后量子全熵随机比特发生器 SP 800-90C 架构设计

在后量子密码体系从学术理论标准全面迈向大规模工程化部署的关键历史时期，密码学随机数的产生质量构成了系统安全的根本底座。美国国家标准与技术研究院正式发布的 NIST SP 800-90C 规范，作为 SP 800-90 随机数发生器标准家族的集大成终稿，确立了全熵随机比特发生器的构造准则。本文系统剖析 SP 800-90C 规范体系、硬件微架构实现及其在后量子密码中的安全机制。

1. 引言与后量子时代高质量随机数安全基石

随着量子计算物理硬件研制与表面码纠错理论的持续突破，经典公钥密码体系所依赖的大整数分解难题与离散对数难题面临根本性破解挑战。为从根本上化解这一系统性安全危机，以模格上的带误差学习问题（M-LWE）、模格短整数解问题（M-SIS）以及基于哈希的有状态与无状态数字签名为主流的后量子密码（Post-Quantum Cryptography, PQC）体系，已正式确立为下一代网络安全基础设施的核心支柱。

然而，在后量子密码系统的工程实现与现网落地过程中，算法本身的数学抗量子证明仅构成了理论安全边界。底层物理熵源与随机比特发生器（Random Bit Generator, RBG）的随机性质量，直接决定了整个密码系统的实际抗破译强度。

1.1 后量子密码对随机源的严苛熵需求与确定性依赖

与经典公钥密码（如 RSA 与椭圆曲线密码 ECC）相比，后量子密码算法在根密钥生成、临时秘密封装、多项式扰动采样以及数字签名掩码生成过程中，对随机数的消耗速率、熵密度以及无偏置特性提出了前所未有的严苛要求。

以美国国家标准与技术研究院正式发布的模格密钥封装标准 NIST FIPS 203（ML-KEM，基于 CRYSTALS-Kyber 算法）为例，其密钥生成过程首先需要从高质量随机比特发生器中严格抽取两个长度为 256 位的真随机种子 $d$ 与 $z$ ：

(d, z) \leftarrow \{0, 1\}^{256} \times \{0, 1\}^{256}

其中种子 $d$ 输入至可扩展哈希函数 SHAKE-256 中，用于确定性派生出公共环多项式矩阵 $\mathbf{A} \in R_q^{k \times k}$ 以及秘密误差向量 $\mathbf{s}, \mathbf{e} \in R_q^k$ 的中心二项分布（Centered Binomial Distribution, CBD）采样噪声；而种子 $z$ 则作为解封装失败时的伪随机隐式拒绝替代值，用于防止选择密文自适应探测攻击。在每次临时公钥封装操作中，发送方必须再次抽取 256 位的独立随机秘密 $m \leftarrow \{0, 1\}^{256}$ ，用于生成共享秘密与临时扰动向量。

而在模格数字签名标准 NIST FIPS 204（ML-DSA，基于 CRYSTALS-Dilithium 算法）中，签名生成阶段需要生成高维多项式掩码向量 $\mathbf{y} \in R_q^l$ 。为了彻底阻断侧信道泄漏并确保签名协议具备严格的零知识特性，掩码向量 $\mathbf{y}$ 的系数必须在多项式商环的离散区间 $[-\gamma_1 + 1, \gamma_1]$ 内严格服从高阶均匀分布。若底层随机比特发生器输出的随机流中存在哪怕极微弱的统计偏置（Statistical Bias），攻击者即可通过在公网线路上截获海量业务签名，利用隐藏子群分析或格基约简算法（如 BKZ-2.0 算法）重构出私钥多项式。

1.2 弱随机性与偏置熵对格密码及哈希签名的安全威胁

在现代密码学发展史上，随机数发生器的实现缺陷与熵源退化曾多次引发灾难性的密码系统崩溃。而在后量子格密码与哈希签名体系中，弱随机性与偏置熵所带来的系统脆弱性被指数级放大。

在模格带误差学习问题（M-LWE）的数学模型中，公钥向量 $\mathbf{b}$ 由矩阵向量乘法叠加微小误差构成：

\mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e} \pmod q

若物理熵源发生输出退化、受到环境高频电磁干扰或模拟前端电路温漂影响，导致采样种子的高位或低位比特存在极其微小的统计偏置 $\epsilon$ （例如某一位出现二进制 1 的概率漂移为 $1/2 + \epsilon$ ），根据 Bleichenbacher 格偏置攻击理论与离散 Fourier 变换分析，攻击者仅需收集 $O(n / \epsilon^2)$ 组密文样本，即可将格基约简求解最近向量问题（Closest Vector Problem, CVP）的基底维度大幅压缩，从而在多项式时间内完全恢复出核心私钥向量 $\mathbf{s}$ 。

在 NIST FIPS 205 无状态哈希签名标准 SLH-DSA（基于 SPHINCS+ 算法）中，随机比特发生器负责生成多层超树（Hypertree）与每层 FORS（Forest of Random Subsets）树的随机化盐值与消息掩码。若随机数发生器退化为低熵输出，攻击者便能利用有限域碰撞构造出哈希状态前缀碰撞，进而伪造出合法数字签名。

由此可见，后量子密码系统对底层随机数发生器的核心要求，已经从传统的“通过经验型统计测试套件”深刻升华至“具备严格可证明的信息论全熵保证（Full Entropy Guarantee）”。

1.3 NIST SP 800-90 系列标准的体系演进与 SP 800-90C 规范定位

为了建立科学、严密、可量化评估的随机数发生器设计、实现与测评准则，美国国家标准与技术研究院历经二十余年持续演进，系统性制定了 SP 800-90 系列标准体系：

NIST SP 800-90A Rev. 1（Recommendation for Random Number Generation Using Deterministic Random Bit Generators）：系统规范了基于对称密码学算法的确定性随机比特发生器（DRBG）机制，包括基于分组密码计数器模式的 CTR_DRBG、基于密码哈希函数的 Hash_DRBG 以及基于消息认证码的 HMAC_DRBG；
NIST SP 800-90B（Recommendation for the Entropy Sources Used for Random Bit Generation）：全面规范了不可预测物理熵源的设计架构、最小熵（Min-Entropy）估计数学模型、以及上电自检与连续在线健康监测机制；
NIST SP 800-90C（Recommendation for Random Bit Generator (RBG) Constructions）：作为该系列的集大成终稿标准，正式给出了如何将 SP 800-90B 物理熵源与 SP 800-90A 确定性发生器有机集成为具备不同安全等级、不同抗预测能力的随机比特发生器（RBG）系统构造模型，特别是定义了能够输出“每比特具备 1.0 满熵”的全熵发生器构造。

