CN112688780A - 一种基于离散变量的qkd密钥协商方法 - Google Patents

Abstract

一种基于离散变量的QKD密钥协商方法，具体包括以下步骤：Alice和Bob对各自端的筛后密钥块X1、Y2结合所共享的纠错码信息进行组合，得到待编码的密钥块序列；Alice和Bob两边同时对密钥块序列进行编码操作，计算协商信息发送给译码端进行译码操作；Alice作为编码器计算密钥块X1的协商信息，同时接收Bob发送过来的对Y2计算的协商信息，结合X2进行译码；Bob在计算密钥块Y2对应的协商信息的同时，结合收到的对Alice发过来的对X1计算的协商信息与Y1进行译码；获取协商密钥。与现有技术相比，本发明的密钥协商方法，采用并行计算，减少传统密钥协商方案结构上的不对称性对协商速率的影响，充分利用通信双方的计算资源，同时提高系统的吞吐量。

Description

一种基于离散变量的QKD密钥协商方法

技术领域

本发明涉及通信双方协商密钥编解码技术领域，特别涉及一种基于离散变量的QKD密钥协商方法。

背景技术

量子密钥分发（Quantum Key Distribution,QKD）系统由一个发送端和一个接收端(Alice 和Bob)构成，其光学与硬件数据处理部分获得原始密钥信息，这些原始密钥信息通过数据后处理工作，包括对基、密钥协商、保密放大等环节获得一致且安全的密钥。

密钥协商是QKD系统的一个重要信息处理步骤,其目的是将合法通信双方（Alice和Bob）密钥中因器件不完善、信道和环境的影响、Eve的窃听等因素造成的随机错误比特进行纠正，最终获得一致的加密密钥。密钥协商实际上是通信双方利用协商信息完成密钥纠错的过程。根据信息传输载体的不同，可以分为离散变量的量子密钥分发（Discretevariable QKD,DVQKD）和连续变量的量子密钥分发（Continuous variable QKD, CVQKD）。在密钥协商中，利用纠错码技术设计高效的密钥协商算法，一方面可以保证加密密钥的一致性，另一方面也可以减少协商中密钥信息的泄露量。寻求性能优良的纠错码及纠错算法对于提高密钥协商性能具有很大的作用。目前在DVQKD中主要用的纠错码是LDPC码及Polar码，其中Polar码是一种基于信道极化理论的线性分组码，是针对二元对称信道（BSC,Binary Discrete Symmetric Channel）的严格构造码，且编译码复杂度低。

现有技术情况：

现有DVQKD系统中基于Polar纠错码的密钥协商方法存在下面几个问题：

1.密钥协商方案的协商结构不对称，密钥协商的处理集中在一方，影响密钥处理速率及计算资源的利用。

2.密钥协商方法的实现模式计算量及延迟大，且无法向后兼容，即不支持更优的译码算法来进行译码性能的优化，无法直接升级更新的译码算法。

3.基于Polar码的DVQKD协商方法的译码算法主要采用SC或者SCL译码算法，纠后误码率需进一步降低以获得较好的协商效果。

发明内容

针对现有技术存在以上缺陷，本发明提供一种基于离散变量的QKD密钥协商方法如下：

本发明的技术方案是这样实现的：

一种基于离散变量的QKD密钥协商方法，包括前期通信双方Alice 和Bob 根据传输的信道特征构造纠错码，其特征在于，所述密钥协商方法采用双向协商的机制进行，具体包括以下步骤：

1）Alice 和Bob 对各自端的筛后密钥块X1、Y2结合所共享的纠错码信息进行组合，得到待编码的密钥块序列；

2）Alice 和Bob两边同时对密钥块序列进行编码操作，计算协商信息并通过认证的无误码经典信道发送给译码端进行译码操作；

3）Alice作为编码器计算密钥块X1的协商信息，同时接收 Bob发送过来的对Y2计算的协商信息，结合X2进行译码；Bob在计算密钥块Y2对应的协商信息的同时，结合收到的对Alice发过来的对X1计算的协商信息与Y1进行译码；

