单一来源认证芯片：如何规划过渡库存

采购人员即使找到了封装、接口和加密算法都符合要求的认证芯片，买回来的器件仍可能无法使用。缺失的条件可能是客户专用配置、主机认可的证书签发者，或写入密钥的授权。当这些条件只能通过一条供应路径获得时，增加经销商并不能消除根本依赖。真正要决定的是：需要多少已经确认可用的物料，才能支撑产品完成替代验证，或者有计划地结束生产。

这个决定需要采购、固件工程师和设备凭据负责人共同作出。只按库存问题处理，可能出现仓库里器件充足、装配线却无法开工的局面。只关注重新设计，也可能让技术可行的迁移在完成之前耗尽原器件。合理的计划应把剩余生产安排与各产品版本能够接受的认证状态对应起来，再为过渡期设置明确的截止条件。

两个独立泡棉收纳盒，分别放置紫色与青绿色认证电路板 — 分离收纳有助于将物料分配给已批准的配置；实际授权状态仍须依据关联记录确认。

依赖关系可能藏在芯片之外

先分清“只有一个制造来源”与“目前只批准了一个来源”。可能只有一家制造商生产所需芯片，但有多条授权销售渠道；也可能多个认证器件都能完成所需加密运算，只是其中一个完成了产品验证。还有一种情况是，器件必须经过特定的身份配置服务才能使用。这几类问题的解决路径不同。增加采购渠道可以扩大交易选择，却未必增加独立的制造或凭据来源。

把从器件收货到整机被接受的实际链路画清楚。记录完整制造商订购码、硬件版本、配置档案、主机固件版本、配置工厂和凭据管理机构，并为每一项依赖附上证据。总线记录可以说明传输行为，却不能证明响应所用密钥的归属。证书可以标识签发者，却不能证明已经部署的主机会接受该签发者。

如果在役设备的主机已固定，只接受范围很窄的身份格式，可以把合格原器件留给在役设备的服务需求，同时为新生产单独评估另一条路径。这样既保留维修兼容性，也不必让每台新产品继续继承同样的限制。代价是过渡期内需要管理两类硬件和凭据种群。只有服务团队能准确识别各主机应使用哪一种替换件，这种安排才可执行。

通知必须对应到精确订购码

以官方证据为例，Microchip 的通知常见问题将 CPN 定义为订购料号，并要求客户查看受影响 CPN 清单。因此，采购判断应把完整订购项与通知附件逐一匹配。仅仅命中产品家族名称，不足以支持修改采购计划。

为每项通知建立一份记录，把通知编号、修订版与受影响订购码、变更内容、适用日期和工程处置意见关联起来。后续更正或撤销也应归入同一记录，并注明制造商来源的核查日期。归档邮件可以证明当时收到了什么，但几个月后重新作决定时，还需要与当前通知及附件再作比较。

产品变更通知 PCN 需要进行影响评估，本身并不等于停产。产品停产通知通常称为 PDN 或 EOL，它带来的是另一类时间约束。Microchip 的 EOL 政策可以给出最终订购日期 LTB、最终出货日期 LTS 或最早终止日期，实际终止日期也可能受到供应条件限制。不能替某一次采购假定统一的提前通知周期。

对受影响物料，应把该物料的通知中的精确日期与替代项目里程碑并列。不要把最终订购日期当作有保证的交付日期。让供应负责人区分已接受订单、拟定出货和实际到货批次。如果交付条件尚未明确，就应在生产安排中保留这一不确定性，不能把申请采购的全部数量都算作已经获得的保障。

采购对象要包含可用的安全状态

受控物料的定义不能只写封装后缀。应保留制造商完整代码，包括适用的温度、包装及客户专用标识，并将其关联到已批准的安全配置。空白可配置器件与为其他客户写入身份的器件，外观可能相同。商业描述也可能没有列出决定工厂能否使用它们的那项差别。

如果仍能通过已批准流程进行身份配置，采购尚未个性化的物料可以保留更多产品分配空间。前提是配置文档、密钥使用授权、生产能力和验收记录能够持续到末次生产。这个选择也把流程责任转移到产品制造企业自身或其受托配置工厂。器件单价再低，也无法弥补凭据服务已经不可用的问题。

当配置或密钥权限会被不可逆锁定时，先验证一小批受控物料，再将其余器件投入该工序。读回允许访问的配置字段，并用生产验证器核对预期身份；不要尝试导出受保护的秘密密钥。锁入错误配置后，原装器件也可能认证失败，而且不存在受支持的重新分配路径。应隔离这类物料，保留配置记录，与责任供应方确定处置方式。

凭据记录有独立的生命周期。NIST SP 800-57 第 1 部分修订版 5 讨论了长期密钥和证书的清册管理，并区分密钥元数据与秘密密钥本身。用于采购计划时，应将每一类可放行器件关联到配置标识、凭据负责人及有效性规则。采购记录不应保存秘密值。设计团队还必须明确：证书续期或密钥替换需要更换器件、执行受支持的现场流程，还是调整验证端。

