一种现场运维数据的安全交互方法及装置与流程

本专利涉及配电自动化系统安全防护方法及装置，具体涉及一种现场运维数据的安全交互方法及装置。

背景技术：

配电自动化作为提高供电可靠性的必要手段和提升配网管理的重要工具，在提高供电可靠性与供电质量、提高配电网运检效率、降低运维人员现场操作和故障查找难度、提升配电网运维管控能力方面发挥了重要作用。近年来，国家发改委、国家能源局等主管部门加大了对电力信息安全的重点监督管控，相继颁布了国家发改委〔2014〕14号令《电力监控系统安全防护规定》和国能安全〔2015〕36号文《电力监控系统安全防护总体方案》等一系列法令、制度和标准，进一步明确了电网信息安全的重要性，对能源、电力等领域的关键信息基础设施的安全防护提出了更高要求，迫切需要全面升级配电自动化系统的安全防护体系，以满足国家对公司网络信息安全的各项要求。

随着配电自动化工程建设的深入开展及实用化应用，相关部门对配电自动化终端的运行质量及现场运维安全防护能力提出了更高的要求。然而，目前配电终端现场运维过程中，运维人员通常采用便携式设备对终端进行运行状态巡视和软件功能维护，然而配电终端与现场运维工具之间的数据交互目前还没有任何安全措施与防护机制，运维软件极易被侵入篡改甚至复制模拟，形成安全防护漏洞；其次，终端无法认证现场运维工具的合法性，终端内部数据极易遭受非法运维工具的破坏；此外，现场配电终端的数字证书、对称密钥的管理流程还不够完善，对配电终端现场部署与应用工作的开展具有一定影响。

技术实现要素：

针对上述配电终端现场运维过程中的安全防护漏洞，以及现场终端数字证书、对称密钥的管理流程不够完善等问题，本发明提出一种现场运维数据的安全交互方法及装置。采用基于数字证书的身份认证、对称加密、数字签名等技术手段，提供了运维工具与配电终端、主站之间的安全交互方法，以及配电终端对称密钥恢复、数字证书申请与下载流程，从而提高了配电终端现场应用与运维的安全防护水平。