正微光电立足于自主研发的量子随机数发生器（QRNG）物理硬件，深度践行 SP 800-90C 规范准则，为新一代后量子密码基础设施提供物理层级的真随机安全保障。

2. NIST SP 800-90C 随机比特发生器三类构造理论模型

NIST SP 800-90C 规范根据熵源与确定性发生器的连接拓扑、重播种（Reseeding）机制以及输出熵密度的不同，严格定义了三种标准的 RBG 构造范式：RBG1、RBG2 与 RBG3。

2.1 RBG1 构造：外部播种型确定性发生器机制与安全边界

RBG1 构造是一种无需在运行时持续连接物理熵源的确定性随机比特发生器模型。其核心架构特征在于，密码模块在初始化或系统上电阶段，通过受物理保护的外部可信信道，由经过 SP 800-90B 认证的独立物理熵源或全熵发生器注入一次性初始种子（Initial Seed），随后完全依赖 SP 800-90A 规定的 DRBG 内部状态转移方程输出伪随机比特流。

设初始种子为 $S_0$ ，其包含的物理最小熵满足 $H_{\infty}(S_0) \ge s$ ，其中 $s$ 为目标密码学安全强度（例如针对 AES-256 或后量子 Level 5 所需的 256 位安全强度）。在 RBG1 的生命周期内，第 $i$ 次生成请求产生伪随机输出块 $R_i$ 并按常数时间更新内部寄存器状态：

(V_{i+1}, K_{i+1}, R_i) = \mathrm{DRBG\_Generate}(V_i, K_i, \mathrm{AdditionalInput})

RBG1 构造具备极高的吞吐性能与极低的时钟周期开销，适用于计算资源极其严苛、缺乏板载物理熵源的边缘轻量级低功耗终端。然而，从高等级信息安全视角审视，RBG1 的理论安全边界存在固有局限：

无回溯阻断能力：RBG1 依赖确定性单向函数提供前向保密性（Forward Secrecy），但由于缺乏运行时物理熵注入，一旦物理侧信道攻击（如功耗分析 DPA 或电磁辐射泄漏）导致当前内部寄存器状态 $(V_i, K_i)$ 被敌手捕获，攻击者即可完全推算出系统后续产生的所有随机数序列；
重播种周期硬性上限：为防止伪随机内部状态空间遍历导致的统计周期性退化，SP 800-90C 强制规定 RBG1 必须设定最大生成请求计数器 $C_{\max}$ （例如在 CTR_DRBG-AES-256 机制下规定连续请求次数不得超过 $2^{48}$ 次），一旦计数器溢出，发生器必须进入强制闭锁状态，直至外部可信信道重新注入全量种子。

2.2 RBG2 构造：带内置实时熵源与按需重播种的混合流水线

RBG2 构造在密码模块内部物理层直接集成了符合 SP 800-90B 规范的物理熵源（Physical Entropy Source, ES），并通过硬件总线与内部 DRBG 机制紧密耦合。根据所搭载熵源的物理属性，SP 800-90C 将其细分为具备真随机物理特性的 RBG2(P) 与基于环境噪声的非物理型 RBG2(NP)。

在 RBG2 架构中，物理熵源在硬件后台持续进行量子噪声采集与在线健康监测。当上层业务进程请求随机数时，RBG2 既可基于当前内部状态高速派发随机数，亦可在达到重播种阈值或接收到显式控制指令时触发重播种操作（Reseed Operation）。重播种过程从物理熵源实时读取经过调节的熵比特串 $E_r$ ，并结合可选的个性化字符串（Personalization String）更新内部主控密钥：

(V', K') = \mathrm{DRBG\_Reseed}(V, K, E_r, \mathrm{AdditionalInput})

RBG2 构造提供了强大的预测阻断（Prediction Resistance, PR）能力：

破坏状态连续性：若应用程序在调用生成接口时置位预测阻断请求标志 $\mathrm{prediction\_resistance\_flag = TRUE}$ ，发生器将在产生随机比特前强制执行一次物理熵源重播种，彻底切断历史内部状态与未来输出之间的代数关联；
抗状态妥协自愈性：即便密码设备在某一时刻遭受瞬态故障注入或内存探测导致内部状态完全暴露，只要后续物理量子熵源持续注入高熵数据，RBG2 即可在随后的重播种周期中迅速自愈，恢复到不可预测的安全状态。

2.3 RBG3 构造：全熵输出机制与过采样物理注入

RBG3 构造是 SP 800-90C 标准体系中安全等级最高的结构，其核心设计目标是实现真正意义上的“全熵输出（Full Entropy Output）”。在严格的信息论密码学定义中，若一个长度为 $L$ 比特的随机比特序列，其所蕴含的最小熵 $H_{\infty}$ 满足：

H_{\infty} = -\log_2 \left( \max_{x \in \{0, 1\}^L} P(X = x) \right) \ge L - \epsilon

其中 $\epsilon$ 为可忽略的微小常数（在 SP 800-90C 规范中，全熵输出要求每个输出比特的最小熵评估值极其逼近 1.0），则该序列被认定为具备全熵特性。

为了达到这一极致安全指标，RBG3 构造要求物理熵源必须经过严密的密码学过采样（Oversampling）后处理，且每次生成请求均需触发物理熵的直接异或增强或单次强制重播种：

单次使用即销毁模型：内部 DRBG 状态在响应单次随机数生成请求后即宣告作废，下一次请求必须重新由物理量子熵源提供全量种子；
物理熵流直接组合：将 DRBG 输出的高速确定性伪随机流与经过 SP 800-90B 认证的物理真随机比特流进行按位异或（XOR）：

R_{\mathrm{Full}} = R_{\mathrm{DRBG}} \oplus E_{\mathrm{Physical}}

由于物理量子噪声具备真正的信息论不可预测性，按位异或操作从信息论角度确保了即使 DRBG 算法遭到未知的代数攻击破译，输出流的熵密度依然严格等于物理熵源的满熵。

2.4 三类 RBG 架构在安全、时延与吞吐维度的量化对比

在实际工业级系统架构选型中，必须权衡安全性、物理吞吐率、首字节延迟与硬件实现复杂度。三类标准构造的工程指标对比如下表所示：

架构参数与特性维度	RBG1（外部播种型）	RBG2（实时重播种型）	RBG3（全熵增强型）
核心标准依据	NIST SP 800-90A/C	NIST SP 800-90A/B/C	NIST SP 800-90A/B/C / FIPS 140-3
物理熵源依赖	仅初始化阶段依赖	内部集成物理/噪声源	内部集成高通量物理量子熵源
每比特输出熵密度	计算不可区分（计算安全）	计算安全 + 定期刷新	严格满熵（信息论安全）
预测阻断能力 (PR)	不支持	支持（按需触发）	天生支持（每次请求完全隔离）
典型输出吞吐量	10 Gbps ~ 40 Gbps（纯软件）	2 Gbps ~ 8 Gbps（混合流）	1 Gbps 物理硬件实时直通
首字节输出时延	$< 0.1\,\mu\mathrm{s}$	$0.5\,\mu\mathrm{s} \sim 2.0\,\mu\mathrm{s}$	$1.2\,\mu\mathrm{s} \sim 5.0\,\mu\mathrm{s}$ （含熵提取）
抗侧信道状态泄露	弱（一旦暴露全局沦陷）	强（重播种后自动自愈）	极强（单次瞬态状态无后效性）
后量子密码核心适用	边缘传感器数据通信	通用 TLS / IPsec 协议通道	PQC 根密钥生成 / 签名掩码采样

