引子
从第一个量子通讯协议 BB84 到后来实用化的测量设备无关的量子密钥分发协议《Measurement-Device-Independent Quantum Key Distribution》, 从第一个距离仅为 32cm 的量子通讯演示实验《Experimental Quantum Cryptography》到中国科学技术大学潘建伟院士团队超过 1200KM 的基于量子卫星的量子通讯实验《Satellite-to-ground quantum key distribution》，量子通讯领域取得了极大的突破。但是，科技进步的步伐永远不会停止。近日(2018年5月2日) 东芝欧洲研究所 （Toshiba Research Europe, Cambridge）的 M. Lucamarini, et.al 在《Nature》上刊登了一篇量子密钥分发（quantum key distribution ）的理论文章《Overcoming the rate–distance limit of quantum key distribution without quantum repeaters》，宣布发现了一种新的称为 Twin-Field quantum key distribution (TF-QKD) 的 QKD 协议，在保证密钥安全的条件下突破了以前 QKD 协议的 rate-distance 的极限，因而引起了很大的轰动。我将从背景，过程、结论与评论三个方面给大家介绍这个工作。
背景
提高成码率和传输距离是QKD 面临的两个很重要但是非常具有挑战性的问题。成码率方面在2014年的一篇文章《Room temperature single-photon detectors for high bit rate quantum key distribution》中已经取得50KM距离时产生 1.2 Megabits/秒 的成码速率，传输距离方面在2016年中国科学技术大学潘建伟院士团队的一篇文章《Measurement-Device-Independent Quantum Key Distribution Over a 404 km Optical Fiber》中已经取得 404KM 时依然可以产生可用的密钥串和中国科学技术大学潘建伟院士团队的一篇文章《Satellite-to-ground quantum key distribution》取得基于量子卫星的 1200KM 自由空间 QKD。但是，目前的这些包括理论和实验的工作，都没有突破《Fundamental rate-loss tradeoff for optical quantum key distribution》和《Fundamental limits of repeaterless quantum communications》给出的量子信道的密钥容量 (secret-key capacity) 和成码率-距离极限（rate-distribution limits）的限制。本文要介绍的《Overcoming the rate–distance limit of quantum key distribution without quantum repeaters》提出了 Twin-field QKD 的协议，突破了以往 QKD 的 rate-distance limits。
过程
如图 Fig.1 subfigure (b) 所示，在 TF-QKD 中，Alice 和 Bob 产生用秘密比特和基矢进行相位编码态，发送给Charlie进行干涉测量。 当探测器 $D_0$ 或者 $D_1$ 响应的时候, Alice 和 Bob的 粒子的相位分别处在正关联或者反关联，但是除了 Alice 和 Bob 外，Charlie 无法确切知道 Alice 和 Bob 的粒子是 $0$ 还是 $1$。具体来说，TF-QKD密钥分发时需要一致的相位才能产生有特定关联的干涉响应，Alice和Bob随机地从半开区间$[0,2\pi)$中选择一个相位值$\rho_a$和$\rho_b$。将$[0,2\pi)$平均分成$M$份子区间
$$\Delta_k=2\pi/M$$
其中，$k=\{0,1,…,M-1\}$。如图 Fig.1中 subfigure(c) 所示，这时候 $\rho_a$ 和 $\rho_b$ 将分别落在某一个子区间 $\Delta_{k(a)}$ 和 $\Delta_{k(b)}$ 中，当 Allice 和 Bob 的随机相位 $\rho_a$ 和 $\rho_b$ 落在相同的相位子区间中时，即 $\Delta_{k(a)}=\Delta_{k(b)}$， 称这时他们制备的编码态是一对 twin field。在Alice和Bob公布随机相位的子空间 $\Delta_{k(a,b)}$ 和编码基矢时，他们保留 twin field的编码态，而丢弃不是 twin field的编码态。因为只保留了 twin field的编码态， TF-QKD 会引入一个固有的量子比特错误率，
