为规范全国建设事业IC卡应用管理，促进建设事业IC卡市场健康、有序地发展，保障应用系统的安全性和兼容性，建设部建办
[1999]65号《关于建设事业IC卡应用管理工作的通知》文件明确规定：“为确保各地IC卡应用系统，特别是发卡、充值、清算、资
金划拨等环节高度的安全性，建设事业IC卡应用采取必要的安全管理机制，一律采用部IC办统一提供的密钥管理系统和机具、表具
安全模块”。
建设部为了对全国范围内各城市建设事业一卡通工程和IC卡表具改造工程提供可靠的安全标准，于2004年3月委托北京融通高科
科技发展有限公司开发了建设部第二代IC卡密钥管理系统，为城市交通一卡通和三表应用提供密钥管理的统一标准和IC卡结构的规
范，以便今后建设部能够对各城市通卡使用IC卡进行规范和管理，提高系统的安全性能。在一些当前不具备实施城市交通一卡通的
城市，单行业的IC卡工程也可以采用建设部密钥管理系统。
建设部对各城市交通一卡通系统和IC卡三表系统的密钥进行统一、分级管理可以有效地解决不同城市各自发卡，共享机具，实
现跨城市、跨行业一卡通用的问题。并具有管理简单，实用性强等优点。在本方案中，根密钥由建设部生成和管理，提高了系统的
安全级别，密钥管理采取由建设部IC卡应用管理领导小组办公室、各城市IC卡应用管理中心二级管理体制。
目前，全国范围内的许多城市都准备或正在实施城市交通一卡通和IC卡表具的发展计划，城市交通一卡通工程，也列如了国家
级大卡规划。实施城市交通一卡通的目的在于对城市交通中各行业的收费情况进行统一完善的管理，协调好各行业的运行，并且具
有方便市民出行，结算方便快捷等优点。
保证系统安全是城市交通一卡通成败的关键，是统一行业规范与管理的前提，能防止出现盗卡和伪卡的产生，保证市民的利益
不受损害，对维护政府形象和社会稳定起到关键的作用。
而上述系统中，密钥管理体系直接关系到整个系统的安全控制，通过密钥本身的安全机制和标准加密算法，来保证系统的安全
性能。密钥管理系统一般包括三部分功能：密钥生成、密钥发行、密钥更新。密钥体系是贯穿整个城市交通一卡通工程各个环节的
重要的保护机制。
目前，采用建设部密钥管理系统的北京、上海、大连、广州等地应用情况良好，上海在短短两年时间内已发出了由建设部提供
的 PSAM卡四万片安装在城市的公交车和出租车上，北京、大连、广州也在今年成功启用了上述密钥系统。
建设部IC卡密钥管理系统采取二级管理的模式，分为部级密钥管理系统和城市密钥管理系统。（如图一）
部级密钥管理系统由建设部IC卡应用管理领导小组办公室管理，建设部IC卡应用服务中心具体操作。该系统主要用于生成各类部
级主密钥卡、城市主密钥卡和制造主密钥卡。
1、建设部密钥管理模块
建设部密钥管理中心负责产生全国范围内各行业使用的消费(扣款)密钥，为各城市管理中心产生对应子密钥，并以母卡形式传
输到各个城市，同时应在卡上和主机上记录发卡的有关信息以便跟踪审计，发行流程如下：
第一步：发行部级主控传输母卡，用主控传输母卡发行主控传输卡。主控传输母卡以二进制密文方式存放主控密钥；加密密钥
存放主控密钥。
第二步：将密钥系统所用到的卡片使用主控传输母卡和制造密钥传输卡进行>密钥替换。替换前首先认证空白卡的合法性。
第三步：由建设部的4名主管领导，发行该建设部“城市建设一卡通系统”的领导卡。需要各输入4个字节的密钥和8个字节的保
护口令。产生4张领导卡。
第四步：分别导出领导卡上的密钥，经过一定方式的组合处理，写入总控密钥卡。发行总控密钥卡同时发行总控密钥传输
卡，总控密钥卡的保护密钥与总控密钥传输卡的加密密钥相同，由随机产生。
第五步：录入部级业务分散代码，将业务分散代码写入部级业务总控密钥卡。
部级业务总控密钥卡上以密文二进制方式存放业务分散代码。
第六步：发行部级传输密钥卡1和部级传输密钥卡2,用来为部级总控密钥卡提供直接导出和分散导出的保护密钥。发PSAM卡
传输卡，作用是为PSAM卡的发行提供主控密钥。
第七步：使用部级总控密钥卡和部级业务总控卡发行部级主密钥卡；产生随机数作为部级总控密钥卡的保护密钥，部级业务
总控密钥卡上的分散因子对部级总控密钥卡上的密钥密文分散导出，利用随机数产生部级主密钥卡上的主控密钥，将需要的多组
密钥添加到部级主密钥卡上。
第八步：用部级主密钥卡，部级主密钥传输卡，发PSAM卡传输卡发行PSAM母卡和PSAM卡母卡传输卡。部级传输密钥卡1上的密
钥添加到部级主密钥卡上作为保护密钥，同时作为PSAM母卡的主控密钥；部级主密钥上的消费密钥以密文形式直接装入PSAM母卡。