2.5 SP 800-90C 状态机演化与重播种周期控制

SP 800-90C 规范对发生器的状态迁移实施了基于形式化状态机的严格约束。状态机包含未初始化（Uninitialized）、就绪（Ready）、正在重播种（Reseeding）、生成中（Generating）以及错误闭锁（Error Latch）五种核心状态。

在 RBG2 与 RBG3 的状态演化中，每次状态转移均由硬件原子计数器进行精确监控：

重播种计数器（Reseed Counter）：每次发生器执行重播种后，计数器重置为 1；每次成功响应随机数请求后，计数器自增 1；
自适应阈值触发：当计数器达到预设的硬限制 $C_{\mathrm{reseed\_interval}}$ （例如在通用服务器中推荐设置为 $2^{16} = 65536$ 次请求）时，发生器将自动挂起外部请求队列，优先调度物理量子熵源接口执行强制重播种；
健康状态互锁判定：若后台连续健康测试模块发出告警标志，状态机瞬间从任意状态无条件跳转至错误闭锁状态，同时切断数据输出总线并向微控制器发送致命故障信号。

3. 物理量子熵源建模与 SP 800-90B 熵评估数学理论

物理熵源是 RBG2 与 RBG3 实现真随机特性的源头活水。在各类物理噪声源中，基于半导体激光器相位涨落与光学平衡探测的量子随机数发生器（QRNG），具备速率高、物理模型清晰、外界环境扰动免疫等显著优势。

3.1 基于激光相位涨落与平衡探测的 1Gbps 物理量子熵源产生机理

正微光电硬件架构采用基于连续半导体分布式反馈（DFB）激光器的光场自发辐射量子相位涨落方案。DFB 激光器在阈值附近及稳态工作时，腔内光子的自发辐射引入了微观量子相位噪声 $\theta(t)$ 。

激光器输出光注入一个非对称空间干涉分束器（Beam Splitter, BS），使其与自身经过时延 $\tau$ 的光束发生光学相干干涉。两路输出光信号由对准匹配的超高速平衡光电探测器（Balanced Photodetector, BPD）接收。平衡探测器的差分输出光电流表达式为：

I_{\mathrm{diff}}(t) = 2 R \sqrt{P(t) P(t-\tau)} \cos\left[ \Delta\omega\cdot\tau + \Delta\theta(t, \tau) \right] + I_{\mathrm{noise}}(t)

其中 $R$ 为光电探测器响应度， $P(t)$ 为光功率， $\Delta\omega$ 为激光中心角频率漂移， $\Delta\theta(t, \tau) = \theta(t) - \theta(t-\tau)$ 为经过时延差干涉后的纯量子相位差，而 $I_{\mathrm{noise}}(t)$ 包含了探测器的经典散粒噪声与热噪声。

通过精确调控干涉仪臂长差使时延 $\tau$ 严格大于激光器的物理相干时间 $\tau_c$ ， $\Delta\theta(t, \tau)$ 将演化为在 $[0, 2\pi)$ 区间内完全均匀分布且互不相关的真随机变量。差分光电流经过超低噪声跨阻放大器（TIA）线性放大后，送入 8 位高速模数转换器（ADC）在 1GHz 采样时钟下进行连续离散数字化，从而在物理层直接输出高达 1Gbps 物理速率的原始数字化量子噪声流。

在模拟前端电路设计中，平衡探测器的高共模抑制比（CMRR > 35 dB）能够有效滤除激光器相对强度噪声（RIN）与环境共模电源扰动。跨阻放大器的热噪声等效电流谱密度受控于反馈电阻阻值，确保量子信号涨落功率谱密度高出本底电噪声基底 12 dB 以上，为后续最小熵评估提供了坚实的物理信噪比支撑。

3.2 最小熵数学定义与 IID / Non-IID 统计检验理论

在信息论与密码学评估中，香农熵（Shannon Entropy）仅衡量了随机变量的平均信息量，不足以刻画敌手在最坏情况下的最大猜测成功率。NIST SP 800-90B 规范强制要求采用最小熵（Min-Entropy, $H_{\infty}$ ）作为衡量物理熵源质量的唯一定量基准。

设离散随机变量 $X$ 的取值空间为 $\mathcal{A} = \{x_1, x_2, \dots, x_k\}$ ，其概率分布为 $P(X = x_i) = p_i$ 。最小熵严格定义为最大可能出现结果的负对数：

H_{\infty}(X) = -\log_2 \left( \max_{1 \le i \le k} p_i \right) = -\log_2 (p_{\max})

若一个 8 位 ADC 输出样本的最大出现概率为 $p_{\max} = 1/256 = 2^{-8}$ ，则其最小熵达到理论最大值 8.0 比特/样本；若由于模拟电路偏置导致某一个量化电平出现的概率上升至 $p_{\max} = 2^{-5} = 0.03125$ ，则其实际最小熵急剧衰减至 5.0 比特/样本。

为了科学评估物理熵源，SP 800-90B 设立了两阶段检验框架：

独立同分布（IID）判定测试：对原始采集的连续 1,000,000 个样本执行排列测试（Permutation Tests）、卡方独立性检验、滞后自相关检验与游程长度分布检验。若样本序列通过全部 10 项统计假设检验，则判定该物理熵源满足 IID 假设，其最小熵由最高出现频率直接计算：

H_{\infty\_\mathrm{IID}} = -\log_2 \left( \hat{p}_{\max} + 2.576 \sqrt{\frac{\hat{p}_{\max}(1 - \hat{p}_{\max})}{N - 1}} \right)

非独立同分布（Non-IID）评估框架：若物理信号中存在不可消除的低频漂移或微弱滤波相关性，未能通过 IID 假设，则必须进入极其严苛的 Non-IID 评估流程。

3.3 SP 800-90B 十大非参数化最小熵估计算法推导

在 Non-IID 评估模式下，SP 800-90B 规范规定了十种从不同统计维度探测数据模式与压缩边界的估计器算法，最终的最小熵评估值取所有十种算法计算结果的绝对最小值：

H_{\infty\_\mathrm{Assessed}} = \min \Big\{ H_{\mathrm{MC}}, H_{\mathrm{Collision}}, H_{\mathrm{Markov}}, H_{\mathrm{Compression}}, H_{\mathrm{t\_Tuple}}, H_{\mathrm{LRS}}, H_{\mathrm{MultiMC}}, H_{\mathrm{Lag}}, H_{\mathrm{MultiMarkov}}, H_{\mathrm{LZ78}} \Big\}

