用于通信系统中的安全密钥更新的方法和装置

摘要

本公开涉及用于在通信系统（1）的密钥管理装置（2）中执行的安全密钥更新的方法（20）。通信系统（1）包括两个或以上通信装置（3，4，5，6），其通过使用第一安全密钥用于传输和接收而传送数据包。方法（20）包括：将用于数据包传输和接收的第二安全密钥传输（21）到两个或以上通信装置（3，4，5，6）；将用于激活用于数据包接收的第二安全密钥的使用的激活消息传输（22）到两个或以上通信装置（3，4，5，6）；将用于激活用于数据包传输的第二安全密钥的使用的激活消息传输（23）到两个或以上通信装置（3，4，5，6）；将用于去活用于数据包传输的第一安全密钥的使用的去活消息传输（24）到两个或以上通信装置（3，4，5，6）；以及将用于去活用于数据包接收的第一安全密钥的使用的去活消息传输（25）到两个或以上通信装置（3，4，5，6）。

权利要求

1.一种用于在通信系统（1）的密钥管理装置（2）中执行的安全密钥更新的方法（20），所述通信系统（1）包括两个或以上通信装置（3，4，5，6），其通过使用第一安全密钥用于传输和接收而传送数据包，所述方法（20）包括：-将用于所述数据包传输和接收的第二安全密钥传输（21）到所述两个或以上通信装置（3，4，5，6）；

-将用于激活用于所述数据包接收的所述第二安全密钥的使用的激活消息传输（22）到所述两个或以上通信装置（3，4，5，6）；

-将用于激活用于所述数据包传输的所述第二安全密钥的使用的激活消息传输（23）到所述两个或以上通信装置（3，4，5，6）；

-将用于去活用于所述数据包传输的所述第一安全密钥的使用的去活消息传输（24）到所述两个或以上通信装置（3，4，5，6）；以及-将用于去活用于所述数据包接收的所述第一安全密钥的使用的去活消息传输（25）到所述两个或以上通信装置（3，4，5，6）。

2.如权利要求1所述的方法（20），其中所述第一安全密钥包括第一对安全密钥，其包括目前使用的用于接收的安全密钥和目前使用的用于所述数据包传输的安全密钥。

3.如权利要求1或2所述的方法，其中所述第二安全密钥包括第二对安全密钥，其包括用于接收的更新安全密钥和用于所述数据包传输的更新安全密钥。

4.如权利要求1所述的方法（20），包括等待来自所述两个或以上通信装置（3，4，5，6）的确认，其证实在传输（22，23）用于激活用于所述数据包接收的所述第二安全密钥的使用的激活消息之前接收所述第二安全密钥。

5.如权利要求1或2所述的方法（20），包括等待来自所述两个或以上通信装置（3，4，

5，6）的确认，其证实在传输（25）用于去活用于所述数据包接收的第一安全密钥的使用的去活消息之前撤销用于所述数据包传输的所述第一安全密钥的使用。

6.如前述权利要求1或2所述的方法（20），其中传输（23）激活消息用于激活用于所述数据包传输的所述第二安全密钥的使用和传输（24）去活消息用于去活用于所述数据包传输的第一安全密钥的使用在单个消息中执行。

7.一种用于安全密钥更新的通信系统（1）中的密钥管理装置（2），所述通信系统（1）包括两个或以上通信装置（3，4，5，6），其通过使用第一安全密钥用于数据包的传输和接收而传送所述数据包，所述密钥管理装置（2）包括处理单元（30），其配置成：-将用于所述数据包传输和接收的第二安全密钥传输到所述两个或以上通信装置（3，

4，5，6）；

-将用于激活用于所述数据包接收的所述第二安全密钥的使用的激活消息传输到所述两个或以上通信装置（3，4，5，6）；

-将用于激活用于所述数据包传输的所述第二安全密钥的使用的激活消息传输（23）到所述两个或以上通信装置（3，4，5，6）；

-将用于去活用于所述数据包传输的所述第一安全密钥的使用的去活消息传输到所述两个或以上通信装置（3，4，5，6）；以及-将用于去活用于所述数据包接收的所述第一安全密钥的使用的去活消息传输到所述两个或以上通信装置（3，4，5，6）。

8.一种用于在通信系统（1）的通信装置（3，4，5，6）中执行的安全密钥更新的方法（40），所述通信装置（3，4，5，6）通过使用第一安全密钥用于数据包的传输和接收而传送所述数据包，所述通信系统（1）包括密钥管理装置（2），所述方法（40）包括：-从所述密钥管理装置（2）接收（41）第二安全密钥用于数据包的接收和传输；

