CN103490891B - 一种电网ssl vpn中密钥更新和使用的方法 - Google Patents

Abstract

本发明公开了一种电网SSL VPN中密钥更新和使用的方法，该方法将量子密钥分配网络和电力系统调度数据网进行双网结合，其目的在于以双网结合的方式将无条件安全的量子密钥应用于电网中，保障电力数据传输的安全性。本发明给出了两个网络融合的具体实现方法，将量子密钥应用于电网SSL VPN中的三种形式，以及结合后网络中的具体通信流程。本发明的优点在于方便实用，在节约成本的同时，又能增强传输数据的安全性。

Description

一种电网SSLVPN中密钥更新和使用的方法

技术领域

本发明涉及通信领域和量子密码领域，特别是一种电网SSL VPN中密钥更新和使用的方法，该方法利用通信领域和量子密码两者的交叉结合，给出了量子密钥技术在电网中的一类使用方法。

背景技术

随着业务的发展，电力系统调度数据网的规模越来越大，需要处理的数据类型种类繁多，而另一方面，随着网络的普及，电网分布的地域也越来越广泛，从国家主要省市到乡镇几乎都建立了相应的子网。子网之间以及子网与总站之间就需要一个有效的通信机制来保证数据的安全性。它不但要保证基站之间信息的机密性，还要确保不同业务之间的隔离，不同用户之间的身份认证等。根据这一需求，目前普遍采用的技术是虚拟专用网技术（VPN），在基站之间建立虚拟的隧道，隧道能为传输的数据提供完整性、机密性等保证。为实现多任务的需求，进一步为每个任务建立一个隧道。实现虚拟专用网络的技术有很多，如基于PPP、IPSec、TLS、SSL等协议。从成本和便利性考虑，SSL技术在电网中有着广泛的使用前景，因为SSL是内嵌在浏览器中，不需要像传统IPSec VPN一样必须为每一台客户机安装客户端软件。

传统的VPN技术采用密钥协商、预共享密钥等手段来分发主密钥，之后再由主密钥进一步计算出会话密钥。会话密钥用在AES、DES等加密算法中，保证通信的机密性、完整性。但是这种安全性是有条件的，它的密钥预共享过程依赖于计算复杂度，随着计算机处理能力的提升，特别是量子计算技术的出现，使得安全性面临严峻的挑战。例如Grover量子搜索算法能让搜索时间从N量级缩减至根号N量级，可以大大缩减破解DES密码所需要的时间。这就迫切需要提出新的密钥共享方案，使通信双方之间能够建立无条件安全的密钥。

量子密钥分配技术很好地解决了密钥分配的难题，它使得通信双方能够获得信息论意义上无条件安全的密钥。它的安全性基于量子力学中的海森堡不确定性原理，任何攻击者都无法窃取最终的安全密钥，即使攻击者拥有无限的计算资源。随着量子路由器、量子密钥分配收发终端等设备的研制成功，量子密钥分配网络已经能够投入实用。那么在这样前提下，如何将量子密钥分配技术融合到经典网络中，才能够有效地保证数据的安全性呢？前面已经有学者提出IPSec、TLS等协议与量子密钥的结合。但是针对电网的具体需求，目前还没有很好的方法能为其提供安全的密钥，通信双方之间的信息，特别是控制信息以及一些机密的消息还是有被窃听者窃取的危险。

发明内容

鉴于上述所提的现有技术问题，本发明的目的是提供一种电网SSL VPN中密钥更新和使用的方法，通过将量子密钥分配网络与电网有机融合在一起，实现无条件安全的量子密钥在电力系统调度网络中的更新和使用，最大限度地保障电力数据传输的完整性和机密性。

本发明实现上述的目的采用的技术方案为：一种电网SSL VPN中密钥更新和使用的方法，该方法需要两个网络，一个是量子密钥分配网络，一个是电力系统调度网络。

其中，量子密钥分配网络用来实现密钥的安全分配。实现密钥分配使用BB84、B92、E91等单光子协议或者连续变量协议。实现端到端的密钥分发功能，至少需要通信双方各有一个量子密钥分配终端，并共享一条量子信道和一条经典信道。为了实现网络功能，需要使用到可信中继、量子路由器、交换机等设备来实现不同地域节点之间通信路径的选择。根据量子信道的实现方式的不同，量子密钥分配网络分为基于光纤的量子网络和基于自由空间的量子网络。

