NIST后量子签名方案在分布式账本技术中的比较性能分析：区块约束账本的绑定资源约束与裕度

《Sci》：Comparative Performance Analysis of NIST-Selected Post-Quantum Signature Schemes for Distributed Ledger Technology

　　

分布式账本必须从椭圆曲线签名迁移至后量子替代方案，当前待解决的问题已不再是有哪些原语可用，而是它们首先耗尽账本的哪项资源。本文识别了迁移后区块约束账本的绑定约束及其裕度：容量究竟受限于交易负载还是签名验证吞吐量。输入数据为在单一x86-64平台WSL2环境下对NIST遴选出的三个方案家族——ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）及FN-DSA（FIPS 206，制定中）——全部九个参数集及三个经典基线的测量结果。在一阶解析边界下，对于所考察的区块大小、间隔及交易格式，负载容量对每个方案均为绑定约束，后量子配置的验证裕度为124至1622倍。ML-DSA的验证优势呈现参数依赖性：ML-DSA-44的验证速度比ECDSA secp256k1账本验证器快1.47倍，而CNSA 2.0强制要求的ML-DSA-87则慢1.67倍；绝对时序及这些比值在其他平台上可能不同。九个配置中有五个在其安全级别内为Pareto最优。FN-DSA结果反映的是liboqs 0.16.0实现，FIPS 206最终定稿后可能发生变化。交错控制探针协议将跨运行变异系数的均值控制在1.35%。

研究背景方面，分布式账本中每笔交易均依赖数字签名进行认证，而当前生产环境中使用的签名方案（secp256k1或P-256上的ECDSA以及Ed25519）的安全性均源于离散对数问题的困难性。Shor算法可在足够能力的量子计算机上以多项式时间求解该问题，Grover算法则对账本所依赖的哈希与对称原语提供二次加速。两类量子结果对账本的威胁并不对等：Grover算法对工作量证明的二次优势大部分被量子纠错开销所消耗且并行化能力差，因此专用经典硬件仍保持优势；操作性威胁在于Shor算法对签名层的攻击。ECDSA在256位曲线上约需2330个逻辑量子比特，约为同期RSA-2048估计值的1/2.7，因此椭圆曲线签名是更早而非更晚的目标。估计值持续朝同一方向移动：Gidney和Eker?曾要求2000万含噪物理量子比特以分解RSA-2048，后续修订在相同物理假设下将该数字降至不足100万。硬件方面，距离-7表面码已在纠错阈值以下得到演示，每两个码距单位逻辑错误被抑制2.14±0.02倍，操作超越盈亏平衡点。这些是工程里程碑而非密码学相关量子计算机，知情评论持续告诫不应将其解读为即将具备的能力。这一测量工作是更广泛研究计划的一部分，该计划关注分布式账本后量子迁移的跨层安全、性能与治理约束；其中一项配套研究量化了密码学相关漏洞在国家漏洞数据库中出现的经验速率。迁移论证不依赖于解决关于此类计算机何时存在的分歧，尽管其签名依据与加密依据不同。"先存储后解密"模型涉及机密性：今日记录的密文可在量子计算机存在后被解密，因此暴露窗口由受保护数据的寿命而非政策强制迁移期限决定。账本签名保护的是真实性，其风险是伪造：能够从账本上可见的公钥推导出私钥的对手可签署花费相关资金的交易。因此哪些资金暴露在量子计算机存在之前就已由账本上已有的公钥确定，暴露持续到那些资金被移至后量子密钥为止。经验记录还表明，密码学相关漏洞在实践利用中已过度呈现。对于持有长期价值的账本，规划视野因此是迁移时间表而非威胁时间表。账本与其他密码部署的区别在于其公钥经常在公共记录中可见，且其持有资产无法通过管理操作轮换。必须区分两个暴露窗口：第一个是瞬态的——在广播与确认之间，交易揭示其公钥而尚未确认，比特币上为数分钟，以太坊上为数秒；第二个是永久的——密钥一旦使用便无限期留在链上，仍由其控制的任何余额均处于静止暴露状态。对第二窗口的测量相当可观：行业分析估计约604万BTC（占已发行供应量的30.2%）位于公钥静止暴露的地址中；后续对2025–2026年独立估计的调和发现，它们在供应量约五个百分点内一致，并将暴露供应量分为约230万BTC处于实际不可迁移的休眠地址和约370万BTC仍可移至后量子地址。可用性障碍已消除：NIST于2024年8月发布了FIPS 203、FIPS 204和FIPS 205，分别标准化了ML-KEM、ML-DSA和SLH-DSA；FN-DSA源自Falcon，仍作为FIPS 206制定中。迁移截止日期已设定：NIST IR 8547提议2030年后弃用RSA和椭圆曲线密码，2035年后禁止使用；CNSA 2.0强制国家安全系统使用ML-KEM-1024和ML-DSA-87。尚未消除的是资源障碍：后量子签名显著大于经典签名，而账本在固定区块容量预算和固定区块间隔下运行。一个计算示例说明其量级：在比特币P2WPKH交易中以ML-DSA-44替代ECDSA，交易从约109.5虚拟字节增长至696.75虚拟字节。因此在不调整协议的情况下替换原语，会将密码升级转化为吞吐量退步。