双向纠缠提纯协议及其应用*

刘 冰 刘欣瑞 贾炜光

北京电子科技学院，北京市 100070

前言

保密通信的安全性是每一个国家、政府、部门及个人都高度重视的问题。 经典密码体制的安全性在量子计算机和量子算法的提出之后面临着巨大的挑战。 量子密钥分发(Quantum Key Distribution， QKD)是一种密钥的安全传输方式，在密码领域有着广阔的应用前景。 中国科学技术大学潘建伟团队是中国首先开展卫星量子通信实验研究的团队，早在2016 年量子科学实验卫星“墨子号”的成功发射，就已经实现了制备－测量技术在卫星密钥分发上的应用[1]。 在2020年，该团队又使用处于纠缠状态的光子实现了密钥生成[2]。 尽管量子密钥分发可以实现经典信息的无条件安全传输，但是安全成码率和远距离传输成为制约其高速性能的瓶颈，扩展通信距离和保持足够的码率是当前亟待解决的问题。 而后处理技术是量子密钥分发中不可或缺的关键技术，对量子密钥分发的安全性和效率具有重要的影响。 其中具有双向纠缠提纯的后处理能够进一步提高量子密钥分发的效率，所以更具有优势。

本文第一部分简要介绍了纠缠提纯协议及其相关概念，第二部分介绍了单向纠缠提纯协议，第三部分介绍了双向纠缠提纯协议，第四部分介绍了代表QKD 协议，第五部分通过数值模拟展示了双向纠缠提纯协议对提高通信距离的作用，最后一部分总结包括了双向纠缠提纯的优势、缺点及展望。

1 背景介绍

1.1 量子纠缠

量子纠缠理论涉及到定域性、实在性以及测量理论等量子力学中的基本问题，并在量子通信和量子计算中起到极其重要的基础性作用。 早在1935 年，Eintein、Podolsky 和Rosen 三人就共同提出一个理想实验来质疑量子力学的完备性，该实验被人们广泛称为“EPR 佯谬”[3]。 同年，Schrdinger 在其关于“猫态”的论文中第一次提出“纠缠态”的概念，并且推导出了跟人们日常生活经验相悖的量子叠加态。 1964 年，Bell 提出了著名的“Bell 不等式”[4]，对量子系统的非定域性给出了严格的定量描述。 1982 年，法国学者Aspect 通过实验精确地观察到Bell 不等式的违背，这使得量子纠缠的非局域性得到了实验的验证[5]。

量子纠缠，又被翻译为量子缠结，是量子力学中的特有现象，是在系统内部子系统之间的一种关联属性。 对一个子系统的测量结果会影响到另一个子系统的状态。 举例来说，如果有两粒处于纠缠态的粒子，一粒放在地球，另一粒被送至月球，尽管地球和月球的距离很遥远，但是两个粒子之间保持有特殊的关联性。 当其中的一个粒子由于测量而发生状态的改变时，另一粒子的状态也会随之发生相应的变化。

这些非局域相关性只在整个系统的量子态纠缠时出现，系统不能表示为各部分状态的张量积。 假设在方案中Alice 创建了N 对EPR 对，将每个EPR 对中另一半传递给Bob，然后Alice 与Bob 在经典通信上公布所测量的基。 如果在传递的过程中EPR 对始终保持“纯净”，则Alice与Bob 就可以生产一个共享的随机密钥。 但事实是，EPR 对在传递的过程中由于噪声的影响，会变的不纯净，出现相位或比特错误，需要纠缠提纯技术来做进一步操作。

1.2 纠缠提纯协议

纠缠提纯协议(Entanglement Purification Protocol，EPP)是一种可以提高量子态纠缠度的协议[6]。 它提供了一种在有噪声的量子通道里模拟无噪声通信的方法。 更具体的讲，假设Alice 和Bob 是通过一个嘈杂的量子通道相连，Alice 创建了EPR 对并将每对中的一半发送给Bob，他们将共享到N 对不完善的EPR 对。Alice 与Bob 可以尝试使用本地操作(包括准备辅助量子位，本地酉变换和测量)和经典通信(Local Operation and Classical Communication，LOCC)，将不完善的EPR 对提纯为数量较少的高保真EPR 对。 此过程最早由Bennett，Divincenzo，Smolin 和Wooters(BDSW)研究。

