1.   引　言

量子密钥分发(quantum key distribution, QKD)以量子力学基本原理为基础, 从物理层面上提供一种能够在两个合法通信方(Alice与Bob)之间安全生成密钥的有效方法^[1–4]. 和依赖于光子计数技术的离散变量(discrete-variable, DV) QKD不同^[5–8], 连续变量(continuous-variable, CV) QKD是将密钥信息编码到光场的正则分量中, 并采用相干探测(比如零差或外差探测)技术进行解码^[9–15]. CV-QKD可以利用成熟的光学设备来实现, 并且所采用的基础通信设施与相干光通信类似, 这也意味着在现有光通信系统的基础上构建未来量子网络是有希望实现的. 不仅如此, CV-QKD理论上的无条件安全性也得到严格证明^[16–19].

在众多类型的CV-QKD方案中, 高斯调制相干态(Gaussian modulated coherent state, GMCS)方案^[12]由于具有较好的可行性而得到广泛的应用. 然而, GMCS CV-QKD方案需要采用具有良好稳定性的高消光比调制器以实现高速调制, 这在实际条件下实现具有挑战性. 为了解决GMCS CV-QKD中所存在的问题, 2018年, Qi等^[20]提出了基于被动态制备的CV-QKD方案, 采用热光源、分束器、光衰减器以及零差探测器来替代GMCS CV-QKD方案中的振幅与相位调制器以及随机数发生器. 2020年, Qi等^[21]在已有自发辐射放大光源的基础上开展实验, 验证了基于被动态制备的CV-QKD方案的可行性. 2021年, Huang等^[22]采用专门设计的帧同步算法在Alice和Bob的两组测量结果之间建立直接相关性, 并对系统过噪声进行控制, 通过真实的光纤信道实验实现了完整的基于被动态制备的CV-QKD方案. 同年, Wu等^[23]提出本地本振被动CV-QKD方案, 解决了被动CV-QKD系统中本振光的安全漏洞问题, 从而能够提升被动CV-QKD的实际安全性. 被动态制备方案的发展使得CV-QKD更具实用性.

然而, 当用户数量较多时, 点对点CV-QKD系统难以满足其特定需求. 假设一个合法用户(分发者dealer) 打算通过一条不安全的量子通道与多个(至少两个)远程用户共享密钥, 分发者dealer知道其中一些用户并非是可信的, 因此决定将密钥分成若干份并分别单独发送给每个用户. 这也就意味着每个用户必须要相互合作才能获得完整的密钥. 这种情况广泛存在于商业、军事等领域. 为了满足多方用户对密钥共享日益增长的需求, 量子秘密共享方案(quantum secret sharing, QSS)被提出^[24]. 通常而言, QSS方案来源于一种被称为秘密共享的经典密码原语, 在该秘密共享中, 分发者dealer将秘密信息$W$分发给$M$个用户, 要求必须至少有$k \leqslant M$个用户通过相互合作才能对秘密信息$W$进行解码. 这称为$(k, M)$-阈值秘密共享方案. 在QSS方案中, 允许多个远程用户使用量子信息技术与分发者dealer共享一系列密钥. 在此种情况下, 每个用户都持有密钥不同的部分信息, 因此, 每个用户必须通过相互合作的方式才能对密钥信息进行解码.

一般来说, 相比于点对点两方CV-QKD方案, QSS方案包含更多的通信用户, 并且可能会出现不可信的用户, 从而可能会引入额外的信息窃取方案. 因此, QSS方案相比于QKD方案, 在安全性分析方面具有更高的要求. 最近, Kogias等^[25]对基于纠缠模型的多方QSS方案的安全性进行证明, 其目的是从理论上证明基于高斯量子态和零差探测的QSS方案的可行性. 然而, 利用目前技术来实现此类QSS方案是很困难的, 尤其是当用户数量$M$比较大以及可容忍信道损耗非常小的时候.

为了实现更简单的QSS方案部署, 单量子比特顺序QSS方案被提出并进行了实验验证^[26]. 虽然这些方案能够有效地简化QSS方案的实施, 但其安全性仍存在争议^[27–29]. 不仅如此, 文献[26]中所提出的此类QSS方案的部署设计容易受到特洛伊木马攻击, 主要原因在于攻击者能够利用目标方拥有的偏振旋转装置发送多光子信号, 从而可以通过测量输出信号获得确定的对应偏振旋转. 为了解决这一问题, 2019年, Grice和Qi^[30]提出了基于传统激光源和零差探测器的连续变量顺序QSS方案. 与单量子比特顺序QSS方案不同, 在该方案中, 每个用户采用高斯调制本地制备相干态, 并利用高度非对称分束器将所制备的相干态注入到循环光模式中. 这种方式可以防止窃听者访问或干扰量子态的准备过程, 并使QSS方案能够抵御特洛伊木马攻击. 随后, Wu等^[31]和Liao等^[32]对该方案进行拓展, 分别提出了基于热态信源的被动CV-QSS方案与离散调制CV-QSS方案, 进一步推动了CV-QSS方案的发展.

