張盛 孟增輝 左開偉 龔輝

（武警海警學(xué)院 浙江省寧波市 315800）

1 引言

抽簽由來已久，其應(yīng)用范圍非常廣泛，適用于商業(yè)、政府、軍事以及教育等多個(gè)領(lǐng)域的眾多應(yīng)用場(chǎng)景。抽簽系統(tǒng)的本質(zhì)是通過隨機(jī)抽取的方式保證參與抽簽的各方能夠以公平的方式獲得某種排序。抽簽最關(guān)鍵的性能指標(biāo)是公平性，即保證參與各方獲取最大的隨機(jī)性，且即使有人作弊，也必須付出相應(yīng)的代價(jià)。當(dāng)前，各類網(wǎng)絡(luò)抽簽系統(tǒng)或軟件比較流行，但是，其本質(zhì)是基于網(wǎng)絡(luò)安全協(xié)議來保證其公平性。換而言之，傳統(tǒng)的網(wǎng)絡(luò)抽簽系統(tǒng)的安全性建立在數(shù)學(xué)密碼的基礎(chǔ)上。

量子密碼是近三十年來興起的一項(xiàng)新技術(shù)，其特點(diǎn)就在于具有理論上的無條件安全特性。與傳統(tǒng)的數(shù)學(xué)密碼相比，量子密碼的安全優(yōu)勢(shì)是毋庸置疑的。其中，量子擲幣協(xié)議作為量子密碼的一個(gè)應(yīng)用分支，可以幫助網(wǎng)絡(luò)雙方在互不信任的前提下，實(shí)現(xiàn)一次公平的隨機(jī)數(shù)共享。正因?yàn)槿绱?，通過合理的拓展，量子擲幣可被用于構(gòu)建一個(gè)公平的網(wǎng)絡(luò)抽簽系統(tǒng)。

2 量子擲幣協(xié)議概述

擲幣協(xié)議最初是由Blum 于1981 年提出，兩年以后，Bennett 和Brassard 提出了第一個(gè)量子擲幣協(xié)議。雖然，Mayers 等人證明了理想的量子擲幣協(xié)議是不存在的，但是，跟經(jīng)典擲幣協(xié)議相比，量子版本顯然具有更高的安全性。一般而言，根據(jù)擲幣雙方的喜好值（0 或1）是否固定，可將量子擲幣協(xié)議分為強(qiáng)和弱兩個(gè)類型，固定喜好值的屬于強(qiáng)量子擲幣，反之則為弱量子擲幣。若其中任意一個(gè)擲幣方的偏好概率高達(dá)1，則意味著他（她）可以通過作弊方式得到自己想要的喜好值，且不會(huì)被發(fā)現(xiàn)。這種情況意味著其中一方可以完全控制協(xié)議，即擲幣失敗。

3 量子網(wǎng)絡(luò)抽簽系統(tǒng)

網(wǎng)絡(luò)抽簽系統(tǒng)的核心功能在于為參與抽簽各方提供一個(gè)公平的抽簽結(jié)果。一般而言，抽簽適用于任何存在資源競(jìng)爭(zhēng)的場(chǎng)景，例如，技能比武、房屋銷售、資源分配等。當(dāng)資源數(shù)量小于競(jìng)爭(zhēng)者數(shù)量時(shí)，便可以滿足抽簽需求。在現(xiàn)實(shí)生活中，當(dāng)競(jìng)爭(zhēng)者都在場(chǎng)時(shí)，一次公平的抽簽可以很容易被實(shí)現(xiàn)。但是，假如一個(gè)或者多個(gè)競(jìng)爭(zhēng)者不在場(chǎng)時(shí)，此時(shí)，就需要通過網(wǎng)絡(luò)抽簽來解決。因此，評(píng)價(jià)一個(gè)網(wǎng)絡(luò)抽簽系統(tǒng)性能好壞最重要的方法是利用現(xiàn)場(chǎng)抽簽的公平性來衡量。換而言之，使用某網(wǎng)絡(luò)抽簽系統(tǒng)完成一次抽簽的效果要等同于一次現(xiàn)場(chǎng)抽簽。一次公平的抽簽必須滿足以下條件：

