在量子通信时代，“窃听风云”或将成为往事

（来源：科普中国）

转自：科普中国

科技工作者科普创作参考作品

前沿科技前瞻类

作品类型：科普演讲稿

本文由清华大学物理系龙桂鲁教授创作，属于量子信息领域科普作品，特别适合相关领域科技工作者聆听或阅读。

作品围绕量子通信原理、安全优势及原创成果展开，以通俗语言清晰解读量子密钥分发等科学知识。作品结合实例和数据，内容详实，层次分明，突出科技发展脉络、关键人物及事件。其结合科技发展历程，阐释前沿科技，重点强调发挥关键作用的科学家、科技成果等创作思路，可为量子科技领域科普创作、前沿理论通俗转化等提供参考。

量子通信不仅是保密通信的需要，而且是建设量子互联网的必需。基于这两个原因，量子通信一定会发展起来。

大家好！我是龙桂鲁，来自清华大学和北京量子信息科学研究院。今天和大家聊一聊神奇的量子通信。

首先介绍一下什么是通信。通信，简单的说就是信息的传输，把信息从一个地方传到另外一个地方。古代通信处于语言文字通信阶段，如马拉松跑步送信，面对面的交谈，还有烽火传信，也就是用烽火作为信号传递军情。

上左：电报诞生 上右：贝尔发明电话 中左：赫兹实验 中右：赫兹 下左：麦克斯韦方程 下右：马克尼与无线电

近代通信主要是电通信阶段，有几个重要的历史事件，如：1844 年美国发明家摩尔斯成功发出第一封电报；1876 年贝尔发明电话；1887 年赫兹发现电磁波并证实了麦克斯韦方程；1895 年马可尼取得无线电报专利。

第一台电脑

到 1946 年，第一台计算机在美国宾夕法尼亚大学诞生，开启了科学计算的大门，触发了更高级的通信机制——数字通信。

1989年12月，蒂姆·伯纳斯-李（TimBerners-Lee）发明万维网

当代通信是电子通信阶段，电子通信包括数字通信和互联网，人们使用手机上网就属于当代通信。

在香农定理中，S/N是信噪比，B是带宽，C为传输速率 图为克劳德·艾尔伍德·香农及其建立的通信模型（下）

所有这些通信，都满足通信领域最伟大的科学家香农所提出的著名的香农定理。香农建立的通信模型包括信源、发送设备、信道、接收设备和信宿，其中还有不可避免的噪声，他给出了一个噪声信道的最高可靠传输速率，即最多能传递多少信息。

不过，上面所说的通信只管信息的可靠传输，不管信息的安全性，安全性要靠密码实现。上图是一个双信道结构，由两个通信完成，上方信道为“密文传输”。比如滚筒式的滚轮密码：把纸条缠在滚轮上，其上有文字，将它展开以后就是密文，它通过一个经典信道传过去。

这里还有一个密码，它经过另外一个信道“密钥分发”来传输。在这里，密钥相当于滚筒的型号。一般来说，密钥分发用非对称密码算法完成，比如高级加密标准（AES）和“一次一密”。所有经典密码中，只有“一次一密”被证明是绝对安全、不可破译的。

现代的密码分析和计算机硬件的发展，对信息安全构成了严重威胁。在 2020 年，有西方媒体透露，西方集团伪装成中立国，把装有窃听后门的通信机器卖给了 120 多个国家，给这些国家造成了严重的信息泄露和损失：比如在 1982 年英国和阿根廷的马岛之战中，阿根廷就使用了这些带有后门的通信机器，信息泄露严重，最终导致战争的失败。

奇妙的量子世界

下面这是一张人的照片，将它不断放大，看到手是分米级，看到皮肤纹路是厘米级，每次 10 倍放大，最后就到了微米、纳米——这个量子力学发挥作用的尺度。量子力学就是原子、分子大小的微观体系所遵循的规律。

量子神奇在什么地方？我们从测量、量子纠缠、量子并行三个方面来看。首先，量子的测量和经典的测量完全不同，我用三条规律进行概括：结果受限、结果随机和状态改变。

上图左边圈中带有“加号”，它表示一个光子偏振的测量仪器。对微观体系来讲，我们测得的光子偏振最多只有两个结果，而经典的测量则可以有多个结果。比如这个“加号”测量仪器，水平的进去以后，出来的还是水平；垂直的进去以后，出来的还是垂直。这种情况是它本征态特有的状态，前后没有改变。

