轨道交通量子安全架构：车-车/车-地通信的威胁建模与加密设计

1. 轨道交通信号系统的通信架构与安全现状

1.1 CBTC 系统的车-车/车-地通信拓扑

城市轨道交通信号系统以基于通信的列车控制系统（CBTC, Communication-Based Train Control）为核心。CBTC 系统通过车-地无线通信（Train-to-Wayside）与车-车通信（Train-to-Train）实现列车位置报告、移动授权（Movement Authority）下发、自动驾驶（ATO）指令传递与列车完整性监测。其通信拓扑包含三个关键链路：

1. 车-地链路：列车与轨旁区域控制器（ZC）、计算机联锁（CI）、数据存储单元（DSU）之间的无线通信，承载移动授权与列车位置报告；
2. 车-车链路：列车与列车之间的直接通信，用于虚拟编组（Virtual Coupling）与碰撞防护；
3. 轨旁骨干链路：区域控制器之间、控制中心与车站之间的有线骨干网络。

上述链路的通信安全直接关系行车安全：任何对移动授权报文的篡改、重放或伪造都可能造成追尾、冒进等灾难性事故。因此，CBTC 通信系统必须实施严格的加密与完整性保护。

1.2 既有密码体系的量子脆弱性

当前 CBTC 信号系统的密码体系以经典公钥算法为主：车-地握手采用基于 RSA 或 ECDSA 的证书认证，会话密钥协商采用 ECDH，报文完整性采用 HMAC 或基于经典哈希的 MAC。在经典计算威胁模型下，这些机制经过长期验证被认为是安全的。

然而，量子计算的发展正在改变这一前提：

1. Shor 算法：能够在多项式时间 $O((\log N)^3)$ 内破解 RSA 与 ECC 的数学难题。一旦容错量子计算机达到数千逻辑量子比特规模，CBTC 系统的证书体系与密钥协商将整体失效；
2. HNDL 威胁：信号系统的无线通信流量可被截获并长期存储。轨道交通信号系统的服役周期长达 20 至 30 年，今天被截获的加密流量在未来量子算力成熟后将面临被批量解密的现实风险；
3. 监管演进：国际与国内信号安全标准正在逐步引入后量子密码要求，信号系统作为关键信息基础设施的组成部分，其密码体系升级是必然趋势。

从密码学视角量化这一威胁：信号系统证书普遍基于 ECDSA-P-256 或 RSA-2048，其安全强度为 128 比特或 112 比特；Shor 算法将破解复杂度分别降至约 2,330 与 4,096 个逻辑量子比特。业界对容错量子计算机达到该规模的普遍估计为 2030 至 2040 年，恰与信号系统下一轮设备大修周期重叠。而 HNDL 攻击模型进一步将威胁前置：攻击者无需等待量子机成熟，现在即可开始截获与存储加密流量。对于移动授权这类直接关系行车安全的报文，其保密期与信号系统服役期等长，任何量子威胁的兑现都意味着不可逆的安全后果。

1.6 量子安全架构的设计原则

基于上述约束与威胁分析，轨道交通量子安全架构确立五项设计原则：

1. 安全与可用性并重：密码安全不得以牺牲行车可用性为代价，Bypass 逃生与冗余切换是架构的必备组件；
2. 透明改造优先：优先采用透明网关方案，避免对存量信号设备的大规模改造；
3. 双栈冗余：国密与后量子双栈并行，任一算法栈的升级或失效不影响整体安全；
4. 确定性执行：所有密码运算路径恒定时间执行，WCET 可验证；
5. 演进可逆：每一步演进都保留回退能力，确保在任何阶段可恢复至前一安全状态。

1.3 信号系统的特殊约束：为什么不能简单套用 IT 方案

轨道交通信号系统对密码方案提出了远超通用 IT 场景的约束：

这些约束决定了轨道交通量子安全方案必须以”透明网关 + 硬件加速 + 确定性执行”为核心架构。

1.4 通信时延预算的量化分析

CBTC 系统的端到端时延预算必须严格分解到每一个通信环节。以典型的车-地移动授权交互为例：

其中”报文解析与认证”环节是密码运算的主战场。以 1GHz Cortex-A7 平台为例，纯软件 ML-KEM-768 解封装约需 120 微秒，超出预算；经 NEON 汇编级优化后可压缩至约 20 微秒，配合硬件密码加速模块可实现 5 微秒级完成。这正是信号系统密码方案必须软硬协同的根本原因：仅靠软件优化无法同时满足实时性与确定性双重要求。

