。然后，第一网络节点可以使用从第一密钥和第二密钥导出的第四量子密钥与第三网络节点交换安全通信。
[0007]
描述了一种被配置为与中央节点进行光通信的设备，所述中央节点被配置为经由与所述中央节点和一组远程节点耦合的光学部件与该组远程节点进行通信，该组远程节点包括所述设备。所述设备可以包括qkd发射器，所述qkd发射器被配置为：从由该组远程节点共享的一组资源中识别用于输出量子脉冲的资源，所述量子脉冲指示用于与所述设备相关联的光通信的量子密钥；以及至少部分地基于所述识别来生成所述量子脉冲。所述设备可以另外包括：同步脉冲发生器，所述同步脉冲发生器被配置为生成指示所述量子密钥的所述量子脉冲的时序指示；以及滤波器，所述滤波器与所述qkd发射器和所述同步脉冲发生器耦合，并且被配置为使用所述识别的资源向所述光学部件输出所述量子脉冲的所述时序指示和指示所述量子密钥的所述量子脉冲。
[0008]
在所述设备的一些示例中，所述识别的用于输出所述量子脉冲的资源与该组资源中的与该组远程节点相关联的资源时分复用，并且所述光学部件是光分路器。
[0009]
在所述设备的一些示例中，所述识别的用于输出所述量子脉冲的资源与该组资源中的与该组远程节点相关联的资源波分复用，并且所述光学部件是循环阵列波导光栅(awg)路由器。
[0010]
在一些情况下，所述设备可以另外包括光学开关，所述光学开关被配置为选择性地将所述滤波器与所述qkd发射器和所述同步脉冲发生器耦合，或者将所述滤波器与数据发射器和数据接收器耦合。
[0011]
在一些实例中，所述设备可以另外包括数据发射器，所述数据发射器与所述滤波器耦合并且被配置为：识别用于传输到所述中央节点的数据；使用所述量子密钥对用于传输到所述中央节点的数据进行加密；以及将所述加密数据传送到所述滤波器，其中，所述滤波器进一步被配置为将所述加密数据输出到所述光学部件。
[0012]
在所述设备的一些示例中，所述滤波器进一步被配置为从所述光学部件接收加密数据，并且所述设备进一步包括数据接收器，所述数据接收器与所述滤波器耦合并且被配置为使用所述量子密钥对所述加密数据进行解密。
[0013]
在所述设备的一些情况下，所述滤波器是粗波分复用器(cwdm)。
[0014]
描述了一种用于在远程节点处与中央节点进行光通信的方法，所述中央节点被配置为经由光学部件与包括所述远程节点在内的一组远程节点进行通信。所述方法可以包括：从由该组远程节点共享的一组资源中识别用于输出量子脉冲的资源，所述量子脉冲指示用于所述远程节点与所述中央节点之间的光通信的量子密钥；基于识别所述资源而生成所述量子脉冲和所述量子脉冲的时序指示；向所述光学部件输出所述量子脉冲的所述时序指示；基于输出所述量子脉冲的所述时序指示，使用所述识别的资源向所述光学部件输出指示所述量子密钥的所述量子脉冲；以及基于输出指示所述量子密钥的所述量子脉冲与所述中央节点通信。
[0015]
描述了一种用于在远程节点处与中央节点进行光通信的设备，所述中央节点被配置为经由光学部件与包括所述远程节点在内的一组远程节点进行通信。所述设备可以包括处理器、与处理器电子通信的存储器、以及存储在存储器中的指令。所述指令可以由所述处理器执行以使所述设备执行以下操作：从由该组远程节点共享的一组资源中识别用于输出量子脉冲的资源，所述量子脉冲指示用于所述远程节点与所述中央节点之间的光通信的量子密钥；基于识别所述资源而生成所述量子脉冲和所述量子脉冲的时序指示；向所述光学部件输出所述量子脉冲的所述时序指示；基于输出所述量子脉冲的所述时序指示，使用所述识别的资源向所述光学部件输出指示所述量子密钥的所述量子脉冲；以及基于输出指示所述量子密钥的所述量子脉冲与所述中央节点通信。
[0016]
描述了用于在远程节点处与中央节点进行光通信的另一设备，所述中央节点被配置为经由光学部件与包括所述远程节点在内的一组远程节点进行通信。所述设备可以包括：用于从由该组远程节点共享的一组资源中识别用于输出量子脉冲的资源的装置，所述量子脉冲指示用于所述远程节点与所述中央节点之间的光通信的量子密钥；用于基于识别所述资源而生成所述量子脉冲和所述量子脉冲的时序指示的装置；用于向所述光学部件输出所述量子脉冲的所述时序指示的装置；用于基于输出所述量子脉冲的所述时序指示而使用所述识别的资源向所述光学部件输出指示所述量子密钥的所述量子脉冲的装置；以及用于基于输出指示所述量子密钥的所述量子脉冲与所述中央节点通信的装置。
[0017]
描述了一种用于在远程节点处与中央节点进行光通信的存储有代码的非暂态计算机可读介质，所述中央节点被配置为经由光学部件与包括所述远程节点在内的一组远程节点进行通信。所述代码可以包括可由处理器执行以执行以下操作的指令：从由该组远程节点共享的一组资源中识别用于输出量子脉冲的资源，所述量子脉冲指示用于所述远程节点与所述中央节点之间的光通信的量子密钥；基于识别所述资源而生成所述量子脉冲和所述量子脉冲的时序指示；向所述光学部件输出所述量子脉冲的所述时序指示；基于输出所述量子脉冲的所述时序指示，使用所述识别的资源向所述光学部件输出指示所述量子密钥的所述量子脉冲；以及基于输出指示所述量子密钥的所述量子脉冲与所述中央节点通信。
[0018]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，所述识别的用于输出所述量子脉冲的资源可以与该组资源中的可以与该组远程节点相关联的资源时分复用，并且所述光学部件可以是光分路器。
[0019]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，所述识别的用于输出所述量子脉冲的资源可以与该组资源中的可以与该组远程节点相关联的资源波分
复用，并且所述光学部件可以是循环阵列波导光栅(awg)路由器。
[0020]
本文所述的方法、设备和非暂态计算机可读介质的一些示例可以进一步包括用于进行以下各项的操作、特征、装置或指令：生成指示用于所述远程节点与所述中央节点之间的光通信的第二量子密钥的第二量子脉冲；以及在将所述量子脉冲输出到所述光学部件之后，基于输出所述时序指示来向所述光学部件输出指示所述第二量子密钥的所述第二量子脉冲，其中，所述时序指示指示所述量子脉冲和所述第二量子脉冲的时序。
[0021]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，识别用于输出所述量子密钥的资源可以包括用于进行以下各项的操作、特征、装置或指令：向所述光学部件输出对用于输出所述量子密钥的时间资源的请求；以及基于输出对时间资源的请求而从所述光学部件接收所述识别的资源的指示。
[0022]
本文所述的方法、设备和非暂态计算机可读介质的一些示例可以进一步包括用于进行以下各项的操作、特征、装置或指令：基于将所述量子脉冲输出到所述光学部件而从用于将所述量子脉冲传送到所述中央节点的第一通信模式切换到用于与所述中央节点通信数据的第二通信模式，其中，与所述中央节点的通信可以基于所述切换。
[0023]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，与中央节点通信可以包括用于进行以下各项的操作、特征、装置或指令：使用所述量子密钥对用于传输到所述中央节点的数据进行加密；以及将所述加密数据输出到所述光学部件。
[0024]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，与中央节点通信可以包括用于进行以下各项的操作、特征、装置或指令：从所述光学部件接收所述加密数据；以及使用所述量子密钥对从所述光学部件接收到的加密数据进行解密。
[0025]
描述了一种设备，所述设备被配置为经由与所述设备和一组远程节点耦合的光学部件与该组远程节点进行光通信。所述设备可以包括：qkd接收器，所述qkd接收器被配置为经由一组资源从所述设备的滤波器接收一组量子脉冲，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的量子密钥；同步脉冲接收器，所述同步脉冲接收器被配置为从所述滤波器接收一组时序指示，每个时序指示与该组量子脉冲之一相关联，其中，所述qkd接收器被配置为至少部分地基于该组时序指示而接收该组量子脉冲中的每一个；以及所述滤波器，所述滤波器与所述qkd接收器和所述同步脉冲接收器耦合并且被配置为从所述光学部件接收该组量子脉冲和该组时序指示，将该组量子脉冲传送到所述qkd接收器，以及将该组时序指示传送到所述同步脉冲接收器。
[0026]
在所述设备的一些示例中，该组量子脉冲中的每一个是经由与该组资源中的资源时分复用的资源接收的，并且所述光学部件是光分路器。
[0027]
在所述设备的一些示例中，该组量子脉冲中的每一个是经由与该组资源中的资源波分复用的资源接收的，并且所述光学部件是循环awg路由器。
[0028]
在所述设备的一些示例中，所述滤波器被配置为经由第一光纤从所述光学部件接收该组量子脉冲；并且所述滤波器被配置为经由不同于所述第一光纤的第二光纤从所述光学部件接收该组时序指示。
[0029]
在一些情况下，所述设备可以进一步包括门，所述门与所述qkd接收器耦合并且被配置为至少部分地基于该组时序指示而选择性地将所述qkd接收器与所述滤波器耦合。
[0030]
在一些实例中，所述设备可以进一步包括光学开关，所述光学开关被配置为选择
性地将所述滤波器与所述qkd接收器和所述同步脉冲接收器耦合，或者将所述滤波器与数据发射器和数据接收器耦合。
[0031]
在一些示例中，所述设备可以进一步包括窄带滤光器，所述窄带滤光器与所述滤波器和所述qkd接收器耦合并且被配置为将该组量子脉冲从所述滤波器传送到所述qkd接收器。
[0032]
在一些情况下，所述设备可以进一步包括数据发射器，所述数据发射器与所述滤波器耦合并且被配置为：识别用于传输到该组远程节点中的一个远程节点的数据；使用用于与所述一个远程节点相关联的光通信的量子密钥来加密用于传输到所述一个远程节点的数据；以及将所述加密数据传送到所述滤波器，其中，所述滤波器进一步被配置为将所述加密数据输出到所述光学部件。
[0033]
在所述设备的一些实例中，所述滤波器进一步被配置为从所述光学部件接收与该组远程节点中的一个远程节点相关联的加密数据；并且所述设备进一步包括数据接收器，所述数据接收器与所述滤波器耦合并且被配置为使用用于与所述一个远程节点相关联的光通信的所述量子密钥对所述加密数据进行解密。
[0034]
在所述设备的一些示例中，所述qkd可以包括单光子检测器(spd)。
[0035]
在所述设备的一些情况下，所述滤波器是cwdm。
[0036]
一种用于在中央节点处经由与一组远程节点中的每一个耦合的光学部件与该组远程节点进行光通信的方法。所述方法可以包括：从所述光学部件接收一组时序指示，每个时序指示与一组量子脉冲之一相关联，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的量子密钥；基于接收到该组时序指示而经由一组资源从所述光学部件接收该组量子脉冲；以及基于接收到该组量子脉冲而与该组远程节点通信，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的所述量子密钥。
[0037]
一种用于在中央节点处经由与一组远程节点中的每一个耦合的光学部件与该组远程节点进行光通信的设备。所述设备可以包括处理器、与处理器电子通信的存储器、以及存储在存储器中的指令。所述指令可以由所述处理器执行以使所述设备执行以下操作：从所述光学部件接收一组时序指示，每个时序指示与一组量子脉冲之一相关联，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的量子密钥；基于接收到该组时序指示而经由一组资源从所述光学部件接收该组量子脉冲；以及基于接收到该组量子脉冲而与该组远程节点通信，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的所述量子密钥。
[0038]
用于在中央节点处经由与一组远程节点中的每一个耦合的光学部件与该组远程节点进行光通信的另一设备。所述设备可以包括：用于从所述光学部件接收一组时序指示的装置，每个时序指示与一组量子脉冲之一相关联，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的量子密钥；用于基于接收到该组时序指示而经由一组资源从所述光学部件接收该组量子脉冲的装置；以及用于基于接收到该组量子脉冲而与该组远程节点通信的装置，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的所述量子密钥。
[0039]
一种在中央节点处用于经由与一组远程节点中的每一个耦合的光学部件与该组远程节点进行光通信的存储有代码的非暂态计算机可读介质。所述代码可以包括可由处理
