1. 课程导入与熵源全景

在密码系统中，随机数不是“辅助材料”，而是密钥生成、挑战值、初始化向量、盲化因子、一次性口令等安全机制的根基。一旦随机数可预测，再强的分组密码或公钥算法也会被绕过。传统伪随机数发生器（PRNG）由确定性算法加种子构成，其输出熵完全来自种子；若种子被猜测、被侧信道泄露或被系统时间等低熵源污染，整条随机数链就退化为可复现序列。量子随机数发生器（QRNG）的价值，正是把熵的来源从“算法假设”转移到“物理过程的不可预测性”上。

所谓量子随机数熵源，是指利用量子力学内禀随机性产生原始随机比特（或原始随机信号）的物理装置与信号链。它通常包含三个层次：量子物理过程、探测与模拟前端、以及原始比特提取。量子过程提供不可预测的物理事件，例如单光子到达时间、真空涨落、相位扩散、自发辐射等；探测前端把量子事件转换为电信号；原始比特提取则把模拟波形量化为比特流。需要强调的是，熵源输出的是“原始随机比特”，它可能带有偏置、相关性和经典噪声，必须经过后续的熵评估与随机性提取，才能成为密码系统可用的真随机数。

从物理机制看，量子随机数熵源可分为若干典型类别。第一类是离散事件型，如单光子探测中的光子到达时间或路径选择，其随机性来自量子测量的投影结果；第二类是连续变量型，如真空态正交分量测量、激光相位噪声测量，其随机性来自量子涨落的连续分布；第三类是原子与自旋型，如核自旋、原子自发辐射方向等；第四类是集成光子型，如硅光芯片上的量子随机数源，强调小型化与可集成。不同类别的熵源在带宽、偏置特性、对经典噪声的敏感度、以及可建模性上差异显著，因此“建模与评估”必须针对具体物理机制展开，而不能套用统一模板。

在密码系统中的位置可以用一条数据流来理解：量子熵源产生原始随机信号，经过熵评估与随机性提取，形成种子或直接随机比特，再输入到密钥生成、会话密钥协商、挑战应答、掩码生成等密码模块。熵源位于整条安全链的最上游，其质量决定了后续所有随机数的安全上限。因此，建模与评估的目标不是“证明输出看起来随机”，而是回答三个问题：熵源中到底有多少不可预测的量子熵？经典噪声和器件缺陷如何影响熵估计？在给定攻击模型下，输出比特距离理想随机有多远？

整体技术路线可以概括为“物理建模—信号建模—熵评估—随机性提取—验证闭环”。物理建模描述量子过程与探测响应，例如单光子探测器的死时间、后脉冲、暗计数，或连续变量探测中的电子噪声与增益漂移；信号建模把物理过程映射为可观测的模拟波形或事件序列；熵评估则从统计检验、最小熵估计、条件熵分析等角度量化不可预测性；随机性提取通过哈希函数或异或压缩消除偏置与相关性；最后用统计测试、熵估计和攻击场景验证形成闭环。这条路线不是线性一次通过，而是需要反复迭代：评估发现偏置，就回到信号建模调整提取参数；提取后仍不达标，就回到物理建模检查探测链。

理解这张全景图后，可以进一步明确“建模”与“评估”的分工。建模回答“熵源如何工作、噪声从哪里来、输出如何生成”；评估回答“在给定模型下，熵有多少、是否可被区分、提取后是否达标”。两者共享同一套物理与信号参数，例如探测效率、暗计数率、采样率、量化位数、死时间等。以单光子到达时间型熵源为例，若探测器死时间为 50 ns，则相邻光子事件的最小间隔被限制，时间戳序列会出现死时间导致的间隙；若暗计数率为 100 cps，则部分“光子到达”其实来自暗计数，属于经典噪声。建模时需要把这些参数写入事件生成模型，评估时则要判断暗计数对最小熵的贡献是否被高估。

在工程实践中，一个常见的教学示例是：假设某 QRNG 原始比特率为 10 Mbps，原始比特偏置约为 0.52（即“1”的概率为 0.52），相邻比特相关系数约为 0.03。若直接使用，最小熵约为每比特 0.98 左右；经过 SHA-256 压缩提取后，输出速率降为约 5 Mbps，但偏置与相关性被显著消除。这里的数值属于合理假设的示例，用于说明“原始比特—熵评估—提取—输出”的量化关系，并非实测结果。实际系统中，提取比例需要根据最小熵估计动态调整，不能固定为 2:1，否则可能过度压缩或提取不足。

需要特别提醒的是，量子随机数熵源并不等于“绝对安全”。量子过程提供内禀随机性，但探测链中的经典噪声、电磁干扰、电源纹波、温度漂移都可能引入可预测成分；器件缺陷如后脉冲、死时间、增益非线性也会破坏独立性假设。因此，建模与评估必须覆盖“量子熵 + 经典噪声 + 器件非理想”三部分，并在攻击模型下检验最坏情况。只有把熵源放在密码系统的最上游位置来审视，才能理解为什么熵评估的保守性、提取函数的可证明性、以及验证闭环的完整性，是量子随机数从实验室走向工程部署的关键。