2. QKD与诱骗态方法基础
要理解诱骗态QKD的安全参数为什么这样设计，必须先回到它要解决的两个源头问题：BB84协议在理想单光子条件下为什么安全，以及真实光源为什么会让这种安全性出现裂缝。本节沿着“协议原理—攻击方式—防御思想—工程方案”这条线索展开，为后续的安全参数计算打下物理与协议基础。
一、BB84协议回顾：安全性来自哪里
BB84使用两组共轭基：直角基（Z基，记为比特0/1）和对角基（X基，记为+/-）。发送方Alice随机选择基与比特，把单光子制备在四种偏振态之一；接收方Bob也独立随机选基测量。测量后双方通过公开信道比对基的选择，只保留基一致的比特，这一步称为基比对（sifting）。随后进行参数估计、纠错和隐私放大，得到最终密钥。
BB84安全性的物理根基是不可克隆定理与测量扰动原理：窃听者Eve无法复制未知量子态，任何试图区分四种非正交态的行为都会引入可被检测的误码。因此，Alice与Bob通过抽样估计量子比特误码率（QBER），就能给Eve的信息量一个上界。在理想单光子源下，若QBER低于约11%的阈值，即可提取安全密钥。
但这里有一个关键前提：每个脉冲恰好含一个光子。真实系统用的是衰减激光器，其光子数服从泊松分布，这个前提并不成立。
二、光子数分离攻击：多光子脉冲的漏洞
衰减激光器输出的脉冲中，有相当比例含两个及以上光子。设平均光子数为μ，则含n个光子的脉冲概率为 P(n)=e-μμn/n!。当μ=0.1时，单光子概率约9.05%，双光子约0.45%，而真空脉冲概率高达约90.48%——这正是诱骗态方案要重点处理的对象。
光子数分离攻击（PNS）正是利用多光子脉冲：Eve在不破坏剩余光子的前提下，从每个多光子脉冲中分出一个光子存入量子存储器，其余光子用无损信道传给Bob。Alice和Bob无法察觉，因为传输本身没有引入误码。等到双方公开基比对后，Eve知道自己存下的光子该用哪个基测量，从而完整获取这些脉冲对应的密钥比特。结果是：合法双方以为安全的密钥，有一部分对Eve完全透明。
更严重的是，PNS攻击的收益与光源中多光子脉冲的比例直接相关。若不加防护，安全密钥率会随距离迅速下降，甚至出现“看似有误码率合格、实则已被完全窃听”的假安全。这说明：仅靠测量QBER无法发现PNS攻击，必须从光源统计特性和密钥率公式层面加以约束。
三、诱骗态思想：把“看不见的量”变成“可约束的量”
PNS攻击的要害在于：合法双方无法直接知道单光子脉冲的计数率Y₁和误码率e₁，而安全密钥率恰恰主要由这两个量决定。诱骗态方法的核心思路是——不直接测量Y₁，而是通过改变光源强度，让不同强度脉冲的响应率之间形成可解的约束关系。
具体做法是：Alice在信号态（强度μ）之外，随机插入强度不同的诱骗态（强度ν，通常ν<μ）以及真空态（ω=0）。Eve无法区分某个脉冲是信号态还是诱骗态，因此她对所有脉冲采取的攻击策略必须一致。于是，不同强度下的响应率满足同一组信道参数约束。利用泊松分布已知的强度信息，可以写出：
Q_μ = Σ P_μ(n)·Y_n
Q_ν = Σ P_ν(n)·Y_n
Q_ω = Y_0 （真空态响应率即暗计数率）其中Y_n是含n个光子的脉冲被Bob探测到的条件概率。由于P_μ(n)、P_ν(n)已知，而Q_μ、Q_ν、Q_ω可由实验统计得到，就可以通过线性规划或解析不等式，解出Y₁的下界和e₁的上界。这正是诱骗态方法最精妙之处：它把“无法直接测量的单光子参数”转化为“可由多组可观测数据约束的估计问题”。
四、三强度诱骗态方案的基本原理
工程上最常用的是三强度方案：信号态μ、诱骗态ν、真空态ω=0。真空态的作用是直接给出暗计数与背景噪声的基线Y₀，从而让Y₁的估计更紧。一个常用的解析下界形式为：
Y₁ ≥ [ μ/(μν − ν²) ] · [ Q_ν·e^ν − Q_μ·e^μ·(ν²/μ²) − (μ²−ν²)/μ² · Q_ω ]得到Y₁后，单光子误码率上界e₁可由信号态与诱骗态的误码计数联合估计。最终安全密钥率下界为：
R ≥ q·[ Q₁·(1 − h(e₁)) − Q_μ·f·h(E_μ) ]式中q为基比对效率（BB84中约1/2），Q₁=μ·e-μ·Y₁为单光子脉冲的增益，h(·)为二元香农熵，f为纠错效率（典型1.1～1.2），E_μ为信号态总误码率。可以看到，μ、ν、ω三个强度以及它们的脉冲占比，直接决定了Y₁估计的紧致程度，进而决定密钥率——这正是后续安全参数设计要优化的核心变量。