虽然, Grice等所提出的CV-QSS方案能够有效抵御特洛伊木马攻击, 但对于其他操作, 比如量子态的制备, 在实际制备过程中往往并不是完美的. 在基于高斯调制量子态制备的CV-QSS方案的部署中, 通常采用波导电光振幅和相位调制器来进行高斯调制操作. 波导电光调制器具有高带宽、低驱动电压的特点, 正好可以满足系统的集成要求. 然而, 在实际中, 不可避免的是, 由于电气特性和环境扰动所引起的直流偏置电压漂移和实际激光器输入光信号的不完美到达^[33], 使得量子态制备无法像理论假设那样理想. 这就意味着在实际的CV-QSS方案中, 非理想量子态的制备会引入额外的过噪声, 此类过噪声属于高斯噪声^[34–36]. 非理想量子态的制备会导致错误的密钥率估计, 从而会给实际的CV-QSS方案带来安全性漏洞. 此外, 在CV-QSS方案中, 每个用户都需要制备量子态, 并且每个用户由于非理想量子态制备所引入的过噪声是相互独立的. 为了完善CV-QSS方案的实际安全性分析, 需要对每个用户非理想量子态制备进行系统的分析.

为了获得更紧的CV-QSS方案密钥率曲线, 本文提出基于非理想量子态制备的实际CV-QSS方案, 并且在实际量子信道条件下对所提出的CV-QSS方案进行安全性分析. 通过合理的建模, 能够对CV-QSS方案中每个用户在量子态制备过程中所存在的不完美进行描述刻画, 并得出由非理想量子态制备所引入的等效过噪声的计算公式. 以此为基础, 可以构建实际CV-QSS方案的综合安全性框架, 并且推导出了针对攻击者和不可信用户的更严格的方案安全界限. 仿真结果表明, 非理想量子态制备对CV-QSS方案的安全性具有显著影响, 但所提出的安全性分析框架模型能够定量分析非理想量子态制备对CV-QSS方案的影响, 有效地解决由非理想量子态制备所带来的安全隐患, 从而有效地改进与完善CV-QSS方案的实际安全性. 本文第2节详细描述所提出的基于非理想量子态制备的实际CV-QSS方案; 第3节对所提出方案的密钥率进行计算; 第4节给出本文方案的性能分析; 第5节总结全文.

2.   基于非理想量子态制备的实际CV-QSS方案

图1展示了基于非理想量子态制备的实际CV-QSS方案.$M$个用户(user)通过一条单通信信道与分发者dealer相连接, 此处通信信道可以是电信光纤. 该方案允许接收方与一群远程用户共享一串密钥. 在实际CV-QSS系统中, 每个用户所使用的振幅调制器、相位调制器以及激光器并不是完美的, 不可避免地会对所制备的相干态引入过噪声. 为了合理地描述此类过噪声, 采用将理想调制器与相位非敏感放大器(phase-insensitive amplifier, PIA)相结合的方式来对这种非理想量子态制备进行模拟. 所提出方案的具体流程如下.

步骤1　对于每次量子传输, 离分发者dealer最远的用户, 即第一个用户${U_1}$利用一对高斯随机数$\left\{ {{x_1}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {p_1}} \right\}$来制备相干态$\left| {{x_1} + {\mathrm{i}}{p_1}} \right\rangle$. 此处将用户${U_1}$处的PIA设为${Q_1}$, 由相对应的第三方Fred₁控制, 以此类推. 当经过${Q_1}$的放大操作后, 原相干态$\left| {{x_1} + {\text{i}}{p_1}} \right\rangle$转化为相干态$\left| {x_1^{{\text{PI}}} + {\text{i}}p_1^{{\text{PI}}}} \right\rangle$, 并将此相干态发送给相邻的第二个用户${U_2}$.

步骤2　与此同时, 用户${U_2}$也制备独立相干态$\left| {{x_2} + {\text{i}}{p_2}} \right\rangle$, 并且经过${Q_2}$(由相对应的第三方Fred₂控制)的放大操作后, 原相干态$\left| {{x_2} + {\text{i}}{p_2}} \right\rangle$转化为相干态$\left| {x_2^{{\text{PI}}} + {\text{i}}p_2^{{\text{PI}}}} \right\rangle$. 通过高度非对称分束器(highly asymmetric beam splitter, HABS)的第二个输入口, 将相干态$\left| {x_2^{{\text{PI}}} + {\text{i}}p_2^{{\text{PI}}}} \right\rangle$耦合到与用户${U_1}$所制备的输入信号相同的时空模式. 之后, 将混合信号发送给下一个用户.

步骤3　其他每个用户沿着链路, 通过HABS, 将各自所制备的经PIA放大后的高斯调制相干态注入到与用户${U_1}$所制备的输入信号相同的时空模式.

步骤4　由于第$s$个用户${U_s}$能够通过仔细控制调制方差并了解不对称分束器的透过率来对经过${Q_s}$放大操作后的高斯随机数$\left\{ {x_s^{{\text{PI}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} p_s^{{\text{PI}}}} \right\}$$( s = 1, \;2, \;3, \cdots , \;M )$进行相空间位移操作, 因此最后到达分发者 dealer处的相干态为$\Big| \displaystyle\sum\nolimits_{s = 1}^M {\sqrt {{T_s}} } x_s^{{\text{PI}}} + {\text{i}}\displaystyle\sum\nolimits_{s = 1}^M {\sqrt {{T_s}} p_s^{{\text{PI}}}}\Big \rangle$, 其中${T_s}$表示来自第$s$个用户的量子信号所经受的总透过率(包括由量子信道以及分束器引起的损耗). 此时, 分发者dealer采用外差探测对所接收到的量子信号的振幅与相位这两个正则分量进行测量, 得到测量结果$\left\{ {{x_{\text{d}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {p_{\text{d}}}} \right\}$.