其中，电力系统调度网络是用来实现电力系统安全数据传输和承载调度命令的经典网络。它是根据需要在一定区域内基站间建立的专用局域网络。考虑到不同的基站子网之间的消息互通性和安全性，使用了虚拟专用网技术来将不同局域网络连接起来，组建成电力系统调度网络使用。同时由于电力系统调度网络中任务繁多，为了实现不同任务之间的有效隔离，实现任务分区和分级管理，针对不同的任务建立了不同的虚拟专用隧道。这里的电力系统调度网络的组建至少需要两个局域网，每个局域网中至少需要一个虚拟专用网服务器、多台主机、网线和多台任务服务器。为了组建覆盖面更广的网络，需要将所有的基站-基站之间、基站-主站之间都连接起来，实现全网的安全通信。

为了在电力系统调度网络中使用量子密钥分配网络中的量子密钥，需要将两网进行有效地结合，在融合后的网络中至少包含几个必备的组成部分：量子密钥分配网络、量子密钥服务器、公网、SSL VPN服务器和客户端、调度任务服务器和项目服务器等其他数据库服务器。

所述量子密钥分配网络，是指用于传递分配量子密钥的专用网络，其传输通道是光纤信道或者自由空间信道。随着距离的增加和网络规模的扩大，这里还应该包含为延长距离而采用的可信中继和量子中继，为节约资源和增加灵活性而使用到量子路由器、交换机等设备。

所述量子密钥服务器，是指使用量子密钥的节点为接入量子密钥分配网络获取安全密钥的设备，集成了从量子密钥分配网络中获取量子密钥的终端模块，以及密钥存储单元。量子密钥实时地直接提供给应用服务器，或者暂时存储在服务器的存储单元中，待需要使用时，再从存储单元中调出，实现对突发应用数据的处理。

所述SSL VPN服务器和客户端，用于实现电力系统调度网络中虚拟隧道的建立和控制，管理VPN所需的加密算法、密钥协商和提取等过程。在用户登录时实现用户身份的验证，然后需要在传输数据的两端建立起虚拟专用链接，根据传输信息的需要，量子密钥服务器协商密钥的大小，以及调度策略，待密钥读取进入服务器后对传输或接收的数据进行加解密处理。

所述其他数据库服务器，用于实现具体任务所需的数据库，将不同的任务分区处理，如任务调度服务器、项目服务器等。这些服务器主要用于分类存放相应的数据信息。在处理不同的业务时，需要从指定的服务器上读取或者写入数据。

本专利目的在于通过实现量子密钥在电力系统调度网络中的使用，最大限度地保障电力数据传输的完整性和机密性。其主要实现方法包含以下过程：

A.消息协商过程。将量子密钥分配网络得到量子密钥用在电力系统调度网络有三种形式，分别是将量子密钥用来替代SSL协议建立过程中的认证密钥、预主密钥或主密钥、会话密钥。因此在连接建立之后，通信双方需要协商好从量子密钥服务器得到密钥的具体用途，也就是需要指明是用来替换认证密钥，还是替换预主密钥或主密钥，抑或是替换会话密钥的，也可能三者中的两者或者三者全部替换。当量子密钥被用来替换会话密钥时，我们需要进一步协商在同一个会话之间量子密钥更新的频率。为了进一步实现信息论无条件的安全性需求，需在加密算法集合中引入“一次一密”算法，扩大加密算法的选择性。因此还需要协商是否使用“一次一密”算法等信息。

B.量子密钥分配过程。使用量子密钥服务器在通信双方或者多方之间建立共享的量子密钥。如果不使用存储技术，那么每次启动量子密钥分配过程时，都需要实时的进行密钥分配处理，等到密钥量到达上层协议所需要求时再停止。若是使用了存储技术，那么在每次启动量子密钥分配过程时，需先检验存储器中的密钥量是否满足任务的需要，若是满足需要，则直接调用存储器中的密钥，否则需要开始密钥分配过程。本专利使用的量子密钥分配过程，对是否使用存储器不作要求，附图1给出了量子密钥分配过程在有存储器情况下的示意图，对于没有存储器时的情况相当于存储器中存储量恒等于零。