本发明的目的是采用下述技术方案实现的：

一种现场运维数据的安全交互方法，包括：

运维工具发送请求信息完成与配电终端及主站的身份认证；其中，所述请求信息包括运维工具id和数字证书；

当配电终端处于现场投运前，生成配电终端的数字证书申请文件，将存储于运维工具中的正式数字证书导入配电终端，执行现场运维数据的远程交互；

当配电终端处于停运维修前，更新配电终端的对称密钥，将存储于运维工具中的测试数字证书导入配电终端。

优选的，所述运维工具发送请求信息完成与配电终端的身份认证包括：所述运维工具接收配电终端生成的随机数r，将随机数r进行签名后发送至配电终端；

所述运维工具接收配电终端根据运维工具的数字证书验证签名有效性的结果，对于通过配电终端身份认证的运维工具，建立其与配电终端的现场运维报文传输。

优选的，所述运维工具发送请求信息完成与主站的身份认证包括：运维工具自动生成随机数r1，将{r1+运维工具数字证书}发送给主站；

主站从配电加密认证装置获取随机数r2，对{r1+r2}签名获得smf，将{r2+smf+签名密钥标识iask}发送给运维工具；

所述运维工具通过主站数字证书验证主站签名有效性，验证通过，则对主站随机数r2进行签名，将{签名结果sfm+签名密钥标识if}发送至主站；

主站通过运维工具数字证书验证运维工具签名的正确性，验证通过则认证运维工具身份，并返回认证结果信息；

双向认证成功后，主站发送读取运维工具id的报文，运维工具返回其id号以及用于计算消息认证码的初始向量iv0。

优选的，所述生成配电终端的数字证书申请文件包括：

运维工具向配电终端发送终端序列号获取指令；

配电终端响应并返回终端序列号nt；

运维工具向配电终端发送终端安全芯片序列号获取指令；

配电终端从安全芯片读取序列号ns，并返回给运维工具；

运维工具向配电终端发送获取终端安全芯片公钥指令请求；

配电终端从安全芯片读取公钥kt，并返回给运维工具；

运维工具生成包含nt、ns和kt信息的证书请求字符串a，并将a发送给终端；

配电终端对a签名得到签名结果sa，并将sa返回给运维工具；

运维工具根据nt、ns、kt、sa和终端使用单位名称生成用于终端证书申请文件。

优选的，所述将存储于运维工具中的正式或测试数字证书导入配电终端包括：

运维工具将正式或测试数字证书以明文形式发送给配电终端，所述配电终端将数字证书下载到配电终端的安全芯片中，并向运维工具返回证书更新结果；其中，所述正式或测试数字证书的形式为{证书标识n+证书内容cn}，cn包括ca二级应用证书、主站证书和网关证书。

优选的，所述更新配电终端的对称密钥包括：

配电终端收到所述终端安全芯片序列号获取指令，返回安全芯片序列号ns；

运维工具向配电终端发送密钥版本号获取指令；

配电终端从安全芯片内读取对称密钥版本号v1，获取随机数r3，返回给运维工具；

运维工具对{ns+v1+r3}签名结果srk，并将{ns+v1+r3+srk+签名密钥标识if}发送给主站；

主站通过运维工具数字证书验证签名的有效性，若验证通过，根据密钥版本号v1判断从加密认证装置中导出的对称密钥的版本号；

主站将终端随机数r3作为计算消息认证码的初始向量，将终端安全芯片序列号ns作为分散因子对v1版本的主控密钥进行分散得到保护传输密钥，分散导出指定版本的对称密钥pk；并基于sm2算法，利用主站私钥对pk进行签名获得sk，将{签名密钥标识iask+pk+sk}经所述运维工具发送给配电终端；

所述配电终端接收到密钥恢复报文后，将{签名密钥标识iask+pk+sk}发送到安全芯片，完成对称密钥的更新，并向运维工具返回更新结果信息。

进一步地，所述对称密钥pk包括：密钥版本和密钥的密文与消息认证码。

优选的，所述执行现场运维数据的远程交互的方法包括：

运维工具与主站身份认证成功后，采用现场运维数据保护加密密钥对发送的运维数据报文mfm进行加密，并以iv0为mac初始向量，计算消息认证码，得到{密文efm+macfm}，并将其发送给主站；

主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护解密密钥进行分散，并对{efm+macfm}进行验证消息认证码和解密操作，获取明文报文数据；

主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护加密密钥进行分散，并对发送的运维数据报文mmf进行加密；并以iv0为消息认证码初始向量计算消息认证码得到{密文emf+macmf}，将其发送给运维工具；

运维工具采用现场运维数据保护解密密钥对{emf+macmf}进行验证消息认证码和解密操作，获取明文报文数据。

一种现场运维数据的安全交互装置，所述装置包括：

终端认证模块，用于运维工具发送请求信息完成与配电终端的身份认证；

主站认证模块，用于运维工具发送请求信息完成与主站的身份认证；

远程交互模块，当配电终端处于现场投运前，生成配电终端的数字证书申请文件，将存储于运维工具中的正式数字证书导入配电终端，执行现场运维数据的远程交互；

更新模块，用于当配电终端处于停运维修前，更新配电终端的对称密钥，将存储于运维工具中的测试数字证书导入配电终端。

优选的，所述终端认证模块包括：

第一随机数生成单元，用于运维工具接收配电终端生成的随机数r，将随机数r进行签名后发送至配电终端；

第一签名有效性认证单元，用于运维工具接收配电终端根据运维工具的数字证书验证签名有效性的结果，对于通过配电终端身份认证的运维工具，建立其与配电终端的现场运维报文传输。