步骤5　经过多轮上述步骤后, 分发者dealer和用户拥有足够数量的相关原始数据.

需要指出的是, 步骤1—5属于一种旨在利用量子光学产生相关数据的量子操作. 接下来的步骤则是采用经典后处理技术来对这些数据进行处理.

步骤6　分发者dealer随机选择原始数据中的一个子集, 并且要求所有的用户公布相应的高斯随机数. 结合相应的测量结果, 可以得到信道透过率$\left\{ {{T_1}, \;{T_2}, \; \cdots , {T_M}} \right\}$^[30]. 所有用户将公布出去的数据进行舍弃.

步骤7　分发者dealer假定第1个用户${U_1}$为可信方, 并且其他$M - 1$个用户为不可信方. 之后随机选择原始数据中的一个子集, 并且要求除了用户${U_1}$外其他用户公布相应的原始数据.

步骤8　分发者dealer对步骤7中提到的子集的测量结果进行置换操作, 即${x_{\text{W}}} = {x_{\text{d}}} - \displaystyle\sum\nolimits_{s = 2}^M {\sqrt {{T_s}} } x_s^{{\text{PI}}}; \;\;{p_{\text{W}}} = {p_{\text{d}}} - \displaystyle\sum\nolimits_{s = 2}^M {\sqrt {{T_s}} } p_s^{{\text{PI}}}$. 基于$\{ {x_{\text{W}}}, {p_{\text{W}}} \}$以及可信用户${U_1}$原始数据两者相同的子集, 可以建立一条在分发者dealer与用户${U_1}$之间点对点的CV-QKD链路. 因此, 通过采用高斯调制相干态QKD方案中的标准的安全性分析方法^[37], 可以估算出安全密钥率的下界限${K_1}$(分发者dealer与可信用户${U_1}$之间的密钥率). 所有用户舍弃公布出来的数据.

步骤9　将步骤7和步骤8重复$M$次. 在每次运行过程中, 选择不同的用户作为可信方. 最后, 分发者dealer拥有$M$个密钥率$\left\{ {{K_1}, \;{K_2}, \cdots , {K_M}} \right\}$.

步骤10　分发者dealer将密钥率集合$\{ {K_1}, \;{K_2}, {\kern 1 pt} {\kern 1 pt} \ldots , {K_M} \}$中的最小值确定为基于非理想量子态制备的实际CV-QSS方案的安全密钥率$K$, 并且采用高斯调制QKD方案中的反向协商从那些未公布的数据中生成最终密钥^[15,38].

需要指出的是, 在反向协商过程中, 经典信息从分发者dealer传递给用户. 相应地, 这一过程可以在没有用户共同合作的情况下完成. 分发者dealer可以通过采用最终密钥对要共享的信息进行加密来实现QSS方案. 通过合作, $M$个用户能够利用他们各自的高斯随机数以及由分发者dealer所公布的经典信息来恢复最终密钥, 从而恢复分发者dealer的信息. 但任意一组$M - 1$个用户只能获得关于最终密钥的极少量信息. 值得一提的是, 本方案所采用的数据协商算法与标准的高斯调制QKD方案中的数据协商算法是相同的^[38].

从上述介绍的基于非理想量子态制备的实际CV-QSS方案的运行流程可以看出, 直接对所提出的CV-QSS方案进行安全性分析是非常复杂的. 主要原因在于所提出的方案中有多个用户, 并且我们不知道有多少用户是不可信的以及在信息传输过程中会承受怎么样的信息攻击模式. 幸运的是, 通过巧妙利用已建立的高斯调制CV-QKD方案的安全性证明方法, 可以对所提出的基于非理想量子态制备的实际CV-QSS方案的安全性进行证明. 结合步骤8与步骤9可以发现, 上述问题可以利用点对点QKD方案的处理方式进行解决. 假定第$s$个用户$\left( {s = 1, \;2, \;3, \cdots , \;M} \right)$是所有用户中唯一可以信任的, 则一条在分发者dealer与用户${U_s}$之间点对点的CV-QKD链路就可以建立完成. 上述假定是最悲观的假定, 因为如果假定所有的用户都是不可信任的, 则QSS方案就无法成立. 因此, 这种两方通信链路可以被视为包含有两个合法通信方的CV-QKD模型, 即发送方Alice (可信用户${U_s}$)以及接收方Bob (分发者dealer). 现在需要考虑的主要问题是剩下的$M - 1$个不可信任的用户是否可以获得合法通信方Alice和Bob之间的信息并且用来恢复Alice和Bob的共享密钥. 由于分发者dealer要求除了可信用户${U_s}$外所有的用户公布出相应的数据信息, 因此可信用户${U_s}$能够全部掌握所有用户方的信息, 而剩余的$M - 1$个用户则无法根据所公布的数据信息去推导出用户${U_s}$与分发者dealer之间的信息. 根据上述分析可知, 即使考虑最坏的情况($M - 1$个用户是不可信的), Alice和Bob仍然可以共享一串安全密钥. 基于此, 可以采用标准的高斯调制QKD方案的安全性证明方法来分析所提出的实际QSS方案的安全性^[30]. 考虑到分发者dealer无法区分哪个用户为可信任的, 他(或她)需要同每个用户进行合作来对方案的潜在密钥率进行估计, 并且从密钥率集合$\{ {K_1}, \;{K_2}, \cdots , {K_M} \}$中选出一个最小的密钥率值作为所提出的QSS方案的密钥率. 因此, 所提出的基于非理想量子态制备的实际CV-QSS方案能够有效地抵御攻击方与任意$M - 1$个不可信用户的协作攻击.

