国发5.0 联网改造到了最后一步，很多站点会卡在同一个地方：设备注册完了、唯一标识码录了、IP 端口也配对了，数采仪显示「连接成功」，但加密数据就是上不去，平台端迟迟不激活。问题往往不在网络，而在加密握手这一环节没走通。
HJ212-2025 相比 2017 版最硬的变化之一，是互联网传输必须采用 SM4 国密算法加密。明文直发的时代结束了，数采仪和平台之间要先完成一套「对暗号、领钥匙、拿门牌」的握手流程，之后才能传数据。本文把这套流程从原理到数采仪菜单讲透，文末给握手失败的处置方法。
一、先分清两个「码」和两把「钥匙」
加密联调之所以容易乱，是因为现场嘴里常说的「码」和「密钥」其实是四个不同的东西，必须先分清楚：
| 名称 | 是什么 | 谁产生 / 何时用 |
|---|---|---|
| SN 唯一标识码 | 每台监测设备的「身份证」 | 厂商注册时产生，结构含厂商识别代码、产品类别、校验位、序列号；数采仪每日定时上报、更换后 5 分钟内上报 |
| MN 入网编码 | 数采仪接入平台的「门牌号」 | 由平台在注册激活链路中赋值，不是企业自己编的；报文头里携带，平台据此识别是哪台数采仪 |
| 初始密钥 | 设备第一次找平台「对暗号」用的钥匙 | 出厂时固化在数采仪存储中、防篡改；厂商在其平台后台预填的值与出厂固化值保持一致，首次握手时平台据此校验设备身份 |
| 正式密钥 | 激活后加密业务数据用的钥匙 | 设备用初始密钥通过校验后，由平台协商下发，SM4（128 位），最长有效期 90 天，到期前设备自动申请更新 |
一句话记：SN 证明「设备是真的」，MN 说明「数据往哪挂」，初始密钥负责「第一次对上话」，正式密钥负责「之后所有话都加密说」。
二、为什么初始密钥能自动通过平台校验
这是很多工程师没想通的一点：设备第一次连平台，平台凭什么信它？答案是厂商侧的预注册。
现在设备厂商在国发体系里有自己的服务后台。设备出厂时，初始密钥被固化进数采仪；同时，厂商在后台为这台设备登记的初始密钥与出厂固化值完全一致。这样设备第一次用初始密钥向平台发起请求时，平台侧已经有了厂商预登记的记录，两边一对就通过，不需要现场人员再去手动抄录、输入一长串密钥。
这也解释了为什么白牌机、改装机、翻新机过不了关——它们没有厂商后台的合法预注册记录，初始密钥这一关就对不上，后面全部免谈。
三、完整加密握手流程（以璞生数采仪为例）
在企业端把数采仪、分析仪的设备信息和唯一标识码录入完成后，加密联调在数采仪侧进行。以璞生（PS）系列数采仪为例，操作入口在「数据中心」菜单：
| 步骤 | 动作 | 说明 |
|---|---|---|
| 1 | 开启「加密使能」 | 在数采仪数据中心里打开加密传输开关。开启前先确认平台 IP、端口已配置且链路连通 |
| 2 | 设备自动发起密钥请求 | 数采仪用出厂固化的初始密钥，按 HJ212-2025 的密钥命令（1014）向平台请求正式密钥。这一步全自动，无需人工确认 |
| 3 | 平台校验并下发正式密钥 | 平台比对厂商后台预注册的初始密钥记录，校验通过后下发 SM4 正式密钥，设备安全存储 |
| 4 | 再次请求获取正式 MN | 拿到正式密钥、身份被确认后，数采仪再向平台请求/获取正式 MN 编码 |
| 5 | 开始发送加密 212 数据包 | 此后数据命令（2000–2999）、设备信息（3020）等报文全部用正式密钥 SM4 加密上传，平台正常接收、激活并计入有效传输 |
整个过程在网络正常、预注册无误的情况下通常几分钟内自动跑完，现场只需开启开关并观察日志，不需要在中间环节反复点确认或重启。
四、一个常见的顺序误区
标准解读里的注册激活大流程是「厂商注册 → 获取 MN → 上报 SN 激活 → 排污单位确认 → 获取正式密钥」，字面上看像是先有 MN、后取密钥。不少人按这个顺序去现场配置，结果怎么都握不上手。