优选的，所述主站认证模块包括：

第二随机数生成单元，用于运维工具自动生成随机数r1，将{r1+运维工具数字证书}发送给主站；主站从配电加密认证装置获取随机数r2，对{r1+r2}签名获得smf，将{r2+smf+签名密钥标识iask}发送给运维工具；

第二签名有效性认证单元，用于所述运维工具通过主站数字证书验证主站签名有效性，验证通过，则对主站随机数r2进行签名，将{签名结果sfm+签名密钥标识if}发送至主站；

第一数字证书正确性认证单元，用于主站通过运维工具数字证书验证运维工具签名的正确性，验证通过则认证运维工具身份，并返回认证结果信息；双向认证成功后，主站发送读取运维工具id的报文，运维工具返回其id号以及用于计算消息认证码的初始向量iv0。

优选的，所述远程交互模块包括：申请文件生成单元、正式证书导入单元和交互单元；其中，所述正式证书导入单元，用于运维工具将正式用数字证书以明文形式发送给配电终端，所述配电终端将数字证书下载到配电终端的安全芯片中，并向运维工具返回证书更新结果；

所述申请文件生成单元包括：

获取子单元，用于运维工具向配电终端发送终端序列号获取指令；配电终端响应并返回终端序列号nt；运维工具向配电终端发送终端安全芯片序列号获取指令；配电终端从安全芯片读取序列号ns，并返回给运维工具；运维工具向配电终端发送获取终端安全芯片公钥指令请求；

读取子单元，用于配电终端从安全芯片读取公钥kt，并返回给运维工具；

字符串生成子单元，用于运维工具生成包含nt、ns和kt信息的证书请求字符串a，并将a发送给终端；

回执子单元，用于配电终端对a签名得到签名结果sa，并将sa返回给运维工具；运维工具根据nt、ns、kt、sa和终端使用单位名称生成用于终端证书申请文件；

所述交互单元包括：

加密子单元，用于运维工具与主站身份认证成功后，采用现场运维数据保护加密密钥对发送的运维数据报文mfm进行加密，并以iv0为mac初始向量，计算消息认证码，得到{密文efm+macfm}，并将其发送给主站；

解密子单元，用于主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护解密密钥进行分散，并对{efm+macfm}进行验证消息认证码和解密操作，获取明文报文数据；

密钥分散子单元，用于主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护加密密钥进行分散，并对发送的运维数据报文mmf进行加密；并以iv0为消息认证码初始向量计算消息认证码得到{密文emf+macmf}，将其发送给运维工具；

明文报文数据获取子单元，用于运维工具采用现场运维数据保护解密密钥对{emf+macmf}进行验证消息认证码和解密操作，获取明文报文数据。

优选的，所述更新模块包括：更新单元和测试证书导入单元；

其中，所述测试证书导入单元，用于运维工具将正式用数字证书以明文形式发送给配电终端，所述配电终端将数字证书下载到配电终端的安全芯片中，并向运维工具返回证书更新结果；

所述更新单元包括：

第一签名结果获取子单元，用于配电终端收到所述终端安全芯片序列号获取指令，返回安全芯片序列号ns；运维工具向配电终端发送密钥版本号获取指令；配电终端从安全芯片内读取对称密钥版本号v1，获取随机数r3，返回给运维工具；运维工具对{ns+v1+r3}签名获得签名结果srk，并将{ns+v1+r3+srk+签名密钥标识if}发送给主站；

验证子单元，用于主站通过运维工具数字证书验证签名的有效性，若验证通过，根据密钥版本号v1判断从加密认证装置中导出的对称密钥的版本号；

第二签名结果获取子单元，用于主站将终端随机数r3作为计算消息认证码的初始向量，将终端安全芯片序列号ns作为分散因子对v1版本的主控密钥进行分散得到保护传输密钥，分散导出指定版本的对称密钥pk；并基于sm2算法，利用主站私钥对pk签名，获得签名结果sk，将{签名密钥标识iask+pk+sk}经所述运维工具发送给配电终端；

