离散调制连续变量量子密钥分发的安全边界*

沈 咏 邹宏新

(国防科学技术大学理学院物理系 长沙410073)

(2009年5月8日收到；2009年6月22日收到修改稿)

离散调制连续变量量子密钥分发的安全边界*

沈 咏 邹宏新†

(国防科学技术大学理学院物理系 长沙410073)

(2009年5月8日收到；2009年6月22日收到修改稿)

对一种结合离散调制和反向协调，适用于长距离传输的连续变量量子密钥分发四态协议的安全性进行了严格证明.这种协议中Alice发送的态与高斯调制协议中的有一定差异，这种差异可以等价成信道衰减和额外噪声.另外，由于Alice不可能做到精确调制，这会导致其发送的相干态中含有噪声.把这种调制引起的噪声看作光源的噪声，并推导出了在光源噪声不能被窃听者所利用的条件下的安全码率的下界.为了避免实验上快速、随机的控制本地振荡光的相位，还将无开关协议和四态协议相结合，分析了其安全性.

离散调制，四态协议，连续变量量子密钥分发，安全码率

PACC：0367，4250

1.引 言

目前，国内外在基于单光子的量子保密通信研究上取得了巨大进展，特别是近年来的诱骗态方案，又将单光子保密通信的安全距离大幅度提高，导致其进一步向实用化靠近.作为量子保密通信的一个可选方案，物理学家们又提出了利用连续光来进行保密通信的方案.它们对连续光场两正交分量进行编码，并采用高效的平衡零拍探测，提高了编码效率降低了探测成本.

连续变量量子密钥分发(CV-QKD)在过去几年中取得了非常显著的成就.人们提出了一些基于高斯调制相干态结合平衡零拍探测[1]或无开关协议[2]的量子密钥分发方案，并进行了实验演示[3—6].朱畅华等提出的基于信道估计的自适应连续变量量子密钥分发方法增加了CV-QKD的稳定性[7].在无条件安全性方面，人们研究了信道和探测器的衰减和额外噪声等非理想因素对CV-QKD安全码率的影响[8，9].但是，目前CV-QKD还只适用于短距离密钥传输，其原因在于从Alice和Bob共享的连续变量中提取出密钥的经典后处理过程远比从离散变量中提取密钥复杂.为了使CV-QKD能够适用于更长的距离，Leverrier和Grangier小组提出了一种基于离散调制的连续变量量子密钥分发协议：四态协议[10]，并对其安全性进行了证明，但是他们在证明过程中忽略了与离散调制协议等价的纠缠方案(entanglement-based scheme)中Alice和Bob共享纠缠态的协方差矩阵与相应的连续调制协议中协方差矩阵的差异.另外，离散调制协议只适用于调制方差非常小的情况(每个脉冲的平均光子数小于1)，在如此小的范围内很难做到精确调制.调制的误差可以看作是光源的噪声，而他们在证明过程中并没有考虑这种噪声.本文考虑了这些问题，对光源有噪声时的基于离散调制连续变量量子密钥分发的安全性进行了严格证明.除此之外，由于这种方案需要随机选择光场的一个正交分量进行测量，要求对平衡零拍探测的相对相位进行随机、快速控制，实验难度非常大.因此本文还将离散调制同无开关协议相结合，分析了其安全性，并同平衡零拍探测方案进行了比较.

2.高斯调制CV-QKD的缺陷

基于高斯调制的CV-QKD，其通信过程可以由以下几个步骤所描述：1)发送端Alice随机的选择两个平均值为0，数值大小服从高斯分布的离散信号分别调制到一束相干光的正交振幅和位相上，并通过量子通道发送给接收端Bob.2)Bob收到发送来的态后，随机地选择一个正交分量进行平衡零拍探测，并告诉Alice所选择的正交分量，这样Alice和Bob就拥有了一组相关联的随机变量.3)最后，通信双方扔掉未测量的正交分量和明显被窃听的信息，并采用反向协调进行误码校正和保密放大提取密钥.整个通信过程的安全性由海森伯不确定性原理所保证.在这个过程中，窃听者Eve可以利用一切不违背物理规律的方法来窃取信息.在信道参数给定的情况下，如果理论推导出的安全码率大于0，那么Alice和Bob得到的密钥就是无条件的.

