二誘騙態(tài)相位匹配量子密鑰分發(fā)方案

周江平，周媛媛，周學(xué)軍，聶寧

(海軍工程大學(xué)電子工程學(xué)院 武漢 430000)

量子密鑰分發(fā)(quantum key distribution,QKD)[1]基于量子力學(xué)基本原理，具有無條件安全性，是徹底解決通信保密問題最具潛力的手段。經(jīng)過近40年的研究，目前QKD 已逐漸從實驗室走向?qū)嶋H應(yīng)用[2-5]。1984 年，文獻[6]提出第一個QKD 協(xié)議——BB84 協(xié)議，開啟了QKD 研究的序幕[7-8]。為提升QKD 的最大傳輸距離和密鑰生成效率，SARG04 協(xié)議[9]、測量設(shè)備無關(guān)(measurement device independent,MDI)協(xié)議[10]等被相繼提出。但QKD 的密鑰生成效率R始終難以突破密鑰容量(secret key capacity,SKC)[11]的限制，即R≤O(η)[12]，其中 η為量子信道的傳輸效率。2018 年，文獻[13]對MDI 協(xié)議進行改進，提出雙場(twin field,TF)協(xié)議，其密鑰生成效率R和 η關(guān)系改善為，突破了SKC 的限制，但安全性未得到嚴(yán)格的證明。2019 年，文獻[14]指出TF 協(xié)議的安全性缺陷，通過研究相位編碼MDI 協(xié)議的單光子檢測，對TF 協(xié)議進行改進從而提出相位匹配(phase matching,PM)協(xié)議，并對其安全性進行了嚴(yán)格的證明，是目前最優(yōu)的QKD 協(xié)議之一[15]。

在PM 協(xié)議的實際應(yīng)用中，首先要考慮如何抵御針對非理想單光子源的光子數(shù)分離攻擊(photon number splitting,PNS)[16-18]。誘騙態(tài)協(xié)議[19]與QKD協(xié)議的結(jié)合[20]能很好地解決這一問題，因而成為當(dāng)前實際應(yīng)用中最常用的組合方案。在誘騙態(tài)方案的設(shè)計中，誘騙態(tài)數(shù)量的選擇、參數(shù)估計的方法等都對系統(tǒng)的實際性能及實現(xiàn)難度有較大的影響。針對這一問題，文獻[21-22]均結(jié)合弱相干態(tài)(weak coherent state,WCS)光源研究了三誘騙態(tài)PM 方案，取得了較好的結(jié)果。本文提出一種更加實用的二誘騙態(tài)(真空+弱誘騙態(tài))PM 方案，僅用2 個誘騙態(tài)，得到理論上與之接近的密鑰生成效率和最大傳輸距離；考慮統(tǒng)計波動，在數(shù)據(jù)量較少時反而具有更高的密鑰生成效率和最大傳輸距離。通過改變光強的形式產(chǎn)生誘騙態(tài)，誘騙態(tài)數(shù)目越多，對光源的要求越高，實現(xiàn)難度越大。單次密鑰分發(fā)的持續(xù)時間越長，數(shù)據(jù)量越大，對系統(tǒng)的存儲、計算、信道穩(wěn)定性等要求更高。相比之下，本文所提出的方案減少了誘騙態(tài)的數(shù)量，提升了數(shù)據(jù)量較少時系統(tǒng)的密鑰生成效率和最大傳輸距離，不僅大幅降低了PM 協(xié)議應(yīng)用中的實現(xiàn)難度，更拓寬了其應(yīng)用范圍，具有更高的實際應(yīng)用價值。

本文首先構(gòu)建基于光纖信道和WCS 光源的二誘騙態(tài)PM 方案模型，隨后對相關(guān)參數(shù)的估計進行數(shù)學(xué)推導(dǎo)，并最終得出密鑰生成效率的計算公式，最后對密鑰生成效率和最大傳輸距離進行數(shù)值仿真分析。

1 基于WCS 光源的二誘騙態(tài)PM方案

1.1 基于光纖信道的WCS+PM 數(shù)學(xué)模型

WCS 光源可由普通激光器經(jīng)強衰減得到，具有簡單、穩(wěn)定等特點。其發(fā)送的單個光脈沖中光子數(shù)是隨機的，且服從泊松分布，當(dāng)光源強度為μ時，其光子態(tài)密度為：

式中，|i〉〈i|表示i光子態(tài)，i=1,2,···；表示光強為μ 時發(fā)送i光子態(tài)的概率。

光纖信道中，損失系數(shù)是其固有特性，為一常數(shù)，用 α表示，那么長度為l的光纖信道中，傳輸效率t可以表示為：

設(shè)檢測器的檢測效率為 ηd，那么從發(fā)送端到接收端，包括檢測器在內(nèi)信道的傳輸效率η 可表示為：

信源發(fā)送i個光子，經(jīng)信道傳輸后，能在接收端產(chǎn)生有效響應(yīng)的概率為計數(shù)率，記為Yi，可表示為：

根據(jù)文獻[14]，PM 協(xié)議的密鑰生成效率可由下式計算：

式中，M為相位分片數(shù)，2/M為篩選因子，f為實際糾錯算法效率，均為常數(shù)；H(x)為香農(nóng)信息熵函數(shù)，H(x)=?xlog2x?(1?x)log2(1?x)；Qμ、表示發(fā)送信號強度為 μ時，總光子數(shù)計數(shù)率和總量子比特誤碼率，均通過實驗得到，可寫為：