各核心估计器的数学原理如下：

最常见值估计器（Most Common Value Estimate, $H_{\mathrm{MC}}$ ）：统计全局出现频次最高的符号，并施加 99% 上侧置信区间修正；
碰撞估计器（Collision Estimate, $H_{\mathrm{Collision}}$ ）：基于生日悖论模型，统计连续输出中首次发生符号重复所需的步长分布，用于敏感捕捉概率集中分布；
马尔可夫估计器（Markov Estimate, $H_{\mathrm{Markov}}$ ）：建立一阶马尔可夫转移概率矩阵 $P(X_t = j \mid X_{t-1} = i)$ ，评估由状态转移导致的最坏预测概率：

p_{\mathrm{Markov\_max}} = \max_{i_1, i_2, \dots, i_{128}} \left( p_{i_1} \prod_{j=1}^{127} P(X_{j+1} = i_{j+1} \mid X_j = i_j) \right)

压缩估计器（Compression Estimate, $H_{\mathrm{Compression}}$ ）：基于 Maurer 通用统计检验原理，利用数据可压缩极限反推熵率上界；
t-元组估计器（t-Tuple Estimate, $H_{\mathrm{t\_Tuple}}$ ）：统计连续 $t$ 个符号构成的元组频次分布，评估短距离上下文关联；
最长重复子串估计器（LRS Estimate, $H_{\mathrm{LRS}}$ ）：遍历整个百万样本集，搜索长度最长的重复子串，防止物理发生器出现深层周期回环；
多最常见值估计器（Multi Most Common Value Estimate, $H_{\mathrm{MultiMC}}$ ）：在不同子序列重采样步长下重复执行频次最高值估计；
滞后预测估计器（Lag Prediction Estimate, $H_{\mathrm{Lag}}$ ）：建立多阶时间滞后线性自回归预测模型，评估时域记忆效应对熵的折损；
多阶马尔可夫估计器（Multi-Markov Estimate, $H_{\mathrm{MultiMarkov}}$ ）：扩展至多阶状态转移空间，捕捉复杂的长程记忆关联；
LZ78 字典估计器（LZ78 Estimate, $H_{\mathrm{LZ78}}$ ）：基于 Lempel-Ziv 字典构建过程，由字典树的生长速率严格约束熵产率下限。

3.4 物理噪声源环境扰动建模与自相关性消除

在实际工业机房与复杂变电站现场环境中，环境温度起伏、直流电源微小纹波以及空间高频电磁干扰均可能耦合至光电探测回路，导致原始采样流出现低频自相关。

设噪声采样信号的时域离散自相关函数为：

R_{xx}(k) = \frac{1}{N-k} \sum_{t=1}^{N-k} (x_t - \bar{x})(x_{t+k} - \bar{x})

为了消除模拟前端的工频纹波，正微光电硬件在光电探测器之后集成了带通主动滤波网络与自动增益控制（AGC）微环路，同时在数字前端构建了基于高阶差分运算与 Walsh-Hadamard 正交去相关变换电路，确保在进入密码学调节器前，信号的滞后自相关系数 $|R_{xx}(k) / R_{xx}(0)| < 0.001$ （对任意 $k \ge 1$ ）。

4. 密码学后处理调节与过采样全熵提取工程实现

经过物理前端与 ADC 离散化输出的原始量子噪声流，虽然包含了充沛的不可预测微观熵，但通常存在轻微的直流偏置与不均匀分布，无法直接作为全熵密钥使用。必须通过符合 SP 800-90B/C 规范的密码学调节组件（Conditioning Component）进行确定性无偏抽取。

4.1 密码学调节函数分类与规范标准

NIST SP 800-90B 规范第 3.1.5 节严格限制了可用于密码学熵提取的调节函数类型：

基于分组密码的 CBC-MAC 调节器：采用 AES-256 或国密 SM4 密码算法，在固定公开密钥下执行无填充的分组链接报文认证码计算；
基于密码哈希的 SHA-256 / SHA3-256 / SM3 调节器：利用抗碰撞性与雪崩效应将变长输入压缩为固定长度的摘要输出；
基于线性代数的广义 Toeplitz 哈希提取器：利用通用哈希函数族（Universal Hash Families）实现确定性信息论熵提取。

4.2 Toeplitz 广义哈希提取矩阵与左剩余引理信息论推导

在高速硬件物理实现中，Toeplitz 矩阵哈希提取器因其完全可并行化、无内部迭代延迟、易于在 FPGA 硬件逻辑中流水线展开而成为首选。

设原始物理输入向量为 $\mathbf{x} \in \{0, 1\}^n$ ，目标全熵输出向量为 $\mathbf{y} \in \{0, 1\}^m$ （其中 $m < n$ ）。Toeplitz 矩阵 $\mathbf{T} \in \{0, 1\}^{m \times n}$ 的每一条对角线元素保持常数：

\mathbf{T} = \begin{bmatrix} t_m & t_{m+1} & t_{m+2} & \dots & t_{m+n-1} \\ t_{m-1} & t_m & t_{m+1} & \dots & t_{m+n-2} \\ t_{m-2} & t_{m-1} & t_m & \dots & t_{m+n-3} \\ \vdots & \vdots & \vdots & \ddots & \vdots \\ t_1 & t_2 & t_3 & \dots & t_n \end{bmatrix}

矩阵的生成仅需 $n + m - 1$ 个随机种子比特。输出向量通过有限域 $\mathrm{GF}(2)$ 上的矩阵向量乘法计算：

\mathbf{y} = \mathbf{T} \cdot \mathbf{x} \pmod 2

根据经典的信息论左剩余引理（Leftover Hash Lemma），设输入随机变量 $X$ 的最小熵为 $H_{\infty}(X) = k$ 。若提取输出长度 $m$ 满足：

m \le k - 2 \log_2 \left( \frac{1}{\delta} \right)

则输出向量 $Y = \mathbf{T}X$ 在统计距离（Statistical Distance）意义下与 $\{0, 1\}^m$ 上的完全均匀分布之间的偏离量不超过 $\delta$ ：

\mathrm{SD}(Y, U_m) = \frac{1}{2} \sum_{y \in \{0,1\}^m} \left| P(Y = y) - 2^{-m} \right| \le \delta = 2^{-\frac{k - m}{2}}

在密码学工程实践中，若设定安全余量参数 $\delta = 2^{-64}$ ，当原始物理噪声流的评估最小熵为 $H_{\infty} = 5.2\,\mathrm{bits/byte}$ 时，对于 $n = 2048$ 位的输入块，其总输入熵为 $k = 256 \times 5.2 = 1331.2$ 比特。设置输出长度 $m = 512$ 比特，此时：