$$E_M=\frac{M}{2\pi}\int_0^{2\pi/M}\sin^2(\frac{t}{2})d t =\frac{1}{2}-\frac{\sin(2\pi/M)}{4\pi/M}$$
随着 $M$ 的增加，$E_M $ 趋于0，但是匹配成功的概率正比于 $\frac{1}{M}$. 图 Fig.1 中 subfigure (a) 的中深粉色部分取得就是 $M=16$, 这时 $E_M=1.275\%$。如图 Fig.1 subfigure (a) 中 TF-QKD 在传输距离为 0 KM时候的成码率比之前版本的 QKD 协议要低，就是因为 twin-field 的固有错误率。
如图 Fig.1所示，subfigure (a) 表示的是各种 QKD 协议的传输距离和成码率的关系。曲线Ⅰ表示的是Decoy-state MDI-QKD 协议的成码率跟传输距离的关系, 曲线Ⅱ表示的是 MDI-QKD 协议的成码率跟传输距离的关系，曲线Ⅲ表示的是 single-photon 版本的 QKD 协议的成码率跟传输距离的关系， Ⅳ表示的是secret-key capacity (SKC) bound。TF-QKD 曲线和 Ideal TF-QKD 曲线表示的是本文提出的协议的成码率跟传输距离的关系，具体的模拟参数在右上角表示，其中$P_{dc}$表示暗计数，$\eta_{det}$表示探测效率，$e_{opt}$表示光学错误率，$f$表示纠错效率。剩下的圈圈、三角形、正方形等表示以往的实验所得到的结果。图中深粉红区域表示根据现实实验参数 TF-QKD 在 340 KM 距离可以超越 SKC bound，浅粉红区域表示 Ideal TF-QKD 在 200 KM 之后可以超越 SKC bound。subfigure (b) 表示的是协议过程，Alice和 Bob 制备编码态发送给 Charlie，进行 Decoy-state MDI-QKD。LS: light source, IM: intensity modulators 用于实施 decoy-state, PM: Phase modulators 表示相位调制器， VOA：variable optical attenuators, 用于调节输出的光的强度。subfigure (c) 表示的是离散的相位空间，用于在公开相位阶段识别 twin field。
如图Fig.2所示，subfigure (a) 是相位编码的BB84协议， subfigure (b) 是 subfigure (a) 的展开，光源 LS 发出的光经过一个 BS 后分别经过Alice和Bob的编码，最后在一个 BS 上进行干涉，传输距离是 $L$。 subfigure (c) 相当于把 BS 放在不可信的 Charlie 上，可以把传输距离提高到了 $2L$。
假设在 Charlie 测量完之后，Alice 和 Bob 公开全局相位 $\rho$ 不会增加 Eve 的信息，可以估计 TF-QKD 的成码率为
$$R_{TF-QKD}^{(-\rho)}(\mu,L)=\frac{d}{M}[R_{QKD}(\mu,\frac{L}{2})]_{\oplus E_M}$$
总结和评论
SKC bound 成码率 $R \varpropto \eta$, TF-QKD 提出了一种不需要中继（repeater）就可以突破 SKC bound 的新的 QKD 协议。提高成码率的关键在于采用了干涉测量，相比于同样将测量设备放在中间的 MDI-QKD 需要两个探测器同时响应来预报量子关联的存在，TF-QKD 只需要一个探测器的响应，因而成码距离 $R \varpropto O(\eta)$. 在 M. Lucamarini, et.al 的这篇文章发表后，清华大学和中国科学技术大学的 王向斌 教授在一周内就comment了他们的这篇文章，并提出了攻击方案。紧接着清华大学的 马雄峰教授、清华大学和中国科学技术大学的 王向斌 教授 分别在arXiv 上发布了修改版TF-QKD协议 《Phase-matching quantum key distribution》和《Sending or not sending: Twin-field quantum key distribution with large misalignment error》，日本东京大学的 Tamaki 联合 Hoi Kwong Lo 和 M. Lucamarini 等人在一篇《Information theoretic security of quantum key distribution overcoming the repeaterless secret key capacity bound》的arXiv文章提出了改进版的TF-QKD*并给了安全性证明。TF-QKD在这么短的时间内吸引了众多量子密码专家的研究，足以见其重要性。
