3. 诱骗态方法原理

在理想 BB84 中，Alice 每次只发一个单光子，Eve 无法通过分束窃听而不引入误码。但真实光源是弱相干激光，其光子数服从泊松分布，存在一定概率发出两个及以上光子。Eve 可对多光子脉冲实施光子数分离（PNS）攻击：截取一个光子留存、把其余光子无损转发给 Bob，从而在不改变 Bob 端探测结果的前提下获取密钥信息。诱骗态方法的核心，就是让 Alice 随机切换不同强度的光脉冲，用"可观测的计数率与误码率"去反推"单光子成分的贡献"，从而给出安全密钥率的下界。

一、信号态与诱骗态的强度选择

设 Alice 发送的脉冲平均光子数为 μ，则脉冲含 n 个光子的概率为 P(n)=e^(−μ)μ^n/n!。诱骗态方案通常使用两个（或三个）强度：信号态强度 μ（用于生成密钥）、诱骗态强度 ν（用于估计单光子计数率下界），有时再加真空态 ω≈0 用于标定暗计数与探测器本底。

强度选择需满足几个约束。第一，μ 与 ν 必须显著不同，否则两组统计量高度相关，无法有效约束单光子成分；工程上常取 ν≈μ/2 或更小。第二，ν 不能太小，否则诱骗态计数率过低、统计涨落过大，估计出的下界反而更松。第三，μ 需保证总计数率足够高，使密钥生成速率可接受。典型参数示例（仅作教学假设）：μ=0.5、ν=0.1、真空态 ω=0，脉冲重复频率 100 MHz，探测效率 10%，暗计数率 1×10⁻⁶/门。此时信号态单光子概率约 30.3%，多光子概率约 9.0%，正是 PNS 攻击可利用的空间。

二、统计涨落分析

诱骗态估计依赖有限码长下的计数统计。设 Alice 发送强度 k 的脉冲数为 N_k，Bob 端探测到响应数为 n_k，则计数率 Y_k 的估计为 Ŷ_k=n_k/N_k。在有限码长下，真实值 Y_k 与估计值之间存在统计偏差。若采用标准误判概率 ε 的置信区间，可用 Hoeffding 不等式给出：

|Ŷ_k − Y_k| ≤ sqrt( ln(1/ε) / (2 N_k) )

例如 N_k=10⁹、ε=10⁻¹⁰ 时，偏差上限约 3.4×10⁻⁶，相对计数率量级（10⁻³～10⁻⁴）不可忽略。因此实际系统必须发送足够多的脉冲，或采用更紧的统计界（如 Chernoff 界）来压缩置信区间。误码率 E_k 的涨落同理，需用其置信上界参与密钥率计算。

三、GLLP 公式与单光子计数率下界

GLLP（Gottesman-Lo-Lütkenhaus-Preskill）公式给出诱骗态 BB84 在有限码长下的安全密钥率下界：

R ≥ q · { −Q_μ f(E_μ) H₂(E_μ) + Q₁[1 − H₂(e₁)] }

其中 q 为基比对效率（BB84 中约 1/2），Q_μ 与 E_μ 为信号态的总计数率与量子误码率，f(E_μ) 为纠错效率（典型 1.1～1.2），H₂ 为二元熵函数，Q₁ 与 e₁ 分别为单光子成分的计数率与误码率。第一项是纠错消耗，第二项是单光子成分可提取的净密钥。

诱骗态方法的关键在于用两组强度观测值约束 Q₁ 的下界。对强度 k，计数率满足：

Q_k = Σ_n P_k(n) Y_n = e^(−k) Σ_n (k^n/n!) Y_n

利用真空态 Y₀ 与两个强度 μ、ν 的观测值，可消去多光子项，得到单光子计数率下界（教学推导形式）：

Q₁ ≥ [ μ² e^(−μ) / (μν − ν²) ] · [ Q_ν e^ν − Q_μ e^μ · (ν²/μ²) − (μ²−ν²)/μ² · Y₀ ]

该式表明：Q₁ 的下界由 μ、ν、Q_μ、Q_ν、Y₀ 共同决定。若 ν 过小，Q_ν 的统计误差会放大；若 μ 过大，多光子比例升高，Q₁ 下界被压低。实际工程中常通过扫描 μ、ν 组合，寻找使 R 最大的强度配置。

四、从公式到工程参数

把上述推导落到实际系统，需要关注几个可操作量。第一，脉冲数 N_k 的分配：信号态用于生成密钥，应占绝大多数（如 90%），诱骗态与真空态用于参数估计，占比可较小（如各 5%），但必须保证 N_ν 足够大以压低统计误差。第二，纠错效率 f(E_μ) 由协议与硬件决定，典型值 1.15；若误码率偏高，纠错消耗会迅速吃掉单光子项收益。第三，暗计数 Y₀ 直接进入 Q₁ 下界公式，降低探测器暗计数或缩短探测门宽都能改善下界。

一个可参考的教学计算流程如下：给定 μ=0.5、ν=0.1、Y₀=1×10⁻⁶、η=0.1、e_d=0.02（光学误码）、f=1.15，先由 Q_k=1−(1−Y₀)e^(−kη) 估算各强度计数率，再由 E_k≈(Y₀/2+e_d(1−e^(−kη)))/Q_k 估算误码率，代入 Q₁ 下界公式与 GLLP 公式，即可得到 R 的数值。实际工程中这些量由实验标定，而非假设值。