2. QKD协议与密钥率定义

要谈密钥率计算，首先必须明确“密钥率”在不同协议下究竟指什么。QKD协议决定了原始密钥如何产生、如何筛选、如何估计窃听，而密钥率公式则是把这些物理过程折算成“每发送一个脉冲能留下多少安全密钥”的定量表达。本节围绕BB84、诱骗态BB84和测量设备无关QKD（MDI-QKD）三类典型协议，梳理其密钥率公式的结构差异，并厘清渐进密钥率与有限码长密钥率的区别与适用场景。

一、BB84理想协议：密钥率公式的骨架

BB84使用两组共轭基（Z基与X基），发送方随机选择基和比特，接收方随机选择基测量，基比对后保留相同基的事件形成筛选密钥。在理想单光子源、无窃听、探测器理想的假设下，其渐进密钥率可写为：

R_ideal = 1 - 2·h(e)
其中 h(e) = -e·log2(e) - (1-e)·log2(1-e) 为二元熵函数
e 为量子比特误码率（QBER）

这个公式的物理含义很直接：每发送一个脉冲，接收方最多获得1比特信息；基比对与筛选损失约一半，纠错需消耗 h(e) 比特，隐私放大再消耗 h(e) 比特，因此净剩 1−2h(e)。当 e 接近11%时 R 降为零，这就是BB84的误码率安全阈值。需要强调，该式是理想单光子、渐进无穷码长下的上界式表达，实际系统不能直接套用。

二、诱骗态BB84：把“理想单光子”换成可计算的现实

真实光源多为弱相干态，存在多光子脉冲，窃听者可实施光子数分离（PNS）攻击。诱骗态方法通过随机切换不同强度的光脉冲（信号态 μ、诱骗态 ν、真空态），分别统计各强度下的增益 Q 与误码率 E，从而估计单光子成分的增益下界 Q₁ 与误码率上界 e₁。其渐进密钥率公式为：

R_decoy = q·[-Q₁·f·h(e₁) + Q₁·(1 - h(e₁)) - Q_μ·h(E_μ)]
更常见的等价写法：
R_decoy = q·[Q₁·(1 - h(e₁)) - Q_μ·f·h(E_μ)]
其中 q 为基比对效率（BB84中约1/2），f 为纠错效率（典型1.1~1.2）

与理想式相比，诱骗态公式的关键变化在于：用可观测的 Q₁、e₁ 替代了不可直接测量的单光子参数，并把多光子成分的安全贡献归零。工程上，μ、ν 的取值直接影响 Q₁ 估计的紧致性——μ 过大则多光子比例高，ν 过小则统计量不足。典型示例参数（合理假设，非实测）：μ=0.5、ν=0.1、q=0.5、f=1.15，在 e₁≈3%、Q₁≈0.002 时，可算出 R 约为 10⁻³ 量级每脉冲，这正是实际系统密钥率远低于理想式的原因。

三、MDI-QKD：消除探测器侧信道

MDI-QKD让通信双方都把光子发送到不可信第三方（Charlie）做贝尔态测量，双方无需信任测量设备，从而关闭所有探测器侧信道。其密钥率公式结构为：

R_MDI = Q₁₁·(1 - h(e₁₁)) - Q_μν·f·h(E_μν)
其中 Q₁₁ 为双方各发单光子时的符合计数增益下界
     e₁₁ 为对应量子比特误码率上界
     Q_μν、E_μν 为信号态强度下的总增益与误码率

与诱骗态BB84相比，MDI-QKD的公式多了一个“双方同时发单光子”的联合概率约束，Q₁₁ 的估计需要二维强度扫描（双方各自设置信号态与诱骗态），统计复杂度更高，且成码率通常低一到两个数量级。但它换来的是对测量端攻击的免疫，适合城际链路中继节点不可信的场景。

四、渐进密钥率与有限码长密钥率：别把上界当结果

上述三类公式给出的都是渐进密钥率：假设码长 N 趋于无穷，增益与误码率可被精确估计，统计涨落为零。它适合做协议间的理论比较、参数趋势分析和安全阈值推导，但不能直接用于预测一台实际设备在十分钟内能产出多少密钥。

实际系统码长有限（例如 N=10⁸~10¹⁰ 脉冲），必须使用有限码长密钥率。其通用结构是在渐进式基础上扣除统计涨落项与安全参数项：

R_finite ≈ R_asymptotic − Δ_stat(N, ε) − Δ_pa(ε)
其中 Δ_stat 来自 Q₁、e₁ 估计的置信区间宽度，随 N 减小而增大
     Δ_pa 为隐私放大所需的安全参数开销（与 ε 相关）

实操中，工程人员通常先按渐进式确定 μ、ν 的粗略最优区间，再用有限码长式做精细扫描：固定安全参数 ε（如 10⁻¹⁰），改变 N 观察 R_finite 的变化。示例判断依据：当 N 从 10¹⁰ 降到 10⁸ 时，若 R_finite 下降超过一个量级，说明当前 μ 偏大导致 Q₁ 估计方差过大，应适当降低信号态强度或增加诱骗态比例。反之，若 R_finite 对 N 不敏感，则说明系统已接近渐进极限，优化空间主要在探测器与纠错效率上。

最后提醒一个常见误区：把渐进式的 e 阈值（11%）直接当作实际系统的关机门限。有限码长下，由于 e₁ 上界估计偏保守，实际可容忍的 E_μ 往往更低，且随 N 减小而进一步收紧。因此参数优化必须以有限码长式为最终判据，渐进式只作为起点与对照。