实际设备侧的握手顺序是：先用初始密钥建立加密信任、取到正式密钥，再拿到正式 MN，然后才发加密业务数据。两者不矛盾——激活链路里的 MN 存在阶段区分，建立加密通道时用的是入网过程标识，等密钥协商完成、身份正式确认后，设备拿到的才是最终生效的正式 MN。现场务必以设备实际的握手日志顺序为准，不要因为字面顺序和设备动作不一致就误判为故障。
五、MN 和密钥什么时候能看到
- 激活状态：报文正常到达后，平台企业端设备状态通常在分钟级更新为已激活；长时间不激活，先查三码是否一致（厂商注册码、数采仪上报 SN、企业端录入）。
- MN 编码：注册激活链路走完后由平台自动赋值，多数现场当天可在企业端 / 数采仪侧看到，个别省份平台同步有延迟，可能隔一个工作日。
- 正式密钥：不下发到企业端页面展示，它只存在于数采仪与平台之间。协商成功后在数采仪通信日志里体现为取钥成功、加密报文正常收发，不需要也不应该去人工抄录。
六、90 天到期：自动续，不中断
正式密钥最长有效期 90 天，但这不意味着每三个月要人工换一次。标准设计了自动更新机制：在密钥失效前，数采仪会自动向平台发起请求、获取新密钥并平滑切换，业务数据传输不中断。
现场需要保证的是数采仪持续在线、链路通畅。如果设备长期断电或断网，错过自动更新窗口，恢复联网后可能需要重新走一次协商——这属于小概率情况，通电联网后一般能自动恢复。
七、握手失败怎么办：重置密钥
加密握手中途失败，最常见原因是设备端与平台侧的密钥状态没对上：例如初始密钥被改动、平台侧记录与设备内固化值不一致、或者上次协商异常中断导致两边状态错位。此时设备反复请求都无法通过校验，表现为连接正常但加密数据发不出。
处理办法是重置密钥：将密钥状态恢复到初始状态，让数采仪重新用出厂初始密钥发起协商，再走一遍「请钥 → 取正式密钥 → 获取正式 MN → 加密上传」的完整流程。具体重置入口以各厂商数采仪菜单为准（璞生设备在数据中心相关设置中操作），重置前建议先截图保存当前日志，便于厂商判断失败原因。
如果重置后仍然失败，按这个顺序排查：
- 厂商后台该设备的初始密钥登记是否与出厂一致、是否已正确预注册；
- 设备 SN、企业端录入标识码、厂商注册信息是否三码一致；
- 平台 IP、端口是否正确，出口防火墙是否放行；
- 数采仪固件版本是否支持 HJ212-2025 与 SM4（老固件先升级）；
- 系统时间是否准确，时间偏差过大可能导致密钥协商校验失败。
八、常见问题
Q1：初始密钥需要现场手动输入吗？
不需要。初始密钥出厂已固化在数采仪中，厂商后台预填值与其一致，设备首次联网自动用它校验。任何要求现场手抄、手填长串初始密钥的操作都要警惕，可能是非合规设备。
Q2：开启加密使能后要人工点确认吗？
不需要。开启开关后，请求密钥、获取 MN、加密上传由数采仪自动连续完成，现场观察日志即可。
Q3：正式密钥 90 天到期会断数据吗？
不会。设备在到期前自动申请新密钥并平滑切换。只有长期断电断网错过更新窗口，才可能需要恢复联网后重新协商。
Q4：数采仪显示连接成功，但平台收不到数据？
多半是加密握手没成功。查看通信日志是否完成取钥和 MN 获取；若密钥协商异常，重置密钥后重新握手。
Q5：专网传输也要加密吗？
标准要求互联网传输必须加密，专网场景推荐加密。具体按属地平台的接入要求执行，但合规数采仪默认具备 SM4 能力，直接开启即可。
写在最后
HJ212-2025 的加密联调，本质是把过去「插上就能发」的明文链路，升级成「设备有身份、传输有加密、密钥会轮换」的可信链路。理解了 SN、MN、初始密钥、正式密钥这四个角色，记住「先对暗号取钥匙、再领门牌号、最后加密说话」的顺序，再加上握手失败会重置密钥这一手，加密这一关并不难。真正拉开差距的，是改造时有没有把这些环节逐项验证、留下日志，而不是等到平台考核数据有效率时才回头补。
参考依据：《污染物自动监测监控系统数据传输技术要求》（HJ 212-2025，2026年1月1日实施）通信安全相关条款及官方解读（SM4 加密、初始密钥固化、正式密钥90天有效与自动更新、密钥命令1014、SN/MN 管理要求）；文中数采仪操作以璞生（PS）系列为例，不同品牌菜单名称略有差异，以厂商说明书为准。各地平台接入细则以属地生态环境部门要求为准。