3. PSA规范概述
PSA（Platform Security Architecture，平台安全架构）是 Arm 公司于 2017 年前后提出并持续推动的一套物联网安全框架。它并不是一个单独的软件库，也不是某个芯片的专属功能，而是一组面向“资源受限设备”的安全设计原则、规范文档、参考实现与认证体系的集合。理解 PSA，需要先理解它要解决的问题：物联网终端数量庞大、成本敏感、生命周期长、部署环境不可控，传统“把安全交给应用层”的做法难以形成可验证、可复用的安全基线。PSA 的目标，就是把安全能力从零散实现提升为可组合、可度量、可认证的平台能力。
一、起源：从“碎片化安全”到“统一基线”
在 PSA 出现之前，物联网安全实现高度碎片化。不同芯片厂商提供不同的安全启动、密钥存储和加密加速接口；不同 RTOS 和云平台又各自封装一套安全 API。结果是：应用代码难以移植，安全评估难以复用，漏洞修复成本高。Arm 基于其在 Cortex-M 等嵌入式处理器生态中的影响力，联合芯片厂商、RTOS 厂商、云服务商和认证机构，提出 PSA 作为共同语言。
PSA 的起源可以概括为三个驱动力：
- 规模驱动： 物联网设备数量远超手机和服务器，任何单点安全缺陷都会被放大。
- 成本驱动： 终端设备算力、存储、功耗和成本受限，不能照搬服务器安全方案。
- 合规驱动： 各国陆续出台物联网安全法规与基线要求，产业需要可审计的通用框架。
因此，PSA 不是“再发明一个加密库”，而是试图在硬件、固件、系统、应用和认证之间建立分层契约。
二、目标：可移植、可组合、可认证的安全平台
PSA 的核心目标可以归纳为四点：
- 统一安全模型： 用一致的方式描述设备身份、密钥、安全存储、加密服务和可信启动。
- 硬件与软件解耦： 应用通过 PSA API 调用安全能力，不直接依赖某颗芯片的私有寄存器或驱动。
- 安全分级与认证： 通过 PSA Certified 等体系，对芯片、RTOS、设备进行不同等级的安全评估。
- 降低开发门槛： 让中小厂商也能基于参考实现快速构建符合基线的安全产品。
关键理解： PSA 的“平台”属性体现在它同时约束硬件安全能力、固件安全服务和上层应用接口。只实现一个 PSA Crypto 库，并不等于完成了 PSA 平台集成。
三、架构组成：从根信任到应用接口的分层结构
PSA 架构通常被描述为分层模型。最底层是硬件信任根，向上依次是安全启动、安全服务、PSA API 和应用层。下图展示了 PSA 的主要组成及其在物联网设备中的位置关系。
从图中可以看到，PSA 的定位不是替代应用，而是为应用提供一条“从硬件信任根到业务调用”的安全通路。设备身份、密钥、证书和固件更新等敏感操作，都被收敛到 PSA 接口层之下。
四、在物联网安全中的定位：承上启下的安全底座
在物联网安全体系中，PSA 处于“承上启下”的位置。向上，它为应用和云平台提供标准化的安全服务；向下，它依赖芯片的硬件安全能力。与常见安全方案相比，PSA 的差异如下表所示。
| 对比维度 | 传统裸机安全实现 | PSA 平台化方案 |
|---|---|---|
| 接口一致性 | 各芯片私有驱动，移植困难 | 统一 PSA API，应用可跨平台复用 |
| 密钥管理 | 密钥常以明文存于 Flash | 密钥句柄化，优先存储于安全硬件 |
| 安全启动 | 可选、实现各异 | 纳入架构规范，形成信任链 |
| 认证评估 | 缺少统一标准 | PSA Certified 分级认证 |
| 适用对象 | 单一产品定制 | 芯片、RTOS、设备全生态 |
五、典型场景与常见误区
以一个智能门锁为例：设备启动时，Boot ROM 校验安全固件签名，建立信任根；安全固件初始化 PSA Crypto 和 PSA Secure Storage；应用层通过 PSA API 生成设备密钥、申请证书、完成 TLS 双向认证；OTA 升级时，通过 PSA Firmware Update 校验镜像签名。整个过程中，应用代码不需要知道密钥存在哪颗芯片、使用哪种加密加速器。
实践提示： 在集成初期，可以先用 PSA Crypto 的软件实现跑通流程，再逐步替换为硬件后端。这样既能快速验证业务逻辑，也能保留后续安全加固空间。
常见误区一： 认为“用了 PSA Crypto 就等于符合 PSA”。实际上，PSA 还涵盖安全启动、安全存储、证明和固件更新等要求。
常见误区二： 把 PSA 当成某个具体芯片的功能。PSA 是规范与认证体系，芯片只是其硬件承载之一。
常见误区三： 忽略密钥生命周期管理。PSA 强调密钥的生成、使用、导出限制和销毁策略，不能只关注加密算法本身。
总结来看，PSA 规范概述的核心在于：它用分层架构把物联网安全从“零散功能”变成“平台能力”，用统一 API 解决移植问题，用认证体系解决信任问题。对于后续的密码服务集成工程而言，PSA 提供了接口标准、安全边界和认证目标，是理解整个课程技术路线的起点。