量子密钥诱骗态的经典仿真研究

汤颖锴，陈小余

(浙江工商大学信息与电子工程学院，浙江杭州310018)

0 引言

量子密钥分配(Quantum Key Distribution，QKD)协议利用光子具有的测不准原理和量子不可克隆原理，实现了无条件安全的密钥分配。大多数实验都采用服从泊松分布的弱相干光源，其中某些激光脉冲存在着多光子。因此，实际通信中容易受到光子分裂数攻击［1］。对此，提出了诱骗态的思想［2］。随后，取得了丰硕的研究成果［3－5］。由于技术上的限制以及诸多不理想因素的制约，实验室中对QKD的研究难度很大且代价昂贵。本文在Gottesman-Knill定理［6］为经典计算机上对QKD进行模拟提供了一种新的研究手段，对光子源、信道、探测器进行数学建模，并给出计数率的计算公式，进行诱骗态的仿真，同时验证了诱骗态方案克服光PNS的有效性。

1 诱骗态的经典仿真建模

诱骗态的基本想法是:Alice使用不同强度的诱骗脉冲和信号脉冲作为信源，由于窃听者(Eve)无法区分信号脉冲和诱骗脉冲，因此可以通过诱骗脉冲来检测Eve是否存在。

1.1 光子源

在量子密码通信中，合法通信者通常使用的是采用强衰减方法得到的弱相干脉冲作为光源。相干态是最接近于经典电磁场的量子态。工作于远超过阈值的激光器产生的高稳定度单模激光，处于相干态并满足泊松分布。一个相位衰减的相干态︱μeiθ＞事实上是一个混合态:

式中，Pn(μ)=(μne－μ)/n!，表示对于平均光子数为μ的光源信号，脉冲中出现n光子态的概率。相位衰减后信号态︱μ1eiθ＞可写为:

式中，c=1－e－μ－μe－μ，同样地，相位衰减后的诱骗态可写为:

1.2 信道衰减

在现实的通信中，通信信道总是存在一定的衰减。基于光纤的QKD系统，信道衰减由光纤损耗参数α(dB/km)和光纤长度l(km)决定。信号脉冲在信道中的传输效率为［8］:

经过有损光纤后，弱相干脉冲的光子数分布仍然满足泊松分布，但是每个脉冲所含的光子个数降低了。本文中对1 550nm的商用单模光纤进行仿真，其信道损失参数α为0.2(dB/km)［9］。即信号脉冲在信道中的传输效率为tAB=10－l/50，其中l表示光纤信道的长度。

1.3 探测器

在实际的通信中所使用的探测器是非完美的，光学元件存在非理想性，对准精度和背景辐射，固有损耗等问题，Bob的探测器存在暗计数和探测效率等问题。Bob端的探测效率:

式中，tBob为探测器内部光学器件的透射率，ηD为探测器的探测效率。结合信道传输效率和Bob端的探测效率，得到Alice和Bob间的全局传输效率为:

现实使用的多数探测器不能探测出光脉冲中光子的大致数量，本文仿真中把探测器建模为只能分辨出光脉冲中是否有光子，而不能分辨出光脉冲中所含确切的光子数。此外，假设n光子脉冲︱n＞中的每个光子在光纤传输的过程中，衰减都是独立的，其传输效率为η，则光子数没有衰减为0的概率为:

1.4 计数率

定义n光子脉冲︱n＞的计数率Yn为:若Alice发出N个n光子脉冲︱n＞，Bob端探测到nx个脉冲，则Yn=nx/N。n=0时，Y0表示暗计数引起的探测器响应;n＞0时，Yn表示实际信号源和背景噪声引起的探测器响应。通常这两者相互独立，且暗计数和信道传输率很低(通常Y0=10－5，η=10－3)，则:

在没有光子数分裂攻击存在的情况下，对于任何一个态ρ，不管来自真实信号还是诱骗信号，各量子态的计数率都相同，都有:

式中，yρ(μ1)和yρ(μ2)分别是来自信号脉冲和诱骗脉冲的态ρ的计数率。

2 仿真结果分析

选用平均光子数分别为0，0.2和0.6的弱相干态脉冲按比例5∶4∶1作为真空信号，真实信号和诱骗信号，对1 550nm的商用单模光纤以及基于铟镓砷的单光子探测器进行仿真，具体参数如表1所示:

表1 诱骗态性能仿真参数

本诱骗态研究基于相干态光源，满足泊松分布。平均光子数为μ=0.6的诱骗脉冲和平均光子数μ=0.2的信号脉冲出现各种光子数的概率不尽相同，μ=0.2的信号脉冲出现零光子的概率大于μ=0.6的诱骗脉冲，但单光子和多光子概率都小于诱骗脉冲。