器执行以执行以下操作的指令：从所述光学部件接收一组时序指示，每个时序指示与一组量子脉冲之一相关联，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的量子密钥；基于接收到该组时序指示而经由一组资源从所述光学部件接收该组量子脉冲；以及基于接收到该组量子脉冲而与该组远程节点通信，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的所述量子密钥。
[0040]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，该组量子脉冲中的每一个可以经由可以与该组资源中的资源时分复用的资源接收，并且所述光学部件可以是光分路器。
[0041]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，该组量子脉冲中的每一个可以经由可以与该组资源中的资源波分复用的资源接收，并且所述光学部件可以是循环awg路由器。
[0042]
本文所述的方法、设备和非暂态计算机可读介质的一些示例可以进一步包括用于进行以下各项的操作、特征、装置或指令：从所述光学部件接收对用于该组量子脉冲之一的时间资源的请求；向所述光学部件输出该组资源内的用于该组量子脉冲中的所述一个量子脉冲的时间资源的指示，其中，接收该组量子脉冲可以基于输出所述指示。
[0043]
本文所述的方法、设备和非暂态计算机可读介质的一些示例可以进一步包括用于进行以下各项的操作、特征、装置或指令：基于从所述光学部件接收到该组量子脉冲而从用于接收该组量子脉冲的第一通信模式切换到用于与该组远程节点通信数据的第二通信模式，其中，与该组远程节点的通信可以基于所述切换。
[0044]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，与该组远程节点进行通信可以包括用于进行以下各项的操作、特征、装置或指令：识别用于传输到该组远程节点中的一个远程节点的数据；使用用于与所述一个远程节点相关联的光通信的所述量子密钥对用于传输到所述中央节点的数据进行加密；以及经由所述光学部件将所述加密数据传送到所述一个远程节点。
[0045]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，与该组远程节点进行通信可以包括用于进行以下各项的操作、特征、装置或指令：从所述光学部件接收与该组远程节点中的一个远程节点相关联的加密数据；以及使用用于与所述一个远程节点相关联的光通信的所述量子密钥对从所述光学部件接收的加密数据进行解密。
[0046]
描述了一种在第一网络节点处的方法，所述第一网络节点包括协议栈和不同于所述协议栈的qkd客户端。所述方法可以包括：通过所述qkd客户端从第二网络节点接收第一量子密钥和第一量子密钥标识符；将所述第一量子密钥和所述第一量子密钥标识符从所述第一网络节点的qkd客户端传递到所述第一网络节点的协议栈；以及通过所述协议栈的加密协议与所述第二网络节点通信加密数据，其中，所述加密数据是使用所述第一量子密钥加密的并且包括所述第一量子密钥标识符的指示。
[0047]
描述了一种在第一网络节点处的设备，所述第一网络节点包括协议栈和不同于所述协议栈的qkd客户端。所述设备可以包括处理器、与处理器电子通信的存储器、以及存储在存储器中的指令。所述指令可以由所述处理器执行以使所述设备执行以下操作：通过所述qkd客户端从第二网络节点接收第一量子密钥和第一量子密钥标识符；将所述第一量子密钥和所述第一量子密钥标识符从所述第一网络节点的qkd客户端传递到所述第一网络节
点的协议栈；以及通过所述协议栈的加密协议与所述第二网络节点通信加密数据，其中，所述加密数据是使用所述第一量子密钥加密的并且包括所述第一量子密钥标识符的指示。
[0048]
描述了在第一网络节点处的另一设备，所述第一网络节点包括协议栈和不同于所述协议栈的qkd客户端。所述设备可以包括：用于通过所述qkd客户端从第二网络节点接收第一量子密钥和第一量子密钥标识符的装置；用于将所述第一量子密钥和所述第一量子密钥标识符从所述第一网络节点的qkd客户端传递到所述第一网络节点的协议栈的装置；以及用于通过所述协议栈的加密协议与所述第二网络节点通信加密数据的装置，其中，所述加密数据是使用所述第一量子密钥加密的并且包括所述第一量子密钥标识符的指示。
[0049]
描述了一种在第一网络节点处的存储有代码的非暂态计算机可读介质，所述第一网络节点包括协议栈和不同于所述协议栈的qkd客户端。所述代码可以包括可由处理器执行以执行以下操作的指令：通过所述qkd客户端从第二网络节点接收第一量子密钥和第一量子密钥标识符；将所述第一量子密钥和所述第一量子密钥标识符从所述第一网络节点的qkd客户端传递到所述第一网络节点的协议栈；以及通过所述协议栈的加密协议与所述第二网络节点通信加密数据，其中，所述加密数据是使用所述第一量子密钥加密的并且包括所述第一量子密钥标识符的指示。
[0050]
本文所述的方法、设备和非暂态计算机可读介质的一些示例可以进一步包括用于进行以下各项的操作、特征、装置或指令：从所述第二网络节点接收包括第二量子密钥的消息，所述第二量子密钥是从与所述第二网络节点和第三网络节点之间的通信相关联的第三量子密钥导出的；基于所述第二量子密钥和所述第一量子密钥来识别所述第三量子密钥；以及通过所述协议栈的所述加密协议与所述第三网络节点通信第二加密数据，其中，所述第二加密数据可以使用所述第一量子密钥和所述第三量子密钥进行加密。
[0051]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，传递第一量子密钥和第一量子密钥标识符可以包括用于进行以下各项的操作、特征、装置或指令：将所述第一量子密钥和所述第一量子密钥标识符从所述第一网络节点的所述qkd客户端传递到所述第一网络节点的密钥管理层；以及将所述第一量子密钥和所述第一量子密钥标识符存储在与所述密钥管理层相关联的服务器上，其中，与所述第二网络节点通信加密数据可以基于所述存储。
[0052]
本文所述的方法、设备和非暂态计算机可读介质的一些示例可以进一步包括用于进行以下各项的操作、特征、装置或指令：通过所述第一网络节点的密钥管理层将对所述第一量子密钥的请求传输到所述第二网络节点的对应密钥管理层，其中，通过所述第一网络节点的所述qkd客户端接收所述第一量子密钥可以基于传输所述请求。
[0053]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，与第二网络节点通信加密数据还可以包括用于进行以下各项的操作、特征、装置或指令：识别用于传输到所述第二网络节点的数据；通过所述协议栈的所述加密协议使用所述第一量子密钥对用于传输到所述第二网络节点的数据进行加密；以及通过所述协议栈的所述加密协议，将所述加密数据和所述第一量子密钥标识符指示传输到所述第二网络节点。
[0054]
在本文所述的方法、设备和非暂态计算机可读介质的一些示例中，与第二网络节点通信加密数据还可以包括用于进行以下各项的操作、特征、装置或指令：通过所述协议栈的所述加密协议从所述第二网络节点接收加密数据，其中，所述加密数据包括所述第一量
子密钥标识符的指示；基于所述第一量子密钥标识符的指示，通过所述协议栈的所述加密协议从与所述第一网络节点的密钥管理层相关联的服务器取得所述第一量子密钥；以及基于取得所述第一量子密钥，通过所述协议栈的所述加密协议使用所述第一量子密钥对所述加密数据进行解密。
[0055]
描述了第一网络节点。所述第一网络节点可以包括：qkd客户端，所述qkd客户端被配置为从第二网络节点接收第一量子密钥和第一量子密钥标识符；以及与所述qkd客户端不同并与之耦合的协议栈，其中，所述协议栈包括加密协议，所述加密协议被配置为从所述qkd客户端接收所述第一量子密钥和所述第一量子密钥标识符，以及与所述第二网络节点通信加密数据，其中，所述加密数据是使用所述第一量子密钥加密的并且包括所述第一量子密钥标识符的指示。
[0056]
在所述第一网络节点的一些示例中，所述协议栈被配置为：从所述第二网络节点接收包括第二量子密钥的消息，所述第二量子密钥是从与所述第二网络节点和第三网络节点之间的通信相关联的第三量子密钥导出的；至少部分地基于所述第一量子密钥和所述第二量子密钥来识别所述第三量子密钥；以及与所述第三网络节点通信第二加密数据，其中，所述第二加密数据是使用所述第一量子密钥和所述第三量子密钥加密的。
[0057]
在所述第一网络节点的一些情况下，所述第一网络节点包括与所述加密协议耦合的密钥管理层，其中，所述密钥管理层被配置为：将所述第一量子密钥和所述第一量子密钥标识符存储在与所述密钥管理层相关联的服务器上；以及将所述第一量子密钥和所述第一量子密钥标识符提供给所述加密协议，其中，与所述第二网络节点通信加密数据至少部分地基于所述存储。
[0058]
在所述第一网络节点的一些实例中，所述第一网络节点包括与所述加密协议耦合的密钥管理层，所述密钥管理层被配置为传输对所述第一量子密钥的请求，其中，通过所述第一网络节点的所述qkd客户端接收所述第一量子密钥至少部分地基于传输所述请求。
[0059]
在所述第一网络节点的一些示例中，所述加密协议进一步被配置为：识别用于传输到所述第二网络节点的数据；使用所述第一量子密钥对用于传输到所述第二网络节点的数据进行加密；以及将所述加密数据和所述第一量子密钥标识符的指示传输到所述第二网络节点，其中，与所述第二网络节点通信加密数据至少部分地基于将所述加密数据和所述第一量子密钥标识符的指示传输到所述第二网络节点。
[0060]
在所述第一网络节点的一些情况下，所述加密协议进一步被配置为：从所述第二网络节点接收包括所述第一量子密钥标识符的指示的加密数据，其中，与所述第二网络节点通信加密数据至少部分地基于从所述第二网络节点接收所述加密数据；至少部分地基于所述第一量子密钥标识符的指示，从与所述第一网络节点的密钥管理层相关联的服务器取得所述第一量子密钥；以及至少部分地基于取得所述第一量子密钥，使用所述第一量子密钥对所述加密数据进行解密。
附图说明
[0061]
图1图示了根据本文披露的示例的支持无源光网络(pon)中的量子密钥分发(qkd)的系统的示例。
[0062]
图2a图示了根据本文披露的示例的支持pon中的qkd的系统的示例。
[0063]
图2b图示了根据本文披露的示例的支持pon中的qkd的波长计划的示例。
[0064]
图3a图示了根据本文披露的示例的支持pon中的qkd的系统的示例。
[0065]
图3b图示了根据本文披露的示例的支持pon中的qkd的波长计划的示例。
[0066]
图4a图示了根据本文披露的示例的支持pon中的qkd的系统的示例。
[0067]
图4b图示了根据本文披露的示例的支持pon中的qkd的波长计划的示例。
[0068]
图5a图示了根据本文披露的示例的支持pon中的qkd的系统的示例。
[0069]
图5b图示了根据本文披露的示例的支持pon中的qkd的波长计划的示例。
[0070]
图6和图7图示了根据本文披露的示例的支持pon中的qkd的系统的示例。
[0071]
图8图示了根据本文披露的示例的支持pon中的qkd的过程流程的示例。
[0072]
图9示出了根据本披露内容的各方面的支持pon中的qkd的远程节点的框图。
[0073]
图10示出了根据本披露内容的各方面的支持pon中的qkd的中央节点的框图。
[0074]
图11示出了根据本披露内容的各方面的支持pon中的qkd的网络节点的框图。
[0075]
图12至图15示出了说明根据如本文披露的示例的支持pon中的qkd的一种或多种方法的流程图。
具体实施方式
[0076]
核心网络可以被配置为向一个或多个客户提供数据连接。在一些情况下，核心网络可以利用无源光网络(pon)在与核心网络相关联的中央节点与一个或多个远程节点(例如，每个远程节点都与客户相关联)之间传送数据。在点对多点pon的示例中，中央节点可以被配置为通过光纤使用无电(例如，无源)光纤部件(例如，光分路器、光复用器)为多个远程节点提供服务，以在多个远程节点之间划分光纤带宽。这里，中央节点可以被配置为经由光纤部件向多个远程节点广播数据。在一些实例中，中央节点和远程节点可以加密用于通信的数据，以便降低与被广播的数据相关联的安全风险。一些pon可以利用基于高级加密标准(aes)的对称加密，它可以对每个单独远程节点的数据(例如，每个单独用户的数据)进行加密。为了在中央节点与远程节点之间传送密钥，pon可以通过公钥基础设施(pki)来递送经典的加密密钥。通过pki递送经典加密密钥可以包括使用非对称或公共加密来保护密钥。然而，pki递送的经典加密密钥的安全性可能是脆弱的(例如，针对量子计算机的出现)。
