周江平，周媛媛，周學(xué)軍，聶寧

(海軍工程大學(xué)電子工程學(xué)院 武漢 430000)

量子密鑰分發(fā)(quantum key distribution,QKD)[1]基于量子力學(xué)基本原理，具有無條件安全性，是徹底解決通信保密問題最具潛力的手段。經(jīng)過近40年的研究，目前QKD 已逐漸從實(shí)驗(yàn)室走向?qū)嶋H應(yīng)用[2-5]。1984 年，文獻(xiàn)[6]提出第一個(gè)QKD 協(xié)議——BB84 協(xié)議，開啟了QKD 研究的序幕[7-8]。為提升QKD 的最大傳輸距離和密鑰生成效率，SARG04 協(xié)議[9]、測量設(shè)備無關(guān)(measurement device independent,MDI)協(xié)議[10]等被相繼提出。但QKD 的密鑰生成效率R始終難以突破密鑰容量(secret key capacity,SKC)[11]的限制，即R≤O(η)[12]，其中 η為量子信道的傳輸效率。2018 年，文獻(xiàn)[13]對(duì)MDI 協(xié)議進(jìn)行改進(jìn)，提出雙場(twin field,TF)協(xié)議，其密鑰生成效率R和 η關(guān)系改善為，突破了SKC 的限制，但安全性未得到嚴(yán)格的證明。2019 年，文獻(xiàn)[14]指出TF 協(xié)議的安全性缺陷，通過研究相位編碼MDI 協(xié)議的單光子檢測，對(duì)TF 協(xié)議進(jìn)行改進(jìn)從而提出相位匹配(phase matching,PM)協(xié)議，并對(duì)其安全性進(jìn)行了嚴(yán)格的證明，是目前最優(yōu)的QKD 協(xié)議之一[15]。

在PM 協(xié)議的實(shí)際應(yīng)用中，首先要考慮如何抵御針對(duì)非理想單光子源的光子數(shù)分離攻擊(photon number splitting,PNS)[16-18]。誘騙態(tài)協(xié)議[19]與QKD協(xié)議的結(jié)合[20]能很好地解決這一問題，因而成為當(dāng)前實(shí)際應(yīng)用中最常用的組合方案。在誘騙態(tài)方案的設(shè)計(jì)中，誘騙態(tài)數(shù)量的選擇、參數(shù)估計(jì)的方法等都對(duì)系統(tǒng)的實(shí)際性能及實(shí)現(xiàn)難度有較大的影響。針對(duì)這一問題，文獻(xiàn)[21-22]均結(jié)合弱相干態(tài)(weak coherent state,WCS)光源研究了三誘騙態(tài)PM 方案，取得了較好的結(jié)果。本文提出一種更加實(shí)用的二誘騙態(tài)(真空+弱誘騙態(tài))PM 方案，僅用2 個(gè)誘騙態(tài)，得到理論上與之接近的密鑰生成效率和最大傳輸距離；考慮統(tǒng)計(jì)波動(dòng)，在數(shù)據(jù)量較少時(shí)反而具有更高的密鑰生成效率和最大傳輸距離。通過改變光強(qiáng)的形式產(chǎn)生誘騙態(tài)，誘騙態(tài)數(shù)目越多，對(duì)光源的要求越高，實(shí)現(xiàn)難度越大。單次密鑰分發(fā)的持續(xù)時(shí)間越長，數(shù)據(jù)量越大，對(duì)系統(tǒng)的存儲(chǔ)、計(jì)算、信道穩(wěn)定性等要求更高。相比之下，本文所提出的方案減少了誘騙態(tài)的數(shù)量，提升了數(shù)據(jù)量較少時(shí)系統(tǒng)的密鑰生成效率和最大傳輸距離，不僅大幅降低了PM 協(xié)議應(yīng)用中的實(shí)現(xiàn)難度，更拓寬了其應(yīng)用范圍，具有更高的實(shí)際應(yīng)用價(jià)值。

本文首先構(gòu)建基于光纖信道和WCS 光源的二誘騙態(tài)PM 方案模型，隨后對(duì)相關(guān)參數(shù)的估計(jì)進(jìn)行數(shù)學(xué)推導(dǎo)，并最終得出密鑰生成效率的計(jì)算公式，最后對(duì)密鑰生成效率和最大傳輸距離進(jìn)行數(shù)值仿真分析。