返回子单元，用于配电终端接收到密钥恢复报文后，将{签名密钥标识iask+pk+sk}发送到安全芯片，完成对称密钥的更新，并向运维工具返回更新结果信息。

与最接近的现有技术比，本发明的有益效果为：

本发明提供一种现场运维数据的安全交互方法及装置，具备对配电终端运维数据机密性和完整性的安全防护能力，可有效防止运维数据被黑客恶意篡改、仿造或破坏。

运维工具发送请求信息完成与配电终端及主站的身份认证；当配电终端处于现场投运前，生成配电终端的数字证书申请文件，将存储于运维工具中的正式数字证书导入配电终端，执行现场运维数据的远程交互；当配电终端处于停运维修前，更新配电终端的对称密钥，将存储于运维工具中的测试数字证书导入配电终端。通过以上操作完善了现场配电终端数字证书、对称密钥的安全管理机制。增加了配电终端对现场运维工具的身份鉴别能力，以及运维工具与主站之间双向身份鉴别能力，提高了终端现场运维业务的安全防护水平。

附图说明

图1为本发明提供的配电终端运维工具安全交互方法流程图。

具体实施方式

下面结合附图对本发明的具体实施方式作进一步详细的说明。

本发明提供一种现场运维数据的安全交互方法，如图1所示，该方法包括如下步骤：

ⅰ、运维工具发送请求信息完成与配电终端及主站的身份认证；分别为与配电终端建立单向安全认证，与主站建立双向身份认证；其中，所述请求信息包括运维工具id和数字证书。运维工具支持国密sm1、对称加密算法和国密sm2、sm3非对称加密算法。

1)运维工具发送请求信息完成与配电终端的身份认证包括：所述运维工具接收配电终端生成的随机数r，将随机数r进行签名后发送至配电终端；

运维工具接收配电终端根据运维工具的数字证书验证签名有效性的结果，对于通过配电终端身份认证的运维工具，建立其与配电终端的现场运维报文传输。

2)运维工具发送请求信息完成与主站的身份认证包括：运维工具自动生成随机数r1，将{r1+运维工具数字证书}发送给主站；

主站从配电加密认证装置获取随机数r2，对{r1+r2}签名获得smf，将{r2+smf+签名密钥标识iask}发送给运维工具；

运维工具通过主站数字证书验证主站签名有效性，验证通过，则对主站随机数r2进行签名，将{签名结果sfm+签名密钥标识if}发送至主站；

主站通过运维工具数字证书验证运维工具签名的正确性，验证通过则认证运维工具身份，并返回认证结果信息；

双向认证成功后，主站发送读取运维工具id的报文，运维工具返回其id号以及用于计算消息认证码的初始向量iv0。

ⅱ、当配电终端处于现场投运前，生成配电终端的数字证书申请文件，将存储于运维工具中的正式数字证书导入配电终端，执行现场运维数据的远程交互；

生成配电终端的数字证书申请文件包括：

运维工具向配电终端发送终端序列号获取指令；

配电终端响应并返回终端序列号nt；

运维工具向配电终端发送终端安全芯片序列号获取指令；

配电终端从安全芯片读取序列号ns，并返回给运维工具；

运维工具向配电终端发送获取终端安全芯片公钥指令请求；

配电终端从安全芯片读取公钥kt，并返回给运维工具；

运维工具生成包含nt、ns和kt信息的证书请求字符串a，并将a发送给终端；

配电终端对a签名得到签名结果sa，并将sa返回给运维工具；

运维工具根据nt、ns、kt、sa和终端使用单位名称，即所属地市电力公司信息，生成用于终端证书申请的pcks#10文件。

将存储于运维工具中的正式或测试数字证书导入配电终端包括：运维工具将正式或测试数字证书以明文形式发送给配电终端，所述配电终端将数字证书下载到配电终端的安全芯片中，并向运维工具返回证书更新结果；其中，所述正式或测试数字证书的形式为{证书标识+证书内容}，包括ca二级应用证书、主站证书和网关证书。证书内容cn包括用于表示是正式或测试数字证书的字段，配电终端的安全芯片可以通过该字段识别正式或测试数字证书。