\delta = 2^{-\frac{1331.2 - 512}{2}} = 2^{-409.6} \ll 2^{-64}

这从数学上彻底证明了输出序列与理想全熵均匀分布之间的不可区分性，完全消除了任何统计偏置。

4.3 SP 800-90C 过采样评估理论与 2s 准则

NIST SP 800-90C 针对 RBG3 全熵发生器明确提出了严苛的过采样（Oversampling）准则。

当未经过 SP 800-90B 完整数学认证的通用调节器参与处理时，规范要求输入的最小熵总量必须达到目标安全强度 $s$ 的两倍，即所谓的 $2s$ 过采样准则：

H_{\mathrm{in\_total}} \ge 2s

例如，为构造安全强度为 $s = 256$ 位的后量子全熵种子，输入到调节组件中的原始物理数据所蕴含的最小熵必须不低于 512 比特。若采用 SP 800-90B 严格认证的密码学哈希函数（如 SHA3-256），规范允许使用精简过采样公式：

H_{\mathrm{in\_total}} \ge s + 64 = 320\,\mathrm{bits}

该额外的 64 比特熵提供了坚实的抗侧信道压缩容限，确保在任何有限样本空间下，输出比特串的条件熵亏损严格小于 $2^{-64}$ 。

4.4 硬件级流水线设计：FPGA 并行加速与 PCIe DMA 零拷贝传输

为了在 1Gbps 持续物理线速下完成复杂的 Toeplitz 矩阵哈希乘法与 SP 800-90B 调节，正微光电在 FPGA 硬件内部实现了高度优化的并行流水线。

整个硬件数据路径包含四个核心微架构单元：

64 路并行 LFSR-Toeplitz 计算阵列：利用移位寄存器结构重构矩阵乘法，单时钟周期并行处理 64 个输入比特，主频运行在 156.25 MHz，完美匹配 10 Gbps 内部交换背板；
硬件乒乓无锁 FIFO 环形缓冲区：在调节输出端配置 4MB 双端口 Block RAM，采用无锁环形队列管理读写指针，消灭内核上下文切换抖动；
PCIe Gen3 x4 DMA 散射-聚集（Scatter-Gather）引擎：物理板卡直接将全熵随机比特流通过 DMA 突发传输推送至主机内存的锁定页物理地址（Locked Kernel Pages），单通道实测吞吐量达 1.25 GB/s；
用户态零拷贝字符设备接口：通过 /dev/qrng 字符设备暴露 mmap() 零拷贝内存映射接口，应用程序获取 256 位全熵种子的系统调用耗时降至 120 纳秒以内。

4.5 模格降维攻击与高阶 Rényi 熵安全证明

在分析格密码算法对随机数偏置的鲁棒性时，经典香农熵不足以量化密码分析者在多项式时间内的攻击优势。为此，必须引入二阶 Rényi 熵（Rényi Entropy of Order 2, 亦称碰撞熵）：

H_2(X) = -\log_2 \left( \sum_{x \in \mathcal{X}} P(X = x)^2 \right)

由于对于任意离散随机变量，恒有 $H_{\infty}(X) \le H_2(X) \le H_1(X)$ ，基于左剩余引理提取的全熵比特串在二阶 Rényi 熵意义下同样满足强下界约束。

设模格 LWE 问题的误差向量 $\mathbf{e}$ 采样自经过 Toeplitz 矩阵调节后的物理熵流。若提取输出与均匀分布的统计距离为 $\delta$ ，则攻击者求解非齐次短整数解问题（Inhomogeneous Short Integer Solution, ISIS）的成功概率与在理想均匀分布下的成功概率之差满足：

\left| \mathrm{Adv}_{\mathrm{PQC}}^{\mathrm{Real}} - \mathrm{Adv}_{\mathrm{PQC}}^{\mathrm{Ideal}} \right| \le 2\delta

在正微光电的全熵架构中，安全余量参数设置为 $\delta \le 2^{-64}$ ，这意味着无论攻击者采用何种先进的格基约简算法（包括 LLL、BKZ 乃至量子加速筛法），物理熵源后处理所残留的微弱偏置对格基规约成功率的影响严格被压制在可忽略区间内，从信息论层面证明了抵御模格降维攻击的绝对安全性。

5. 连续在线健康测试与灾难性故障熔断微架构

物理熵源可能由于器件老化、温度骤变、激光器退化或外部恶意物理注入攻击（如脉冲激光照射、电磁毛刺注入）而发生突发性失效。SP 800-90B 与 SP 800-90C 强制要求必须在物理层部署连续在线健康测试（Continuous Health Tests）。

5.1 重复计数测试截断阈值统计学推导与误报率控制

重复计数测试（Repetition Count Test, RCT）旨在以极低的时延检测物理熵源是否发生了“输出锁死（Stuck-at Fault）”或极端概率偏置。

设物理熵源输出的离散符号空间中，单个符号的最大理论出现概率为 $p_{\max} = 2^{-H_{\infty}}$ 。若物理熵源正常工作，连续观测到同一符号连续出现 $C$ 次的概率服从几何分布：

P(N = C) = p_{\max}^{C - 1}

SP 800-90B 规范规定，在连续健康测试中，单次误报率（False Positive Probability）上限必须设定为 $\alpha = 2^{-20} \approx 10^{-6}$ （在上电自检中为 $2^{-40}$ ）。据此，RCT 截断阈值 $C_{\mathrm{cutoff}}$ 的闭式计算公式为：

C_{\mathrm{cutoff}} = 1 + \left\lceil \frac{-\log_2(\alpha)}{H_{\infty}} \right\rceil = 1 + \left\lceil \frac{20}{H_{\infty}} \right\rceil

设系统评估的最小熵为 $H_{\infty} = 4.0\,\mathrm{bits/sample}$ ，则：

C_{\mathrm{cutoff}} = 1 + \left\lceil \frac{20}{4.0} \right\rceil = 1 + 5 = 6

这意味着，一旦在物理采样流中检测到任何符号连续重复出现 6 次，硬件必须在下一个时钟周期立即拉高故障信号，强制阻断随机数输出。

5.2 自适应比例测试滑动窗口机制与二项分布极限

自适应比例测试（Adaptive Proportion Test, APT）旨在检测物理熵源在较长时间窗口内的局部分布漂移与熵密度萎缩。

APT 在固定长度的样本窗口 $W$ 内运行（对于非二进制符号，标准推荐窗口长度为 $W = 512$ 或 $W = 1024$ ）。算法首先将窗口起始的第一个样本标记为参考样本 $A$ 。在随后的 $W-1$ 个样本中，计数器统计样本值等于 $A$ 的总次数 $S$ 。

在理想条件下，计数器 $S$ 服从参数为 $(W-1, p_{\max})$ 的二项分布 $B(W-1, p_{\max})$ 。由二项分布的累积概率分布反解出误报率为 $\alpha = 2^{-20}$ 时的截断阈值 $C_{\mathrm{APT}}$ ：

