離散調制連續變量量子密鑰分發的安全邊界*

沈 詠 鄒宏新

(國防科學技術大學理學院物理系 長沙410073)

(2009年5月8日收到；2009年6月22日收到修改稿)

離散調制連續變量量子密鑰分發的安全邊界*

沈 詠 鄒宏新?

(國防科學技術大學理學院物理系 長沙410073)

(2009年5月8日收到；2009年6月22日收到修改稿)

對一種結合離散調制和反向協調，適用于長距離傳輸的連續變量量子密鑰分發四態協議的安全性進行了嚴格證明.這種協議中Alice發送的態與高斯調制協議中的有一定差異，這種差異可以等價成信道衰減和額外噪聲.另外，由于Alice不可能做到精確調制，這會導致其發送的相干態中含有噪聲.把這種調制引起的噪聲看作光源的噪聲，并推導出了在光源噪聲不能被竊聽者所利用的條件下的安全碼率的下界.為了避免實驗上快速、隨機的控制本地振蕩光的相位，還將無開關協議和四態協議相結合，分析了其安全性.

離散調制，四態協議，連續變量量子密鑰分發，安全碼率

PACC：0367，4250

1.引 言

目前，國內外在基于單光子的量子保密通信研究上取得了巨大進展，特別是近年來的誘騙態方案，又將單光子保密通信的安全距離大幅度提高，導致其進一步向實用化靠近.作為量子保密通信的一個可選方案，物理學家們又提出了利用連續光來進行保密通信的方案.它們對連續光場兩正交分量進行編碼，并采用高效的平衡零拍探測，提高了編碼效率降低了探測成本.

連續變量量子密鑰分發(CV-QKD)在過去幾年中取得了非常顯著的成就.人們提出了一些基于高斯調制相干態結合平衡零拍探測[1]或無開關協議[2]的量子密鑰分發方案，并進行了實驗演示[3—6].朱暢華等提出的基于信道估計的自適應連續變量量子密鑰分發方法增加了CV-QKD的穩定性[7].在無條件安全性方面，人們研究了信道和探測器的衰減和額外噪聲等非理想因素對CV-QKD安全碼率的影響[8，9].但是，目前CV-QKD還只適用于短距離密鑰傳輸，其原因在于從Alice和Bob共享的連續變量中提取出密鑰的經典后處理過程遠比從離散變量中提取密鑰復雜.為了使CV-QKD能夠適用于更長的距離，Leverrier和Grangier小組提出了一種基于離散調制的連續變量量子密鑰分發協議：四態協議[10]，并對其安全性進行了證明，但是他們在證明過程中忽略了與離散調制協議等價的糾纏方案(entanglement-based scheme)中Alice和Bob共享糾纏態的協方差矩陣與相應的連續調制協議中協方差矩陣的差異.另外，離散調制協議只適用于調制方差非常小的情況(每個脈沖的平均光子數小于1)，在如此小的范圍內很難做到精確調制.調制的誤差可以看作是光源的噪聲，而他們在證明過程中并沒有考慮這種噪聲.本文考慮了這些問題，對光源有噪聲時的基于離散調制連續變量量子密鑰分發的安全性進行了嚴格證明.除此之外，由于這種方案需要隨機選擇光場的一個正交分量進行測量，要求對平衡零拍探測的相對相位進行隨機、快速控制，實驗難度非常大.因此本文還將離散調制同無開關協議相結合，分析了其安全性，并同平衡零拍探測方案進行了比較.

2.高斯調制CV-QKD的缺陷

基于高斯調制的CV-QKD，其通信過程可以由以下幾個步驟所描述：1)發送端Alice隨機的選擇兩個平均值為0，數值大小服從高斯分布的離散信號分別調制到一束相干光的正交振幅和位相上，并通過量子通道發送給接收端Bob.2)Bob收到發送來的態后，隨機地選擇一個正交分量進行平衡零拍探測，并告訴Alice所選擇的正交分量，這樣Alice和Bob就擁有了一組相關聯的隨機變量.3)最后，通信雙方扔掉未測量的正交分量和明顯被竊聽的信息，并采用反向協調進行誤碼校正和保密放大提取密鑰.整個通信過程的安全性由海森伯不確定性原理所保證.在這個過程中，竊聽者Eve可以利用一切不違背物理規律的方法來竊取信息.在信道參數給定的情況下，如果理論推導出的安全碼率大于0，那么Alice和Bob得到的密鑰就是無條件的.