ⅲ、当配电终端处于停运维修前，更新配电终端的对称密钥，将存储于运维工具中的测试数字证书导入配电终端。

更新配电终端的对称密钥包括：

配电终端收到所述终端安全芯片序列号获取指令，返回安全芯片序列号ns；

运维工具向配电终端发送密钥版本号获取指令；

配电终端从安全芯片内读取对称密钥版本号v1，获取随机数r3，返回给运维工具；

运维工具对{ns+v1+r3}签名结果srk，并将{ns+v1+r3+srk+签名密钥标识if}发送给主站；

主站通过运维工具数字证书验证签名的有效性，若验证通过，根据密钥版本号v1判断从加密认证装置中导出的对称密钥的版本号；

主站将终端随机数r3作为计算消息认证码的初始向量，将终端安全芯片序列号ns作为分散因子对v1版本的主控密钥进行分散得到保护传输密钥，分散导出指定版本的对称密钥pk；并基于sm2算法，利用主站私钥对pk进行签名获得sk，将{签名密钥标识iask+pk+sk}经所述运维工具发送给配电终端；

配电终端接收到密钥恢复报文后，将{签名密钥标识iask+pk+sk}发送到安全芯片，完成对称密钥的更新，并向运维工具返回更新结果信息。

对称密钥pk包括：密钥版本和密钥的密文与消息认证码。

执行现场运维数据的远程交互的方法包括：

运维工具与主站身份认证成功后，采用现场运维数据保护加密密钥对发送的运维数据报文mfm进行加密，并以iv0为mac初始向量，计算消息认证码，得到{密文efm+macfm}，并将其发送给主站；

主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护解密密钥进行分散，并对{efm+macfm}进行验证消息认证码和解密操作，获取明文报文数据；

主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护加密密钥进行分散，并对发送的运维数据报文mmf进行加密；并以iv0为消息认证码初始向量计算消息认证码得到{密文emf+macmf}，将其发送给运维工具；

运维工具采用现场运维数据保护解密密钥对{emf+macmf}进行验证消息认证码和解密操作，获取明文报文数据。

具体应用的实施例如下：

运维工具集成安全模块，支持国密sm1对称加密算法和国密sm2、sm3非对称加密算法。运维工具经发行后，内置1对非对称密钥及其数字证书cf，用于与终端、主站之间的身份认证；内置的对称密钥包括现场运维数据保护解密密钥k′14和现场运维数据保护加密密钥k′15；内置正式的ca二级应用证书c0、主站证书(c1，c2，c3，c4)和安全接入网关证书c5，内置用于测试的ca二级应用证书c'0、主站证书(c′1，c'2，c′3，c'4)和安全接入网关证书c′5；运维工具的形式包括手持式运维终端、笔记本电脑等，通过串口等接口与配电终端通信，通过光纤以太网或无线公网等方式与配电主站通信。

1)运维工具发送请求信息完成与配电终端及主站的身份认证，即运维工具与配电终端之间单向认证和运维工具与主站双向认证。

运维工具与配电终端身份认证流程如下：

a.运维工具向终端发起认证请求，将运维工具id和数字证书cf发送给终端；

b.终端取随机数r发送给运维工具；

c.运维工具对随机数r进行签名，并将签名结果发送给终端；

d.终端用cf验证签名有效性，并将认证结果返回给运维工具。运维工具通过终端的安全认证后，双方之间方可传输现场运维报文。

运维工具与主站双向认证流程如下：

a.运维工具与主站之间建立网络连接后，如tcp连接；运维工具向主站发起双向身份认证请求。运维工具取随机数r1，将{r1+cf}发送给主站；

b.主站从配电加密认证装置取随机数r2，对{r1+r2}签名后得到smf，将{r2+smf+签名密钥标识iask}发送给运维工具；iask可取1,2,3,4；

c.运维工具用主站证书(证书标识须与iask对应；例如iask＝1时，则使用主站证书c1)验证主站签名有效性，验证通过完成运维工具对主站的身份；之后运维工具对主站随机数r2签名，将{签名结果sfm+签名密钥标识if}发送给主站；if可取1。