1.7 量子安全改造的工程目标分解

将宏观的量子安全目标分解为可执行的工程指标，是改造项目成功的前提：

目标分解后，每一指标均对应明确的验收方式，使改造工程”可度量、可追踪、可验收”，避免了量子安全项目普遍存在的目标模糊与验收困难问题。

1.5 量子安全演进的监管与标准驱动

轨道交通信号系统的密码升级并非仅由技术驱动，监管与标准体系正在形成明确的时间表：

1. 关键信息基础设施认定：城市轨道交通信号系统被纳入关键信息基础设施（CII）范围，其密码应用须满足密评（GB/T 39786）要求；
2. 商用密码应用安全性评估：信号系统作为 CII 的密码应用须通过密评，测评维度覆盖算法合规、协议合规与密钥管理；
3. 后量子标准演进：国家密码管理局正在推进后量子商用密码标准的研制，信号系统需预留后量子算法升级空间。

上述监管要求与本文提出的混合密码体系高度契合：混合方案满足当前密评对国密算法的要求，同时为未来后量子标准落地预留了平滑切换通道。

2. 威胁建模：车-车/车-地通信的攻击面分析

2.1 攻击者模型

轨道交通信号系统的威胁建模采用分层攻击者模型：

1. 外部攻击者（L1）：位于轨旁或车站外部，可窃听无线信道，具备中等计算能力；
2. 内部攻击者（L2）：具备车站或车辆物理接触能力，可实施设备侧信道攻击与固件逆向；
3. 国家级攻击者（L3）：具备量子计算能力与长期存储能力，实施 HNDL 攻击与批量解密；
4. 故障与事故（F0）：设备故障、电磁干扰、温漂老化导致的通信异常。

2.2 攻击场景与风险分析

2.3 安全目标的数学化定义

基于上述威胁模型，轨道交通量子安全架构确立如下安全目标：

• 机密性：车-车/车-地通信内容的机密性由后量子密钥协商保证，攻击者即使具备量子算力也无法在保密期内解密；
• 完整性：报文完整性由后量子 MAC 或哈希保证，任何篡改可被检测；
• 真实性：车-地双方身份由后量子签名（或混合签名）认证，攻击者无法伪造；
• 可用性：密码系统故障不得中断行车安全功能，需提供硬件级逃生通道。

2.4 纵深防御与分层防护

轨道交通信号系统的量子安全防护遵循纵深防御（Defense in Depth）原则，构建四层防护：

1. 物理层：无线信道采用定向天线与功率控制，压缩信号截获半径；
2. 密码层：混合签名、后量子密钥协商与报文完整性保护构成密码核心防线；
3. 协议层：序号、时间戳、会话绑定与重放防护抵御协议级攻击；
4. 管理面：密钥管理、策略下发与安全审计构成管理防线，且管理面通信与业务面物理隔离。

四层防护相互独立又协同：即使某一层被攻破（例如无线信号被截获），其余各层仍能保障安全目标。这一架构设计使信号系统在量子时代保持整体安全性，而不依赖单一防护环节。

2.5 密码资产的梳理与风险优先级

信号系统量子安全改造的第一步是全面梳理密码资产。按系统组件划分，密码资产包括：

1. 车载子系统：车载通信单元（TWC）、ATO 控制器、列车状态监测设备中的密码模块与证书；
2. 轨旁子系统：区域控制器（ZC）、计算机联锁（CI）、数据存储单元（DSU）的密码模块与证书；
3. 骨干网络：控制中心与车站之间的骨干加密链路、网管系统认证；
4. 运维面：远程运维通道、固件升级签名、日志完整性保护。

按”数据保密期 × 业务关键性”排序，移动授权链路与车-车防碰撞链路的密码资产风险优先级最高，应作为混合密码体系改造的第一批对象；运维面与日志系统的改造可同步推进。