1 基于WCS 光源的二誘騙態(tài)PM方案

1.1 基于光纖信道的WCS+PM 數(shù)學(xué)模型

WCS 光源可由普通激光器經(jīng)強(qiáng)衰減得到，具有簡單、穩(wěn)定等特點(diǎn)。其發(fā)送的單個(gè)光脈沖中光子數(shù)是隨機(jī)的，且服從泊松分布，當(dāng)光源強(qiáng)度為μ時(shí)，其光子態(tài)密度為：

式中，|i〉〈i|表示i光子態(tài)，i=1,2,···；表示光強(qiáng)為μ 時(shí)發(fā)送i光子態(tài)的概率。

光纖信道中，損失系數(shù)是其固有特性，為一常數(shù)，用 α表示，那么長度為l的光纖信道中，傳輸效率t可以表示為：

設(shè)檢測器的檢測效率為 ηd，那么從發(fā)送端到接收端，包括檢測器在內(nèi)信道的傳輸效率η 可表示為：

信源發(fā)送i個(gè)光子，經(jīng)信道傳輸后，能在接收端產(chǎn)生有效響應(yīng)的概率為計(jì)數(shù)率，記為Yi，可表示為：

根據(jù)文獻(xiàn)[14]，PM 協(xié)議的密鑰生成效率可由下式計(jì)算：

式中，M為相位分片數(shù)，2/M為篩選因子，f為實(shí)際糾錯(cuò)算法效率，均為常數(shù)；H(x)為香農(nóng)信息熵函數(shù)，H(x)=?xlog2x?(1?x)log2(1?x)；Qμ、表示發(fā)送信號(hào)強(qiáng)度為 μ時(shí)，總光子數(shù)計(jì)數(shù)率和總量子比特誤碼率，均通過實(shí)驗(yàn)得到，可寫為：

式中，qk表示檢測到的信號(hào)中k光子態(tài)信號(hào)所占比率，可以寫為：

1.2 二誘騙態(tài)PM 方案

誘騙態(tài)數(shù)量越多，對(duì)相關(guān)參數(shù)的估計(jì)就越準(zhǔn)確，系統(tǒng)性能越好，但同時(shí)系統(tǒng)實(shí)現(xiàn)越復(fù)雜。為降低系統(tǒng)實(shí)現(xiàn)難度，本文對(duì)式(8)進(jìn)行簡化。因?yàn)?1，式(8)可以進(jìn)一步寫成如下形式：

將式(9)代入式(10)得：

從式(5)和式(11)可以看出，為保證系統(tǒng)的安全性，需估計(jì)的最大值。可考慮用真空態(tài)估計(jì)Y0的下限和的上限，用弱誘騙態(tài)估計(jì)Y1的下限和的上限。因此本文綜合考慮提出二誘騙態(tài)PM 方案，信號(hào)態(tài)、弱誘騙態(tài)、真空態(tài)光源強(qiáng)度分別為μ、v、0。

二誘騙態(tài)PM 方案原理如圖1 所示。

圖1 二誘騙態(tài)PM 方案原理圖

具體流程如下：

1)相干態(tài)制備：Alice 和Bob 分別隨機(jī)產(chǎn)生信息比特κa(κb)∈{0,1}、附加相位?a(?b)∈[0,2π)，分別發(fā)送強(qiáng)度xa(xb)∈{μ,v,0}的光脈沖。制備的相干態(tài)為，不失一般性，假設(shè)Alice 與Bob 光源強(qiáng)度相同，即xa=xb；

2)不可信測量：Alice 和Bob 分別將已調(diào)制的光脈沖經(jīng)獨(dú)立信道發(fā)送給第三方Charlie，Charlie進(jìn)行相干檢測，記錄探測器D0和D1的響應(yīng)情況；

3)信息公開：Charlie 公開其測量結(jié)果，將[0,2π)分成M個(gè)區(qū)間{?j}，0 ≤j≤M?1，?j=[2πj/M,2π(j+1)/M)，Alice 和Bob 聲明 ?a、?b所處區(qū)間索引ja、jb，并隨機(jī)選取一定數(shù)量的密鑰比特進(jìn)行公布；