（1）抽簽結(jié)果的公平性；

（2）抽簽結(jié)果的不可篡改性；

（3）任意一方不能完全控制抽簽系統(tǒng)。

在一次真實(shí)的抽簽應(yīng)用場(chǎng)景中，抽簽結(jié)果的使用方法會(huì)因應(yīng)用需求不同而不同，但是，無論怎么改變抽簽結(jié)果的使用方法，抽簽規(guī)則都必須提示公示給每一位參與者得知，且征得所有人的同意。例如，在軍事演習(xí)中，我們可以事先規(guī)定抽簽結(jié)果按照奇偶性分為兩類。而在出場(chǎng)順序抽簽中，我們可以事先規(guī)定出場(chǎng)順序按照抽簽結(jié)果從小到大依次排序。在本文中，我們將不考慮上述抽簽結(jié)果應(yīng)用環(huán)節(jié)，而只考慮抽簽系統(tǒng)如何生成隨機(jī)且公平的抽簽結(jié)果。

抽簽結(jié)果的公平性意味著抽簽規(guī)則的合理性。假設(shè)存在某抽簽可以按照自己全部或者部分的意愿控制抽簽結(jié)果，則該抽簽系統(tǒng)是不合理的。換而言之，對(duì)于一個(gè)公平的抽簽系統(tǒng)而言，任意抽簽方都不能通過作弊的方式完全控制最后的抽簽結(jié)果。其次，抽簽結(jié)果應(yīng)當(dāng)具有不可篡改的特性。為了進(jìn)一步保證公平性，任何抽簽方都不能對(duì)自己的抽簽結(jié)果進(jìn)行否認(rèn)和抵賴。最后，任意一方不能完全取得控制權(quán)也是一個(gè)合理的抽簽系統(tǒng)應(yīng)當(dāng)具備的特性之一。

3.1 抽簽方案

為了實(shí)施網(wǎng)絡(luò)抽簽，必須先構(gòu)建一個(gè)量子網(wǎng)絡(luò)抽簽系統(tǒng)的整體架構(gòu)，圖1 為本文提出的一種中心節(jié)點(diǎn)型的網(wǎng)絡(luò)結(jié)構(gòu)。中心節(jié)點(diǎn)作為仲裁方，可與其余任意節(jié)點(diǎn)共同運(yùn)行一次或多次量子擲幣協(xié)議，由量子擲幣協(xié)議的安全性來保證擲幣結(jié)果的公平性，擲幣結(jié)果則為抽簽結(jié)果。除中心節(jié)點(diǎn)外的其余節(jié)點(diǎn)則為參與抽簽各方，即抽簽方1，抽簽方2，…，和抽簽方n。

圖1：量子抽簽系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)

圖1 所示網(wǎng)絡(luò)一般為量子通信網(wǎng)絡(luò)，用于運(yùn)行點(diǎn)對(duì)點(diǎn)量子擲幣協(xié)議。由于實(shí)際的量子通信信道存在一定的量子噪聲，如光子丟失和退相干，因此，本方案采用“ZZ2015”協(xié)議來產(chǎn)生抽簽結(jié)果。具體而言，仲裁方分別與抽簽各方運(yùn)行多次“ZZ2015”協(xié)議，得到所有抽簽方的抽簽結(jié)果S，即S={s,s,…,s}。S 中任意元素s的取值為比特串，其中，比特串中的每一個(gè)比特位取值為運(yùn)行一次“ZZ2015”協(xié)議產(chǎn)生的擲幣結(jié)果。比特串的長(zhǎng)度由抽簽各方的總?cè)藬?shù)決定，例如，當(dāng)n=8 時(shí)，比特串的長(zhǎng)度為3，即仲裁方與任意抽簽方i 運(yùn)行3 次“ZZ2015”協(xié)議即可。

3.2 點(diǎn)對(duì)點(diǎn)量子擲幣協(xié)議

實(shí)現(xiàn)本方案的關(guān)鍵在于采用合適的點(diǎn)對(duì)點(diǎn)量子擲幣協(xié)議，使得每一個(gè)擲幣結(jié)果是公平的，任意抽簽方都不能完全控制擲幣結(jié)果。雖然，量子擲幣協(xié)議的安全性超過了經(jīng)典擲幣協(xié)議，但是，其致命的問題在于不能抵抗噪聲，即其安全性在噪聲信道中完全歸零。因此，本方案采用“ZZ2015”協(xié)議來產(chǎn)生擲幣結(jié)果。