4）Alice 和Bob双方通过步骤3）的编译码获取协商密钥，

其中，X1，X2表示Alice端不同的筛后密钥块，Y1，Y2表示Bob端不同的筛后密钥块，X1与Y1对应，是以X1为基准对Y1进行协商；X2与Y2对应，是以Y2为基准对X1进行协商。

优选地，所述纠错码采用Polar码，所述步骤3）包括Alice端具体的编译码过程如下：

1）Alice端产生k位真随机数串，根据两端所共享的纠错码信息(冻结比特位及冻结比特值)，混合得到长度为N的比特串u，然后对u进行编码得到比特串w，最后将筛后密钥x与w逐位异或得到协商信息 f，并将 f 发送给Bob（f仅代表x与w不同的比特但并未携带x的信息）；

2）Bob端收到协商信息 f 后，将 f 与筛后密钥y异或得到比特串z，然后根据已共享的纠错码信息译码得到u，对u编码得到w，最终将w与f逐位异或得到与Alice相同的比特串x，同样的，Bob端具体的编译码过程与Alice端编译码过程一致。

优选地，所述构造纠错码的过程中包括确定共享的纠错码信息，具体的纠错码构造确定信息位的计算是采用巴氏参数法进行，复杂度为

，其中采用E.Arikan提供的迭代公式得到信息位，将计算出的 N 个子信道的巴氏参数进行排序，选取巴氏参数最小的 K 个子信道传输信息位作为k位真随机数串，剩余的M个信道传输冻结位，其中，M=N-K。

优选地，所述Alice 和Bob双方的编译码加入了CRC校验比特，将信道编译码和CRC进行联合检测译码。

优选地，所述信道编译码和CRC进行联合检测译码的过程为：Alice 和Bob收发双方约定相同的生成多项式：

进行CRC校验码的生成及备选码字的校验，

发送端Alice的信息比特对

做除法，余式即为CRC校验码，并将CRC校验码附加在信息比特后组成K长的信息比特然后进行Polar编码，

在接收端Bob经过SCL译码得到L组备选码字后，分别用备选码字对

取余，结果为0，则说明该组码字正确，其中，L是SCL译码过程中译码的搜索宽度。

与现有技术相比，本发明有以下有益效果：

1. 本发明的一种基于离散变量的QKD密钥协商方法，采用并行计算，减少传统密钥协商方案结构上的不对称性对协商速率的影响，充分利用通信双方的计算资源，同时提高系统的吞吐量；

2. 在DVQKD密钥协商中采用理论上可达到信道容量的极化码（Polar码）作为纠错码，采用CRC-SCL译码算法来优化纠错性能，相比于目前针对DVQKD密钥协商中使用的SC,SCL算法在相同的安全性及泄漏量的条件下纠后误码率（BER）可以降低超过一个数量级；

3. 本发明采用的协商方式是通过共享Polar码的冻结比特及冻结比特值进行协商，相对于现有方案中共享冻结比特位的实现方式具有相同安全性的同时有更低的延迟。并且，该实现方式可以向后兼容，可以支持以树图为模型的Polar译码算法，具有更优的适用性及更多译码算法优化的可能性。

附图说明

图1为本发明基于离散变量的QKD密钥协商方法的原理框图；

图2为本发明密钥协商算法的实现流程图；

图3为本发明实施例密钥协商算法的实现流程图；

图4为本发明CRC-SCL编译码链路框图；

图5为本发明CRC-SCL算法纠错后密钥的BER性能图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明进行清楚、完整地描述。

如图1所示，一种基于离散变量的QKD密钥协商方法，包括前期通信双方Alice 和Bob 根据传输的信道特征构造纠错码，然后Alice和 Bob进行编译码等信息处理操作完成对筛后密钥的纠错，最终得到两端一致的密钥，所述密钥协商纠错方法采用双向协商的机制进行，具体包括以下步骤：