d.主站用cf验证运维工具签名的正确性，验证通过完成主站对运维工具的身份认证并返回认证确认信息；

e.双向认证成功后，主站发送读取运维工具id的报文，运维工具返回其id号，以及用于计算消息认证码(mac)的初始向量iv0。

ⅱ、当配电终端处于现场投运前，生成配电终端的数字证书申请文件，将存储于运维工具中的正式数字证书导入配电终端，执行现场运维数据的远程交互；

1)生成配电终端的数字证书申请文件包括：

a.运维工具向配电终端发送获取终端序列号指令；

b.配电终端返回终端序列号nt；

c.运维工具向配电终端发送获取终端安全芯片序列号指令；

d.配电终端从安全芯片读取序列号ns，并返回给运维工具；

e.运维工具向配电终端发送获取终端安全芯片公钥指令；

f.配电终端从安全芯片读取公钥kt，并返回给运维工具；

g.运维工具生成包含nt、ns和kt信息的证书请求字符串a，并将a发送给终端；

h.配电终端对a签名得到sa，并将sa返回给运维工具；

i.运维工具利用nt、ns、kt、sa和终端所属地市电力公司信息生成用于终端证书申请的pcks#10文件。

现场运维数据远程安全交互包括：

a.运维工具与主站之间通过身份认证后，用现场运维数据保护加密密钥k′15对发送的运维数据报文mfm进行加密，并以iv0为mac初始向量计算mac得到{密文efm+macfm}，并将其发送给主站；

b.主站利用运维工具id作为分散因子对配电加密认证装置中的现场运维数据保护解密密钥k15进行1次分散得到k′15，并对{efm+macfm}进行验证mac和解密操作，获取明文报文数据；主站利用运维工具id作为分散因子对配电加密认证装置中的现场运维数据保护加密密钥k14进行1次分散得到k′14，对发送的运维数据报文mmf进行加密并以iv0为mac初始向量计算mac得到{密文emf+macmf}，将其发送给运维工具；

c.运维工具用现场运维数据保护解密密钥k′14对{emf+macmf}进行验证mac和解密操作，获取明文报文数据。

现场运维数据远程安全交互包括：

a.运维工具与主站之间通过身份认证后，用现场运维数据保护加密密钥k′15对发送的运维数据报文mfm进行加密，并以iv0为mac初始向量计算mac得到{密文efm+macfm}，并将其发送给主站；

b.主站利用运维工具id作为分散因子对配电加密认证装置中的现场运维数据保护解密密钥k15进行1次分散得到k′15，并对{efm+macfm}进行验证mac和解密操作，获取明文报文数据；主站利用运维工具id作为分散因子对配电加密认证装置中的现场运维数据保护加密密钥k14进行1次分散得到k′14，对发送的运维数据报文mmf进行加密并以iv0为mac初始向量计算mac得到{密文emf+macmf}，将其发送给运维工具；

c.运维工具用现场运维数据保护解密密钥k′14对{emf+macmf}进行验证mac和解密操作，获取明文报文数据。

将存储于运维工具中的正式或测试数字证书导入配电终端包括：运维工具将正式或测试数字证书以明文形式发送给配电终端，所述配电终端将数字证书下载到配电终端的安全芯片中，并向运维工具返回证书更新结果；其中，所述正式或测试数字证书的形式为{证书标识+证书内容}，包括ca二级应用证书、主站证书和网关证书。证书内容cn包括用于表示正式或测试数字证书的字段，配电终端的安全芯片可以通过该字段识别正式或测试数字证书。

