热加工工（技师）三色笔记

职业名称密码工程技术人员，编码为四段式数字编码，共设初级、中级、高级三个等级，高级是最高档。

初级与中级各设三个职业方向，高级不设方向：密码产品与系统设计开发、密码系统集成与服务、密码产品与系统检测评估管理三套内容，在高级合并为一套统一要求。

培训学时：初级九十六、中级一百二十八、高级一百六十标准学时，三级递增，高级最长。

申报高级有三条主路：取得工程师职称后从事本职业技术工作满三年；具备硕士、第二学士学位、本科或学士学位，取得中级等级后从事满四年；具备博士学位，取得中级等级后从事满一年。技工院校毕业生按国家有关规定申报。

考核仍为理论与专业能力两场，均六十分合格；理论不少于九十分钟，专业能力不少于一百五十分钟。

高级八项功能，压成八个字：析、设、审、评、管、测、标、训。

三个“审定”要记牢：审定密码产品安全性设计文档、审定密码系统功能模块详细设计、审定密码总体方案与管理方案。审定是高级的专属动作，中级只有编制。

两个数字：密码模块安全等级三级及以上的密码产品检测，是高级的活；二级是中级。

三个“体系”：安全防护与保障技术体系、安全管理体系、应急响应体系，高级要把三个体系一起规划。

理论卷：职业道德十分、基础知识十分，两块合计二十分，是三个等级里最低的。

理论卷八项功能：算法五、产品五、总体规划与架构十、系统集成应用部署运维十、密码服务十、密码检测认证与评估十、密码管理十五、密码技术培训与咨询十五。

专业能力卷：算法五、产品五、规划架构二十、系统集成运维十、密码服务十、检测认证十、密码管理二十、培训咨询二十。

与中级对比：算法从三十降到五，产品从三十降到五，规划从十升到二十，培训从五升到二十。四条曲线一升一降，画出从“做事”到“定事”的转折。

七条守则不变：爱党爱国，立场坚定；遵纪守法，严守秘密；坚持原则，诚实守信；忠于本职，爱岗敬业；刻苦钻研，一丝不苟；精益求精，甘于奉献；严谨细致，守正创新。

高级的职业道德，重点在第一条与第三条。立场坚定不是口号：密码是国家安全的基础支撑，站错位置，技术越好危害越大。坚持原则落在审定上：该否的方案要否，该签的报告要签。

