4. 误码估计基础

在量子密钥分发（QKD）后处理流程中，误码估计是连接原始密钥筛选与后续纠错、隐私放大的关键环节。它要回答一个看似简单却极其重要的问题：在双方筛选后的密钥中，到底有多少比特不一致？这个比例就是量子误码率（QBER）。QBER 不仅决定纠错需要付出的代价，更直接决定最终能否生成安全密钥——因为窃听者 Eve 引入的误码与信道噪声引入的误码在统计上无法逐位区分，误码率越高，Eve 可能掌握的信息就越多。

然而，实际系统中不可能逐位比对全部密钥来精确统计误码，那样会泄露整段密钥。因此，误码估计本质上是一个抽样统计问题：从长度为 N 的筛选密钥中随机抽取一部分比特公开比对，用样本误码率去推断整体误码率。这里就涉及三个核心概念：抽样方式、误码率估计量、以及置信区间与统计波动。

抽样统计：随机性与样本量的双重约束

误码估计的第一步是抽样。双方从筛选后的密钥中随机选取 m 个位置，公开这些位置上的比特值并比对，统计不一致的比特数 k。样本误码率定义为：

p_sample = k / m

这个估计量要能代表整体，前提是抽样必须真正随机且双方无法预知抽样位置。如果抽样位置被 Eve 提前获知，她可以只在这些位置上保持正确，而在未抽样位置引入错误，从而欺骗误码估计。因此，抽样位置通常由双方通过公开信道协商的随机种子生成，且抽样后这些比特必须从密钥中丢弃，不能参与后续纠错和隐私放大。

样本量 m 的选择是一个权衡：m 越大，估计越准，但消耗的密钥越多；m 越小，密钥保留越多，但估计波动越大。实际系统中，m 通常取总密钥长度 N 的 5%～20%，例如 N=10⁶ 比特时，m 取 10⁵ 左右。

误码率估计与置信区间

样本误码率 p_sample 只是真实误码率 p 的一个点估计。由于随机波动，p_sample 不会恰好等于 p。我们需要给出一个置信区间，即真实误码率以某个概率（置信水平）落在的区间。对于大样本，根据中心极限定理，p_sample 近似服从正态分布，标准误为：

SE = sqrt( p_sample * (1 - p_sample) / m )

在 95% 置信水平下，置信区间约为 p_sample ± 1.96·SE。例如，m=10⁵，观测到 k=3000，则 p_sample=3%，SE≈0.017%，95% 置信区间约为 [2.967%, 3.033%]。这个区间很窄，说明大样本下估计非常稳定。

但小样本时正态近似不再可靠，应使用二项分布的精确置信区间（如 Clopper-Pearson 区间）。例如 m=1000，k=30，p_sample=3%，但 95% 置信区间可能宽达 [2.0%, 4.3%]。这意味着真实误码率有可能高于 3%，而安全性分析必须按置信上限来评估，不能只用点估计。

统计波动对安全性的影响

误码率的统计波动会通过两个途径影响安全性。第一，纠错阶段需要根据误码率估计值选择纠错码的纠错能力。如果低估了误码率，纠错可能失败，双方密钥不一致，后续隐私放大无法生成相同密钥。第二，隐私放大阶段需要根据误码率上限估计 Eve 的信息量。如果低估了误码率，Eve 的信息量被低估，隐私放大压缩不够，最终密钥中仍残留 Eve 的部分信息。

因此，工程上通常采用“保守估计”策略：取置信区间的上界作为误码率输入，并在此基础上留一定余量。例如，若 95% 置信上限为 3.5%，系统可能按 4% 来设计纠错和隐私放大参数。这样虽然牺牲了一部分密钥率，但换来了安全性裕度。

实际工程中的参数选择与操作

以一个典型的 BB84 系统为例，假设筛选后密钥长度 N=10⁶ 比特，系统预期 QBER 在 2%～5% 之间波动。误码估计的典型操作流程如下：

1. 双方通过公开信道交换一个随机种子，用伪随机数生成器确定 m 个抽样位置。m 取 N 的 10%，即 10⁵ 比特。
2. 双方公开这些位置上的比特值，逐位比对，统计不一致数 k。假设 k=3200，则 p_sample=3.2%。
3. 计算标准误：SE=√(0.032×0.968/100000)≈0.0176%。95% 置信区间为 [3.165%, 3.235%]。
4. 取置信上限 3.235%，再留 0.5% 工程余量，按 3.7% 设计纠错码和隐私放大压缩率。
5. 丢弃这 10⁵ 个抽样比特，剩余 9×10⁵ 比特进入纠错阶段。

这里的关键判断是：置信上限必须覆盖真实误码率可能出现的波动范围。如果系统长期运行中 QBER 缓慢漂移（例如温度变化导致探测器暗计数增加），单次估计的置信区间可能无法覆盖漂移后的真实值。因此，实际系统还会对多次估计结果做趋势监控，当 p_sample 持续上升或置信上限超过预设阈值（如 8%）时，应触发告警并暂停密钥生成。

统计波动与安全裕度的量化关系

统计波动对安全性的影响可以用一个简单的关系来理解：最终安全密钥率 R 大致正比于 1 - 2h(p_upper)，其中 h 是二元熵函数，p_upper 是误码率置信上限。当 p_upper 从 3% 增加到 4% 时，h(0.03)≈0.194，h(0.04)≈0.242，安全密钥率会下降约 10%。这意味着，误码率估计中每 1% 的保守余量，都会以密钥率下降为代价换取安全性。工程上需要在密钥率和安全性之间找到平衡点，而这个平衡点的选择必须基于对统计波动的准确量化。

总之，误码估计不是简单的“数一数有多少错”，而是一个涉及随机抽样、区间估计和安全决策的完整统计推断过程。理解抽样统计的原理、置信区间的含义以及统计波动如何传导到安全性，是正确实现 QKD 后处理的基础。