经典补救措施无法转移：将多个签名压缩为一个的聚合方案在现有账本容量规划中居于核心地位，但格签名的等效构造尚处萌芽且仅实现小幅压缩；Dilithium在安全级别2的顺序半聚合达到约0.9927的聚合率，而先前提出的基于Falcon的聚合方案已被证明不安全。因此后量子账本可用的负载杠杆比经典账本更窄。相关工作存在三条线索但均未触及本文所处理的问题：原语级基准测试报告签名大小和操作延迟，但未将其转化为区块占用率或可达交易率等账本相关量；账本级建模研究将Dilithium或Falcon替换的影响建模为区块大小、传播延迟和分叉风险，但最接近本研究的基准测试研究在每个后量子安全级别与同级别ECDSA曲线比较（从级别1的P-256到级别5的P-521），而账本在更换后量子参数集时保持其曲线不变，因此本研究在每一级别均使用比特币和以太坊的曲线secp256k1上的ECDSA作为基线；协议级研究在协议设计与实现层面工作，而本研究测量全部九个标准化参数集并将其转化为单一账本模型的负载与验证上限。这些研究未提供的是在单一平台上、单一漂移控制协议下，对全部九个标准化参数集中哪项资源上限绑定的检验。生产部署已做出具体而发散的选择：比特币的后量子输出类型、Algorand主网上Falcon签名的状态证明、Solana上基于Winternitz的选择加入保险库、量子抗性账本自2018年以来的协议级XMSS、NIST批准用于有状态使用的方案，以及面向以太坊共识层的基于哈希的聚合签名。这些部署未收敛于单一方案，而本文报告的数据正是它们之间比较所需的。尚未解决的是裕度：负载膨胀和验证开销各自已被量化，但尚无研究在单一账本参数集下检验后量子账本究竟受限于其可承载的字节还是可验证的签名，以及差距多大。量级与方向同样重要：如果验证裕度狭窄，花在负载削减上的努力只会移动瓶颈；如果裕度宽广，验证吞吐量可搁置一旁，协议设计可集中于交易负载。两种答案导致不同设计，只有测量出的裕度才能区分。第二个差距涉及可比性：同一方案的已发表数据在不同来源间的差异超过方案本身之间的差异，因为它们源自不同平台、实现和测量协议；在一台机器上测得的比值不能转移到另一台，但此类比值常被引用为算法的属性。本文的主要贡献是识别后量子迁移后区块约束账本的绑定资源约束及其裕度。填补该差距需要全部三个NIST遴选签名家族九个参数集及三个经典基线的六个定义参数，在单一平台上以单一测量协议测得。六个参数为公钥、私钥和签名长度以及密钥生成、签名和验证时间。基准测试是手段而非主要结果。式(1)–(5)将测量值转化为区块约束账本的一阶容量边界并识别哪个约束绑定。这些边界是一阶的，因为它们由测量的大小和时序及少量所述账本参数得出，而未模拟网络、交易池或共识动态。研究涉及三个研究问题：RQ2是主要问题；RQ1建立其答案所依赖的测量输入，RQ3建立使这些输入可比的协议。RQ1：NIST遴选签名方案的哪些测量大小和时序参数决定了区块约束账本模型中的绑定资源约束？结果表明，在所测平台上，ML-DSA相对ECDSA的验证速度优势是参数依赖的而非普遍的，且在每个NIST安全级别内后量子设计空间是多准则的，因此不存在普遍排名。RQ2：在参考区块大小和间隔下，跨所测交易格式范围，账本容量是受交易负载（C1）还是签名验证吞吐量（C2）约束，裕度多大？结果表明，在一阶模型中，负载容量对每个所测方案均绑定，后量子配置的验证裕度为可达交易率的124至1622倍。RQ3：带控制探针的交错测量是否比顺序测量降低方案中位数的跨运行变异性？结果表明确实如此，这构成次要方法论贡献。在交错协议下，方案中位数在三次运行间一致，平均变异系数为1.35%，而控制探针在单次运行内变异高达37%。测量偏差源于实验设置看似无害的属性，这在系统基准测试中已有文献记载，报告离散度而非单一数字亦然。密码敏捷性被理解为在不重新设计协议的情况下更换原语的能力，是这些结果预期应用的设计原则。混合经典–后量子签名和敏捷交易格式是账本行使该能力的机制。本文不提出此类机制，而是提供选择其中任一机制所依赖的测量参数。研究方法方面，对每个方案直接测量以下量：公钥长度、私钥长度和签名长度（字节）；以及对32字节消息进行密钥生成、签名和验证的壁钟持续时间。消息长度对应交易哈希，即账本签名所覆盖的对象。从测量值推导出两个账本相关量，二者均为所述假设下的一阶容量边界而非部署测量。式(1)中TxSize(s) = F + Sig(s) + PK(s)，其中s表示签名方案，F为所有非密码交易字段的字节大小并在各方案间保持恒定，Sig(s)和PK(s)为方案s的测量签名和公钥长度（字节）。式(1)假定每笔交易一个签名和一个公钥。参考值F = 118字节对应UTXO交易模型；第3.6节报告所有推导量对该选择在0–400字节范围内的敏感性。式(1)包含公钥是因为没有标准化后量子签名方案提供ECDSA式的从签名恢复公钥。Falcon在区块链环境中已演示公钥恢复模式，将交易大小减少最多17%，但本文所测标准库实现中不可用。今日交易中省略公钥的账户模型账本在迁移后必须携带公钥或单独存储；字节成本不会消失。式(2)TxPerBlock(s) = ?B/TxSize(s)?，式(3)TPS_capacity(s) = TxPerBlock(s)/T，式(4)TPS_verify(s) = 1000/t_verify(s)，式(5)TPS_effective(s) = min(TPS_capacity(s), TPS_verify(s))，其中B为区块大小（字节，参考配置为1 MB），T为区块间隔（秒，10 s），?