-激活（42）用于所述数据包接收的第二安全密钥的使用，并且响应于此而实行所述第二安全密钥的使用以用于所述数据包的接收；

-激活（43）用于所述数据包传输的第二安全密钥的使用，并且响应于此而实行所述第二安全密钥的使用以用于所述数据包的传输；

-去活（44）用于所述数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的所述第一安全密钥的使用；以及-去活（45）用于所述数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的所述第一安全密钥的使用。

9.如权利要求8所述的方法（40），其中激活（42）用于接收的所述第二安全密钥的使用包括从所述密钥管理装置（2）接收激活消息用于激活所述第二安全密钥的使用以用于所述数据包接收，并且响应于此而实行所述第二安全密钥的使用以用于所述数据包的接收。

10.如权利要求8或9所述的方法（40），其中激活（43）用于传输的所述第二安全密钥的使用包括从所述密钥管理装置（2）接收激活消息用于激活所述第二安全密钥的使用以用于所述数据包传输，并且响应于此而实行所述第二安全密钥的使用以用于所述数据包的传输。

11.如权利要求8或9所述的方法（40），其中去活（44）用于传输的所述第一安全密钥的使用包括从所述密钥管理装置（2）接收去活消息用于去活用于所述数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的所述第一安全密钥的使用。

12.如权利要求8或9所述的方法（40），其中去活（45）用于接收的所述第一安全密钥的使用包括从所述密钥管理装置（2）接收去活消息用于去活用于所述数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的所述第一安全密钥的使用。

13.一种用于安全密钥更新的通信系统（1）中的通信装置（3，4，

5，6），所述通信装置（3，4，5，6）通过使用第一安全密钥用于数据包的传输和接收而传送所述数据包，所述通信系统（1）包括密钥管理装置（2），所述通信装置（3，4，5，6）包括处理单元（50），其配置成：-从所述密钥管理装置（2）接收第二安全密钥用于所述数据包的接收和传输；

-激活用于所述数据包接收的第二安全密钥的使用，并且响应于此而实行所述第二安全密钥的使用以用于所述数据包的接收；

-激活用于所述数据包传输的第二安全密钥的使用，并且响应于此而实行所述第二安全密钥的使用以用于所述数据包的传输；

-去活用于所述数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的所述第一安全密钥的使用；以及-去活用于所述数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的所述第一安全密钥的使用。

14.如权利要求13所述的通信装置（3，4，5，6），包括配置成处理用于接收的相应安全密钥的部件（55，56）。

15.如权利要求13或14所述的通信装置（3，4，5，6），包括配置成处理用于传输的相应安全密钥的部件（57，58）。

说明书

用于通信系统中的安全密钥更新的方法和装置

技术领域

[0001] 本文公开的技术大体上涉及通信系统的领域，并且特别地涉及这样的通信系统内的安全密钥更新方法。

背景技术

[0002] 实时通信系统依靠两个通信装置（其是通信系统的部分）之间运行良好的通信信道。典型地在不同的方面对该通信信道施加严格要求，例如鉴于决定论、延迟、抖动和数据包丢失。另一个方面是通信的安全并且应用的安全层可使通信略微延迟，但不应中断通信信道或引起数据包丢失。用于使通信信道安全化的密钥（例如，数据包的验证和加密）典型地需要定期更新以便使安全保持在要求的级别。在许多通信系统中，相同的密钥用于装置组并且专用密钥服务器分配密钥并且实现密钥在装置中的使用。

[0003] 密钥更新过程期间的困难是使用相同密钥的通信系统的所有装置应同时更新它们的密钥以便不使数据包由于使用到期密钥而在接收装置中面临无效的风险。该问题在牵涉大量装置的通信系统中特别明显并且在装置之间的距离是大的时甚至进一步如此。例如，在电力传输系统的变电站之间的通信中，通信装置可相离很远地分布并且可使用不同的密钥服务器或密钥组。在这样的通信系统中，因为可存在在系统中行进的尚未到达它们的目的地并且在到达时通过用旧的密钥加密并且用更新的密钥接收而可能无效的数据包，可能不足以同时更新密钥。