C.电网SSL VPN服务器和客户端调用量子密钥过程。在建立隧道后，当上层任务信息到达后，SSL VPN服务器和客户端分别需要向量子密钥服务器请求所需的密钥量。当量子密钥服务器中现有的密钥量能满足请求所需，则直接向SSL VPN服务器和客户端传输密钥，否则需要等待，直到量子密钥量达到请求所需的密钥量。

D.密钥替代过程，使用量子密钥替代SSL协议中相应的密钥。当隧道建立之后，SSL VPN服务器和客户端也已经从量子密钥服务器处提取出所需的量子密钥，这时需要根据具体的需求将提出的量子密钥替代掉原始SSL协议中相应的密钥。

所述的应用过程中，过程C电网SSL VPN服务器和客户端调用量子密钥过程可以进一步划分为以下的两个基本步骤：

C1.SSL VPN服务器或客户端向量子密钥服务器发送请求密钥的消息，这个消息里面应该包含任务所需密钥量的大小以及任务编号等其他信息。

C2.量子密钥服务器接收到密钥请求消息后，根据其中的密钥量大小信息检查存储器中的密钥量是否能够满足请求所需。如果已有的现存密钥的数量能够满足请求所需的密钥量，直接将密钥传给SSL VPN服务器或客户端。反之如果密钥的存储不足，说明需要启动量子密钥分配过程，这时协议服务器向SSL VPN服务器或客户端发送等待信息，并且启动量子密钥分配过程，直到存储器中的密钥量达到请求所需的密钥量，将准备好的密钥传送给SSL VPN服务器或客户端。已经在进行的量子密钥分配过程可根据具体的需要仍然继续分配量子密钥到适当的时间停止，也可在密钥量达到请求所需的密钥量时停止。

所述的应用过程中，过程D密钥替代过程可以进一步分为三种情况，分别列出如下：

D1.量子密钥用作认证密钥

在SSL连接建立的过程中，首先需要确认通信双方的身份，这就需要对双方或者其中一方进行身份认证。传统的方法是使用预共享或者公钥密码体系分发认证所需的初始密钥，或者采用证书的形式进行身份认证。不论是上面的哪种方法，都会涉及到认证时所使用的认证密钥。因此，将量子密钥分配网络得到密钥用在电力系统调度网络的第一种形式就是将量子密钥替换掉此处用作认证身份的认证密钥。具体的作法是，如果在初始连接建立之后，双方进行协商的消息中说明需要替换掉认证密钥，那么，在SSL VPN服务器或客户端得到从量子密钥服务器提出的密钥比特串后，直接用量子密钥替换这一次建立连接时使用的认证密钥，并为下一次连接的建立留下认证所需的密钥材料。

D2.量子密钥用作预主密钥或者主密钥

在SSL连接的建立过程中，传统的方法需要通信双方通过公钥的形式协商出一个预主密钥或者主密钥，以便进一步地计算出每次会话使用的会话密钥。将量子密钥分配网络得到密钥用在电力系统调度网络中的第二种形式就是用量子密钥替换掉此处SSL协议中的预主密钥或者主密钥，之后的会话密钥将都由量子密钥经过进一步的计算得到。具体的使用方法是，如果在初始连接建立之后，双方进行协商的消息中说明需要替换预主密钥或者主密钥，那么，在SSL VPN服务器或客户端得到从量子密钥服务器提出的密钥比特串后，直接用量子密钥替换这一次建立连接过程中得到的预主密钥或者主密钥，之后会话过程所需的会话密钥将会使用替换掉的预主密钥或者主密钥进行计算得到。

D3.量子密钥用作会话密钥

在SSL连接建立后，为了保障电力数据传输的完整性和机密性，需要使用AES、DES等加密算法对数据进行加密，并且每次会话都要使用不同会话密钥。因此将量子密钥分配网络得到的量子密钥用在电力系统调度网络的第三形式就是将量子密钥替换掉会话密钥。具体的使用方法是，如果在初始连接建立之后，双方进行协商的消息中说明需要替换会话密钥，那么，在SSL VPN服务器或客户端得到从量子密钥服务器提出的密钥比特串后，直接用量子密钥替换这一次建立连接过程中得到的会话密钥，之后的数据加密过程将使用替代后的量子密钥进行加密。