·?为下取整函数，因为区块中只容纳整笔交易，t_verify(s)为方案s的中位单线程验证时间（毫秒），因此1000/t_verify(s)为每秒验证次数。TPS_capacity(s)为负载受限吞吐量，TPS_verify(s)为验证受限吞吐量，TPS_effective(s)为两者中较低者，均以每秒交易数计。验证裕度为比值TPS_verify(s)/TPS_capacity(s)；裕度大于1意味着负载容量绑定。式(5)明确了两个约束中哪个绑定：负载容量记为C1，验证吞吐量记为C2。C1–C5约束词汇遵循跨层框架。第3.3节还报告了与C3相关的传播受限边界，即在50 Mbps参考节点上行链路上、在区块间隔10%的传播预算内可传输区块的速率（每秒交易数）；两个值均为模型假设。式(1)–(5)排除签名聚合、负载压缩、批量验证、多核验证、交易池动态和费用市场反馈。第4节说明每项对边界移动的方向及其实践后果。批量和多核验证仅提高C2上限，交易池动态和费用市场反馈作用于已实现吞吐量而非任一上限，因此这四项均不改变方案的C1排序。聚合和压缩作用于交易大小，可能以本文未测量的量改变该排序。所有测量在单台机器上获得。测量进程在每次运行中固定于单一逻辑核心。机器为主电源供电，否则空闲，无其他用户应用运行。该平台的一个属性需明确说明：在WSL2下，客户机不观察瞬时处理器频率；/proc/cpuinfo报告2592 MHz的静态标称值而不论实际时钟。因此频率缩放和热节流在该平台上无法通过检查观察。这促使第2.4节所述的控制探针设计，它从时序数据本身而非操作系统遥测检测机器状态漂移。签名消息为固定32字节值。该长度并非任意：在分布式账本中，交易签名所覆盖的对象是哈希摘要，因此32字节是操作上正确的消息大小。更长的消息会不成比例地膨胀基于哈希的家族并歪曲部署情形。时序使用单调高分辨率时钟（time.perf_counter_ns）并记录每个单独操作而非批量总计，以便分布——不仅是其中心——可用于分析。这遵循密码微基准测试的既定实践。每个计时块前有十次预热执行，其时序被丢弃，以便指令和数据缓存被填充，任何一次性库初始化被排除在测量区间之外。重复计数自适应选择，分别针对每个（方案，操作）对且在每一轮中。在预热前，五次不记录时序的执行估计一次操作的成本c；重复计数然后设为2 s/c，使计时块持续约两秒，界限在[5, 2000]范围内。这些设置适用于运行5–7；运行1–4使用五次预热执行和1000的上限。自适应预算是必要的，因为方案间成本差异超过四个数量级。固定重复计数若大到足以给ML-DSA验证（约0.024 ms）提供稳定估计，则SLH-DSA-128s签名（约476 ms）将需要约五小时。界限防止最快操作消耗无界预算并保证最慢操作的最小样本。集中趋势以中位数报告，第5和第95百分位数作为离散度量度。中位数并非风格偏好。操作系统调度产生右偏时序分布：模态成本是操作的真实成本，少量样本因抢占、中断处理和页面错误而向上偏移。算术均值对该尾部敏感，而中位数估计模态成本。单一标准差同样会将对称测量噪声与非对称调度尾部混为一谈，而百分位区间不会。报告稳健中心估计及明确离散度量度遵循性能评估的既定实践。中位数和验证比值的置信区间通过反映交错设计的分层自助法获得。保留数据形成20个（运行，轮次）簇，每个代表一个机器状态。4000次抽取中的每一次从所有保留簇中有放回地选择20个簇，在每个选中簇内有放回地重采样时序，并记录合并重采样时序的中位数。对于验证比值，方案和基线在每次抽取中从相同选中簇计算，以使两者共有的漂移不被重复计算。区间为4000次抽取的第2.5和第97.5百分位数，使用固定种子（20260905）生成。样本量在操作间相差超过两个数量级，因为重复预算按时间而非计数设定。验证要求每个方案每次运行至少3592个时序。最慢操作依赖远少样本：SLH-DSA-128s签名每轮五次时序，即截断运行5中20次、运行6和7中各40次；SLH-DSA-256f签名每次运行103至206次。对于这些操作，单次运行的第5和第95百分位数由一两个观测值设定。自助区间与验证的一样窄（SLH-DSA-128s签名为±0.7%），但它依赖100个时序，因而相应地不太可靠。没有任何结论依赖该精度。绑定约束结果依赖字节计数（精确）和验证时间；最小验证裕度124倍只能被验证时间两个数量级的误差所逆转。签名时间仅进入第3.4节关于SLH-DSA-128s签名约476 ms将该方案排除在交互式交易路径之外的陈述，该陈述在其跨运行变异系数0.80%所指示的任何量级误差下均成立。所用第一协议（运行1）在开始下一个方案前将每个方案测量至完成。这种排序有一个经验发现的缺陷。同一协议在随后一天的独立执行（运行2）产生一致更慢的时序，但并非统一因子：相对运行1的膨胀在验证上为1.23×至2.38×，签名上为1.28×至2.57×，密钥生成上为1.26×至2.36×。非均匀膨胀具有诊断性。仅时钟频率变化会以相同因子缩放所有方案。按方案变化的膨胀反而表明机器状态在运行期间改变，因此序列中较晚测量的方案在不同于较早测量的条件下被测量。