2.6 与既有信号安全机制的关系

量子安全改造并非推倒既有安全机制，而是在其基础上增强。既有信号系统的安全机制（如报文序号、通信超时、安全状态机、冗余表决）继续保留并发挥作用：

• 报文序号与超时：继续抵御重放攻击与通信中断；
• 安全状态机：继续保障系统在异常情况下的安全降级；
• 冗余表决：继续提供容错能力。

量子安全机制（混合签名、后量子密钥协商、报文完整性保护）叠加在既有机制之上，形成”既有安全 + 密码安全”的双重保障。这一关系定位避免了”全盘替换”的高风险路径，使量子安全改造成为增量式演进而非颠覆式重建。

2.7 无线信道特性对威胁建模的影响

车-车/车-地通信的无线信道特性直接影响威胁建模结论：

1. 信道开放性：无线信号向空间辐射，任何位于覆盖范围内的设备均可接收，窃听几乎不可阻止——这决定了机密性必须完全依赖密码保护，而非信道物理隔离；
2. 干扰敏感性：无线信道易受故意干扰（Jamming），攻击者可能通过干扰迫使通信降级或中断——这要求密码系统具备快速重协商与故障切换能力；
3. 传播时延：车-地无线链路时延在毫秒级，与密码运算时延同量级——这要求密码处理与通信处理深度协同，避免叠加超预算；
4. 移动性：列车高速移动导致基站切换频繁，每次切换都可能触发重新认证——这要求混合握手具备快速重协商机制（会话恢复），避免切换时延影响行车控制。

无线信道特性分析表明：轨道交通量子安全方案的密码开销必须纳入信道时延联合预算，且必须具备应对信道中断与切换的韧性设计。

3. 密码设计：混合签名、后量子密钥协商与报文保护

3.1 混合签名方案

针对信号系统证书体系的长服役周期，采用”经典签名 + 后量子签名”的混合签名方案：

1. 证书结构：X.509 证书同时携带经典签名（SM2 或 ECDSA）与后量子签名（ML-DSA-65），验证方同时校验两个签名；
2. 双信任锚：信任体系中同时存在经典根证书与后量子根证书，任一信任链保持有效即可完成认证；
3. 平滑切换：在证书续期窗口内逐步过渡，避免强制吊销导致的业务中断。

混合签名的安全语义为”与”逻辑：只要经典或后量子签名中至少一个未被攻破，认证即安全。这为 20 至 30 年服役周期内的密码算法演进提供了冗余保障。

3.2 后量子密钥协商

车-地握手采用 X25519MLKEM768 混合密钥协商：

$S_{final} = \text{HKDF-Extract}(S_{x25519} \,\|\, S_{mlkem}, \text{salt})$

其中 $S_{x25519}$ 为经典 X25519 共享秘密，$S_{mlkem}$ 为 ML-KEM-768 共享秘密。组合函数的”与”逻辑保证：即使 X25519 被量子计算机破解，只要 ML-KEM 保持安全，会话密钥仍不可预测。

ML-KEM-768 的运算在信号系统的嵌入式主控（如 Cortex-A7/A53）上通过 NEON 汇编级优化实现微秒级延迟，配合车载密码加速模块可满足 100 毫秒控制周期的严格预算。

3.6 混合握手的完整时序流程

车-地混合握手的完整时序流程如下：

1. 列车接入：列车车载网关发起连接，通告支持混合协商组（X25519MLKEM768）与国密复合组（SM2+ML-KEM）；
2. 轨旁响应：区域控制器侧网关返回混合公钥与证书链（混合签名证书）；
3. 密钥协商：双方各自计算 X25519 共享秘密与 ML-KEM 共享秘密，经 HKDF-Extract 组合为会话密钥；
4. 身份认证：双方交叉验证混合证书签名与证书链信任锚；
5. 密钥确认：通过 Finished 消息确认密钥协商一致性，防止降级攻击；
6. 会话建立：派生报文密钥，进入加密通信状态。

