1. 课程导入与隐私放大定位
在密钥协商与量子密钥分发（QKD）系统中，通信双方最终得到的原始密钥往往并不是"可以直接拿来用"的密钥。以典型的BB84协议为例，经过筛选（sifting）后，Alice和Bob各自持有一串长度约为发送脉冲数一半的比特串，但其中混杂着误码、窃听者Eve可能掌握的部分信息，以及设备不完美带来的偏差。后续的误码协商（error reconciliation）虽然让双方获得了一致的比特串，但代价是泄露了部分信息给窃听者。此时，双方共享的密钥在信息论意义上并不"保密"——Eve可能已经掌握了其中若干比特的信息。隐私放大（Privacy Amplification）正是解决这一最后环节的关键步骤：把一段"部分保密"的较长比特串，压缩成一段"几乎完全保密"的较短比特串。
理解隐私放大的定位，需要把它放在整个密钥后处理链条中来看。QKD的后处理通常包括基比对与筛选、误码估计、误码协商、隐私放大和认证几个环节。误码协商负责"纠错"，让双方比特一致；隐私放大负责"提纯"，消除Eve可能掌握的信息。二者缺一不可：只纠错不放大，密钥可能已被部分泄露；只放大不纠错，双方密钥不一致，放大后依然不一致。因此隐私放大不是可选的收尾动作，而是决定最终密钥是否具备信息论安全性的核心环节。在经典密钥协商（如基于Diffie-Hellman的协议）中，隐私放大同样以密钥提取器（key derivation / randomness extraction）的形式出现，用于把计算上保密或部分泄露的共享秘密转化为均匀分布的会话密钥。
从数学上看，隐私放大的核心是一个强随机性提取器（strong extractor）。设原始密钥为X，长度为n比特，Eve关于X的已知信息可用量子态或随机变量E描述，其不确定性用最小熵Hmin(X|E)度量。隐私放大的目标是选取一个压缩函数f，把X映射为长度m的输出密钥K=f(X)，使得K相对于Eve的分布接近均匀，且与Eve的关联可忽略。压缩长度m必须满足m ≤ Hmin(X|E) − 2log(1/ε)，其中ε是安全参数。这个不等式是隐私放大参数设计的根本依据：能提取多少密钥，取决于窃听者还剩多少不确定性。工程上常用的提取器包括基于通用哈希函数族（universal hashing）的Toeplitz矩阵提取器、基于乘法哈希的提取器，以及基于GF(2k)运算的提取器。Toeplitz矩阵因其结构规整、可用快速卷积实现，在QKD系统中应用最广。
本课程的目标，是让学习者不仅理解隐私放大的原理，更能独立完成一个可验证的隐私放大模块：从安全参数与最小熵估计出发，选定提取器类型与压缩长度，实现或调用哈希运算，处理种子（seed）的协商与传输，最后用统计检验和边界条件测试验证输出密钥的均匀性与正确性。课程强调"验证驱动"的开发流程——先明确要验证什么，再决定怎么实现。这与传统"先写代码再想办法测"的方式不同：在隐私放大中，一个看似能跑通的实现，可能因为种子复用、矩阵构造错误或长度边界处理不当而悄悄丧失安全性，只有围绕明确的安全性质设计验证用例，才能发现这类问题。
上图把两件事放在一起：上半部分是隐私放大在QKD后处理链条中的位置，以及压缩长度与最小熵之间的约束关系；下半部分是本课程贯穿始终的验证驱动开发闭环。可以看到，隐私放大并非孤立算法，它的输入来自误码协商的输出（长度n、泄露量leak），它的输出长度m由安全参数ε和最小熵共同决定。开发时若只盯着"函数能算出结果"，很容易忽略种子复用、矩阵维度错位、输入长度不足等隐患，而这些恰恰是验证环节要重点覆盖的。
下面给出一个贯穿课程的最小示例，用于说明参数如何落地。假设某QKD系统筛选后密钥长度n₀=100000比特，误码率估计为2%，误码协商采用某纠错方案后泄露leak=12000比特，保守估计Eve的信息量不超过leak，则最小熵下界约为Hmin ≥ n₀ − leak = 88000比特（实际工程中还需扣除有限长效应和安全裕量）。取安全参数ε=2-32，则2log(1/ε)=64，压缩长度m ≤ 88000 − 64 = 87936比特。若再预留5%的安全裕量，可取m≈83000比特。这个数字直接决定了Toeplitz矩阵的维度：输入n=100000，输出m=83000，需要n+m−1=182999个随机比特作为种子。种子长度接近输入长度，这是Toeplitz提取器的固有代价，也是工程上需要权衡的地方——种子本身必须通过认证信道传输，其开销会计入总密钥消耗。
学习路径上，本课程按"原理—参数—实现—验证—集成"推进：先建立最小熵与提取器的概念框架，再练习压缩长度与种子长度的计算，随后进入Toeplitz矩阵的构造与GF(2)快速运算实现，接着设计统计检验与边界用例，最后把模块接入模拟的QKD后处理流水线，观察密钥率与安全参数的变化。每一章都会围绕一个可验证的小目标展开，避免"学完原理却写不出能测的代码"。建议学习者在动手前先想清楚三个问题：这段代码要保证什么性质？用什么输入能暴露它的缺陷？验证通过的标准是什么？把这三个问题写下来，再开始实现，往往比直接编码更省时间。
需要强调的是，隐私放大的安全性建立在最小熵估计的保守性之上。如果对Eve信息量的估计过于乐观，压缩长度取得过大，输出密钥就可能残留可被利用的信息；反之，估计过于保守、压缩过狠，虽然安全但会显著降低密钥率，影响QKD系统的实用价值。因此本课程在讲实现的同时，也会反复训练"参数—安全—效率"三者之间的权衡判断，这也是验证驱动流程中"明确安全性质"这一步的真正含义。