上述将从量子密钥分配网络中得到量子密钥用在电力系统调度网络中的三种形式在不同的网络环境下应当有选择地使用。举例如下，为了实现实时传输，减少任务等待的时间，若量子密钥分配网络的密钥分配速率非常低，或者上层应用需要发送的数据量过大，量子密钥产出量不能满足用来替换会话密钥的要求，那么可以使用第二种方法，只将SSL协议中的预主密钥或主密钥替换为量子密钥。若量子密钥分配网络的密钥分配速率非常高或者上层应用需要传输的数据量较少，量子密钥的产出量能够满足替换会话密钥的要求，那么选择第二种或者第三种方法其中之一，或者两者同时选择。

进一步地，为了实现信息论意义上的无条件安全，系统使用“一次一密”加密方法，需要量子密钥与传输数据长度相同，只有量子密钥的产出量达到一定值时才能实现实时传输，否则需要等待。使用量子密钥替换SSL协议中的会话密钥时，通过设定替换密钥更新的时间间隔，可在条件允许的情况下既能保证一定的实时传输特性，又能保障较高的安全级别。

本发明的优点在于方便实用，在节约成本的同时，又能增强传输数据的安全性。由于SSLVPN技术已广泛应用于电力网络中，本发明在进行量子密钥分配网络和电力系统调度网络双网融合时，并不需要重新搭建专门的VPN服务器，而是延用现有的SSL VPN服务器和客户端。所述的协议过程也不需要修改现有的SSL协议，使用原始协议建立起连接后，只需引入一个消息协商过程用来协商量子密钥使用的相关信息，从量子密钥分配网络中得到量子密钥也是直接替换掉原始连接中的相应密钥，之后的过程与原始的协议一样，整个协议过程操作起来比较简单。

附图说明

图1为量子密钥服务器接收密钥请求后工作流程图；

图2为SSL VPN使用量子密钥的具体协议步骤示意图；

图3为量子密钥分配网络与电网融合后SSL VPN实施实例示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面结合具体实施例，并参照附图，对本发明作进一步的详细说明。

本发明中直接使用现有的SSL VPN协议先建立起安全传输信道，然后再协商关于量子密钥使用的相关参数。参照附图2，SSL VPN客户端与服务器端先建立SSL连接，然后双方再进行一次握手协商。此次协商包括加密算法选择、量子密钥使用形式、量子密钥生存时间等等。所述使用方法的具体协议步骤如下：

（1）通信双方使用传统的SSL VPN协议建立虚拟隧道，这一步中不需要对原始的SSL协议进行修改，其中涉及的认证密钥和主密钥等信息也都是原始协商的。

（2）通信双方根据需要重新协商加密算法以及量子密钥使用的形式（即密钥替代方式）、密钥更新频率（即量子密钥生存时间）等。在这一步中，需要根据具体电力系统调度网络和量子密钥分配网络的特性，决定传输电力数据需要保护的程度，若是非常高安全级别的指令就需要指定加密算法为“一次一密”；若量子密钥分配网络速率受限，为了实现电力数据的及时传输，就需要指定量子密钥的使用形式为替换预主密钥或主密钥。

（3）SSL VPN服务器或客户端向量子密钥服务器发送请求消息，请求传送密钥数据，根据协商的结果，向量子密钥服务器请求一定的量子密钥。当协商的消息中定义了更新的时间，那么在通信双方得到量子密钥服务器传输回来的量子密钥之后，间隔一个更新时间，VPN服务器或者客户端需要重新向量子密钥服务器请求密钥。

（4）量子密钥服务器根据存储的密钥量决定是否启动量子密钥分配过程。当存储器中密钥量小于请求所需的密钥量时，则启动量子密钥分配过程，通信双方的量子密钥服务器通过量子密钥分配网络获得信息论无条件安全的量子密钥，否则不需要启动量子密钥分配过程。

（5）量子密钥服务器向SSL VPN客户端或服务器传送密钥比特。量子密钥服务器准备好任务所需的量子密钥，将密钥比特传输给SSL VPN客户端或服务器。

（6）替换密钥。SSL VPN客户端或服务器接收到密钥后，根据之前协商的信息，用量子密钥替换指定的密钥。

（7）安全数据传输。完成密钥替换之后的过程，若量子密钥替换掉的是会话密钥时，直接使用替换掉的密钥来进行数据加密即可；若替换掉的是预主密钥或主密钥，使用原始的会话建立过程重新计算出会话密钥，之后再进行安全数据传输。

