[发明专利]一种基于分布式PCE的多域光网络安全光树建立系统及方法

权利要求书

1.一种基于分布式PCE的多域光网络安全光树建立方法，其特征在于，

构建基于分布式PCE的多域光网络安全光树建立系统，所述的系统包括安全服务模块、信任管理模块以及密钥管理模块；

所述的安全服务模块用于在安全光树建立时，提供消息加密解密、身份认证、源认证、隐私保护以及数字签名服务；

所述的信任管理模块用于在安全光树建立时，提供信任值计算服务；

所述的密钥管理模块用于在安全光树建立时，完成密钥的产生、分发和更新；

其中所述的安全服务模块包括消息加密解密单元、身份认证单元、源认证单元、隐私保护单元以及数字签名子单元；

所述的消息加密解密单元用于使用会话密钥、PCE层组密钥、自治域层组密钥进行消息加密或解密；

所述的消息加密解密单元包括会话密钥加解密子单元、PCE层组密钥加解密子单元以及自治域层组密钥加解密子单元；

所述的会话密钥加解密子单元用于使用会话密钥进行消息加密或解密；

所述的PCE层组密钥加解密子单元用于使用PCE层组密钥进行消息加密或解密；

所述的自治域层组密钥加解密子单元用于使用自治域层组密钥进行消息加密或解密；

所述的身份认证单元用于采用身份认证机制进行身份认证；

所述的源认证单元用于采用组播源认证机制对消息进行源认证；

所述的隐私保护单元用于对组播树进行加解密；

所述的数字签名子单元用于利用私钥或公钥进行数字签名；

利用基于分布式PCE的多域光网络安全光树建立系统，在分布式PCE的多域光网络中建立从源节点至目的节点的安全光树，其中所述的多域光网络中包括多个域，每个域包括一个PCE，源节点所在域的PCE为源域PCE；所述的方法按照以下步骤执行：

步骤1、目的节点调用身份认证单元对源节点进行身份认证，若认证通过，则生成组播建树请求；否则组播树建立失败，中断通信；

源节点调用会话密钥加解密子单元对所述的组播建树请求进行加密，获得加密后的组播建树请求；

步骤2、源域PCE调用身份认证单元对源节点进行身份认证，若认证通过，则调用会话密钥加解密子单元对所述的加密后的组播建树请求进行解密，获得组播建树请求；若认证失败，则生成错误消息发送给源节点，并中断与源节点的连接；

源域PCE调用源认证单元对所述的组播建树请求进行源认证，认证通过则寻找目的节点所在的域后执行步骤3，否则生成错误消息后中断通信；

步骤3、目的节点所在域的PCE调用身份认证单元对源域PCE进行身份认证，若认证通过，则目的节点所在域的PCE调用源认证单元对组播建树请求进行组播源认证，若认证失败则生成错误消息后中断通信；若认证通过后，目的节点所在域的PCE首先调用会话密钥加解密子单元对组播建树请求进行加密后进行路由计算，若计算成功，则获得一条抽象组播树；若计算失败，则生成错误消息后中断通信；

源域PCE调用PCE层组密钥加解密子单元对所述的抽象组播树进行加密，获得加密后的抽象组播树，将所述加密后的抽象组播树发送给其他域的PCE，所述的其他域为多域光网络中除源节点所在域以外的每一个域；

步骤4、每个其他域的PCE对所述的加密后的抽象组播树调用PCE层组密钥加解密子单元进行解密，获得抽象组播树；

每个其他域的PCE从所述的抽象组播树中计算获得各自的域内严格组播树；

每个其他域的PCE对各自的域内路径进行波长选择，获得每个其他域的域内路径可用波长信息；

每个其他域的PCE调用隐私保护单元对各自的域内严格组播树进行加密后与各自域内路径可用波长信息进行整合，获得计算消息；

每个其他域的PCE调用PCE层组密钥加解密子单元对所述的计算消息进行加密后，获得加密后的计算消息发送到源域PCE；

步骤5、源域PCE调用PCE层组密钥加解密子单元对加密后的计算消息进行解密，获得了计算消息；

源节点所在域PCE调用隐私保护单元进行所述的计算消息进行解密，获得每个其他域的严格组播树路由信息以及可用波长信息；

源域PCE根据每个其他域的严格组播树路由信息进行拼接，获得严格组播树；

源域PCE根据每个其他域的可用波长信息进行波长分配，获得所述严格组播树的可用波长；

源域PCE再次调用隐私保护单元对严格组播树进行加密，获得加密后的严格组播树；

源域PCE对加密后的严格组播树与所述的严格组播树的可用波长进行整合，获得可用源消息；

源域PCE调用PCE层组密钥加解密子单元对所述的可用源消息进行加密，获得加密后的可用源消息；

源域PCE将所述加密后的可用源消息发送每个其他域的PCE；

步骤6、每个其他域的PCE收到可用源消息后，立即调用源认证单元对可用源消息进行认证，若认证不通过，则生成错误消息后中断通信；若认证通过，每个其他域的PCE调用PCE层组密钥加解密子单元对加密后的可用源消息进行解密，获得可用源消息；