3.   基于非理想量子态制备的实际CV-QSS方案的密钥率计算

在本节中, 首先介绍基于非理想量子态制备的实际CV-QSS方案的物理模型, 之后对所提出方案的密钥率进行计算.

3.1   基于非理想量子态制备的实际CV-QSS方案的物理模型

在第2节中对所提出的方案进行描述时, 采用将理想调制器与PIA相结合的方式来对此种非理想量子态的制备进行模拟描述. 之所以采用PIA来反映非理想量子态制备中的过噪声, 其主要原因在于此种放大器模型在光通信中存在许多匹配的实际应用. 在图1中, ${Q_1}$表示在用户${U_1}$处的PIA, 其增益参数为${g_1}$, 由不可信的第三方Fred₁控制; ${Q_2}$表示在用户${U_2}$处的PIA, 其增益参数为${g_2}$, 由不可信的第三方Fred₂控制; $\ldots$; ${Q_M}$表示在用户${U_M}$处的PIA, 其增益参数为${g_M}$, 由不可信的第三方Fred_M控制. 为了简化分析, 此处主要以用户${U_1}$为例进行分析, 其他用户的分析方式与此类似. 需要指出的是, 此处只考虑最悲观的情况, 即只有一个用户是可信任的, 也就是将用户${U_1}$对应为点对点CV-QKD中的发送方Alice. 由于Fred与Eve的关系可表述为Fred受Eve控制, 因此其所产生的非可信信源过噪声可纳入到信道输入的总信道附加噪声${\chi _{{\text{line}}}}$中. 所提出的方案其制备-测量(prepare-and-measure, PM)模型如图2所示.

经过理想调制器的相干态其正则分量表达式为

$$\begin{split} &x_1^{\text{h}} = {x_1} + \delta x, \\ &p_1^{\text{h}} = {p_1} + \delta p, \end{split}$$

(1)

其中$\langle {{{\left( {\delta x} \right)}^2}} \rangle =\langle {{{\left( {\delta p} \right)}^2}} \rangle = 1$表示来源于散粒噪声的散粒噪声单位. 在经过相位非敏感放大器${Q_1}$放大作用后, 用户${U_1}$发送给分发者dealer的相干态其正则分量$\left( {x_1^{{\text{PI}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} p_1^{{\text{PI}}}} \right)$的表达式可写为

$$\begin{split} &x_1^{{\text{PI}}} = \sqrt {{g_1}} x_1^{\text{h}} + \sqrt {{g_1} - 1} {x_{{Q_1}}}, \\ &p_1^{{\text{PI}}} = \sqrt {{g_1}} p_1^{\text{h}} + \sqrt {{g_1} - 1} {p_{{Q_1}}}, \end{split}$$

(2)

其中$\left( {{x_{{Q_1}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {p_{{Q_1}}}} \right)$表示方差为${V_{{Q_1}}}$的相位非敏感放大器${Q_1}$的真空输入模的正则分量. 之后, 经过进一步计算可得

$$\big\langle {{{\left( {x_1^{{\text{PI}}}} \right)}^2}} \big\rangle = \big\langle {{{\left( {p_1^{{\text{PI}}}} \right)}^2}} \big\rangle = {g_1} ({{V_{{U_1}}} + 1}) + ({{g_1} - 1} ){V_{{Q_1}}},$$

(3)

其中${V_{{U_1}}}$表示用户${U_1}$的调制方差, ${V_1} = {V_{{U_1}}} + 1$, 并且由用户${U_1}$处的非理想量子态制备所引入的额外过噪声为

$$\xi _1^{{\text{PI}}} = ({g_1} - 1)({V_{{U_1}}} + 1 + {V_{{Q_1}}}) .$$

(4)

之后(3)式可进一步写为

$$\big\langle {{{\left( {x_1^{{\text{PI}}}} \right)}^2}} \big\rangle = \big\langle {{{\left( {p_1^{{\text{PI}}}} \right)}^2}} \big\rangle = {V_1} + \xi _1^{{\text{PI}}}.$$

(5)

则条件方差${V_{x_1^{{\text{PI}}}|{x_1}}} = {V_{p_1^{{\text{PI}}}|{p_1}}}$可写为

$${V_{x_1^{{\text{PI}}}|{x_1}}} = {V_{p_1^{{\text{PI}}}|{p_1}}} = \left\langle {{{\left( {x_1^{{\text{PI}}}} \right)}^2}} \right\rangle - \frac{{{{\left\langle {x_1^{{\text{PI}}}{x_1}} \right\rangle }^2}}}{{\left\langle {x_1^2} \right\rangle }} = \xi _1^{{\text{PI}}} + 1.$$

(6)

与上述分析方法类似, 在任一个用户${U_s}$处$( s = 1, \;2, \;3, \cdots , \;M )$, 由非理想量子态制备所引入的额外过噪声$\xi _s^{{\text{PI}}} = ({g_s} - 1)({V_{{U_s}}} + 1 + {V_{{Q_s}}})$, 其中${g_s}$, ${V_{{U_s}}}$与${V_{{Q_s}}}$表示的含义和${g_1}$, ${V_{{U_1}}}$及${V_{{Q_1}}}$相似.