4)密鑰篩選：重復(fù)執(zhí)行步驟1)～3)，直至次數(shù)滿足要求。對(duì)每一個(gè)脈沖對(duì)，當(dāng)Charlie 宣布“成功檢測”時(shí)，Alice 與Bob 保留相應(yīng)比特，若D1響應(yīng)，Bob 反轉(zhuǎn)其發(fā)送的比特。在保留的比特中，Alice 與Bob 先進(jìn)行相位補(bǔ)償，再根據(jù)篩選條件進(jìn)行密鑰篩選。Bob 根據(jù)Alice 公布的密鑰比特值，查找jd∈{0,1,···,M/2?1}，使得量子比特錯(cuò)誤率最小，jd即為系統(tǒng)相位補(bǔ)償參數(shù)。篩選密鑰條件：|jb+jd?ja|modM為0 或者M(jìn)/2，若結(jié)果為M/2，Bob 還需再次進(jìn)行比特翻轉(zhuǎn)操作；

5)參數(shù)估計(jì)：Alice 與Bob 分析不同信號(hào)強(qiáng)度總的增益Q0、Qv、Qμ和量子比特錯(cuò)誤率、、，估計(jì)相位錯(cuò)誤率等參數(shù)；

6)Alice 與Bob 進(jìn)行糾錯(cuò)和私密放大等操作，得到最終密鑰。

1.3 參數(shù)估計(jì)

利用真空態(tài)可估計(jì)Y0、得：

綜上所述，將式(11)、(12)、(14)、(16)分別代入式(5)，即可得到最終的密鑰生成效率公式。

2 統(tǒng)計(jì)波動(dòng)分析

切諾夫界：若隨機(jī)變量X1,X2,···,Xn相互獨(dú)立且服從伯努利分布Pr(Xi=1)=p，其中i=1,2,···,n，令，那么?δ>0，有：

設(shè)置信度為1?θ，數(shù)據(jù)長度為n，當(dāng)發(fā)送信號(hào)強(qiáng)度為v時(shí)，估計(jì)量Qv的偏差為ε，根據(jù)切諾夫界有：

Qv的估計(jì)值上下波動(dòng)的邊界分別為：

3 仿真及分析

利用matlab 進(jìn)行仿真。仿真參數(shù)主要來源于文獻(xiàn)[14,21]，是QKD 典型實(shí)驗(yàn)系統(tǒng)的參數(shù)，具體如表1 所示。

表1 仿真參數(shù)表

其中暗記數(shù)表示由于背景噪聲的影響，在發(fā)送端沒有發(fā)送光脈沖時(shí)，檢測器產(chǎn)生響應(yīng)的概率。糾錯(cuò)效率指因?yàn)榧m錯(cuò)編碼而產(chǎn)生的額外的比特?fù)p耗。檢測效率指檢測器產(chǎn)生有效響應(yīng)的概率。檢測錯(cuò)誤率指檢測器產(chǎn)生有效的響應(yīng)但出錯(cuò)的概率。

圖2 對(duì)比了本文二誘騙態(tài)(vacuum+weak-PM)、文獻(xiàn)[21]中三誘騙態(tài)(真空+二弱誘騙態(tài))方案(vacuum+2weak-PM)及無窮誘騙態(tài)方案(infdecoy-PM)的密鑰生成效率與傳輸距離的關(guān)系。從圖中可看出，3 種方案曲線都非常接近，文獻(xiàn)[21]中方案密鑰生成效率及最大傳輸距離均略微優(yōu)于二誘騙態(tài)方案，更加接近無窮誘騙態(tài)情況。增加誘騙態(tài)數(shù)量可對(duì)更多參量進(jìn)行更精確的估計(jì)，但是對(duì)密鑰生成效率及最大傳輸距離的提升極其有限，這是因?yàn)閕-光子態(tài)信號(hào)對(duì)密鑰生成效率的貢獻(xiàn)隨i的增加越來越小。增加誘騙態(tài)數(shù)量需要使用更多不同強(qiáng)度的光源，不僅增加系統(tǒng)對(duì)硬件的要求，而且對(duì)光強(qiáng)的優(yōu)化更加復(fù)雜，從而極大增加了實(shí)現(xiàn)難度。因此從實(shí)用的角度看，本文提出的二誘騙態(tài)方案更加可行。