P(S \ge C_{\mathrm{APT}}) = \sum_{k=C_{\mathrm{APT}}}^{W-1} \binom{W-1}{k} p_{\max}^k (1 - p_{\max})^{W-1-k} \le \alpha

利用二项分布的正态近似（德莫佛-拉普拉斯中心极限定理），阈值可精确近似为：

C_{\mathrm{APT}} = \left\lfloor 1 + (W-1) p_{\max} + z_{\alpha} \sqrt{(W-1) p_{\max} (1 - p_{\max})} \right\rfloor

其中 $z_{\alpha} = \Phi^{-1}(1 - 2^{-20}) \approx 4.753$ 为标准正态分布的临界分位数。硬件滑动窗口通过双端口循环 RAM 实现，滑动步长为 1，确保对任何局部统计异常实现瞬态捕捉。

5.3 在线马尔可夫熵估算器与动态熵萎缩早期预警

除 SP 800-90B 强制的 RCT 与 APT 外，正微光电硬件架构创新引入了基于 FPGA 硬件流水线的轻量化在线马尔可夫熵估算器（Online Markov Estimator）。

硬件维护一个 $16 \times 16$ 的一阶条件转移频次表 $N_{ij}$ （对 4 位字长）：

\hat{P}(X_t = j \mid X_{t-1} = i) = \frac{N_{ij}}{\sum_{k} N_{ik}}

在线计算单元每隔 $2^{16}$ （65,536）个时钟周期，利用硬件定点对数查找表（LUT）评估局部条件最小熵 $\hat{H}_{\mathrm{local}}$ 。当 $\hat{H}_{\mathrm{local}}$ 跌破预设安全警戒线（如 $3.0\,\mathrm{bits/sample}$ ）但尚未触发 RCT/APT 硬停机时，驱动程序将提前发出渐进式预警中断，通知上层调度系统进行动态降级或切换冗余物理通道。

5.4 故障状态闭锁、敏感寄存器安全零化与硬件硬熔断逻辑

为杜绝任何退化或损坏的随机数泄漏至后量子密码模块，物理板卡构建了三重安全熔断机制：

硬件 D 触发器故障闭锁（Hardware Fault Latch）：一旦 RCT 或 APT 比较器输出有效高电平，内部异步置位触发器立即锁死输出通道，该锁死状态无法通过软件寄存器写操作清除，必须经由硬件物理复位引脚（Hardware Reset Pin）或冷重启；
敏感寄存器单周期零化（Single-Cycle Zeroization）：在闭锁信号触发的同一时钟周期内，硬件清零总线向所有 FIFO、Toeplitz 移位寄存器、DMA 发送描述符以及 DRBG 内部密钥寄存器广播全零覆盖信号，确保物理内存中不残留任何受污染的历史数据；
输出引脚高阻与硬件中断告警：物理数据接口瞬间切换至高阻态（High-Z），同时向 PCIe 主机发送 MSI-X 关键严重中断，阻止系统使用当前缓冲区。

6. 后量子密码核心算法对接与防偏置微架构

高质量的 SP 800-90C 全熵随机流，在与后量子密码核心算法对接时，必须在软件与微架构层面实现无缝融合。

6.1 FIPS 203 ML-KEM 密钥生成与封装抗偏置验证

在 NIST FIPS 203 ML-KEM 算法中，密钥生成、封装与解封装过程深度依赖于伪随机扩展函数与中心二项分布（CBD）采样。

在 CBD 采样中，算法从随机比特串中读取 $2\eta$ 个比特 $(a_1, \dots, a_\eta, b_1, \dots, b_\eta)$ ，并计算多项式小系数：

f(x) = \sum_{i=1}^\eta a_i - \sum_{i=1}^\eta b_i

在 ML-KEM-768 中， $\eta = 2$ ，输出系数取值范围为 $\{-2, -1, 0, 1, 2\}$ 。CBD 采样的安全性高度依赖于比特串 $(a_i, b_i)$ 的绝对无偏性。若由于 RBG 输出偏置导致 $\mathbb{E}[a_i] \ne 1/2$ ，则采样的噪声多项式期望均值将偏离零点：

\mathbb{E}[f(x)] = \eta \cdot \Delta \epsilon \ne 0

这一微小均值漂移在多项式矩阵乘法 $\mathbf{A}\mathbf{s} + \mathbf{e}$ 展开后将被累积放大，使得解密失败概率（Decryption Failure Rate, DFR）上升数个数量级，并直接遭受选择密文失败率攻击（Failure Boosting Attack）。通过 SP 800-90C RBG3 全熵输出为 ML-KEM 注入种子，彻底切断了这一攻击路径。

6.2 FIPS 204 ML-DSA 掩码采样、常数时间拒绝采样与签名防泄露

ML-DSA 采用带拒绝采样的 Fiat-Shamir 构造。在签名主循环中，发生器采样掩码向量 $\mathbf{y}$ ，计算承诺 $\mathbf{w}_1$ ，并计算候选签名 $\mathbf{z} = \mathbf{y} + c\mathbf{s}_1$ 。

签名者必须验证：

\|\mathbf{z}\|_{\infty} < \gamma_1 - \beta, \quad \|\mathbf{r}_0\|_{\infty} < \gamma_2 - \beta

若不满足条件，则立即执行拒绝操作并重新采样 $\mathbf{y}$ 。在整个流程中：

拒绝采样必须常数时间：拒绝采样的循环迭代次数与分支判定必须与私钥 $\mathbf{s}_1, \mathbf{s}_2$ 完全解耦；
掩码向量 $\mathbf{y}$ 必须全局不可预测：若敌手能预测两次连续签名中 $\mathbf{y}$ 的部分比特，即可通过构建差分同余方程：

\mathbf{z}_1 - \mathbf{z}_2 = (\mathbf{y}_1 - \mathbf{y}_2) + (c_1 - c_2)\mathbf{s}_1

直接消除掩码并线性求解私钥 $\mathbf{s}_1$ 。SP 800-90C 全熵发生器通过硬件常数时间掩码预取流水线，为 ML-DSA 每次签名提供物理隔离的独立随机流，消灭了任何跨签名关联。

6.3 FIPS 205 SLH-DSA 随机化盐值注入与故障防御

在无状态哈希签名 SLH-DSA（FIPS 205）中，标准支持确定性模式（Deterministic Mode）与随机化模式（Randomized Mode）。

在随机化模式下，签名算法从 SP 800-90C RBG 中抽取 256 位随机盐值 $\mathrm{opt\_rand}$ ，并与私钥种子和消息摘要共同杂凑：

R = \mathrm{PRF}(\mathrm{SK.prf}, \mathrm{opt\_rand}, M)