作者注：本文整理的相关文献已经添加链接，需要的读者可根据链接下载，图片来源于原文章。本文已授权Qtumist (量子客) 刊登，仅供读者学习查看。
评论(24)
赞一个！
谢谢支持！
请教一下，TF-qkd中，他说第三方节点测量的是单光子干涉事件，而MDI测量的是双光子干涉，在装置图中TFQKD是远程的两个激光器，如何能够使得两个独立发光的激光器进行单光子干涉，且如何随机选择定义的相位值呢？谢谢。
这个实验中的满足匹配条件的随机相位是通过后选择实现的。对于单个探测器响应的事件，Alice和Bob 公开相位之后，选择处在满足匹配条件的 phase slice 的相位,这时候认为他们处在一个正确的相位值，即Twin-Field。当然，这会引起一个错误，在数据处理的时候会把这个错误考虑进去。单光子干涉事件，是文章中的等效协议中的，一个可信的第三方发送单光子，经过BS分束之后，Alice，Bob分别添加相位编码，之后再在Eve的节点干涉。事实上Alice 和Bob 的激光器发送的是弱相干态，是各种光子数态的混合，不是Alice和Bob都发送单光子。正确的干涉事件，考虑的是Alice和Bob发送的光子处在不能区分到底是Alice还是Bob发送的单光子。
您好，请教一下，为什么ρa和ρb是random的，然后再后选择，选择在相同phase slice中的twin field呢？谢谢。
相同的phase 下的twin field的干涉，意味着Alice和Bob的相位纠缠在一起了。根据探测器响应的情况，他们知道彼此的比特是相同的还是差了1
是的 文中是通过后选择出相同的匹配的twin field，不匹配的全部丢掉。但是我非常疑惑为什么不一开始就给一样的全局相位呢，然后再通过bit phase和basis phase进行编码，同样也可以根据探测器结果知道彼此的比特是相同的还是不同的啊
首先，只有在弱相干态的相位是随机的时候，编码的相位信息才是对于Eve来说没有意义的一个量。其次，假如Alice的相位随机，而Bob的相位和Alice的相位保持一致，那么这就相当于原文中的子图b的情况，两条光路共用一个光源，然后通过一个BS分束，之后Alice和Bob分别编码。但是这是一个理想情形，或者是文章正是要通过 TF 的技术实现这样的理想情形。
好的 多谢!
大家好，我想请教一下，这里的公式(1)的错误率为什么会这样求呢？这个积分的含义该如何理解呢？
您好，我在TF-QKD相关文献中都看到了说: TF-QKD can provide a key rate scaling with $\sqrt{\eta}$ because it only requires singles, i.e., one photon (either from Alice or from Bob) reaches the node C. 我想请教一下，应该如何理解这种只有一个光子到达Charlie端的情况？只有一个光子到达为什么还能产生密钥？还是说这句话表达了其它的意思?
文中使用的是单光子干涉，单光子是从两个光路经过的。光路的相位差决定了探测器的响应情况，而信息是编码在光路的相位中的。
能否理解为，两个光路经过的光子的光强总和达到单光子光强的级别即可进行单光子干涉，而不是像MDI-QKD那样必须要两个当光子进行贝尔态测量？
这篇文章使用就是弱相干态，MDI-QKD也是使用的弱相干态。这跟安全性分析有关，即使采用的是平均光子数为1的弱相干态，分析成码率的时候，用于成码的部分依然只考虑单光子干涉。和MDI-QKD的区别就是单光子干涉和双光子干涉。
好的，理解了，非常感谢！
您好！想问一下这个TF协议可以用在QKD和经典光的共传上么？当我们分析量子信号所受的来自经典光信号的自发拉曼散射噪声时，相比于TF协议自己的暗计数，这个自发拉曼散射噪声计数大了2个数量级，严重影响QKD的密钥生成率和安全传输距离，是不是意味着两者的共传对应用TF协议的QKD其实是不现实的。
抱歉，我对和经典光共传不很清楚，无法回答。
作者您好！我想请教一下，错误率EM为什么等于这个式子，这个积分里面的为什么是sin2(t/2)，或者哪篇文献里面提到这个呢
这是通过单光子在BS干涉后出现在输出光路的概率算出来的。相位差是0和pi时，只能在其中一个路径输出，而其他值的时候，可以出现在不同路径。算下概率就可以了。
谢谢您这么及时的回复！我今天看了下量子光学课本，发现是我量子光学没学好，看了下马赫曾德干涉仪那一节，终于搞明白了。sin2(t/2)就是您说的那个输出光路的概率
你好，请问一下charlie端的PM起什么作用？另，在后选择相位后，Alice和Bob知道他们的相位在相同的相位期间，之后怎么成码？只是根据他们的相位相同或相差pi来编码01吗？如果是，这两个态应该是正交的吧？
这个理论真是很聪明 单光子干涉都学过 都没有想到
那个全局相位是啥呀？为啥公布这个有可能增加EVE的信息？
您好，请问一下该协议是否用到了纠缠