到了这一级，保密的对象从“一份文档”变成“一套体系”：密钥体系、检测方法、评估结论、监管数据，任何一项泄露都是系统性风险。

基础知识十分，三组内容与初中级一致，考法转向“判断依据”。

专业基础八项：密码数学、程序设计、计算机组成原理、操作系统、计算机网络、数字电路、芯片设计、通信编码。高级不要求亲手实现，但要求能判断设计是否成立。

技术基础七项：网络安全、密码学、密码软硬件模块、密码产品和系统、密码应用规划与设计、密码检测与评估、密码标准。七项要能拼成一张图。

法律法规十四项不变，高级要多看一层“定位”：密码法管什么、商用密码管理条例管什么、数据安全法与个人信息保护法在密码场景下怎么衔接。

第一项职业功能，理论权重五、能力权重五，是八项里分值最低的一段，但要求最高：分析与达标。

高级不做“实现步骤”，做安全与效率分析：算法为什么安全、效率瓶颈在哪、抗侧信道攻击的基本要求怎么达到。

这一段是“看一眼就知道行不行”的能力，分数低但门槛高。

安全与效率是一对矛盾：轮数多则安全、速度慢；实现紧凑则快、易泄露。高级的本事，是找到这对矛盾的可行点并写进报告。

抗侧信道的基本要求包括：常数时间实现、掩码、隐藏、噪声注入。四项不是全都做，而是按场景选配。

分析报告要给出三样：结论、依据、边界条件。只给结论的分析，等于拍脑袋。

验证正确性看功能，验证安全性看攻击面。两者都过，才叫“实现达标”。

第二项职业功能，理论权重五、能力权重五。高级从“详细设计”升级为总体设计与审定。

这一段的关键词是“审定”：审定安全性设计文档，审定安全防护功能的设计、开发和测试方案，审定系统各功能模块详细设计。

审定不是签字，是挑得出问题。挑不出问题的审定，就是失职。

总体技术方案回答五个问题：做什么、为谁做、用什么做、怎么验、怎么退。第五个问题最容易被省略，也最容易被追责。

安全性分析评估要看三条线：密钥线（产生、存储、使用、销毁）、边界线（密码边界是否清晰）、故障线（异常时是否降级为明文）。

第三条线最致命：很多系统不是被攻破的，是故障时“自动退回明文”自己让开的。

审定改进方案时，先看它是否影响既有合规结论；影响合规的改动，必须重新评估。

第三项职业功能，理论权重十、能力权重二十，是高级最重的三块之一。工作内容分总体规划与架构设计。

高级在这一段做三件事：审定等级与策略、设计架构、制订持续改进与优化升级方案。

“审定”意味着要对结论负责：密码应用安全等级定得对不对、密码系统安全策略够不够、总体方案可不可行。

审定总体方案看四性：合规性（是否满足法律法规与标准）、完整性（该有的措施是否齐全）、可行性（成本与工期是否可承受）、可持续性（三年后是否还成立）。

架构设计要处理三对关系：集中与分散（密钥管理）、通用与专用（算法选型）、自建与租用（服务模式）。三对关系没有标准答案，只有场景答案。

关键技术攻关通常出现在“旧系统不能改、新要求必须满足”的夹缝里，这类方案最考验架构能力。

架构的寿命由“变化”决定：能被改动的架构，才活得久。

第四项职业功能，理论权重十、能力权重十。高级的工作内容从三段扩成四段：系统集成、密码工程建设、应用部署、运维保障。

高级的动作是编制、审核、修订、核验、处置：编审核修订实施方案与测试方案，核验工程建设合规性，处理建设过程中的故障与异常。

“密码工程建设”是高级新增的一段，中级没有。工程与集成的差别在于：集成是把设备连起来，工程是把项目建起来。

确定实施边界是第一步，也是最重要的一步。边界划大了，成本失控；划小了，等保测评过不了。

工程建设要过三关：方案关（能不能批）、实施关（能不能建）、验收关（能不能用）。三关的标准不同，不能混用。

处理建设期异常的原则是“先保安全，再保进度”。为了赶工期临时绕过密码措施，是行业里最常见的隐性债务。

审核别人的方案，先看它有没有“回退路径”，没有回退的方案一律不签。

部署审核看三样：文档是否可执行、方案是否可回退、指标是否可测量。三条里最常缺的是“可测量”。

运维策略的核心是“分级”：核心系统与一般系统的巡检频率、告警阈值、演练强度都不同，一套策略打天下必然失效。

预案外突发事件，是高级的专属考题。处理原则是：先隔离、再定级、后处置、全程留痕。

判定制度是否满足等级要求，看四件事：有没有责任人、有没有频次、有没有记录、有没有复盘。四件缺一件，制度就是墙上的纸。

第五项职业功能，理论权重十、能力权重十。工作内容分电子认证服务与密码功能服务。

高级从“运维服务”升级为设计服务：编辑证书模板、确定自定义扩展的对象标识符、管理数字证书认证系统并做配置变更、保障业务连续性。

