4. 理想单光子源BB84密钥率推导

在BB84协议中，密钥率并不是一个凭直觉估计的量，而是可以从“每次脉冲能贡献多少筛选后密钥比特”和“这些比特中有多少因误码而作废”这两个基本事实严格推导出来的。本节聚焦理想单光子源情形：光源每次只发出一个光子，不存在多光子脉冲，因此窃听者无法利用光子数分离（PNS）攻击。这一简化让我们能干净地看清增益、误码率与香农熵之间的数学关系，为后续处理实际弱相干光源打下基础。

一、增益与误码率：密钥率的两个原始输入

先明确两个核心参数的定义。设Alice发送的脉冲总数为 N，其中被Bob成功探测到的脉冲数为 N_det，则总增益定义为

Q = N_det / N

增益 Q 描述的是“每个发送脉冲平均能产生一个探测事件”的概率，它综合了信道透射率 η_ch、探测器效率 η_det 以及暗计数贡献。在理想单光子源、无窃听、暗计数可忽略的条件下，Q 近似等于 η_ch·η_det。

再看误码。在筛选后的探测事件中，Alice与Bob基选择一致的那部分称为筛选密钥。设筛选后总比特数为 n_sift，其中双方比特不一致的数量为 e_err，则量子比特误码率（QBER）为

E = e_err / n_sift

注意 E 是在筛选后比特上统计的，而不是在全部发送脉冲上统计的。这两个量——增益 Q 和误码率 E——就是推导密钥率所需的全部原始输入。

二、从筛选比特到最终密钥：熵的扣减逻辑

筛选后，Alice和Bob各持有 n_sift 个比特，但其中约 E 比例不一致。为了得到完全一致的密钥，必须依次做两件事：先纠错，再保密放大。

纠错阶段。根据香农有噪信道编码定理，在已知误码率 E 的情况下，要把Bob的比特纠正到与Alice一致，至少需要泄露 n_sift·h₂(E) 比特的信息量，其中 h₂(·) 是二进制熵函数：

h₂(E) = −E log₂E − (1−E) log₂(1−E)

这个函数衡量的是“一个误码率为 E 的二进制信源所含的不确定性”。当 E=0 时 h₂=0，无需纠错；当 E=0.5 时 h₂=1，比特完全随机、无法纠错。纠错后剩余比特数为 n_sift[1−h₂(E)]。

保密放大阶段。窃听者Eve在纠错过程中可能获取了部分信息。在理想单光子源、仅考虑个体攻击且Eve对筛选比特的不确定性同样由误码率 E 刻画时，Eve关于每个比特的香农熵上界也是 h₂(E)。因此保密放大需要再压缩掉 n_sift·h₂(E) 比特，才能把Eve的信息压到可忽略。

两阶段合计，最终安全密钥长度为

K = n_sift[1 − 2h₂(E)]

除以发送脉冲总数 N，并注意 n_sift ≈ N·Q/2（因为只有约一半的探测事件基选择一致），得到理想单光子源BB84的密钥率公式：

R = (1/2)·Q·[1 − 2h₂(E)]

这里的 R 是“每发送一个脉冲平均产生的安全密钥比特数”。系数 1/2 来自基筛选，Q 来自探测概率，方括号内则是纠错与保密放大两次熵扣减后的净收益。

三、公式的物理含义与临界条件

公式 R = (1/2)·Q·[1−2h₂(E)] 中，方括号项必须为正，密钥率才有意义。令 1−2h₂(E)=0，解得 h₂(E)=0.5，对应 E≈11%。这就是理想单光子源BB84在仅考虑个体攻击时的误码率安全阈值：当QBER超过约11%，纠错和保密放大两次扣减之和已超过全部筛选比特，密钥率归零。实际系统还要考虑统计涨落、有限码长和更严格的通用攻击界，阈值会更低，但11%这个数字是理解整个密钥率框架的基准锚点。

再看增益 Q 的作用。它只作为整体比例因子出现，不改变阈值位置，但直接决定绝对密钥量。例如设信道透射率 η_ch=0.1（约10 dB损耗）、探测器效率 η_det=0.5，则 Q≈0.05；若实测 E=2%，则 h₂(0.02)≈0.141，方括号项为 1−0.282=0.718，密钥率 R≈0.5×0.05×0.718≈0.018，即每发送一个脉冲约产生0.018个安全密钥比特。若发送10⁸个脉冲，可望得到约1.8×10⁶比特密钥。这些数值属于教学示例假设，用于说明量级关系，并非实测结果。

四、用表格快速核对推导环节

下表把推导中各环节的量、来源与作用并列，便于在计算时逐项核对，避免把“筛选前误码率”和“筛选后误码率”混用。

五、从公式到可执行的计算流程

把推导落到一次具体估算上，可以按以下顺序操作。第一步，由链路预算得到 Q：若已知信道损耗 L dB，则 η_ch=10^−L/10，再乘探测器效率得 Q。第二步，由筛选比特比对得到 E，务必确认分母是筛选后比特数。第三步，计算 h₂(E)，可用换底公式 h₂(E)=−E·lnE/ln2−(1−E)·ln(1−E)/ln2。第四步，代入 R=(1/2)Q[1−2h₂(E)]，并检查方括号是否为正。第五步，用 K=R·N 估算总密钥量，同时记录 E 距11%阈值的余量，作为系统是否处于健康工作区的判断依据。

示例（教学假设，非实测）：
L = 10 dB        → η_ch = 10^(-10/10) = 0.1
η_det = 0.5      → Q ≈ 0.1 × 0.5 = 0.05
E = 0.02         → h2(0.02) ≈ 0.1414
净收益 = 1 - 2×0.1414 = 0.7172
R = 0.5 × 0.05 × 0.7172 ≈ 0.0179 比特/脉冲
N = 1e8          → K ≈ 1.79e6 比特
阈值检查：E=2% 远低于 11%，方括号为正，密钥率有效

需要强调的是，本节公式建立在理想单光子源、暗计数可忽略、Eve仅实施个体攻击等一系列假设之上。它的价值不在于直接套用于所有实际系统，而在于把“增益决定规模、误码率决定可用比例、熵函数决定扣减幅度”这一因果链条清晰地固定下来。后续引入弱相干光源时，多光子脉冲会使保密放大项不再简单等于 h₂(E)，但纠错项与整体结构仍然沿用本节建立的框架，因此把这套推导吃透，是理解更复杂密钥率公式的必经一步。