发明内容

[0004] 本公开的目的是克服或至少减轻上文提到的问题中的一个或多个。

[0005] 根据第一方面，该目的由用于在通信系统的密钥管理装置中执行的安全密钥更新的方法实现。该通信系统包括两个或以上通信装置，其通过使用第一安全密钥用于传输和接收而传送数据包。方法包括：将用于数据包传输和接收的第二安全密钥传输到两个或以上通信装置；将用于激活用于数据包接收的第二安全密钥的使用的激活消息传输到两个或以上通信装置；将用于激活用于数据包传输的第二安全密钥的使用的激活消息传输到两个或以上通信装置；将用于去活用于数据包传输的第一安全密钥的使用的去活消息传输到两个或以上通信装置；以及将用于去活用于数据包接收的第一安全密钥的使用的去活消息传输到两个或以上通信装置。

[0006] 凭借方法，提供改进的安全密钥更新，因为确保通信系统的所有通信装置在撤销第一安全密钥（即，旧的安全密钥）的使用之前已经开始使用第二安全密钥（即，新的安全密钥）。同时支持两个（或以上）不同安全密钥的使用并且由于在接收时没有数据包的无效所引起的数据包丢失。

[0007] 根据第二方面，目的由用于安全密钥更新的通信系统中的密钥管理装置实现。该通信系统包括两个或以上通信装置，其通过使用第一安全密钥用于数据包的传输和接收而传送数据包。密钥管理装置包括处理单元，其配置成：将用于数据包传输和接收的第二安全密钥传输到两个或以上通信装置；将用于激活用于数据包接收的第二安全密钥的使用的激活消息传输到两个或以上通信装置；将用于激活用于数据包传输的第二安全密钥的使用的激活消息传输到两个或以上通信装置；将用于去活用于数据包传输的第一安全密钥的使用的去活消息传输到两个或以上通信装置；以及将用于去活用于数据包接收的第一安全密钥的使用的去活消息传输到两个或以上通信装置。

[0008] 根据第三方面，目的由用于在通信系统的通信装置中执行的安全密钥更新的方法实现。该通信装置通过使用第一安全密钥用于数据包的传输和接收而传送数据包。通信系统包括密钥管理装置。方法包括：从密钥管理装置接收第二安全密钥用于数据包的接收和传输；激活用于数据包接收的第二安全密钥的使用，并且响应于此而实行第二安全密钥的使用以用于数据包的接收；激活用于数据包传输的第二安全密钥的使用，并且响应于此而实行第二安全密钥的使用以用于数据包的传输；去活用于数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的第一安全密钥的使用；以及去活用于数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的第一安全密钥的使用。

[0009] 根据第四方面，目的由用于安全密钥更新的通信系统的通信装置实现。该通信装置通过使用第一安全密钥用于数据包的传输和接收而传送数据包。通信系统包括密钥管理装置并且通信装置包括处理单元，其配置成：从密钥管理装置接收第二安全密钥用于数据包的接收和传输；激活用于数据包接收的第二安全密钥的使用，并且响应于此而实行第二安全密钥的使用以用于数据包的接收；激活用于数据包传输的第二安全密钥的使用，并且响应于此而实行第二安全密钥的使用以用于数据包的传输；去活用于数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的第一安全密钥的使用；以及去活用于数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的第一安全密钥的使用。

[0010] 本公开的另外的特征和优势在阅读下列描述和附图时将变得清楚。

附图说明

[0011] 图1示意地图示其中可实现本公开的实施例的一般环境。

[0012] 图2示意地图示其中可实现本公开的实施例的例示环境。

[0013] 图3是在密钥管理装置中执行的方法的流程图。

[0014] 图4示意地图示密钥管理装置，其包括用于实现方法的实施例的部件。

[0015] 图5是在通信装置中执行的方法的流程图。

[0016] 图6示意地图示通信装置，其包括用于实现方法的实施例的部件。

[0017] 图7图示通信装置中的例示验证部件。

具体实施方式

[0018] 在下列描述中，为了解释而非限制的目的，阐述例如特定架构、接口、技术等具体细节以便提供全面理解。在其他实例中，省略众所周知的装置、电路和方法的详细描述以便不用不必要的细节来掩盖描述。相同的标号在整个描述中指相同或相似的元件。

[0019] 图1示意地图示其中可实现本公开的实施例的一般环境。图示通信系统1，其包括密钥管理装置2，其可以是服务器（即计算机硬件）或处理单元，例如中央处理单元（CPU）。密钥管理装置2可以是专用服务器，其配置成分配并且管理通信系统1内的安全方面，例如将更新的安全密钥传输到通信系统1内需要以安全方式交换信息的装置。