根据其所需的常规通信类型，可以将EPP分为两类，一类是只能从Alice 到Bob 的单向经典通信(1-EPP)，另一类可以在Alice 和Bob 之间实现双向经典通信(2-EPP)。

1.3 纠缠提纯的应用

最先将纠缠提纯思想应用于QKD 协议安全性证明的是1996 年David 等人[7]。 由于制备测量协议与纠缠提纯协议的安全性证明等价，因此也可归结到纠缠提纯协议的安全性证明上[8]。

如果只考虑二维的态空间，Alice 和Bob 所共享的量子态ρAB是纯态，Eve 拥有的量子态是ρE，那么Eve 是无法通过测量ρE来获得有效的信息。 所以如果ρAB越接近最大纠缠态，则系统所泄露的信息就越少，最终密钥也就越安全。 但事实上，对于一个实际的QKD 系统来说，信道存在噪声和损耗，ρAB经过信道传输后相位和比特会发生变化，无法满足最大纠缠态，所以就需要纠缠提纯协议提高其纠缠度，使ρAB重新达到最大纠缠态。 能够提纯的最大纠缠数量即对应QKD 的安全成码率。 这是纠缠提纯协议在QKD安全证明中的作用[9]。

2 单向纠缠提纯协议

单向纠缠提纯协议(1-EPP)的流程是:Alice首先测量一系列的可交换算子(commuting operators)，然后将测量结果发送给Bob。 Bob 用相同的运算符测量该算子。 如果通道中没有噪声，则Bob 将获得与Alice 相同的测量结果。 当存在噪声时，某些测量结果跟Alice 相比会有所不同。 根据测量的运算符列表规则，Bob 可以推断出EPR 对错误的位置并将其纠正。 不过，测量的过程会消耗EPR 对中的一部分，因此最终保留的EPR 对少于Alice 发送的EPR 对。

图1 1-EPP 示意图

图1 中，1-EPP 只有一个过程，经过酉变换和测量后，Alice 将她的测量结果通过经典信道发送给Bob，Bob 再结合自己的测量结果进行酉变换。

如果Alice 和Bob 的系统共享几乎完美的EPR 对，则窃听者无法获得该系统的任何信息，Alice 和Bob 可以在相同的基上测量EPR 对以获取密钥。 在渐近极限下1-EPP 的EPR 对的提纯码率为

其中Qz为响应率，Ez为比特误码率，Ex为相位误码率，f为误码纠正率，h是香农熵[10]。

3 双向纠缠提纯协议

与1-EPP 相比，Gottesman 和Lo 提出的双向纠缠提纯协议(2-EPP)在容忍噪声方面显示出优势[11]。

图2 中，与1-EPP 相比，2-EPP 经过多轮过程，在Bob 结合自己的测量结果进行酉变换后，再将测量结果传递给Alice。 经过若干轮过程，就可以产生较纯净的接近最大纠缠态的EPR 对。

在Gottesman-Lo 安全证明中举了两种2-EPP 的例子，即B 步骤和P 步骤，分别用于降低比特和相位误码率。 这就是Gottesman-Lo 的2-EPP 能够承受更多噪声的原因。

P 步骤的过程:Alice 和Bob 随机排列所有EPR 对，并将它们分为三组，一个目标EPR 对和两个控制EPR 对。 然后对三个EPR 对分别执行两个双边XOR 运算。 通过在X 基中测量两个控制对并比较测量结果，可以找到误差。 但是相位误差在准备测量协议中无法检测和校正。如果首先进行Z 基测量再执行P 步骤，则可以在三个量子位之间进行经典的XOR 操作，最终在准备测量协议中生成一位量子位。

图2 2-EPP 示意图

4 代表QKD 协议

4.1 BB84 协议

第一个QKD 协议是美国IBM 公司的研究员Charles 和加拿大蒙特利尔大学的教授Gilles共同提出来的，正式发表于1984 年的一个会议上，故简称为BB84 协议[12]。