全流程密码运算总耗时约 3 毫秒（含网络往返），远小于 100 毫秒控制周期预算，且计算路径完全恒定，WCET 可验证。

3.7 降级攻击与协议层防护

车-车/车-地通信的量子安全同样面临降级攻击威胁：中间人可能篡改握手消息，删除后量子协商组，迫使双方退回纯经典加密。针对该威胁，协议层采用多重防护：

1. 握手摘要绑定：所有握手消息（含协商组声明）纳入加密摘要，任何篡改导致摘要不一致，握手终止；
2. 降级哨兵：协议版本与协商组均绑定降级哨兵值，检测到降级即触发告警；
3. 策略强制：安全策略库规定最低协商组等级，低于策略等级的会话一律拒绝；
4. 双栈校验：国密栈与后量子栈的协商结果互相绑定，单一栈降级不改变整体安全等级。

协议层防护与密码层防护形成互补：即使密码算法被攻破，协议层仍能检测并阻断降级攻击，保障混合体系的安全语义不被绕过。

3.3 报文完整性保护

车-车/车-地报文的完整性保护采用带密钥的哈希或 MAC 方案：

• 会话密钥派生：从混合协商的 $S_{final}$ 派生独立的完整性密钥与加密密钥；
• 报文认证码：采用 AES-CMAC 或基于国密 SM3 的 HMAC，计算延迟低于 10 微秒；
• 序号保护：单调递增序号结合滑动窗口，抵御重放攻击。

3.4 后量子算法在信号系统终端的性能适配

ML-DSA-65 与 ML-KEM-768 在信号系统嵌入式终端上的性能是关键工程指标。正微光电 PQC 终端算法库在 1GHz Cortex-A7 平台上的实测数据如下：

配合车载密码加速模块（FPGA 或专用密码芯片），上述操作可进一步压缩至微秒级。实测数据经第三方验证确认，为信号系统时延预算设计提供了可靠依据。

3.5 国密算法与后量子算法的双栈协同

考虑到密评合规要求，信号系统的密码方案采用”国密 + 后量子”双栈架构：

• 国密栈：SM2 签名/密钥交换、SM3 哈希、SM4 分组加密，满足 GB/T 39786 密评要求；
• 后量子栈：ML-DSA 签名、ML-KEM 密钥封装，提供抗量子能力；
• 协同策略：签名与密钥协商采用混合模式（SM2+ML-DSA、SM2 密钥交换+ML-KEM），报文加密采用 SM4（满足合规），整体安全语义为双栈的”与”逻辑。

双栈架构使信号系统在通过密评的同时具备抗量子能力，且两种算法栈的任一升级都不影响另一栈的运行——这是面向 20 至 30 年服役周期的务实设计。

3.8 报文加密与完整性算法的选择

在混合协商建立会话密钥后，业务报文的机密性与完整性保护算法同样需要审慎选择：

值得强调的是，报文加密算法本身（SM4/AES）对量子威胁相对稳健：Grover 算法对 128 位密钥仅提供平方根加速（等效 64 位），而信号系统报文的保密期通常在会话级，不构成 HNDL 的主要风险敞口。量子安全的重点在于长期密钥（证书、主密钥）与密钥协商环节——这正是本文混合密码体系的核心覆盖范围。这种”长期密钥抗量子、短期密钥经典+适度强化”的分层策略，在安全与性能之间取得了工程上最优的平衡。

4. 透明加密网关架构与 0.5ms 硬件逃生

4.1 透明网关的部署位置

轨道交通量子安全的落地采用透明加密网关架构：网关部署于车载通信单元与轨旁通信网络之间，对业务报文进行透明加解密，业务系统（ZC、CI、ATO）无需任何改造。这一架构的关键价值在于：

1. 零改造兼容：存量信号设备、通信协议与既有运营流程完全不变；
2. 集中管控：密钥管理、策略下发与安全监控集中于控制中心；
3. 渐进迁移：网关支持混合模式，可逐步将经典加密升级为后量子加密。