下面结合较常见的电网SSL VPN实例进行详细说明。

如附图3所示，是量子密钥分配网络与电力系统调度数据网融合的示意图。图中电力系统调度数据网包含三个基本子网，分别称为总站、基站一和基站二。电网的总站和两个基站之间，基站与基站之间需要进行安全通信，内容包含任务调度命令以及其他项目信息，如招标项目、基建项目等。为了实现任务的分区分级保护，这里建立调度任务服务器和项目服务器，调度任务服务器用于存储总站向基站发送的调度命令等相关信息的记录和备份，项目服务器用于存储具体的项目的一些相关信息和备份。从安全性角度考虑，调度任务需要实现高安全等级的要求，同时由于调度任务的信息数据量较小，非常适合采用“一次一密”的加密方式。而基本项目信息安全级别要求不是太高，只采用一般的对称加密算法来保证其安全性就足够了，因此只需延用原始SSL协议的加密算法。

如果总站需要向基站一发送电力任务调度命令，这时总站的SSL VPN服务器和基站一的SSL VPN客户端之间先建立起安全连接通道，然后双方进行信息协商，确定采用“一次一密”的加密方法，协商消息包含所需密钥量的大小，密钥用于直接替换会话密钥。然后SSL VPN客户端和服务器各自向量子密钥服务器请求对应的密钥，将所需密钥数量告诉量子密钥服务器，如果量子密钥服务器的存储密钥量满足需求，就直接将所需密钥传输给请求方。否则发回等待信息，并启动量子密钥分配过程，直到存储器中的密钥量达到请求所需的量，再将密钥传输给SSL VPN服务器和客户端。当SSL VPN客户端和服务器接收到密钥后，采用的是“一次一密”的加密方法，直接对电力调度数据进行加密安全传输。

如果总站与基站二之间要传送关于基站电力项目相关的信息，只需采用原始SSL协议的加密算法即可。总站的SSL VPN服务器和基站二的SSL VPN客户端之间先建立起安全连接通道，然后双方进行信息协商，协商消息包含所需密钥量的大小，密钥用于直接替换会话密钥，以及量子密钥更新时间等。然后SSL VPN客户端和服务器各自向量子密钥服务器请求对应的密钥，将所需密钥数量通知量子密钥服务器，如果量子密钥服务器的存储密钥量满足需求，就直接将所需密钥传输给请求方。否者发回等待信息，并启动量子密钥分配过程，直到存储器中的密钥量达到请求所需的量，再将密钥传输给SSL VPN服务器和客户端。当SSL VPN客户端和服务器接收到密钥后，直接替代之前建立连接时得到的会话密钥，即可进行安全通信。从SSL VPN客户端和服务器接收到密钥开始计算直到更新时间为止，如果会话还没有结束，就需要重新请求量子密钥。

Claims (5)

1.一种电网SSL VPN中密钥更新和使用的方法，其特征在于，该方法需要两个网络，一个是量子密钥分配网络，一个是电力系统调度网络；

其中，量子密钥分配网络用来实现密钥的安全分配，实现密钥分配使用BB84、B92、E91单光子协议或者连续变量协议，实现端到端的密钥分发功能，至少需要通信双方各有一个量子密钥分配终端，并共享一条量子信道和一条经典信道，为了实现网络功能，需要使用到可信中继、量子路由器和交换机设备来实现不同地域节点之间通信路径的选择，根据量子信道的实现方式的不同，量子密钥分配网络分为基于光纤的量子网络和基于自由空间的量子网络；

其中，电力系统调度网络是用来实现电力系统安全数据传输和承载调度命令的经典网络，它是根据需要在一定区域内基站间建立的专用局域网络，考虑到不同的基站子网之间的消息互通性和安全性，使用了虚拟专用网技术来将不同局域网络连接起来，组建成电力系统调度网络使用，同时由于电力系统调度网络中任务繁多，为了实现不同任务之间的有效隔离，实现任务分区和分级管理，针对不同的任务建立了不同的虚拟专用隧道，这里的电力系统调度网络的组建至少需要两个局域网，每个局域网中至少需要一个虚拟专用网服务器、多台主机、网线和多台任务服务器，为了组建覆盖面更广的网络，需要将所有的基站-基站之间、基站-主站之间都连接起来，实现全网的安全通信；