对于窃听者来说，最优的攻击方式是高斯集体攻击(Gaussian collective attacks)，因此只需用考虑高斯集体攻击下的码率就可以证明CV-QKD的无条件安全性[11，12].在高斯集体攻击下，当Alice和Bob采用反向协调协议时，其安全码率为[13]

K=I(a：b)-χ(b：E)， (1)其中a，b分别是Alice和Bob对自己的子系统进行测量后得到的经典随机变量，I(a：b)是Alice和Bob手中经典随机变量之间的Shannon互信息量.χ(b：E)是Holevo界，它界定了Eve所能劫获的Bob手中经典随机变量的信息：

其中ρE是Eve手中的态，ρbE是Bob测量后ρE塌缩得到的态，p(b)是Bob测量结果的概率分布，S是von Neumann熵.(1)式成立有一个条件，那就是Alice和Bob能进行完美的纠错，将他们之间的互信息I(a：b)全部提取出来，但这在实际中是不可能的.在实际过程中，他们提取的信息可以由βI(a：b) (0＜β＜1)来表示，β是考虑非完美协调时引入的一个因子，称为协调效率，定义为[14]其中ˆb是Bob将b进行量化编码后得到的离散随机变量，H(ˆb)是ˆb的Shannon熵，Ired是信息协调过程中每个信号平均泄露的信息.对于给定的信源和信道可以很容易计算出H(ˆb)和I(a：b).Ired与采用的协调方案以及信道的性质有关，很难直接从理论上推得，一般通过实验的方法来确定.考虑协调效率时，安全码率表示为[5，15]

当通信距离较长，信道衰减较大时，信噪比会比短距离通信时明显降低.连续变量的信息协调效率也会随着信噪比的衰减急剧降低[10].通过增大信号的调制方差可以提高信噪比，但是这时I(a：b)和χ(b：E)都会变大，而它们的差却得不到明显改善，这就要求协调效率必须很高，否则没有安全码率[5，13].即使采用目前CV-QKD中最好的纠错方案，如LDPC码和turbo码，也很难使通信距离超过30 km[10].

3.四态协议

为了使CV-QKD能适用于更远的距离，Leverrier和Grangier小组提出了一种基于离散调制的连续变量量子密钥分发协议，即四态协议[10].如图1(a)所示，在这个协议中，Alice随机的选择向Bob发送相干态其中k∈｛0，1，2，3｝，α是一个实数.对于一个确定的信道，即给定了透过率和额外噪声(excess noise)的信道，可以通过改变α的取值使得安全码率达到最大.Bob接受到Alice发出的态后随机的选择对X分量或P分量进行平衡零拍探测并得到测量结果y.Bob根据y的符号的正负得到1bit数据，并将测量结果的绝对值通过经典信道发送给Alice.这样Alice和 Bob就共享了一串相关的比特，然后通过信息协调和保密增强就可以得到密钥.从经典通信的角度来看，对这种在高斯加性白噪声信道传递的二进制调制数据进行纠错是很容易解决的，即使在信噪比很低的时候也能获得很高的协调效率[10].

以上所描述的是制备和测量方案[16](prepare and measure scheme)，这种方案实现起来比较容易，但是很难直接证明其安全性，于是文献[10]给出了与之等价的纠缠方案.如图1(b)所示，在纠缠方案中，Alice手中有一个纠缠源，不断产生纯的纠缠态

图1 (a)四态协议的制备与测量方案(Alice从随机数发生器(RNG)获得随机数k，然后通过调制器(Mod)对光源(Src)发出的初始态进行调制)；(b)四态协议的纠缠等价方案(Alice手中有一个初始的双模纠缠态，她对其中一个模式进行投影测量，获得测量结果为k，并将另一个分量发送给Bob)