[0077]
为了提高与密钥分发相关联的安全性，pon可以使用量子密钥分发(qkd)(例如，代替pki)。这里，中央节点或远程节点可以利用qkd将量子密钥递送(例如，通过将为逻辑值
‘0’
或
‘1’
的各个比特传送)到不同的中央节点或远程节点。与经典的密钥分发方式相比，qkd可能更安全。然而，在一些实例中，qkd可能对信道损耗和噪声敏感，因为qkd依靠单光子来携带量子比特。因此，qkd可能基于物理距离而受到限制。例如，qkd在光纤距离小于500公里时可能相对成功，并且密钥率随着光纤距离的增加而降低。在一些实例中，减少来自经典信道的噪声量可以增加qkd的成功率。即，在远程节点与中央节点之间为qkd利用专用的点对点光纤可以增加qkd的成功率。另外，通过将专用点对点光纤与可信中继或卫星中继相结合，可以扩展qkd的距离(例如，适用于大多数长距离网络、核心网和城域网)。这里，可以对经由每一跳(例如，从一个装置或节点到另一装置或节点的数据通信)传送的数据进行解密和重新加密，因为每一跳可以与单独的密钥相关联。因此，这些用于提高qkd成功率的选项可能与点对多点pon(例如，其中单个中央节点与多个远程节点通信)不兼容。
[0078]
为了为点对多点pon提供qkd，每个远程节点可以被配置为包括量子密钥发射器以将量子密钥传送到中央节点。即，中央节点可以经由单根光纤从各个远程节点接收一个或多个量子密钥，并且可以利用量子密钥与各个远程节点进行安全通信。在一些示例中，远程节点可以根据时分复用与中央节点通信。这里，远程节点可以经由一组资源与中央节点通信量子密钥，这些资源与同中央节点通信的一个或多个其他远程节点相关联的资源时分复用。在另一示例中，远程节点可以根据波分复用与中央节点通信。这里，远程节点可以经由一组资源与中央节点通信量子密钥，这些资源与同中央节点通信的一个或多个其他远程节点相关联的资源波分复用。在任一示例中，每个远程节点都可以向中央节点传输量子密钥，用于对中央节点与远程节点之间的通信进行加密。然后，中央节点和一个或多个远程节点中的每一个可以基于量子密钥来通信加密数据。
[0079]
依靠量子密钥来加密数据的网络节点可以使网络节点依靠量子密钥作为信息的对称加密和解密的基础。另外，传送由量子密钥加密的数据可以是安全的，不受窃听方的影响。在一些情况下，(例如，在互联网中用于安全数据传输的)传输层安全(tls)协议可能依靠计算困难的算法来对信息进行对称加密和解密，这与量子密钥加密和解密相比可能不太安全。在一些实例中，第一网络节点可以通过第一网络节点处的qkd客户端从第二网络节点接收量子密钥(例如，用于加密第一网络节点与第二网络节点之间的通信)。qkd客户端可以与第一网络节点的协议栈分离，并且qkd客户端然后可以将量子密钥传递到第一网络节点的协议栈内的加密协议(例如，tls协议)。然后第一网络节点可以依靠量子密钥来加密和解密与第二网络节点的通信。网络节点可以另外被配置为执行量子密钥的可信中继。在一些情况下，第一网络节点可以另外被配置为使用第四量子密钥与第三网络节点交换安全通信。例如，第一网络节点然后从第二网络节点接收从用于第二网络节点与第三网络节点之间的通信的第三密钥导出的第二密钥，并且从第一密钥和第二密钥导出第三密钥。然后，第一网络节点可以使用从第一密钥和第二密钥导出的第四密钥与第三网络节点交换安全通信。
[0080]
本披露内容的特征最初是在参考图1至图2描述的系统和管芯的上下文中描述的。本披露内容的特征是在参考图2a至图8描述的上下文系统、波长计划和过程流程中描述的。本披露内容的这些和其他特征进一步通过与参考图9至图15描述的pon中的qkd相关的设备图和流程图进行图示并参考所述设备图和流程图进行描述。
[0081]
图1图示了根据本披露内容的各方面的支持pon中的qkd的系统100的示例。系统100可以是点对多点pon系统100的示例，所述系统被配置为在中央节点105与多个远程节点110之间传送使用量子密钥加密的数据。系统100可以包括光学部件115，所述光学部件可以是功分器或波长复用器的示例。中央节点105与光学部件115之间的通信可以经由馈线光纤进行，并且光学部件115与每个远程节点110之间的通信可以经由引入光纤进行。
[0082]
每个远程节点110可以经由光学部件115并使用一组资源与中央节点105通信。在一些示例中，中央节点105可以将资源分配给远程节点110。另外，一个或多个远程节点110可以传输对资源的请求(例如，向中央节点105)，并且中央节点105可以响应于所述请求而分配资源。在一些情况下，远程节点110可以使用时分复用(tdm)与中央节点105通信。这里，可以为每个远程节点110分配用于与中央节点105通信的与时隙相关联的资源。在tdm的示例中，与中央节点105和不同远程节点110之间的通信相关联的数据包可以在时域中复用。
当系统100采用tdm进行远程节点110与中央节点105之间的通信时，系统100可以被称为时分复用pon(tdm-pon)。在一些实例中，tdm-pons可以在以太网pon(epon)、千兆pon(gpon)、10g-epon或xg-pon标准化。在一些其他情况下，远程节点110可以使用波分复用(wdm)与中央节点105通信。这里，可以为每个远程节点110分配一个(或多个)专用波长。当系统100采用wdm进行远程节点110与中央节点105之间的通信时，系统100可以被称为wdm-pon。
[0083]
中央节点105和远程节点110可以使用量子密钥来加密中央节点105与远程节点110之间的通信。即，中央节点105和远程节点110可以使用量子密钥来加密和解密下行数据120和上行数据135二者。例如，远程节点110-a和中央节点105可以使用(例如，与远程节点110-a和中央节点105之间的通信相关联的)量子密钥来加密和解密中央节点105与远程节点110-a之间的通信。每个远程节点110-a可以包括qkd发射器，所述qkd发射器被配置为生成量子脉冲130并将其传输到中央节点105。另外，中央节点105可以包括qkd接收器，所述qkd接收器被配置为检测来自每个远程节点110的量子脉冲130。qkd接收器可以使用单光子检测器(spd)(例如，两个spd、四个spd、八个spd)来检测单光子(例如，量子脉冲130)。
[0084]
在将量子脉冲130传输到中央节点105之前，远程节点110可以首先将时序指示125传送到中央节点105。例如，中央节点105处的qkd接收器可以是门控的(例如，除非门打开，否则可能不接收和/或不检测量子脉冲130)。因此，远程节点110可以传输时序指示125以向中央节点105指示打开与qkd接收器相关联的门以检测后续量子脉冲130。例如，远程节点110-a可以将指示与量子脉冲130-a相关联的时序的时序指示125-a传输到中央节点(例如，经由光学部件115)。因此，当远程节点110-a传输了量子脉冲130-a时(例如，根据时序指示125-a所指示的时序)，中央节点105可以打开qkd接收器的门以接收和/或检测量子脉冲130-a。
[0085]
为了与中央节点通信加密的下行数据120和上行数据135，每个远程节点110可以将至少一个时序指示125和至少一个量子脉冲130传送到中央节点105。例如，远程节点110-a可以将时序指示125-a和量子脉冲130-a传送到中央节点105，远程节点110-b可以将时序指示125-b和量子脉冲130-b传送到中央节点105，并且远程节点110-c可以将时序指示125-c和量子脉冲130-c传送到中央节点105。每个远程节点110可以经由光学部件115(例如，通过不同的引入光纤)将时序指示125和量子脉冲130传送到中央节点105。光学部件115可以是光分路器(例如，如果系统100是tdm-pon)或波长复用器(例如，如果系统是wdm-pon)。在任一情况下，光学部件115都可以将时序指示125-d(包括时序指示125-a、125-b和125-c)和量子脉冲130-d(例如，包括量子脉冲130-a、130-b和130-c)传送到中央节点105(例如，经由馈线光纤)。
[0086]
在一些情况下，每个远程节点110可以被配置为针对由那个远程节点110传输的每个量子脉冲130传输时序指示125。在一些其他情况下，每个远程节点110可以被配置为针对一组量子脉冲130传输一个时序指示125。例如，远程节点110-b可以传输指示由远程节点110-b根据某个周期性(例如，基于远程节点110-b与中央节点105之间的经典或量子信道的条件)传输的一组量子脉冲130-b的时序指示125-b。每个远程节点110可以根据需要传送附加的时序指示125和量子脉冲130以传送量子密钥的多个比特。例如，远程节点110可以每隔几个小时或几天更新一次量子密钥。
[0087]
在系统100是tdm-pon的情况下，由远程节点110传输的任何时序指示125-a、125-b
和125-c可以在时序指示125-d内进行时分复用。另外，由远程节点110传输的任何量子脉冲130-a、130-b和130-c可以在量子脉冲130-d内进行时分复用。在系统100是wdm-pon的情况下，由远程节点110传输的任何时序指示125-a、125-b和125-c可以在由中央节点105在馈线光纤上接收的时序指示125-d内进行波分复用。另外，由远程节点110传输的任何量子脉冲130-a、130-b和130-c可以在由中央节点105在馈线光纤上接收的量子脉冲130-d内进行波分复用。
[0088]
在一些实例中，中央节点105与远程节点110之间的光纤长度可能导致将qkd集成到pon中的挑战(例如，如系统100所示)。例如，将qkd集成到pon中可能容易受到拉曼散射噪声的影响。当将量子信道与经典信道复用时，可能会出现拉曼散射噪声。即，拉曼散射噪声可能作为入射光子与光纤(例如，将中央节点105与光学部件115耦合的馈线光纤、将光学部件115与远程节点110耦合的引入光纤)之间的非弹性散射效应而产生。另外，拉曼散射噪声不仅可能改变散射光子的方向，还可能改变散射光子的能量。在光纤中，散射光子可以在两个方向上传播，并且可以定义为前向散射和后向散射(例如，取决于它们相对于入射光的传播方向)。在一些实例中，后向散射可能比前向散射更强(例如，由于更高的效率)。另外，在散射中损失能量的光子(例如，斯托克斯光子)可能具有减小的频率和红移波长(例如，当与在散射中不损失能量的光子相比时)。获得能量的光子(例如，反斯托克斯光子)可能具有增大的频率和蓝移波长。在一些情况下，拉曼噪声可能覆盖以入射光波长为中心的高达200纳米的光谱范围，在13thz的频移处具有峰值强度。因为散射光子会改变它们的波长，它们可能会成为这些波长的现有信号的噪声。因此，来自经典信道的在量子信道波长处的拉曼散射噪声可能是限制qkd距离和量子密钥率的主要因素。
[0089]
在一些实例中，qkd可能有两个波段。第一波段(例如，范围从1530纳米到1565纳米的c带波段)可以与较低的光纤损耗(例如，每公里0.2分贝(dbs))相关联。第二波段(例如，范围从1250纳米到1360纳米的o带波段)可以与降低的拉曼噪声相关联。在系统100的示例中，远程节点110可以使用第二波段将量子脉冲130传送到中央节点105。这里，(例如，用于传输量子脉冲130的)量子信道可以与更高的光纤损耗(例如，每公里0.33db)相关联，但噪声更低(例如，当与将第一波段用于量子信道相比时)。即，将第二波段用于量子信道可以允许量子信道在(例如，在第一波段中的)大多数经典信道的拉曼光谱之外。另外，通过将第二波段(例如，比与经典信道相关联的波段更短的波段)分配给量子信道，量子信道可以与较弱的反斯托克斯散射相关联(例如，当与斯托克斯散射相比时)。然而，在一些情况下，与第二波段的量子信道相关联的系统成本可能更高(例如，当与第一波段的量子信道相比时)。
[0090]
在向中央节点105传输指示用于中央节点105与远程节点110之间通信的量子密钥的量子脉冲130之后，远程节点110可以与中央节点105通信使用量子密钥加密的数据。例如，中央节点可以将使用量子密钥加密的下行数据120传输到远程节点110，并且远程节点110可以将使用量子密钥加密的上行数据135传输到中央节点105。
[0091]
为了将下行数据120传输到远程节点110，中央节点105可以将下行数据120-d发送到光学部件115。即，下行数据120-d可以包括与每个远程节点110相关联的下行数据120。在系统100是tdm-pon的示例中，下行数据120-d和从光学部件115传输到每个远程节点110的下行数据120可以是相同的。即，光学部件115可以是光分路器，其被配置为将从中央节点105接收的下行数据120-d分成相同下行数据120-a、120-b和120-c的多个传输(例如，以低
