1. 课程导入与抗量子迁移背景

嵌入式设备正在成为密码学迁移中最容易被忽视、却又最难补救的一环。原因并不复杂：一台通用服务器更换密码库、重启服务、更新证书，通常以天或周为单位完成；而一台部署在配电柜、车载控制器、水表或工业网关中的嵌入式设备，往往要在现场连续工作十年以上，期间可能无人登录、无法联网、甚至不允许停机。当量子计算对现有公钥密码体系构成实质威胁时，这类设备恰好处于"部署早、寿命长、升级难"的最不利位置。本课程围绕这一矛盾展开，讨论如何为嵌入式设备规划并实施抗量子密码迁移。

量子威胁不是"明天就到"，而是"已经进入决策窗口"

理解威胁时间线，关键要区分两类算法受到的不同冲击。以RSA、ECC、DH为代表的公钥算法，依赖大整数分解或离散对数问题的计算困难性，Shor算法在理论上可在多项式时间内求解这些问题，因此一旦出现足够规模、足够容错的量子计算机，现有公钥体系将整体失效。而以AES、SHA-2/3为代表的对称算法和哈希函数，受Grover算法影响主要表现为安全强度平方根级下降——AES-128的暴力搜索复杂度从2¹²⁸降到约2⁶⁴，通过升级到AES-256即可恢复充足余量。这一区别决定了迁移的重点在公钥基础设施，而非全部密码算法推倒重来。

更现实的威胁来自"先收集、后解密"（Harvest Now, Decrypt Later）。攻击者今天录下加密流量，等量子能力成熟后再解密。这意味着机密性风险不是从量子计算机建成那天才开始，而是从数据被截获那天就已经产生。对于设计寿命15年、传输数据具有长期敏感性的设备（如能源计量、医疗遥测、身份凭证），如果今天新部署的设备仍只支持经典公钥算法，其整个生命周期都将暴露在这一风险之下。业界普遍引用的判断是：密码迁移的完整周期（标准制定、芯片与固件支持、设备更新、现场替换）往往需要10年以上，因此迁移启动时间必须显著早于量子威胁的预期到来时间。NIST已于2024年正式发布ML-KEM（FIPS 203）、ML-DSA（FIPS 204）和SLH-DSA（FIPS 205）三项后量子标准，标准化这一前置条件已经具备，剩下的瓶颈在工程侧。

嵌入式设备为何是迁移的"深水区"

把后量子算法搬到嵌入式平台上，会同时撞上四类约束。第一是资源约束：ML-KEM-768的公钥约1184字节、密文约1088字节，ML-DSA-65的公钥约1952字节、签名约3309字节，相比ECC的32~64字节级别膨胀了一到两个数量级。对于RAM只有几十KB、Flash只有几百KB的MCU，密钥存储、报文缓冲和栈空间都会立刻吃紧。第二是算力约束：基于格的算法涉及大量多项式乘法与NTT变换，在无硬件加速的低频Cortex-M0/M3上，一次密钥封装可能耗时数十毫秒到数百毫秒，直接影响通信时延与功耗预算。第三是协议约束：TLS、CoAP、DTLS、蓝牙等协议栈的握手报文长度、分片策略、证书链结构都需要重新评估，MTU较小的链路上尤其容易出现分片与重传问题。第四是生命周期约束：设备一旦出厂，固件升级通道、密钥更新机制、硬件安全模块的算法可扩展性就基本定型，事后补救成本极高。

这四类约束共同指向一个结论：抗量子迁移不能等到威胁临近才启动，而必须在设备架构设计阶段就预留算法敏捷性。所谓算法敏捷性，是指密码算法以可替换模块的形式组织，密钥格式、协议协商、证书解析与算法实现解耦，使得未来替换算法时无需改动业务逻辑。这是本课程贯穿始终的工程主线。

本课程要解决的问题与学习路径

本课程面向已具备嵌入式开发与基础密码学知识的工程师，目标是让学习者能够独立完成一次面向资源受限设备的抗量子迁移评估与实施。具体包括：能根据设备资源与业务场景选择合适的PQC算法组合（如ML-KEM用于密钥 establishment、ML-DSA或SLH-DSA用于签名，视签名体积与验签开销权衡）；能在MCU上完成PQC库的移植、裁剪与性能测量；能改造协议栈以适配更大的密钥与签名；能设计支持算法切换的密钥管理与固件升级方案；能识别迁移过程中的典型故障并定位原因。

课程将沿着"背景与标准—算法原理与资源画像—平台移植与优化—协议集成—密钥与生命周期管理—测试验证与迁移路线"的顺序推进。每一章都会给出可操作的参数、代码片段或检查清单，帮助学习者把概念落到具体设备上。需要说明的是，课程中出现的性能数据、资源占用与配置参数，除特别标注外均为教学示例或合理假设，用于说明方法与判断依据，实际数值需在目标平台上实测确认。

量子威胁的时间尺度以十年计，嵌入式设备的生命周期同样以十年计，两者叠加意味着今天的架构决策将决定设备能否安全走完整个服役期。抗量子迁移本质上不是一次算法替换，而是一次面向长期不确定性的工程能力建设。接下来的章节，就从理解后量子算法的计算结构与资源需求开始。