传统加密体系的安全性建立在数学难题之上，比如大数分解和离散对数问题。一旦量子计算机足够成熟，Shor算法可以在多项式时间内攻破RSA和ECC，这对现有公钥密码体系构成了根本性威胁。量子密钥分发（Quantum Key Distribution，简称QKD）走的是另一条路：它不依赖计算复杂度假设，而是把密钥的安全性托付给量子力学的基本定律。任何窃听行为都必然扰动量子态，从而被通信双方察觉。本文将围绕QKD的物理原理、典型协议和工程实现展开分析。
一、QKD的安全根基：两条量子力学基本原理
QKD之所以敢宣称提供信息论意义上的安全，靠的不是算法难度，而是两条被实验反复验证的量子力学基本定律。理解这两条原理，是理解一切QKD协议的前提。
第一条是量子不可克隆定理。该定理指出，不存在能够完美复制任意未知量子态的物理过程。这与经典信息形成鲜明对比：一段经典比特可以随意复制备份，而一个处于叠加态的光子一旦被复制，必然引入可观测的误差。对于窃听者来说，这意味着无法先复制一份密钥光子再原样转发，中途截留信息的做法在物理层面就被堵死了。
第二条是测量坍缩效应。对未知量子态进行测量时，测量行为本身会破坏原来的叠加态，使其坍缩到某个本征态，且这个扰动不可逆。在QKD中，发送方用特定的基（可以理解为坐标系）来编码量子比特，接收方如果用错误的基去测量，得到的将是随机结果，同时不可避免地扰动原始量子态。通信双方随后通过公开比对一部分数据，就能统计出误码率。一旦误码率超过阈值，就可以断定链路上存在窃听，进而丢弃这批密钥。整个安全检测逻辑就建立在这条原理之上。
此外，海森堡不确定性原理为上述机制提供了理论支撑：共轭量无法同时被精确测量，窃听者越是想提取信息，对系统的扰动就越大。扰动与信息获取之间的定量关系，已经被严格证明并用于估算密钥生成率，例如著名的BB84安全性证明给出的密钥率公式。
二、典型QKD协议的工作流程：以BB84为例
BB84协议由Bennett和Brassard在1984年提出，是第一个量子密钥分发协议，也是目前商用程度最高的方案。它使用两组共轭基：直线基（0度和90度偏振）和对角基（45度和135度偏振），每组基内两个正交态分别编码经典比特0和1。
协议流程可以概括为以下几个阶段。第一阶段是量子传输：发送方Alice随机选择基和比特值，逐个发送单光子；接收方Bob对每个到达的光子也随机选择测量基。第二阶段是基矢比对：Bob通过公开的经典信道公布自己对每个位置使用的基（但不公布测量结果），Alice对照后告诉Bob哪些位置的基是匹配的，双方只保留基匹配的那些比特，形成原始密钥。第三阶段是纠错与隐私放大：双方先做误码率估计，如果误码率低于约11%的安全阈值，就执行信息协调（纠错）纠正传输错误，再通过隐私放大算法压缩密钥，把窃听者可能掌握的那部分信息彻底挤出密钥。最终双方获得一段共享的、信息论安全的对称密钥，可用于一次一密加密或对称加密通信。
BB84协议简化流程： 1. Alice 随机选基（+ 或 ×）和比特（0/1），发送单光子 2. Bob 随机选基测量，记录结果 3. 公开信道比对基矢，丢弃基不匹配的比特（约剩一半） 4. 抽样公开部分比特估计误码率（QBER） 5. QBER < 阈值（约11%）：执行纠错 + 隐私放大 6. 得到最终安全密钥，用一次一密或AES加密业务数据
除了BB84，还有几个重要协议值得了解。E91协议由Ekert提出，利用纠缠光子对和贝尔不等式判别窃听：如果纠缠粒子之间的关联性违反贝尔不等式，说明信道未被窃听。这类基于纠缠的协议与BB84基于制备测量的思路形成互补。B92协议将BB84简化为只需两个非正交态，实现更容易，但安全裕度更低。近年来 Measurement-Device-Independent QKD（测量设备无关QKD）通过让通信双方都向中间不可信节点发送量子态，从协议层面免疫了针对探测器的侧信道攻击，成为高安全场景的重要选择。