但是，如果水平的进了中间这个“叉号”的测量仪器，那它的结果就是随机的。它可能有两种结果：一个是斜杠的，一个是反斜杠的，这两种结果是完全随机的。

现在反斜杠的这个再进一个“加号”的测量仪器，它又会出现结果随机，对吧？有可能是水平的、也可能是垂直的。这是什么意思呢？就是说这个水平的东西，如果中间没有被人捣乱、没有被人窃听，那么再用“加号”测量的话，它应该还是水平的。但是中间如果有人窃听了，而且拿了个“乘号”的测量仪器，把它状态改变了的话，那结果就有 50%的可能性出现错误。总是就是三个点：结果受限、结果随机，还有状态改变。

其次，量子世界里有一个特有的性质：量子纠缠。它无法在日常经验里体会，比如上面 t=0 这个状态，我们看到的是水平、水平加上垂直、垂直。就是说这两个光子是两种状态的叠加，不能做因式分解，这种状态就叫做量子纠缠。

右边我写了三点。第一就是说即使分开很远，这个纠缠依然存在。我们把这两个光子一个放在地球上，一个放在月亮上，这时候已经拉得很开了，它们还是这种叠加状态。这种特性可以概括为“即使很远，纠缠仍在”。

第二就是要测量这种纠缠状态，必须把两个粒子放在一起测量。比如说这两个光子我可以构成四个 Bell-态。假如测量是水平，那这四种状态都有可能是水平，我分不出它是从哪一个状态里边出来的。那么就是说你要把它测量出来，就必须把两个粒子放到一块儿一起测量，才能得到它的状态。如果我拿到一个的话，我对这两个粒子的状态，信息是零。不像经典，如果有两个粒子，我拿到了以后我知道它一半的信息。这被称为“要想知态，需要全在”。

第三是“测量一个，坍缩关联”。对其中一个粒子进行测量，它的结果是关联的。如左边粒子是水平的，那一定知道右边粒子也是水平的；如果左边粒子是垂直的，右边粒子也一定是垂直的。如果有人去窃听，就会破坏这种关联，通过比较结果，就知道有没有人动了手脚。如果我们用这种纠缠对进行保密通信，只要不让窃听者同时拿到两个粒子，就可以保证信息的安全。

2N量级比特的信息量 2N量级的并行加速能力(260=1018)

量子世界最后一个重要的特有性质是量子并行。两个粒子可以有 00、01、10、11 四种情况，在量子里可以做成叠加态，同时把四个状态表示出来，经典只能表示其中一种状态。有 N 个粒子就是 2 的 N 次方，可以把 2 的 N 次方同时表现出来。

量子并行有两大优势。首先它的信息存储量大，有 2 的 N 次方量级比特的信息量；其次，它有并行处理能力，可以同时对 2 的 N 次方个状态进行操作。

《西游记》中的孙悟空有个本事，他拔 3 根毫毛一吹就变成了 3 个孙悟空。而“量子孙悟空”的本事比经典孙悟空还要大，一吹能变成 8 个“孙悟空”，即 2 的 3 次方。8 个孙悟空一块干活，肯定比 1 个孙悟空干活要快、要多。

这就是量子计算机比经典计算机快的原因：4 变成 16，5 变成 32，粒子数、比特数越多，并行能力就越大，能力就越强。

量子计算 量子通信 量子精密测量

利用量子体系，可以进行信息的处理、传输和提取测量，这就是量子信息。其中包括三大领域：量子计算和量子计算机、量子通信和量子精密测量，比如说潜艇用的原子钟这些。这些就可以比经典的要快很多、精密好多、安全好多。

严重威胁信息安全的量子计算

1980 年，Benioff 和 Manni 分别提出了量子计算的概念；1982 年，诺贝尔奖获得者 Feynman 提出了模拟量子体系的量子计算机；1985 年，Deutsch 指出量子计算的概念是准确的，具有普适性，并提出了量子并行的概念。量子计算机的概念就这样建立起来了。

1980-1994，提出建立概念和自由探索的 Benioff，Manin，Feynman，Deustch

1994 年前，大家都在靠自由探索做基础研究。1994 年和 1996 年，分别出现了两个重要算法：Shor 算法和 Grover 算法。

P W Shor（左） Lov Grover（右）

Shor 算法是做一个大数分解。在经典计算里大数分解很难，一个 300 位的大数，如果每秒运算 10 的 12 次方次，用传统计算机来做需要 15 万年，而量子计算机只要 1 秒。大数分解是现在密码学的基础，这轰动了整个密码界。

另外一个是 Grover 提出的无序数据库搜索。搜索一个庞大样本的数据库，如果用经典计算机需要 2 万年，用同样速度的量子计算机只需要 1 秒，这个算法对对称密码构成威胁。

