離散調(diào)制連續(xù)變量量子密鑰分發(fā)的安全邊界*

沈 詠 鄒宏新

(國防科學(xué)技術(shù)大學(xué)理學(xué)院物理系 長沙410073)

(2009年5月8日收到；2009年6月22日收到修改稿)

離散調(diào)制連續(xù)變量量子密鑰分發(fā)的安全邊界*

沈 詠 鄒宏新?

(國防科學(xué)技術(shù)大學(xué)理學(xué)院物理系 長沙410073)

(2009年5月8日收到；2009年6月22日收到修改稿)

對一種結(jié)合離散調(diào)制和反向協(xié)調(diào)，適用于長距離傳輸?shù)倪B續(xù)變量量子密鑰分發(fā)四態(tài)協(xié)議的安全性進行了嚴(yán)格證明.這種協(xié)議中Alice發(fā)送的態(tài)與高斯調(diào)制協(xié)議中的有一定差異，這種差異可以等價成信道衰減和額外噪聲.另外，由于Alice不可能做到精確調(diào)制，這會導(dǎo)致其發(fā)送的相干態(tài)中含有噪聲.把這種調(diào)制引起的噪聲看作光源的噪聲，并推導(dǎo)出了在光源噪聲不能被竊聽者所利用的條件下的安全碼率的下界.為了避免實驗上快速、隨機的控制本地振蕩光的相位，還將無開關(guān)協(xié)議和四態(tài)協(xié)議相結(jié)合，分析了其安全性.

離散調(diào)制，四態(tài)協(xié)議，連續(xù)變量量子密鑰分發(fā)，安全碼率

PACC：0367，4250

1.引 言

目前，國內(nèi)外在基于單光子的量子保密通信研究上取得了巨大進展，特別是近年來的誘騙態(tài)方案，又將單光子保密通信的安全距離大幅度提高，導(dǎo)致其進一步向?qū)嵱没拷?作為量子保密通信的一個可選方案，物理學(xué)家們又提出了利用連續(xù)光來進行保密通信的方案.它們對連續(xù)光場兩正交分量進行編碼，并采用高效的平衡零拍探測，提高了編碼效率降低了探測成本.

連續(xù)變量量子密鑰分發(fā)(CV-QKD)在過去幾年中取得了非常顯著的成就.人們提出了一些基于高斯調(diào)制相干態(tài)結(jié)合平衡零拍探測[1]或無開關(guān)協(xié)議[2]的量子密鑰分發(fā)方案，并進行了實驗演示[3—6].朱暢華等提出的基于信道估計的自適應(yīng)連續(xù)變量量子密鑰分發(fā)方法增加了CV-QKD的穩(wěn)定性[7].在無條件安全性方面，人們研究了信道和探測器的衰減和額外噪聲等非理想因素對CV-QKD安全碼率的影響[8，9].但是，目前CV-QKD還只適用于短距離密鑰傳輸，其原因在于從Alice和Bob共享的連續(xù)變量中提取出密鑰的經(jīng)典后處理過程遠比從離散變量中提取密鑰復(fù)雜.為了使CV-QKD能夠適用于更長的距離，Leverrier和Grangier小組提出了一種基于離散調(diào)制的連續(xù)變量量子密鑰分發(fā)協(xié)議：四態(tài)協(xié)議[10]，并對其安全性進行了證明，但是他們在證明過程中忽略了與離散調(diào)制協(xié)議等價的糾纏方案(entanglement-based scheme)中Alice和Bob共享糾纏態(tài)的協(xié)方差矩陣與相應(yīng)的連續(xù)調(diào)制協(xié)議中協(xié)方差矩陣的差異.另外，離散調(diào)制協(xié)議只適用于調(diào)制方差非常小的情況(每個脈沖的平均光子數(shù)小于1)，在如此小的范圍內(nèi)很難做到精確調(diào)制.調(diào)制的誤差可以看作是光源的噪聲，而他們在證明過程中并沒有考慮這種噪聲.本文考慮了這些問題，對光源有噪聲時的基于離散調(diào)制連續(xù)變量量子密鑰分發(fā)的安全性進行了嚴(yán)格證明.除此之外，由于這種方案需要隨機選擇光場的一個正交分量進行測量，要求對平衡零拍探測的相對相位進行隨機、快速控制，實驗難度非常大.因此本文還將離散調(diào)制同無開關(guān)協(xié)議相結(jié)合，分析了其安全性，并同平衡零拍探測方案進行了比較.

