量子通信系统架构

2.1 总体架构

2.2 信令与业务分离加密架构

本系统采用信令与业务分别加密的技术路线，区别于传统VPN加密方案：

对比维度	传统VPN方案	本方案（信令业务分离加密）
加密层级	网络层（IPSec/SSL VPN）	应用层（SIP信令+媒体流）
公网穿透	易被防火墙/NAT阻塞	标准SIP端口，不易被识别阻塞
密钥管理	预共享密钥或证书	量子真随机数动态密钥
抗量子性	依赖传统算法	ML-KEM/ML-DSA原生抗量子
性能开销	VPN封装开销大	轻量化加密，单隧道<1ms延迟
合规性	需额外安全审计	国密+量子双认证

加密流程：

1. SIP信令通道：使用ML-KEM封装 + SM2签名，确保信令完整性与不可否认性

2. 媒体业务通道：使用ML-DSA认证 + SM4对称加密，保障音视频实时传输

3. 密钥更新：基于QRANG量子真随机数熵源，定时更新会话密钥