BB84 协议是在经典信道和量子信道两个信道来实现信息的传输，而信息的载体可以用光子的四个偏振态来表示，分别为光子的水平偏振态｜H〉 (记作→)，垂直偏振态｜ V〉 (记作↑)，π/4 偏振方向的偏振态｜P〉 (记作↗)，3π/4 偏振方向的偏振态｜N〉 (记作↘)。 ↑、→、↗、↘这四个偏振态可以分为互相非正交的两组，每组中的两个状态是正交的，同时这两组又互相共轭。 其中前两个态为一组测量基，后两个态为一组测量基。

在量子信道中，Alice 从四个态中随机选择发送给Bob。 Bob 接收到消息后，从两组测量基中随机选择一个对消息进行测量。 随后在经典信道中，Bob 给Alice 发送消息告知自己在哪些比特位上用了哪些测量基，Alice 接收到Bob 发送的信息后与自己选择的测量基进行比对并通知Bob 哪些位置上选择的测量基是正确的。 双方丢弃测量基不一致的量子位。 之后，Alice 和Bob 从保留的比特中选取相同的部分在信道中传输。 如果没有窃听，则Alice 和Bob 的数据一致，这时双方将保留剩余的量子位为最终密钥。

4.2 TF-QKD 协议

双场量子密钥分发(Twin-Field QKD，TFQKD)[13]是一种新的相位编码QKD 协议，它展现了克服密钥码率限制并对相位编码MDIQKD 进行二次改进的可能性。 该协议在保证密钥安全的条件下突破了以前QKD 协议的码率－距离极限。 TF-QKD 先在两个遥远的位置产生成对的相位随机光场，然后在中心站进行测量。具有相同随机相位的场称为“双场”，可以用来提取密钥。 TF-QKD 的密钥码率跟其他协议与信道透射率成比例不同，而是与信道透射率的平方根成比例，打破了传统的PLOB 线性传输界限。 并且与涉及量子中继器的方案相比，TFQKD 在技术上更为可行，可以在550 公里的标准光纤和可控的噪声水平上完成信息的传输。

5 双向纠缠提纯在QKD 中的应用

5.1 公式介绍

BB84 协议的密钥率由Gottesman，Lo，Lutkenhaus 和Preskill(GLLP)证明结合诱骗态方法给出[14]。 由于在实际应用过程中没有理想的单光子源存在，都是含有多光子的激光光源，于是窃听者可以用光子数分离攻击威胁密码的安全性。 由此Hwang 等人提出了用诱骗态的方法进行量子密钥分发，只要能够知道单光子占总数的比例，就可以提炼出绝对安全的密钥。

BB84 密钥安全成码率公式为

TF-QKD 密钥率公式在[13]里面给出了详细的推导过程。 与BB84 协议相比，TF-QKD 发送两个光场，利用两路信道光子的有无纠缠来实现，所以可以成倍的扩展通信距离。

TF-QKD 密钥安全成码率公式为

大多数成功的国际工程承包商的实践表明，其核心竞争力往往并非来自某个领域相对垄断的核心技术，而是源于多年的国际工程承包经验形成的在业务整合、兼并扩张和跨国经营方面的能力。目前施工企业传统的“传帮带”的人才培养模式效率较低、不能适应公司业务发展和人才成长的需要。

其中d 为占空比，M 为相位切片数，Q1为单光子增益，¯e1为单光子相位误码率的下界，Qu为整体增益，Eu为比特误码率。

定义～ep为经过了一轮2-EPP 变化后的相位误码率，ep为原始的相位误码率，eb，～eb则为相应比特误码率。 经过了一轮B 步骤后，原始的相位误码与现在的关系对应为