2.高斯調(diào)制CV-QKD的缺陷

基于高斯調(diào)制的CV-QKD，其通信過程可以由以下幾個步驟所描述：1)發(fā)送端Alice隨機的選擇兩個平均值為0，數(shù)值大小服從高斯分布的離散信號分別調(diào)制到一束相干光的正交振幅和位相上，并通過量子通道發(fā)送給接收端Bob.2)Bob收到發(fā)送來的態(tài)后，隨機地選擇一個正交分量進行平衡零拍探測，并告訴Alice所選擇的正交分量，這樣Alice和Bob就擁有了一組相關(guān)聯(lián)的隨機變量.3)最后，通信雙方扔掉未測量的正交分量和明顯被竊聽的信息，并采用反向協(xié)調(diào)進行誤碼校正和保密放大提取密鑰.整個通信過程的安全性由海森伯不確定性原理所保證.在這個過程中，竊聽者Eve可以利用一切不違背物理規(guī)律的方法來竊取信息.在信道參數(shù)給定的情況下，如果理論推導(dǎo)出的安全碼率大于0，那么Alice和Bob得到的密鑰就是無條件的.

對于竊聽者來說，最優(yōu)的攻擊方式是高斯集體攻擊(Gaussian collective attacks)，因此只需用考慮高斯集體攻擊下的碼率就可以證明CV-QKD的無條件安全性[11，12].在高斯集體攻擊下，當(dāng)Alice和Bob采用反向協(xié)調(diào)協(xié)議時，其安全碼率為[13]

K=I(a：b)-χ(b：E)， (1)其中a，b分別是Alice和Bob對自己的子系統(tǒng)進行測量后得到的經(jīng)典隨機變量，I(a：b)是Alice和Bob手中經(jīng)典隨機變量之間的Shannon互信息量.χ(b：E)是Holevo界，它界定了Eve所能劫獲的Bob手中經(jīng)典隨機變量的信息：

其中ρE是Eve手中的態(tài)，ρbE是Bob測量后ρE塌縮得到的態(tài)，p(b)是Bob測量結(jié)果的概率分布，S是von Neumann熵.(1)式成立有一個條件，那就是Alice和Bob能進行完美的糾錯，將他們之間的互信息I(a：b)全部提取出來，但這在實際中是不可能的.在實際過程中，他們提取的信息可以由βI(a：b) (0＜β＜1)來表示，β是考慮非完美協(xié)調(diào)時引入的一個因子，稱為協(xié)調(diào)效率，定義為[14]其中?b是Bob將b進行量化編碼后得到的離散隨機變量，H(?b)是?b的Shannon熵，Ired是信息協(xié)調(diào)過程中每個信號平均泄露的信息.對于給定的信源和信道可以很容易計算出H(?b)和I(a：b).Ired與采用的協(xié)調(diào)方案以及信道的性質(zhì)有關(guān)，很難直接從理論上推得，一般通過實驗的方法來確定.考慮協(xié)調(diào)效率時，安全碼率表示為[5，15]

當(dāng)通信距離較長，信道衰減較大時，信噪比會比短距離通信時明顯降低.連續(xù)變量的信息協(xié)調(diào)效率也會隨著信噪比的衰減急劇降低[10].通過增大信號的調(diào)制方差可以提高信噪比，但是這時I(a：b)和χ(b：E)都會變大，而它們的差卻得不到明顯改善，這就要求協(xié)調(diào)效率必須很高，否則沒有安全碼率[5，13].即使采用目前CV-QKD中最好的糾錯方案，如LDPC碼和turbo碼，也很難使通信距離超過30 km[10].