對于竊聽者來說，最優的攻擊方式是高斯集體攻擊(Gaussian collective attacks)，因此只需用考慮高斯集體攻擊下的碼率就可以證明CV-QKD的無條件安全性[11，12].在高斯集體攻擊下，當Alice和Bob采用反向協調協議時，其安全碼率為[13]

K=I(a：b)-χ(b：E)， (1)其中a，b分別是Alice和Bob對自己的子系統進行測量后得到的經典隨機變量，I(a：b)是Alice和Bob手中經典隨機變量之間的Shannon互信息量.χ(b：E)是Holevo界，它界定了Eve所能劫獲的Bob手中經典隨機變量的信息：

其中ρE是Eve手中的態，ρbE是Bob測量后ρE塌縮得到的態，p(b)是Bob測量結果的概率分布，S是von Neumann熵.(1)式成立有一個條件，那就是Alice和Bob能進行完美的糾錯，將他們之間的互信息I(a：b)全部提取出來，但這在實際中是不可能的.在實際過程中，他們提取的信息可以由βI(a：b) (0＜β＜1)來表示，β是考慮非完美協調時引入的一個因子，稱為協調效率，定義為[14]其中?b是Bob將b進行量化編碼后得到的離散隨機變量，H(?b)是?b的Shannon熵，Ired是信息協調過程中每個信號平均泄露的信息.對于給定的信源和信道可以很容易計算出H(?b)和I(a：b).Ired與采用的協調方案以及信道的性質有關，很難直接從理論上推得，一般通過實驗的方法來確定.考慮協調效率時，安全碼率表示為[5，15]

當通信距離較長，信道衰減較大時，信噪比會比短距離通信時明顯降低.連續變量的信息協調效率也會隨著信噪比的衰減急劇降低[10].通過增大信號的調制方差可以提高信噪比，但是這時I(a：b)和χ(b：E)都會變大，而它們的差卻得不到明顯改善，這就要求協調效率必須很高，否則沒有安全碼率[5，13].即使采用目前CV-QKD中最好的糾錯方案，如LDPC碼和turbo碼，也很難使通信距離超過30 km[10].

3.四態協議

為了使CV-QKD能適用于更遠的距離，Leverrier和Grangier小組提出了一種基于離散調制的連續變量量子密鑰分發協議，即四態協議[10].如圖1(a)所示，在這個協議中，Alice隨機的選擇向Bob發送相干態其中k∈｛0，1，2，3｝，α是一個實數.對于一個確定的信道，即給定了透過率和額外噪聲(excess noise)的信道，可以通過改變α的取值使得安全碼率達到最大.Bob接受到Alice發出的態后隨機的選擇對X分量或P分量進行平衡零拍探測并得到測量結果y.Bob根據y的符號的正負得到1bit數據，并將測量結果的絕對值通過經典信道發送給Alice.這樣Alice和 Bob就共享了一串相關的比特，然后通過信息協調和保密增強就可以得到密鑰.從經典通信的角度來看，對這種在高斯加性白噪聲信道傳遞的二進制調制數據進行糾錯是很容易解決的，即使在信噪比很低的時候也能獲得很高的協調效率[10].

以上所描述的是制備和測量方案[16](prepare and measure scheme)，這種方案實現起來比較容易，但是很難直接證明其安全性，于是文獻[10]給出了與之等價的糾纏方案.如圖1(b)所示，在糾纏方案中，Alice手中有一個糾纏源，不斷產生純的糾纏態

圖1 (a)四態協議的制備與測量方案(Alice從隨機數發生器(RNG)獲得隨機數k，然后通過調制器(Mod)對光源(Src)發出的初始態進行調制)；(b)四態協議的糾纏等價方案(Alice手中有一個初始的雙模糾纏態，她對其中一個模式進行投影測量，獲得測量結果為k，并將另一個分量發送給Bob)

