[发明专利]一种支持量子密钥进行数据加密以太网交换机

权利要求书

1.一种支持量子密钥进行数据加密以太网交换机，其特征在于：该以太网交换机由交换模块、管理模块、数据加密模块三个部分组成，所述交换模块包含能够对应实现二层以太网交换机的包复制转发功能、端口聚合、端口映射、VLAN、ACL、IGMP、Qos、STP、MSTP、RSTP、AAA认证、RADIUS认证、DHCP、SNMP、ARP标准二层以太网功能的功能单元，所述管理模块包含能够对应实现交换机管理、加密管理、密钥管理、流量控制功能的功能单元，所述数据加密模块包含能够对应实现数据加密、数据摘要功能的功能单元；

所述数据加密模块的加密方法包含以下步骤：

S1：数据帧从交换机的10GE端口进入FPGA；

S2：FPGA收到数据包之后按照最短队列长度优先的规则，在八个ingress队列中进行分发；

S3：每个ingress队列对应的hash模块从队列中读出数据帧，按照SM3标准和SHA标准对数据帧进行填充对齐，然后对数据帧从帧头到帧尾进行数据摘要操作，在数据帧尾部附加256bit或160bit信息摘要，然后将数据帧写入egress队列；

S4：在egress队列的后面设有一个保序调度器模块，保序调度器模块能够按照数据包在交换芯片侧进入的顺序，来调度8个egress队列中的数据帧输出到加密模块；

S5：从egress队列中调度出来的数据帧经过AES/SM4加密后进入10GE接口模块，发送到线路接口即光模块上；如果ingress队列长度超过门限，则光模块向交换芯片发送pause帧，进行流量控制。

2.根据权利要求1所述的支持量子密钥进行数据加密以太网交换机，其特征在于：所述步骤S2中分发规则是：每次分发一个完整数据帧进入一个队列。

3.根据权利要求1所述的支持量子密钥进行数据加密以太网交换机，其特征在于：所述步骤S5中光模块向交换芯片发送pause帧时，数据帧从线路接口即光模块侧进入FPGA；首先由解密模块根据事先设定解密标准及密钥长度，对数据帧进行解密，解密完成后数据帧由分发模块按照最短队列优先原则送入相应的egress队列，对应队列的hash模块对数据帧的摘要进行校验，检测校验错误，更新错误统计计数器，并且如果摘要错误，对数据帧进行标记，在ingress侧按照保序调度从队列中读出数据帧依次输出到交换芯片。

4.根据权利要求3所述的支持量子密钥进行数据加密以太网交换机，其特征在于：所述对数据帧进行标记是指可以直接丢弃，数据造成了CRC错误再由交换芯片来丢弃。

5.根据权利要求1所述的支持量子密钥进行数据加密以太网交换机，其特征在于：所述FPGA根据管理模块配置的参数和给定的密钥进行信息摘要和加解密功能，密钥分发、设置、以及加密通道两端的状态，配置包括加密方案、信息摘要方案以及参数设定。

6.根据权利要求5所述的支持量子密钥进行数据加密以太网交换机，其特征在于：所述参数设定包括密钥长度和密钥值的设定。