这两个算法是一项重大突破，使得量子计算机一下成为全世界的研究热点。

我们组从 1998 年开始做量子信息的研究，第一个工作就是改进了 Grover算法。Grover 算法原来只有 180°，我们把它换成一个任意的角度。我们发现，这两个任意角度必须相等、相位匹配。

按照图上公式取这个角度，就能让 Grover 搜索的成功率达到 100%。后来就有人把这个算法叫龙算法，或者是叫 Grover/Long 算法。量子计算提出人 Benioff 还有 Grover 都在他们的报告里肯定了我们的工作。

在 2013、2016 年，有两组科学家证明，龙算法是精确优化的，而且是最简单的。

我们现在可以总结一下：在量子算法取得突破之后，如果有了量子计算机，现有的密钥分发的非对称密码算法将不再安全，将对现在的保密安全形成了严重的威胁。

2016 年以后，量子计算机的硬件也开始出现突破迹象。当年 IBM 推出了 5 比特的量子计算云平台，几个著名的国际大公司进入量子计算机的研究行列参与竞争。

2019 年，谷歌宣布在 53 比特超导量子计算机上用 200 秒完成超级计算机1万年的计算量，表现出量子计算机强大的能力。

2021 年 9 月，中国科学技术大学等多家高校院所实现了 60 超导比特的超导量计算机，也演示了这个量子霸权。同一时间，北京量子院研制了 503 微秒的量子比特，这是全世界寿命最长的超导量子比特。因此，我国在量子计算方面也是很先进的，处在第一梯队中。

采用新的密钥分发方法

量子计算机对我们的传统保密通信形成了威胁，主要是在密钥分发这个阶段。这个问题有两种解决方法：第一，采用量子通信的方法，把经典的密钥分发换成量子密钥分发；还有一个就是发展经典密码算法，使它能够抵抗量子计算机的攻击。

目前美国 NIST 在主导经典抗量子密码的制定标准，在 2020 年已经进行到第 3 轮，有了 7 种候选算法。但经典算法有一个缺陷，它只能证明现在还没有找到破译的方法，但不能证明破译这些算法的方法不存在。

因此 NIST 的首席科学家 Dustin Moody 表示：我们之所以选用不同的方法，就是要预防以后有人破译了其中一种。

量子通信，能做到吗？

接下来谈谈量子通信。从严格的定义上，量子通信跟经典通信是不一样的，它是广义的。移动量子态完成的任务都叫做量子通信，而经典通信是信息的传输。从经典通信的意义上来说，量子钞票、量子密钥分发、量子密集编码等都不是通信。

在上图的六种量子通信里面，我认为最主要的是两种：量子密钥分发和量子直接通信。其中量子密钥分发研究最多，也是离实用最近的；还有一个就是我和我的博士生刘晓曙在 2000 年提出的量子直接通信。

1984 年，首个量子密钥分发协议由美国人和加拿大人提出。双方协商一个随机数，挑选后确认没有窃听、是安全的，就把这个随机数作为密钥，再用于经典加密。目前在研究方面，中国在国际处于领先地位。2009 年，中科大郭光灿院士团队在芜湖建立了世界上第一个量子政务网。

2016 年，我国发射了世界上第一颗量子实验卫星；2020 年，我国做了第一个高轨道同步卫星的量子通信的可行性实验，王巍院士团队证明了在 3.6 万公里做量子密钥分发的量子通信是可行的。

传统保密通信的双信道结构

保密通信是双信道结构，有没有可能不用双信道，就用一条信道实现可靠通信、安全通信、保密通信呢？答案是可以的，这就是我们的量子直接通信。

龙桂鲁（左） 刘晓曙（中） 邓富国（右）

2000 年，我和我的博士生刘晓曙提出了第一个协议；2003 年，我俩及另外一位博士生邓富国提出第二个协议，这两个协议都是基于纠缠的。第三个协议是我和邓富国 2004 年提出来的，该协议基于单光子。

基于量子直接通信的保密通信

这是最早的三个量子直接通信的协议。有了量子直接通信，保密通信就是一条结构，一条信道的结构，而不是双信道结构了。

它有四个特点：第一，既可靠又安全；第二，经典通信实现的是香农理论，而量子直接通信实现的是维纳搭线信道理论；第三，它既可发现窃听，又可阻止窃听；第四，它的用途广泛，特别是在网络的结构中更有优势。

量子直接通信为什么不用加密就可以进行安全通信？

这是第一个协议，它就是利用纠缠对。只要不让窃听人同时拿到两个纠缠对，就能保证它的安全。我们直接把信息加载在 EPR 对里边，为了不让窃听的人拿到，分两步传输。第一步我们运用块传输技术，先把其中一个传过去，插入几个窃听的光子对做测量，再比对一下，这样我们就能发现有没有窃听。确认在第一队传输的时候窃听者没有拿到后，我们再把另一个传过去。把两个都拿到了以后放在一起测量，就可以得到信息了。这样就实现了可靠和安全通信。