4.7 网关报文的透明穿透原理

透明网关的核心技术是报文的”无感穿透”：网关以网桥模式接入通信链路，对经过的报文执行透明加解密，业务端感知不到密码设备的存在。

1. 二层穿透（L2）：网关以透明网桥模式工作，学习 MAC 地址并转发报文，加密过程对 IP 层透明；
2. 三层穿透（L3）：网关以透明路由模式工作，对 IP 报文进行隧道封装，业务 IP 地址不变；
3. 协议识别：网关深度识别车-地/车-车协议报文（如基于 UDP 的移动授权报文），仅对安全相关报文执行密码处理，非安全报文直通；
4. 故障直通：密码模块异常时自动切换 Bypass 直通，业务报文不加密转发，保障可用性。

透明穿透机制确保了信号系统的通信协议栈、网络拓扑与业务软件完全不受影响，是”不换架构、不停运营”演进原则的技术基石。

4.2 网关的密码处理流水线

网关的密码处理流水线包含五个环节：

1. 报文识别：深度解析车-地/车-车报文类型与优先级；
2. 密钥查找：按会话标识查表获取当前会话密钥；
3. 加解密运算：调用硬件密码模块执行混合解密/验签/完整性校验；
4. 策略执行：按安全策略判定报文放行、丢弃或告警；
5. 审计日志：记录安全事件与统计指标。

4.3 0.5ms 硬件 Bypass 故障逃生机制

轨道交通信号系统的最高优先级需求是可用性：任何密码设备的故障都不得阻断行车安全功能。为此，网关内置硬件级 Bypass 逃生机制：

1. 故障检测：通过看门狗、健康监测与密码模块自检实时检测故障；
2. 硬件切换：检测到故障后，硬件旁路开关（Bypass Switch）在 0.5 毫秒内将报文路径切换为直通模式，报文不经过密码处理直接转发；
3. 降级告警：同时向控制中心发出降级告警，运营人员可依据应急预案处置；
4. 自动恢复：密码模块恢复健康后自动切回加密模式，全程业务不中断。

Bypass 切换的 0.5 毫秒指标远小于 CBTC 100 毫秒控制周期，即使发生设备故障也不会导致列车紧急制动或通信超时，从根本上保障行车安全。

4.11 Bypass 模式的安全边界与风险

必须明确的是，Bypass 直通模式牺牲了密码保护（报文明文转发），其启用必须受到严格约束，避免被攻击者利用：

1. 触发条件白名单：仅限密码模块硬件故障、看门狗超时、电源异常三类触发条件，网络异常或未知事件不触发 Bypass；
2. 单向降级：Bypass 仅允许”加密→直通”单向切换，直通状态下拒绝自动恢复加密前的业务流量接入，防止状态混淆；
3. 时长上限：Bypass 持续时间超过设定阈值（如 5 分钟）强制触发行车安全降级（如限速运行），由运营流程兜底；
4. 日志强制：Bypass 事件强制写入防篡改日志，事后审计追责。

Bypass 机制的边界设计体现了”安全与可用性平衡”的工程哲学：可用性保障不是无条件的，而是在可审计、可追溯、有时限的框架内运行，确保故障逃生通道不会被滥用为攻击通道。

4.4 SIL4 功能安全设计

网关遵循 IEC 61508 SIL4 功能安全标准设计：

• 冗余架构：双模冗余（2oo2 或 2oo3）表决架构，单点故障不导致安全功能丧失；
• 自检机制：上电自检（电源、时钟、存储器、密码模块）与周期自检结合；
• 故障注入测试：通过测试端口注入故障，验证自检与 Bypass 机制的正确响应；
• 形式化验证：Bypass 切换逻辑与安全状态机通过形式化方法验证。

4.5 硬件密码加速模块的架构

车载与轨旁网关内置硬件密码加速模块，为混合签名验签、ML-KEM 解封装与 SM2/SM4 运算提供确定性算力：

硬件密码模块与网关主控通过安全总线连接，密钥材料不出安全边界。模块支持在线升级（固件签名验证），可在不中断业务的前提下更新算法实现。

4.8 密码模块的防篡改与物理安全

车载环境面临严苛的物理安全挑战：设备可能被拆卸、探针接触、电磁干扰。密码模块的物理安全设计包括：

1. 防拆解：模块封装采用安全外壳，拆解触发主动清零（Tamper-Responsive Zeroization），密钥材料立即销毁；
2. 防探针：敏感总线布线内层，探针接触触发检测电路；
3. 防侧信道：模块功耗与电磁辐射经屏蔽处理，结合掩码与噪声注入；
4. 环境监测：温度、电压、光照异常检测，异常时触发安全降级。