第九步：用部级主密钥卡，部级传输卡1，部级传输卡2，发PSAM卡传输卡发行城市主密钥卡。用户卡母卡上的密钥分散导
出，发行用户卡，分散代码为用户卡卡号后8个字节。
第十步：将充值SAM卡母卡传输卡上的密钥分散结果作为充值SAM卡的应用维护密钥，然后将充值SAM卡母卡上的密钥密文直
接导出装入充值SAM卡,分散代码为充值SAM卡复位信息的后8个字节。
主要功能有：产生城市建设一卡通系统的消费主密钥和其他部级主密钥，发行和管理部级领导卡，主密钥卡，各城市主密
钥卡，部级母卡，发行城市建设一卡通系统的PSAM卡。
城市级密钥管理系统由经部IC办授权并经城市行政主管部门认可的发卡机构管理和操作。该系统主要用于生成管理城市内各
有关应用行业的各类消费安全认证卡、充值安全认证卡、用户卡和管理卡。
在应用项目启动之前，由建设部IC卡应用服务中心统一向当地发卡机构提供密钥系统和专用空白卡片。其中密钥系统包括:一
张光盘(密钥管理系统程序),一张软盘(密钥管理系统资料电子版),六张母卡(发PSAM卡传输卡,PSAM母卡,PSAM母卡传输卡,主控传
输卡,城市主密钥卡,城市主密钥卡传输卡)；专用空白卡片用来生成消费、充值、交易安全认证卡，各城市生成用户卡和管理卡所
需的空白卡片预装有建设部制造主密钥。而城市用户卡中的消费密钥由建设部IC卡服务中心统一提供给城市发卡机构，充值密钥
和交易密钥由应用城市密钥管理系统自行生成。（如图二）
2、城市密钥管理模块
城市密钥管理模块安装在各城市IC卡应用管理中心，主要功能是生成和安装用户卡、充值SAM卡上的各种密钥，发行流程如下：
第一步：发行城市主控传输母卡，用主控传输母卡发行主控传输卡。主控传输母卡以二进制密文方式存放主控密钥；加密密
钥存放主控密钥。
第二步：将密钥系统所用到的卡片使用主控传输母卡和制造密钥传输卡进行密钥替换。替换前首先认证空白卡的合法性。
第三步：由城市建设一卡通城市发卡管理中心的4名主管领导，发行该城市“城市建设一卡通系统”的领导卡。需要各输入
4个字节的密钥和8个字节的保护口令。产生4张领导卡。
第四步：分别导出领导卡上的密钥，经过一定方式的组合处理，写入城市总控密钥卡。同时产生城市总控密钥传输卡，同时
在城市总控密钥卡传输卡上存放总控密钥卡的保护密钥，作为加密密钥。
第五步：录入城市业务分散代码，将业务分散代码写入城市业务总控密钥卡。
城市业务总控密钥卡上以密文二进制方式存放业务分散代码。
第六步：使用城市总控密钥卡及城市总控密钥卡传输卡和城市业务总控卡发行城市交易密钥卡和城市交易密钥卡传输卡。
第七步：用城市交易密钥卡，城市交易密钥卡传输卡，城市主密钥卡，城市主密钥卡传输卡发行用户卡母卡。(直接密文导
出密钥，在用户卡母卡上分别建立两个目录ADF，将母卡上的密钥直接导入，不添加保护密钥)
第八步：用城市交易密钥卡，城市交易密钥卡传输卡，城市主密钥卡，城市主密钥卡传输卡发行充值SAM卡母卡和充值SAM卡
母卡传输卡。(直接密文导出密钥，在充值卡母卡上分别建立两个目录ADF，将母卡上的密钥直接密文导入，ADF下的保护密钥相
同，同时将保护密钥添加到充值SAM卡传输卡上)
第九步：用户卡母卡上的密钥分散明文导出，发行用户卡，分散代码为用户卡卡号后8个字节。
第十步：将充值SAM卡母卡传输卡上的密钥分散结果作为充值SAM卡的应用维护密钥，然后将充值SAM卡母卡上的密钥密文直接
导出装入充值SAM卡，分散代码为充值SAM卡复位信息的后8个字节。
主要功能是对指定的卡生产商提供的空白卡进行统一管理，发行和管理本城市的各行业的PSAM卡ISAM卡、TAC卡、以及城市一
卡通系统的用户卡，提供系统数据记录的增、删、改查和报表生成等功能，并且提供连机帮助信息。
城市在收到服务中心提供的密钥系统后，由城市自主发行领导卡，并用城市主密钥卡及传输卡发行用户卡和操作员卡以及
ISAM卡，用PSAM母卡及传输卡发行PSAM卡。（如图三）
建设部密钥管理系统的开发和使用，避免了城市间盲目上马，低层次重复开发所造成的资源和资金浪费，为应用系统各个环
节的安全性提供了强有力的保证,是城市交通一卡通工程必不可少的重要组成部分。
附名词解释：
SAM卡：安全认证卡
ESAM：表具类嵌入式安全模块
PSAM卡：消费SAM卡，内置于脱机消费终端（POS机）
ISAM卡：充值SAM卡，内置于充值主机。
TAC 卡：交易验证卡，便于城市IC卡管理中心、各行业管理中心检验用户卡充值、消费交易记录的合法性。
COS ：IC卡操作系统。
图三
图二
图一