配电终端现场投运前，运维工具将正式的ca二级应用证书c0、主站证书(c1，c2，c3，c4)和安全接入网关证书c5导入配电终端；

其安全芯片内置正式的对称密钥包括：k′10，k′11，k′12，k13，k14；配电主站侧加密认证装置经发行后，内置2组与终端安全芯片中功能相同的对称密钥；其中，第0组测试密钥为：k00，k01，k02，k03，k04；第1组正式密钥为：k10，k11，k12，k13，k14。

ⅲ、当配电终端处于停运维修前，更新配电终端的对称密钥，将存储于运维工具中的测试数字证书导入配电终端。

运维工具将用于测试的ca二级应用证书c'0、主站证书(c′1，c'2，c′3，c'4)和安全接入网关证书c′5导入配电终端；运维工具将{证书标识n+证书内容cn}(n可取0,1,2,3,4,5)以明文形式发送给配电终端；配电终端将证书内容下载到安全芯片。

更新配电终端的对称密钥包括：

a.运维工具向配电终端发送获取终端安全芯片序列号指令；

b.配电终端返回安全芯片序列号ns；

c.运维工具向终端发送取密钥版本号指令；

d.终端从安全芯片内读取对称密钥版本号v1(v1可取1)，并获取随机数r3，返回给运维工具；

e.运维工具对{ns+v1+r3}签名得到srk，并将{ns+v1+r3+srk+签名密钥标识if}发送给主站；

f.主站用cf验证签名有效性，若验证通过，主站通过密钥版本号v1判断需要从加密认证装置中导出的对称密钥的版本号v0(v0取0)；

g.主站利用终端随机数r3作为计算mac的初始向量，利用终端安全芯片序列号ns作为分散因子对v1版的主控密钥k10进行分散得到保护传输密钥k′10，分散导出v0版的对称密钥得到k'00，k'01，k'02，k03，k04(对k00，k01，k02的分散次数为1；对k03，k04的分散次数为0)的密文和mac；导出的数据包pk为：{v0，k'00的密文+mac，k'01的密文+mac，…，k04的密文+mac}，并利用主站私钥对pk进行签名得到sk，将{签名密钥标识iask+pk+sk}发送给运维工具；

e.运维工具将{签名密钥标识iask+pk+sk}发送给配电终端；终端接收到密钥恢复报文后，将{iask+pk+sk}发送到安全芯片，完成密钥更新，并向运维工具返回更新结果。

基于上述发明构思，本实施例中还提供了一种现场运维数据的安全交互装置，包括：

终端认证模块，用于运维工具发送请求信息完成与配电终端的身份认证；

主站认证模块，用于运维工具发送请求信息完成与主站的身份认证；

远程交互模块，当配电终端处于现场投运前，生成配电终端的数字证书申请文件，将存储于运维工具中的正式数字证书导入配电终端，执行现场运维数据的远程交互；

更新模块，用于当配电终端处于停运维修前，更新配电终端的对称密钥，将存储于运维工具中的测试数字证书导入配电终端。

其中：

终端认证模块包括：

第一随机数生成单元，用于运维工具接收配电终端生成的随机数r，将随机数r进行签名后发送至配电终端；

第一签名有效性认证单元，用于运维工具接收配电终端根据运维工具的数字证书验证签名有效性的结果，对于通过配电终端身份认证的运维工具，建立其与配电终端的现场运维报文传输。

主站认证模块包括：

第二随机数生成单元，用于运维工具自动生成随机数r1，将{r1+运维工具数字证书}发送给主站；主站从配电加密认证装置获取随机数r2，对{r1+r2}签名获得smf，将{r2+smf+签名密钥标识iask}发送给运维工具；

第二签名有效性认证单元，用于所述运维工具通过主站数字证书验证主站签名有效性，验证通过，则对主站随机数r2进行签名，将{签名结果sfm+签名密钥标识if}发送至主站；

第一数字证书正确性认证单元，用于主站通过运维工具数字证书验证运维工具签名的正确性，验证通过则认证运维工具身份，并返回认证结果信息；双向认证成功后，主站发送读取运维工具id的报文，运维工具返回其id号以及用于计算消息认证码的初始向量iv0。