与上述PM模型等价的纠缠(entanglement-based, EB)模型如图3所示. 相比于PM模型, 采用EB模型更方便进行安全性分析^[39]. 接下来将证明图3中所提出方案的EB模型与图2中所提出方案的PM模型等价. 值得一提的是, 由于考虑在最悲观的情况下进行安全性分析, 即只有一个用户为可信任的, 其余$M - 1$个用户为不可信的. 因此所提出的方案其EB模型可等效为点对点CV-QKD方案的EB模型. 在图3中唯一的可信用户记为Alice, 分发者dealer记为Bob, 此处同样以用户${U_1}$为例进行说明, 即假定${U_1}$为唯一可信用户(Alice), 其余用户分析方法与此类似. 用户${U_1}$制备双模压缩真空态${\varPhi _{{A_{\mathrm{C}}}{A_1}}}$, 并对其进行提纯. 用户${U_1}$将其中一个正则分量为$\left( {x_1^{{\text{PI}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} p_1^{{\text{PI}}}} \right)$的模${A_1}$发送给接收方Bob, 保留另外一个正则分量为$\left( {x_1^C, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} p_1^C} \right)$的模${A_{\text{C}}}$, 这些正则分量满足:

$$\begin{split} &\langle {\left({x}_{1}^{C}\right)}^{2}\rangle =\langle {\left({p}_{1}^{C}\right)}^{2}\rangle ={V}_{1},\\ &\langle {\left({x}_{1}^{\text{PI}}\right)}^{2}\rangle =\langle {\left({p}_{1}^{\text{PI}}\right)}^{2}\rangle ={V}_{1}+{\xi }_{1}^{\text{PI}}. \end{split}$$

(7)

根据不确定性关系, 可以得到以下不等式:

$$\left\langle {{{\left( {x_1^{{\text{PI}}}x_1^C} \right)}^2}} \right\rangle \leqslant {V_1}{\kern 1pt} \left( {{V_1} + \xi _{1}^{{\text{PI}}}} \right) - \frac{{{V_1}}}{{{V_1} + \xi _1^{{\text{PI}}}}}.$$

(8)

由于在EB模型中, 系统${\varPhi _{{A_{\text{C}}}{A_1}{F_1}}}$无法达到最大的纠缠度, 因此可以假设:

$$\begin{split} \langle {x}_{1}^{\text{PI}}{x}_{1}^{C}\rangle =\sqrt{{V}_{1}^{2}-1},~~~~ \langle {p}_{1}^{\text{PI}}{p}_{1}^{C}\rangle =-\sqrt{{V}_{1}^{2}-1}. \end{split}$$

(9)

用户${U_1}$对所保留的正则分量为$\left( {x_1^C, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} p_1^C} \right)$的模${A_{\text{C}}}$进行外差探测, 可得

$$\begin{split} &x_1^{UC} = x_1^C - \delta x_1^{UC}, ~~~~ p_1^{UC} = p_1^C - \delta p_1^{UC}, \end{split}$$

(10)

其中$\langle {{{( {\delta x_1^{UC}} )}^2}} \rangle = \langle {{{( {\delta p_1^{UC}} )}^2}} \rangle = 1$, 参数$( {x_1^{UC}, \;p_1^{UC}} )$表示用户${U_1}$对模${A_{{{\mathrm{C}}}}}$进行外差探测所得到的探测结果. 此处假定用户${U_1}$对$\left( {x_1^{{\text{PI}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} p_1^{{\text{PI}}}} \right)$的估计值为$\left( {{x_1}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {p_1}} \right)$, 则可得

$${x_1} = \sqrt {\frac{{V - 1}}{{V + 1}}} x_1^{UC}, ~~~ {p_1} = \sqrt {\frac{{V - 1}}{{V + 1}}} p_1^{UC}.$$

(11)

之后容易通过计算得到

$$\begin{split} &\left\langle {x_1^2} \right\rangle = \left\langle {p_1^2} \right\rangle = {V_1} - 1 = {V_{{U_1}}}, \\ &~{V_{x_1^{{\text{PI}}}|{x_1}}} = {V_{p_1^{{\text{PI}}}|{p_1}}} = 1 + \xi _1^{{\text{PI}}}. \end{split}$$

(12)

(12)式所给出的结果与PM模型所推导出的结果等价, 这表明所提出的基于非理想量子态制备的实际CV-QSS方案其EB模型等价于其PM模型. 值得一提的是, 图2与图3中量子存储器的作用在于对Eve额外的输出模E进行存储, Eve在最后对存储在量子存储器的模进行集体测量. 一般而言, 在PM模型中, 分发者dealer由于不完美外差探测器所引入的探测器附加噪声${\chi _{{\text{het}}}}$其表达式为${\chi _{{\text{het}}}} = {{[(2 - \eta ) + 2{\upsilon _{{\text{el}}}}]} \mathord{\left/ {\vphantom {{[(2 - \eta ) + 2{\upsilon _{{\text{el}}}}]} \eta }} \right. } \eta }$, 其中$\eta$表示探测器的量子效率, ${\upsilon _{{\text{el}}}}$表示探测器的电噪声. 在EB模型中, 分发者dealer的不完美探测器可利用透过率为$\eta$的分束器以及方差为${\upsilon _{\text{d}}}$的Einstein-Podolsky-Rosen (EPR)纠缠态${\rho _{H{H_0}}}$来进行模拟表示. 值得一提的是, 方差${\upsilon _{\text{d}}}$的选取应能够保证探测器的总噪声在EB模型中同样为$\eta {\chi _{{\text{het}}}}$, 则方差${\upsilon _{\text{d}}}$的表达式可写为${\upsilon _{\text{d}}} = {{(\eta {\chi _{{\text{het}}}} - 1)} \mathord{\left/ {\vphantom {{(\eta {\chi _{{\text{het}}}} - 1)} {(1 - \eta )}}} \right. } {(1 - \eta )}}$. 因此, 当假定EPR信源与Alice的探测器都隐藏在黑盒子中时, 攻击方将无法鉴别所采用的是PM模型还是EB模型.