于下行数据120-d的功率)，每个传输都指向远程节点110之一。这里，每个远程节点110可以只解密专用于那个远程节点110的数据消息。例如，远程节点110-b可以仅解密使用与远程节点110-b和中央节点105之间的通信相关联的(例如，由量子脉冲130-b指示的)量子密钥加密的下行数据子集120-b。
[0092]
在系统100是wdm-pon的示例中，下行数据120-d可以包括下行数据120-a、120-b和120-c的每个传输。例如，光学部件115可以被配置为将下行数据120-d的传输分成与第一波长相关联的下行数据120-a、与第二波长相关联的下行数据120-b和与第三波长相关联的下行数据120-c。在任一情况下，远程节点110可以接收下行数据120并且可以使用与那个远程节点110和中央节点105之间的通信相关联的量子密钥来解密下行数据120。
[0093]
每个远程节点110可以另外被配置为将使用量子密钥加密的上行数据135传输到中央节点105。即，远程节点110-a可以被配置为传输上行数据135-a，远程节点110-b可以被配置为传输上行数据135-b，并且远程节点110-c可以被配置为传输上行数据135-c。每个远程节点110可以利用一组资源来传输上行数据135，所述上行数据可以与同其他远程节点110相关联的上行数据135进行时分复用或波分复用。另外，光学部件115可以被配置为从远程节点110接收每个上行数据135并且将上行数据135-d传送到中央节点105。在tdm-pon系统100中，上行数据135-d可以包括时分复用的上行数据135-a、135-b和135-c。另外，在wdm-pon系统100中，上行数据135-d可以包括波分复用的上行数据135-a、135-b和135-c。
[0094]
当中央节点105接收到上行数据135-d时，中央节点105可以使用与传送上行数据135的每个远程节点110相关联的量子密钥来解密上行数据135。例如，中央节点105可以使用与远程节点110-c和中央节点105之间的通信相关联的量子密钥来解密上行数据135-c。
[0095]
图2a和图2b图示了根据本披露内容的各方面的支持pon中的qkd的系统200和波长计划201的示例。系统200可以是点对多点tdm-pon系统200的示例，其被配置为在中央节点205与多个远程节点210之间传送使用量子密钥加密的数据(例如，如参考图1所描述的)，并且波长计划201可以是用于系统200所使用的通信的波长计划201的示例。另外，系统200可以包括如参考图1描述的系统100的各方面。例如，中央节点205、远程节点210和光分路器215可以分别是中央节点105、远程节点110和光学部件115的示例。系统200可以另外包括用于中央节点205与光分路器215之间的通信的馈线光纤260和用于光分路器215与远程节点210之间的通信的引入光纤265。
[0096]
系统200可以依靠时分复用来在中央节点205与一个或多个远程节点210之间传送数据、量子密钥和时序指示。即，每个远程节点210可以被配置为识别与用于与中央节点205通信的同其他远程节点210相关联的资源时分复用的资源。另外，如图2b所示，下行数据、上行数据、时序指示和量子脉冲可以与不同的波长275相关联。即，量子信道可以与波长275-a(例如，1310nm)相关联，下行信道可以与波长275-b(例如，1490nm)相关联，上行信道可以与波长275-c(例如，1550nm)相关联，并且同步信道(例如，用于传送时序指示)可以与波长275-d(例如，1610nm)相关联。在一些情况下，下行或上行信道可以另外用作后处理(包括对基(basis reconciliation)、密钥筛选、纠错和隐私放大)的辅助信道。
[0097]
远程节点210-a可以包括数据接收器220-a、同步脉冲发生器225、数据发射器230-a和qkd发射器235，每个都与滤波器240-a耦合。qkd发射器235可以被配置为生成指示用于远程节点210-a与中央节点205之间的光通信的量子密钥的量子脉冲。另外，同步脉冲发生
器225可以被配置为生成指示量子密钥的量子脉冲的时序指示。数据接收器220-a可以被配置为从中央节点205接收(例如，使用量子密钥加密的)下行数据。数据接收器220-a可以另外被配置为使用量子密钥对加密的下行数据进行解密。数据发射器230-a可以被配置为将(例如，使用量子密钥加密的)上行数据传输到中央节点205。即，数据发射器230-a可以被配置为识别可用的上行时隙资源并用量子对上行数据进行加密。
[0098]
滤波器240-a可以是粗波分复用(cwdm)滤波器并且可以被配置为分离和组合光信号。例如，滤波器240-a可以经由引入光纤265-a从光分路器215接收光信号，并基于光信号的波长275将它们分离，并将分离的信号路由到远程节点210-a的不同部件。例如，滤波器240-a可以将具有(例如，与下行信道相关联的)波长275-b的光信号路由到数据接收器220-a。另外，滤波器240-a可以接收来自同步脉冲发生器225、数据发射器230-a和qkd发射器235的光信号，并且可以经由引入光纤265-a将它们传播到光分路器。
[0099]
中央节点205可以包括数据发射器230-b、同步脉冲接收器250、数据接收器220-b、qkd接收器255、以及滤波器240-b和240-c。同步脉冲接收器250可以被配置为从一个或多个远程节点210接收时序指示，并且qkd接收器255可以由一组spd组成，这些spd被配置为从一个或多个远程节点210接收指示量子密钥的量子脉冲。qkd接收器255可以被配置为在给定时间接收单个量子脉冲。数据发射器230-b可以被配置为向一个或多个远程节点210中的每一个发送下行数据，使用与中央节点205和远程节点210-a之间的光通信相关联的量子密钥对下行数据进行加密，以及将加密的下行数据传输到远程节点210-a。数据接收器220-b可以被配置为从一个或多个远程节点210接收上行数据。即，数据接收器220-b可以从远程节点210接收加密的上行数据，并且使用与远程节点210和中央节点205之间的光通信相关联的量子密钥来解密加密的上行数据。用于上行数据的量子密钥可以与用于下行数据的量子密钥相同或不同。
[0100]
qkd接收器255可以与滤波器240-c耦合。滤波器240-c可以是窄带滤光器(例如，光纤布拉格光栅(fbg)滤波器)。在一些实例中，滤波器240-c可以过滤来自量子信道的一些噪声(例如，拉曼噪声)以提高量子信道的可靠性。即，量子信道的波长275-a可能与经典信道(例如，下行信道、上行信道、同步信道)的波长间隔开，但仍可能存在源自经典信道的拉曼散射噪声。另外，对量子信道进行时间滤波(例如，通过仅当时序指示指示了量子脉冲时才打开qkd接收器255的门)可以降低噪声对量子信道的影响。
[0101]
滤波器240-b可以是cwdm滤波器并且可以被配置为分离和组合光信号。例如，滤波器240-b可以经由馈线光纤260从光分路器215接收光信号，并基于光信号的波长275将它们分离，并将分离的信号路由到中央节点205的不同部件。例如，滤波器240-b可以将具有(例如，与量子信道相关联的)波长275-a的光信号路由到qkd接收器255。滤波器240-b可以将具有(例如，与上行信道相关联的)波长275-c的光信号路由到数据接收器220-b。滤波器240-b可以将具有(例如，与同步信道相关联的)波长275-d的光信号路由到同步脉冲接收器250。另外，滤波器240-b可以接收来自数据发射器230-b的光信号，并且可以经由馈线光纤260将它们传播到光分路器。
[0102]
为了与中央节点205通信，同步脉冲发生器225可以生成一个或多个后续量子脉冲的时序指示，并且可以将时序指示传输到中央节点205(例如，经由滤波器240-a和光分路器215)。同步脉冲接收器250可以接收时序指示，并识别将何时接收(多个)后续量子脉冲(例
如，以便打开与qkd接收器255相关联的门)。基于时序指示，qkd发射器235可以生成量子脉冲并经由滤波器240-a和光分路器215将量子脉冲传输到中央节点205。
[0103]
图3a和图3b图示了根据本披露内容的各方面的支持pon中的qkd的系统300和波长计划301的示例。系统300可以是点对多点tdm-pon系统300的示例，其被配置为在中央节点305与多个远程节点310之间传送使用量子密钥加密的数据(例如，如参考图1和图2所描述的)，并且波长计划301可以是用于系统300所使用的通信的波长计划301的示例。系统300可以包括如分别参考图1和图2所描述的系统100和200的各方面。例如，中央节点305、远程节点310和光分路器315可以是参考图1和图2所描述的类似部件的示例。
[0104]
系统300可以依靠时分复用来在中央节点305与一个或多个远程节点310之间传送数据、量子密钥和时序指示。另外，系统300可以被配置为要么以经典模式要么以量子模式操作。即，用于中央节点305与一个或多个远程节点310之间的通信的一组时间资源可以被配置用于经典通信(例如，上行数据或下行数据)或量子通信(例如，时序指示或量子脉冲)。在一些情况下，与被配置为同时支持经典通信和量子通信的系统相比，这附加地降低了量子信道上的噪声。如图3b所示，下行数据、上行数据、时序指示和量子脉冲可以与不同的波长375相关联。即，量子信道和上行信道可以与波长375-a(例如，1310nm)相关联。另外，下行信道和同步信道可以与波长375-b(例如，1490nm)相关联。因为系统300要么以经典模式要么以量子模式操作，所以经典信道(例如，下行信道和上行信道)可以利用与量子信道(例如，量子信道和同步信道)相似的波长。
[0105]
远程节点310和中央节点305中的每一个可以包括开关345以便在量子模式与经典模式之间切换。例如，远程节点310-a可以包括开关345-a和345-b，并且中央节点305可以包括开关345-c和345-d。开关345可以被链接。例如，开关345可以在经典通信模式期间将远程节点310和中央节点305的第一组部件(例如，数据接收器320和数据发射器330)与滤波器340耦合，并且可以在量子通信模式期间将远程节点310-a和中央节点305的第二组部件(例如，同步脉冲发生器325、qkd发射器335、同步脉冲接收器350和qkd接收器355)与滤波器340耦合。
[0106]
远程节点310-a可以包括数据接收器320-a、同步脉冲发生器325、数据发射器330-a和qkd发射器335，每个都与滤波器340-a耦合。qkd发射器335可以被配置为生成指示用于远程节点310-a与中央节点305之间的光通信的量子密钥的量子脉冲。另外，同步脉冲发生器325可以被配置为生成指示量子密钥的量子脉冲的时序指示。数据接收器320-a可以被配置为从中央节点305接收(例如，使用量子密钥加密的)下行数据。数据接收器320-a可以另外被配置为使用量子密钥对加密的下行数据进行解密。数据发射器330-a可以被配置为将(例如，使用量子密钥加密的)上行数据传输到中央节点305。即，数据发射器330-a可以被配置为识别用于传输到中央节点305的可用时隙资源并使用量子密钥对上行数据进行加密。
[0107]
滤波器340-a可以是cwdm滤波器并且可以被配置为分离和组合光信号。例如，滤波器340-a可以经由引入光纤365-a从光分路器315接收光信号，并基于光信号的波长375将它们分离，并将分离的信号路由到远程节点310-a的不同部件。例如，滤波器340-a可以经由开关345-a将具有(例如，与下行信道相关联的)波长375-b的光信号路由到数据接收器320-a。另外，滤波器340-a可以接收来自同步脉冲发生器325、数据发射器330-a和qkd发射器335的光信号，并且可以经由引入光纤365-a将它们传播到光分路器。
[0108]
中央节点305可以包括数据发射器330-b、同步脉冲接收器350、数据接收器320-b、qkd接收器355、以及滤波器340-b和340-c。同步脉冲接收器350可以被配置为从一个或多个远程节点310接收时序指示，并且qkd接收器355可以由一组spd组成，这些spd被配置为从一个或多个远程节点310接收指示量子密钥的量子脉冲。qkd接收器355可以被配置为在给定时间接收单个量子脉冲。数据发射器330-b可以被配置为向一个或多个远程节点310中的每一个发送下行数据，使用与中央节点305和远程节点310-a之间的光通信相关联的量子密钥对下行数据进行加密，以及将加密的下行数据传输到远程节点310-a。数据接收器320-b可以被配置为从一个或多个远程节点310接收上行数据。即，数据接收器320-b可以从远程节点310接收加密的上行数据，并且使用与远程节点310和中央节点305之间的光通信相关联的量子密钥来解密加密的上行数据。用于上行数据的量子密钥可以与用于下行数据的量子密钥相同或不同。