3.四態(tài)協(xié)議

為了使CV-QKD能適用于更遠的距離，Leverrier和Grangier小組提出了一種基于離散調(diào)制的連續(xù)變量量子密鑰分發(fā)協(xié)議，即四態(tài)協(xié)議[10].如圖1(a)所示，在這個協(xié)議中，Alice隨機的選擇向Bob發(fā)送相干態(tài)其中k∈｛0，1，2，3｝，α是一個實數(shù).對于一個確定的信道，即給定了透過率和額外噪聲(excess noise)的信道，可以通過改變α的取值使得安全碼率達到最大.Bob接受到Alice發(fā)出的態(tài)后隨機的選擇對X分量或P分量進行平衡零拍探測并得到測量結(jié)果y.Bob根據(jù)y的符號的正負(fù)得到1bit數(shù)據(jù)，并將測量結(jié)果的絕對值通過經(jīng)典信道發(fā)送給Alice.這樣Alice和 Bob就共享了一串相關(guān)的比特，然后通過信息協(xié)調(diào)和保密增強就可以得到密鑰.從經(jīng)典通信的角度來看，對這種在高斯加性白噪聲信道傳遞的二進制調(diào)制數(shù)據(jù)進行糾錯是很容易解決的，即使在信噪比很低的時候也能獲得很高的協(xié)調(diào)效率[10].

以上所描述的是制備和測量方案[16](prepare and measure scheme)，這種方案實現(xiàn)起來比較容易，但是很難直接證明其安全性，于是文獻[10]給出了與之等價的糾纏方案.如圖1(b)所示，在糾纏方案中，Alice手中有一個糾纏源，不斷產(chǎn)生純的糾纏態(tài)

圖1 (a)四態(tài)協(xié)議的制備與測量方案(Alice從隨機數(shù)發(fā)生器(RNG)獲得隨機數(shù)k，然后通過調(diào)制器(Mod)對光源(Src)發(fā)出的初始態(tài)進行調(diào)制)；(b)四態(tài)協(xié)議的糾纏等價方案(Alice手中有一個初始的雙模糾纏態(tài)，她對其中一個模式進行投影測量，獲得測量結(jié)果為k，并將另一個分量發(fā)送給Bob)

其中

其中

圖2 (a)光源有噪聲時四態(tài)協(xié)議的制備與測量方案(Alice從隨機數(shù)發(fā)生器(RNG1)獲得隨機數(shù)k，然后通過調(diào)制器(Mod)對光源(Src)發(fā)出的初始態(tài)進行調(diào)制.Fred控制Alice的調(diào)制器，改變其調(diào)制結(jié)果.改變量為Fred的隨機數(shù)發(fā)生器(RNG2)產(chǎn)生的隨機數(shù)δx和δp)；(b)光源有噪聲時四態(tài)協(xié)議的糾纏等價方案(Fred手中有一個三模糾纏態(tài)，他保留其中一個模式，將另兩個模式發(fā)送給Alice。Aice對其中一個模式進行投影測量，獲得結(jié)果為k，并將另一個模式發(fā)送給Bob)

4.光源有噪聲時的安全性分析

如圖2(a)所示，在制備與測量方案中，由于非理想調(diào)制，Alice每次并不能把一個相干態(tài)精確地調(diào)制成其X分量和P分量的中心位置會分別存在δx和δp的噪聲，我們可以假設(shè)這個噪聲完全是由一個中立者Fred引入的，他和Eve沒有關(guān)系，不會給Eve提供任何信息.因此Alice制備的并不是純態(tài)而是一個混合態(tài)考慮到對稱性，我們不妨假設(shè)疊加在X分量和P分量上的噪聲相等，大小為

其中1是由量子力學(xué)特性造成的歸一化散粒噪聲，δε是由Fred引入的額外噪聲.

下面我們給出與之等價的糾纏方案.如圖2(b)所示，在這個方案中，Alice，F(xiàn)red以及發(fā)送給Bob的三個子系統(tǒng)構(gòu)成一個純態(tài)，可以寫成

當(dāng)Eve對發(fā)給Bob的態(tài)進行集體攻擊時，她會用一條無損耗、無噪聲的信道代替Alice和Bob之間的信道，然后將ρB0和自己手中的態(tài)進行糾纏，并使得糾纏后的ρAB與未受到攻擊且通過有衰減有噪聲的信道之后的態(tài)相同.在假設(shè)Eve的能力足夠強時，我們可以認(rèn)為Eve有能力純化ρABF，即總系統(tǒng)是一個純態(tài).由于ρABE是一個混合態(tài)，我們很難直接計算出Eve所獲得的信息χ( b：E).但是可以證明，如果Fred把自己手中的態(tài)交給Eve，會使得Eve獲得更多的信息[17]，即

