2. QKD协议核心机制

量子密钥分发（QKD）的安全性并不来自数学难题，而来自量子力学的基本约束：未知量子态不可克隆、测量会扰动状态、纠缠态存在可检验的关联。不同协议把这些原理组织成不同的编码与检测方式，最终都落到两个可观测指标上——误码率（QBER）与安全密钥率。理解协议机制，本质上就是理解“信息如何编码到量子态、如何被测量、窃听会留下什么痕迹、这些痕迹如何压低最终密钥率”。

BB84：四态编码与基比对

BB84由Bennett和Brassard于1984年提出，使用两组共轭基：直角基（Z基，比特0/1对应水平/垂直偏振）和对角基（X基，比特0/1对应+45°/−45°偏振）。发送方Alice随机选择基和比特，制备单光子态；接收方Bob独立随机选择测量基。只有当双方基一致时，测量结果才具有确定性关联，这些位置构成筛选密钥（sifted key）。

BB84的关键在于：Eve若截获并测量光子，她必须猜基。猜错时她制备的态与Alice原态不一致，Bob测量结果就会以一定概率出错。若Eve对每个光子都采用“拦截—重发”攻击，理论误码率约为25%。因此QBER成为窃听强度的直接指示器。实际实现中，Alice用弱相干光源（WCS）代替理想单光子源，多光子脉冲会引入光子数分离（PNS）攻击风险，这正是诱骗态方法要解决的问题。

B92：两非正交态与时间槽

B92由Bennett于1992年提出，只用两个非正交态，例如|0⟩与|+45°⟩。Alice随机发送其中一个；Bob做投影测量，只有特定结果才保留。由于两态非正交，无法确定性区分，Bob的“成功”事件天然带有筛选效果。B92结构更简单，但筛选率低、对信道损耗更敏感，安全密钥率通常低于BB84，因此现代系统更常用BB84及其变体。

E91：纠缠与贝尔不等式检验

E91由Ekert于1991年提出，基于纠缠源产生EPR对，Alice和Bob各持一个粒子，在多个基上测量并记录结果。通过贝尔不等式（如CHSH形式）检验测量关联是否违反经典界限，可判断信道是否被窃听。E91的安全性不依赖“测量扰动”的直观图像，而依赖纠缠关联的不可伪造性。其工程实现难度较高，但为设备无关QKD（DI-QKD）提供了理论原型。

诱骗态方法：对抗PNS攻击

实际QKD多用衰减激光产生弱相干脉冲，其光子数服从泊松分布，存在多光子脉冲。Eve可对多光子脉冲实施PNS：拿走一个光子、保留其余，待Alice公布基后再测量，从而在不引入明显误码的情况下获取信息。诱骗态方法的核心是：Alice随机改变脉冲平均光子数μ，在信号态（如μ=0.5）与诱骗态（如ν=0.1）之间切换，Bob分别统计各强度下的增益Q和误码率E。若Eve对多光子脉冲下手，不同强度下的统计关系会被破坏，由此可估计单光子脉冲的增益下界与误码率上界，进而计算安全密钥率。

下面这张图给出BB84+诱骗态从量子传输到密钥提取的信号链与参数关系，重点标出QBER如何进入密钥率公式并决定最终可用密钥长度。

密钥率与误码率：从QBER到最终密钥

筛选后，双方公布基并保留基一致的位置，得到原始密钥。随后进行误码估计：随机抽取一部分比特比对，估计QBER。若QBER低于安全阈值，进入纠错与隐私放大。以诱骗态BB84的渐近密钥率为例：

R ≥ q · { −Q_μ · f(E_μ) · H₂(E_μ) + Q₁ · [1 − H₂(e₁)] }

其中：
q      = 基比对因子（BB84约1/2）
Q_μ    = 信号态总增益
E_μ    = 信号态总误码率
f      = 纠错效率（典型1.1~1.2）
Q₁     = 单光子脉冲增益下界
e₁     = 单光子误码率上界
H₂(x)  = −x·log₂x − (1−x)·log₂(1−x)

公式中第一项是纠错泄露的信息量，第二项是单光子贡献的可提取信息量。QBER升高时，H₂(E_μ)增大，纠错代价上升；同时e₁上升使H₂(e₁)增大，隐私放大压缩更多。当QBER超过约11%（BB84渐近阈值，实际随f和诱骗态估计略有浮动），R降为0，协议中止。工程上常把QBER分为三档：低于3%可稳定成钥；3%~8%需加强监控并可能降低密钥率；接近或超过阈值则判定信道异常，应检查探测器暗计数、光源强度漂移或是否存在强窃听。

综上，BB84提供四态编码与基比对框架，B92用非正交态简化但牺牲效率，E91用纠缠与贝尔检验提供不同安全视角，诱骗态方法则把实际弱相干源拉回安全边界。QBER是贯穿所有协议的“体检指标”，密钥率公式把QBER、增益、纠错效率和隐私放大压缩量统一到一个可计算、可判断的数值上。掌握这条从量子态到最终密钥的信号链，才能在后继章节中分析具体攻击与防御措施。