远程交互模块包括：申请文件生成单元、正式证书导入单元和交互单元；其中，所述正式证书导入单元，用于运维工具将正式用数字证书以明文形式发送给配电终端，所述配电终端将数字证书下载到配电终端的安全芯片中，并向运维工具返回证书更新结果；

申请文件生成单元包括：

获取子单元，用于运维工具向配电终端发送终端序列号获取指令；配电终端响应并返回终端序列号nt；运维工具向配电终端发送终端安全芯片序列号获取指令；配电终端从安全芯片读取序列号ns，并返回给运维工具；运维工具向配电终端发送获取终端安全芯片公钥指令请求；

读取子单元，用于配电终端从安全芯片读取公钥kt，并返回给运维工具；

字符串生成子单元，用于运维工具生成包含nt、ns和kt信息的证书请求字符串a，并将a发送给终端；

回执子单元，用于配电终端对a签名得到签名结果sa，并将sa返回给运维工具；运维工具根据nt、ns、kt、sa和终端使用单位名称生成用于终端证书申请文件；

所述交互单元包括：

加密子单元，用于运维工具与主站身份认证成功后，采用现场运维数据保护加密密钥对发送的运维数据报文mfm进行加密，并以iv0为mac初始向量，计算消息认证码，得到{密文efm+macfm}，并将其发送给主站；

解密子单元，用于主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护解密密钥进行分散，并对{efm+macfm}进行验证消息认证码和解密操作，获取明文报文数据；

密钥分散子单元，用于主站将运维工具id作为分散因子，对配电加密认证装置中的现场运维数据保护加密密钥进行分散，并对发送的运维数据报文mmf进行加密；并以iv0为消息认证码初始向量计算消息认证码得到{密文emf+macmf}，将其发送给运维工具；

明文报文数据获取子单元，用于运维工具采用现场运维数据保护解密密钥对{emf+macmf}进行验证消息认证码和解密操作，获取明文报文数据。

更新模块包括：更新单元和测试证书导入单元；

其中，所述测试证书导入单元，用于运维工具将正式用数字证书以明文形式发送给配电终端，所述配电终端将数字证书下载到配电终端的安全芯片中，并向运维工具返回证书更新结果；

所述更新单元包括：

第一签名结果获取子单元，用于配电终端收到所述终端安全芯片序列号获取指令，返回安全芯片序列号ns；运维工具向配电终端发送密钥版本号获取指令；配电终端从安全芯片内读取对称密钥版本号v1，获取随机数r3，返回给运维工具；运维工具对{ns+v1+r3}签名获得签名结果srk，并将{ns+v1+r3+srk+签名密钥标识if}发送给主站；

验证子单元，用于主站通过运维工具数字证书验证签名的有效性，若验证通过，根据密钥版本号v1判断从加密认证装置中导出的对称密钥的版本号；

第二签名结果获取子单元，用于主站将终端随机数r3作为计算消息认证码的初始向量，将终端安全芯片序列号ns作为分散因子对v1版本的主控密钥进行分散得到保护传输密钥，分散导出指定版本的对称密钥pk；并基于sm2算法，利用主站私钥对pk签名，获得签名结果sk，将{签名密钥标识iask+pk+sk}经所述运维工具发送给配电终端；

返回子单元，用于配电终端接收到密钥恢复报文后，将{签名密钥标识iask+pk+sk}发送到安全芯片，完成对称密钥的更新，并向运维工具返回更新结果信息。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

最后应当说明的是：以上实施例仅用以说明本申请的技术方案而非对其保护范围的限制，尽管参照上述实施例对本申请进行了详细的说明，所属领域的普通技术人员应当理解：本领域技术人员阅读本申请后依然可对申请的具体实施方式进行种种变更、修改或者等同替换，这些变更、修改或者等同替换，其均在其申请待批的权利要求范围之内。