物理安全设计确保即使在设备物理失控的最坏场景下，密钥材料与密码功能的安全性依然可控。

4.6 网关的高可用与冗余部署

信号系统网关采用双机热备（Active-Standby）部署：

1. 状态同步：会话密钥、序号窗口与安全状态实时同步至备机；
2. 故障切换：主机故障时备机在 100 毫秒内接管密码处理；
3. 平滑接管：切换过程不中断正在进行的会话，报文处理无缝衔接；
4. 故障恢复：主机恢复后自动回归待命状态，全程审计记录。

结合 0.5ms Bypass 逃生机制，网关形成了”密码故障→Bypass 直通→双机切换→业务恢复”的完整故障处置链路，将密码系统故障对行车安全的影响降至最低。

4.9 网关的电磁兼容与可靠性工程

车载网关运行于强电磁干扰环境（牵引供电、弓网电弧），其电磁兼容（EMC）与可靠性设计至关重要：

1. EMC 设计：依据 GB/T 24338（轨道交通 EMC 标准）进行辐射/传导发射与抗扰度设计，密码模块的敏感信号屏蔽与滤波处理；
2. 宽温工作：车载设备工作温度范围 -40°C 至 +70°C，元器件选型与散热设计满足全温域可靠性；
3. 振动与冲击：依据 GB/T 21563 标准进行振动冲击试验，焊点与连接器加固设计；
4. 电源可靠性：双路冗余电源输入，支持断电保护（Power Fail 检测与状态保持）。

EMC 与可靠性工程的落地，确保密码模块在列车运行的严苛环境中稳定工作，是量子安全架构从实验室走向运营线的必要条件。

4.10 网关安全策略库与统一管控

多线路多车站部署的众多密码网关需要统一的策略管控机制。安全策略库的设计要点：

1. 策略分层：全网级默认策略、线路级策略、设备级策略三级叠加，细粒度管控；
2. 策略内容：最低协商组等级、允许算法清单、Bypass 触发条件、告警阈值等；
3. 策略下发：由控制中心统一编排，经加密通道下发至各网关，版本化管理与回滚；
4. 策略审计：策略变更全程审计留痕，与安全事件关联分析。

统一策略库使”全网密码行为一致性”成为可管理的工程属性，避免了各设备策略漂移导致的安全漏洞，是规模化部署的必要基础设施。

5. 密钥管理与安全运营

5.1 密钥层级结构

轨道交通量子安全架构采用三级密钥体系：

• 主密钥（MK）：存储于控制中心量子安全 KMS 的密码机中，由 QRNG 板卡（1Gbps，NIST SP 800-90B 与 GM/T 0005 认证）提供熵源生成；
• 会话密钥（SK）：由混合密钥协商派生，生命周期限于单次会话；
• 报文密钥（PK）：由会话密钥进一步派生，随报文更新。

5.6 密钥下发的安全通道设计

密钥从控制中心 KMS 下发至车载/轨旁网关的过程必须经过加密通道，防止密钥材料在传输中被截获。下发通道的设计要点：

1. 下发前置认证：网关通过双向证书认证接入 KMS，认证采用混合签名（SM2+ML-DSA）；
2. 通道加密：下发通道采用国密 TLS（SM2/SM4）加密，密钥材料密文传输；
3. 完整性校验：下发报文附带 MAC，防止篡改；
4. 离线注入：对于无法联网的维护场景，支持通过安全管理终端离线注入密钥包，注入过程双人复核并审计留痕。

下发通道与业务通道物理隔离，即使业务通道被攻破，密钥下发过程依然安全。

5.2 密钥轮换策略

信号系统的密钥轮换遵循”双活过渡”原则：

1. 新旧密钥对并存一个轮换周期；
2. 新密钥激活后旧密钥保留用于解密存量报文；
3. 轮换过程通过 KMIP 协议自动化执行，全程审计留痕；
4. 轮换周期设定为 30 至 90 天，兼顾安全与运维成本。

