银行第二代支付系统设计说明书

引言

1.1编写目的

说明对程序系统的设计考虑，包括程序系统的根本处理流程，程

序系统的组织构造、模块划分、功能分配、接口设计、运行没计、数

据构造设计与平安性设计等，为程序的详细设计奠定根底，并使系统

参与者对系统有根本的了解。

1.2工程背景

第一代支付系统作为我国资金运动的大动脉，对加快社会资金周

转、提高支付清算效率、畅通货币政策传导、促进国民经济安康开展

发挥着重要作用。但随着我国社会经济快速开展，金融改革继续深入,

金融市场日益完善，支付方式不断创新，对中央银行的支付清算效劳

提出了许多新的、更高的要求。作为支付体系的核心与枢纽，中央银

行的支付系统能否支持与满足这些需求，将直接影响支付体系的整体

运行效率，进而影响经济金融的平稳安康开展。

第一代支付系统存在的缺乏：〔1〕不能满足银行业金融机构灵活

接入的需求；〔2〕流动性风险管理尚待进一步完善；〔3〕应对突发

事件的能力需要加强；〔4〕业务功能及效劳对象有待进一步拓展；〔5〕

运行监控范围及功能有待进一步扩展。

针对第一代支付系统存在的缺乏，结合当前及未来一段时期社会

经济金融开展对中央银行支付清算效劳的新需求，同时考虑支付系统

运行的生命周期以及进一步完善支付系统备份系统等实际情况，中国

人民银行决定建立第二代支付系统。有利于更好地满足社会经济金融

开展的客观需要；有利于更好地满足银行业金融机构改善经营管理的

要求；有利于更好地满足中央银行的履职需要。

1.3定义

1.4参考资料

1.

2.

3.

4.

目标概述

总体目标

立足第一代支付系统的成功经历，引入先进的支付清算管理理念

与技术，进一步丰富系统功能，提高清算效率，拓宽效劳范围，加强

运行监控，完善灾备系统，建立符合人行要求的、适应新兴电子支付

开展的、功能更完善、架构更合理、技术更先进、管理更简便的新一

代支付系统。

业务目标

立足第一代支付系统的传统支付业务，前瞻性地考虑支付效劳现

实需求与未来开展，使系统能够支持网上银行、银行等各类支付

工具的使用，更好地满足社会公众日益多样化的支付需求以及各类支

付效劳的业务需求。

性能目标

系统建立将坚持平安与效率并重，遵守网络平安、系统平安及数

据平安各项要求，在满足银行大数量的业务处理需求的同时提高系统

运行效率，提升数据平安。

条件与限制

总体设计

逻辑构造

物理构造

软件构造

运行环境

硬件配置

数

硬件类型品牌/型号/配置用途

量

应用效劳器IBM小型机用于部署应2

用、MQ、数

据库及应用

统一支付平

台使用，负责

数字签名效复用网上支付跨行清算系统的签名

对二代报文2

劳器效劳器。

进展数字签

名与核签。

统一支付平

台在人行过

复用原有的一代支付系统密押效劳

密押效劳器渡期内使用，2

器

负责对一代

报文的核押。

二代支付前SUSE操作

2

置机PMTS系统

软件配置

软件名称说明数量备注

操作系统4CPU小型机效劳器自带

数据库Oracle11g4CPU两台数据库生产机。

通讯中间件WebSphereMQ4CPU通讯中间件，安装在对外

ForAIX7.1通讯效劳器，与人行通

讯。

WEB中间Weblogic104CPUWEB中间件，安装在应

件用效劳器。

数据与功能分布

接口设计

用户接口

支付平台系统的WEB图形界面控制台使得用户对前置系统的管理

与操作更为直观、方便“而且该层采用J2EEB/S模式，方便升级

管理。界面设计遵循以下原则：

1.一级界面上方放置查询条件，中间放置功能按钮，下方放置数据

列表；

2.二级界面上方放置数据详细信息，下方放置功能按钮；

例如如下列图：

>一级界面

>二级界面

本系统包括以下用户接口:

功能分类功能名称功能描述

操作员管根本操作操作员的根本操作，如修改密码、切换操作

理分行、签退等。

管理维护新建、修改、删除操作员，以及维护操作员

的状态，如锁定与解锁、冻结与解冻、失效

功能分类功能名称功能描述

与恢复等。

权限管理角色的创立与维护，以及操作员授权管理。

操作员的权限包括界面访问权限、操作金额

上限、机构数据访问权限等。

查询查询操作员信息，以及操作员操作日志。

系统管理日期管理维护系统节假日情况。

系统状态CPG系统日期、大小额系统日期手工切换，

管理监控系统状态，日终批量处理等

黑名单管黑名单列表管理维护，以及黑名单交易查询

理等。

报文管理报文发送方式配置、转发规则配置，发送监

控，以及发送与接收异常处理等

参数维护提供系统参数维护等相关功能

大小额业根本支付包括普通贷记业务〔客户发起汇兑业务与金

务业务融机构发起汇兑业务〕、普通借记业务、定期

贷记业务、定期借记业务、实时贷记业务、

实时借记业务的录入、复核、修改与审核功

能。对不能自动处理的来账业务提供修改队

歹L支持操作员修改后入账。

操作员输入交易关键要素，如业务类型、优

先级、金额等，系统根据费用上下、时效性

功能分类功能名称功能描述

等自动判断并推荐最优支付渠道。

交易提交时系统自动进展相关业务检查，如

黑名单、金额上限、业务发起权限等，假设

检查不通过，则立即提示。

即时转账接收各种即时转账业务报文，进展账务处理。

业务并提供即时转账业务查询功能。

PVP计算提供PVP结算申请的录入、审核与查询功能。

业务

银行汇票支持城商行银行汇票业务，如汇票签发管理、

业务兑付管理、退回申请、资金结算状态查询等。

对账管理提供大额日终汇总对账与明细对账功能，同

时支持对账报文补发及预对账功能。

代收代付与集中代收代付中心相关的业务，包括代收

业务代付合同管理，批量代收代付业务与实时代

收代付业务，批量客户账户信息查询、主动

缴款、发票打印及相关查询功能。

小额票据支持通过小额完成小额本票、银行汇票等兑

业务付业务，包括票交回执业务、银行本票管理、

小额本票兑付、银行汇票管理、银行汇票兑

付、支票圈存业务，以及相关查询功能。

清算账户净借记限净借记限额查询，以及净借记限额圈存资金

功能分类功能名称功能描述

管理额管理调整申请功能。

清算账户清算账户维护以及相关查询功能。

管理

资金池/自清算账户资金池管理、自动拆借协议管理及

动拆借相关查询功能。

排队管理包括轧差排队与清算排队管理及相关查询功

能。

风险与监净借记限额与清算账户余额预警值设置，及

控管理预警通知查询。

公共控制信息报文自由格式报文、查询查复报文、撤销、退回、

止付、冲正等信息报文处理功能。

管理类登录登出、权限变更等业务管理类报文

参与者管包括参与者智能查询、信息维护、证书管理

理等功能。

查询CNAPS业查询CNAPS支付业务明细，分为汇总查询

务查询与明细查询。

待处理业查询当日未完毕业务。

务查询

报表业务明细当日CNAPS业务明细清单。

报表

外部接口

XX所提供的支付平台产品，包含一个接口适配器模块，可通过对接

口适配器模块的根本配置，如：通讯协议、双方报文格式与交易流向,

则可完成支付平台与外部系统之间的信息交互。目前已有的外部接口

如下：

1.核心记账系统记账、冲正、账户查询等接口

实现cnaps系统与核心系统的记账、冲正、账户查询、对账、

城商行汇票签发以及城商行汇票复核等功能；

2.与柜面系统的业务处理接口

实现与客户化前台柜面的业务处理功能；

3.与贷记卡系统的贷记卡来帐记账、冲正接口

实现贷记卡来帐交易的记账、冲正、对账功能。

内部接口

目前主要的内部接口为报文转换接口，主要实现将行内系统发送的非

二代分行往账交易转发给一代支付系统；接收并处理一代支付系统的

一代交易。

数据构造设计

物理构造设计

数据构造与程序的关系

运行设计

运行模块的组合

系统根据不同的功能形成各种不同的模块，具体可分为以下几个模

块：

1.操作员管理模块

2.系统管理模块

3.交易管理

4.大小额支付业务管理

5.大小额信息业务管理

6.清算账户管理

7.公共信息管理

&客户化配置模块

9.客户化业务模块

运行控制

＞往帐交易