在顺序排序下，测量序列中的位置与方案身份混淆，且混淆不成比例地落在最后测量的方案上。后果是实质性的。ML-DSA-87验证与ECDSA P-256验证的比值——第3节的核心量——在运行1中为1.064，在运行2中为1.535。一个值支持ML-DSA在安全级别5与ECDSA持平的结论；另一个则不支持。eBACS和pqm4等既定基准测试框架以及协议背景下后量子签名的已发表性能研究均未明确处理测量顺序混淆，因此本文完整描述对策而非引用。运行3和4做了两项更改。交错测量：每个（方案，操作）对的重复预算分为R轮，测量在每轮内循环所有方案。因此每个方案采样相同的机器状态序列，序列中的位置不再与方案身份混淆。两次运行均使用R = 8。轮间可选空闲间隔允许处理器冷却；运行3使用3 s，运行4使用20 s。控制探针：每轮开始时测量固定参考工作负载——ECDSA P-256验证，150次重复——并记录其中位数。控制按构造不变，因此其测量值的任何变化可归因于机器而非工作负载。这产生不依赖操作系统频率报告的漂移检测器，而该报告在此平台上不可用。测量软件还记录每个时序及其所在轮次标识和该轮的控制值，使每个单独观测可与其获得时的机器状态相关联。运行5–7使用该设计的修订版本，R = 8轮且轮间无空闲间隔。控制扩展为两个探针，均在每轮开始时测量：固定64 KiB缓冲区上的SHA-256（200次重复），该工作负载与任何被测方案不共享代码路径；以及ECDSA P-256验证（50次重复）。方案顺序每轮从记录种子重新洗牌，每个方案循环通过32个独立密钥、消息和签名三元组池。控制探针显示漂移真实且可观。运行3中控制中位数在八轮间从0.0553 ms到0.0876 ms。变化形状具有信息性：前四轮中位数为0.0585 ms，后四轮为0.0713 ms，增加22.0%，与逐渐热升温而非孤立瞬变一致。运行4中将轮间间隔从3 s增至20 s，总控制散布从46.0%降至29.1%，证实了热解释和对策的部分有效性。关键观察是当机器漂移这些量时方案测量发生了什么。三次交错运行（运行5–7）的每次运行中位数的变异系数（CV）——三个运行中位数的样本标准差除以其均值——平均验证CV为1.35%，最大为4.03%；十二个方案中九个一致优于1.5%。这是核心方法论结果：控制探针在单次保留运行内变异高达37%（ECDSA验证探针，运行6，相对其最小值的范围），而报告的方案中位数跨运行一致约1.35%。交错将逐渐漂移均匀分布到所有方案，轮次中位数吸收之。然而真正的突然阶跃不会被均匀分布，因为它落在恰好包含它的轮次的任一侧。运行5包含这样一个阶跃。两个控制探针在第4轮约六次操作处记录到突然下降，哈希探针下降23%，ECDSA验证探针下降29%。阶跃前，运行5中哈希探针比运行5–7全部24轮的中位数高23.4–24.5%；阶跃后，运行5落在运行6和7的范围内。因此第4轮最早测量的三个方案（Ed25519、FN-DSA-1024、SLH-DSA-128s）的运行级中位数由阶跃前状态主导，而其余方案在第4轮较晚测量，已反映阶跃后状态。运行5的第1–4轮因此从所有报告值中排除。排除是在观察到阶跃后决定的，因此是事后决定，并如实报告。为使其可复现，它被表述为应用于运行5–7每一轮的标准：当某轮的哈希探针值超过全部24轮中位数20%以上时排除该轮。该标准选择运行5的第1–4轮（+23.4%至+24.5%）且无其他轮；保留轮中最大偏差为+12.2%（运行6第8轮）。它依赖哈希探针，因为该工作负载与方案不共享代码路径。ECDSA探针还在运行6中显示孤立单轮偏移+21%至+30%（第1、6、8轮），哈希探针未显示超过+12.2%且不持续。测量软件记录的漂移指标不能作为标准，因为它相对于每次运行第一轮前的参考探针表示，而在运行5中该参考本身在较慢状态下取得。由于标准是在看到数据后制定的，表A3报告运行5三种处理下的主要结果：仅第5–8轮（如所报告）、全部八轮、以及移除运行5。验证比值在三种处理间变化最多2.1%（ML-DSA-44：0.680、0.694和0.688），绑定约束、Pareto集和最小后量子裕度124倍不变。排除改变的是跨运行一致性：使用运行5全部八轮，平均验证CV从1.35%升至5.16%，几乎完全通过第4轮阶跃前测量的三个方案，其CV达到12.1–16.8%。将原始顺序运行与交错运行合并使验证CV升至10.6%至51.5%之间，因为运行2在每个方案上一致更慢；这一早期发现仍是交错设计的动机说明。促成修订的ML-DSA-87比值相应稳定：运行1中1.064，运行3中0.980，运行4中0.962，而受污染运行得到1.535。这些值一致显示与ECDSA P-256接近持平（运行3和4合并比值：0.970，95% CI [0.953, 0.988]，排除1）。这些比值以ECDSA P-256锚点为准；运行5–7给出同一比值的0.981、1.024和1.014。以运行5至7中采用为账本基线的ECDSA secp256k1验证器测量，同一参数集慢1.671倍（95% CI [1.641, 1.696]），如第3.2节所报告。共执行七次运行。运行1和2执行顺序协议。运行3和4执行交错协议的早期版本。它们被运行5–7取代，后者在添加ECDSA secp256k1账本基线后使用第2.4.4节的修订交错设计，并构成所有报告值的基础。