一般而言，量子擲幣協(xié)議在實(shí)際噪聲信道中運(yùn)行時(shí)，擲幣雙方Alice 和Bob 可以采用如下策略來控制協(xié)議：假設(shè)Alice 是不誠實(shí)方，當(dāng)Bob 公布自己的經(jīng)典比特后，Alice 隨即根據(jù)自己的喜好值，公布一個(gè)假的編碼信息。此時(shí)，若Alice 公布的制備基與Bob 的測(cè)量基一致，且信道中不存在丟失或者噪聲的話，Bob 的測(cè)量結(jié)果應(yīng)該等于Alice 公布的編碼信息。但是，Alice 公布的編碼信息是虛假的，會(huì)以一定概率使得其與Bob 的測(cè)量結(jié)果不一致。當(dāng)此情景出現(xiàn)時(shí)，Alice 可以信道噪聲為理由，逃過Bob 的檢測(cè)。換而言之，Bob 在噪聲信道中無法區(qū)分噪聲和Alice 的作弊行為，Alice可以完全控制擲幣結(jié)果，我們把這種情況定義為擲幣盲區(qū)（簡(jiǎn)稱BA）。

擲幣盲區(qū)是導(dǎo)致大部分量子擲幣協(xié)議在噪聲信道中失效的根源，因此，“ZZ2015”協(xié)議引入了嵌套式結(jié)構(gòu)，如圖2 所示，從根本上消除了擲幣盲區(qū)。當(dāng)然，代價(jià)是犧牲一部分協(xié)議的效率。圖中p（i=1,2,…,n）表示不能抵抗噪聲的點(diǎn)對(duì)點(diǎn)量子擲幣協(xié)議，當(dāng)n 個(gè)不能抵抗的點(diǎn)對(duì)點(diǎn)量子擲幣協(xié)議組成圖示的嵌套式結(jié)構(gòu)時(shí)，便可以消除BA，即達(dá)到了容噪的目的。具體而言，當(dāng)運(yùn)行p時(shí)，假設(shè)沒有出現(xiàn)BA，則協(xié)議運(yùn)行結(jié)束，產(chǎn)生可信的擲幣結(jié)果0（1），反之，則繼續(xù)運(yùn)行協(xié)議p。從實(shí)用性考慮，本方案中的點(diǎn)對(duì)點(diǎn)量子擲幣協(xié)議p應(yīng)選取能夠抵抗信道丟失的協(xié)議。協(xié)議的嵌套次數(shù)n也應(yīng)該在運(yùn)行之前約定好，因?yàn)閚 越大，作弊的概率越高。

圖2：嵌套式量子擲幣協(xié)議結(jié)構(gòu)

這樣的嵌套式結(jié)構(gòu)可以抵抗消除BA，從而抵抗噪聲攻擊。當(dāng)擲幣盲區(qū)出現(xiàn)時(shí)，假設(shè)其由真信道噪聲引發(fā)的概率為p，則其由欺騙方引發(fā)的概率為1-p。因此，當(dāng)BA 連續(xù)出現(xiàn)n 次時(shí)，噪聲引發(fā)的概率則低至,而由欺騙方引發(fā)的概率高達(dá)1-p，此時(shí)，誠實(shí)方有充足的信心斷定對(duì)方有欺騙行為發(fā)生。

當(dāng)然，使用該協(xié)議時(shí)，必須考慮到誤判情況的出現(xiàn)。當(dāng)Bob 的測(cè)量結(jié)果與Alice 公布的信息不一致時(shí)，有可能是Alice 的欺騙行為導(dǎo)致，也有可能是真正的信道噪聲導(dǎo)致，此時(shí)，若Bob 將信道噪聲誤判為Alice 的欺騙行為，他將立即終止協(xié)議，因而產(chǎn)生了誤判。在實(shí)際應(yīng)用中，必須平衡效率與安全性之間的關(guān)系。一般而言，嵌套的層級(jí)越多，即n的取值越大，則誤判的可能性越小，因?yàn)檫B續(xù)n 次出現(xiàn)噪聲的概率低至p，因此，當(dāng)n 的取值增大時(shí)，Alice 的欺騙行為導(dǎo)致異常的可能性更大。同時(shí)，n 的取值越大，則Alice欺騙成功的概率也越大。因此，該協(xié)議實(shí)際上是犧牲了一部分協(xié)議的效率來換取安全性。

4 公平性分析

為了計(jì)算Alice 和Bob 各自最大的作弊成功概率，首先分析單次運(yùn)行協(xié)議p，Alice 和Bob 各自的作弊成功概率。在無噪環(huán)境下，Alice 和Bob 最大作弊成功概率由以下不等式表示：