1）Alice 和Bob 对各自端的筛后密钥块X1、Y2结合所共享的纠错码信息进行组合，得到待编码的密钥块序列；

2）Alice 和Bob两边同时对密钥块序列进行编码操作，计算协商信息并通过认证的无误码经典信道发送给译码端进行译码操作；

3）Alice作为编码器计算密钥块X1的协商信息，同时接收 Bob发送过来的对Y2计算的协商信息，结合X2进行译码；Bob在计算密钥块Y2对应的协商信息的同时，结合收到的对Alice发过来的对X1计算的协商信息与Y1进行译码；

4）Alice 和Bob双方通过步骤3）的编译码获取协商密钥，

其中，X1，X2表示Alice端不同的筛后密钥块，Y1，Y2表示Bob端不同的筛后密钥块，X1与Y1对应，是以X1为基准对Y1进行协商；X2与Y2对应，是以Y2为基准对X1进行协商。

本发明基于双向来进行密钥协商，充分利用两端的计算资源减少一端的等待时延，双边仅是方向相反，操作完全对称。图1中给出整体方案的主要信息处理模块的关系，下面将详细对其中具体的实施过程进行表述。在下述的描述及分析中针对单边的协商过程进行。在本方案中，采用Polar码作为方案的纠错码。在具体实施中两端共享的纠错码信息是由所设计的Polar码确定的冻结比特的位置和对应的值，编码和译码部分是基于Polar码的编译码方法。

在实施密钥的协商纠错时，编译码算法的实现流程如图2所示。该图及对应的流程仅描述一次协商（以Alice端为基准对Bob端进行协商）的具体实施过程，另外一个方向也类似处理。对应的数据处理流程如下：

1）Alice端产生k位真随机数串，根据两端所共享的纠错码信息(冻结比特位及冻结比特值)，混合得到长度为N的比特串u，然后对u进行编码得到比特串w，最后将筛后密钥x与w逐位异或得到协商信息 f，并将 f 发送给Bob（f仅代表x与w不同的比特但并未携带x的信息）；

2）Bob端收到协商信息 f 后，将 f 与筛后密钥y异或得到比特串z，然后根据已共享的纠错码信息译码得到u，对u编码得到w，最终将w与f逐位异或得到与Alice相同的比特串x，

根据上述数据处理流程，如图3所示，给出一个简单的实施例，其中Alice端的随机数串

，筛后密钥

，纠错码信息：冻结比特位{0,2,4}，冻结比特值0，筛后密钥

，

本发明实施模块主要包含纠错码构造确定共享的纠错码信息以及密钥协商的编译码部分，下面主要描述该两部分内容。

1. 构造纠错码所确定共享的纠错码信息

本实施例针对DVQKD系统，基于BSC信道(Binary Discrete Symmetric Channel二进制离散对称信道)来模拟量子信道进行算法方案的设计，所以在算法中似然比信息为：

，对数似然比信息为：

，其中用W: X→Y表 示 二 进 制 离 散 无 记 忆 信 道 ， 信 道 转 移 概 率 为W(y|x), ,信道输入集合X={0,1}。在具体的纠错码构造确定信息位的计算是采用巴氏参数法Z(W)来衡量信道的可靠性，其中 采用最大似然判决，复杂度为

，其中采用E.Arikan提供的迭代公式得到信息位。将计算出的 N 个子信道的巴氏参数进行排序，选取巴氏参数最小的 K 个子信道传输信息位，剩余的M (M=N-K)个信道传输冻结位。