5.5 密钥管理平台的技术架构

控制中心部署的量子安全密钥管理平台（KMS）采用分层架构：

1. 密码服务层：云服务器密码机提供 SM2/SM4 与 ML-KEM/ML-DSA 的统一密码运算服务，遵循 GM/T 0036 标准接口；
2. 密钥管理层：负责密钥全生命周期管理，支持 KMIP 协议与自动化轮换调度；
3. 熵源层：QRNG 板卡（1Gbps）为密钥生成提供物理熵源，经 NIST SP 800-90B 与 GM/T 0005 双认证；
4. 接入层：为车载/轨旁网关提供密钥下发、状态上报与策略同步接口。

平台支持多线路多车站的集中管控，单平台可管理数千个密码设备，满足城市轨道交通线网级密钥管理需求。

5.9 密钥量需求与容量规划

轨道交通线网级密钥管理需要精确的容量规划。以典型城市轨道交通线网（如 10 条线路、200 座车站、500 列车）为例：

容量规划结论：单平台 KMS 需具备每秒 100 次以上的密钥生成吞吐与 10 万级密钥存储容量，QRNG 熵源需满足密钥生成的随机性需求。规划结果直接指导 KMS 平台与密码机的选型配置。

5.3 安全运营与监测

控制中心部署量子安全运维平台，实时监测：

• 全网密码设备健康状态与故障告警；
• 混合握手成功率、降级事件与异常行为；
• 密钥轮换状态与审计日志；
• Bypass 切换次数与持续时间（用于评估设备可靠性）。

5.7 安全审计与合规留痕

信号系统作为关键信息基础设施，其密码应用必须满足密评（GB/T 39786）等合规审计要求。安全审计体系的设计要点：

1. 审计日志完整性：所有密码操作（握手、轮换、Bypass 切换、密钥下发）均写入防篡改审计日志，日志采用哈希链（Hash Chain）结构，任何历史日志的篡改都会被检测；
2. 审计范围：覆盖密钥全生命周期、密码设备状态变更、策略调整与运维操作四类事件；
3. 审计保留期：日志保留期不低于信号系统服役周期，满足长期追溯要求；
4. 定期合规评估：配合密评机构开展年度密码应用安全性评估，量子安全组件作为新增测评对象纳入评估范围。

5.8 运维人员与流程保障

密码设备的安全运行同样依赖规范化的运维体系：

• 角色分离：密码管理员、系统管理员、审计员三权分立，相互制衡；
• 双人操作：涉及密钥材料的敏感操作（注入、导入、销毁）执行双人复核；
• 应急演练：定期开展密钥丢失、设备故障、Bypass 异常等场景的应急演练；
• 培训体系：运维人员接受密码技术与量子安全专项培训，持证上岗。

运维体系的规范化程度直接决定密码设备在实际运营中的安全水平，是与技术架构同等重要的保障环节。

5.4 密钥管理的安全性保障

信号系统密钥管理的安全性保障涵盖全生命周期：

1. 生成安全：主密钥由 QRNG 物理熵源生成，具备信息论意义上的不可预测性；
2. 存储安全：密钥材料存储于密码机/HSM 的安全边界内，防篡改、防拆解；
3. 分发安全：密钥分发通过加密通道执行，采用 KMIP 协议并附加消息认证；
4. 使用安全：密钥使用受访问控制策略约束，最小权限原则；
5. 销毁安全：密钥销毁执行三次覆盖加缓存刷写，残留概率低于检测阈值。

