把故障场景考虑在内的 HSM 运维。

固件、客户端库和应用共同构成一条运维链条。变更会首先在合适的测试环境中验证；厂商说明和所需的认证模式，都会纳入审批考量。就备份而言，仅有一份文件是不够的：所需的访问凭证、保管人、兼容设备和恢复流程都必须齐备。我们会测试约定的恢复运行流程，并记录相关限制，例如某些密钥不允许被复制或导出。

设备更新换代从盘点、兼容性检查和密钥映射开始。切换和回退方案会针对每个应用分别规划。只有在确认接管完成之后，才会进行经过批准的退役处理，并配合相应的密钥销毁和证明材料。移交过程也涵盖人员变动：权限撤销和访问凭证的更换必须切实可行，不能让组织依赖于某一个人。

集群虽然能够应对单个设备的故障，但仍可能在多个节点上携带相同的错误配置。因此，备份、访问凭证和恢复运行流程必须单独加以考量。OTOKO® 会与您的团队共同规划：需要覆盖哪些故障场景，以及可用的应用需要在多长时间内恢复。测试并不会在成功导入备份后就结束：具有代表性的签名或解密操作，也必须重新正常运行。

运维需要可见的信号，以及有权对其作出响应的人员。我们会将设备告警、登录失败和应用测试结果，对应到具体的处置措施。固件、客户端和权限方面的变更，都会以可追溯的方式获得批准。对于约定的支持服务，我们会明确服务时间、联络方式，以及向厂商或其他运维合作伙伴移交的方式。应用全天候运行，并不意味着必然需要签约一份 24/7 支持合同。

某个现有 HSM 系列即将停止支持。OTOKO® 会梳理所使用的机制、可导出与不可导出的密钥，以及仍然存在的依赖关系。在此基础上形成迁移计划，包括测试环境、并行运行和明确的中止条件。完成切换后，会在目标平台上对应用测试和备份恢复进行记录。只有在业务和技术条件都得到满足之后，才会对旧设备进行受控删除和退役处理。