式中，qk表示檢測到的信號中k光子態(tài)信號所占比率，可以寫為：

1.2 二誘騙態(tài)PM 方案

誘騙態(tài)數(shù)量越多，對相關(guān)參數(shù)的估計就越準(zhǔn)確，系統(tǒng)性能越好，但同時系統(tǒng)實現(xiàn)越復(fù)雜。為降低系統(tǒng)實現(xiàn)難度，本文對式(8)進行簡化。因為<1，式(8)可以進一步寫成如下形式：

將式(9)代入式(10)得：

從式(5)和式(11)可以看出，為保證系統(tǒng)的安全性，需估計的最大值?？煽紤]用真空態(tài)估計Y0的下限和的上限，用弱誘騙態(tài)估計Y1的下限和的上限。因此本文綜合考慮提出二誘騙態(tài)PM 方案，信號態(tài)、弱誘騙態(tài)、真空態(tài)光源強度分別為μ、v、0。

二誘騙態(tài)PM 方案原理如圖1 所示。

圖1 二誘騙態(tài)PM 方案原理圖

具體流程如下：

1)相干態(tài)制備：Alice 和Bob 分別隨機產(chǎn)生信息比特κa(κb)∈{0,1}、附加相位?a(?b)∈[0,2π)，分別發(fā)送強度xa(xb)∈{μ,v,0}的光脈沖。制備的相干態(tài)為，不失一般性，假設(shè)Alice 與Bob 光源強度相同，即xa=xb；

2)不可信測量：Alice 和Bob 分別將已調(diào)制的光脈沖經(jīng)獨立信道發(fā)送給第三方Charlie，Charlie進行相干檢測，記錄探測器D0和D1的響應(yīng)情況；

3)信息公開：Charlie 公開其測量結(jié)果，將[0,2π)分成M個區(qū)間{?j}，0 ≤j≤M?1，?j=[2πj/M,2π(j+1)/M)，Alice 和Bob 聲明 ?a、?b所處區(qū)間索引ja、jb，并隨機選取一定數(shù)量的密鑰比特進行公布；

4)密鑰篩選：重復(fù)執(zhí)行步驟1)～3)，直至次數(shù)滿足要求。對每一個脈沖對，當(dāng)Charlie 宣布“成功檢測”時，Alice 與Bob 保留相應(yīng)比特，若D1響應(yīng)，Bob 反轉(zhuǎn)其發(fā)送的比特。在保留的比特中，Alice 與Bob 先進行相位補償，再根據(jù)篩選條件進行密鑰篩選。Bob 根據(jù)Alice 公布的密鑰比特值，查找jd∈{0,1,···,M/2?1}，使得量子比特錯誤率最小，jd即為系統(tǒng)相位補償參數(shù)。篩選密鑰條件：|jb+jd?ja|modM為0 或者M/2，若結(jié)果為M/2，Bob 還需再次進行比特翻轉(zhuǎn)操作；

5)參數(shù)估計：Alice 與Bob 分析不同信號強度總的增益Q0、Qv、Qμ和量子比特錯誤率、、，估計相位錯誤率等參數(shù)；

6)Alice 與Bob 進行糾錯和私密放大等操作，得到最終密鑰。

1.3 參數(shù)估計

利用真空態(tài)可估計Y0、得：

綜上所述，將式(11)、(12)、(14)、(16)分別代入式(5)，即可得到最終的密鑰生成效率公式。

2 統(tǒng)計波動分析

切諾夫界：若隨機變量X1,X2,···,Xn相互獨立且服從伯努利分布Pr(Xi=1)=p，其中i=1,2,···,n，令，那么?δ>0，有：

設(shè)置信度為1?θ，數(shù)據(jù)長度為n，當(dāng)發(fā)送信號強度為v時，估計量Qv的偏差為ε，根據(jù)切諾夫界有：

Qv的估計值上下波動的邊界分別為：

3 仿真及分析

利用matlab 進行仿真。仿真參數(shù)主要來源于文獻[14,21]，是QKD 典型實驗系統(tǒng)的參數(shù)，具體如表1 所示。

表1 仿真參數(shù)表

其中暗記數(shù)表示由于背景噪聲的影響，在發(fā)送端沒有發(fā)送光脈沖時，檢測器產(chǎn)生響應(yīng)的概率。糾錯效率指因為糾錯編碼而產(chǎn)生的額外的比特?fù)p耗。檢測效率指檢測器產(chǎn)生有效響應(yīng)的概率。檢測錯誤率指檢測器產(chǎn)生有效的響應(yīng)但出錯的概率。