[0109]
qkd接收器355可以与滤波器340-c耦合。滤波器340-c可以是窄带滤光器(例如，光纤布拉格光栅(fbg)滤波器)。在一些实例中，滤波器340-c可以过滤掉量子信道的一些噪声(例如，拉曼噪声)以提高量子信道的可靠性。另外，对量子信道进行时间滤波(例如，通过仅当时序指示指示了量子脉冲时才打开qkd接收器355的门)可以降低噪声对量子信道的影响。由于交替进行量子操作模式和经典操作模式，不是上行信道、下行信道和同步信道对量子信道贡献噪声，而是只有同步信道可能对量子信道贡献噪声。
[0110]
滤波器340-b可以是cwdm滤波器并且可以被配置为分离和组合光信号。例如，滤波器340-b可以经由馈线光纤360从光分路器315接收光信号，并基于光信号的波长375将它们分离，并将分离的信号路由到中央节点305的不同部件。例如，滤波器340-b可以在qkd接收器355或数据接收器320-b与光分路器315之间路由具有(例如，与量子信道或上行信道相关联的)波长375-a的光信号(例如，经由开关345-d)。在另一示例中，滤波器340-b可以在同步脉冲接收器350或数据发射器330-b与光分路器315之间路由具有(例如，与同步信道或下行信道相关联的)波长375-d的光信号(例如，经由开关345-c)。
[0111]
为了与中央节点305通信并且同时系统300在量子模式下操作，同步脉冲发生器325可以生成一个或多个后续量子脉冲的时序指示，并且可以将时序指示传输到中央节点305(例如，经由滤波器340-a和光分路器315)。在量子模式下，同步脉冲接收器350可以接收时序指示，并识别将何时接收(多个)后续量子脉冲(例如，以便打开与qkd接收器355相关联的门)。qkd发射器335可以生成量子脉冲并经由滤波器340-a和光分路器315将量子脉冲传输到中央节点305。在一些情况下，通过切换开关345，系统300切换到经典模式以用于下行和上行光通信。
[0112]
图4a和图4b图示了根据本披露内容的各方面的支持pon中的qkd的系统400和波长计划401的示例。系统400可以是点对多点wdm-pon系统400的示例，其被配置为在中央节点405与多个远程节点410之间传送使用量子密钥加密的数据(例如，如参考图1所描述的)，并且波长计划401可以是用于系统400所使用的通信的波长计划401的示例。另外，系统400可以包括如参考图1描述的系统100的各方面。例如，中央节点405、远程节点410和循环阵列波导光栅(awg)路由器415(或另一类型的光复用器)可以分别是中央节点105、远程节点110和光学部件115的示例。系统400可以另外包括用于中央节点405与循环awg路由器415之间的通信的馈线光纤460和用于循环awg路由器415与远程节点410之间的通信的引入光纤465。
[0113]
系统400可以依靠波分复用来在中央节点405与一个或多个远程节点410之间传送数据、量子密钥和时序指示。即，每个远程节点410可以利用与用于与中央节点405通信的同其他远程节点410相关联的资源波分复用的资源。另外，如图4b所示，下行数据、上行数据、时序指示和量子脉冲可以与波长475相关联，这些波长可以不同或至少部分重叠。例如，量子信道可以与波长475-a(例如，1310nm)相关联，下行信道可以与波长475-b(例如，1490nm)相关联，上行信道可以与波长475-c(例如，1550nm)相关联，并且同步信道(例如，用于传送时序指示)可以与波长475-d(例如，1610nm)相关联。
[0114]
如图4b所示，每个光信号(例如，量子脉冲、下行数据、上行数据和时序指示)包括多个波长475。这里，每个波长475可以与远程节点410之一相关联。例如，下行数据475-b包括多于一个不同的波长475。不同波长475中的每一个可以与一个远程节点410相关联。在一个示例中，远程节点410-a可以与用于传输量子脉冲的波长475-a内的第一不同波长475、用于接收下行数据的波长475-b内的第二不同波长475、用于传输上行数据的波长475-c内的第三不同波长475、以及用于传输时序指示的波长475-d内的第四不同波长475相关联。在一些示例中，每个远程节点410可以与索引相关联，并且可以使用根据索引确定的每个波长475-a、475-b、475-c和475-d内的波长475。
[0115]
远程节点410-a可以包括数据接收器420-a、同步脉冲发生器425、数据发射器430-a和qkd发射器435，每个都与滤波器440-a耦合。qkd发射器435可以被配置为生成指示用于远程节点410-a与中央节点405之间的光通信的量子密钥的量子脉冲。另外，同步脉冲发生器425可以被配置为生成指示量子密钥的量子脉冲的时序指示。数据接收器420-a可以被配置为从中央节点405接收(例如，使用量子密钥加密的)下行数据。数据接收器420-a可以另外被配置为使用量子密钥对加密的下行数据进行解密。数据发射器430-a可以被配置为将(例如，使用量子密钥加密的)上行数据传输到中央节点405。即，数据发射器430-a可以被配置为将上行数据传输到中央节点405并且使用量子密钥对上行数据进行加密。
[0116]
滤波器440-a可以是cwdm滤波器并且可以被配置为分离和组合光信号。例如，滤波器440-a可以经由引入光纤465-a从循环awg路由器415接收光信号，并基于光信号的波长475将它们分离，并将分离的信号路由到远程节点410-a的不同部件。例如，滤波器440-a可以将具有(例如，与下行信道相关联的)波长475-b的光信号路由到数据接收器420-a。另外，滤波器440-a可以接收来自同步脉冲发生器425、数据发射器430-a和qkd发射器435的光信号，并且可以经由引入光纤465-a将它们传播到循环awg路由器。
[0117]
中央节点405可以包括数据发射器430-b、同步脉冲接收器450、数据接收器420-b、qkd接收器455、以及滤波器440-c、44-d、440-e、440-f和440-g。同步脉冲接收器450可以被配置为从一个或多个远程节点410接收时序指示，并且qkd接收器455可以是被配置为从一个或多个远程节点410接收指示量子密钥的量子脉冲的单光子检测器。qkd接收器455可以被配置为在给定时间接收单个量子脉冲。数据发射器430-b可以被配置为传输下行数据以传输到一个或多个远程节点410中的每一个，使用与中央节点405和远程节点410-a之间的光通信相关联的量子密钥对下行数据进行加密，以及将加密的下行数据传输到远程节点410-a。数据接收器420-b可以被配置为从一个或多个远程节点410接收上行数据。即，数据接收器420-b可以从远程节点410-a接收加密的上行数据，并且使用与远程节点410-a和中央节点405之间的光通信相关联的量子密钥来解密加密的上行数据。
[0118]
qkd接收器455可以与滤波器440-g耦合。滤波器440-g可以是窄带滤光器(例如，光纤布拉格光栅(fbg)滤光器)。在一些实例中，滤波器440-c可以过滤来自量子信道的一些噪声(例如，拉曼噪声)以提高量子信道的可靠性。即，量子信道的波长475-a可能与经典信道(例如，下行信道、上行信道、同步信道)的波长间隔开，但仍可能存在与量子信道相关联的拉曼散射噪声。另外，对量子信道进行时间滤波(例如，通过仅当时序指示指示了量子脉冲时才打开qkd接收器455的门)可以降低噪声对量子信道的影响。
[0119]
滤波器440-b可以是cwdm滤波器并且可以被配置为分离和组合光信号。例如，滤波器440-b可以经由馈线光纤460从循环awg路由器415接收光信号，并基于光信号的波长475将它们分离，并将分离的信号路由到中央节点405的不同部件。例如，滤波器440-b可以将具有(例如，与量子信道相关联的)波长475-a的光信号路由到qkd接收器455。在另一示例中，滤波器440-b可以将具有(例如，与上行信道相关联的)波长475-c的光信号路由到数据接收器420-b。在另一示例中，滤波器440-b可以将具有(例如，与同步信道相关联的)波长475-d的光信号路由到同步脉冲接收器450。另外，滤波器440-b可以接收来自数据发射器430-b的光信号，并且可以经由馈线光纤460将它们传播到循环awg路由器。
[0120]
中央节点405可以另外包括滤波器440-c、440-d、440-e和440-g，它们可以是awg滤波器。这些滤波器440可以与中央节点405的部件耦合并且可以进一步基于光信号的波长475对光信号进行滤波。即，滤波器440-b可以被配置为基于光信号的类型来分离或组合光信号。例如，滤波器440-b可以基于光信号是量子脉冲、时序指示、上行数据还是下行数据(例如，基于光信号的波长)来分离或组合光信号。滤波器440-c、440-d、440-e和440-f可以被配置为分离或组合与不同远程节点410相关联的光信号。即，从滤波器440-b输出的每个信号可以包括与多个远程节点410相关联的光信号，每个远程节点与一定波长范围内的不同波长相关联(例如，如图4b所示)。例如，滤波器440-c可以被配置为从数据发射器430-b(或者，在一些情况下，从多个数据发射器430-b或数据发射器430-b的每个与不同的远程节点410相关联的组成数据发射器)接收下行数据，其中，下行数据包括多个不同的波长，每个波长与不同的远程节点410-a相关联。滤波器440-c然后可以组合多个不同波长以输出包括与下行数据传输相关联的波长475-b的光信号。类似地，滤波器440-d、440-e和440-f可以被配置为接收光信号并将光信号分离成与每个远程节点410相关联的波长，然后可以将其分别传递到同步脉冲接收器450、数据接收器420-b和qck接收器455(或与不同波长相关联的不同的组成接收器)的不同实例。
[0121]
为了与中央节点405通信，同步脉冲发生器425可以生成后续量子脉冲的时序指示，并且可以将时序指示传输到中央节点405(例如，经由滤波器440-a和循环awg路由器415)。同步脉冲接收器450可以接收时序指示，并识别将何时接收后续量子脉冲(例如，以便打开与qkd接收器455相关联的门)。基于时序指示，qkd发射器435可以生成量子脉冲并经由滤波器440-a和循环awg路由器415将量子脉冲传输到中央节点405。
[0122]
在一些情况下，系统400可以另外包括双馈线光纤470和滤波器440-h。这里，滤波器440-h可以经由双馈线光纤470(例如，代替馈线光纤460)将量子脉冲引导到中央节点405。在一些情况下，这可以减少量子信道上的噪声量并提高与量子脉冲传输相关联的信号质量。
[0123]
图5a和图5b图示了根据本披露内容的各方面的支持pon中的qkd的系统500和波长
计划501的示例。系统500可以是点对多点wdm-pon系统500的示例，其被配置为在中央节点505与多个远程节点510之间传送使用量子密钥加密的数据(例如，如参考图1和图4所描述的)，并且波长计划501可以是用于系统500所使用的通信的波长计划501的示例。另外，系统500可以包括如参考图1和图4所描述的系统100和400的各方面。例如，中央节点505、远程节点510和循环awg路由器515(或另一类型的光复用器)可以是参考图1和图4所描述的类似部件的示例。系统500可以另外包括用于中央节点505与循环awg路由器515之间的通信的馈线光纤560和用于循环awg路由器515与远程节点510之间的通信的引入光纤565。
[0124]
系统500可以依靠波分复用来在中央节点505与一个或多个远程节点510之间传送数据、量子密钥和时序指示。即，每个远程节点510可以被配置为利用与用于与中央节点505通信的同其他远程节点510相关联的资源波分复用的资源。另外，系统300可以被配置为要么以经典模式要么以量子模式操作。即，用于中央节点505与一个或多个远程节点510之间的通信的一组时间资源可以被配置用于经典通信(例如，上行数据或下行数据)或量子通信(例如，时序指示或量子脉冲)。在一些情况下，与被配置为在重叠时间资源期间支持经典通信和量子通信的系统相比，这可以附加地减少量子信道上的噪声量。
[0125]
如图5b所示，下行数据、上行数据、时序指示和量子脉冲可以与波长575相关联，这些波长可以不同或至少部分重叠。例如，量子信道和上行信道可以与波长575-a(例如，1310nm)相关联。另外，下行信道和同步信道可以与波长575-b(例如，1490nm)相关联。为了实现wdm通信，每个光信号(例如，量子脉冲、下行数据、上行数据和时序指示)包括多个波长575。这里，每个波长575可以与远程节点510之一相关联。例如，下行数据575-b可以包括多于一个不同波长575，其中，不同波长575中的每一个可以与一个远程节点510相关联。在一些示例中，每个远程节点510可以与索引相关联，并且可以使用根据所述索引确定的每个波长575-a、575-b、575-c和575-d内的波长575。因为系统500要么以经典模式要么以量子模式操作，经典信道(例如，下行信道和上行信道)可以利用与量子信道(例如，量子信道和同步信道)相似的波长。
