3. 密码基础设施总体架构设计方法

密码基础设施不是若干密码设备的简单堆叠，而是一套围绕密钥全生命周期、密码运算服务、证书与信任管理、审计与运维构建的体系。总体架构设计要回答四个问题：能力如何分层、服务如何暴露、节点如何分布、故障如何承受。本节围绕分层架构、服务化架构、集中式与分布式取舍、高可用与容灾四条主线，给出一套可落地的企业级参考架构与设计原则。

一、分层架构：把"变"与"不变"分开

推荐采用五层结构，自下而上依次为：密码资源层、密码服务层、密码能力层、密码应用接入层、管理与审计层。分层的价值在于隔离变化——底层硬件与算法实现可能随国产化替代、算法迁移而变动，而上层业务调用接口应保持稳定。

密码资源层包含密码机（HSM）、签名验签服务器、时间戳服务器、密钥管理系统（KMS）的存储后端，以及根CA/子CA的签名设备。这一层关注的是"算力与密钥的物理承载"，关键指标是并发密码运算能力（如SM2签名 TPS）、密钥保护等级（是否满足FIPS 140-2 Level 3或国密二级以上）与设备冗余度。

密码服务层是架构的核心，负责把底层设备能力抽象为标准化服务：对称加解密、非对称签名验签、摘要与HMAC、随机数、密钥派生、证书签发与吊销。它对外屏蔽设备差异，对内实现负载均衡与故障转移。密码能力层则进一步封装为业务语义接口，例如"电子签章""数据脱敏加密""数据库透明加密""身份认证令牌"。

应用接入层提供统一接入方式：REST/gRPC接口、SDK、密码服务代理（Sidecar）、以及面向数据库与存储的透明加密网关。管理与审计层负责密钥策略、权限、证书生命周期、操作留痕与合规报表，是等保与密评关注的重点。

二、服务化架构：从"设备视角"转向"服务视角"

传统做法是业务系统直接调用某台密码机的IP，一旦设备更换或扩容，业务就要改配置。服务化架构要求所有密码运算通过统一服务入口访问，业务只依赖服务名与接口契约，不感知后端设备。实现要点有三：

• 接口标准化：定义统一的请求/响应结构，例如 {service:"SM2_SIGN", keyId:"k-1001", data:"base64", alg:"SM3withSM2"}，返回签名值与密钥版本号。
• 密钥标识与版本：业务只持有 keyId，不持有密钥本身。密钥轮换时新增版本，旧版本保留用于解密历史数据，实现平滑迁移。
• 服务注册与发现：密码服务节点注册到注册中心，接入层按健康状态与负载动态路由。

服务化的直接收益是密钥不出密码边界、业务零改造扩容、以及统一的调用审计。代价是引入了一层服务总线，需要额外考虑其自身的高可用与性能损耗（通常单跳增加1～3ms，可通过长连接与批处理缓解）。

三、集中式与分布式的取舍

这是架构设计中最需要权衡的一步。集中式指全企业共用一套密码服务集群与密钥库；分布式指各区域、各业务域自建密码节点。二者并非二选一，实践中常用"逻辑集中、物理分布"的混合模式。

取舍判据可归纳为：若业务对签名时延要求低于10ms且跨地域访问频繁，优先在区域部署密码服务节点，但密钥的生成与根密钥仍集中在总部KMS，通过密钥分发协议下发工作密钥；若业务集中在单一数据中心且密钥数量可控，集中式更利于合规与运维。无论哪种模式，根密钥与CA私钥必须集中、离线、多人分持，这是不可下放的安全底线。

四、高可用与容灾设计

密码基础设施是"关键路径依赖"，一旦不可用，签名、登录、支付等业务会连锁中断。可用性设计遵循"无单点、可降级、可切换"三条原则。

在节点级，密码机采用主备或集群模式，前置负载均衡健康检查间隔建议5秒、失败阈值3次；在服务级，密码服务层至少部署3个实例，跨机架分布，避免同一交换机故障导致全挂；在数据级，密钥库采用主从同步加定期全量备份，备份介质离线保存。

容灾按RTO/RPO分级：同城双活要求RTO≤5分钟、RPO≈0，通过同步复制实现；异地灾备要求RTO≤30分钟、RPO≤5分钟，采用异步复制。切换演练应至少每半年一次，重点验证密钥可用性、证书链完整性与业务侧连接恢复。需要特别注意的是，灾备站点的密码设备必须提前完成密钥同步与算法一致性校验，否则切换后会出现"设备在、密钥不在"的假可用状态。

落地时建议先画出业务密码调用清单，标注每类调用的时延要求、密钥归属与合规等级，再据此决定哪些服务集中、哪些下沉。架构不是一次画完的，而是在密钥轮换、算法迁移和容灾演练中不断被验证和修正的。