其中

其中

图2 (a)光源有噪声时四态协议的制备与测量方案(Alice从随机数发生器(RNG1)获得随机数k，然后通过调制器(Mod)对光源(Src)发出的初始态进行调制.Fred控制Alice的调制器，改变其调制结果.改变量为Fred的随机数发生器(RNG2)产生的随机数δx和δp)；(b)光源有噪声时四态协议的纠缠等价方案(Fred手中有一个三模纠缠态，他保留其中一个模式，将另两个模式发送给Alice。Aice对其中一个模式进行投影测量，获得结果为k，并将另一个模式发送给Bob)

4.光源有噪声时的安全性分析

如图2(a)所示，在制备与测量方案中，由于非理想调制，Alice每次并不能把一个相干态精确地调制成其X分量和P分量的中心位置会分别存在δx和δp的噪声，我们可以假设这个噪声完全是由一个中立者Fred引入的，他和Eve没有关系，不会给Eve提供任何信息.因此Alice制备的并不是纯态而是一个混合态考虑到对称性，我们不妨假设叠加在X分量和P分量上的噪声相等，大小为

其中1是由量子力学特性造成的归一化散粒噪声，δε是由Fred引入的额外噪声.

下面我们给出与之等价的纠缠方案.如图2(b)所示，在这个方案中，Alice，Fred以及发送给Bob的三个子系统构成一个纯态，可以写成

当Eve对发给Bob的态进行集体攻击时，她会用一条无损耗、无噪声的信道代替Alice和Bob之间的信道，然后将ρB0和自己手中的态进行纠缠，并使得纠缠后的ρAB与未受到攻击且通过有衰减有噪声的信道之后的态相同.在假设Eve的能力足够强时，我们可以认为Eve有能力纯化ρABF，即总系统是一个纯态.由于ρABE是一个混合态，我们很难直接计算出Eve所获得的信息χ( b：E).但是可以证明，如果Fred把自己手中的态交给Eve，会使得Eve获得更多的信息[17]，即

Bob对收到的态进行平衡零拍探测，不防假设他对X分量进行测量，得到测量结果为b，测量后他手中的态塌缩成xˆ的本征态，而ρAEF塌缩成因为是一个纯态，可以得到，又因为也是一个纯态，同样可以得到.另外，由于的取值与b无关，由(2)式和(12)式可得，安全码率的下界为

对于高斯态，von Neumann熵可以通过协方差矩阵来计算[18].设分别是双模和单模的高斯态，它们的协方差矩阵分别为其具体数值可以由实验直接获得，令

其中A，B，C都是2×2的矩阵，设

则

其中

当Alice发送给Bob的子系统ρB0通过一个透过率为T0，额外噪声为ε0的信道后，ρB0会发生演化变成ρB，很容易得出，此时 ρAB的协方差矩阵γAB为[18]根据高斯攻击的最优性，当协方差矩阵相同时(即使在等价的制备与测量方案中Alice进行的并不是高斯调制)，且ρAB为高斯态时使得~K达到最小[19].因此我们可以认为ρAB是高斯态，这不会对协议的安全性造成影响.当Alice进行高斯调制，信道的透过率为T，额外噪声为ε时，很容易推出在等价的纠缠方案中，Alice和Bob共享混合态的协方差矩阵为[10]

在信道的透过率和额外噪声相同的情况下，由于离散调制协议的纠缠等价方案中使用的纠缠态并不是最大纠缠，所以协方差矩阵中的Z比高斯调制协议中对应的ZEPR小.为了使两个协方差矩阵相等，只能通过降低高斯调制协议中信道的透过率、增大额外噪声来实现，即四态协议中所用的纠缠态由于没有达到最大纠缠，所产生的影响可以等价成信道的衰减和额外噪声.因此，在协调效率相同的条件下，当信道的透过率为T0，额外噪声为ε0时，离散调制协议的安全码率下界与高斯调制协议中信道透过率为T，额外噪声为ε时的安全码率相同，其中T＜T0，ε＞ε0+δε.在信道透过率很小的情况下，四态协议能达到的协调效率比高斯调制协议的协调效率高很多，因此在长距离通信过程中四态协议有很大的优势.