随机化模式的引入具有两大决定性优势：

阻断多目标差分攻击：使得同一消息的多次签名在哈希树中的路径完全随机化，攻击者无法在多个签名实例间平摊密码分析算力；
免疫物理故障注入攻击（Fault Injection Attacks）：在纯确定性签名中，若攻击者在签名计算过程中通过电磁脉冲使某一步哈希计算发生单比特翻转，便能通过比对正确签名与错误签名恢复私钥；而全熵 $\mathrm{opt\_rand}$ 的注入使得每次计算基底完全不同，彻底瓦解了差分故障分析（DFA）的前提假设。

6.4 常数时间跨进程熵共享与防重放微架构

在现代多租户云服务器与容器化环境中，多个后量子密码进程并发请求随机数。为防止微架构缓存侧信道泄漏，系统构建了常数时间跨进程熵派发微架构：

每个进程独立状态沙箱：基于 Linux 内核 CSPRNG 机制与 vDSO 扩展，在用户空间为每个线程维护独立的 DRBG 实例，消除多线程锁竞争；
原子无锁物理熵补充：内核工作队列以 64 字节原子块为粒度从 PCIe DMA 环形缓冲区提取全熵数据，通过 CAS（Compare-And-Swap）原子指令无锁注入各进程沙箱；
抗虚拟化快照重放保护（Snapshot Replay Protection）：驱动程序监控虚拟化超调用（Hypercall）与 CPUID 时钟周期计数器，一旦检测到虚拟机发生冷迁移或快照恢复，立即强制重置所有用户态 DRBG 状态并重新从物理板卡拉取全熵种子。

6.5 硬件侧信道防护与无查表常数时间 CBD 采样微架构

在后量子密码硬件实现中，随机数采样单元本身往往是差分功耗分析（DPA）与电磁侧信道攻击的高危暴露点。若采样算法依赖于基于查表法（Lookup Table）实现中心二项分布（CBD）或离散高斯分布转换，查表寻址过程中的缓存命中/缺失（Cache Hit/Miss）将直接通过微架构时序旁路泄露私钥敏感信息。

为从根本上消除这一侧信道隐患，正微光电在硬件加速核中设计了纯算术逻辑的无查表常数时间 CBD 采样微架构：

纯布尔位运算并行累加：利用纯逻辑门构建 $2\eta$ 比特常数时间加减器，彻底废弃任何内存查表操作；
功耗毛刺平衡屏蔽（Glitch-Free Dual-Rail Logic）：在 FPGA 硬件逻辑中使用双轨互补逻辑驱动采样多项式系数计算，使得无论输出系数为负数、零还是正数，内部晶体管翻转的总汉明重量（Hamming Weight）始终保持恒定；
随机化掩码动态注入：在将采样多项式系数送入数论变换（NTT）蝶形计算单元前，流水线自动异或一个由板载量子熵源实时生成的随机掩码向量 $\mathbf{r}_{\mathrm{mask}}$ ，实现一阶 DPA 功耗分析的主动免疫。

7. 工业级全熵 RBG 系统集成与密码服务性能实测

基于上述架构理论，正微光电研制了面向服务器高密计算与关键信息基础设施调度中枢的专用 PCIe 量子随机数加速板卡与全熵密码机系统。

7.1 PCIe 物理密码板卡与服务端密码机硬件集成

PCIe 硬件板卡采用单槽半高半长工业级标准规格，板载自研 1Gbps 光电集成 QRNG 光学前端、Xilinx Kintex-7 / UltraScale+ FPGA 密码加速芯片、硬件真随机数监控引擎以及 PCIe Gen3 主控接口。

板卡与服务端系统的集成架构遵循分层解耦原则：

物理硬件层：光电探测、1Gbps 离散数字化、SP 800-90B 连续健康监测与 Toeplitz 全熵提取完全固化于 FPGA 硬件逻辑内部；
内核驱动层：提供标准 Linux 字符设备驱动与直接内存访问（DMA）控制器，支持 MSI-X 向量中断与设备热插拔；
用户态协议层：封装标准 C/C++、Rust 与 Go 语言 SDK，直接对接 OpenSSL 3.4+ PQC 插件引擎与自研后量子密码库。

7.2 GM/T 0018 与 GM/T 0030 接口全熵适配

为全面契合国内商用密码技术规范，系统实现了对国密 GM/T 0018（密码设备应用接口规范）与 GM/T 0030（服务器密码机技术规范）SDF（Security Device Function）接口的原生全熵扩展：

/* GM/T 0018 / GM/T 0030 SDF 原生扩展全熵随机数生成接口 */
SGD_RV SDF_GenerateFullEntropyRandom(
    void*       hSessionHandle,
    SGD_UINT32  uiLength,
    SGD_UCHAR*  pucRandomBuffer,
    SGD_UINT32  uiFlags
);

在接口实现中，当 uiFlags 指定 SDF_FLAG_RBG3_FULL_ENTROPY 时，驱动层直接旁路软件伪随机算法，以零拷贝方式从硬件全熵 FIFO 队列中直通派发真随机数，满足金融核心账本与电力调度中枢对根密钥生成的最高合规认证要求。

7.3 实测性能指标与合规测试验证

在实验室标准环境下，使用多台高性能测试仪器与测试套件对硬件系统进行了长期连续压力测试，关键实测性能参数如下：

测试项目与技术参数	实测数据与测试条件	规范要求与达标判定
物理量子熵源产生速率	1.04 Gbps（连续稳态输出）	$\ge 1.0\,\mathrm{Gbps}$ （完全达标）
SP 800-90B assessed $H_\infty$	7.982 bits / 8-bit sample（Non-IID 模式）	$\ge 7.5\,\mathrm{bits/sample}$ （优异）
RCT 连续重复故障触发率	0 次误报（连续运行 720 小时）	单次误报率 $\le 2^{-20}$ （完全合规）
APT 滑动窗口异常报警率	0 次误报（连续处理 $10^{12}$ 样本）	误报率 $\le 2^{-20}$ （完全合规）
NIST SP 800-22 统计测试	15 项大类全部通过（P-value Uniformity $> 0.0001$ ）	100 组 $10^6$ bit 样本全过（PASS）
GM/T 0005 随机性检验	单比特频数/扑克/自相关全过	严格符合国密一/二级标准（PASS）
后量子算法 193/193 KAT 测试	193 组已知答案测试全数匹配	覆盖 ML-KEM / ML-DSA / SLH-DSA
ARM Cortex 架构加速性能	6.7~8.9× 加速（相比纯 C 标量实现）	已在电网低功耗感知终端试点
自主知识产权支撑	13 项授权专利覆盖光学到密码应用	自主可控核心技术闭环

7.4 关键基础设施与高并发网络网关工程落地

目前，该全熵随机比特发生器架构已成功应用于多项重大国家级基础设施工程：

电力调度中枢量子安全加固：在国家电网试点项目中，物理板卡部署于调度控制中心服务器与变电站远动通信装置中，利用 1Gbps 全熵物理真随机数驱动 ARM Cortex 架构边缘终端实现 6.7~8.9× 加速的 PQC 混合认证握手；
25G/100G 高速量子安全 IPsec VPN 汇聚网关：在大型数据中心边界网关中，全熵发生器为每秒数万次并发的 IKEv2 / RFC 9370 后量子密钥协商提供高吞吐、零时延的真随机种子派发，有力抵御了“先存后解（HNDL）”长期窃密威胁。