2.编译码算法协商两端密钥信息

在本实施例中，将CRC（Cyclic Redundancy Checks，循环冗余校验码）校验比特加入到编解码系统中，将信道译码和CRC进行联合检测译码，通过CRC校验来提高译码性能。即，译码部分是在SCL（Successive Cancelation List）译码算法的基础上，增加CRC来优化译码性能，称为CRC Aided SCL，可叫作CRC-SCL算法。在 CRC-SCL算法中，将 CRC校验位作为信息码元的一部分进行极化码编码。在译码端，先由 SCL 译码算法产生备选译码码字，再对备选译码序列依次进行CRC校验。在本方案中 CRC 和Polar码编码一起当做编码模块，将Polar码的SCL译码和 CRC 校验一起当做译码模块，所以方案中编译码链路框图如图4所示，其中，基于Polar码的编译码模块是经典的算法，方案中不再赘述。在本方案实施过程中，进行CRC校验时，收发双方约定相同的生成多项式：

进行CRC校验码的生成及备选码字的校验。发送端的信息比特对

做除法，余式即为CRC校验码，并将校验码附加在信息比特后组成K长的信息比特然后进行Polar编码。在接收端，经过SCL译码得到L组备选码字后，分别用备选码字对

取余，结果为0，则说明该组码字正确（L是SCL译码过程中译码的搜索宽度）。方案中对于生成多项式

的选择如表1。

表1不同SCL译码宽度下的CRC生成多项式

另外，在方案具体实施时，SCL译码算法中基于概率的计算优化为基于LLR计算，用路径度量值衡量各条路径是否继续往下拓展，值对应着该路径所对应的译码序列的概率。路径度量值与LLR之间的关系：

其中，初始无候选路径时，路径度量值为0，即

。当备选路径超过L时，需要对路径度量值较小的路径进行剪枝操作，最终以路径度量值最大的路径经过的边作为译码输出。该计算公式事实上是对SCL译码可能错误的路径度量值增加一个乘法因子（对应条件2）或者将有确定错误冻结比特的路径度量值排除在外（对应条件3），如果将计算式中的减号变为加号，则最终译码结果以路径度量值最小的路径对应的比特作为SCL译码的输出。

在本发明的实现模式下，进行协商的码字不是Alice端和Bob端的筛后密钥x和y,是全新的比特串w，经过信息处理及编译码操作得到完全一致的协商后密钥串x或者y。进行一次的密钥协商过程中信息暴露量为传输的冻结比特位数M,计算量为一个译码操作和两个编码操作，延迟为一个译码操作和一个编码操作，通信量为待编码的比特串长度N。其中，Alice与Bob 通信的数据为协商信息f，由

得到

，其中

是经典Polar编码中的生成矩阵。所以Eve关于x 的信息量取决于f 与

的最小信息量，即使经典信道是公开的，Eve完全知晓 f，但Eve只知道u的M 比特冻结值，所以最多只知道关于

的M 比特信息量。

目前基于Polar码的DVQKD密钥协商方法大多采用SC译码算法或者SCL译码进行，所以在本方案进行性能仿真时，提供了几组不同参数下的纠错性能。如图5所示，提供了所提方案中CRC-SCL算法纠错后密钥的BER性能（纠错后密钥中残留误差比特出现的概率），同等参数条件下，CRC-SCL译码具有更好的纠错性能。

图5 基于CRC-SCL译码的密钥协商BER性能从系统吞吐量来说，所提方案是对称的协商过程，一方面双方用了同等的计算量且并行执行不同的步骤，延时或者计算压力不集中在一方，另一方面密钥协商由两端并行处理，理想情况下系统吞吐量率增加为原来的2 倍，最终密钥生成率也能提高为原来的两倍。所提方案能在很大程度上减缓增加密钥长度对协商速度造成的压力，在一定程度上也可以在不影响协商效率的情况下增加纠错码的码长来提高协商效率，最终达到系统在协商效率和吞吐率之间的平衡。

