2. QKD链路分层模型与故障域划分实战

分层模型与故障域边界

QKD链路排障的第一道分水岭不是“找哪个器件坏了”，而是先判断异常落在哪一层。QKD系统可划分为四个故障域：物理层（供电、板卡、时钟、温控、接口电气特性）、光学层（激光器、调制器、光衰减、光纤信道、探测器）、协议层（同步、基矢比对、误码协商、成码流程状态机）、密钥管理层（密钥池、密钥提取、上层应用接口）。每一层有独立的可观测量和典型失效模式，故障域划分的本质是用可观测证据把异常锚定到某一层的边界内。

划分依据遵循三条原则：其一，观测量归属——某个指标由哪一层直接产生，就优先归入该层；其二，传播方向——异常沿信号链向上传播时，越靠近源头越先出现，越靠上层越表现为“结果性症状”；其三，可隔离性——若断开某层输入后异常消失，则该层或其上游为嫌疑域。

给定拓扑与混合异常现象

设一条城际QKD链路：站点A（发送端）— 40 km 主干光纤 — 中继站R（可信中继）— 30 km 支线光纤 — 站点B（接收端）。某时段监控出现一组混合异常：

• 告警A：站点B单光子探测器计数率较基线下降约35%，QBER由2.1%升至4.8%；
• 告警B：协议层“误码协商失败率”由0.3%升至12%，成码状态机在“协商”阶段反复重试；
• 告警C：密钥池水位持续下降，上层应用出现密钥提取超时；
• 告警D：站点A机柜温度由26℃升至34℃，激光器温控电流上升。

若按告警出现顺序逐个处理，容易在协议层反复调参而忽略源头。正确做法是先做故障域划分：告警A的计数率与QBER属于光学层直接观测量，是源头候选；告警B是A的上浮症状；告警C是B的上浮症状；告警D虽在物理层，但温控漂移会通过波长偏移耦合到光学层，属于跨域耦合嫌疑。

故障域划分操作与判据

划分不是凭经验贴标签，而是按“观测量—隔离动作—判据”三步执行。对上述拓扑，按以下顺序做隔离验证：

1. 光学层隔离：在站点B探测器前接入光功率计，记录接收光功率；与基线功率预算比对。若接收功率低于预算且OTDR显示某段衰减增大，则光学层为故障域。本例假设实测接收功率比预算低2.8 dB，OTDR在主干32 km处出现0.9 dB台阶，指向连接器污染或弯折。
2. 物理层耦合验证：检查站点A激光器温控电流与波长漂移。若温控电流上升伴随波长偏移超出DWDM通道容限，则物理层温控异常通过波长偏移耦合进光学层，需同时归入物理层故障域。
3. 协议层与密钥管理层判定：在光学层QBER恢复至基线后，若协商失败率与密钥池水位随之恢复，则协议层、密钥管理层仅为症状域，不单独列为故障域；若恢复后仍异常，才升级为独立故障域。

跨域耦合识别方法

跨域耦合的识别依赖“时间相关性 + 隔离验证 + 方向性”三要素。时间相关性看异常出现的时间戳是否同窗；隔离验证看断开耦合路径后症状是否消失；方向性看哪一层的观测量先变化。本例中，告警D（温控电流上升）时间戳早于告警A约6分钟，且温控电流与QBER变化呈同向趋势，隔离验证时降低站点A机柜温度后QBER回落，可判定物理层→光学层存在耦合路径。

需要避免的误判：把“协议层协商失败”直接当作协议层故障去调协商参数，会掩盖光学层QBER升高的真实源头；把“密钥池枯竭”当作密钥管理层故障去扩容密钥池，只是延缓症状。跨域耦合的正确处理是沿耦合链回溯到最靠近源头的层，在源头层修复，再验证上层症状是否自愈。

划分结果与验证

验证闭环：修复主干32 km处连接器并恢复站点A温控后，观察30分钟内QBER回落至2.0%附近、协商失败率降至0.5%以下、密钥池水位止跌回升。三项同时满足，说明故障域划分正确、耦合链已切断；若仅QBER恢复而密钥池仍下降，则需重新检查密钥管理层是否存在独立故障。