比特误码对应为

类似B 步骤，经过一轮P 步骤后的表达式为

多轮B 步骤、P 步骤则可以类推。

表1 数值模拟参数

表1 是在接下来进行模拟过程中一些参数及对应的数值。 其参数数值是当前实验中有代表性的取值[15]。

5.2 应用1 轮步骤

5.2.1 应用在BB84 协议中

BB84 协议是最经典的QKD 协议，把2-EPP应用到BB84 协议中，由图可以看出，其通信距离扩展了40 公里。

图3 中实线是原始的BB84 密钥码率图，虚线是将1 轮B 步骤应用到BB84 公式后的码率图。 从图中可以看出，应用1 轮B 步骤后，码率有所下降，但因为B 步骤降低了比特误码率，所以在应用完B 步骤后距离很明显有被拓展。 也可尝试在短距离时不采用2-EPP，当在码率急剧下降处，例如图3 中的250 公里处时开始应用2-EPP，这样既可以拓展通信距离又能保证较高的码率。

图3 应用1 轮B 步骤时BB84 码率图

5.2.2 应用在TF-QKD 协议中

将2-EPP 应用于TF-QKD 协议中，效果如下图。

图4 应用1 轮B 步骤时TF-QKD 码率图

5.3 应用多轮步骤的讨论

5.3.1 应用在BB84 协议中

从图5(a)中可以明显看出，随着B 步骤应用轮数的增加，尽管通信距离会不断加大，但是成码率在慢慢降低。 超过3 轮B 步骤后，码率过低，意义不大。 从图5(b)中可以看出，随着P步骤应用轮数增加，码率会随之减小，每经过一轮P 步骤，码率会下降到原来的三分之一左右，同时通信距离并没有提高。

图5 多轮步骤应用到BB84 协议的示意图。 其中(a)是将多轮B 步骤应用到BB84 协议上的示意图；(b)是在一轮B 步骤的基础上将多轮P 步骤应用到BB84 协议上的示意图

图6 多轮步骤应用到TF-QKD 协议中的示意图。 其中(a)是进行多轮B 步骤示意图；(b)是将多轮B 步骤P 步骤分别应用于TF-QKD 的码率图。 n 为应用n 轮P 步骤。 m 为应用m 轮B 步骤

5.3.2 应用在TF-QKD 协议中

如果单独将多轮B 步骤或P 步骤应用到TF-QKD 中，则可以从图中看出，当B 步骤从1轮增加到3 轮的时候，通信距离在渐渐增大，但码率在不断降低。 当固定1 轮B 步骤，增加P步骤的轮数时，通信距离变化微乎其微，但是极大的降低了安全成码率。 从图6(a)和图6(b)可以得出，B 步骤相比较于P 步骤对性能有更深的影响。 因为B 步骤和P 步骤在实现过程中应用了双向异或的关系，相位误码率跟比特误码率有一定的联系，B 步骤在降低比特误码率的同时会提高相位误码率，P 步骤则相反，但是比特误码率的影响因素更强。

基于相干态的TF-QKD[10]中曾将1 轮B 步骤运用到基于相干态的TF-QKD 和基于猫态的TF-QKD 中。 本文不仅进行了多轮的B 步骤和P 步骤实验，比较了B 步骤和P 步骤对于通信距离和成码率的影响，而且还进行了B、P 步骤的顺序实验。 实验表明，无论是先进行P 步骤再进行B 步骤，或者先进行B 步骤再进行P 步骤，还是交叉进行一轮B 步骤一轮P 步骤，增加P 步骤效果不大。 所以只进行B 步骤是更好的方法。 而成码率和通信距离是一种权衡关系，在实际应用中应具体分析，以确定其最优轮次。

6 结语

纠缠提纯技术就是提取最大纠缠态并生成密钥的过程，将双向纠缠提纯技术应用于BB84和TF-QKD 协议，可以扩展其通信距离。 在实验分析的过程中发现，B 步骤会扩展通信距离，而应用P 步骤的话，降低相位误码率的同时会提高比特误码率，同时应用多轮P 步骤对通信距离并无太大影响，因此可以只应用B 步骤来扩展通信距离而不考虑使用P 步骤。 目前对双向纠缠提纯协议只讨论了B 步骤和P 步骤，是否有更好的方法还有待研究。 双向操作如何在后处理过程中高效实现也是未来要研究的方向。