由式9可得，yρ(0.2)=yρ(0.6)。而诱骗信号脉冲出现多光子的概率会大于信号脉冲多光子概率，则诱骗脉冲被衰减后留下的有光子脉冲的个数也会更大。仿真结果如图1所示。

图1中虚线表示有光子数分裂攻击时诱骗信号脉冲通过率与真实信号脉冲通过率之比Y0.6/Y0.2，实线表示没有光子数分裂攻击情况下Y0.6/Y0.2。不难看出实线的值大于1(甚至大于2)，说明当PNS攻击不存在的时候，诱骗脉冲的通过率大于信号脉冲的通过率，这是由于发送端诱骗脉冲的平均光子数大于信号脉冲平均光子数。此外，虚线远高于实线，说明当有光子数分裂攻击存在的时候，诱骗脉冲通过率会远高于真实脉冲。因此，可以通过计算Y0.6/Y0.2的比值来判断是否存在有PNS攻击，验证了诱骗态方案的实用性。

为进一步探索诱骗态方案的适用范围，仿真真正的通信过程，在此过程中使用了上述诱骗态的仿真结果:在图1的红色实线和蓝色虚线之间取一个阈值，若Y0.6/Y0.2高于这个值，就判断为有光子数分裂攻击存在，反之则不存在。

基于判断阈值为6，对不同的通信距离进行仿真。当接收方接收完毕以后，通信双方核对诱骗态和信号态的通过率，如果Y0.6/Y0.2＞6时，认为存在PNS攻击，放弃本次通信，生比特为0;否则认为不存在PNS攻击，计算生比特。仿真结果如图2所示。

图1 诱骗态信号态通过率比例图

图2 诱骗态方案仿真图

由图2可以看到运用诱骗态方案，能得到安全通信距离达到140km以上，但这并不考虑所得到比特串的长度。事实上根据的仿真结果，如果要确保通信安全，那么比特串长度会随着通信距离长度的增加而减少，即牺牲通信效率换得通信安全和通信距离。通信距离达到140 km后，通信效率几乎为零，也就无法换取安全和距离。

针对诱骗态方案在BB84协议中的使用，对1 550nm波长红外线，0.2dB/km的光纤信道进行了最长通信距离的理论估算，其值可达142km［9］。本诱骗态仿真方案的最长通信距离与的理论计算结果基本吻合。可以看到仿真图中存在一些波动，这是由于在经典计算机上进行的仿真，为模拟信息的不确定性，不可避免的会涉及到随机数。而微小的波动并不影响诱骗态的安全性。

3 结束语

在经典计算机上设计了基于诱骗态思想的QKD仿真算法。在发送端，以5∶4∶1的概率使用诱骗态、信号态和真空态。在光纤信道上，光子衰减但不改变相位信息和振幅信息。在接收端，探测器有暗计数。分别在无PNS攻击和有PNS攻击两种情况下利用Matlab进行仿真并比较。比较结果显示，在有PNS攻击时，诱骗态信号的通过率明显比信号态的通过率大，由此得到判断是否有PNS攻击的门限值。利用这个门限值对QKD进行仿真，仿真结果表明在140km以内的通信可以判断是否存在PNS攻击。

［1］ Zhao Y，Qi B，Ma X F，et.al.Experimental quantum key distribution with decoy states［J］.Phys Rev Lett，2006，96(7):502－505.

［2］ Hwang W Y.Quantum Key Distribution with High Loss:Toward Global Secure Communication［J］.Phys Rev Lett，2003，91(5):901－904.

［3］ Wang X B.Beating the Photon-Number-Splitting Attack in Practical Quantum Cryptography［J］.Phys Rev Lett，2005，94(23):503－506.

［4］ Wang X B.Decoy-state protocol for quantum cryptography with four different intensities of coherent light［J］.Phys Rev A，2005，72(1):322－327.

［5］ Lo H K，Ma X F，Chen K.Decoy State Quantum Key Distribution［J］.Phys Rev Lett，2005，94(23):504 －507.

［6］ Nielsen M A，Chuang I L.Quantum Computation and Quantum Information［M］.Cambridge:Cambridge University Press，2004:110－111.

［7］ Ma X F，Qi B，Zhao Y，etal.Practical Decoy State for Quantum Key Distribution［J］.Phys Rev A，2005，72(1):326 －340.

［8］ 邹佩琳，李晖.利用诱骗信号方案进行使用的量子密钥分配［J］.量子光学学报，2008，14(1):24－29.

［9］ 张忠祥，韩正甫，刘云，等.超导单光子探测技术［J］.物理学进展，2007，27(1):1－8.