瓶颈在密钥材料而非精度
联邦学习让医院无需汇集患者数据就能训练共享模型，但传输的模型更新本身并不天然私密：梯度反演和成员推断攻击仍可能暴露训练样本。安全聚合通过让每个客户端在更新上叠加由共享秘密导出的成对掩码来隐藏个体贡献，服务器求和时这些掩码相互抵消。在传统部署中，这些秘密来自Diffie-Hellman等经典公钥密码学，而它只具备计算安全性。
换成基于物理的密钥交换会改变约束条件。量子密钥分发把密钥材料编码在量子态中，借助不可克隆定理和测量扰动检测，产生即使面对拥有无限计算能力的对手也具备信息论安全性的密钥。代价在于吞吐量：量子信道产生共享秘密比特的速率有限，取决于光子探测效率、信道损耗和后处理开销，而且导出的密钥材料存储寿命有限，形成“不用就作废”的约束。因此论文的问题不是量子安全聚合是否更安全，而是它能否持续足够久以完成训练。
三重压缩缩小每轮传输载荷
该框架通过缩小每轮传输内容来降低密钥消耗。第一，冻结主干网络，只训练并发送分类头。在宽度乘数为0.75的MobileNetV3-Small中，完整模型约有803×10^3个参数，而分类头约有229×10^3个，传输参数减少约3.5倍。
第二，知识蒸馏提供更好的冻结特征提取器。一个总参数约337×10^3、分类头约90×10^3的紧凑学生模型，从在CheXpert上微调过的MobileNetV3-Small教师模型蒸馏而来，获得胸部影像专用特征而非ImageNet特征。只传输学生模型的分类头，使载荷相对冻结教师头再减少约2.5倍。
第三，传输的更新被量化为固定宽度整数，采用[-8.0, +8.0]的对称裁剪范围，精度为32位、16位或8位。量化只作用于发送到服务器的参数；本地训练仍保持float32以维持梯度质量。这些步骤合起来使每轮密钥消耗相对未压缩教师模型降低约35倍。
精度在压缩流程中基本保持
结果是在NIH ChestX-ray14测试集上经过50轮FedAvg后的宏平均一对多AUROC，数据集包含来自30,805名患者的112,120张正位胸片，覆盖15个多标签类别。未压缩、完全可训练且不加掩码的教师模型在IID划分下达到0.762。冻结主干并只发送分类头带来小幅下降，IID为0.745，非IID为0.736。
经CheXpert蒸馏的学生模型在IID下达到0.748，弥补了大部分差距，作者将其归因于领域专用蒸馏补偿了模型容量下降。量化只带来很小的额外损失：16位为0.738，8位为0.732，从32位到8位最多下降约0.02 AUROC。采用Dirichlet alpha=0.1的非IID划分使各配置的AUROC下降约0.01至0.02。作为合理性检查，在关闭掩码的情况下重复冻结教师配置，得到的每轮聚合结果和最终AUROC（0.745）完全相同，证实成对掩码精确抵消，掩码层不会改变训练轨迹。
冻结主干为何承担预测能力
这一精度格局并非偶然。作者认为，ImageNet预训练的主干在胸片上存在显著领域偏移，这正是领域适配的蒸馏学生模型表现更好的原因。一旦高质量的冻结主干就位，可训练的分类头参数很少，因此把它从32位压缩到8位整数代价很小。
按论文的解释，大部分预测能力存在于稳定的冻结特征提取器中，而非快速更新的分类头，这正是激进削减载荷的依据。同样的结构也被用来解释非IID鲁棒性：由于本地更新被限制在线性分类头内，受限的梯度空间降低了发散风险，因此在所测试的标签偏斜下，压缩流程似乎没有放大非IID优化难题。
可持续性取决于密钥速率余量
该测试台使用三个连续变量QKD发射端和三个接收端构成环形拓扑，六条链路中同时只有三条活跃，奇偶链路组大约每小时交替一次。尽管存在50%的占空比，密钥材料仍通过每条链路的缓冲区持续可用，每个缓冲区最多存放200,000个512位密钥，约100 MB。实测活跃链路速率约为10 kbit/s，因此每条链路每4分钟一轮大约生成150 kB。