[0126]
远程节点510和中央节点505中的每一个可以包括开关545以便在量子模式与经典模式之间切换。例如，远程节点510-a可以包括开关545-a和545-b，并且中央节点505可以包括开关545-c和545-d。在一些情况下，开关545可以被链接。例如，开关545可以在经典通信模式期间将远程节点510和中央节点505的第一组部件(例如，数据接收器520和数据发射器530)与滤波器540耦合，并且可以在量子通信模式期间将远程节点510-a和中央节点505的第二组部件(例如，同步脉冲发生器525、qkd发射器535、同步脉冲接收器550和qkd接收器555)与滤波器540耦合。
[0127]
远程节点510-a可以包括数据接收器520-a、同步脉冲发生器525、数据发射器530-a和qkd发射器535，每个都与滤波器540-a耦合。qkd发射器535可以被配置为生成指示用于远程节点510-a与中央节点505之间的光通信的量子密钥的量子脉冲。另外，同步脉冲发生器525可以被配置为生成指示量子密钥的量子脉冲的时序指示。数据接收器520-a可以被配置为从中央节点505接收(例如，使用量子密钥加密的)下行数据。数据接收器520-a可以另外被配置为使用量子密钥对加密的下行数据进行解密。数据发射器530-a可以被配置为将(例如，使用量子密钥加密的)上行数据传输到中央节点505。即，数据发射器530-a可以被配置为传输上行数据以传输到中央节点505并且使用量子密钥对上行数据进行加密。
[0128]
滤波器540-a可以是cwdm滤波器并且可以被配置为分离和组合光信号。例如，滤波器540-a可以经由引入光纤565-a从循环awg路由器515接收光信号，并基于光信号的波长575将它们分离，并将分离的信号路由到远程节点510-a的不同部件。例如，滤波器540-a可以将具有(例如，与下行信道相关联的)波长575-b的光信号路由到数据接收器520-a。另外，滤波器540-a可以接收来自同步脉冲发生器525、数据发射器530-a和qkd发射器535的光信号，并且可以经由引入光纤565-a将它们传播到循环awg路由器。
[0129]
中央节点505可以包括数据发射器530-b、同步脉冲接收器550、数据接收器520-b、qkd接收器555、以及滤波器540-c、540-d、540-e、540-f和540-g。同步脉冲接收器550可以被配置为从一个或多个远程节点510接收时序指示，并且qkd接收器555可以是被配置为从一个或多个远程节点510接收指示量子密钥的量子脉冲的单光子检测器。qkd接收器555可以被配置为在给定时间接收单个量子脉冲。数据发射器530-b可以被配置为传输下行数据以传输到一个或多个远程节点510中的每一个，使用与中央节点505和远程节点510-a之间的光通信相关联的量子密钥对下行数据进行加密，以及将加密的下行数据传输到远程节点510-a。数据接收器520-b可以被配置为从一个或多个远程节点510接收上行数据。即，数据接收器520-b可以从远程节点510-a接收加密的上行数据，并且使用与远程节点510-a和中央节点505之间的光通信相关联的量子密钥来解密加密的上行数据。
[0130]
qkd接收器555可以与滤波器540-e耦合。滤波器540-e可以是窄带滤光器(例如，fbg滤波器)。在一些实例中，滤波器540-e可以过滤来自量子信道的一些噪声(例如，拉曼噪声)以提高量子信道的可靠性。另外，对量子信道进行时间滤波(例如，通过仅当时序指示指示了量子脉冲时才打开qkd接收器555的门)可以降低噪声对量子信道的影响。在一些情况下，系统500可以另外包括双馈线光纤570和滤波器540-h。这里，滤波器540-h可以经由双馈线光纤570(例如，代替馈线光纤560)将量子脉冲引导到中央节点505。在一些情况下，这可以减少量子信道上的噪声量并提高与量子脉冲传输相关联的信号质量。
[0131]
滤波器540-b可以是cwdm滤波器并且可以被配置为分离和组合光信号。例如，滤波器540-b可以经由馈线光纤560从循环awg路由器515接收光信号，并基于光信号的波长575将它们分离，并将分离的信号路由到中央节点505的不同部件。例如，滤波器540-b可以经由开关545-d将具有(例如，与上行信道或量子信道相关联的)波长575-a的光信号路由到数据接收器520-b或qkd接收器555。在另一示例中，滤波器540-b可以在数据发射器530-b或同步脉冲接收器550与滤波器540-b之间路由具有(例如，与下行信道或同步信道相关联的)波长575-b的光信号(例如，通过开关545-c)。
[0132]
中央节点505可以另外包括滤波器540-c和540-d，它们可以是awg滤波器。这些滤波器540可以与中央节点505的部件耦合并且可以进一步基于光信号的波长575对光信号进行滤波。即，滤波器540-b可以被配置为基于光信号的类型来分离或组合光信号。例如，滤波器540-b可以基于光信号是量子脉冲、时序指示、上行数据还是下行数据(例如，基于光信号的波长)来分离或组合光信号。滤波器540-c和540-d可以被配置为分离或组合与不同远程节点510相关联的光信号。即，从滤波器540-b输出的每个信号可以包括与多个远程节点510相关联的光信号，每个远程节点与一定波长范围内的不同波长相关联(例如，如图5b所示)。例如，滤波器540-c可以被配置为从数据发射器530-b(或者，在一些情况下，从多个数据发射器530-b或数据发射器530-b的每个与不同的远程节点510相关联的组成数据发射器)接
收下行数据，其中下行数据包括多个不同的波长，每个波长与不同的远程节点510相关联。滤波器540-c然后可以组合多个不同波长以输出包括与下行数据传输相关联的波长575-b的光信号。滤波器540-c可以类似地将包括波长575-b的光信号分离成与每个远程节点510相关联的用于上行数据传输的组成波长，以将不同组成波长中的每一个传递到同步脉冲接收器550的不同实例(或同步脉冲接收器550的不同组成接收器)。类似地，滤波器540-d可以被配置为接收光信号并将光信号分离成与每个远程节点510相关联的波长，然后可以将其分别传递到同步脉冲接收器520-b和qck接收器555(或与不同波长相关联的不同的组成接收器)的不同实例。
[0133]
为了与中央节点505通信，同步脉冲发生器525可以生成一个或多个后续量子脉冲的时序指示，并且可以将时序指示传输到中央节点505(例如，经由滤波器540-a和循环awg路由器515)。同步脉冲接收器550可以接收时序指示，并识别将何时接收(多个)后续量子脉冲(例如，以便打开与qkd接收器555相关联的门)。基于时序指示，系统500可以切换到用于光通信的经典模式(例如，通过切换开关545)，并且qkd发射器535可以生成量子脉冲并经由滤波器540-a和光分路器515将量子脉冲传输到中央节点505。
[0134]
图6图示了根据本披露内容的各方面的支持qkd的系统600的示例。系统600可以是用于互联网通信的混合系统的示例。在一些情况下，系统600可以采用参考图1至图5所描述的点对多点pon系统的各方面。例如，网络节点605可以是如本文所述的网络节点(例如，远程节点、中央节点)的示例。系统600可以包括被配置为使用经典信道615来传送加密数据的网络节点605。系统600可以另外包括用于(例如，通过如本文所述的量子脉冲)传送量子密钥的一个或多个量子信道610，所述量子密钥用于对网络节点605之间的数据通信进行加密。
[0135]
网络节点605-a可以通过量子信道610和经典信道615与网络节点605-b和网络节点605-c两者通信。网络节点605-a可以经由量子信道610与网络节点605-b和605-c通信量子密钥625(预共享密钥)。例如，网络节点605-a可以通过量子信道610-a将量子密钥625-a和量子密钥标识符620-a(例如，标识量子密钥625-a)传送到网络节点605-b。另外，网络节点605-a可以通过量子信道610-b将量子密钥625-b和量子密钥标识符620-b(例如，标识量子密钥625-b)传送到网络节点605-c。
[0136]
在传送量子密钥625和量子密钥标识符620之后，网络节点605-a可以经由经典信道与网络节点605-b和605-c通信加密数据630。即，发射网络节点605可以使用量子密钥625来生成加密数据630，并且接收网络节点605可以使用量子密钥625来解密加密数据630。例如，网络节点605-a可以利用量子密钥625-a经由经典信道615-a与网络节点605-b通信加密数据630-a。在一些情况下，加密数据630-a可以包括量子密钥标识符620-a的指示。在另一示例中，网络节点605-a可以利用量子密钥625-b经由经典信道615-b与网络节点605-c通信加密数据630-b。在一些实例中，加密数据630-b可以包括量子密钥标识符620-b的指示。
[0137]
在一些实例中，网络节点605-b和605-c可能不直接通过量子信道610耦合。即，网络节点605-b和605-c可以不被配置为直接经由量子信道610传送量子密钥(例如，用于生成或解密加密数据630-c)。这里，网络节点605-a可以被配置为向网络节点605-b和605-c中的每一个传输消息以指示用于网络节点605-b与605-c之间的通信的量子密钥625。即，网络节点605-a可以传输指示从量子密钥625-a和625-b的组合导出的量子密钥625的消息(例如，
向网络节点605-b和605-c两者)。例如，所述消息可以指示从量子密钥625-a和625-b的逻辑组合(例如，异或组合)导出的量子密钥625。
[0138]
基于接收到指示导出的量子密钥625的消息，网络节点605-b和605-c中的每一个可以识别量子密钥625-a和625-b两者。例如，网络节点605-c可以基于所指示的导出的量子密钥625和(例如，经由量子信道610-b从网络节点605-a接收的)量子密钥625-b来识别量子密钥625-a。因此，网络节点605-b和605-c都可以识别量子密钥625-a和625-b两者。网络节点605-b和605-c可以使用量子密钥625-a和625-b的组合来经由经典信道615-c传送加密数据630-c。
[0139]
网络节点605可以各自包括一个或多个层或部件。作为示例，图示了网络节点605-a的各个层或部件，但是网络节点605-b和605-c可以包括相似的层或部件。网络节点605-a可以包括qkd客户端635、密钥管理层640、传输客户端645、加密协议650和客户端应用程序655。网络节点605-a的qkd客户端635可以被配置为经由量子信道610与另一个网络节点605通信(例如，发射、接收)量子密钥625。qkd客户端635可以被配置为将量子密钥625和量子密钥标识符620从qkd客户端635传递到加密协议650(例如，直接传递到加密协议650而不经过传输客户端645)。qkd客户端635可以另外将量子密钥625和量子密钥标识符620传送到网络节点605-a的密钥管理层640。密钥管理层640可以被配置为存储量子密钥625和量子密钥标识符620。
[0140]
传输客户端645、加密协议650和客户端应用程序655可以是网络节点605-a的协议栈的一部分，并且可以被配置为经由经典信道615-a和615-b接收(例如，与客户端应用程序655相关联的)数据。传输客户端645可以将加密数据传送到加密协议650以进行解码。另外，加密协议650可以被配置为在经由经典信道615传送数据之前加密数据。即，加密协议650可以是tls客户端的示例，并且可以包括软件包(例如，gnutls、openssl)，所述软件包可以包括用于执行加密功能以传送加密信息的库。
[0141]
图7图示了根据本披露内容的各方面的支持qkd的系统700的示例。系统700可以是混合系统的示例，并且可以实施如参考图1至图5所描述的点对多点pon系统和其他混合系统的各方面。例如，网络节点705可以是如本文所述的网络节点(例如，远程节点、中央节点)的示例。系统700可以包括被配置为传送使用量子密钥加密的数据的网络节点705。
[0142]
