卡片主控密钥种子值需在加密机中安全存储；卡片主控密钥在需要时由加密机现时生成，并不存储，而加密机需要实现卡片主控密钥生成规则。这样，解决了卡片主控密钥复杂的管理和存储，并使得卡片主控密钥的生成可追溯。 5.1.2. 密钥分发
PSAM卡在制卡时由卡商生成并写入一个初始卡片主控密钥。PSAM卡制卡完成后，卡商将写有初始卡片主控密钥的PSAM卡和装载有初始卡片主控密钥的母卡提交给中国移动。
PSAM卡分发到中国移动后，中国移动生成新的卡片主控密钥并将初始卡片主控密钥更新成新的卡片主控密钥。新的卡片主控密钥必须在旧的卡片主控密钥的保护控制下，通过安全报文的方式由写卡器装载到PSAM卡片中。详细流程见5.1.4节。 5.1.3. 密钥存储
PSAM卡片主控密钥种子值安全存储在加密机内，由加密机根据分散规则生成每张PSAM卡的卡片主控密钥。
加密机不存储PSAM卡主控密钥，PSAM卡主控密钥在需要时现时计算获得。 PSAM卡需将卡片主控密钥安全存储在密钥存储区。 5.1.4. 密钥更新
PSAM卡片主控密钥的更新必须在旧的PSAM卡主控密钥的保护控制下通过安全报文写入。
5.2. 卡片维护密钥
每张PSAM卡片的卡片维护密钥均不相同，且每张PSAM卡片只有一个卡片维护密钥，用于4.1.2节所描述的用途。卡片维护密钥长度为16字节，可在需要时采用第6章所描述的会话密钥生成规则产生16字节的双倍长会话密钥和8字节的单倍长会话密钥，分别用于3DES加/解密和DES-CBC的MAC计算。 5.2.1. 密钥生成
卡片维护密钥由16字节卡片维护密钥种子值根据卡片序列号、密钥版本号等输入参数分散计算得到。分散规则如图5.2所示：