英国皇家工程院的院士 LajosHanzo 评论说：量子直接通信发展了通信的理论和密码学，把香农理论保证的噪声信道下的可靠通信提高了一个更高的层次，为既有噪声又有窃听的信道下的可靠和安全通信。

这张图中黑色部分是香农理论保证的经典通信，是噪声信道下的可靠通信。有量子直接通信后，现在即有噪声，还有窃听，仍然可以进行可靠和安全的通信。

距离实用化的量子通信还有多远？

刚才说了原理，那么量子直接通信现在发展到什么地步了？前面我们讲了 QKD（量子密钥分发）的情况，这里着重介绍一下量子直接通信的情况。另外，从经典通信的意义来讲，量子直接通信就是通信，而不仅仅是密钥分发。

2016 年以来，清华大学和北京量子院的联合团队合作，提出了 5 种关键技术，解决了量子直接通信实用化中的一些关键难题。这些技术包括：完成定量安全性分析、高损信道编码、无量子存储方案、掩膜增容技术以及单向传输协议。

有了技术以后，我们在 2020 年研制出国际上第一台实用化的量子直接通信样机，在当年的中关村论坛作为重大成果发布。2021 年的国务院新闻发布会上，北京市副市长、秘书长靳伟在提到北京原创成果科技能力时，把量子直接通信作为四个世界级重大原创成果之一做了介绍。

网络方面，在 2021 年，上海交通大学陈险峰教授和江西师范大学李渊华教授的团队实现了 15 个用户的量子直接通信网络，这引起了很大的关注。

在使用这些通信技术的时候，一个最关键的技术是组网。在现有的情况下，如果要实现更远距离的量子通信，就要有量子中继和量子存储。

安全中继量子网络

现在还没有量子存储，这使它的应用受到了限制。我们提出了安全中继，把量子直接通信和经典密码结合起来。利用量子直接通信传输经典密码加密的东西，在经典中继这个环节有经典密码保护。这样我们可以在整个网络里组网，网络中任意两个端点都可以进行安全通信。于是就可以在现有条件下组量子的网络，一直到以后有了量子中继，仍然可以并行使用。

左：量子网络欧洲方案（Wehner et al., Science362, 303 (2018)）右：量子网络北京方案（龙桂鲁、薛其坤等，2020）

左边是量子网络欧洲方案，在没有量子中继通信的情况下，可以做一些基本原理的研究，但无法大范围使用。右边就是我们提出的量子网络北京方案，把红色部分加进去了以后，现在就可以组网。它具有 SDCA 的特点，可以用“山东国航”来记。S 是端对端的安全性，D 是对现有网络增加了窃听感知，C 是与现有网络完全兼容，A 就是将来有了量子互联网以后，仍然可以并行使用。

北京市在 2021 年 11 月 3 日发布了《北京市“十四五”时期国际科技创新中心建设规划》，明确提出重点支持开展量子信息前沿基础研发，将建成基于安全中继的城际量子示范网络。

下面我做一下展望。2021 年年初，包括张平院士、科学院外籍院士 V H Poor、工程院外籍院士沈学民等在内的 50 名国内外著名通信专家提出了 6G 白皮书。他们这样提到：如果量子通信能全面发展起来，它将在下一代安全通信方面发挥出巨大的潜力。

经典通信专家开始关注QSDC的潜力

如果我们将来可以把量子安全中继真正发展起来，在十年二十年以后进行组网，将基于安全中继、量子中继的城际量子网络，星地量子网络与星际量子网络组合在一起，然后把量子计算机、量子传感系统、量子通信的用户都连接起来，构成一个全球量子网络，就可以实现全球没有死角的安全通信。

全球量子网络建设思路

量子计算机可以实现算力重组倍增，增强计算能力；量子传感的互联和预警可以尽早发现火情等灾害。形成全球量子网络，就能实现单个量子计算机、单个传感没法实现的一些功能。

在这个建设过程当中，关键的环节就是量子通信。量子通信目前最大的作用可能是保密通信，与经典保密通信密码通信形成互补。经典通信靠数学，让你拿到了以后看不懂，而量子是进一步，让你拿不到它，就是有再强能力也破解不了。这是第一，安全通信的需要。

第二，它还是建设量子互联网的需要。将来有了量子计算机，有了量子传感要组网的话，一定要有量子通信的手段。基于这两个原因，量子通信将来一定会发展起来。

在这里也感谢中国科学院、中国工程院、科技部、教育部、基金委、北京市还有清华大学的支持。

谢谢大家！