ETC与轨道交通AFC安全合规解读：国密合规要求与收费数据防泄露

ETC与轨道交通AFC安全合规解读：国密合规要求与收费数据防泄露｜安当方案

引言：ETC与AFC收费安全的关键，不在"挡住几个黑产"，而在"密钥受控+数据加密+国密合规"三位一体

高速ETC与轨道交通AFC（自动售检票）系统，每天处理数以千万计的通行交易与乘车交易。每一笔交易背后，是车牌、OBU编号、通行路径、计费金额、支付信息等敏感数据。这些数据一旦泄露，不仅影响个人隐私，更可能被用于逃费、套卡、伪造交易。

收费系统的数据链条：

车载单元OBU/乘车卡 → 路侧天线/闸机 → 清分结算中心 → 银行对账

这条链路的特殊性在于：

密钥是核心资产——ETC密钥管理系统（PSAM卡、ESAM卡、TAC密钥）一旦失控，整个收费体系都会失守；
国密是硬要求——ETC与AFC的密钥体系须满足国密合规要求（SM2/SM3/SM4）；
数据是流动的——收费数据跨网点、跨中心、跨银行流转，任何明文环节都可能泄露。

更现实的是，收费系统 不能断——高速公路在跑、地铁在开，任何安全改造都必须是零中断的。

CAS-KMS（密钥管理与证书签发）与HSM、KSP、TDE正是为解决"密钥受控+数据加密+国密合规"三位一体的难题而设计，也是安当在收费系统安全领域的核心方案。

一、明确分工：国密合规要求什么，产品支撑什么

首先厘清ETC与AFC的国密合规要求与产品角色的对应：

✅ 关键认知：ETC与AFC的国密合规不是"换几片国产芯片"，而是"密钥体系受控+交易数据加密+全链国密化"的系统工程。

二、ETC密钥管理系统的国密合规建设

2.1 ETC密钥体系的国密改造

ETC密钥管理系统是收费安全的中枢，国密合规要求密钥的生成、存储、下发、使用全程受控：

国密ETC密钥体系：
根密钥（HSM生成，永不导出）
├── PSAM密钥（路侧设备，CA签发）
├── ESAM密钥（车载OBU，CA签发）
└── TAC密钥（交易认证，动态派生）

2.2 密钥管理系统的核心能力

# ETC密钥管理系统能力
etc_key_management:
key_generation: "HSM内生成，符合GM/T 0028"
key_storage: "根密钥HSM保护，永不导出"
key_delivery: "PSAM/ESAM密钥CA签发，安全下发"
key_rotation: "按国密合规要求自动轮换"
audit: "密钥全生命周期操作审计"

supported_algorithms:
– "SM2（签名/密钥协商）"
– "SM3（杂凑）"
– "SM4（对称加密）"

2.3 路侧设备与OBU的证书管理

每个路侧天线（RSU）、车载单元（OBU）通过CAS-KMS签发设备证书，确保设备身份可信、交易来源可验证：

# 收费设备证书管理
toll_device_certificates:
– device: "RSU-京藏高速-01号门架"
cert_algorithm: "SM2-P256"
usage: "交易会话加密+设备认证"
– device: "AFC闸机-2号线-人民广场站"
cert_algorithm: "SM2-P256"
usage: "乘车交易签名+设备认证"

三、收费数据的加密与防泄露

3.1 交易数据的全链路加密

收费数据从路侧/闸机到清分结算中心，全程SM4加密+SM2签名：

OBU/乘车卡 → 天线/闸机（SM4-GCM加密）→ 收费站/车站（SM2签名）
↓
清分结算中心（验签+解密+TDE存储）

3.2 清分结算数据库TDE加密

清分结算中心汇聚全路网/全网交易数据，通过TDE透明加密零改造加密存储：

— 清分结算数据库TDE加密
CREATE TABLESPACE toll_clearing
ENCRYPTION 'y'
DEFAULT ENCRYPTION ALGORITHM 'SM4-CBC'
ENGINE=InnoDB;

ALTER TABLE transaction_record TABLESPACE toll_clearing;
ALTER TABLE route_path TABLESPACE toll_clearing;
ALTER TABLE settlement_detail TABLESPACE toll_clearing;

3.3 收费数据防泄露的访问控制

四、密钥管理与审计追溯

4.1 KSP统一密钥管理

ETC与AFC系统的加密密钥统一由KSP管理，根密钥HSM保护，配置自动轮换：

# 收费系统密钥管理策略
toll_key_management:
key_hierarchy:
root_key: "HSM保护，永不导出"
toll_kek: "交易数据加密密钥，90天轮换"
psam_keys: "路侧PSAM密钥，按合规要求轮换"

encryption_keys:
– purpose: "交易数据存储加密"
algorithm: "SM4-CBC"
rotation: "90天自动"
– purpose: "交易传输加密"
algorithm: "SM4-GCM"
rotation: "会话级"

4.2 交易与操作审计

收费数据的访问与交易全程审计，日志SM3签名链防篡改：

收费系统审计日志签名链：
日志#1: [hash0] → SM3("RSU_上传通行交易_冀A12345")
日志#2: [hash1] → SM3("AFC闸机_上传乘车交易")
日志#3: [hash2] → SM3("清分中心_导出结算明细")
… 任一条被篡改，后续hash链全部断裂

五、真实案例：某省级ETC系统国密合规改造

背景

某省ETC系统（覆盖2,000条车道、1,500万OBU用户），需满足国密合规要求与收费数据防泄露要求，同时保障高峰通行不中断。

实施步骤

成效

• 密钥体系全面国密化，符合GM/T系列标准要求；
• 2,000条车道设备身份全部可信，交易来源可验证；
• 收费数据全程SM4密文存储，性能损耗约3%，高峰无感；
• 满足国密合规要求，收费数据防泄露能力全面提升。

六、未来方向：向"收费数据安全智能化"演进

ETC与AFC收费安全正在与更先进的技术融合：

• 收费数据中台：加密+脱敏+审计一体化；
• 全网密钥态势感知：密钥与交易安全联动；
• 量子安全收费数据：预留后量子算法保护长期数据。

结语：密钥受控+数据加密+国密合规，才是收费安全的本质

ETC与轨道交通AFC的收费安全，不是"换几片国密芯片"就能完成。密钥体系受控、交易数据加密、全链国密合规——三者协同，才能确保每一笔通行费、乘车费的数据安全。

CAS-KMS密钥管理、HSM根密钥保护、TDE数据加密、KSP统一轮换，正是这一体系的四大支柱，也是安当为收费系统国密合规提供的坚实底座。

文章作者：安当技术运营