网络节点705-a可以包括qkd客户端735-a、密钥管理层740-a、传输客户端745-a、加密协议750-a和客户端应用程序755-a。网络节点705-b可以包括qkd服务器735-b、密钥管理层740-b、传输服务器745-b、加密协议750-b和服务器应用程序755-b。网络节点705-b的qkd服务器735-b可以被配置为将量子密钥和量子密钥标识符725-a提供给网络节点705-a的qkd客户端735-a(例如，通过量子信道)。网络节点705-b的qkd服务器735-b可以另外将量子密钥和量子密钥标识符725-c传送到(例如，在网络节点705-b的协议栈内的)加密协议750-b。在一些情况下，量子密钥标识符在网络节点705-a和705-b的两个互联网协议(ip)地址之间可以是唯一的。另外，qkd服务器735-b可以将量子密钥和量子密钥标识符725-c传送到密钥管理层740-b。密钥管理层740-b可以被配置为存储量子密钥和量子密钥标识符725-c。例如，密钥管理层740-b可以连同与网络节点705-a和705-b相关联的ip地址一起存储量子密钥和量子密钥标识符725-c。
[0143]
当网络节点705-a接收到量子密钥和量子密钥标识符725-a时，qkd客户端735-a可
以将量子密钥和量子密钥标识符725-c传送到密钥管理层740-a(例如，用于存储)。例如，密钥管理层740-a可以连同与网络节点705-a和705-b相关联的ip地址一起存储量子密钥和量子密钥标识符725-b。
[0144]
传输层745-a、加密协议750-a和客户端应用程序755-a可以是网络节点705-a的协议栈的一部分，并且可以被配置为接收来自网络节点705-b的(例如，与应用程序755相关联的)加密数据和量子密钥标识符的指示760(例如，经由经典信道)。在一些情况下，传输客户端745-a可以从网络节点705-b接收加密数据以及向所述网络节点传输加密数据，并将加密数据传送到加密协议750-a。传输层745-b、加密协议750-b和服务器应用程序755-b可以是网络节点705-b的通信协议栈的一部分，并且可以被配置为接收来自网络节点705-a的(例如，与应用程序755相关联的)加密数据和量子密钥标识符的指示760(例如，经由经典信道)。通信协议栈可以包括例如(传输层、网络层、数据链路层或物理层)。在一些情况下，传输服务器745-b可以使用tcp来实现可靠性和流量控制，以从网络节点705-a接收加密数据以及向所述网络节点传输加密数据，并将加密数据传送到加密协议750-b。
[0145]
当向网络节点705-a传输数据时，服务器应用程序755-b可以提供用于传输到加密协议750-b的数据和网络节点705-a的指示(例如，与网络节点705-a相关联的ip地址)。加密协议750-b可以取得与网络节点705-b和705-a之间的通信相关联的量子密钥(例如，从密钥管理层740-b)。加密协议750-b然后可以使用与网络节点705-a相关联的量子密钥对来自服务器应用程序755-b的数据进行加密，并将加密数据和量子密钥标识符的指示760传输到网络节点705-a。网络节点705-a可以从网络节点705-b(例如，通过加密协议750-a或传输客户端745-a)接收加密数据和量子密钥标识符的指示760。加密协议750-a可以基于量子密钥标识符的指示来取得量子密钥(例如，从密钥管理层740-a)，并且可以使用量子密钥来解密数据。
[0146]
为了将数据从网络节点705-a传输到网络节点705-b，客户端应用程序755-a可以提供用于传输到加密协议750-a的数据和网络节点705-b的指示(例如，与网络节点705-b相关联的ip地址)。加密协议750-a可以取得与网络节点705-b和705-a之间的通信相关联的量子密钥(例如，从密钥管理层740-a)。例如，传输客户端745-a可以接收与网络节点705-b相关联的ip地址的指示(例如，从路由表)。传输客户端745-a可以指示与网络节点705-b相关联的ip地址，并且密钥管理层740-a可以确定用于与网络节点705-b通信的量子密钥。例如，量子密钥可以通过量子信道直接与网络节点705-b交换，或者可以是从如上所述通过量子信道与一个或多个其他网络节点交换的密钥导出的密钥的组合。加密协议750-a然后可以使用与网络节点705-b相关联的量子密钥对来自客户端应用程序755-a的数据进行加密，并将加密数据和量子密钥标识符的指示760传输到网络节点705-b。网络节点705-b可以从网络节点705-a(例如，通过加密协议750-b或传输服务器745-b)接收加密数据和量子密钥标识符的指示760。加密协议750-b可以基于量子密钥标识符的指示来取得量子密钥(例如，从密钥管理层740-b)，并且可以使用量子密钥来解密数据。
[0147]
在一些情况下，网络节点705可以另外包括ip层。ip层可以被配置为识别向哪个下一个网络节点705(例如，网络节点705-b)传输数据(例如，以便将数据路由到正确的目的地网络节点705)。当前网络节点705-a的ip层可以基于路由表识别下一个网络节点705-b，所述路由表可以使用ip地址指示下一个网络节点705-b。这里，当前网络节点705-a可以使用
该ip地址来搜索(例如，在密钥管理层740内)与同下一个网络节点705-b的通信相关联的量子密钥。然后，密钥管理层740可以提供必要的量子密钥(或多于一个量子密钥的组合)以在将数据传送到下一个网络节点705-b之前加密数据。
[0148]
图8图示了根据本披露内容的各方面的支持pon中的qkd的过程流程800的示例。过程流程800可以由网络节点805实施，所述网络节点可以是如本文所述的网络节点(例如，远程节点、中央节点)的示例。在过程流程800的以下描述中，这些操作可以以不同的顺序或在不同的时间执行。一些操作也可以从过程流程800中省略，并且其他操作可以添加到过程流程800。
[0149]
在810处，网络节点805-a可以通过qkd服务器将第一量子密钥和第一量子密钥标识符传输到网络节点805-b(例如，经由量子信道)。网络节点805-b可以通过qkd客户端接收第一量子密钥和第一量子密钥标识符。
[0150]
在815处，网络节点805-b可以将第一量子密钥和第一量子密钥标识符从qkd客户端传递到第一网络节点的协议栈(例如，传递到协议栈的加密协议)。
[0151]
在820处，网络节点805-b和网络节点805-a可以通过协议栈的加密协议来通信加密数据。在一些情况下，数据可以使用第一量子密钥进行加密并且可以包括第一量子密钥标识符的指示。
[0152]
在825处，网络节点805-a可以传输包括第二量子密钥的消息，所述第二量子密钥是从与网络节点805-a和网络节点805-c之间的通信相关联的第三量子密钥导出的。
[0153]
在830处，网络节点805-b可以基于第二量子密钥和第一量子密钥来识别第三量子密钥。
[0154]
在835处，网络节点805-b可以通过协议栈的加密协议与网络节点805-c通信加密数据。在一些情况下，可以使用第一量子密钥和第三量子密钥的组合(例如，根据预定或协商的函数)对数据进行加密。
[0155]
图9示出了根据本文披露的示例的支持pon中的qkd的远程节点905的框图900。远程节点905可以是参考图1至图5所描述的远程节点的各方面的示例。远程节点905可以包括资源管理器910、量子脉冲发生器915、时序指示发射器920、量子脉冲发射器925和通信部件930。这些模块中的每一个可以直接或间接地彼此通信(例如，经由一个或多个总线)。
[0156]
资源管理器910可以从由该组远程节点共享的一组资源中识别用于输出量子脉冲的资源，所述量子脉冲指示用于远程节点与中央节点之间的光通信的量子密钥。在一些示例中，资源管理器910可以向光学部件输出对用于输出量子密钥的时间资源的请求。在一些情况下，资源管理器910可以基于输出对时间资源的请求而从光学部件接收所识别的资源的指示。在一些实例中，所识别的用于输出量子脉冲的资源与该组资源中的与该组远程节点相关联的资源时分复用。这里，光学部件可以是光分路器。在一些情况下，所识别的用于输出量子脉冲的资源与该组资源中的与该组远程节点相关联的资源波分复用。这里，光学部件可以是循环awg路由器。
[0157]
量子脉冲发生器915可以基于识别到资源而生成量子脉冲和量子脉冲的时序指示。在一些示例中，量子脉冲发生器915可以生成指示用于远程节点与中央节点之间的光通信的第二量子密钥的第二量子脉冲。
[0158]
时序指示发射器920可以向光学部件输出量子脉冲的时序指示。
[0159]
量子脉冲发射器925可以基于输出量子脉冲的时序指示，使用所识别的资源向光学部件输出指示量子密钥的量子脉冲。在一些示例中，量子脉冲发射器925可以在将量子脉冲输出到光学部件之后，基于输出时序指示来向光学部件输出指示第二量子密钥的第二量子脉冲，其中，所述时序指示指示量子脉冲和第二量子脉冲的时序。
[0160]
通信部件930可以基于输出指示量子密钥的量子脉冲与中央节点通信。在一些示例中，通信部件930可以基于将量子脉冲输出到光学部件而从用于将量子脉冲传送到中央节点的第一通信模式切换到用于与中央节点通信数据的第二通信模式，其中，与中央节点的通信是基于所述切换。在一些情况下，通信部件930可以使用量子密钥对用于传输到中央节点的数据进行加密。在一些实例中，通信部件930可以将加密数据输出到光学部件。在一些示例中，通信部件930可以从光学部件接收加密数据。在一些情况下，通信部件930可以使用量子密钥对从光学部件接收的加密数据进行解密。
[0161]
图10示出了根据本文披露的示例的支持pon中的qkd的中央节点1005的框图1000。中央节点1005可以是参考图1至图5所描述的中央节点的各方面的示例。中央节点1005可以包括时序指示管理器1010、量子脉冲管理器1015、通信管理器1020和资源管理器1025。这些模块中的每一个可以直接或间接地彼此通信(例如，经由一个或多个总线)。
[0162]
时序指示管理器1010可以从光学部件接收一组时序指示，每个时序指示与一组量子脉冲之一相关联，每个量子脉冲指示用于与一组远程节点之一相关联的光通信的量子密钥。
[0163]
量子脉冲管理器1015可以基于接收到该组时序指示经由一组资源从光学部件接收该组量子脉冲。在一些情况下，该组量子脉冲中的每一个是经由与该组资源中的资源时分复用的资源接收的。在一些示例中，光学部件是光分路器。在一些实例中，该组量子脉冲中的每一个是经由与该组资源中的资源波分复用的资源接收的。在一些示例中，光学部件是循环awg路由器。
[0164]
通信管理器1020可以基于接收到该组量子脉冲与该组远程节点进行通信，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的量子密钥。在一些示例中，通信管理器1020可以基于从光学部件接收到该组量子脉冲而从用于接收该组量子脉冲的第一通信模式切换到用于与该组远程节点通信数据的第二通信模式，其中，与该组远程节点的通信是基于所述切换。在一些情况下，通信管理器1020可以识别用于传输到该组远程节点中的一个远程节点的数据。
[0165]
在一些实例中，通信管理器1020可以使用用于与所述一个远程节点相关联的光通信的量子密钥对用于传输到中央节点的数据进行加密。在一些示例中，通信管理器1020可以经由光学部件将加密数据传送到所述一个远程节点。在一些情况下，通信管理器1020可以从光学部件接收与该组远程节点中的一个远程节点相关联的加密数据。在一些实例中，通信管理器1020可以使用用于与所述一个远程节点相关联的光通信的量子密钥对从光学部件接收的加密数据进行解密。
[0166]
资源管理器1025可以从光学部件接收对用于该组量子脉冲之一的时间资源的请求。在一些示例中，资源管理器1025可以向光学部件输出该组资源内的用于该组量子脉冲中的所述一个量子脉冲的时间资源的指示，其中，接收该组量子脉冲是基于输出所述指示。
[0167]
图11示出了根据本文披露的示例的支持pon中的qkd的网络节点1105的框图1100。
网络节点1105可以是参考图1至图8所描述的网络节点的各方面的示例。网络节点1105可以包括量子密钥接收器1110、量子密钥管理器1115和通信管理器1120。这些模块中的每一个可以直接或间接地彼此通信(例如，经由一个或多个总线)。
[0168]
量子密钥接收器1110可以通过qkd客户端从第二网络节点接收第一量子密钥和第一量子密钥标识符。在一些示例中，量子密钥接收器1110可以从第二网络节点接收包括第二量子密钥的消息，所述第二量子密钥是从与第二网络节点和第三网络节点之间的通信相关联的第三量子密钥导出的。
[0169]