综上所述, 图2 (PM方案)与图3 (EB方案)两者具体等价的地方体现在以下两个方面.

1)在图2中, Alice利用一对高斯随机数$\left\{ {{x_1}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {p_1}} \right\}$经由振幅和相位调制器来制备相干态$| {x_1} + {\text{i}}{p_1} \rangle$. 当经过${Q_1}$的放大操作后, 原相干态$| {x_1} + {\text{i}}{p_1} \rangle$转化为相干态$\left| {x_1^{{\text{PI}}} + {\text{i}}p_1^{{\text{PI}}}} \right\rangle$, 此为Alice非理想量子态的制备, 之后经不可信信道发送给Bob. 该过程等效为图3中Fred₁制备纠缠态${\varPhi _{{A_{\mathrm{C}}}{A_1}{F_1}}}$, 并对其中一个正则分量为$\left( {x_1^{{\text{PI}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} p_1^{{\text{PI}}}} \right)$的模${A_{\text{C}}}$进行外差探测, 而另一个模${A_1}$则经不可信信道发送给Bob.

2)图2中, 在探测方Bob处实际探测器的量子效率$\eta$等效为图3中透过率为$\eta$的分束器, 图2中实际探测器的电噪声${\upsilon _{{\text{el}}}}$则等效于图3中方差为${\upsilon _{\text{d}}}$的辅助EPR纠缠态${\rho _{H{H_0}}}$其中一模式${H_0}$经分束器后所引入的过噪声.

3.2   密钥率计算

基于上述所建立的物理模型, 现在对所提出的基于非理想量子态制备的实际CV-QSS方案的密钥率进行计算. 此处假定分发者dealer与相离最远的用户(Alice)距离为L, 其他所有M–1个用户都分布在这两者之间, 并且每个用户之间相隔的距离相同. 根据步骤10可知, 所提出的QSS方案其密钥率为分发者dealer与每个用户之间点对点QKD的最小密钥率. 为了简化分析, 此处假定每个用户引入相同的过噪声$\xi_{0}$, 并且每个用户由非理想量子态制备所引入的额外过噪声相同, 即$\xi _1^{{\text{PI}}} = \xi _2^{{\text{PI}}} = \cdots = \xi _M^{{\text{PI}}}$. 为了方便分析, 令${\xi ^{{\text{PI}}}} = \xi _1^{{\text{PI}}} = \xi _2^{{\text{PI}}} = \cdots = \xi _M^{{\text{PI}}}$. 则在正常情况下, 最小的QKD密钥率为分发者dealer与Alice之间的密钥率. 需要指出的是方案最终密钥率的计算应基于实际数据, 并且选取最小值作为所提出的QSS方案的密钥率. 由上述分析可知, 所提出的CV-QSS方案密钥率的计算可以采用高斯调制CV-QKD方案密钥率的计算方法. 则在反向协商下, 所提出的CV-QSS方案其密钥率下界限的表达式可写为^[37,39]

$$K = \beta {I_{{\text{AB}}}} - {\chi _{{\text{BE}}}} ,$$

(13)

其中${I_{{\text{AB}}}}$表示Alice与Bob之间的互信息量; $\beta$表示方案的协商效率; ${\chi _{{\text{BE}}}}$表示Eve (包括外部攻击者以及其余$M - 1$个用户)与接收方Bob之间的Holevo界. 第$s$个用户的信道透过率${T_s}$可写为

$${T_s} = {10^{\tfrac{{ - \omega {l_s}}}{{10}}}},$$

(14)

其中$\omega$表示光纤损耗系数; ${l_s} = [({{M - s + 1}})/{M}]L$表示接收方Bob (分发者dealer)与第$s$个用户的距离. 第$s$个用户所引入的归结于信道输入的过噪声其表达式可写为

$${\xi _s} = \frac{{{T_s}}}{{{T_1}}}\left( {{\xi _0} + {\xi ^{{\text{PI}}}}} \right).$$

(15)

因此归结于信道输入的总信道附加噪声${\chi _{{\text{line}}}}$其表达式可写为

$${\chi _{{\text{line}}}} = \frac{1}{{{T_1}}} - 1 + \sum\limits_{s = 1}^M {{\xi _s}} .$$

(16)

则归结为信道输入的总噪声为

$${\chi _{{\text{tot}}}} = {\chi _{{\text{line}}}} + {{{\chi _{{\text{het}}}}}}/{{{T_1}}}.$$

(17)

接下来计算Alice和Bob之间的互信息量${I_{{\text{AB}}}}$. 当接收方Bob (分发者dealer)采用外差探测时, 互信息量${I_{{\text{AB}}}}$的表达式可写为

$${I_{{\text{AB}}}} = {\log _2}\frac{{V + {\chi _{{\text{tot}}}}}}{{1 + {\chi _{{\text{tot}}}}}},$$

(18)

其中$V = {V_{\text{A}}} + 1$, ${V_{\text{A}}}$为Alice的调制方差. 当用户${U_1}$为离分发者dealer最远的可信用户时, 有$V = {V_1}$并且${V_{\text{A}}} = {V_{{U_1}}}$.