其中

其中

圖2 (a)光源有噪聲時四態協議的制備與測量方案(Alice從隨機數發生器(RNG1)獲得隨機數k，然后通過調制器(Mod)對光源(Src)發出的初始態進行調制.Fred控制Alice的調制器，改變其調制結果.改變量為Fred的隨機數發生器(RNG2)產生的隨機數δx和δp)；(b)光源有噪聲時四態協議的糾纏等價方案(Fred手中有一個三模糾纏態，他保留其中一個模式，將另兩個模式發送給Alice。Aice對其中一個模式進行投影測量，獲得結果為k，并將另一個模式發送給Bob)

4.光源有噪聲時的安全性分析

如圖2(a)所示，在制備與測量方案中，由于非理想調制，Alice每次并不能把一個相干態精確地調制成其X分量和P分量的中心位置會分別存在δx和δp的噪聲，我們可以假設這個噪聲完全是由一個中立者Fred引入的，他和Eve沒有關系，不會給Eve提供任何信息.因此Alice制備的并不是純態而是一個混合態考慮到對稱性，我們不妨假設疊加在X分量和P分量上的噪聲相等，大小為

其中1是由量子力學特性造成的歸一化散粒噪聲，δε是由Fred引入的額外噪聲.

下面我們給出與之等價的糾纏方案.如圖2(b)所示，在這個方案中，Alice，Fred以及發送給Bob的三個子系統構成一個純態，可以寫成

當Eve對發給Bob的態進行集體攻擊時，她會用一條無損耗、無噪聲的信道代替Alice和Bob之間的信道，然后將ρB0和自己手中的態進行糾纏，并使得糾纏后的ρAB與未受到攻擊且通過有衰減有噪聲的信道之后的態相同.在假設Eve的能力足夠強時，我們可以認為Eve有能力純化ρABF，即總系統是一個純態.由于ρABE是一個混合態，我們很難直接計算出Eve所獲得的信息χ( b：E).但是可以證明，如果Fred把自己手中的態交給Eve，會使得Eve獲得更多的信息[17]，即

Bob對收到的態進行平衡零拍探測，不防假設他對X分量進行測量，得到測量結果為b，測量后他手中的態塌縮成x?的本征態，而ρAEF塌縮成因為是一個純態，可以得到，又因為也是一個純態，同樣可以得到.另外，由于的取值與b無關，由(2)式和(12)式可得，安全碼率的下界為

對于高斯態，von Neumann熵可以通過協方差矩陣來計算[18].設分別是雙模和單模的高斯態，它們的協方差矩陣分別為其具體數值可以由實驗直接獲得，令

其中A，B，C都是2×2的矩陣，設

則

其中

當Alice發送給Bob的子系統ρB0通過一個透過率為T0，額外噪聲為ε0的信道后，ρB0會發生演化變成ρB，很容易得出，此時 ρAB的協方差矩陣γAB為[18]根據高斯攻擊的最優性，當協方差矩陣相同時(即使在等價的制備與測量方案中Alice進行的并不是高斯調制)，且ρAB為高斯態時使得~K達到最小[19].因此我們可以認為ρAB是高斯態，這不會對協議的安全性造成影響.當Alice進行高斯調制，信道的透過率為T，額外噪聲為ε時，很容易推出在等價的糾纏方案中，Alice和Bob共享混合態的協方差矩陣為[10]

在信道的透過率和額外噪聲相同的情況下，由于離散調制協議的糾纏等價方案中使用的糾纏態并不是最大糾纏，所以協方差矩陣中的Z比高斯調制協議中對應的ZEPR小.為了使兩個協方差矩陣相等，只能通過降低高斯調制協議中信道的透過率、增大額外噪聲來實現，即四態協議中所用的糾纏態由于沒有達到最大糾纏，所產生的影響可以等價成信道的衰減和額外噪聲.因此，在協調效率相同的條件下，當信道的透過率為T0，額外噪聲為ε0時，離散調制協議的安全碼率下界與高斯調制協議中信道透過率為T，額外噪聲為ε時的安全碼率相同，其中T＜T0，ε＞ε0+δε.在信道透過率很小的情況下，四態協議能達到的協調效率比高斯調制協議的協調效率高很多，因此在長距離通信過程中四態協議有很大的優勢.