量子密钥管理器1115可以将第一量子密钥和第一量子密钥标识符从第一网络节点的qkd客户端传递到第一网络节点的协议栈。在一些示例中，量子密钥管理器1115可以基于第二量子密钥和第一量子密钥来识别第三量子密钥。在一些情况下，量子密钥管理器1115可以将第一量子密钥和第一量子密钥标识符从第一网络节点的qkd客户端传递到第一网络节点的密钥管理层。在一些实例中，量子密钥管理器1115可以将第一量子密钥和第一量子密钥标识符存储在与密钥管理层相关联的服务器上，其中，与第二网络节点通信加密数据是基于所述存储。在一些示例中，量子密钥管理器1115可以通过第一网络节点的密钥管理层将对第一量子密钥的请求传输到第二网络节点的对应密钥管理层，其中，通过第一网络节点的qkd客户端接收第一量子密钥是基于传输所述请求。
[0170]
通信管理器1120可以通过协议栈的加密协议与第二网络节点通信加密数据，其中，所述加密数据是使用第一量子密钥加密的并且包括第一量子密钥标识符的指示。在一些示例中，通信管理器1120可以通过协议栈的加密协议与第三网络节点通信第二加密数据，其中，所述第二加密数据是使用第一量子密钥和第三量子密钥加密的。在一些情况下，通信管理器1120可以识别用于传输到第二网络节点的数据。在一些实例中，通信管理器1120可以通过协议栈的加密协议使用第一量子密钥对用于传输到第二网络节点的数据进行加密。
[0171]
在一些示例中，通信管理器1120可以通过协议栈的加密协议将加密数据和第一量子密钥标识符的指示传输到第二网络节点。在一些情况下，通过协议栈的加密协议从第二网络节点接收加密数据，其中，所述加密数据包括第一量子密钥标识符的指示。在一些实例中，通信管理器1120可以基于第一量子密钥标识符的指示，通过协议栈的加密协议从与第一网络节点的密钥管理层相关联的服务器取得第一量子密钥。在一些示例中，通信管理器1120可以基于取得第一量子密钥，通过协议栈的加密协议使用第一量子密钥对加密数据进行解密。
[0172]
图12示出了说明根据本披露内容的各方面的支持pon中的qkd的一种或多种方法1200的流程图。方法1200的操作可以由如本文所描述的远程节点或其部件实施。例如，方法1200的操作可以由参考图9描述的远程节点执行。在一些示例中，远程节点可以执行一组指令来控制远程节点的功能元件以执行所描述的功能。附加地或可替代地，远程节点可以使用专用硬件来执行所述功能的各方面。
[0173]
在1205处，远程节点可以从由该组远程节点共享的一组资源中识别用于输出量子脉冲的资源，所述量子脉冲指示用于远程节点与中央节点之间的光通信的量子密钥。1205的操作可以根据本文描述的方法来执行。在一些示例中，1205的操作的各方面可以由参考图9所描述的资源管理器来执行。
[0174]
在1210处，远程节点可以基于识别到资源而生成量子脉冲和量子脉冲的时序指示。1210的操作可以根据本文描述的方法来执行。在一些示例中，1210的操作的各方面可以由参考图9所描述的量子脉冲发生器来执行。
[0175]
在1215处，远程节点可以向光学部件输出量子脉冲的时序指示。1215的操作可以根据本文描述的方法来执行。在一些示例中，1215的操作的各方面可以由参考图9所描述的时序指示发射器来执行。
[0176]
在1220处，远程节点可以基于输出量子脉冲的时序指示，使用所识别的资源向光学部件输出指示量子密钥的量子脉冲。1220的操作可以根据本文描述的方法来执行。在一些示例中，1220的操作的各方面可以由参考图9所描述的量子脉冲发射器来执行。
[0177]
在1225处，远程节点可以基于输出指示量子密钥的量子脉冲与中央节点通信。1225的操作可以根据本文描述的方法来执行。在一些示例中，1225的操作的各方面可以由参考图9所描述的通信部件来执行。
[0178]
图13示出了说明根据本披露内容的各方面的支持pon中的qkd的一种或多种方法1300的流程图。方法1300的操作可以由如本文所描述的中央节点或其部件实施。例如，方法1300的操作可以由参考图10描述的中央节点执行。在一些示例中，中央节点可以执行一组指令来控制中央节点的功能元件以执行所描述的功能。附加地或可替代地，中央节点可以使用专用硬件来执行所述功能的各方面。
[0179]
在1305处，中央节点可以从光学部件接收一组时序指示，每个时序指示与一组量子脉冲之一相关联，每个量子脉冲指示用于与一组远程节点之一相关联的光通信的量子密钥。1305的操作可以根据本文描述的方法来执行。在一些示例中，1305的操作的各方面可以由参考图10所描述的时序指示管理器来执行。
[0180]
在1310处，中央节点可以基于接收到该组时序指示经由一组资源从光学部件接收该组量子脉冲。1310的操作可以根据本文描述的方法来执行。在一些示例中，1310的操作的各方面可以由参考图10所描述的量子脉冲管理器来执行。
[0181]
在1315处，中央节点可以基于接收到该组量子脉冲与该组远程节点进行通信，每个量子脉冲指示用于与该组远程节点之一相关联的光通信的量子密钥。1315的操作可以根据本文描述的方法来执行。在一些示例中，1315的操作的各方面可以由参考图10所描述的通信管理器来执行。
[0182]
图14示出了说明根据本披露内容的各方面的支持pon中的qkd的一种或多种方法1400的流程图。方法1400的操作可以由如本文所描述的网络节点或其部件实施。例如，方法1400的操作可以由参考图11描述的网络节点执行。在一些示例中，网络节点可以执行一组指令来控制网络节点的功能元件以执行所描述的功能。附加地或可替代地，网络节点可以使用专用硬件来执行所述功能的各方面。
[0183]
在1405处，网络节点可以通过qkd客户端从第二网络节点接收第一量子密钥和第一量子密钥标识符。1405的操作可以根据本文描述的方法来执行。在一些示例中，1405的操作的各方面可以由参考图11所描述的量子密钥接收器来执行。
[0184]
在1410处，网络节点可以将第一量子密钥和第一量子密钥标识符从第一网络节点的qkd客户端传递到第一网络节点的协议栈。1410的操作可以根据本文描述的方法来执行。在一些示例中，1410的操作的各方面可以由参考图11所描述的量子密钥管理器来执行。
[0185]
在1415处，网络节点可以通过协议栈的加密协议与第二网络节点通信加密数据，其中，所述加密数据是使用第一量子密钥加密的并且包括第一量子密钥标识符的指示。1415的操作可以根据本文描述的方法来执行。在一些示例中，1415的操作的各方面可以由参考图11所描述的通信管理器来执行。
[0186]
图15示出了说明根据本披露内容的各方面的支持pon中的qkd的一种或多种方法1500的流程图。方法1500的操作可以由如本文所描述的网络节点或其部件实施。例如，方法1500的操作可以由参考图11描述的网络节点执行。在一些示例中，网络节点可以执行一组指令来控制网络节点的功能元件以执行所描述的功能。附加地或可替代地，网络节点可以使用专用硬件来执行所述功能的各方面。
[0187]
在1505处，网络节点可以通过qkd客户端从第二网络节点接收第一量子密钥和第一量子密钥标识符。1505的操作可以根据本文描述的方法来执行。在一些示例中，1505的操作的各方面可以由参考图11所描述的量子密钥接收器来执行。
[0188]
在1510处，网络节点可以将第一量子密钥和第一量子密钥标识符从第一网络节点的qkd客户端传递到第一网络节点的协议栈。1510的操作可以根据本文描述的方法来执行。在一些示例中，1510的操作的各方面可以由参考图11所描述的量子密钥管理器来执行。
[0189]
在1515处，网络节点可以通过协议栈的加密协议与第二网络节点通信加密数据，其中，所述加密数据是使用第一量子密钥加密的并且包括第一量子密钥标识符的指示。1515的操作可以根据本文描述的方法来执行。在一些示例中，1515的操作的各方面可以由参考图11所描述的通信管理器来执行。
[0190]
在1520处，网络节点可以从第二网络节点接收包括第二量子密钥的消息，所述第二量子密钥是从与第二网络节点和第三网络节点之间的通信相关联的第三量子密钥导出的。1520的操作可以根据本文描述的方法来执行。在一些示例中，1520的操作的各方面可以由参考图11所描述的量子密钥接收器来执行。
[0191]
在1525处，网络节点可以基于第二量子密钥和第一量子密钥来识别第三量子密钥。1525的操作可以根据本文描述的方法来执行。在一些示例中，1525的操作的各方面可以由参考图11所描述的量子密钥管理器来执行。
[0192]
在1530处，网络节点可以通过协议栈的加密协议与第三网络节点通信第二加密数据，其中，所述第二加密数据是使用第一量子密钥和第三量子密钥加密的。1530的操作可以根据本文描述的方法来执行。在一些示例中，1530的操作的各方面可以由参考图11所描述的通信管理器来执行。
[0193]
应当注意的是，本文描述的方法是可能的实施方式，并且可以重新布置或以其他方式修改操作和步骤，并且其他实施方式是可能的。此外，可以组合两种或更多种方法的各部分。
[0194]
可以用通用处理器、数字信号处理器(dsp)、asic、fpga或被设计成执行本文所描述的功能的其他可编程逻辑器件、离散门或晶体管逻辑、离散硬件部件、或其任何组合来实施或执行结合本文的披露内容所描述的各种说明性的块和模块。通用处理器可以是微处理器，但替代地，处理器可以是任何常规处理器、控制器、微控制器、或状态机。处理器也可以实施为计算装置的组合(例如，dsp与微处理器的组合、多个微处理器、一个或多个微处理器结合dsp核或者任何其他此类配置)。
[0195]
本文描述的功能可以以硬件、由处理器执行的软件、固件或其任何组合实施。如果以由处理器执行的软件实施，可以将功能作为计算机可读介质上一个或多个指令或代码存储或传输。其他示例和实施方式在本披露内容和所附权利要求书的范围内。例如，由于软件的性质，本文描述的功能可以使用由处理器执行的软件、硬件、固件、硬接线或这些中的任何组合来实施。实施功能的特征还可以物理地位于各位置，包括被分布从而使得功能的各部分在不同的物理位置处实施。
[0196]
计算机可读介质包括非暂态计算机存储介质和包括促进计算机程序从一个地方至另一个的传递的任何介质的通信介质二者。非暂态存储介质可以是可由通用或专用计算机访问的任何可用介质。作为示例而非限制，非暂态计算机可读介质可以包括随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程rom(eeprom)、闪速存储器、压缩盘(cd)rom或其他光盘存储装置、磁盘存储装置或其他磁性存储装置或者可以用于以指令或数据结构形式承载或存储期望程序代码手段并且可以被通用或专用计算机或通用或专用处理器访问的任何其他非暂态介质。并且，任何连接都被适当地称为一种计算机可读介质。例如，如果使用同轴电缆、光纤电缆、双绞线、数字用户线路(dsl)、或无线技术(诸如红外、无线电、和微波)从网站、服务器、或其他远程源传输软件，则将所述同轴电缆、光纤电缆、双绞线、dsl、或无线技术(诸如红外、无线电、和微波)包括在介质的定义中。如本文所使用的盘或碟，包括cd、激光碟、光碟、数字通用碟(dvd)、软磁碟、和蓝光碟，其中，盘通常磁性地再生数据，而碟用激光光学地再生数据。上述内容的组合也包括在计算机可读介质的范围内。
[0197]
如本文(包括权利要求书)所使用的，在项目列表(例如，以诸如“中的至少一个”或“中的一个或多个”等短语开始的项目列表)中使用的“或”指示包含列表，使得例如a、b或c中的至少一个的列表表示a或b或c或ab或ac或bc或abc(即，a和b和c)。而且，如本文所使用的，短语“基于”不应解释为对一组封闭条件的引用。例如，被描述为“基于条件a”的示例性步骤可以基于条件a和条件b两者，而不脱离本披露内容的范围。换言之，如本文所使用的，短语“基于”应以与短语“至少部分地基于”相同的方式解释。
[0198]
在附图中，类似的部件或特征可以具有相同的参考标记。进一步地，可以通过在参考标记后用破折号和第二标签(所述第二标签在类似的部件之间进行区分)来区分相同类型的各部件。如果在说明书中仅使用了第一参考标记，则所述描述适用于具有相同的第一参考标记的类似的部件中的任一个，而不考虑第二参考标记或其他后续参考标记。
[0199]
本文结合附图阐述的描述描述了示例配置并且不代表可以实施或在权利要求的范围内的所有示例。本文使用的术语“示例性”是指“作为示例、实例或说明”，而不是“优选的”或“优于其他示例”。具体实施方式包括具体细节，以提供对所描述技术的理解。然而，可以在没有这些具体细节的情况下实践这些技术。在一些实例中，以框图形式示出了众所周知的结构和装置以避免模糊所描述示例的概念。
[0200]
提供本文的描述以使本领域技术人员能够进行或使用本披露内容。对于本领域技术人员来说，对本披露内容做出的各种修改将变得非常明显，并且本文所限定的一般原理可以在不偏离本披露内容的范围的前提下应用至其他变型。因此，本披露内容不限制于本文描述的示例和设计，而是符合与本文所披露的原理和新颖特征一致的最宽范围。