纯国产国密门禁系统简易清单及技术方案

这份纯国产国密门禁系统简易清单 已经把"自主可控+国密信任链"的骨架搭得很清楚了。我帮您把它从"设备罗列"升级为可进等保/分保方案、可施工、可验收 的结构化说明，重点把国密信任链 和工程落地点讲透------这两点是甲方评审和密评最容易抠的地方。

基于国产硬件 + SM1/SM7国密算法 + PSAM信任体系 的全栈自主可控门禁系统，实现"密钥不出卡、认证不可仿、审计不可抵赖"，满足等保三级/分保及党政军、金融、涉密单位对身份鉴别、通信安全、数据完整性的强制要求。

国密门禁和普通IC卡门禁的本质区别，不在锁，而在三层密钥+硬件安全模块：

复制代码

【根】密钥管理系统（多奥自研）
   ↓ （母卡派生，物理隔离保管）
【设备认证层】PSAM安全模块  → 焊/插在每台控制器、读头、发卡器里
   ↓ （双向动态认证，SM1）
【用户凭证层】FM1208 国密CPU卡（SM1算法）
   ↓
【执行层】以太网四门国密控制器 → 电锁

设备	型号	角色
密钥管理系统	多奥自研	母卡生成、PSAM初始化、密钥分发、作废审计------必须专人专室操作
B/S国密门禁管理软件	多奥自研	人员/权限/事件/报表；B/S便于分权（密管员/管理员/审计员三权分立）
服务器	纯国产	国产CPU（飞腾/鲲鹏/龙芯）+ 国产OS（银河麒麟/统信）+ 国产数据库，整机关

设备	型号	角色
国密门禁发卡器	DAIC-FC4	插PSAM子卡，对个人化FM1208卡写扇区/密钥/权限
USB国密通信器	DAIC-SU1	关键但容易被忽略：PC↔PSAM之间的安全通道，避免明文走USB；发卡/维护必用
USB加密狗	DAIC-USB_Key	软件授权+管理员身份Key（可配成"插Key才允许密管操作"）

⚠️ 很多项目在这里省：直接用普通读卡器发卡 → 密钥走明文USB → 国密链断裂。DAIC-SU1 是这条链的"守门员"。

设备	型号	角色
以太网四门单向国密门禁控制器	DAIC-204T-GM	四门单向（进刷卡/出按钮）；国产主控+国密芯片；TCP/IP回平台；脱机存记录
SM1国密CPU门禁读卡器（带键盘）	DAIC-RW-GM	读FM1208（SM1）+ 键盘输密码；韦根/485回控制器；键盘用于"卡+密码"双因子
国密CPU卡	FM1208（SM1）	用户卡；不可复制
PSAM安全模块	PSAM	插在控制器/读头/发卡器里，设备合法性锚点
门禁铁箱+电源	DAIC-P	12V梯控/门禁专用，防雷防脉冲
门禁配件	---	锁、按钮、门磁、线材

双因子场景：卡+密码（键盘）、卡+生物（若扩展指纹/人脸国密终端）------ 涉密小门常用"卡+密码"。

PSAM生命周期制度
- 母卡：绝密，物理隔离，双人保管
- 子卡：每台控制器/读头/发卡器各1，台账登记序列号
- 写进《项目实施---运维移交文档》
三权分立（等保/分保常查）
- 密管员：只管密钥/PSAM，不管人员
- 管理员：只管权限/人员，不管密钥
- 审计员：只看日志，不改配置
DAIC-SU1 不能省

发卡、密钥下发、PSAM初始化必须通过 DAIC-SU1，不能拿普通USB读卡器代替------否则"国密"只停留在嘴上。
网络与平台国产化闭环

服务器、OS、数据库、网卡全部国产；门禁控制器走国产交换机+国产化布线，避免"软件国密、硬件后门"。
脱机兜底

国密控制器应支持脱机照常开门+记录缓存 ，网络/平台宕机不影响通行，但权限变更 （挂失/新卡）需等联网同步------这点要写进运维SLA，避免业务误会。

💡 如果您这份清单是要进等保三级/分保方案，建议再补两样东西就不会被挑战：

"密评支撑说明"：逐条对应 GM/T 0054（信息系统密码应用基本要求）------密钥管理、身份鉴别、通信加密、存储加密

PSAM台账单+密钥托管流程（甲方最怕"密钥在谁手上"）