对照这一预算，每个客户端每轮消耗两个载荷大小的密钥，每个环形邻居一个，对应每条链路P、全系统nP。未压缩教师模型每条链路每轮将消耗3.2 MB，净赤字约3.05 MB，所需最短可持续轮时长接近85分钟，并会在约33轮后耗尽整个缓冲区。冻结教师模型为916 kB，可维持约130轮；32位学生模型为360 kB，约480轮；16位学生模型为180 kB，约3,300轮。只有8位学生模型的90 kB具有约60 kB的正净余额，可无限期持续。除未压缩基线外，所有加掩码配置都能完成50轮，最坏情况下赤字约38 MB。
可持续阈值随轮时长移动
可持续性随密钥速率和轮时长线性变化，因为每条链路的条件是P <= R-bar乘以T。在平均速率5 kbit/s下，8位学生模型可维持超过144秒的轮时长。而60秒的GPU节奏轮则需要平均约12 kbit/s，30秒轮约需24 kbit/s，都超出当前测试台约10 kbit/s的活跃链路速率。
这是论文最具决策相关性的边界：更快的客户端硬件并不会自动让量子安全联邦学习更容易，因为它缩短了轮时长，从而压缩了每轮可动用的密钥预算。要恢复余量，需要每轮更多本地计算、更稀疏的聚合或进一步压缩。当前部署还是原型设备的同地实验室环境，城域光纤演示留作未来工作。
安全提升伴随结构性权衡
该框架的贡献最好理解为在密钥建立和掩码生成方面对经典安全聚合的严格改进：它去除了Diffie-Hellman困难性和伪随机性等计算假设，同时保留对聚合服务器相同的信任假设。作者指出，级别1和级别2的保证在原理上是信息论的，但实际部署会引入该模型之外的实现层漏洞，包括对量子密钥交换硬件的侧信道攻击，以及网络传输和软件栈中的经典攻击面。涵盖实现层威胁的形式化安全分析留作未来工作。
环形设计带来两个结构性约束。所有客户端必须参与每一轮，因为一旦有客户端退出，成对掩码无法抵消，聚合结果就无法恢复；论文提出揭示退出客户端掩码或采用门限秘密共享等抗退出机制作为未来工作。抗合谋能力也弱于全连接成对掩码：服务器与某客户端的两个环形邻居组成的联盟可以解开该客户端的贡献，这是把量子密钥链路从O(n^2)降到O(n)的直接后果。作者认为，在诚实但好奇的服务器作为主要威胁模型下，这是可接受的权衡。评估也仅限于一个数据集NIH ChestX-ray14和一个架构系列MobileNetV3。
8位学生头是决策分界点
论文的实用结论建立在一个比较上，而非仅看精度。在所测试的配置中，只有8位蒸馏学生头使每轮密钥余额转正，消耗90 kB，而每条链路每4分钟一轮约生成150 kB，代价是在IID划分下相对冻结的32位教师模型损失约0.03 AUROC（0.732对0.745）。其他所有加掩码配置都会消耗预充缓冲区，尽管多数仍能完成50轮。
这使选择成为一个阈值问题：对部署而言，关键问题是其轮时长和密钥速率是否满足针对拟传输载荷的P <= R-bar乘以T。论文自己的数字显示，在测试台10 kbit/s活跃链路速率和4分钟轮时长下，8位学生模型轻松满足该条件，而60秒轮需要约12 kbit/s，30秒轮需要约24 kbit/s。因此，权衡量子安全聚合的读者应把载荷压缩和轮节奏视为约束性设计变量，而非模型精度——在本文测试的压缩配置中，精度差异保持在约0.03 AUROC以内。
本文引用的文献
Efficient Secure Federated Learning via Information-Theoretically Secure Key Distribution: A Medical Imaging Case Study
在用于胸部X光分类的真实CV-QKD测试台上，结合冻结主干、CheXpert知识蒸馏和8位量化，把每轮密钥消耗降低约35倍（每条链路从3.2 MB降至90 kB），使联邦训练在每条活跃链路约10 kbit/s下可无限期持续，同时AUROC与未压缩基线的差距保持在约0.03以内。