圖2 3 種誘騙態(tài)協(xié)議密鑰生成效率隨傳輸距離變化曲線

由圖3 可知，本文提出的二誘騙態(tài)PM 協(xié)議最大傳輸距離達(dá)414km，相較BB84 協(xié)議增加了176km，相較MDI 協(xié)議增加了8km。二誘騙態(tài)PM 方案突破了密鑰生成效率邊界(SKC)而另外兩種均未能突破。相較最大傳輸距離更遠(yuǎn)的MDI 協(xié)議，二誘騙態(tài)PM 方案在密鑰生成效率上提升了3～4 個(gè)數(shù)量級(jí)?？梢?，在同等實(shí)現(xiàn)難度條件下，本文提出的方案更優(yōu)。

圖3 采用相同誘騙態(tài)時(shí)，不同協(xié)議密鑰生成效率隨傳輸距離變化曲線

僅考慮數(shù)據(jù)長度對(duì)系統(tǒng)的影響，假設(shè)信號(hào)態(tài)、弱誘騙態(tài)、真空態(tài)隨機(jī)發(fā)送且概率均為1/3，不同數(shù)據(jù)長度下系統(tǒng)密鑰生成效率隨傳輸距離變化如圖4 所示。

圖4 不同數(shù)據(jù)長度對(duì)二誘騙態(tài)及三誘騙態(tài)方案的性能影響

由圖4 可知，當(dāng)數(shù)據(jù)長度為1010時(shí)，本文提出的二誘騙態(tài)方案密鑰生成效率更高，最大傳輸距離更遠(yuǎn)；隨著數(shù)據(jù)長度的增大，二者差距越來越小，當(dāng)數(shù)據(jù)長度達(dá)到1014時(shí)，二者性能相差極??；當(dāng)數(shù)據(jù)長度達(dá)1016時(shí)，三誘騙態(tài)方案性能超過二誘騙態(tài)方案，接近數(shù)據(jù)無限長的極限情況。三誘騙態(tài)方案所用的誘騙態(tài)數(shù)量更多，當(dāng)總的數(shù)據(jù)長度一定時(shí)，各誘騙態(tài)的數(shù)據(jù)長度相對(duì)更小，因而在參數(shù)估計(jì)過程中統(tǒng)計(jì)波動(dòng)影響更大，而需要估計(jì)的參數(shù)也相對(duì)更多，統(tǒng)計(jì)波動(dòng)的影響疊加起來使其對(duì)統(tǒng)計(jì)波動(dòng)更加敏感。當(dāng)數(shù)據(jù)量達(dá)到一定數(shù)量級(jí)，統(tǒng)計(jì)波動(dòng)影響可以忽略，兩種協(xié)議都能趨于無限長數(shù)據(jù)情況。一般在實(shí)際系統(tǒng)中，若想把單次密鑰分發(fā)時(shí)間控制在10 小時(shí)以內(nèi)，數(shù)據(jù)長度需控制在1013以內(nèi)，此時(shí)本文提出的二誘騙態(tài)PM 方案更有優(yōu)勢。

4 結(jié)束語

本文基于WCS 光源，提出了一種二誘騙態(tài)PM方案。與現(xiàn)有PM 方案相比，本文以小幅犧牲系統(tǒng)性能為代價(jià)，減少一個(gè)信源強(qiáng)度的制備，進(jìn)一步簡化了系統(tǒng)的實(shí)現(xiàn)。與BB84、MDI 等方案相比，在采用真空+弱誘騙態(tài)的同等條件下，本文所提方案最大傳輸距離最遠(yuǎn)，密鑰生成效率在遠(yuǎn)距離時(shí)更高，性能更優(yōu)，成功突破SKC 限制。考慮統(tǒng)計(jì)波動(dòng)，相較三誘騙態(tài)方案，數(shù)據(jù)長度小于1014時(shí)，本文提出的方案最大傳輸距離更遠(yuǎn)；數(shù)據(jù)長度大于1014時(shí)，二者最大傳輸距離都趨于無窮數(shù)據(jù)長度時(shí)的極限值，性能相近；實(shí)際應(yīng)用中，為減小系統(tǒng)延時(shí)，數(shù)據(jù)長度通?？刂圃?013以內(nèi)，在此條件下，本文提出的方案較優(yōu)。綜合來看，本文提出的二誘騙態(tài)PM 量子密鑰分發(fā)方案具有較高的實(shí)用價(jià)值。