量子通信与量子互联网：不可窃听的密钥

前情提要：纠缠让两个量子比特在测量前都不确定、看一个的瞬间另一个同时定格且永远关联——它正是某种通信资源能借用的"绑定"；而测量一旦落下，叠加就塌、且状态无法被无痕迹地复制（不可克隆）。这两件事凑起来，能造出一种古老需求的新答案：怎么安全地传秘密。

密码学那篇我们讲了"换锁"——把被 Shor 威胁的 RSA 换成抗量子的新锁。但锁再牢，密钥本身怎么安全送到对方手里？传统做法是靠数学难题护着密钥，或者靠人工送 U 盘。量子给了第三条路：让窃听者根本没法不被发现。

QKD：用光子当密钥

量子密钥分发（QKD）的核心思想很妙，叫 BB84 协议（两个发明人 Bennett、Brassard，1984 年提出）。它不靠算不动的难题，靠的是物理规律本身：

1. Alice 把一串随机比特，编码成单光子的偏振方向发出去。她有两种"基"（测量框架）可选：一种叫"计算基"（比如竖直=0、水平=1），一种叫"对角基"（比如 45 度=0、135 度=1）。她随机混着用。 2. Bob 收到光子，也随机选一种基来测量。按第 4 篇的结论，他选错基测得的结果就是乱的。 3. 两人后来公开比对"刚才各自用的是哪种基"——注意只比对基的种类，不暴露比特值。基碰巧一致的那些位，结果才可靠，拿来当密钥；基不一致的位直接扔掉。 4. 最后抽一小部分密钥位公开核对，看错误率。如果有人（比如 Eve）在中间窃听，她必须测量这些光子，但她不知道 Alice 用哪种基，乱测就会破坏光子的状态（第 4 篇的"看一眼就塌"），让 Bob 那端结果出错。错误率一高，两人立刻知道"信道被蹭了"，丢掉这轮重来。

关键点在于：窃听必然留下痕迹。在经典世界里，有人偷听电话你可以毫无察觉；在量子信道里，偷看这个动作本身会扰动信号。这不是"量子很聪明"，是测量会坍缩这个物理事实在替你站岗。

中继与网络：距离是个硬伤

单光子在光纤里跑，每公里都在衰减，跑过几百公里就所剩无几。怎么拉远距离？两招：

• 可信中继：在中间设几个节点，每段分别做 QKD，节点像"邮差"一样接力转发密钥。问题是中继节点必须"可信"——它看到了明文密钥，节点被攻破就白搭。这是妥协方案，不是真量子网络。
• 量子中继：用第 3 篇的纠缠做"纠缠交换"——先把纠缠分发到两端，再在中间做贝尔测量，把纠缠"延伸"过去，全程不暴露密钥比特。这才能真正突破距离，但技术难，还在实验室到原型阶段。
• 卫星 QKD：光子在大气层外真空飞，衰减比光纤小得多。中国的"墨子号"卫星已经演示过上千公里级的密钥分发，证明天基路线可行。

量子互联网：愿景与现实

研究者爱画一张"量子互联网分层图"：

• 最底层（今天已能用）：密钥分发，就是上面说的 QKD，保护经典通信。
• 中间层（实验中）：纠缠分发网络，把纠缠当作"资源"按需送到任意两点，供量子计算、量子传感协同。
• 顶层（远期）：全量子网络，远端量子计算机之间直接传量子态、做分布式量子计算。

现实是：我们刚踩上第一层，个别城域网和点对点卫星链路在跑，离"互联网"还差得远。它不会取代今天的互联网，而是在最需要安全的那一层（金融、政务、基础设施密钥）补一道物理保障。

理性降温：QKD 不是银弹

两个常见误会要泼冷水：

第一，QKD 只保护"密钥分发"，不保护"端点"。如果 Alice 或 Bob 的电脑本身被黑、被装木马，密钥再安全也没用——敌人直接从你键盘边上读。量子守的是信道，守不了你家的门。

第二，距离和成本受限。光纤几十到百公里就要中继，卫星受天气和过境时间约束。它贵、它挑场景，不是人人都该上。

所以 QKD 的定位是：在"极高安全需求 + 可部署距离"的交集处，提供一种基于物理规律、抵赖不了的密钥保护。它不是要消灭所有加密，而是给最要害的链路加一道别的手段给不了的锁。

---

写到这，量子能"算"也能"传"，但你心里大概有个问号：新闻里那些"量子计算机又破纪录"到底算数吗？下一篇《近年突破盘点：Willow、IBM 路线图与"优越性"之争》：你会看到 Willow 如何首次跨过纠错阈值、IBM 把容错年份写死进路线图，以及"量子优越性"为什么只是阶段性压力测试而非"量子已赢"的奖状。

*（系列前文：第 3 篇讲纠缠、第 4 篇讲测量破坏，本篇的 QKD 和量子中继都立在这两条上；想看真机误差体感，可回看上一篇《上手量子云》。）*