给过渡采购设定终点

过渡采购应覆盖一个有限时段，并以明确结果结束。终点可以是替代方案首批量产物料通过验收、剩余服务义务完成，或产品退出。写清起始日期、末次依赖原器件的生产，以及连接两者的工程里程碑。计划必须包含凭据迁移和制造验证；演示板能够工作，并不代表对原器件的依赖已经结束。

在器件层面计算需求。若每台成品消耗一个认证芯片，设 D 为过渡期内计划消耗量，S 为明确分配的服务储备，Y 为后续装配和身份配置工序的预计良率，I 为已通过来料验收、仍待执行这些工序的库存，C 为会在用料之前到达的确认收货量。同一后续良率适用于所有投入器件，包括 I 和 C。示例增购公式为 Q = max(0, ceil((D + S) / Y) - I - C)。数量使用整数，不要重复计入同一服务储备。如果库存已经是完成全部工序的可用成品，应先从 D + S 中扣除这些成品，再对剩余需求作良率折算。

以下只是计划假设，不是现实供应数据：每月使用 1,200 个器件，持续六个月，则 D = 7,200；S = 300；Y = 0.98；I = 1,000；C = 500。毛需求为 ceil(7,500 / 0.98) = 7,654 个，增购量为 6,154 个。这些数字只演示计算方法，不代表任何制造商的产能、市场库存、交付承诺或实测良率。

总量公式可能掩盖前期缺料。把同一组输入按生产时段展开成有日期的物料余额，确保验收放行物料在每次消耗之前到达。隔离品、凭据种群不匹配的器件，以及在相关生产结束后才到货的数量，都不能计入覆盖量。再计算延期情景：采用相同的假设用量，延期两个月会在良率折算前增加 2,400 个需求。将这一后果与加快替代工作的成本及可实现程度一起讨论。

审视采购量时，要分别考虑两条使用期限。一条是依据元器件制造商储存与操作要求确定的物理可用性；另一条是器件在计划部署和服务期间的安全可用性。仍然可以正常焊接的器件，也可能因身份有效性规则到期而无法使用。为两条期限分别指定负责人；如果既无法续期凭据，也没有兼容的验证策略，就应缩短过渡覆盖时段。

酒红色与浅色认证模块分置于支架上，不同连接器均朝向板边外侧 — 不同的接口几何结构体现了替代验证的一部分，身份接受条件及最终授权决定也需要核验。

替代方案必须作出正确的授权决定

候选方案应在主机批准运行的边界上进行比较。相同的算法名称或电压范围不能证明行为相同。兼容性说明应覆盖电气限值、传输帧格式、命令语义、唤醒与复位行为、凭据格式、信任根及受保护状态的转换。将每项标为不变、需要适配或不支持，并为必要工作指定负责人。

如果替代方案改变信任根或命令顺序，就应按照系统迁移进行验证，为主机、身份配置和在役产品兼容性安排工作。收益可能是未来不再过度依赖同一供应路径；代价则是带有混合种群的受控过渡。供应方给出的替代建议可以作为候选入口，却不能证明它兼容应用专用密钥或已部署固件。

一种危险故障是：适配层把不认识的错误当作普通的器件缺失，随后允许产品运行。只测正确身份的正向认证，可能发现不了这个问题。另一种候选器件可能在开发凭据下通过测试，却无法接受工厂实际使用的生产签发者。应区分传输失败与认证否决，交换未完成时保持产品拒绝状态，并测试生产将使用的凭据链。

把原有实现作为行为参考，不等于保留已知缺陷。对有意改变的拒绝行为或身份策略，应记录原因并评估在役产品影响。迁移后拒绝一种过去被接受、但并未获得授权的身份，可能是正确的；这仍需要明确的兼容性决定和服务说明。直到过渡批次耗尽后才发现的隐性差别，往往最难处理。

减少原器件覆盖量之前先测量

一项建议的替代验证试验可以采用十个按预定生产路径完成身份配置的候选组件，测试记录中不得出现真实客户秘密。在产品已验证电压和温度范围内选择边界点，针对所有仍需支持的主机固件版本，每个组件、每个边界点运行 1,000 次全新认证交互。边界组合应从电气规格和实际工况选取；样本数量是项目建议，不是制造商可靠性保证。

每次交换都记录组件及凭据标识、主机版本、预期决定、实际决定和耗时。要求所有有效测试身份都在产品预先规定的时延预算内被接受，且无未解决的传输失败。对适用的错误凭据、篡改响应、重放交换、已撤销身份及交换中断，每种负例、每个组件分别执行 100 次。通过标准是越权运行次数为零，中断后处于已定义的拒绝状态或可恢复状态。

工厂流程也要测量。每个投入器件都必须能对应到已接受身份、可恢复的过程状态或已隔离的不合格品。确认被拒绝的配置操作不会悄悄产生可放行整机。保存证据，证明拟定的撤销与续期路径能够同时服务替代方案及保留的主机种群。有限试验无法证明所有安全缺陷都不存在，但可以在采购决策失去原器件回退空间之前，暴露具体的不兼容问题。