1. 课程导入与E91协议全景
量子密钥分发（QKD）要解决的核心问题只有一个：如何让通信双方共享一段只有他们知道的随机比特串。BB84用单光子偏振态编码，靠“测量基比对+窃听扰动”来保证安全；而E91走的是另一条路——它不直接编码密钥，而是先让双方共享纠缠态，再用纠缠关联本身“长出”密钥。E91由Artur Ekert于1991年提出，是第一个把量子纠缠与贝尔不等式检验引入密钥分发安全证明的协议，也是后续设备无关量子密钥分发（DI-QKD）思想的源头。
理解E91，关键要抓住“纠缠即资源”这一层。以两量子比特的最大纠缠态（贝尔态）为例：
|Φ⁺⟩ = (|00⟩ + |11⟩) / √2Alice与Bob各持一个粒子。若两人都沿同一方向测量，结果完全相关；若沿不同方向测量，相关性则随夹角按余弦规律衰减。E91正是利用“不同测量方向组合下的关联强度”来判断信道是否被窃听：合法信道的关联应满足量子力学预言，一旦Eve介入测量或截获，纠缠被破坏，关联会向经典界限塌缩，贝尔不等式（CHSH形式）就不再被违背。因此E91的密钥不是“传”出来的，而是从那些测量方向一致、结果相关的样本中筛出来的；而测量方向不一致的样本，则被用来做窃听检测。
上图把E91的完整链路压缩成一条主线：纠缠源分发 → 双方独立随机选基测量 → 经典信道公布方向 → 方向一致的样本筛成原始密钥、方向不一致的样本用于CHSH检验 → 检验通过后经纠错与隐私放大得到最终密钥。注意图中“公布方向但不公布结果”这一细节，它是E91安全性的前提：Eve若知道测量方向，就能针对性地伪造关联。
为什么用仿真来学E91
真实E91实验需要纠缠源、单光子探测器和符合计数系统，成本高、周期长，而且“窃听”很难在物理上精确复现。仿真则可以把每个环节参数化：纠缠态的保真度、探测效率、暗计数、测量方向夹角、Eve的截获重发比例，都能作为输入变量。学习者可以亲手看到——当Eve截获比例从0升到50%时，CHSH值S如何从约2.83逐步跌向2甚至更低，从而直观理解“安全阈值”不是背出来的，而是算出来的。
本课程以E91协议仿真为核心对象，整体学习路径分为四层。第一层是物理基础：贝尔态、测量算符、关联函数E(a,b)的定义与计算；第二层是协议流程：选基、测量、筛选、CHSH估计、纠错、隐私放大；第三层是仿真实现：用状态向量或密度矩阵模拟纠缠对，用蒙特卡洛抽样模拟测量结果，用统计方法估计S值；第四层是攻防分析：引入截获重发、纠缠替换等窃听模型，观察密钥率与误码率的变化。每一层都会落到可运行的代码片段和可观察的输出数据上，而不是停留在公式推导。
需要提前明确一个约定：本课程中所有关联函数 E(a,b) 定义为“双方测量结果乘积的期望值”，即 E = P(同号) − P(异号)，取值范围 [−1, 1]；CHSH量定义为 S = E(a₀,b₀) + E(a₀,b₁) + E(a₁,b₀) − E(a₁,b₁)。经典隐变量理论要求 |S| ≤ 2，而理想贝尔态在最优角度下可达 2√2 ≈ 2.828。后续所有图示、代码和判断阈值都沿用这一约定，不再重复说明。
最后要建立的一个认知是：E91的“密钥”与“检验”用的是同一批纠缠对的不同子集，二者在物理上同源。这意味着窃听者无法只干扰检验样本而不影响密钥样本——任何对纠缠的破坏都会同时体现在CHSH值下降和密钥误码率上升上。这种“检验与生成同源”的结构，正是E91区别于BB84“随机抽样检验”的根本特征，也是它在设备无关安全性方向上具有启发意义的原因。接下来的章节将从贝尔态与关联函数开始，把这套结构逐层拆开、逐层实现。