5.平衡零拍方案和無開關方案的安全邊界

在基于高斯調制的CV-QKD協議中，Alice和Bob采用反向協調，Bob采用平衡零拍探測，信道的透過率為T，額外噪聲為ε時，Bob所接收到的態中的總噪聲為[20]

其中T，ε由(21)式定義.Alice和Bob之間的互信息為[20]

定義

Eve能夠對Fred手中的態進行測量時可以獲得的信息為[20]

其中

根據高斯攻擊的最優性，這樣得到的當信道的透過率和額外噪聲分別為T和ε時基于高斯調制的CVQKD協議的安全碼率就是當信道透過率和額外噪聲分別為T0和ε0、光源噪聲為δε時四態協議的安全碼率的下界，其中T和ε由(21)式給出.通過數值模擬我們可以得到不同透過率和額外噪聲所對應的最優調制方差.以ε0+δε=0.001為例，假設信息協調的效率為0.8，信道的衰減為0.2 dB/km，Bob的探測效率為0.6，我們可以得到最優調制方差隨距離的變化如圖3所示.當調制方差取最優值時我們可以得到安全碼率的下界隨距離的變化如圖4所示.和高斯調制方案不同，四態協議的協調效率在信噪比很低的情況下仍能達到0.8，因此四態協議的安全傳輸距離很容易超過目前基于高斯調制的CV-QKD協議的極限距離30 km.如果能夠有效地抑制光源和信道中的額外噪聲，那么安全傳輸距離有望突破200 km.

圖3 最優調制方差隨距離的變化(其中?為數值模擬時得到的點)

圖4 安全碼率的下界隨距離的變化，從上到下ε0+δε的取值分別為0.001，0.005，0.01

在采用平衡零拍探測方案時，Bob需要隨機的選擇平衡零拍探測的相位分別進行X分量或P分量的測量.這里，本地振蕩光和信號光相對相位的精確控制是一個必備條件，直接決定了通信的安全碼率[3]，而當光源重復頻率很高時這是很難做到的.為了避免這個問題，這里引入無開關方案[2]，在這個方案中Bob用一個50：50的分束片將信號光分成兩束，然后用平衡零拍探測分別測量其中一束的X分量和另一束的P分量.Bob測量之前，Alice和Bob共享的態ρAB的協方差矩陣γAB仍然由(20)式給出.設Bob測量后Alice手中的態ρA塌縮成容易推得的協方差矩陣為

定義

與前面類似可以推出Alice和Bob之間的互信息

Eve能夠對Fred手中的態進行測量時可以獲得的信息為

這時安全碼率的下界為

當ε0+δε=0.01時，無開關方案的安全碼率和平衡零拍探測方案的安全碼率下界之差如圖5所示.在無開關方案中，Bob對兩個分量都進行了測量，看起來似乎碼率應該是采用平衡零拍探測時的兩倍，但事實上在無開關方案中進行探測之前，Bob先要將接收到的信號光通過分束片與真空態干涉，這樣就引入了附加的噪聲，使得Bob探測的兩個分量比采用平衡零拍時探測的分量含有更多的噪聲，因此平均從每個分量上獲得的安全碼率比采用平衡零拍探測時的都要低，其總的結果只比采用平衡零拍探測時的稍大一點[20].但由于無開關方案無需像平衡零拍探測那樣對信號光和本地震蕩光的相對相位進行快速、精確控制，降低了實驗難度.

圖5 無開關方案和平衡零拍探測方案的碼率之差

6.結 論

本文根據最新提出的連續變量離散調制方案，首先討論了非理想調制時四態協議的安全性.非理想調制引入的噪聲可以歸結為光源噪聲，為了方便計算，這里引入了一個中立者Fred，假設Eve能對Fred手中的態進行測量(事實上是不可能的)，采用放縮法，得到了其安全碼率的下界.其次，由于四態協議的糾纏等價方案中初始糾纏態沒有達到最大糾纏，導致了其協方差矩陣與高斯調制協議中的協方差矩陣存在微小區別.本文根據高斯攻擊的最優性，將四態協議的安全碼率等效于信道透過率更小、額外噪聲更大的高斯調制協議的安全碼率，得到了四態協議安全碼率的下界，從而證明這種新的協議是安全的.最后，本文還將無開關協議和四態協議相結合，計算結果表明采用無開關方案的安全碼率與平衡零拍探測方案相當.但無開關方案比平衡零拍探測方案更容易實現，因此在實驗上更有優勢.