Bob對收到的態(tài)進行平衡零拍探測，不防假設(shè)他對X分量進行測量，得到測量結(jié)果為b，測量后他手中的態(tài)塌縮成x?的本征態(tài)，而ρAEF塌縮成因為是一個純態(tài)，可以得到，又因為也是一個純態(tài)，同樣可以得到.另外，由于的取值與b無關(guān)，由(2)式和(12)式可得，安全碼率的下界為

對于高斯態(tài)，von Neumann熵可以通過協(xié)方差矩陣來計算[18].設(shè)分別是雙模和單模的高斯態(tài)，它們的協(xié)方差矩陣分別為其具體數(shù)值可以由實驗直接獲得，令

其中A，B，C都是2×2的矩陣，設(shè)

則

其中

當(dāng)Alice發(fā)送給Bob的子系統(tǒng)ρB0通過一個透過率為T0，額外噪聲為ε0的信道后，ρB0會發(fā)生演化變成ρB，很容易得出，此時 ρAB的協(xié)方差矩陣γAB為[18]根據(jù)高斯攻擊的最優(yōu)性，當(dāng)協(xié)方差矩陣相同時(即使在等價的制備與測量方案中Alice進行的并不是高斯調(diào)制)，且ρAB為高斯態(tài)時使得~K達到最小[19].因此我們可以認(rèn)為ρAB是高斯態(tài)，這不會對協(xié)議的安全性造成影響.當(dāng)Alice進行高斯調(diào)制，信道的透過率為T，額外噪聲為ε時，很容易推出在等價的糾纏方案中，Alice和Bob共享混合態(tài)的協(xié)方差矩陣為[10]

在信道的透過率和額外噪聲相同的情況下，由于離散調(diào)制協(xié)議的糾纏等價方案中使用的糾纏態(tài)并不是最大糾纏，所以協(xié)方差矩陣中的Z比高斯調(diào)制協(xié)議中對應(yīng)的ZEPR小.為了使兩個協(xié)方差矩陣相等，只能通過降低高斯調(diào)制協(xié)議中信道的透過率、增大額外噪聲來實現(xiàn)，即四態(tài)協(xié)議中所用的糾纏態(tài)由于沒有達到最大糾纏，所產(chǎn)生的影響可以等價成信道的衰減和額外噪聲.因此，在協(xié)調(diào)效率相同的條件下，當(dāng)信道的透過率為T0，額外噪聲為ε0時，離散調(diào)制協(xié)議的安全碼率下界與高斯調(diào)制協(xié)議中信道透過率為T，額外噪聲為ε時的安全碼率相同，其中T＜T0，ε＞ε0+δε.在信道透過率很小的情況下，四態(tài)協(xié)議能達到的協(xié)調(diào)效率比高斯調(diào)制協(xié)議的協(xié)調(diào)效率高很多，因此在長距離通信過程中四態(tài)協(xié)議有很大的優(yōu)勢.

5.平衡零拍方案和無開關(guān)方案的安全邊界

在基于高斯調(diào)制的CV-QKD協(xié)議中，Alice和Bob采用反向協(xié)調(diào)，Bob采用平衡零拍探測，信道的透過率為T，額外噪聲為ε時，Bob所接收到的態(tài)中的總噪聲為[20]

其中T，ε由(21)式定義.Alice和Bob之間的互信息為[20]

定義

Eve能夠?qū)red手中的態(tài)進行測量時可以獲得的信息為[20]

其中

根據(jù)高斯攻擊的最優(yōu)性，這樣得到的當(dāng)信道的透過率和額外噪聲分別為T和ε時基于高斯調(diào)制的CVQKD協(xié)議的安全碼率就是當(dāng)信道透過率和額外噪聲分別為T0和ε0、光源噪聲為δε時四態(tài)協(xié)議的安全碼率的下界，其中T和ε由(21)式給出.通過數(shù)值模擬我們可以得到不同透過率和額外噪聲所對應(yīng)的最優(yōu)調(diào)制方差.以ε0+δε=0.001為例，假設(shè)信息協(xié)調(diào)的效率為0.8，信道的衰減為0.2 dB/km，Bob的探測效率為0.6，我們可以得到最優(yōu)調(diào)制方差隨距離的變化如圖3所示.當(dāng)調(diào)制方差取最優(yōu)值時我們可以得到安全碼率的下界隨距離的變化如圖4所示.和高斯調(diào)制方案不同，四態(tài)協(xié)議的協(xié)調(diào)效率在信噪比很低的情況下仍能達到0.8，因此四態(tài)協(xié)議的安全傳輸距離很容易超過目前基于高斯調(diào)制的CV-QKD協(xié)議的極限距離30 km.如果能夠有效地抑制光源和信道中的額外噪聲，那么安全傳輸距離有望突破200 km.