5.平衡零拍方案和无开关方案的安全边界

在基于高斯调制的CV-QKD协议中，Alice和Bob采用反向协调，Bob采用平衡零拍探测，信道的透过率为T，额外噪声为ε时，Bob所接收到的态中的总噪声为[20]

其中T，ε由(21)式定义.Alice和Bob之间的互信息为[20]

定义

Eve能够对Fred手中的态进行测量时可以获得的信息为[20]

其中

根据高斯攻击的最优性，这样得到的当信道的透过率和额外噪声分别为T和ε时基于高斯调制的CVQKD协议的安全码率就是当信道透过率和额外噪声分别为T0和ε0、光源噪声为δε时四态协议的安全码率的下界，其中T和ε由(21)式给出.通过数值模拟我们可以得到不同透过率和额外噪声所对应的最优调制方差.以ε0+δε=0.001为例，假设信息协调的效率为0.8，信道的衰减为0.2 dB/km，Bob的探测效率为0.6，我们可以得到最优调制方差随距离的变化如图3所示.当调制方差取最优值时我们可以得到安全码率的下界随距离的变化如图4所示.和高斯调制方案不同，四态协议的协调效率在信噪比很低的情况下仍能达到0.8，因此四态协议的安全传输距离很容易超过目前基于高斯调制的CV-QKD协议的极限距离30 km.如果能够有效地抑制光源和信道中的额外噪声，那么安全传输距离有望突破200 km.

图3 最优调制方差随距离的变化(其中◦为数值模拟时得到的点)

图4 安全码率的下界随距离的变化，从上到下ε0+δε的取值分别为0.001，0.005，0.01

在采用平衡零拍探测方案时，Bob需要随机的选择平衡零拍探测的相位分别进行X分量或P分量的测量.这里，本地振荡光和信号光相对相位的精确控制是一个必备条件，直接决定了通信的安全码率[3]，而当光源重复频率很高时这是很难做到的.为了避免这个问题，这里引入无开关方案[2]，在这个方案中Bob用一个50：50的分束片将信号光分成两束，然后用平衡零拍探测分别测量其中一束的X分量和另一束的P分量.Bob测量之前，Alice和Bob共享的态ρAB的协方差矩阵γAB仍然由(20)式给出.设Bob测量后Alice手中的态ρA塌缩成容易推得的协方差矩阵为

定义

与前面类似可以推出Alice和Bob之间的互信息

Eve能够对Fred手中的态进行测量时可以获得的信息为

这时安全码率的下界为

当ε0+δε=0.01时，无开关方案的安全码率和平衡零拍探测方案的安全码率下界之差如图5所示.在无开关方案中，Bob对两个分量都进行了测量，看起来似乎码率应该是采用平衡零拍探测时的两倍，但事实上在无开关方案中进行探测之前，Bob先要将接收到的信号光通过分束片与真空态干涉，这样就引入了附加的噪声，使得Bob探测的两个分量比采用平衡零拍时探测的分量含有更多的噪声，因此平均从每个分量上获得的安全码率比采用平衡零拍探测时的都要低，其总的结果只比采用平衡零拍探测时的稍大一点[20].但由于无开关方案无需像平衡零拍探测那样对信号光和本地震荡光的相对相位进行快速、精确控制，降低了实验难度.

图5 无开关方案和平衡零拍探测方案的码率之差

6.结 论

本文根据最新提出的连续变量离散调制方案，首先讨论了非理想调制时四态协议的安全性.非理想调制引入的噪声可以归结为光源噪声，为了方便计算，这里引入了一个中立者Fred，假设Eve能对Fred手中的态进行测量(事实上是不可能的)，采用放缩法，得到了其安全码率的下界.其次，由于四态协议的纠缠等价方案中初始纠缠态没有达到最大纠缠，导致了其协方差矩阵与高斯调制协议中的协方差矩阵存在微小区别.本文根据高斯攻击的最优性，将四态协议的安全码率等效于信道透过率更小、额外噪声更大的高斯调制协议的安全码率，得到了四态协议安全码率的下界，从而证明这种新的协议是安全的.最后，本文还将无开关协议和四态协议相结合，计算结果表明采用无开关方案的安全码率与平衡零拍探测方案相当.但无开关方案比平衡零拍探测方案更容易实现，因此在实验上更有优势.

