📚 课程目录第3章弱相干光源

3. 弱相干光源

在量子密钥分发（QKD）系统中，理想情况下信息应编码在“每次恰好一个光子”的量子态上。然而，真正能够按需发射单个光子的单光子源在工程上极难实现，因此绝大多数实用化 QKD 系统采用弱相干光源（Weak Coherent Source, WCS）：将激光强烈衰减，使每个脉冲的平均光子数 μ 远小于 1，从而以一定概率近似地获得单光子脉冲。本节围绕“衰减激光如何产生单光子、光子数如何分布、由此带来什么安全风险、以及诱骗态如何补救”这条主线展开。

一、衰减激光产生单光子的原理

激光器输出的是高度相干的强光，其平均光子数可达 10⁶ 量级以上。要把它变成“准单光子源”，核心手段是强衰减。工程上通常采用可调光衰减器（VOA）或固定衰减器级联，把平均光子数压到 μ ≈ 0.1～0.5 量级。例如，若激光脉冲能量对应平均 10⁶ 个光子，要得到 μ = 0.1，则总衰减量约为 10 lg(10⁶/0.1) = 70 dB。衰减器可由光纤熔融拉锥、掺杂光纤或波导结构实现，其衰减量需稳定、可标定，并随温度漂移受控。

需要强调：衰减后的光仍然是相干态，而不是真正的单光子态。它只是“平均光子数很低”，每个脉冲中实际包含多少个光子是随机的。这正是弱相干光源一切安全问题的根源。

二、光子数分布：泊松统计

弱相干光源每个脉冲的光子数 n 服从泊松分布：

P(n) = (μ^n / n!) · e^(−μ)

μ = 0.1 时：
P(0) ≈ 90.48%   （空脉冲）
P(1) ≈ 9.05%    （单光子脉冲）
P(2) ≈ 0.45%    （双光子脉冲）
P(≥3) ≈ 0.02%   （多光子脉冲）

可以看到，即使 μ 只有 0.1，仍有约 0.45% 的脉冲含两个及以上光子。这些多光子脉冲在 QKD 中会带来严重的安全隐患。μ 越大，单光子比例上升，但多光子比例也同步上升；μ 越小，多光子比例下降，但空脉冲比例急剧上升，成码率下降。因此 μ 的选择是安全性与成码率之间的折中。

三、安全风险：光子数分离攻击

多光子脉冲带来的最典型攻击是光子数分离攻击（Photon Number Splitting, PNS）。其基本思路是：窃听者 Eve 在信道上对每个脉冲进行量子非破坏测量，判断其光子数。若发现是单光子脉冲，她无法复制（量子不可克隆定理），只能拦截或放行；若发现是多光子脉冲，她可以“分离”出一个光子自己保留，把剩余光子透明地传给接收方 Bob。由于 Bob 仍能正常探测到光子，通信双方不会察觉异常，而 Eve 已经掌握了该脉冲的部分信息。当密钥协商完成后，Eve 利用自己掌握的信息即可推断部分密钥比特。

PNS 攻击的威胁程度与信道损耗密切相关。在长距离 QKD 中，信道损耗大，Eve 可以完全阻断单光子脉冲（反正到达 Bob 的概率也低），只放行多光子脉冲并窃取信息，从而获得远高于理论预期的信息量。因此，如果不加防护，弱相干光源在长距离下的安全性将无法保证。

四、诱骗态方法：从“被动接受”到“主动估计”

诱骗态（Decoy State）方法由 Hwang 于 2003 年提出，其核心思想是：Alice 随机地以不同平均光子数 μ（信号态）和 ν（诱骗态）发送脉冲，通过比较不同强度下的探测计数率，估计单光子脉冲的计数率下界和误码率上界，从而在密钥率计算中扣除多光子脉冲的贡献。

具体实施时，Alice 在信号态（μ）和诱骗态（ν）之间随机切换，通常 ν < μ，且两者比例固定。Bob 分别统计两种强度下的总计数率和误码率。由于 Eve 无法区分当前脉冲是信号态还是诱骗态（她不知道 Alice 的随机选择），她必须对所有脉冲采取一致的攻击策略。这样，通过比较 μ 和 ν 下的计数率差异，Alice 和 Bob 就能约束 Eve 可能获取的信息量。

以三强度诱骗态为例，典型参数为：信号态 μ = 0.5，诱骗态 ν₁ = 0.1，ν₂ = 0（真空态）。真空态用于精确标定暗计数和背景噪声。通过求解线性方程组，可得到单光子计数率下界 Y₁ 和单光子误码率上界 e₁，进而代入 GLLP 公式计算安全密钥率：

R ≥ q · { −Q_μ · f(E_μ) · H₂(E_μ) + Q₁ · [1 − H₂(e₁)] }

其中：
Q_μ  = 信号态总计数率
E_μ  = 信号态总误码率
Q₁   = 单光子计数率下界（由诱骗态估计）
e₁   = 单光子误码率上界（由诱骗态估计）
f    = 纠错效率（典型 1.1～1.2）
H₂   = 二元香农熵

诱骗态方法的关键在于：它不改变光源的物理性质，而是通过协议层面的统计估计，把弱相干光源的安全性提升到接近理想单光子源的水平。 这使得基于弱相干光源的 QKD 系统能够在实际信道损耗下安全运行，成为当前商用 QKD 系统的主流方案。

工程要点：诱骗态切换通常由电光调制器或声光调制器实现，切换速率需与脉冲重复频率匹配（典型 1～10 GHz）。强度稳定性要求优于 1%，否则会引入估计偏差。真空态可通过阻断光路或使用独立衰减器实现，其计数率直接反映暗计数水平。

五、参数选择与安全边界

在实际系统中，μ 和 ν 的选择需要根据信道损耗、探测效率、暗计数率等参数优化。一般原则是：

μ 不宜过大：μ 越大，多光子比例越高，PNS 风险越大。典型 μ 取 0.1～0.5。
ν 应显著小于 μ：通常 ν ≈ μ/5～μ/2，以保证诱骗态能有效约束单光子统计。
真空态必不可少：用于标定暗计数和背景噪声，提高估计精度。
强度切换需随机且不可预测：否则 Eve 可针对信号态和诱骗态采取不同策略，使估计失效。

通过合理设计诱骗态协议，弱相干光源 QKD 系统可以在 100 km 以上光纤信道中实现安全成码，密钥率可达 kbps 量级。这充分说明：弱相干光源虽然不是理想单光子源，但通过诱骗态方法，其安全性可以得到严格保证，是当前实用化 QKD 的首选方案。