每个其他域的PCE调用隐私保护单元对所述可用源消息中加密后的严格组播树进行解密，获得域内严格组播树以及域内严格组播树的可用波长；

源域PCE获得域内严格组播树以及域内严格组播树的可用波长；

每个域的PCE将各自的域内严格组播树以及域内严格组播树的可用波长进行整合，获得新的可用源消息；

每个域的PCE调用自治域层组密钥加解密子单元对新的可用源消息加密后，获得加密后的新的可用源消息；

每个域的PCE将加密后的新的可用源消息发送至各自域内的域内严格组播树经过的节点；

步骤7、每个域内的域内严格组播树的头节点收到加密后的新的可用源消息后，调用源认证单元对所述的加密后的新的可用源消息进行认证，若认证不通过，则生成错误消息后中断通信；若认证通过，调用自治域层组密钥加解密子单元对所述的加密后的新的可用源消息进行解密，获得新的可用源消息；

每个域内的域内严格组播树的头节点调用数字签名子单元对所述的新的可用源消息进行公钥签名，若签名失败，则生成错误消息后中断通信；若签名成功，在PATH消息添加新的可用源消息，获得新的PATH消息；

每个域内的域内严格组播树的头节点调用自治域层组密钥加解密子单元对所述的新的PATH消息进行加密，获得加密后的新的PATH消息；

每个域内的域内严格组播树的头节点将所述的加密后的新的PATH消息发送至域内严格组播树的下游节点；

步骤8、下游节点调用源认证单元对所述的加密后的新的PATH消息进行认证，若认证不通过，则生成错误消息后中断通信；若认证通过，调用自治域层组密钥加解密子单元对所述的加密后的新的PATH消息解密，获得新的PATH消息；

下游节点判断所述的新的PATH消息中的域内严格组播树的可用波长是否符合波长阈值范围，若不符合，则生成错误消息后中断通信；若符合，则调用自治域层组密钥加解密子单元对所述的新的PATH消息进行加密，获得加密后的新的PATH消息；

下游节点将所述的加密后的新的PATH消息发送至域内严格组播树的下游节点；

步骤9、重复步骤8，直至每个域内的域内严格组播树的尾节点获得加密后的新的PATH消息；

每个域内的域内严格组播树的尾节点调用源认证单元对所述的加密后的新的PATH消息进行认证，若认证不通过，则生成错误消息后中断通信；若认证通过，调用自治域层组密钥加解密子单元对所述的加密后的新的PATH消息解密，获得RESV消息；

每个域内的域内严格组播树的尾节点调用自治域层组密钥加解密子单元对所述的RESV消息进行加密，获得加密后的RESV消息；

每个域内的域内严格组播树的尾节点将所述的加密后的RESV消息沿着所述的加密后的新的PATH消息的传输路径的反向路径发送至上游节点直至到达域内严格组播树的头节点，其中在所述的加密后的RESV消息的传播过程中，每个上游节点均调用自治域层组密钥加解密子单元对所述的加密后的RESV消息进行解密，获得RESV消息后进行波长配置，若配置错误，则生成错误消息后中断通信；否则调用自治域层组密钥加解密子单元对所述的RESV消息进行加密；

步骤10、每个域内的域内严格组播树的头节点调用源认证单元对所述的加密后的RESV消息进行认证，若认证失败，则生成错误消息后中断通信；若认证成功，则生成配置成功消息；

系统调用身份认证单元对所述的每个域内的域内严格组播树的头节点进行身份认证，若认证失败，则生成错误消息后中断通信；若认证通过，每个域内的域内严格组播树的头节点调用会话密钥加解密子单元对所述的配置成功消息进行加密，获得加密后的配置成功消息；

每个域内的域内严格组播树的头节点将所述的加密后的配置成功消息发送至本域的PCE；

步骤11、每个域的PCE调用源认证单元对所述的加密后的配置成功消息进行认证，若认证失败，则生成错误消息后中断通信；若认证通过，每个域的PCE调用身份认证单元对本域的域内严格组播树的头节点进行认证，若认证失败，则生成错误消息后中断通信；若认证通过，调用会话密钥加解密子单元对所述的加密后的配置成功消息进行解密，获得配置成功消息；

每个其他域的PCE调用身份认证单元进行身份认证，若认证失败，则生成错误消息后中断通信；若认证通过，则调用PCE层组密钥加解密子单元对所述的配置成功消息加密，获得加密后的配置成功消息；

每个其他域的PCE将所述的加密后的配置成功消息发送至源域PCE；

步骤12：源域PCE调用源认证单元对所述的加密后的配置成功消息进行认证，若认证失败，则生成错误消息后中断通信；若认证通过，则调用身份认证单元对每个其他域的PCE进行身份认证，若认证失败，则生成错误消息后中断通信；若认证通过，则调用PCE层组密钥加解密子单元对所述的加密后的配置成功消息进行解密，获得配置成功消息；

源域PCE判断是否获得了每个其他域的配置成功消息且未收到错误消息后，生成建树成功消息；

步骤13：源域PCE调用会话密钥加解密子模块对所述的建树成功消息进行加密，获得加密后的建树成功消息；

源域PCE将所述的加密后的建树成功消息发送至源节点；

步骤14：源节点调用源认证单元对所述的加密后的建树成功消息进行认证，若认证失败，则生成错误消息后中断通信；若认证通过，则调用会话密钥加解密子模块对所述的加密后的建树成功消息进行解密，获得建树成功消息，安全光树建立完成。