張盛 孟增輝 左開偉 龔輝

（武警海警學院 浙江省寧波市 315800）

1 引言

抽簽由來已久，其應用范圍非常廣泛，適用于商業(yè)、政府、軍事以及教育等多個領域的眾多應用場景。抽簽系統(tǒng)的本質(zhì)是通過隨機抽取的方式保證參與抽簽的各方能夠以公平的方式獲得某種排序。抽簽最關鍵的性能指標是公平性，即保證參與各方獲取最大的隨機性，且即使有人作弊，也必須付出相應的代價。當前，各類網(wǎng)絡抽簽系統(tǒng)或軟件比較流行，但是，其本質(zhì)是基于網(wǎng)絡安全協(xié)議來保證其公平性。換而言之，傳統(tǒng)的網(wǎng)絡抽簽系統(tǒng)的安全性建立在數(shù)學密碼的基礎上。

量子密碼是近三十年來興起的一項新技術，其特點就在于具有理論上的無條件安全特性。與傳統(tǒng)的數(shù)學密碼相比，量子密碼的安全優(yōu)勢是毋庸置疑的。其中，量子擲幣協(xié)議作為量子密碼的一個應用分支，可以幫助網(wǎng)絡雙方在互不信任的前提下，實現(xiàn)一次公平的隨機數(shù)共享。正因為如此，通過合理的拓展，量子擲幣可被用于構建一個公平的網(wǎng)絡抽簽系統(tǒng)。

2 量子擲幣協(xié)議概述

擲幣協(xié)議最初是由Blum 于1981 年提出，兩年以后，Bennett 和Brassard 提出了第一個量子擲幣協(xié)議。雖然，Mayers 等人證明了理想的量子擲幣協(xié)議是不存在的，但是，跟經(jīng)典擲幣協(xié)議相比，量子版本顯然具有更高的安全性。一般而言，根據(jù)擲幣雙方的喜好值（0 或1）是否固定，可將量子擲幣協(xié)議分為強和弱兩個類型，固定喜好值的屬于強量子擲幣，反之則為弱量子擲幣。若其中任意一個擲幣方的偏好概率高達1，則意味著他（她）可以通過作弊方式得到自己想要的喜好值，且不會被發(fā)現(xiàn)。這種情況意味著其中一方可以完全控制協(xié)議，即擲幣失敗。

3 量子網(wǎng)絡抽簽系統(tǒng)

網(wǎng)絡抽簽系統(tǒng)的核心功能在于為參與抽簽各方提供一個公平的抽簽結果。一般而言，抽簽適用于任何存在資源競爭的場景，例如，技能比武、房屋銷售、資源分配等。當資源數(shù)量小于競爭者數(shù)量時，便可以滿足抽簽需求。在現(xiàn)實生活中，當競爭者都在場時，一次公平的抽簽可以很容易被實現(xiàn)。但是，假如一個或者多個競爭者不在場時，此時，就需要通過網(wǎng)絡抽簽來解決。因此，評價一個網(wǎng)絡抽簽系統(tǒng)性能好壞最重要的方法是利用現(xiàn)場抽簽的公平性來衡量。換而言之，使用某網(wǎng)絡抽簽系統(tǒng)完成一次抽簽的效果要等同于一次現(xiàn)場抽簽。一次公平的抽簽必須滿足以下條件：

（1）抽簽結果的公平性；

（2）抽簽結果的不可篡改性；

（3）任意一方不能完全控制抽簽系統(tǒng)。

在一次真實的抽簽應用場景中，抽簽結果的使用方法會因應用需求不同而不同，但是，無論怎么改變抽簽結果的使用方法，抽簽規(guī)則都必須提示公示給每一位參與者得知，且征得所有人的同意。例如，在軍事演習中，我們可以事先規(guī)定抽簽結果按照奇偶性分為兩類。而在出場順序抽簽中，我們可以事先規(guī)定出場順序按照抽簽結果從小到大依次排序。在本文中，我們將不考慮上述抽簽結果應用環(huán)節(jié)，而只考慮抽簽系統(tǒng)如何生成隨機且公平的抽簽結果。

抽簽結果的公平性意味著抽簽規(guī)則的合理性。假設存在某抽簽可以按照自己全部或者部分的意愿控制抽簽結果，則該抽簽系統(tǒng)是不合理的。換而言之，對于一個公平的抽簽系統(tǒng)而言，任意抽簽方都不能通過作弊的方式完全控制最后的抽簽結果。其次，抽簽結果應當具有不可篡改的特性。為了進一步保證公平性，任何抽簽方都不能對自己的抽簽結果進行否認和抵賴。最后，任意一方不能完全取得控制權也是一個合理的抽簽系統(tǒng)應當具備的特性之一。