[0020] 通信系统1进一步包括多个通信装置3、4、5、6，其例如可包括控制器装置、过程控制器、智能电子装置（IED）、人机接口（HMI）、服务器、输入/输出（I/O）单元、网关、通信网关、可编程逻辑控制器（PLC）、运动控制器等。通信装置3、4、5、6配置成通过通信链路而彼此通信并且提供有为此目的的装置，诸如例如通信接口。这样的通信链路在图中由虚线图示。第一通信装置3从而能够从其他通信装置4、5、6中的全部或一些接收信息并且将信息传输到其他通信装置4、5、6中的全部或一些。在实施例中，每个通信装置配置用于与所有其他通信装置通信。通信链路可包括有线连接，诸如例如光纤电缆或以太网或无线通信链路。

[0021] 密钥管理装置2能够与通信装置3、4、5、6中的每个通信，该通信由完整箭头图示。通信可以是双向通信并且密钥管理装置2从而能够从通信装置3、4、5、6接收信息（例如，采用数据包的形式）并且将信息传输到通信装置3、4、5、6。

[0022] 为了满足安全要求，通信装置3、4、5、6之间的通信可需要采用某一方式而安全化，例如加密或签名（例如使用消息验证码（MAC）），并且可需要接收通信装置3、4、5、6验证接收的数据包确实是从经核准或合法的发送者接收。可能难以协调通信系统1内的更新过程，使得所有通信装置3、4、5、6同时接收更新的安全密钥并且同时开始使用它们，而不丢失任何数据包。

[0023] 简略地，在本公开的方面中，通信装置3、4、5、6提供有用于处理两个或以上安全密钥的部件。由此，目前使用的安全密钥以及更新的安全密钥可用于接收数据包。不管发送通信装置是使用更新的安全密钥还是“旧的”（即，目前使用的）安全密钥，接收通信装置能够正确地验证数据包和/或对其解密。由此使得更新过程无扰，即在安全密钥更新期间，由于接收通信装置中的无效而没有数据包丢失；例如，由于数据包用一个安全密钥发送并且用另一个不匹配的安全匹配接收所引起的无效。

[0024] 图2图示其中可实现本公开的实施例的例示环境。本公开的方面可使用通信系统1用于装置之间的通信而在各种实施例中实现。这样的环境的示例包括控制和自动化系统、工业系统和电力系统。图2图示一个特定应用领域，并且具体地是电力系统10。该电力系统10包括多个变电站11、12（图示两个），其一般是发电、输电和配电系统的部分。变电站
11、12可例如包括使多个传输线13连接的传输变电站。

[0025] 每个变电站11、12利用通信系统，例如参考图1描述的那个。即，每个变电站11、12包括相应的通信装置3、4，其配置成通过通信链路14而彼此通信（与图1的通信装置3、
4、5、6之间的剖面线相比）。第一变电站11从而包括第一通信装置3并且第二变电站12包括第二通信装置4。

[0026] 在这样的情形中，第一变电站11和第二变电站12需要交换信息，例如测量的电流值，例如以供在故障检测和/或保护算法中使用，该算法典型地比较输入电流值和输出电流值来检测故障，例如传输线中的。第一通信装置3和第二通信装置4因此需要传送实时信息。该信息可进一步需要采用某一方式而安全化，例如通过使用安全密钥。第一通信装置3将安全的数据包（例如加密或签名的）发送到第二通信装置4，其验证数据包，从而确保发送方确实是第一通信装置3。

[0027] 如先前提到的，更新安全密钥以便维持期望和/或要求的安全级别，这通常是必要的。为此目的，提供密钥管理装置2，例如如关于图1描述的密钥管理装置2。密钥管理装置2配置成与第一和第二通信装置3、4通信并且可向它们中的每个发送更新的安全密钥。在例示情形中，数据包甚至在密钥更新过程期间接收以便在例如故障检测算法中没有中断的风险，这是关键的。

[0028] 密钥管理装置2（指图1和2）配置成将新的安全密钥或一对安全密钥（其包括用于传输的安全密钥和用于接收的安全密钥）分配给通信装置3、4、5、6，例如通过发送包括新密钥的消息。

[0029] 新的安全密钥由通信装置3、4、5、6接收，其作为回报向密钥管理装置2发送确认。

[0030] 在接收确认时，密钥管理装置2向通信装置3、4、5、6发送新的安全密钥应该用于接收的激活消息。通过等待确认（即，所有通信装置3、4、5、6在实行新安全密钥的使用之前已经接收新安全密钥的证实），确保没有通信装置仅仅使用旧的安全密钥操作。