其中，T和T分別表示Alice 和Bob 所能采取的作弊策略，H和H分別表示Alice 和Bob 為誠實(shí)方。在噪聲環(huán)境下，Alice 和Bob 最大作弊成功概率則由以下不等式表示：

經(jīng)過計(jì)算，可得Alice 和Bob 的最大作弊概率為：

由此可見，Alice 和Bob 都可以利用噪聲提高自己的作弊成功概率。

對(duì)于Alice 或者Bob 的作弊能力，一般假定其可以采取不違背量子力學(xué)的任何作弊策略。另外，對(duì)于信道噪聲率p而言，一般只考慮p<0.5 的情況。因?yàn)楫?dāng)p>0.5 時(shí)，根據(jù)協(xié)議的對(duì)稱性，Alice 或者Bob 可以采取相反的策略以達(dá)到p<0.5 時(shí)的作弊效果。Alice 和Bob 的最大作弊成功概率可由以下兩個(gè)定理分別給出。

定理1：假設(shè)Alice 和Bob 運(yùn)行嵌套式結(jié)構(gòu)的迭代次數(shù)n=N，則Alice 的最大作弊成功概率為：

定理2：假設(shè)Alice 和Bob 運(yùn)行嵌套式結(jié)構(gòu)的迭代次數(shù)n=N，則Alice 的最大作弊成功概率為：

推論：Alice 和Bob 的最大作弊概率都小于1。?

圖3：Alice 和Bob 的最大作弊成功概率函數(shù)

圖3（a）表明，Alice 的最大作弊成功概率函數(shù)是關(guān)于信道噪聲p的遞減函數(shù)，且隨著迭代次數(shù)的增加，其作弊成功的概率會(huì)隨之增加。因此，為了提高成功概率，Alice必須想盡辦法降低信道噪聲。由于之前假定Alice 和Bob 可以采用任何不違背量子力學(xué)的欺騙策略，因此，Alice 可以用一條無噪信道替換掉現(xiàn)有信道，使得p=0，此時(shí)，她的成功概率最高。同理，圖3（b）表明Bob 的最大作弊成功概率函數(shù)也是關(guān)于信道噪聲p的遞減函數(shù)。Bob 亦可采用無噪信道替換的方式使得其作弊成功概率達(dá)到最大。

從表1 可以看出，即便Alice 和Bob 可以擁有不違背量子力學(xué)的一切能力，即他能替換掉任意一條量子信道，他也仍然不能完全控制協(xié)議。隨著當(dāng)?shù)螖?shù)達(dá)到6 時(shí)，該協(xié)議的安全性已經(jīng)變得非常低，即Alice 或者Bob 都幾乎可以完全控制協(xié)議。因此，在實(shí)際應(yīng)用中，必須嚴(yán)格控制迭代次數(shù)。

表1：協(xié)議在理想情況下的安全指標(biāo)

由此可見，盡管該協(xié)議可以實(shí)現(xiàn)噪聲容忍，但是，協(xié)議的安全性和效率是一對(duì)平衡指標(biāo)。換而言之，誤判率的提升可以提高協(xié)議的安全性，但是，協(xié)議的效率被犧牲了。當(dāng)然，為了換取最高的安全性，協(xié)議的迭代次數(shù)n 可以被強(qiáng)制設(shè)定為1，此時(shí)，Alice 作弊成功的概率最低。但是，n 為1 時(shí)，協(xié)議的效率明細(xì)最低，即錯(cuò)誤率達(dá)到最高。這種情況一般不會(huì)再實(shí)際應(yīng)用中出現(xiàn)。

5 小結(jié)

本文提出了一個(gè)量子網(wǎng)絡(luò)抽簽方案，在該方案中，仲裁方與各抽簽方分別運(yùn)行量子擲幣協(xié)議，產(chǎn)生一個(gè)多比特的擲幣結(jié)果，該結(jié)果可作為抽簽的依據(jù)。本方案采用嵌套式量子擲幣協(xié)議，每一個(gè)嵌套元素可以采用現(xiàn)有任意一個(gè)信道丟失容忍的協(xié)議，通過這樣設(shè)計(jì)，該量子網(wǎng)絡(luò)抽簽協(xié)議可以在實(shí)際噪聲信道中運(yùn)行，實(shí)現(xiàn)公平的擲幣。結(jié)果表明，即使抽簽方具有無窮多的計(jì)算資源，他（她）都無法完全控制最后的抽簽結(jié)果。