运行2在每个方案上一致更慢，被报告而非丢弃，因为静默排除会歪曲协议的得出方式。同一原则应用于运行5：其前四轮按第2.4.5节标准从所有报告值中排除；运行本身保留，表A3报告有和无排除的结果。运行1、3和4作为验证集而非报告集仍有用。它们早于账本基线，因此与运行5–7的比较使用ML-DSA-87与ECDSA P-256验证的比值：1.064、0.980和0.962，对比运行5–7中的0.981至1.024。因此第一次顺序运行和两个交错协议版本均将ML-DSA-87置于与ECDSA P-256接近持平，而减慢的运行2则不然（1.535）。测量软件、分析软件、每次运行的原始逐操作时序、每轮控制值及聚合摘要提供给期刊以供同行评审验证。它们附有每次运行的记录软件环境以及将每个表和圖映射到生成命令的描述。每个报告的表和图由单一命令从原始数据重新生成，使测量与呈现之间无手动步骤介入。报告值为三次交错运行（运行5–7）的中位数。分析软件在单一输入文件中接受两种协议版本的输出并按记录结构分派，使顺序和交错运行无需手动调和即可聚合。有效性威胁方面：单一平台——所有测量来自一个x86-64处理器、一个编译器、一组库实现，在WSL2下。绝对时序在其他微架构、裸金属、受限嵌入式目标和有硬件加速的地方会不同。时序比值也可能不同，包括第3.2节中经典与后量子方案之间的比值及由此得出的1.47和1.67倍数字。原因是方案对微架构特征的依赖不同，如下文讨论的FN-DSA浮点依赖性所示。方案的相对排序预期比绝对数字更稳定，但该预期未在此测试，不应假定。字节计数及因此的C1边界不依赖平台。基线的不对称代码路径——方案通过三个软件路径到达：ECDSA P-256和Ed25519通过cryptography包的OpenSSL后端；ECDSA secp256k1账本基线通过libsecp256k1以ctypes调用；后量子方案通过liboqs及其Python包装器。三者均从Python调用。后量子方案和账本基线共享一个外部函数机制，因为liboqs Python包装器本身构建于ctypes之上，但调用周围的包装代码不同：对于libsecp256k1，它在验证前分别解析公钥和DER编码签名。因此每次调用开销在三个路径间不同，且未被单独测量。后量子组内的比较（共享一个路径）比跨经典/后量子边界的比较更精确。每个跨该边界的比值——第3节中与ECDSA secp256k1的比值及第3.1、3.2和3.4节中由此得出的因子——将算法间的差异与其软件路径间的差异相结合。经典基线因此应被解读为数量级参考而非精确测量。该不对称不能逆转第3.5节的绑定约束结果。每次调用开销加到每个测量验证时间上，因此原生测量会降低每个方案的t_verify(s)，提高每个C2上限，并扩大裕度。它可能以未测量的量和方向改变第3.2节的跨边界比值。在Python解释器外测量的原生基线或所有方案单一外部函数路径将消除不对称，并计划作为后续工作。FN-DSA的浮点依赖性——FN-DSA参考实现在密钥生成和签名中使用浮点算术，使其时序比模块格和基于哈希的替代方案对浮点单元更敏感。签名过程的定点实现据报道比原始浮点实现慢约两倍，证实成本分布依赖实现。FN-DSA数字相应地更具平台特异性。FN-DSA参数集来源——FIPS 206在整个测量工作期间处于制定中且无公开草案。此处报告的FN-DSA数字反映liboqs 0.16.0（2026年7月9日发布）中实现的参数编码，该版本确认在本研究自身测量环境中运行。liboqs 0.16.0自身发布说明报告该版本无FN-DSA特定更改，与FIPS 206本身仍无已发布文本可对照一致。因此，实现应被理解为跟踪标准化前的Falcon参考设计（liboqs报告为版本20211101及PQClean补丁），而非特定FIPS 206文本。相比之下，同一liboqs版本移除了SPHINCS+以支持SLH-DSA，并自0.12.0版本起提供最终FIPS 204 ML-DSA，因此这两个家族不带有此注意事项。2026年9月，NIST FIPS 206团队提议标准以定点算术精确规定签名过程；符合最终标准的实现因此在密钥生成和签名时间上可能不同于此处测量的实现。若FIPS 206的参数编码在最终定稿时也改变，FN-DSA字节计数可能也需要修订。验证仅使用整数算术，是最不受这些变化影响的操作。因此FN-DSA结果应被解读为liboqs 0.16.0的结果，并在FIPS 206最终定稿后重新测量；其他八个参数集在最终FIPS 204和FIPS 205下标准化，不受影响。虚拟化环境——测量在WSL2而非裸金属下进行，在工作负载与硬件之间增加虚拟化层并移除客户机对处理器时钟的可见性。控制探针补偿第二点。第一点不能排除，其对绝对时序和时序比值的影响未与裸金属运行对照测量。单线程验证——验证吞吐量报告为单线程，而生产验证器跨核心并行验证。因此报告的验证上限保守约核心数倍，这加强而非削弱第3.5节的结论。研究结果方面，全部十二个配置的测量参数如表3所示。所测集合的三个属性值得单独指出。签名膨胀在标准化集合内跨越两个数量级：相对于72字节ECDSA P-256签名，签名长度增长因子为10.4（FN-DSA-512）、33.6（ML-DSA-44）、64.3（ML-DSA-87）和692.4（SLH-DSA-256f）。