[0031] 之后，密钥管理装置2向通信装置3、4、5、6发送激活消息，其告知新的安全密钥应该用于数据包的传输。

[0032] 接着，密钥管理装置2向通信装置3、4、5、6发送撤销消息，其告知不应再使用旧的安全密钥用于数据包传输。

[0033] 注意用于实行使用新的安全密钥用于数据包传输的消息和用于停止使用用于数据包传输的旧安全密钥的撤销消息可组合。在激活新安全密钥的使用时应该撤销旧安全密钥的使用，这例如对于通信装置3、4、5、6可是隐含的。

[0034] 密钥管理装置2然后可等待直到所有通信装置3、4、5、6已经确认撤销使用旧安全密钥用于数据包传输，例如为此通过从每个通信装置接收确认消息。在另一个实施例中，密钥管理装置2等待预定时期，并且在经过该时期后，假设所有通信装置3、4、5、6已停止使用旧安全密钥用于传输。

[0035] 接着，密钥管理装置2发送命令通信装置3、4、5、6撤销使用旧安全密钥用于数据包接收的消息。

[0036] 通过使通信装置3、4、5、6能够处理多个安全密钥，不需要依靠同步时钟或类似物用于确定何时将更新的安全密钥投入使用并且撤销旧的。时钟的使用可冒着一些数据包无效的风险，特别地如果通信装置3、4、5、6相离很远，例如定位在不同变电站或工厂中。

[0037] 上文的密钥管理装置2中的密钥更新过程可以总结为：

[0038] 1. 分配新的安全密钥

[0039] 2. 等待确认

[0040] 3. 实行使用新的安全密钥用于接收

[0041] 4. 实行使用新的安全密钥用于传输

[0042] 5. 撤销使用旧的安全密钥用于传输，等待

[0043] 6. 撤销使用旧的安全密钥用于接收

[0044] 从通信装置2的角度来看，安全密钥更新过程如下。通信装置3、4、5、6接收新的安全密钥并且确认其的接收。

[0045] 然后，响应于来自密钥管理装置2的新安全密钥应该用于数据包接收的激活消息，它接受并且实行使用该新的安全密钥用于数据包接收。

[0046] 接着，响应于来自密钥管理装置2的新安全密钥应该用于数据包传输的激活消息，它接受并且实行使用该新的安全密钥用于数据包传输。

[0047] 接着，响应于来自密钥管理装置2的告知不应再使用旧安全密钥用于数据包传输的撤销消息，通信装置3、4、5、6撤销使用旧密钥用于数据包传输。

[0048] 通信装置3、4、5、6向密钥管理装置发送确认，其证实撤销使用旧安全密钥用于数据包传输。

[0049] 接着，响应于来自密钥管理装置2、12的告知不应再使用旧安全密钥用于数据包接收的撤销消息，通信装置3、4、5、6撤销使用旧密钥用于数据包接收。

[0050] 上文的通信装置3、4、5、6中的密钥更新过程可以总结为：

[0051] 1. 接收新的安全密钥

[0052] 2. 接受使用新的安全密钥用于接收

[0053] 3. 接受使用新的安全密钥用于传输

[0054] 4. 撤销使用旧的安全密钥用于传输

[0055] 5. 撤销使用旧的安全密钥用于接收

[0056] 通信装置3、4、5、6从而在旧的（即，目前使用的）安全密钥的使用与更新的安全密钥的使用之间的转变期间能够使用旧安全密钥和更新的安全密钥两者。特别地，从接受的使用新密钥（上文的步骤2）直到撤销使用旧密钥用于数据包接收（上文的步骤5），通信装置能够在接收数据包中使用两个安全密钥。

[0057] 图3是用于在通信系统1（例如参考图1描述的那个）的密钥管理装置2中执行的安全密钥更新的方法的流程图。通信系统1包括两个或以上通信装置3、4、5、6，其通过使用第一安全密钥用于传输和接收而传送数据包。该第一安全密钥是目前使用的安全密钥（“旧的”安全密钥），其要被新的安全密钥取代。

[0058] 方法20包括将用于数据包传输和接收的第二安全密钥传输21到两个或以上通信装置3、4、5、6。该第二安全密钥意在取代第一安全密钥，由此更新使用的安全密钥并且由此满足安全要求。