圖3 最優(yōu)調(diào)制方差隨距離的變化(其中?為數(shù)值模擬時得到的點)

圖4 安全碼率的下界隨距離的變化，從上到下ε0+δε的取值分別為0.001，0.005，0.01

在采用平衡零拍探測方案時，Bob需要隨機的選擇平衡零拍探測的相位分別進行X分量或P分量的測量.這里，本地振蕩光和信號光相對相位的精確控制是一個必備條件，直接決定了通信的安全碼率[3]，而當(dāng)光源重復(fù)頻率很高時這是很難做到的.為了避免這個問題，這里引入無開關(guān)方案[2]，在這個方案中Bob用一個50：50的分束片將信號光分成兩束，然后用平衡零拍探測分別測量其中一束的X分量和另一束的P分量.Bob測量之前，Alice和Bob共享的態(tài)ρAB的協(xié)方差矩陣γAB仍然由(20)式給出.設(shè)Bob測量后Alice手中的態(tài)ρA塌縮成容易推得的協(xié)方差矩陣為

定義

與前面類似可以推出Alice和Bob之間的互信息

Eve能夠?qū)red手中的態(tài)進行測量時可以獲得的信息為

這時安全碼率的下界為

當(dāng)ε0+δε=0.01時，無開關(guān)方案的安全碼率和平衡零拍探測方案的安全碼率下界之差如圖5所示.在無開關(guān)方案中，Bob對兩個分量都進行了測量，看起來似乎碼率應(yīng)該是采用平衡零拍探測時的兩倍，但事實上在無開關(guān)方案中進行探測之前，Bob先要將接收到的信號光通過分束片與真空態(tài)干涉，這樣就引入了附加的噪聲，使得Bob探測的兩個分量比采用平衡零拍時探測的分量含有更多的噪聲，因此平均從每個分量上獲得的安全碼率比采用平衡零拍探測時的都要低，其總的結(jié)果只比采用平衡零拍探測時的稍大一點[20].但由于無開關(guān)方案無需像平衡零拍探測那樣對信號光和本地震蕩光的相對相位進行快速、精確控制，降低了實驗難度.

圖5 無開關(guān)方案和平衡零拍探測方案的碼率之差

6.結(jié) 論

本文根據(jù)最新提出的連續(xù)變量離散調(diào)制方案，首先討論了非理想調(diào)制時四態(tài)協(xié)議的安全性.非理想調(diào)制引入的噪聲可以歸結(jié)為光源噪聲，為了方便計算，這里引入了一個中立者Fred，假設(shè)Eve能對Fred手中的態(tài)進行測量(事實上是不可能的)，采用放縮法，得到了其安全碼率的下界.其次，由于四態(tài)協(xié)議的糾纏等價方案中初始糾纏態(tài)沒有達到最大糾纏，導(dǎo)致了其協(xié)方差矩陣與高斯調(diào)制協(xié)議中的協(xié)方差矩陣存在微小區(qū)別.本文根據(jù)高斯攻擊的最優(yōu)性，將四態(tài)協(xié)議的安全碼率等效于信道透過率更小、額外噪聲更大的高斯調(diào)制協(xié)議的安全碼率，得到了四態(tài)協(xié)議安全碼率的下界，從而證明這種新的協(xié)議是安全的.最后，本文還將無開關(guān)協(xié)議和四態(tài)協(xié)議相結(jié)合，計算結(jié)果表明采用無開關(guān)方案的安全碼率與平衡零拍探測方案相當(dāng).但無開關(guān)方案比平衡零拍探測方案更容易實現(xiàn)，因此在實驗上更有優(yōu)勢.