攻击者Eve以及其他$M - 1$个不可信用户能够从接收方Bob的密钥中获得的最大信息量${\chi _{{\text{BE}}}}$其表达式为

$${\chi _{{\text{BE}}}} = S({\rho _{\text{E}}}) - \int {{\mathrm{d}}{\phi _{\mathrm{B}}}} p({\phi _{\mathrm{B}}})S(\rho _E^{{\phi _{\mathrm{B}}}}),$$

(19)

其中${\phi _{\text{B}}}$表示Bob采用外差探测所获得的探测结果, 并且有${\phi _{\text{B}}} = \left\{ {{x_{\text{B}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {p_{\text{B}}}} \right\} = \left\{ {{x_{\text{d}}}, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {p_{\text{d}}}} \right\}$, $S(\cdot)$表示量子态$\rho$的冯·诺依曼熵, $p\left( {{\phi _{\text{B}}}} \right)$表示接收方测量结果的概率密度, 并且$\rho _{\text{E}}^{{\phi _{\text{B}}}}$表示Eve基于接收方Bob测量结果的量子态. 考虑到在实际中无法对Eve通过利用光源所获得的最大信息量进行限制, 为了解决这个问题, 可以假设${\rho _{{A_{\text{C}}}FE{A_1}}}$是纯量子态, 当Alice所制备的量子态(${\rho _{{A_{\text{C}}}F{A_1}}}$)为高斯态时, 仍可以获得所提出方案密钥率的下界限^[40,41]. 因此(19)式可进一步写为

$${\chi _{{\text{BE}}}} = \sum\limits_{i = 1}^2 {G\left( {\frac{{{\lambda _i} - 1}}{2}} \right)} - \sum\limits_{i = 3}^5 {G\left( {\frac{{{\lambda _i} - 1}}{2}} \right)} ,$$

(20)

其中$G(x) = (x + 1){\log _2}(x + 1) - x{\log _2}x$, 并且

$$\lambda _{1,2}^2 = \frac{1}{2}\left[ {\varDelta \pm \sqrt {{\varDelta ^2} - 4D} } \right],$$

(21)

其中

$$\begin{split} &\varDelta = {V^2} + {T_1}^2{\left( {V + {\chi _{{\text{line}}}}} \right)^2} + 2{T_1}\left( {1 - {V^2}} \right), \\ &D = {T_1}^2{\left( {1 + V{\chi _{{\text{line}}}}} \right)^2}. \end{split}$$

(22)

${\lambda _{3, 4}}$其表达式可写为

$$\lambda _{3,4}^2 = \frac{1}{2}\left[ {A \pm \sqrt {{A^2} - 4B} } \right],$$

(23)

其中

$$\begin{split} A =\;& \frac{1}{{{{[{T_1}(V + {\chi _{{\text{tot}}}})]}^2}}}\Big\{ \Delta \chi _{{\text{het}}}^2 + 1 + D + 2{\chi _{{\text{het}}}}[V\sqrt D\\ &+ {T_1}(V + {\chi _{{\text{line}}}})] + 2{T_1}({V^2} - 1) \Big\}, \\ B =\;& {\left[ {\frac{{\sqrt D {\chi _{{\text{het}}}} + V}}{{{T_1}(V + {\chi _{{\text{tot}}}})}}} \right]^2}, \\[-1pt] \end{split}$$

(24)

$${\lambda _5} = 1.$$

(25)

根据(18)式, (20)式, (21)式, (22)式, (23)式以及(24)式, (25)式可以计算出所提出方案渐近密钥率的下界限.

4.   性能分析

本节采用实际系统参数来对基于非理想量子态制备的实际CV-QSS方案的性能进行分析, 并与基于理想量子态制备的CV-QSS方案(以下记为理想方案)的性能进行比较. 涉及全局仿真参数设定如下: 光纤信道损耗系数$\omega = 0.2{\kern 1 pt} {\kern 1 pt} {\text{ dB}}/{\text{km}}$, 接收端探测器量子效率和电噪声分别为$\eta = 0.6$, ${\upsilon _{{\text{el}}}} = 0.05$^[42], 过噪声${\xi _0} = 0.001$, 协商效率$\beta = 0.95$. 由于在上述分析中, 假定非理想量子态制备所引入的额外过噪声每个用户均为${\xi ^{{\text{PI}}}}$, 因此每个用户PIA的增益参数相等, 则有${g_1} = {g_2} = \cdots = {g_M}$. 为了方便分析, 令$g = {g_1} = {g_2} = \cdots = {g_M}$. 当增益参数$g = 1$时, 即${\xi ^{{\text{PI}}}} = 0$, 表明量子态制备是完美的, 不存在额外过噪声.