[1]Grosshans F，Grangier P 2002 Phys.Rev.Lett.88 057902

[2]Weedbrook C，Lance A M，Bowen W P，Symul T，Ralph T C，Lam P K 2004 Phys.Rev.Lett.93 170504

[3]Grosshans F，Van Assche G，Wenger J，Tualle-Brouri R，Cerf N J，Grangier P 2003 Nature421 238

[4]Lance A M，Symul T，Sharma V，Weedbrook C，Ralph T C，Lam P K 2005 Phys.Rev.Lett.95 180503

[5]Lodewyck J，Bloch M，García-Patrón R，Fossier S，Karpov E，Diamanti E，Debuisschert T，Cerf N J，Tualle-Brouri R，McLaughlin SW，Grangier P 2007 Phys.Rev.A 76 042305

[6]Qi B，Huang L L，Qian L，Lo H K 2007 Phys.Rev.A 76 052323

[7]Zhu C H，Pei C X，Quan D X，Chen N，Yi Y H 2009 Acta Phys.Sin.58 2184(in Chinese)[朱畅华、裴昌幸、权东晓、陈 南、易运晖2009物理学报58 2184]

[8]Lodewyck J，Debuisschert T，Tualle-Brouri R，Grangier P 2005 Phys.Rev.A 72 050303

[9]Chen J J，Hua Z F，Zhao Y B，Gui Y Z，Guo G C 2007 Acta Phys.Sin.56 5(in Chinese)[陈进建、韩正甫、赵义博、桂有珍、郭光灿2007物理学报56 5]

[10]Leverrier A，Grangier P 2009 Phys.Rev.Lett.102 180504

[11]Renner R，Cirac J I 2009 Phys.Rev.Lett.102 110504

[12]Leverrier A，Karpov E，Grangier P，Cerf N Jwww.arxiv.org/ pdf/quant-ph/0809.2252

[13]Renner R，König R www.arxiv.org/pdf/quant-ph/0403133

[14]Bloch M，Thangaraj A，McLaughlin SW www.arxiv.org/pdf/ cs.IT/0509041

[15]Leverrier A，Alléaume R，Boutros J，Zémor G，Grangier P 2008 Phys.Rev.A 77 042325

[16]Grosshans F，Cerf N J 2003 Quantum Inf.Comput.3 535

[17]Shen Y，Yang J，Guo H 2009 J.Phys.B 42 235506

[18]Serafini A，Illuminati F，De Siena S 2004 J.Phys.B 37 L21

[19]García-Patrón R，Cerf N J 2006 Phys.Rev.Lett.97 190503

[20]Scarani V，Pasquinucci H B，Cerf N J，Dušek M，Lütkenhaus N，Peev M 2009 Rev.Mod.Phys.81 1301

PACC：0367，4250

Security bound of continuous-variable quantum key distribution w ith discrete modulation*

Shen Yong Zou Hong-Xin†
(Department of Physics，National University of Defense Technology，Changsha 410073，China)
(Received 8 May 2009；revised manuscript received 22 June 2009)

Security of continuous-variable quantum key distribution with four-state protocol based on discretemodulation of noisy coherent states is analyzed.Combing discrete modulation and reverse reconciliation，this protocol can be used for long distance cryptography.There isa small difference between the state Alice sends in the discretemodulation protocol and the Gaussian modulation protocol，and it can be treated as excess noise and loss in the channel.As Alice cannot do a precise modulation，she will induce noise to the coherent state.We look this noise as the source noise and derive a lower bound to the secure key rate assuming the eavesdropper cannot benefit from the noise in the source.For avoiding the fast and random phase locking between the signal and local oscillator in experiment，we also analyze the security of four-state protocol using no-switching scheme.

discretemodulation，the four-state protocol，continuous variable quantum key distribution，secure key rate

*国防科学技术大学科学研究计划项目(批准号：JC08-02-01)，国家自然科学基金(批准号：10904174)和华东师范大学精密光谱国家重点实验室开放研究基金资助的课题.

†E-mail：hxzou@nudt.edu.cn