[0059] 方法20包括将用于激活第二安全密钥的使用以用于数据包接收的激活消息传输22到两个或以上通信装置3、4、5、6。

[0060] 方法20包括将用于激活第二安全密钥的使用以用于数据包传输的激活消息传输23到两个或以上通信装置3、4、5、6。

[0061] 方法20包括将用于去活用于数据包传输的第一安全密钥的使用的去活消息传输24到两个或以上通信装置3、4、5、6。

[0062] 方法20包括将用于去活用于数据包接收的第一安全密钥的使用的去活消息传输25到两个或以上通信装置3、4、5、6。

[0063] 方法20可定期执行以用于更新使用的安全密钥并且由此维持期望的安全级别。

[0064] 在实施例中，方法20包括等待来自两个或以上通信装置3、4、5、6的确认，其证实在传输22、23激活消息用于激活第二安全密钥的使用以用于数据包接收之前接收第二安全密钥。

[0065] 在实施例中，方法20包括等待来自两个或以上通信装置3、4、5、6的确认，其证实在传输25去活消息用于去活用于数据包接收的第一安全密钥的使用之前，撤销用于数据包传输的第一安全密钥的使用。

[0066] 在实施例中，方法20包括传输23激活消息用于激活第二安全密钥的使用以用于传输数据包，并且传输24去活消息用于去活用于数据包传输的第一安全密钥的使用在单个消息中执行。

[0067] 在上文的方法20的实施例的变化形式中，第一安全密钥包括第一对安全密钥，其包括目前使用的用于接收的安全密钥和目前使用的用于数据包传输的安全密钥。

[0068] 在上文的方法20的实施例的另外的变化形式中，第二安全密钥包括第二对安全密钥，其包括用于接收的更新安全密钥和用于数据包传输的更新安全密钥。

[0069] 图4示意地图示密钥管理装置，其包括用于实现方法的实施例的部件。

[0070] 密钥管理装置2包括用于接收数据包的输入装置31和用于传输数据包的输出装置32。该输入和输出装置31、32可包括接口单元，其包括用于使用通信协议的数据通信的硬件和/或软件。

[0071] 密钥管理装置2进一步包括处理单元30（例如中央处理单元）、微控制器、数字信号处理器（DSP）、专用集成电路（ASIC）或现场可编程门阵列（FPGA）等，其能够执行存储在计算机程序产品33（例如采用存储器的形式）中的软件指令。处理器30连接到输入装置31用于接收数据包并且连接到输出装置32用于输出数据包。

[0072] 描述的供在更新安全密钥中使用的方法和算法或其部分可由处理器30中的软件和/或硬件实现，例如由专用集成电路（ASIC）或现场可编程门阵列（FPGA）或软件和硬件的任何组合实现。为此，密钥管理装置2可进一步包括存储在计算机程序产品33上的计算机程序34。

[0073] 在实施例中，密钥管理装置2并且特别是其处理单元30配置成：

[0074] -将用于数据包接收和传送的第二安全密钥传输到两个或以上通信装置3、4、5、6，

[0075] -将用于激活用于数据包接收的第二安全密钥的使用的激活消息传输到两个或以上通信装置3、4、5、6，

[0076] -将用于激活用于数据包传输的第二安全密钥的使用的激活消息传输23到两个或以上通信装置3、4、5、6，

[0077] -将用于去活用于数据包传输的第一安全密钥的使用的去活消息传输到两个或以上通信装置3、4、5、6，

[0078] -将用于去活用于数据包接收的第一安全密钥的使用的去活消息传输到两个或以上通信装置3、4、5、6。

[0079] 仍参考图4，本公开还包含对于密钥管理装置2的计算机程序34。计算机程序34包括计算机程序代码，其在密钥管理装置2的处理单元30上运行时促使密钥管理装置2执行如上文描述的对于处理单元的步骤。

[0080] 还提供计算机程序产品32，其包括如上文描述的计算机程序34，和在其上存储计算机程序34的计算机可读部件。计算机程序产品32可以是读和写存储器（RAM）或只读存储器（ROM）的任何组合。计算机程序产品33还可包括永久存储，其例如可以是磁存储器、光存储器或固态存储器中的任何单个或组合。

[0081] 图5是用于在通信系统1（例如参考图1描述的通信系统）的通信装置3、4、5、6中执行的安全密钥更新的方法的流程图。通信装置3、4、5、6配置成通过使用第一安全密钥用于数据包的接收和传输而传送数据包，并且通信系统1包括密钥管理装置2。方法40包括从密钥管理装置2接收第二安全密钥用于数据包的接收和传输。通信装置3、4、5、6然后具有两个不同的安全密钥用于数据包的接收和传输。然而，第二安全密钥还未投入使用。