为了在电力系统调度网络中使用量子密钥分配网络中的量子密钥，需要将两网进行有效地结合，在融合后的网络中至少包含几个必备的组成部分：量子密钥分配网络、量子密钥服务器、公网、SSL VPN服务器和客户端、调度任务服务器和项目服务器其他数据库服务器；

所述量子密钥分配网络，是指用于传递分配量子密钥的专用网络，其传输通道是光纤信道或者自由空间信道，随着距离的增加和网络规模的扩大，这里还包含为延长距离而采用的可信中继和量子中继，为节约资源和增加灵活性而使用到量子路由器、交换机设备；

所述量子密钥服务器，是指使用量子密钥的节点为接入量子密钥分配网络获取安全密钥的设备，集成了从量子密钥分配网络中获取量子密钥的终端模块，以及密钥存储单元，量子密钥实时地直接提供给应用服务器，或者暂时存储在量子密钥服务器的存储单元中，待需要使用时，再从存储单元中调出，实现对突发应用数据的处理；

所述SSL VPN服务器和客户端，用于实现电力系统调度网络中虚拟隧道的建立和控制，管理VPN所需的加密算法、密钥协商和提取过程，在用户登录时实现用户身份的验证，然后需要在传输数据的两端建立起虚拟专用链接，根据传输信息的需要，量子密钥服务器协商密钥的大小，以及调度策略，待密钥读取进入服务器后对传输或接收的数据进行加解密处理；

所述其他数据库服务器，用于实现具体任务所需的数据库，将不同的任务分区处理，这些服务器主要用于分类存放相应的数据信息，在处理不同的业务时，需要从指定的服务器上读取或者写入数据；

通过实现量子密钥在电力系统调度网络中的使用，最大限度地保障电力数据传输的完整性和机密性，其主要实现方法包含以下过程：

A.消息协商过程：

将量子密钥分配网络得到量子密钥用在电力系统调度网络有三种形式，分别是将量子密钥用来替代SSL协议建立过程中的认证密钥、预主密钥或主密钥、会话密钥，因此在连接建立之后，通信双方需要协商好从量子密钥服务器得到密钥的具体用途，也就是需要指明是用来替换认证密钥，还是替换预主密钥或主密钥，抑或是替换会话密钥的，也可能三者中的两者或者三者全部替换，当量子密钥被用来替换会话密钥时，需要进一步协商在同一个会话之间量子密钥更新的频率，为了进一步实现信息论无条件的安全性需求，需在加密算法集合中引入“一次一密”算法，扩大加密算法的选择性，因此还需要协商是否使用“一次一密”算法信息；

B.量子密钥分配过程：

使用量子密钥服务器在通信双方或者多方之间建立共享的量子密钥，如果不使用存储技术，那么每次启动量子密钥分配过程时，都需要实时的进行密钥分配处理，等到密钥量到达上层协议所需要求时再停止，若是使用了存储技术，那么在每次启动量子密钥分配过程时，需先检验存储器中的密钥量是否满足任务的需要，若是满足需要，则直接调用存储器中的密钥，否则需要开始密钥分配过程，量子密钥分配过程，对是否使用存储器不作要求，对于没有存储器时的情况相当于存储器中存储量恒等于零；

C.电网SSL VPN服务器和客户端调用量子密钥过程：

在建立隧道后，当上层任务信息到达后，SSL VPN服务器和客户端分别需要向量子密钥服务器请求所需的密钥量，当量子密钥服务器中现有的密钥量能满足请求所需，则直接向SSLVPN服务器和客户端传输密钥，否则需要等待，直到量子密钥量达到请求所需的密钥量；

D.密钥替代过程，使用量子密钥替代SSL协议中相应的密钥：

当隧道建立之后，SSL VPN服务器和客户端也已经从量子密钥服务器处提取出所需的量子密钥，这时需要根据具体的需求将提出的量子密钥替代掉原始SSL协议中相应的密钥。

2.根据权利要求1所述的一种电网SSL VPN中密钥更新和使用的方法，其特征在于，过程C中电网SSL VPN服务器和客户端调用量子密钥过程进一步划分为以下的两个基本步骤：