全步骤步骤说明前提步骤备注

1数据录入

2录入记账1如果需要记录入

帐的话，系统自动

发起记账请求

3数据复核2由不同于录入人

员的柜员复核

4复核记账3如果需要记复核

帐的话，系统自动

发起记账请求

5系统自动组4

往帐报文发

送给人行

6承受人行处5、6步骤为异步

理结果进程所以两步可

以同时进展

＞来帐交易

全步骤步骤说明前提步骤备注

1接收人行报

文

2解析报文并1

入库

3系统自动处2

理来帐报文

4前台手工处3如果该笔来帐不

理来帐交易能自动处理，则需

要前台手工干预

5生成回执文3、4如果该笔来帐需

件发送人行要问执，则系统根

据处理结果自动

生成回执并发送

给人行

运行时间

按程序模块功能与重要性划分程序运行时间，分为随系统的持续性、

随进程的持续性、交易触发等。

序号模块名称运行时间备注

1数据维护模块〔操作员交易触发

管理模块、系统管理模

块、客户化配置模块、

交易管理〕

2与人行报文处理模块随进程持续性

3与核心系统的交互模块随进程持续性

4与柜面系统的交互模块交易触发

出错处理设计

出错信息

系统可为操作人员定制错误提示信息，根据配置每个操作人员在登录

系统时，系统都会将错误信息显示的公告信息栏中。

补救措施

如设置后备、性能降级、恢复及再启动等。

1.系统级错误

系统运行环境有热备、灾备，如果正式环境崩溃无法运行，其中

正式环境的数据库将定时同步到热备环境上，一旦正式环境的系

统可实时切换到热备环境上；

2.业务级错误

＞发送人行失败、发送人行人行未应答：可以使用人工干预手动

再次发送；

＞发送行内记账系统无应答：系统自动发送状态查询报文，如果

还是无应答，则系统在对账时根据对账结果自动处理；

平安设计

平安总体设计

系统平安是整个系统可靠运行与进展平安防范的基石，在统一设计原

则下，不同的平安层次，预防、检测与恢复等各个阶段，确保系统的

持续稳定运行，防止信息的损坏、泄露或被非法修改，并保证系统平

台的平安。一个完整的平安解决方案应涵盖系统中所有的用户、网络、

主机、应用效劳器以及应用程序，并建立高效、可靠的平安管理策略。

系统平安级别

＞在技术层面上的网络层次、系统层次与应用层次等各层次上

必须实现高稳定性、高可靠性与高可扩展性；并且耍结合信

息平安具有层次性，动态性、过程性与生命周期性的特点实

现高可管理性。

＞系统的软硬件有备份并有完备的恢复机制。对于业务与系统

数据有健全的备份机制。

＞系统须严格对入网资格、操作权限进展控制。同时还要求具

有防止网络入侵与病毒防范的功能。

＞系统设计考虑时于数据传输有严格的平安措施，确保交易敏

感信息在网络传输、信息处理与数据存储过程中不出现明文。

确保文件与交易数据的完整性与来源确实认性

＞第三方信息系统与支付平台系统连接，通讯与数据传输都经

过标准的签名与验签，确保交易与文件不可否认。

＞用户信息的集中管理与用户身份的统一认证。

＞采用强口令策略，要求复杂口令，并根据口令产生密钥，并

定期强制修改，限制对口令密文的访问

＞完整的平安审计日志与方法，对于所有送到支付系统的交易

请求，都应记入交易日志。

加密方式与加密算法

为了保证在通讯中数据的平安性，在不同机器之间的通讯时，系统采

用SSL,3DES等加密措施。对于加密方式，系统提供开放式接口，

可以对加密方式进展方便的替换与变更，以适应银行的具体需要。

密钥管理机制

数据平安设计

数据库平安设计

＞用户标识与鉴定

通过数据库系统的用户账号与口令鉴定用户的身份，这是系统

提供的最外层平安保护措施，也是最常用的措施。

＞存取控制

要合理设置数据库对象的授权粒度，认真研究并大力推行角色

/权限管理机制，建议使用具有口令保护的角色，通过应用系

统级的身份认证连接数据库，通过应用程序进展角色的口令输

入、翻开角色并激活角色开关，以防止用户绕过应用程序而直

接调用SQL语句访问数据库资源。

＞视图机制

为不同用户定义不同的视图，通过视图机制把要保密的数据对

无权存取这些数据的用户隐藏起来，从而自动地对数据进展保

护。

＞审计

建议翻开数据库系统的审计功能，以监视不合法行为。

客户密码平安设计

操作员密码平安设计

＞加大用户口令的复杂程度，制止用户不设口令或使用过于简