[0082] 方法40包括激活42第二安全密钥的使用以用于数据包的接收，并且响应于此而实行使用第二安全密钥以用于数据包的接收。通信装置3、4、5、6现在能够使用第一或第二安全密钥接收数据包，这两者对于数据包的接收都是有效的。

[0083] 在一个实施例中，激活42第二安全密钥的使用以用于接收包括从密钥管理装置2接收42激活消息用于激活第二密钥的使用以用于数据包接收，并且响应于此而实行使用第二安全密钥以用于数据包的接收。通信装置3、4、5、6现在能够使用第一或第二安全密钥接收数据包，这两者对于数据包的接收都是有效的。在另一个实施例中，由通信装置3、4、5、6在接收密钥后所选的时期终止时执行激活。

[0084] 方法40包括激活43第二安全密钥的使用以用于数据包的传输，并且响应于此而实行使用第二安全密钥以用于数据包的传输。通信装置3、4、5、6现在也能够使用第一或第二安全密钥传输数据包，这两者对于数据包的传输都是有效的。

[0085] 在一个实施例中，激活43第二安全密钥的使用以用于传输包括从密钥管理装置2接收激活消息用于激活第二密钥的使用以用于数据包传输，并且响应于此而实行使用第二安全密钥以用于数据包的传输。在另一个实施例中，由通信装置3、4、5、6在接收密钥后所选的时期终止时执行激活。

[0086] 方法40包括去活44用于数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的第一安全密钥的使用。通信装置3、4、5、6不再使用第一（“旧的”）安全密钥传输，而仅使用第二（“新的”）安全密钥。通信装置3、4、5、6从而可用第一或第二安全密钥接收，但数据包不再使用第一安全密钥在通信系统1中传输。

[0087] 在实施例中，去活44用于传输的第一安全密钥的使用包括从密钥管理装置2接收去活消息，用于去活用于数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的第一安全密钥的使用。在另一个实施例中，由通信装置3、4、5、6在接收密钥后所选的时期终止时执行去活。

[0088] 方法40包括去活45用于数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的第一安全密钥的使用。通信装置3、4、5、6不再能够使用第一（“旧的”）安全密钥传输或接收，而仅使用第二（“新的”）安全密钥。

[0089] 在实施例中，去活45包括从密钥管理装置2接收去活消息，用于去活用于数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的第一安全密钥的使用。

[0090] 在实施例中，方法40包括响应于接收42、43第二安全密钥而将证实第二安全密钥接收的确认传输到密钥管理装置2。

[0091] 在实施例中，方法40包括响应于接收用于去活用于数据包传输的第一安全密钥的使用的去活消息而将证实撤销用于数据包传输的第一安全密钥的使用的确认传输到密钥管理装置2。

[0092] 在实施例中，用于数据包传输的第二安全密钥的激活的激活消息的接收43和接收44用于去活用于数据包传输的第一安全密钥的去活消息作为单个消息而接收。

[0093] 图6示意地图示通信装置，其包括用于实现方法的实施例的部件。通信装置3、4、5、6包括用于接收数据包的输入装置51和用于传输数据包的输出装置52。该输入和输出装置51、52可包括接口单元，其包括用于使用通信协议的数据通信的硬件和/或软件。

[0094] 通信装置3、4、5、6包括处理单元50（例如中央处理单元（CPU））、微控制器、数字信号处理器（DSP）、专用集成电路（ASIC）或现场可编程门阵列（FPGA）、FPGA和CPU的组合等，其能够执行存储在计算机程序产品53（例如采用存储器的形式）中的软件指令。处理器34连接到输入装置51用于从其处接收数据包并且连接到输出装置52用于输出数据包。

[0095] 通信装置3、4、5、6提供有用于处理两个或以上安全密钥的部件55、56、57、58，这些安全密钥可同时是有效的。该部件可例如包括例如专用集成电路（ASIC）和/或现场可编程门阵列（FPGA）等硬件、软件或其组合。因为数据包接收和其处理中的延迟与例如软件解决方案相比通常更短，硬件解决方案在许多情况下是优选的。

[0096] 在实施例中，验证部件55、56、57、58包括：两个验证装置55、56，每个处理用于接收的相应安全密钥；和两个验证部件57、58，每个处理用于传输的相应安全密钥。用于接收的验证装置55、56从而可并行操作。同样，用于传输的验证装置57、58也可并行操作。验证从而可以并行执行，这提供更快验证。验证部件55、56、57、58可以是处理单元50的部分或连接到处理单元50的独立单元。