因此后量子签名更大的一般陈述过于粗糙，无法指导设计决策：标准化方案彼此之间的差异大于其中最小者与经典基线之间的差异。签名和公钥大小在各家族间朝相反方向移动：SLH-DSA在比较中携带最小公钥——128位级别32字节，小于33字节压缩ECDSA点——同时携带最大签名。ML-DSA两者均膨胀：参数集87为2592和4627字节。FN-DSA是唯一签名（参数集512为752 B）小于其公钥（897 B）的家族。对于在不同位置存储密钥和签名或保留不同期限的账本，这些是实质性不同的配置，而聚合交易大小指标掩盖了差异。同样的不对称已被报告为SLH-DSA在受限硬件上部署的决定性因素。验证在迁移后并非一致变慢：ML-DSA-44验证0.0238 ms，对比ECDSA secp256k1的0.0350 ms；FN-DSA-512为0.0398 ms。在格家族内，权衡是参数依赖的：只有ML-DSA-44以字节换取验证速度，而ML-DSA-65和FN-DSA-512保持在账本基线14%以内。只有基于哈希的家族同时在两个轴上更慢，验证上慢13.59至57.71倍。一项近期基准测试研究报告ML-DSA可比ECDSA验证更快，尤其在高安全级别：在ARM笔记本上，级别5为0.14 ms对0.88 ms。在该研究中，ECDSA比较器随安全级别变化，从级别1的P-256到级别5的P-521。账本无论采用何种后量子参数集都保持一条曲线，因此本比较在每一级别使用ECDSA secp256k1验证器。优势真实但随参数集单调衰减并在安全级别5逆转。跨三个ML-DSA参数集，比值从0.680移至1.071再至1.671；FN-DSA内同样模式，从参数集512的1.137到1024的2.160。每个家族内的衰减比较通过一个软件路径测量的参数集，而家族跨越经典基线的点取决于该基线及其路径。因此家族内趋势是两项发现中更稳健的。任何假设在最高安全级别相对账本ECDSA验证器有验证盈余的协议设计，都建立在本测量不支持的假设上。由于CNSA 2.0特别强制国家安全系统使用ML-DSA-87，这是该假设最不安全的参数集。测量足够稳定以承载结论：跨运行5–7，ML-DSA-87验证中位数保持在0.0567至0.0593 ms之间，跨运行变异系数为2.29%，其与ECDSA secp256k1的比值为1.671，95% CI为[1.641, 1.696]。与报告数字的调和：两项结果回答不同问题，因为它们使用不同比较器。级别5数字0.1402 ms（ML-DSA）和0.8847 ms（ECDSA）对应相对P-521上ECDSA约6.3的比值；本研究的1.671相对secp256k1上ECDSA。在两项研究共享比较器的地方，它们在方向上一致：在最低级别，相对ECDSA P-256，该研究报告ARM笔记本上ML-DSA为0.0529 ms、ECDSA为0.0788 ms，本测量给出ML-DSA-44为0.0238 ms、ECDSA P-256为0.0578 ms。因此该研究中的级别5比值是相对该平台上P-521验证而非账本验证器的比值，不能转移到曲线保持固定的账本。此类比值取决于比较器、实现和平台，应在目标环境中重新测量而非引用。这同样适用于表4中报告的比值。在参考配置——1 MB区块、10 s间隔、F = 118字节的UTXO交易模型——应用式(1)–(5)给出表5的一阶边界。它们是从测量参数计算的分析边界，而非部署账本的测量。表5中容量保留为某方案下每区块交易数相对ECDSA secp256k1基线的比值，裕度为验证受限与容量受限吞吐量的比值，范围为FN-DSA-512的12.6%至SLH-DSA-256f的0.4%。换一种表述，在式(2)的一阶模型内，恢复4484笔每区块的经典吞吐量需要将区块从1 MB扩大至FN-DSA-512下7.9 MB、ML-DSA-44下17.3 MB、ML-DSA-87下32.9 MB、SLH-DSA-256f下224.4 MB。这些结果对过渡分析中识别的区块容量裕度定性收窄给出了定量边界。图7绘制九个后量子配置的两个吞吐量相关准则，气泡面积与密钥生成时间成比例。若在同一安全级别内没有其他配置实现至少同样多的每区块交易数和至少同样高的验证率且在至少一个准则上严格改进，则该配置在该级别内为Pareto最优。部署在选择方案前固定其安全级别，因此前沿在每个NIST级别内计算：级别1，FN-DSA-512（每1 MB区块565笔交易，25,126次验证/s）在两个轴上支配两个SLH-DSA-128变体；级别2和3，每个级别唯一可用的格集按构造最优（ML-DSA-44，每区块259笔交易和42,017次验证/s；ML-DSA-65，185和26,667，支配SLH-DSA-192f）；级别5，选择在ML-DSA-87（每区块136笔交易，17,094次验证/s）和FN-DSA-1024（296和13,228）之间保持开放，各自在一个轴上最优且均支配SLH-DSA-256f。因此九个配置中有五个在其自身级别为Pareto最优，四个被支配的均为基于哈希。跨级别，两个轴急剧权衡：FN-DSA-512比ML-DSA-44多容纳2.18倍每区块交易，而后者验证快1.67倍。