“业务连续性”是这一级的关键词：不是“不出故障”，而是“出了故障业务不断”。

证书模板与对象标识符，决定了证书能承载什么信息。扩展设计错，后面所有依赖该字段的业务都要改。

业务连续性看四个指标：恢复时间、恢复点、切换成功率、演练覆盖率。四个指标要写进服务等级约定。

功能服务评审的四个维度：功能（有没有）、性能（快不快）、安全性（稳不稳）、适用性（合不合场景）。

复杂工程问题的沟通，重点不是讲技术，是讲清“代价与取舍”。

第六项职业功能，理论权重十、能力权重十。高级在这一段做审定与制修订：审定检测方案与报告，制修订认证实施细则，审定测评方案与评估报告。

两个升级点要记：产品检测从“二级”升到三级及以上；认证从“执行检查”升到制修订实施细则。

这一段的分量不在测，在判：判定不合格项的风险，提出整改建议。

审定检测方案看三点：覆盖是否完整、判据是否明确、样本是否代表性。三点缺一，报告就站不住。

三级及以上的产品检测，难点在攻击潜力评估：要判断攻击者的能力假设是否合理，假设错了，结论就偏了。

优化建议要可执行：改哪一版、改哪个模块、改完怎么复测。只写“建议加强安全性”的建议，等于没建议。

实施细则的制修订，核心是“尺度统一”：同样的不符合项，在不同检查员手里要得出同样的结论。

审定评估报告看四段：范围、方法、发现、结论。四段里“发现”与“结论”必须一一对应，不能有孤立的结论。

风险分析按“可能性×影响”两维定级。两维都高的不符合项，必须限期整改，不能“下次再说”。

整改建议要区分“技术整改”与“管理整改”，两者责任人和周期都不同。

第七项职业功能，理论权重十五、能力权重二十，是高级最重的两块之一。工作内容分密码标准应用与密码应用监管。

高级从“制订实施方案”升级为审定实施方案：审定设计开发、集成服务、检测评估三类标准实施方案，审定标准升级方案。

监管从“分析数据”升级为审定监管方案与安全报告、审定标准使用规范性。

审定实施方案看两件事：是否覆盖全部适用标准、是否给出验证方式。覆盖不全的方案，执行到一半必然返工。

标准升级方案要看影响面：哪些产品要重新检测、哪些系统要重新评估、哪些文档要重新发布。

安全报告的审定，重点看“结论是否有数据支撑”。没有数据支撑的结论，只是表态。

标准使用规范性，说到底是“有没有按同一把尺子量”，这一点决定了监管的公信力。

第八项职业功能，理论权重十五、能力权重二十，与密码管理并列最重。工作内容分技术培训、技术咨询、解决方案设计。

高级在这一段做三件事：定培训计划、审教程、做行业分析；建目标市场模型；审定解决方案、挖掘行业需求。

这是唯一一个“对外”的功能：面对同行、面对客户、面对公众。

培训计划要分层：管理层听价值与责任，技术层听实现与坑，执行层听操作与记录。三层混讲，三层都听不懂。

市场分析模型的核心变量是“合规压力”与“业务收益”。只有合规压力没有业务收益的需求，做不成项目。

审定解决方案看四件事：需求是否真实、路径是否可行、代价是否可承受、责任是否清晰。

挖掘需求靠提问，不靠介绍。问“现在最怕出什么事”，比讲十页产品有用。

高级与中级的边界是审定：中级编制，高级审定；中级出结论，高级审结论；中级做检测，高级定规则。

高级之上没有更高等级，所以高级的参照系不是“上一级”，而是“责任范围”：能不能对一套体系的安全负责。

⭐ 记忆抓手：高级是“签得下字”。中级写得出，高级签得下；写靠能力，签靠责任。凡是要签字的地方，就是高级的题。

本笔记只覆盖国标设置的高级一档，题库“高级”即此档。高级不设职业方向，初中级的方向差异在本档合并为统一要求。

三色约定：红底为必背关键词与易错点，正文黑字为条文陈述。

蓝底为理解性提示与类比，用来搭桥，不替代条文。表格按“专业能力要求｜相关知识要求”两列呈现，条目依国标归类。

本笔记不提供考试原题，也不承诺任何通过率。涉及密码模块安全等级、检测认证规则、工程建设规范的具体要求，以现行有效的国家标准与主管部门规定为准。

过烧是加热温度接近或超过固相线，晶界发生氧化或熔化，锻造时一锻即裂、断口无金属光泽。过热仅晶粒粗大，可通过后续锻造或热处理改善；脱碳是表面碳含量降低；氢脆与氢含量有关。

碳钢始锻温度一般控制在固相线以下100～200℃，既保证足够塑性又避免过烧。45钢常用始锻温度约为1150～1200℃，终锻温度应高于Ac3，防止加工硬化。

不易淬火钢热影响区的过热区加热温度超过Ac3，奥氏体严重粗化，冷却后形成粗大组织，塑性和韧性差。熔合区温度超过固相线；Ac1～Ac3之间为部分相变区；低于Ac1为未受影响区。