图4给出了所提方案的密钥率与调制方差的关系, 增益参数$g = 1.001$, 其中图4(a)考虑在不同传输距离的情况下, 而图4(b)则考虑在不同的用户数量的情况下. 在图4(a)中传输距离$L =$$5, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} 10, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} 20, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} 30$km, 并且用户数量$M =$5. 在图4(b)中用户数量$M =$$3, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} 5, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} 7, {\kern 1 pt} {\kern 1 pt} {\kern 1 pt} 10$, 并且传输距离$L =$10 km. 从图4(a)与图4(b)可以发现, 随着传输距离以及用户数量的增加, 调制方差${V_{\text{A}}}$的可选择区域被逐渐压缩, 并且方案的密钥率也显著降低. 此外, 密钥率曲线在调制方差${V_{\text{A}}}$趋于0和趋于某个上界的时候都向0截断. 此种情况其主要原因在于当调制方差${V_{\text{A}}}$趋于0时, 根据(18)式, Alice与Bob的互信息量${I_{{\text{AB}}}}$也趋于0, 从而导致方案密钥率趋于0, 因此密钥率曲线向0截断; 当调制方差${V_{\text{A}}}$趋于某个上界时, 根据(13)式, 会出现$\beta {I_{{\text{AB}}}} = {\chi _{{\text{BE}}}}$, 从而使得密钥率$K = 0$, 因此密钥率曲线同样会向0截断. 而当调制方差${V_{\text{A}}} = 3$时, 在图4(a)和图4(b)中密钥率总是存在一个峰值, 并且该峰值对应的调制方差${V_{\text{A}}}$几乎不随传输距离$L$和用户数量$M$的变化而变化. 这表明所提出的方案中的调制方差 ${V_{\text{A}}}$存在一个最优值, 即${V_{\text{A}}} = 3$. 当${V_{\text{A}}}$取到这个最优值3的时候, 无论传输距离和用户数量如何变化, 相对应的密钥率曲线都会出现一个峰值. 因此在下面的仿真中, 调制方差的取值设定为3.

图5给出了所提出方案的密钥率与传输距离的关系, 其中图5(a)表示增益参数 $g = 1$(理想方案), 图5(b)表示增益参数$g = 1.001$ , 图5(c)表示增益参数$g = 1.002$, 图5(d)表示增益参数$g = 1.003$. 在图5中用户数量$M =$$2, \;5, \;8, \;10,\;15$, 并且也仿真出了Pirandola–Laurenza–Ottaviani–Banchi (简记为PLOB)界, 该界限表示点对点量子通信性能的最终极限^[43]. 从图5中可以观察到, 在拥有相同用户数量的情况下, 理想方案($g = 1$)的性能总是优于所提出方案的性能($g > 1$). 随着增益参数$g$的增大, 即由非理想量子态制备所引入的额外过噪声${\xi ^{{\text{PI}}}}$增大, 所提出的基于非理想量子态制备的CV-QSS方案其性能也显著降低. 这表明非理想量子态的制备会对CV-QSS方案的安全性产生显著影响. 而从另一方面看, 相比于理想方案, 所提出的方案由于考虑了非理想量子态制备所引入的额外过噪声, 因此能够得到更紧的密钥率曲线. 此外, 随着用户数量$M$的增加, 所提出的基于非理想量子态制备的CV-QSS方案与理想CV-QSS方案的性能都随之降低.

图6给出了在不同传输距离$L$下, 方案密钥率与增益参数$g$的关系, 其中用户数量$M = 5$. 若要获得当用户数量$M = 5$时所提出的CV-QSS方案对增益参数$g$的容忍度阈值上界, 可令传输距离$L = 0$. 在图6中, $L = 0$时的情形用蓝色曲线表示. 从图6可以发现, 随着传输距离$L$的增加, 所提出的方案对增益参数$g$的容忍度降低, 即对非理想量子态制备所引入的额外过噪声${\xi ^{{\text{PI}}}}$的容忍度降低. 此外, 蓝色性能曲线截止于1.01026, 即增益参数$g$的容忍度阈值上界${\hat g_{{\text{th}}}} = 1.01026$. 这表明当PIA的增益参数超过 1.01026时, 所提出的CV-QSS方案在用户数量$M = 5$的情形下无法提取任何密钥. 因此, 从非理想量子态制备所引入的额外过噪声的角度上考虑, 在$M = 5$的情形下, 所提出的CV-QSS方案对额外过噪声${\xi ^{{\text{PI}}}}$的容忍度阈值上界为0.0513.

5.   结　论

CV-QSS方案能够有效地解决多个远程用户之间秘密共享的安全性问题. 然而, 在实际CV-QSS方案中, 量子态的制备通常无法达到理论上的理想状态, 因而会引入额外的过噪声. 这无疑会给CV-QSS系统带来安全风险. 本文提出基于非理想量子态制备的实际CV-QSS方案, 研究分析了实际CV-QSS方案中导致量子态的制备出现非理想的原因, 即在实际CV-QSS方案中, 实际激光器、波导电光调幅器和相位调制器的工作状态无法达到理论水平. 不仅如此, 为了能够对非理想量子态制备所引入的额外过噪声进行定量分析, 本方案采用将理想调制器与PIA相结合的方式来对这种非理想量子态的制备进行描述. 基于此, 通过利用PIA的增益参数$g$, 可以对实际CV-QSS方案中非理想量子态的制备所引入的额外过噪声进行完整定量地计算, 并且能够获得密钥率的下界限. 此外, 基于每个用户PIA的增益参数$g$, 能够得到实际CV-QSS方案对非理想量子态制备所引入的额外过噪声容忍度的上界限. 因此, 本文提出的方案可以在不改变CV-QSS框架结构的前提下, 有效地解决由非理想量子态制备所带来的安全隐患, 为CV-QSS方案在复杂环境下的实际应用奠定基础.