C1.SSL VPN服务器或客户端向量子密钥服务器发送请求密钥的消息，这个消息里面包含任务所需密钥量的大小以及任务编号信息；

C2.量子密钥服务器接收到密钥请求消息后，根据其中的密钥量大小信息检查存储器中的密钥量是否能够满足请求所需，如果已有的现存密钥的数量能够满足请求所需的密钥量，直接将密钥传给SSL VPN服务器或客户端，反之如果密钥的存储不足，说明需要启动量子密钥分配过程，这时协议服务器向SSL VPN服务器或客户端发送等待信息，并且启动量子密钥分配过程，直到存储器中的密钥量达到请求所需的密钥量，将准备好的密钥传送给SSL VPN服务器或客户端，已经在进行的量子密钥分配过程根据具体的需要仍然继续分配量子密钥到适当的时间停止，也可在密钥量达到请求所需的密钥量时停止。

3.根据权利要求1所述的一种电网SSL VPN中密钥更新和使用的方法，其特征在于，过程D中密钥替代过程进一步分为三种情况，分别列出如下：

D1.量子密钥用作认证密钥

在SSL连接建立的过程中，首先需要确认通信双方的身份，这就需要对双方或者其中一方进行身份认证，将量子密钥分配网络得到密钥用在电力系统调度网络的第一种形式就是将量子密钥替换掉此处用作认证身份的认证密钥，具体的作法是，如果在初始连接建立之后，双方进行协商的消息中说明需要替换掉认证密钥，那么，在SSL VPN服务器或客户端得到从量子密钥服务器提出的密钥比特串后，直接用量子密钥替换这一次建立连接时使用的认证密钥，并为下一次连接的建立留下认证所需的密钥材料；

D2.量子密钥用作预主密钥或者主密钥

在SSL连接的建立过程中，将量子密钥分配网络得到密钥用在电力系统调度网络中的第二种形式就是用量子密钥替换掉此处SSL协议中的预主密钥或者主密钥，之后的会话密钥将都由量子密钥经过进一步的计算得到，具体的使用方法是，如果在初始连接建立之后，双方进行协商的消息中说明需要替换预主密钥或者主密钥，那么，在SSL VPN服务器或客户端得到从量子密钥服务器提出的密钥比特串后，直接用量子密钥替换这一次建立连接过程中得到的预主密钥或者主密钥，之后会话过程所需的会话密钥将会使用替换掉的预主密钥或者主密钥进行计算得到；

D3.量子密钥用作会话密钥

在SSL连接建立后，为了保障电力数据传输的完整性和机密性，需要使用AES或DES加密算法对数据进行加密，并且每次会话都要使用不同会话密钥，因此将量子密钥分配网络得到的量子密钥用在电力系统调度网络的第三形式就是将量子密钥替换掉会话密钥，具体的使用方法是，如果在初始连接建立之后，双方进行协商的消息中说明需要替换会话密钥，那么，在SSL VPN服务器或客户端得到从量子密钥服务器提出的密钥比特串后，直接用量子密钥替换这一次建立连接过程中得到的会话密钥，之后的数据加密过程将使用替代后的量子密钥进行加密。

4.根据权利要求3所述的一种电网SSL VPN中密钥更新和使用的方法，其特征在于，将从量子密钥分配网络中得到量子密钥用在电力系统调度网络中的三种形式在不同的网络环境下有选择地使用，为了实现实时传输，减少任务等待的时间，若量子密钥分配网络的密钥分配速率非常低，或者上层应用需要发送的数据量过大，量子密钥产出量不能满足用来替换会话密钥的要求，那么可以使用第二种方法，只将SSL协议中的预主密钥或主密钥替换为量子密钥；若量子密钥分配网络的密钥分配速率非常高或者上层应用需要传输的数据量较少，量子密钥的产出量能够满足替换会话密钥的要求，那么选择第二种或者第三种方法其中之一，或者两者同时选择。

5.根据权利要求4所述的一种电网SSL VPN中密钥更新和使用的方法，其特征在于，为了实现信息论意义上的无条件安全，系统使用“一次一密”加密方法，需要量子密钥与传输数据长度相同，只有量子密钥的产出量达到一定值时才能实现实时传输，否则需要等待；使用量子密钥替换SSL协议中的会话密钥时，通过设定替换密钥更新的时间间隔，在条件允许的情况下既能保证一定的实时传输特性，又能保障较高的安全级别。