三、工程实现的现实挑战
理论上优美的QKD，落地时面临一系列硬件难题，这些难题直接决定了系统的密钥率和传输距离。
首先是单光子源与弱相干光源的矛盾。理想的QKD要求每个脉冲严格包含一个光子，但真正的按需单光子源至今不成熟。实际系统多用激光衰减到平均每脉冲0.1个光子的弱相干态，这带来了多光子脉冲风险：窃听者可能用光子数分裂攻击截获多光子脉冲中的一个光子。诱骗态技术通过随机混入不同强度的诱骗脉冲来检测这种攻击，已经成为商用系统的标配。
其次是信道损耗与探测器的两难。光纤在1550纳米波长的损耗约为每公里0.2分贝，300公里传输损耗就高达60分贝，意味着每百万个光子只有一个能到达。单光子探测器需要极高的灵敏度，常用的超导纳米线探测器效率高、暗计数低，但需要接近绝对零度的制冷环境，成本和运维门槛都不低。雪崩光电二极管方案便宜易用，但暗计数率偏高，制约了长距离性能。目前光纤QKD的实际安全传输距离在几百公里量级，要跨越更远距离需要量子中继或可信中继组网。量子中继依赖量子存储和纠缠交换技术，尚在实验室阶段，因此现网多采用可信中继逐段接力，这在安全性模型上引入了对中继节点的信任假设，也是QKD常被讨论的争议点之一。
最后是经典后处理的算力开销。纠错和隐私放大需要大量经典通信和计算，在高速QKD系统中，后处理吞吐往往成为瓶颈，导致实际可用密钥率远低于物理层的成码能力。此外，QKD需要专门的光纤链路或自由空间信道，与现有网络基础设施的融合、密钥管理系统的对接，都是部署时必须解决的系统工程问题。
四、QKD与经典密码的关系：互补而非取代
一个常见误区是把QKD理解为一种新的加密算法，可以替代AES或RSA。实际上QKD解决的是密钥分发这一个环节，它本身不加密任何数据。业务数据的加密仍然依赖一次一密或AES等对称算法，QKD只是源源不断地为这些算法供应安全的对称密钥。可以把QKD系统理解为一个密钥工厂，而传统密码算法是使用密钥的加工机器。
与经典密钥协商（如Diffie-Hellman）相比，QKD的优势在于安全性不依赖数学假设，即使未来出现强大的量子计算机也无法破解；同时具备窃听可感知能力，这是经典方案完全不具备的。劣势同样明显：设备昂贵、距离受限、密钥率有限，通常在每秒兆比特量级以下，难以支撑大规模一次一密的需求。
| 对比维度 | QKD | 经典密钥协商 |
|---|---|---|
| 安全基础 | 量子力学物理定律 | 数学难题（如离散对数） |
| 抗量子计算 | 天然免疫 | 易受Shor算法威胁 |
| 窃听感知 | 可检测 | 无法检测 |
| 传输距离 | 数百公里，受信道损耗限制 | 无物理限制 |
| 部署成本 | 高，需专用链路与设备 | 低，纯软件实现 |
| 密钥成码率 | Mbps量级以下 | 理论无上限 |
因此，现实中的合理策略是密码体系分层组合：量子密钥用于高价值链路的密钥供给，经典公钥密码配合后量子密码算法（PQC）承担一般的密钥协商需求。QKD与PQC并非竞争关系，而是应对量子威胁的两条并行路线，前者从物理层入手，后者从数学层入手。对于政务、金融、电力等对长期保密性要求极高的场景，QKD加对称加密的组合已经进入实际部署阶段，国内的京沪干线等骨干网络就是典型实践。
五、总结
量子密钥分发用量子不可克隆定理和测量坍缩效应这两条物理定律，把密钥安全从计算难题变成了物理必然，这是它区别于一切经典密码方案的根本所在。BB84及其衍生协议给出了完整可落地的实现路径，诱骗态、测量设备无关等技术不断修补侧信道漏洞，推动安全传输距离和成码率持续提升。同时也要清醒认识到，QKD不加密数据、距离和成本受限、依赖可信中继等限制决定了它当前的角色是高安全场景的补充手段，而非通用密码体系的替代品。随着量子中继和星地组网技术的成熟，QKD有望在未来量子互联网中扮演密钥基础设施的核心角色。