然而跨级别比较不是部署选择，因此跨集前沿低估了可辩护选项的数量。密钥生成列引入负载领先者最弱的轴。FN-DSA-512密钥生成成本5.1303 ms，对比ML-DSA-44的0.0241 ms，级别1和级别2最优之间相差213倍，相对ECDSA secp256k1基线为271倍。ML-DSA-44自身的密钥生成惩罚为1.3倍。对于地址频繁生成或密钥生成在受限硬件上运行的账本，这是一阶约束而非脚注。基于哈希的家族表现出研究中最急剧的内部权衡。128位级别的两个SLH-DSA参数集在签名大小上相差2.2倍（f变体17,088 B对s变体7856 B），在签名时间上朝相反方向相差20.8倍（22.93 ms对476.09 ms）。SLH-DSA-128s签名比ECDSA签名慢18,102倍，使其排除在任何交互式交易路径之外，无论其有利的签名大小如何。因此为账本选择后量子签名方案是参数化决策，由哪个架构约束绑定决定，而非普遍排名。这解释了跨生产账本的独立工程决策分歧而无需任何一方有错。这也与审查的生产和草案协议设计中所见的分歧选择一致，其中后量子韧性被视为耦合约束间结构平衡的属性而非仅原语强度。表5最后一列承载设计后果最清晰的结果。在式(1)–(5)的一阶模型中，参考配置下的绑定约束为C1（交易负载容量）而非C2（验证吞吐量），对每个所测方案包括经典基线均成立。裕度宽广。在模型中，验证能力超过可达交易率的因子为ML-DSA-44的1622倍、ML-DSA-87的1257倍、FN-DSA-512的445倍。即使经典基线也在64×处容量绑定；迁移至ML-DSA-44将现有失衡进一步放大25倍。在模型中，交叉点位于参考区块数据速率0.1 MB/s以上两到三个数量级。验证仅在区块数据速率B/T超过ML-DSA-44约161.8 MB/s和FN-DSA-512约44.4 MB/s时开始绑定。因为容量上限随B/T缩放而验证上限独立于两者，绑定约束和裕度仅通过区块数据速率B/T依赖区块大小和间隔，至多到式(2)的整数取整。因此上述交叉速率适用于两个参数的任何组合。在10 s区块间隔下，这些对应约1.62 GB和444 MB的区块大小，超出当前实践一到三个数量级。此外这些数字是保守的，因为此处验证为单线程而生产验证器跨多核验证，这提高C2上限并使交叉点更远。C1绑定的识别是所考察模型及其应用参数的結果：容量由区块大小B和区块间隔T设定的账本、区块数据速率B/T低于上述交叉值、每笔交易一个签名和一个公钥、固定字段0–400 B。它不是关于所有DLT架构的陈述。签名负载不同于每笔交易一个签名的账本改变式(1)–(5)的项并需要自身评估；例如每笔交易附加多个背书的许可账本以及每个区块携带许多验证者签名的共识协议。容量不由区块大小和间隔设定的账本同样如此。由于推导量依赖非密码交易字段的假定大小F，表6报告跨合理账本格式范围的区块占用率。相对UTXO模型在0–400字节全范围的偏差为ML-DSA-44的+3.1至?6.6%、ML-DSA-87的+1.5至?3.7%、FN-DSA-512的+7.3至?13.6%、SLH-DSA-256f的+5.3至0.0%。后量子结果对F不敏感，因为签名以一至三个数量级主导交易。经典基线并非不敏感：它从9523到1980笔每区块变化，范围为+112.4至?55.8%，因为其72字节签名与F本身相当。由此得出两个解释后果：第一，第3.4和3.5节的结论——Pareto结构和C1绑定的识别——依赖后量子负载量级并在所考察全范围内稳健。第二，表5中容量保留百分比作为相对经典基线的比值对F敏感，仅对所述UTXO模型有效；它们应针对任何交易格式有实质不同的账本重新计算。讨论部分，从第3.5节得出两项设计含义，适用于所述范围内的区块约束账本，它们是本研究的操作性输出。验证并行化优化非绑定约束：利用ML-DSA验证速度缩短区块验证的共识协议正在优化已盈余两到三个数量级的资源。因为可达吞吐量由式(3)界定，其中不含验证项，由此产生的交易率增益在所考察区块大小下近似为零。此类工作并非无价值：验证成本仍设定验证者所需硬件，因此设定参与验证的门槛，这一渠道在后量子共识签名工作中被视为与吞吐量不同。然而其收益不应以吞吐量单位声称。负载削减是固定区块大小和间隔下对绑定约束的主要杠杆。签名聚合、压缩和交易格式重新设计直接作用于式(1)中的TxSize，因此作用于容量受限吞吐量，而测量的膨胀因子界定了可用增益。从ML-DSA-44的3850字节交易移至FN-DSA-512的1767字节将区块占用率提高2.18倍。两个方案处于不同NIST安全级别，因此这是安全级别的改变而非同级别替换；报告用于说明而非作为部署建议。在级别5，从ML-DSA-87到FN-DSA-1024的类似移动以几乎相同因子2.18提高占用率，但FN-DSA-1024验证比ML-DSA-87慢1.29倍并携带约247倍的密钥生成惩罚。因此任何压缩方法必须针对实际部署安全级别的交易大小基线评估，而非针对未修改的ML-DSA-44数字。可用于经典签名的聚合技术不能直接转移到标准化后量子方案，因此负载杠杆目前比经典部署更窄。区块数据速率B/T是式(2)和(3)中的另一量。区块扩大或间隔缩短时它成比例提高C1上限，但也提高与C3相关的传播负载和存储账本的增长，而模型将其保持固定。