CW 雷射、EOM 與 APD 怎麼產生 QKD 密鑰？

1550 nm CW 雷射、EOM 與 APD 可以構成弱相干光 QKD 系統，但三個元件各自只做一部分工作：光源與調變器準備量子態，接收端把量測結果變成候選位元，兩端再用統計分析及古典後處理產生共享密鑰。光纖裡傳的是編碼光態；可使用的密鑰是在兩端本地蒸餾出來的。

本文選擇「相位編碼、雙時間槽、誘騙態 BB84」作為一致的例子。BB84、COW、DPS 可以共用部分硬體，卻有不同的編碼、監測方式及安全分析，實驗的金鑰率不能直接互套。QKD 的安全結論也以裝置模型、隨機源、身分驗證及有限資料的安全參數為前提，並非只要看不到明顯竊聽，就已證明密鑰安全。^[7][8]

從 CW 光到雙時間槽：狀態怎麼準備

EOM 是電光調變器的總稱。相位調變器（PM）藉電場改變光相位；強度調變器（IM）可用 Mach–Zehnder 干涉把相位差轉成輸出功率變化。因此「切脈衝、設定誘騙強度、編碼相位」是不同功能，可能由多個器件或整合模組完成，不宜把一顆 EOM 當成所有工作的黑盒。^[2]

圖 1 的順序是：CW 雷射經 IM 切出脈衝、PM 加入共同相位隨機化，非平衡 Mach–Zehnder 干涉儀（AMZI）再準備間隔 Δt 的 early／late 兩個時間槽。Alice 設定相對相位 φ_A；另一個 IM 選擇訊號／誘騙強度，VOA 調整輸出衰減。這是功能連接示例，實際系統還需同步、相位與偏振穩定、濾光及監測。^[1][3]

此處一個符號是一整對時間槽，μ 是這一對的總平均光子數。其單光子分量可寫成：

|ψ(φ_A)⟩ = (|E⟩ + e^iφ_A|L⟩)/√2

E、L 表示兩個時間模態；它描述的是單光子在兩個模態的疊加，不能把整個弱相干態都當成「必定有一個光子」。兩個基可取 B₀ = {0, π}、B₁ = {π/2, 3π/2}。同一基內兩態正交，不同基之間的態重疊機率為 1/2。^[1][6]

「相對相位」與「共同相位」也要分開：同一對的 E、L 必須保留相干性，才能在 Bob 端干涉；不同符號的共同相位 θ 則依標準誘騙態分析的假設隨機化。把兩個時間槽一起乘上 e^iθ，不會改變它們的相對相位。CW 是本文選擇的光源，BB84 本身並不限定只能使用 CW 雷射。^[3][8]

圖 1｜相位編碼 BB84 的功能連接例。PM 分別處理共同相位 θ 和相對相位；Bob 的兩個輸出埠都接到 SPAD。只選中央槽事件，省略同步、穩定及監測的細節，並非施工或彎曲半徑設計。

弱相干光不是單光子：強度與誘騙態

相位隨機化後的相干光，其總光子數符合泊松統計：

P(n) = e^−μ μⁿ/n!；P(0) = e^−μ；P(1) = μe^−μ；P(≥2) = 1 − (1 + μ)e^−μ。^[3]

圖 2 共用一個比例尺。μ = 0.1 時，約 90.48% 為真空、9.05% 為單光子、0.47% 為多光子；μ = 0.5 時，多光子比例升到約 9.02%。這些是發送符號的統計比例，不是 Bob 所有點擊的組成，因為通道損耗、偵測效率與背景會重新加權事件。

多光子分量可能讓 Eve 做光子數分割（PNS）攻擊：在理想化攻擊中，她保留一個光子、轉送其餘光子，等公布基後再量測，未必增加 QBER。「把 μ 調小」會降低多光子比例，也會降低有效事件數；它不是充分的安全分析。^[3][8]

誘騙態方法隨機選擇不同 μ，收集各強度的點擊率與誤碼率，估計單光子貢獻及錯誤界限。圖中 μ_s = 0.5、μ_d = 0.1、μ_v = 0 僅為示例；實際強度與發送比例要依損耗、背景和資料量最佳化，真空態也需考慮殘餘光。標準分析要求相位隨機化，且在相同光子數條件下沒有額外的強度識別標記。誘騙態用來做統計估計，並不能指出哪一次 APD 點擊來自單光子。^[3][5]

圖 2｜μ 是整對符號的平均光子數；各長條共用比例尺，數字由泊松公式計算。誘騙強度僅為示例，不是最佳化參數，也不是以 SPAD 逐次辨識光子數。

Bob 如何讀出位元：干涉、點擊與基篩選

APD 本身不直接讀取光的相位。Bob 的 AMZI 以匹配的 Δt，讓 early 走長臂、late 走短臂的部分在中央時間槽重疊；選擇 φ_B = 0 或 π/2，便選擇量測基。50:50 耦合器在此分配及重合光路，基的選擇由相位設定完成。外側時間槽不參與本文的相位位元讀出。^[1]

在等幅、兩埠效率相同、無背景雜訊的理想單光子情況，並以固定相位校準 D₀／D₁ 的埠位慣例後，中央槽有效點擊的條件機率為：

P(D₀ | 有效點擊) = cos²[(φ_A − φ_B)/2]；P(D₁ | 有效點擊) = 1 − P(D₀ | 有效點擊)。

同基時可理想讀出 Alice 的位元；異基時兩結果各占 1/2。圖 3 將四種相位、兩個基及偵測器結果分開列出；這個條件式不包含光纖損耗造成的「沒有點擊」。

1550 nm 可用 InGaAs/InP 的單光子雪崩二極體（SPAD），亦即以 Geiger 模式操作的 APD。雪崩經淬熄及讀出電路形成事件，時間標記器記錄時間和埠位。一般閾值式 SPAD 不具光子數解析能力，也不能將每次點擊都歸因於收到的光子。^[4]