[0097] 图7图示采用验证逻辑形式的用于接收的验证部件55、56。特别地，输入装置51将数据包馈送到第一验证装置55和第二验证装置56。第一和第二验证装置55、56尝试分别使用第一和第二安全密钥来验证数据包。如果（如在标号59处指示的）第一验证装置55能够使用它的安全密钥验证数据包，或如果第二验证装置56能够使用它的安全密钥验证数据包，则数据包被验证。如先前提到的，这样的逻辑可使用硬件或软件来实现。

[0098] 注意尽管仅图示两个验证装置55、56，通信装置3、4、5、6可包括再额外的验证装置，其使再另外的安全密钥能够同时有效。例如，如果提供三个验证装置，三个安全密钥在转变时间期间可以有效。在转变时间终止时，它们中的一个或两个可以被撤销，从而使得一个或两个安全密钥有效以用于传输和接收。密钥管理装置2从而可启用/禁用任何数量的安全密钥。对应的配置也可对验证部件57、58实现以用于传输。

[0099] 在另一个实施例（未在图中图示）中，验证部件包括单个验证装置，例如单个集成电路，其配置成验证两个或以上不同的安全密钥。验证处理然后是相继的，其与使用并行处理相比可导致略微延迟的数据包验证。

[0100] 再次参考图6，描述的供在更新安全密钥中使用的方法和算法或其部分可由处理器50中的软件和/或硬件实现。为此，通信装置3、4、5、6可进一步包括存储在计算机程序产品53上的计算机程序54。

[0101] 在实施例中，通信装置3、4、5、6并且特别是其处理单元50配置成：

[0102] -从密钥管理装置2接收第二安全密钥以用于数据包的接收和传输，

[0103] -激活第二安全密钥的使用以用于数据包的接收，并且响应于此而实行使用第二安全密钥以用于数据包的接收，

[0104] -激活第二安全密钥的使用以用于数据包的传输，并且响应于此而实行使用第二安全密钥以用于数据包的传输，

[0105] -去活用于数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的第一安全密钥的使用，以及

[0106] -去活用于数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的第一安全密钥的使用。

[0107] 在另一个实施例中，通信装置3、4、5、6并且特别是其处理单元50配置成：

[0108] -从密钥管理装置2接收第二安全密钥以用于数据包的接收和传输，

[0109] -从密钥管理装置2接收激活消息，用于激活第二安全密钥的使用以用于数据包的接收，并且响应于此而实行使用第二安全密钥以用于数据包的接收，

[0110] -从密钥管理装置2接收激活消息，用于激活第二安全密钥的使用以用于数据包的传输，并且响应于此而实行使用第二安全密钥以用于数据包的传输，

[0111] -从密钥管理装置2接收去活消息，用于去活用于数据包传输的第一安全密钥的使用，并且响应于此而撤销用于传输的第一安全密钥的使用，以及

[0112] -从密钥管理装置2接收去活消息，用于去活用于数据包接收的第一安全密钥的使用，并且响应于此而撤销用于接收的第一安全密钥的使用。

[0113] 在实施例中，通信装置3、4、5、6包括例如验证装置55、56等部件，其配置成处理用于接收的相应安全密钥。

[0114] 在实施例中，通信装置3、4、5、6包括例如验证装置57、58等部件，其配置成处理用于传输的相应安全密钥。

[0115] 再次参考图6，本公开还包含对于通信装置3、4、5、6的计算机程序54。计算机程序54包括计算机程序代码，其在通信装置3、4、5、6的处理单元50上运行时促使通信装置3、4、5、6执行如上文描述的对于处理单元50的步骤。

[0116] 还提供计算机程序产品53，其包括如上文描述的计算机程序54，和在其上存储计算机程序54的计算机可读部件。计算机程序产品53可以是读和写存储器（RAM）或只读存储器（ROM）的任何组合。计算机程序产品53还可包括永久存储，其例如可以是磁存储器、光存储器或固态存储器中的任何单个或组合。

[0117] 注意第一安全密钥可包括一对安全密钥，其包括目前使用的用于接收的安全密钥和目前使用的用于数据包传输的安全密钥。同样，在实施例中，第二安全密钥可包括一对安全密钥，其包括用于接收的更新安全密钥和用于数据包传输的更新安全密钥。