圖2 對比了本文二誘騙態(tài)(vacuum+weak-PM)、文獻[21]中三誘騙態(tài)(真空+二弱誘騙態(tài))方案(vacuum+2weak-PM)及無窮誘騙態(tài)方案(infdecoy-PM)的密鑰生成效率與傳輸距離的關(guān)系。從圖中可看出，3 種方案曲線都非常接近，文獻[21]中方案密鑰生成效率及最大傳輸距離均略微優(yōu)于二誘騙態(tài)方案，更加接近無窮誘騙態(tài)情況。增加誘騙態(tài)數(shù)量可對更多參量進行更精確的估計，但是對密鑰生成效率及最大傳輸距離的提升極其有限，這是因為i-光子態(tài)信號對密鑰生成效率的貢獻隨i的增加越來越小。增加誘騙態(tài)數(shù)量需要使用更多不同強度的光源，不僅增加系統(tǒng)對硬件的要求，而且對光強的優(yōu)化更加復(fù)雜，從而極大增加了實現(xiàn)難度。因此從實用的角度看，本文提出的二誘騙態(tài)方案更加可行。

圖2 3 種誘騙態(tài)協(xié)議密鑰生成效率隨傳輸距離變化曲線

由圖3 可知，本文提出的二誘騙態(tài)PM 協(xié)議最大傳輸距離達414km，相較BB84 協(xié)議增加了176km，相較MDI 協(xié)議增加了8km。二誘騙態(tài)PM 方案突破了密鑰生成效率邊界(SKC)而另外兩種均未能突破。相較最大傳輸距離更遠的MDI 協(xié)議，二誘騙態(tài)PM 方案在密鑰生成效率上提升了3～4 個數(shù)量級?？梢姡谕葘崿F(xiàn)難度條件下，本文提出的方案更優(yōu)。

圖3 采用相同誘騙態(tài)時，不同協(xié)議密鑰生成效率隨傳輸距離變化曲線

僅考慮數(shù)據(jù)長度對系統(tǒng)的影響，假設(shè)信號態(tài)、弱誘騙態(tài)、真空態(tài)隨機發(fā)送且概率均為1/3，不同數(shù)據(jù)長度下系統(tǒng)密鑰生成效率隨傳輸距離變化如圖4 所示。

圖4 不同數(shù)據(jù)長度對二誘騙態(tài)及三誘騙態(tài)方案的性能影響

由圖4 可知，當(dāng)數(shù)據(jù)長度為1010時，本文提出的二誘騙態(tài)方案密鑰生成效率更高，最大傳輸距離更遠；隨著數(shù)據(jù)長度的增大，二者差距越來越小，當(dāng)數(shù)據(jù)長度達到1014時，二者性能相差極??；當(dāng)數(shù)據(jù)長度達1016時，三誘騙態(tài)方案性能超過二誘騙態(tài)方案，接近數(shù)據(jù)無限長的極限情況。三誘騙態(tài)方案所用的誘騙態(tài)數(shù)量更多，當(dāng)總的數(shù)據(jù)長度一定時，各誘騙態(tài)的數(shù)據(jù)長度相對更小，因而在參數(shù)估計過程中統(tǒng)計波動影響更大，而需要估計的參數(shù)也相對更多，統(tǒng)計波動的影響疊加起來使其對統(tǒng)計波動更加敏感。當(dāng)數(shù)據(jù)量達到一定數(shù)量級，統(tǒng)計波動影響可以忽略，兩種協(xié)議都能趨于無限長數(shù)據(jù)情況。一般在實際系統(tǒng)中，若想把單次密鑰分發(fā)時間控制在10 小時以內(nèi)，數(shù)據(jù)長度需控制在1013以內(nèi)，此時本文提出的二誘騙態(tài)PM 方案更有優(yōu)勢。

4 結(jié)束語

本文基于WCS 光源，提出了一種二誘騙態(tài)PM方案。與現(xiàn)有PM 方案相比，本文以小幅犧牲系統(tǒng)性能為代價，減少一個信源強度的制備，進一步簡化了系統(tǒng)的實現(xiàn)。與BB84、MDI 等方案相比，在采用真空+弱誘騙態(tài)的同等條件下，本文所提方案最大傳輸距離最遠，密鑰生成效率在遠距離時更高，性能更優(yōu)，成功突破SKC 限制。考慮統(tǒng)計波動，相較三誘騙態(tài)方案，數(shù)據(jù)長度小于1014時，本文提出的方案最大傳輸距離更遠；數(shù)據(jù)長度大于1014時，二者最大傳輸距離都趨于無窮數(shù)據(jù)長度時的極限值，性能相近；實際應(yīng)用中，為減小系統(tǒng)延時，數(shù)據(jù)長度通常控制在1013以內(nèi)，在此條件下，本文提出的方案較優(yōu)。綜合來看，本文提出的二誘騙態(tài)PM 量子密鑰分發(fā)方案具有較高的實用價值。