3.1 抽簽方案

為了實施網(wǎng)絡抽簽，必須先構建一個量子網(wǎng)絡抽簽系統(tǒng)的整體架構，圖1 為本文提出的一種中心節(jié)點型的網(wǎng)絡結構。中心節(jié)點作為仲裁方，可與其余任意節(jié)點共同運行一次或多次量子擲幣協(xié)議，由量子擲幣協(xié)議的安全性來保證擲幣結果的公平性，擲幣結果則為抽簽結果。除中心節(jié)點外的其余節(jié)點則為參與抽簽各方，即抽簽方1，抽簽方2，…，和抽簽方n。

圖1：量子抽簽系統(tǒng)網(wǎng)絡結構

圖1 所示網(wǎng)絡一般為量子通信網(wǎng)絡，用于運行點對點量子擲幣協(xié)議。由于實際的量子通信信道存在一定的量子噪聲，如光子丟失和退相干，因此，本方案采用“ZZ2015”協(xié)議來產(chǎn)生抽簽結果。具體而言，仲裁方分別與抽簽各方運行多次“ZZ2015”協(xié)議，得到所有抽簽方的抽簽結果S，即S={s,s,…,s}。S 中任意元素s的取值為比特串，其中，比特串中的每一個比特位取值為運行一次“ZZ2015”協(xié)議產(chǎn)生的擲幣結果。比特串的長度由抽簽各方的總人數(shù)決定，例如，當n=8 時，比特串的長度為3，即仲裁方與任意抽簽方i 運行3 次“ZZ2015”協(xié)議即可。

3.2 點對點量子擲幣協(xié)議

實現(xiàn)本方案的關鍵在于采用合適的點對點量子擲幣協(xié)議，使得每一個擲幣結果是公平的，任意抽簽方都不能完全控制擲幣結果。雖然，量子擲幣協(xié)議的安全性超過了經(jīng)典擲幣協(xié)議，但是，其致命的問題在于不能抵抗噪聲，即其安全性在噪聲信道中完全歸零。因此，本方案采用“ZZ2015”協(xié)議來產(chǎn)生擲幣結果。

一般而言，量子擲幣協(xié)議在實際噪聲信道中運行時，擲幣雙方Alice 和Bob 可以采用如下策略來控制協(xié)議：假設Alice 是不誠實方，當Bob 公布自己的經(jīng)典比特后，Alice 隨即根據(jù)自己的喜好值，公布一個假的編碼信息。此時，若Alice 公布的制備基與Bob 的測量基一致，且信道中不存在丟失或者噪聲的話，Bob 的測量結果應該等于Alice 公布的編碼信息。但是，Alice 公布的編碼信息是虛假的，會以一定概率使得其與Bob 的測量結果不一致。當此情景出現(xiàn)時，Alice 可以信道噪聲為理由，逃過Bob 的檢測。換而言之，Bob 在噪聲信道中無法區(qū)分噪聲和Alice 的作弊行為，Alice可以完全控制擲幣結果，我們把這種情況定義為擲幣盲區(qū)（簡稱BA）。

擲幣盲區(qū)是導致大部分量子擲幣協(xié)議在噪聲信道中失效的根源，因此，“ZZ2015”協(xié)議引入了嵌套式結構，如圖2 所示，從根本上消除了擲幣盲區(qū)。當然，代價是犧牲一部分協(xié)議的效率。圖中p（i=1,2,…,n）表示不能抵抗噪聲的點對點量子擲幣協(xié)議，當n 個不能抵抗的點對點量子擲幣協(xié)議組成圖示的嵌套式結構時，便可以消除BA，即達到了容噪的目的。具體而言，當運行p時，假設沒有出現(xiàn)BA，則協(xié)議運行結束，產(chǎn)生可信的擲幣結果0（1），反之，則繼續(xù)運行協(xié)議p。從實用性考慮，本方案中的點對點量子擲幣協(xié)議p應選取能夠抵抗信道丟失的協(xié)議。協(xié)議的嵌套次數(shù)n也應該在運行之前約定好，因為n 越大，作弊的概率越高。

圖2：嵌套式量子擲幣協(xié)議結構

這樣的嵌套式結構可以抵抗消除BA，從而抵抗噪聲攻擊。當擲幣盲區(qū)出現(xiàn)時，假設其由真信道噪聲引發(fā)的概率為p，則其由欺騙方引發(fā)的概率為1-p。因此，當BA 連續(xù)出現(xiàn)n 次時，噪聲引發(fā)的概率則低至,而由欺騙方引發(fā)的概率高達1-p，此時，誠實方有充足的信心斷定對方有欺騙行為發(fā)生。