[1]Grosshans F，Grangier P 2002 Phys.Rev.Lett.88 057902

[2]Weedbrook C，Lance A M，Bowen W P，Symul T，Ralph T C，Lam P K 2004 Phys.Rev.Lett.93 170504

[3]Grosshans F，Van Assche G，Wenger J，Tualle-Brouri R，Cerf N J，Grangier P 2003 Nature421 238

[4]Lance A M，Symul T，Sharma V，Weedbrook C，Ralph T C，Lam P K 2005 Phys.Rev.Lett.95 180503

[5]Lodewyck J，Bloch M，García-Patrón R，Fossier S，Karpov E，Diamanti E，Debuisschert T，Cerf N J，Tualle-Brouri R，McLaughlin SW，Grangier P 2007 Phys.Rev.A 76 042305

[6]Qi B，Huang L L，Qian L，Lo H K 2007 Phys.Rev.A 76 052323

[7]Zhu C H，Pei C X，Quan D X，Chen N，Yi Y H 2009 Acta Phys.Sin.58 2184(in Chinese)[朱暢華、裴昌幸、權東曉、陳 南、易運暉2009物理學報58 2184]

[8]Lodewyck J，Debuisschert T，Tualle-Brouri R，Grangier P 2005 Phys.Rev.A 72 050303

[9]Chen J J，Hua Z F，Zhao Y B，Gui Y Z，Guo G C 2007 Acta Phys.Sin.56 5(in Chinese)[陳進建、韓正甫、趙義博、桂有珍、郭光燦2007物理學報56 5]

[10]Leverrier A，Grangier P 2009 Phys.Rev.Lett.102 180504

[11]Renner R，Cirac J I 2009 Phys.Rev.Lett.102 110504

[12]Leverrier A，Karpov E，Grangier P，Cerf N Jwww.arxiv.org/ pdf/quant-ph/0809.2252

[13]Renner R，K?nig R www.arxiv.org/pdf/quant-ph/0403133

[14]Bloch M，Thangaraj A，McLaughlin SW www.arxiv.org/pdf/ cs.IT/0509041

[15]Leverrier A，Alléaume R，Boutros J，Zémor G，Grangier P 2008 Phys.Rev.A 77 042325

[16]Grosshans F，Cerf N J 2003 Quantum Inf.Comput.3 535

[17]Shen Y，Yang J，Guo H 2009 J.Phys.B 42 235506

[18]Serafini A，Illuminati F，De Siena S 2004 J.Phys.B 37 L21

[19]García-Patrón R，Cerf N J 2006 Phys.Rev.Lett.97 190503

[20]Scarani V，Pasquinucci H B，Cerf N J，Du?ek M，Lütkenhaus N，Peev M 2009 Rev.Mod.Phys.81 1301

PACC：0367，4250

Security bound of continuous-variable quantum key distribution w ith discrete modulation*

Shen Yong Zou Hong-Xin?
(Department of Physics，National University of Defense Technology，Changsha 410073，China)
(Received 8 May 2009；revised manuscript received 22 June 2009)

Security of continuous-variable quantum key distribution with four-state protocol based on discretemodulation of noisy coherent states is analyzed.Combing discrete modulation and reverse reconciliation，this protocol can be used for long distance cryptography.There isa small difference between the state Alice sends in the discretemodulation protocol and the Gaussian modulation protocol，and it can be treated as excess noise and loss in the channel.As Alice cannot do a precise modulation，she will induce noise to the coherent state.We look this noise as the source noise and derive a lower bound to the secure key rate assuming the eavesdropper cannot benefit from the noise in the source.For avoiding the fast and random phase locking between the signal and local oscillator in experiment，we also analyze the security of four-state protocol using no-switching scheme.

discretemodulation，the four-state protocol，continuous variable quantum key distribution，secure key rate

*國防科學技術大學科學研究計劃項目(批準號：JC08-02-01)，國家自然科學基金(批準號：10904174)和華東師范大學精密光譜國家重點實驗室開放研究基金資助的課題.

?E-mail：hxzou@nudt.edu.cn