2. 量子通信系统与误码率基础

要理解量子密钥分发（QKD）中的误码率，先要看清它从哪来、被谁测量、又为什么能决定密钥是否安全。QKD系统并不是一台"直接产生密钥的机器"，而是一条从量子态制备到经典后处理的完整链路。误码率贯穿这条链路，是连接物理层与安全证明的关键指标。

一、QKD系统的四个组成部分

以最典型的BB84协议为例，一个QKD系统可拆为四段：

• 光源（发送端）：负责制备量子态。常用弱相干光源（WCP），通过随机选择基（如Z基{|0⟩,|1⟩}与X基{|+⟩,|−⟩}）和比特值，调制出四种偏振或相位状态。理想单光子源难以工程实现，实际多用平均光子数μ≈0.1～0.5的弱相干脉冲，这会引入多光子成分，直接影响后续安全性分析。
• 量子信道：光纤或自由空间。光纤中损耗随距离指数增长（约0.2 dB/km@1550nm），同时存在偏振漂移、相位抖动；窃听者可能实施截获—重发、分束等攻击。信道是误码的主要物理来源之一。
• 探测端（接收端）：用单光子探测器（SPD）测量到达光子。常用InGaAs雪崩二极管或超导纳米线探测器（SNSPD）。探测器存在暗计数、探测效率η、死时间与后脉冲，这些非理想特性会制造"本不该有"的计数，形成误码。
• 后处理：包括基比对（sifting）、误码估计、纠错（error correction）与隐私放大（privacy amplification）。基比对后双方保留同基事件，得到筛后密钥；误码估计从中抽样一部分比特估算QBER；纠错把剩余误码消除；隐私放大压缩掉窃听者可能掌握的信息，输出最终安全密钥。

这四段中，前三段决定"原始误码有多少"，后处理决定"这些误码能否被容忍并转化为安全密钥"。理解这一点，才能明白QBER为何既是测量量，又是判决量。

二、QBER与经典误码率的本质区别

经典通信中的误码率（BER）衡量的是"接收到的比特与发送比特不一致的比例"，它只是一个质量指标：误码高就重传或降速，误码低就正常使用，本身不涉及"是否被窃听"。QBER则不同，它同时承担两种角色：

• 物理质量指标：反映光源、信道、探测器带来的实际错误比例。
• 安全判决量：在QKD的安全证明中，QBER的上界直接约束窃听者可能获得的信息量。若QBER超过协议允许的阈值，说明窃听者可能掌握了过多信息，此时即使纠错成功，隐私放大也无法保证密钥安全，必须中止。

更关键的是，QBER的统计对象是筛后密钥，而不是全部发送比特。双方先通过经典信道公布各自的基选择（不公布比特值），只保留基一致的事件，这些事件才构成误码估计的样本空间。因此QBER = 筛后密钥中不一致比特数 / 抽样比特数。它与经典BER在定义域、测量时机和解释方式上都不同。

三、误码率在安全证明中的作用

QKD的安全性不是靠"测到误码低"来保证的，而是靠一个可证明的推理链：给定观测到的QBER，可以约束窃听者与最终密钥之间的关联程度，进而确定隐私放大需要压缩掉多少信息。以简化的渐近密钥率公式为例：

R ≥ 1 - h₂(QBER) - f · h₂(QBER)
其中 h₂(x) = -x·log₂x - (1-x)·log₂(1-x) 为二元熵
f 为纠错效率（通常 1.1 ~ 1.2）

第一项 1 表示每筛后比特的原始信息量；h₂(QBER) 是纠错需要泄露的信息量下界；f·h₂(QBER) 是实际纠错泄露量；剩余部分才是可安全提取的密钥率。可以看出，QBER上升会同时抬高纠错成本与隐私放大压缩量，密钥率随之下降，直至归零。这正是"误码率决定安全边界"的数学体现。

举个教学示例（参数为合理假设，非实测）：设筛后密钥长度 N=10000 bit，抽样2000 bit估计得QBER=3%，纠错效率f=1.15。则 h₂(0.03)≈0.194 bit，密钥率下界约 1−0.194−1.15×0.194≈0.58，即每筛后比特约可提取0.58 bit安全密钥。若QBER升至8%，h₂(0.08)≈0.402，密钥率降至约 1−0.402−1.15×0.402≈0.135，安全余量明显收窄。这一对比说明：QBER不是"越小越好"的模糊感受，而是直接进入密钥率公式的定量输入。

四、测量QBER时的实践要点

实际估计QBER时，抽样比例需要权衡：抽样太少，估计方差大，可能低估真实误码而误判安全；抽样太多，则消耗可用于生成密钥的比特。工程上常取筛后密钥的5%～10%用于误码估计，并采用随机抽样而非固定位置，避免被针对性攻击利用。此外，暗计数在长距离、低计数率场景下占比升高，会使QBER随距离恶化，分析时应把探测器暗计数与信道损耗分开记录，便于定位误码来源。