综合本发明的原理可知，本发明的一种基于离散变量的QKD密钥协商方法，采用并行计算，减少传统密钥协商方案结构上的不对称性对协商速率的影响，充分利用通信双方的计算资源，同时提高系统的吞吐量；在QKD密钥协商中采用理论上可达到信道容量的极化码（Polar 码）作为纠错码，采用CRC-SCL译码算法来优化纠错性能，相比于目前针对DVQKD密钥协商中使用的SC,SCL算法在相同的安全性条件下纠错性能提高至少一个数量级；本发明采用的协商方式是通过共享Polar码的冻结比特及冻结比特值进行协商，相对于现有方案中共享冻结比特位的实现方式具有相同安全性的同时有更低的延迟。并且，该实现方式可以向后兼容，可以支持以树图为模型的Polar译码算法，具有更优的适用性及更多译码算法优化的可能性。

Claims (5)

1.一种基于离散变量的QKD密钥协商方法，包括前期通信双方Alice 和Bob 根据传输的信道特征构造纠错码，其特征在于，所述密钥协商纠错方法采用双向协商的机制进行，具体包括以下步骤：

1）Alice 和Bob 对各自端的筛后密钥块X1、Y2结合所共享的纠错码信息进行组合，得到待编码的密钥块序列；

2）Alice 和Bob两边同时对密钥块序列进行编码操作，计算协商信息并通过认证的无误码经典信道发送给译码端进行译码操作；

3）Alice作为编码器计算密钥块X1的协商信息，同时接收 Bob发送过来的对Y2计算的协商信息，结合X2进行译码；Bob在计算密钥块Y2对应的协商信息的同时，结合收到的对Alice发过来的对X1计算的协商信息与Y1进行译码；

4）Alice 和Bob双方通过步骤3）的编译码获取协商密钥，

其中，X1，X2表示Alice端不同的筛后密钥块，Y1，Y2表示Bob端不同的筛后密钥块，X1与Y1对应，是以X1为基准对Y1进行协商；X2与Y2对应，是以Y2为基准对X1进行协商。

2.如权利要求1所述的基于离散变量的QKD密钥协商方法，其特征在于，所述纠错码采用Polar码，所述步骤3）包括Alice端具体的编译码过程如下：

1）Alice端产生k位真随机数串，根据两端所共享的纠错码信息，混合得到长度为N的比特串u，然后对u进行编码得到比特串w，最后将筛后密钥x 与w逐位异或得到协商信息 f，并将 f 发送给Bob；

2）Bob端收到协商信息 f 后，将 f 与筛后密钥y异或得到比特串z，然后根据已共享的纠错码信息译码得到u，对u编码得到w，最终将w与f逐位异或得到与Alice相同的比特串x，

同样的，Bob端具体的编译码过程与Alice端编译码过程一致。

3.如权利要求2所述的基于离散变量的QKD密钥协商方法，其特征在于，所述构造纠错码的过程中包括确定共享的纠错码信息，具体的纠错码构造确定信息位的计算是采用巴氏参数法进行，复杂度为

，其中采用E.Arikan提供的迭代公式得到信息位，将计算出的 N 个子信道的巴氏参数进行排序，选取巴氏参数最小的 K 个子信道传输信息位作为k位真随机数串，剩余的M个信道传输冻结位，其中，M=N-K。

4.如权利要求3所述的基于离散变量的QKD密钥协商方法，其特征在于，所述Alice 和Bob双方的编译码加入了CRC校验比特，将信道编译码和CRC进行联合检测译码。

5.如权利要求4所述的基于离散变量的QKD密钥协商方法，其特征在于，所述信道编译码和CRC进行联合检测译码的过程为：Alice 和Bob收发双方约定相同的生成多项式：

进行CRC校验码的生成及备选码字的校验，

发送端Alice的信息比特对

做除法，余式即为CRC校验码，并将CRC校验码附加在信息比特后组成K长的信息比特然后进行Polar编码，

在接收端Bob经过SCL译码得到L组备选码字后，分别用备选码字对

取余，结果为0，则说明该组码字正确，其中，L是SCL译码过程中译码的搜索宽度。

Images