[1]Grosshans F，Grangier P 2002 Phys.Rev.Lett.88 057902

[2]Weedbrook C，Lance A M，Bowen W P，Symul T，Ralph T C，Lam P K 2004 Phys.Rev.Lett.93 170504

[3]Grosshans F，Van Assche G，Wenger J，Tualle-Brouri R，Cerf N J，Grangier P 2003 Nature421 238

[4]Lance A M，Symul T，Sharma V，Weedbrook C，Ralph T C，Lam P K 2005 Phys.Rev.Lett.95 180503

[5]Lodewyck J，Bloch M，García-Patrón R，F(xiàn)ossier S，Karpov E，Diamanti E，Debuisschert T，Cerf N J，Tualle-Brouri R，McLaughlin SW，Grangier P 2007 Phys.Rev.A 76 042305

[6]Qi B，Huang L L，Qian L，Lo H K 2007 Phys.Rev.A 76 052323

[7]Zhu C H，Pei C X，Quan D X，Chen N，Yi Y H 2009 Acta Phys.Sin.58 2184(in Chinese)[朱暢華、裴昌幸、權(quán)東曉、陳 南、易運暉2009物理學(xué)報58 2184]

[8]Lodewyck J，Debuisschert T，Tualle-Brouri R，Grangier P 2005 Phys.Rev.A 72 050303

[9]Chen J J，Hua Z F，Zhao Y B，Gui Y Z，Guo G C 2007 Acta Phys.Sin.56 5(in Chinese)[陳進建、韓正甫、趙義博、桂有珍、郭光燦2007物理學(xué)報56 5]

[10]Leverrier A，Grangier P 2009 Phys.Rev.Lett.102 180504

[11]Renner R，Cirac J I 2009 Phys.Rev.Lett.102 110504

[12]Leverrier A，Karpov E，Grangier P，Cerf N Jwww.arxiv.org/ pdf/quant-ph/0809.2252

[13]Renner R，K?nig R www.arxiv.org/pdf/quant-ph/0403133

[14]Bloch M，Thangaraj A，McLaughlin SW www.arxiv.org/pdf/ cs.IT/0509041

[15]Leverrier A，Alléaume R，Boutros J，Zémor G，Grangier P 2008 Phys.Rev.A 77 042325

[16]Grosshans F，Cerf N J 2003 Quantum Inf.Comput.3 535

[17]Shen Y，Yang J，Guo H 2009 J.Phys.B 42 235506

[18]Serafini A，Illuminati F，De Siena S 2004 J.Phys.B 37 L21

[19]García-Patrón R，Cerf N J 2006 Phys.Rev.Lett.97 190503

[20]Scarani V，Pasquinucci H B，Cerf N J，Du?ek M，Lütkenhaus N，Peev M 2009 Rev.Mod.Phys.81 1301

PACC：0367，4250

Security bound of continuous-variable quantum key distribution w ith discrete modulation*

Shen Yong Zou Hong-Xin?
(Department of Physics，National University of Defense Technology，Changsha 410073，China)
(Received 8 May 2009；revised manuscript received 22 June 2009)

Security of continuous-variable quantum key distribution with four-state protocol based on discretemodulation of noisy coherent states is analyzed.Combing discrete modulation and reverse reconciliation，this protocol can be used for long distance cryptography.There isa small difference between the state Alice sends in the discretemodulation protocol and the Gaussian modulation protocol，and it can be treated as excess noise and loss in the channel.As Alice cannot do a precise modulation，she will induce noise to the coherent state.We look this noise as the source noise and derive a lower bound to the secure key rate assuming the eavesdropper cannot benefit from the noise in the source.For avoiding the fast and random phase locking between the signal and local oscillator in experiment，we also analyze the security of four-state protocol using no-switching scheme.

discretemodulation，the four-state protocol，continuous variable quantum key distribution，secure key rate

*國防科學(xué)技術(shù)大學(xué)科學(xué)研究計劃項目(批準(zhǔn)號：JC08-02-01)，國家自然科學(xué)基金(批準(zhǔn)號：10904174)和華東師范大學(xué)精密光譜國家重點實驗室開放研究基金資助的課題.

?E-mail：hxzou@nudt.edu.cn