Layer 2设计将交易移出基础层，位于模型之外。模型外因素：从式(1)–(5)排除的六个因素不作用于同一项，其实践后果相应不同。表8列出每项作用的项及其对第3.5节结果的后果。由表8得出三项实践含义：第一，作用于C2的因素加强C1结论；其价值在于验证者硬件需求而非吞吐量。第二，作用于C1的因素收窄裕度，但在数据固定的限度内。仅固定字段（F = 118 B）在参考配置下将吞吐量上限设为847笔每秒，低于最慢的经典或格验证率——Ed25519的10,846次每秒。因此任何限于签名和公钥的削减都不能使验证对这些方案绑定。只有SLH-DSA-128f、SLH-DSA-192f和SLH-DSA-256f验证慢于该上限（719、495和496次每秒），对它们密码负载需分别缩小811、425和596倍才能验证绑定。第三，交易池动态和费用市场反馈决定上限被使用多少以及由哪些交易使用，而非上限在哪里。威胁的时间维度强化了优先级。对于账本签名，相关暴露不是对加密数据的先存储后解密风险，而是账本上已可见的公钥，其控制的资金在移至新密钥前对伪造开放。第1节报告的经验证据还表明密码学相关漏洞在实践利用中已过度呈现。因此迁移时间表受两端约束：暴露供应量主张尽早开始，而此处量化的负载边界设定网络吸收迁移交易的速度。作为信息管理问题解读，结果重新定位了困难。对于此处建模的区块约束账本，向后量子密码迁移主要是存储和传输问题而非计算问题。应以适合该类别的工具规划——格式设计、聚合和明确容量预算——而非计算优化。密码敏捷性、混合签名和敏捷交易格式是可用机制；此处报告的参数决定给定架构需要其中哪些。局限性：边界是来自单一平台的一阶分析边界，带有第2.6节的限定和第3.5节所述范围；表8给出模型外每项因素移动它们的方向。协议向裸金属、第二处理器架构、NIST组合之外的后量子候选以及嵌入式和加速目标的扩展仍待进行。结论部分，将分布式账本的签名原语替换为后量子替代方案不能仅视为密码替换：在不调整协议的情况下，它将密码升级转化为吞吐量退步。标准化方案之间的差异大于最小方案与经典基线之间的差异。因此所选参数集的资源分布而非标准化原语的可用性，决定了迁移能实现什么。本研究识别了后量子迁移后区块约束分布式账本的哪项资源绑定及其裕度。为回答该问题，它在单一平台上以单一漂移控制协议测量了三个NIST遴选后量子签名家族全部九个参数集及三个经典基线。测量结果然后转化为区块约束分布式账本的一阶容量和验证上限。主要结果为：签名膨胀在标准化集合内跨越两个数量级，从ECDSA P-256签名的10.4倍到692.4倍，因此后量子签名更大的一般陈述过于粗糙无法指导设计决策；在所测平台上，ML-DSA相对ECDSA secp256k1账本验证器的验证速度优势是参数依赖的：在参数集44成立（快1.47倍），在参数集87逆转（慢1.67倍）；Pareto最优性必须在每个NIST安全级别内评估：九个配置中有五个（FN-DSA-512、ML-DSA-44、ML-DSA-65、ML-DSA-87和FN-DSA-1024）在其自身级别内最优，而级别1领先者FN-DSA-512携带271倍密钥生成惩罚，因此没有方案支配且选择依赖架构；在一阶模型中，在所考察区块大小、间隔和交易格式下，绑定约束是负载容量而非验证吞吐量（对每个方案），后量子配置的验证裕度为可达交易率的124至1622倍，该结果对假定交易格式在0–400字节范围内稳健；带独立控制探针的交错测量将跨运行一致性保持在平均变异系数1.35%，尽管控制探针在单次运行内变异高达37%，因为交错将逐渐漂移均匀分布到所有方案。对于所考察范围内的区块约束账本，在固定区块大小和间隔下，这些发现的实践后果涉及协议努力应投向何处。应投向交易负载——聚合、压缩、格式重新设计——而非验证吞吐量，后者在该模型中不是限制资源。方法论后果是跨平台性能比值，包括此处报告的，应重新测量而非引用，且该领域基准测试协议应明确控制测量顺序。尽管有这些贡献，必须认识到以下局限：边界是一阶分析边界而非部署测量，适用于所考察的账本参数而非所有DLT架构。它们源自WSL2下测量的单一x86-64平台而非裸金属，绝对时序和时序比值在其他架构和其他实现下可能不同。经典和后量子方案还通过不同软件路径测量，影响两组间每个比值。验证吞吐量为单线程报告，使验证上限保守。FN-DSA数字跟踪liboqs 0.16.0中实现的标准化前Falcon参考设计，因为FIPS 206在整个测量工作期间处于制定中。FIPS 206最终定稿后它们可能改变；2026年9月为其提议的计划以定点算术规定签名过程。运行5前四轮的排除是在观察到阶跃变化后决定的；其效应报告于表A3。模型还排除签名聚合、压缩、批量与多核验证、交易池动态和费用市场反馈，其效应方向列于表8。进一步工作应在裸金属和第二处理器架构上重新测量，添加在Python解释器外测量的原生基线，将协议扩展至NIST组合之外的后量子候选及嵌入式和加速目标，并在FIPS 206最终定稿后重新测量FN-DSA参数集。这些数字契合更广泛的后量子签名性能证据体系，从NIST对候选方案的第三轮基准测试到公共互联网上后量子签名开销的大规模生产测量。最终，分布式账本的后量子韧性是签名大小、验证成本和协议设计之间平衡的属性，而非单一原语强度的属性。