這些數值取決於溫度、偏壓、門控、hold-off 時間與器件。調變器頻寬、符號時鐘和 SPAD 可持續計數率是不同規格，不能視為同一個數字。^[4]

Bob 公布有效偵測的位置，兩端公布基及所需的強度資訊，移除無點擊與異基事件。若兩端獨立且等機率選兩個基，匹配機率為 1/2，是對偵測事件篩選，不是全部發送符號都能留下半數。偏置選基、測試資料與訊號態選取會再改變可用資料比例。^[5][7]

圖 3｜上方對照理想單光子分量；機率以中央槽有效點擊為條件。下方的 8 符號例共有 6 次點擊、4 次基匹配，不能用這個小樣本估計 QBER 或證明安全。

點擊之後，才開始蒸餾金鑰

基篩選後的資料仍可能有錯誤，且 Eve 可能持有資訊。兩端先做參數估計，依基、強度及測試資料建立單光子貢獻與相位錯誤的界限；已公開的測試位元不能再當秘密資料。^[3][5]

接著做資訊調和（誤碼校正），交換 syndrome 等必要資訊，使兩端位元串一致，再驗證是否一致。公開的校正與驗證資訊都必須計入洩漏量。隱私放大則選擇帶隨機種子的適當雜湊族，例如 two-universal hashing，把位元串壓縮到安全分析允許的長度 ℓ。種子可以公開，最終密鑰值留在本地；普通的固定雜湊，或任意壓短幾個 bit，都不能替代這項分析。^[5][7]

整段討論使用經身分驗證的公開古典通道：Eve 可以聽到訊息，卻不能冒充另一端而不被驗證機制識別。QKD 不替代首次的可信身分驗證；若採用需消耗預共享密鑰的驗證方案，淨金鑰產量也要扣除該消耗。^[5][7]

金鑰率如何判讀：損耗、背景與安全模型

先分清四種量：發送符號率、有效偵測率、基篩選後的候選位元率，以及最終安全金鑰率。以低點擊機率的教學模型為例：

η = 10^−αL/10 η_D η_opt；S = f_s [1 − e^−μη]；E ≈ (e_dS + D/2)/(S + D)。

其中 α 是 dB/km 的光纖衰減、L 是 km 的長度；η_D 為偵測效率，η_opt 包含接收光學與時間槽選取；D 是經相同時間窗篩選後、兩埠合計的背景計數率。此近似假設背景與位元不相關，其錯誤率為 1/2。^[3]

以下全部是示例假設：f_s = 625 MHz（符號對／秒）、μ = 0.1、α = 0.20 dB/km、η_D = 0.40、η_opt = 0.50、D = 1,000 s⁻¹、訊號誤碼率 e_d = 1%。沒有套用誘騙態發送比例，也忽略額外接續損耗、餘脈衝、死時間與訊號／背景重合：

150 km 的訊號計數約 12,500 s⁻¹，加背景後約 13,500 s⁻¹；等機率選基得到約 6,750 個候選事件／秒，QBER 約 4.63%。這還不是安全金鑰率。距離增加時 S 下降，背景占比升高；提高時鐘也可能碰到偵測器死時間和處理能力限制。

常見的 r_ideal = max[0, 1 − 2h₂(e)]，是理想單光子、漸近資料、位元與相位誤碼對稱、理想單向誤碼校正下，每個篩選位元的安全比例。h₂(e) = −e log₂e − (1 − e) log₂(1 − e)。此曲線約在 11.0% 歸零，並不是所有 QKD 裝置共用的中止門檻。^[6]

弱相干誘騙態 BB84 的一種常見對稱、漸近界限為：

R_μ ≥ q { Q₁^L [1 − h₂(e₁^U)] − Q_μ f_EC h₂(E_μ) }。^[3]

R_μ 是每個發送訊號態符號的安全位元率界限；q 為基匹配因子，Q_μ、E_μ 是訊號態的 gain（每符號有效點擊機率）與 QBER，Q₁^L、e₁^U 是單光子貢獻的下界及誤碼上界，f_EC ≥ 1 表示校正效率的代價。實際 bit/s 還需乘發送率及訊號態選取比例；有限資料需使用對應的有限金鑰證明，處理相位錯誤的統計上界及洩漏項，不能直接把上述漸近式套上實驗計數。^[3][7]

圖 4｜所有後處理都在經驗證的古典通道上進行。曲線是理想單光子、漸近且對稱誤碼的教學極限；不能當成弱相干光的實測金鑰率或所有系統共用的中止門檻。

讀規格前，先核對哪些條件

比較兩套系統時，至少確認這些彼此獨立的條件：

• 協議與編碼：BB84、COW 或 DPS；μ 指每個脈衝、時間槽，還是整個符號。
• 事件定義：總點擊、有效時間窗點擊、同基事件或最終安全位元；如何處理雙擊與無點擊。
• 器件工作點：PDE、暗計數、餘脈衝與死時間是否在同一溫度、偏壓及門控下量得。
• 通道與資料量：總損耗、背景光、測試時間、訊號／誘騙比例及選基機率。
• 安全與淨產量：安全證明、有限金鑰參數、資訊洩漏、驗證方式與驗證所消耗的密鑰。^[4][5][7][8]

回到題目：CW 與調變器準備可分析的光態，AMZI 與 SPAD 提供量測事件，誘騙態分析和古典後處理界定能安全保留多少位元。安全金鑰率是整套流程的結果，不能只由雷射功率、APD 計數率或低 QBER 單獨決定。