1. 简述
交通部密钥体系主要目的是实现全国高速公路非现金收费的互联互通。整个体系分成两个级别进行管理：国家级密钥管理和省级密钥管理。
国家级密钥管理主要负责管理国家级密钥，分发管理省级密钥母卡、传输卡；分发管理PSAM卡、OBE-SAM一次发行母卡；完成OBE-SAM初始化。
省级密钥管理主要负责省级建设本省的密钥体系；申领省级密钥母卡、省级密钥传输卡；申领PSAM卡及OBE-SAM一次发行母卡；发放和管理本辖区内各种密钥母卡、PSAM卡、CPU用户卡，并对上述各类卡片的使用进行注册登记和监控管理。
2. 发行方标识
发行方标识是指OBE-SAM中系统信息文件（EF01）的第1~8字节和CPU用户卡中发行基本数据文件（0015）的第1~8字节。发行方标识由收费公路电子密钥管理单位统一分配并登记备案。发行方标识编码由4字节“区域代码”、2字节“运营商标识”、1字节“保留”和1字节“密钥分散标识”组成，如下图所示：
注：
区域代码为省、直辖市、自治区的唯一标识，用两个汉字表示。
运营商标识为省内运营商的唯一标识，采用压缩BCD编码方式，由2个字节组成：第一个字节为省级行政区划代码，按照GB/T2260执行；第2个字节为省内运营商的唯一标识，由收费公路电子收费密钥管理单位分配并登记。
保留暂定为1个字节0x00。
密钥分散标识的定义：
01 通过两级分散得到卡片密钥，第一级采用区域代码（复制一次变为8个字节）作为分散因子，第二级采用CPU卡内部编号作为分散因子。
02 通过三级分散得到卡片密钥，第一级采用区域代码（复制一次变为8个字节）作为分散因子，第二级采用运营商标识（补“0xFF”变为8个字节）作为分散因子，第三级采用CPU卡内部编号作为分散因子。
03 通过三级分散得到卡片密钥，第一级采用运营商标识（补“0xFF”变为8个字节）作为分散因子，第二级采用区域代码（复制一次变为8个字节）作为分散因子，第三级采用CPU卡内部编号作为分散因子。
3. 密钥分散关系
3.1. 密钥产生
部级：
省级：
3.2. 密钥关系
从层次上看，可分为部级（红色虚线矩形框内）、省级（红色虚线椭圆内）两个层次的密钥
从来源看，可分为部级定义密钥（绿色框）跟省级定义密钥（蓝色框）
从图中可知，OBU中密钥皆为部级定义，用户卡中既有部级也有省级定义密钥
3.3. PSAM卡认证用户卡
4. 主要设备密钥组成
4.1. CPU用户卡密钥组成
CPU卡的密钥主要包括：
密钥名称
作用
来源
卡片主控密钥
在卡片MF下进行文件创建（创建持卡人基本数据文件等）
省级自己生成
卡片维护密钥
用于MF区域下的应用数据（如持卡人数据文件等）维护
省级自己生成
应用主控密钥
在DF01目录下进行文件创建（密钥文件、卡片发行基本数据文件等）
省级自己生成
应用维护密钥
在DF01目录下的应用数据维护
省级自己生成
外部认证子密钥
认证通过后对DF01下的联网收费信息文件等进行更新
根据国家下发的省级密钥生成
内部认证子密钥
用于终端设备验证卡片的合法性
根据国家下发的省级密钥生成
消费子密钥1
用于扣款认证操作
根据国家下发的省级密钥生成
消费子密钥2
用于扣款认证操作
根据国家下发的省级密钥生成
圈存子密钥1
用于充值认证操作
省级自己生成
圈存子密钥2
用于充值认证操作
省级自己生成
TAC子密钥
用于生成交易后的TAC交易认证码
根据国家下发的省级密钥生成
应用PIN
个人口令，即卡片个人设定的密码
一般国家统一规定
应用PIN解锁子密钥
应用PIN被锁后可用该密钥进行解锁
省级自己生成
应用PIN重装子密钥
用于修改应用PIN
省级自己生成
注：主控密钥一般用于文件的创建，维护密钥一般用于文件内容本身的修改
4.2. OBE-SAM密钥组成
OBE-SAM内的主要密钥包括：
密钥名称
作用
来源
MF主控密钥
控制MF下文件的建立和密钥的写入
国家生成
MF系统维护密钥
在MF区域下用于产生更新二进制文件或记录命令的MAC
国家生成
DF01主控密钥
控制DF01下文件的建立和密钥的写入
国家生成
DF01应用维护密钥
在DF01目录下用于产生更新二进制文件或记录命令的MAC
国家生成
DF01外部认证密钥
用于验证路侧设备的合法性（一般与PSAM卡的对应密钥进行认证）
国家生成
DF01应用认证密钥
用于产生读二进制文件或记录命令的MAC
国家生成
DF01应用加密密钥1
用于加密读取车辆信息文件信息。
国家生成
DF01应用加密密钥2
用于加密读取车辆信息文件信息。
国家生成
DF01应用加密密钥3
用于加密读取车辆信息文件信息。
国家生成
4.3. PSAM卡密钥组成
PSAM卡业务密钥主要包括：
密钥名称
作用
来源
CPU卡外部认证密钥
认证通过后对DF01下的联网收费信息文件等进行更新，如写入入口信息、出口信息等（与CPU用户卡/OBE-SAM 的对应密钥进行认证）
国家生成
CPU卡消费子密钥1
用于扣款认证操作（与CPU用户卡的对应密钥进行认证）
国家生成
CPU卡消费子密钥2
用于扣款认证操作（与CPU用户卡的对应密钥进行认证）
国家生成
OBU认证主密钥
用于产生读二进制文件或记录命令的MAC（认证读）（与OBE-SAM的对应密钥进行认证）
国家生成
OBU加密主密钥
用于对OBU内车辆信息进行加解密，一般用于车道对OBU车辆等信息的解密（与OBE-SAM的对应密钥进行认证）
国家生成
4.4. 下发到省级的密钥
一般部里给到省的密钥包括以下：
CPU卡外部认证密钥
CPU卡内部认证密钥
CPU卡消费密钥1
CPU卡消费密钥2
CPU卡TAC子密钥
OBE-SAM MF系统维护密钥
OBE-SAM DF01应用维护密钥
这些密钥一般是以 母卡+传输卡 的形式给到省级。
对于OBU，则提供：
MF主控密钥
MF系统维护密钥
DF01主控密钥
DF01应用维护密钥
DF01外部认证密钥
DF01应用认证密钥
DF01应用加密密钥1
DF01应用加密密钥2
DF01应用加密密钥3
这些密钥一般是以OBE-SAM一次发行母卡的形式给到省级（后来有一种方式是ITS直接把这些密钥放入密钥机给到省级）。