6. 从经典到量子安全的平滑演进路径

6.1 三步走演进路线

6.5 试点线路的验收指标体系

混合试点阶段的验收需要建立可量化的指标体系：

试点验收通过后，方可进入第二阶段的大规模推广。这一”先试点、后推广”的节奏既控制了演进风险，也为后续阶段积累了运维经验。

6.6 与既有系统的接口兼容性保障

量子安全改造必须保障与既有信号系统、综合监控系统（ISCS）、乘客信息系统（PIS）等的接口兼容性：

1. 协议兼容：透明网关不改变既有通信协议（如基于 UDP/TCP 的车-地报文格式），仅增加密码处理层；
2. 接口适配：网关提供标准的以太网/串口/现场总线接口，与既有车载与轨旁设备即插即用；
3. 时钟同步：网关接入既有时钟同步系统（如 NTP/PTP），保证安全事件时间戳与全网一致；
4. 联合测试：改造前在既有系统的测试环境中完成联合测试（接口、时延、故障切换），验证兼容性后再实施现场改造。

接口兼容性保障是”不换架构、不停运营”原则的落地细节，直接决定改造工程的实施难度与风险。

6.2 与信号安全标准的衔接

演进方案与既有信号安全标准体系（如 EN 50126/50128/50129、GB/T 12758 等）保持兼容：透明网关架构不改变信号系统的功能安全边界，密码模块作为独立安全组件通过功能安全认证，Bypass 机制确保密码功能失效时的行车安全。

6.3 技术能力沉淀

正微光电在轨道交通量子安全领域的技术能力涵盖：车载/轨旁透明加密网关、后量子密码终端算法库（Cortex-A 系列 NEON 优化）、量子安全密钥管理平台、以及基于 QRNG 的密钥生成基础设施。上述能力以技术方案与产品形态对外提供，服务于轨道交通信号系统的量子安全演进。

6.4 演进过程中的风险控制

量子安全演进过程中存在多重工程风险，需要系统化的风险控制：

风险控制贯穿演进全过程，每阶段设置明确的退出条件与回退机制，确保演进过程不引入新的安全与运营风险。

7. 结论

轨道交通信号系统作为关键信息基础设施的重要组成部分，其量子安全演进既是技术命题，更是安全命题。CBTC 车-车/车-地通信的量子安全架构，必须以威胁建模为起点，以混合密码体系为核心，以透明网关为落地载体，以 0.5ms 硬件逃生为可靠性底线。正微光电的轨道交通量子安全方案，正是在”实时性、确定性、可靠性、兼容性、长周期”五重约束下，为信号系统提供的一条可落地的平滑演进路径。

从更宏观的视角审视，轨道交通量子安全架构的价值在于应对量子计算的威胁，也在于它建立了一套面向未来密码演进的工程方法论：混合签名与混合协商的”与”逻辑设计、透明网关的零改造落地、硬件 Bypass 的可用性保障、双栈并行的合规与抗量子协同——这些方法论可以复用于电力、金融、政务等所有关键信息基础设施的量子安全改造。信号系统的严苛约束反而验证了这套方法论的鲁棒性：能在 100 毫秒控制周期与 SIL4 功能安全约束下成立的方案，在绝大多数行业场景中同样成立。

8. 参考文献与延伸阅读

8.1 参考文献

1. IEEE 1474.1, “IEEE Standard for Communications-Based Train Control (CBTC) Performance and Functional Requirements,” 2004.（https://www.ieee.org/standards）
2. IEC 61508, “Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems,” 2010.
3. EN 50126/50128/50129, “Railway Applications - The Specification and Demonstration of Reliability, Availability, Maintainability and Safety (RAMS).”
4. NIST, “FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard,” Aug. 2024.（https://csrc.nist.gov/pubs/fips/203/final）
5. NIST, “FIPS 204: Module-Lattice-Based Digital Signature Standard,” Aug. 2024.（https://csrc.nist.gov/pubs/fips/204/final）
6. P. W. Shor, “Polynomial-time algorithms for prime factorization and discrete logarithms on a quantum computer,” SIAM Review, 1999.（https://arxiv.org/abs/quant-ph/9508027）
7. 国家市场监督管理总局, GB/T 12758-2004 《城市轨道交通信号系统通用技术条件》, 2004.

8.2 站内延伸阅读

• 量子加密网关：TLS与IPsec融合架构与PQC混合握手
• 混合密钥交换工程实践：X25519MLKEM768 构造与部署权衡
• 后量子密码（PQC）迁移工程：时间线、算法选型与分阶段落地方案