當然，使用該協(xié)議時，必須考慮到誤判情況的出現(xiàn)。當Bob 的測量結果與Alice 公布的信息不一致時，有可能是Alice 的欺騙行為導致，也有可能是真正的信道噪聲導致，此時，若Bob 將信道噪聲誤判為Alice 的欺騙行為，他將立即終止協(xié)議，因而產(chǎn)生了誤判。在實際應用中，必須平衡效率與安全性之間的關系。一般而言，嵌套的層級越多，即n的取值越大，則誤判的可能性越小，因為連續(xù)n 次出現(xiàn)噪聲的概率低至p，因此，當n 的取值增大時，Alice 的欺騙行為導致異常的可能性更大。同時，n 的取值越大，則Alice欺騙成功的概率也越大。因此，該協(xié)議實際上是犧牲了一部分協(xié)議的效率來換取安全性。

4 公平性分析

為了計算Alice 和Bob 各自最大的作弊成功概率，首先分析單次運行協(xié)議p，Alice 和Bob 各自的作弊成功概率。在無噪環(huán)境下，Alice 和Bob 最大作弊成功概率由以下不等式表示：

其中，T和T分別表示Alice 和Bob 所能采取的作弊策略，H和H分別表示Alice 和Bob 為誠實方。在噪聲環(huán)境下，Alice 和Bob 最大作弊成功概率則由以下不等式表示：

經(jīng)過計算，可得Alice 和Bob 的最大作弊概率為：

由此可見，Alice 和Bob 都可以利用噪聲提高自己的作弊成功概率。

對于Alice 或者Bob 的作弊能力，一般假定其可以采取不違背量子力學的任何作弊策略。另外，對于信道噪聲率p而言，一般只考慮p<0.5 的情況。因為當p>0.5 時，根據(jù)協(xié)議的對稱性，Alice 或者Bob 可以采取相反的策略以達到p<0.5 時的作弊效果。Alice 和Bob 的最大作弊成功概率可由以下兩個定理分別給出。

定理1：假設Alice 和Bob 運行嵌套式結構的迭代次數(shù)n=N，則Alice 的最大作弊成功概率為：

定理2：假設Alice 和Bob 運行嵌套式結構的迭代次數(shù)n=N，則Alice 的最大作弊成功概率為：

推論：Alice 和Bob 的最大作弊概率都小于1。?

圖3：Alice 和Bob 的最大作弊成功概率函數(shù)

圖3（a）表明，Alice 的最大作弊成功概率函數(shù)是關于信道噪聲p的遞減函數(shù)，且隨著迭代次數(shù)的增加，其作弊成功的概率會隨之增加。因此，為了提高成功概率，Alice必須想盡辦法降低信道噪聲。由于之前假定Alice 和Bob 可以采用任何不違背量子力學的欺騙策略，因此，Alice 可以用一條無噪信道替換掉現(xiàn)有信道，使得p=0，此時，她的成功概率最高。同理，圖3（b）表明Bob 的最大作弊成功概率函數(shù)也是關于信道噪聲p的遞減函數(shù)。Bob 亦可采用無噪信道替換的方式使得其作弊成功概率達到最大。

從表1 可以看出，即便Alice 和Bob 可以擁有不違背量子力學的一切能力，即他能替換掉任意一條量子信道，他也仍然不能完全控制協(xié)議。隨著當?shù)螖?shù)達到6 時，該協(xié)議的安全性已經(jīng)變得非常低，即Alice 或者Bob 都幾乎可以完全控制協(xié)議。因此，在實際應用中，必須嚴格控制迭代次數(shù)。

表1：協(xié)議在理想情況下的安全指標

由此可見，盡管該協(xié)議可以實現(xiàn)噪聲容忍，但是，協(xié)議的安全性和效率是一對平衡指標。換而言之，誤判率的提升可以提高協(xié)議的安全性，但是，協(xié)議的效率被犧牲了。當然，為了換取最高的安全性，協(xié)議的迭代次數(shù)n 可以被強制設定為1，此時，Alice 作弊成功的概率最低。但是，n 為1 時，協(xié)議的效率明細最低，即錯誤率達到最高。這種情況一般不會再實際應用中出現(xiàn)。

5 小結

本文提出了一個量子網(wǎng)絡抽簽方案，在該方案中，仲裁方與各抽簽方分別運行量子擲幣協(xié)議，產(chǎn)生一個多比特的擲幣結果，該結果可作為抽簽的依據(jù)。本方案采用嵌套式量子擲幣協(xié)議，每一個嵌套元素可以采用現(xiàn)有任意一個信道丟失容忍的協(xié)議，通過這樣設計，該量子網(wǎng)絡抽簽協(xié)議可以在實際噪聲信道中運行，實現(xiàn)公平的擲幣。結果表明，即使抽簽方具有無窮多的計算資源，他（她）都無法完全控制最后的抽簽結果。