7.5 内存保护与侧信道物理隔离工程规范

在服务器操作系统的虚拟内存管理中，随机数发生器的内部状态与敏感种子极易受到操作系统的内存换页机制（Paging / Swapping）以及未初始化内存重分配的威胁。若包含高熵种子或 DRBG 内部工作状态的内存物理页被操作系统内核交换至机械硬盘或 NVMe 固态硬盘的 Swap 分区，即便上层应用程序正常退出，攻击者仍可通过对持久化存储介质进行物理取证，提取出敏感历史熵数据。

为了彻底消除持久化存储泄露风险，正微光电驱动程序与底层系统库在内存生命周期管理中严格执行三级硬件级保护纪律：

内存物理页常驻锁定（mlock）：所有用于存储物理量子熵采集流、Toeplitz 矩阵系数、DRBG 内部工作状态 $(V, K)$ 以及用户态接收缓冲区的内存区域，在申请分配时必须立即调用 mlock() 或 mlockall(MCL_CURRENT | MCL_FUTURE) 系统调用，显式指示操作系统内核禁止将该虚拟内存区域换出至磁盘；
转储隔离保护（MADV_DONTDUMP）：在内存分配完成的第一时间，通过 madvise(addr, len, MADV_DONTDUMP) 系统调用，将敏感内存页标记为核心转储排除页。即便应用程序发生严重段错误崩溃并生成 Core Dump 文件，包含敏感随机数种子的内存页亦绝不会被写入转储文件，彻底阻断内部敏感状态泄露至日志排错系统；
确定性挥发安全零化（Deterministic Sanitization）：在缓冲区使用完毕释放前，严禁依赖标准库常规 memset() 函数（现代优化编译器常将无后续读操作的 memset() 作为死代码消除）。驱动与 SDK 统一采用汇编级常数时间安全零化指令或 explicit_bzero()，并在写入后插入内存屏障指令保证物理刷新：

/* 确定性无优化消除安全零化函数实现 */
void secure_zeroize_memory(volatile void* v, size_t n) {
    volatile unsigned char* p = (volatile unsigned char*)v;
    while (n--) {
        *p++ = 0;
    }
    __asm__ __volatile__("" : : "r"(v) : "memory");
}

通过严密构筑从光学采集、硬件 FPGA 处理、PCIe DMA 零拷贝传输、到内核驱动与用户态内存隔离的全链路物理防护体系，系统实现了真正无短板的量子安全工程闭环。

8. 总结与后量子随机数基础设施演进展望

NIST SP 800-90C 规范的正式确立与发布，标志着全球随机数发生器设计标准从传统的经验型启发式构造全面迈向了基于信息论最小熵评估与严格密码学证明的新纪元。

8.1 SP 800-90C 对后量子密码工程落地的深远指导意义

在后量子密码时代，算法对底层熵源的极端敏感性使得传统通用操作系统自带的弱伪随机发生器不再适用。SP 800-90C 为高安全等级密码模块指明了三大核心发展方向：

熵源与发生器深度解耦与标准化度量：通过 SP 800-90B 最小熵评估体系，使物理硬件的随机质量具备客观可验证性；
多层级防御与预测阻断机制常态化：将连续健康监测与按需/强制重播种机制固化于硬件底层，从微架构层面消除单点故障与侧信道泄露；
全熵构造成为关键领域标配：RBG3 构造通过过采样与物理熵流直接组合，为根密钥与数字签名提供了不可撼动的信息论安全屏障。

8.2 单芯片物理集成与片上全熵发生器发展路线

面向未来万物智联与泛在边缘计算场景，全熵随机比特发生器正在经历从独立外挂板卡向光电单片集成（Photonic Electronic SoC）的重大技术演进。通过将硅基光子学微环干涉仪、锗硅光电探测器以及 CMOS 数字逻辑单片集成于同一芯片裸片之上，全熵 RBG 的物理体积将压缩至平方毫米量级，功耗降至毫瓦级，从而将 1.0 满熵的物理安全能力直接普惠至车联网车载 T-Box、卫星互联网终端、智能电表以及微型物联网节点。

正微光电将依托深厚的量子物理与后量子密码工程积淀，持续深耕自主可控密码核心技术，为构筑坚不可摧的下一代量子安全算力底座贡献坚实力量。

8.3 参考文献

National Institute of Standards and Technology. Recommendation for Random Bit Generator (RBG) Constructions. NIST Special Publication (SP) 800-90C, September 2025. （https://csrc.nist.gov/pubs/sp/800/90/c/final）
National Institute of Standards and Technology. Recommendation for the Entropy Sources Used for Random Bit Generation. NIST Special Publication (SP) 800-90B, January 2018. （https://csrc.nist.gov/pubs/sp/800/90/b/final）
National Institute of Standards and Technology. Recommendation for Random Number Generation Using Deterministic Random Bit Generators. NIST Special Publication (SP) 800-90A Rev. 1, June 2015. （https://csrc.nist.gov/pubs/sp/800/90/a/r1/final）
National Institute of Standards and Technology. Module-Lattice-Based Key-Encapsulation Mechanism Standard. NIST Federal Information Processing Standards Publication (FIPS) 203, August 2024. （https://csrc.nist.gov/pubs/fips/203/final）
National Institute of Standards and Technology. Module-Lattice-Based Digital Signature Standard. NIST Federal Information Processing Standards Publication (FIPS) 204, August 2024. （https://csrc.nist.gov/pubs/fips/204/final）
National Institute of Standards and Technology. Stateless Hash-Based Digital Signature Standard. NIST Federal Information Processing Standards Publication (FIPS) 205, August 2024. （https://csrc.nist.gov/pubs/fips/205/final）
National Institute of Standards and Technology. Security Requirements for Cryptographic Modules. NIST Federal Information Processing Standards Publication (FIPS) 140-3, March 2019. （https://csrc.nist.gov/pubs/fips/140-3/final）
National Institute of Standards and Technology. A Statistical Test Suite for Random and Pseudorandom Number Generators for Cryptographic Applications. NIST Special Publication (SP) 800-22 Rev. 1a, April 2010. （https://csrc.nist.gov/publications/detail/sp/800-22/rev-1a/final）
Internet Engineering Task Force (IETF). Multiple Key Exchanges in the Internet Key Exchange Protocol Version 2 (IKEv2). RFC 9370, May 2023. （https://datatracker.ietf.org/doc/rfc9370/）
Internet Engineering Task Force (IETF). Intermediate Exchange in the Internet Key Exchange Protocol Version 2 (IKEv2). RFC 9242, May 2022. （https://datatracker.ietf.org/doc/rfc9242/）