加密数据上的连续变量量子计算-煤油灯科技

加密数据上的连续变量量子计算

煤油灯科技2022-08-13 07:50

摘要

对加密数据执行计算的能力是保护客户隐私的强大工具，尤其是在当今的云计算和分布式计算时代。在隐私方面，不幸的是，经典技术可以实现的最佳解决方案并非是无条件安全的，因为它们依赖于黑客的计算能力。在这里，我们从理论上研究，并通过高斯位移和挤压操作进行实验演示，这是一种利用连续变量的实用技术实现用户隐私安全的量子解决方案。我们展示了客户端和服务器之间的双向损失高达 10 公里，并表明仍然可以实现安全性。我们的方法提供了许多实际的好处(从量子的角度)，有一天可能会在未来基于云计算的网络中广泛采用这种量子技术。

1.引言

令人难以置信的是，全世界每天会产生 2.5 万亿字节的数据。事实上，据估计，世界上超过 90% 的数据是在过去 2 年内产生的。这些数据中的大部分都存储在世界各地的数据中心中，并通过云进行远程访问。由于云计算由第三方（例如亚马逊、Facebook）运营，这种信息加速的结果之一是需要更好地保护我们的隐私。原则上，云包含各种类型的数据，安全和隐私对这些数据至关重要。例如，个人的个人数据（例如医疗记录和信用卡信息）、跨国公司的商业机密和知识产权以及敏感的政府信息（例如，美国中央情报局（CIA）从亚马逊购买云空间）。因此，保护客户在云中的隐私是我们今天面临的核心安全挑战之一。

目前解决这一挑战的方法之一是同态加密。Rivest等人在 1970 年首次确定了对这种解决方案的需求。直到 30 多年后，Craig Gentry 在他的斯坦福博士论文中发现了完全同态加密。尽管近年来取得了很大进展，但最著名的完全同态加密实现对于今天的计算机来说是不切实际的。

人们可能希望将同态加密推广到量子计算的要求不那么高。如果限制要实现的量子操作的类别，则表明可以隐藏加密信息的恒定分数，该分数可以任意接近单位，同时只需要多项式开销。不幸的是，已经证明了完全安全、确定性的全同态量子计算只有以指数开销为代价才能实现。通过允许客户端和服务器之间的进一步交互，可以放宽量子同态加密的要求。Childs首先研究了这样一个方案，他概述了一个协议，允许有限量子能力的个人(客户)将量子计算委托给另一个拥有完全成熟的量子计算机的人(服务器)。这里的想法是这样的计算机最初只提供给少数人使用。IBM 最近展示了朝着这个方向取得的进展，IBM 提供了一台小型（5 量子位）量子计算机，用于在云中访问。开发这样一个协议的关键在于客户想要隐藏她的输入、量子程序和最终结果的一些子集。从传统观点来看，这样的计划甚至是可能的，这是令人震惊的。Broadbent等人的开创性工作建立在这个想法之上，在集群状态框架中，开发了通用盲量子计算的概念：一个满足上述所有三个标准的协议，只要求客户端能够从一个有限的集合中准备和发送单个量子比特。

此后，委托量子计算领域爆发了对理论进步和实验演示的极大兴趣。然而，满足客户的所有三个标准对此类协议的实验实现提出了严格的要求。人们可能希望通过放弃其中一项需求，在物理实现中需要更少的资源，同时仍然提供了迫切需要的解决方案。Fisher等人的有趣工作表明，如果客户端和服务器事先就程序达成一致，那么需要更少的量子和经典通信。这样的协议可以称为加密数据的量子计算。该方案的优点是允许人们以相对较低的开销对加密数据进行量子计算，即随机状态的生成和经典的密钥更新。

在本文中，我们提供了一种对加密数据进行量子计算的方法，该方法不需要具有挑战性的单光子源或单光子探测器，并且基于称为连续变量 (CV) 的不同类型的基板。 CV 提供了许多与其对应的量子比特相比的实际优势：确定性门实现、组件（如激光源和探测器）的低成本和可负担性、高检测效率（在室温下）、信息传输率高以及能够完全集成到当前的电信基础设施中。在这里，我们回答了客户端需要执行哪些门、客户端和服务器之间需要多少经典通信以及我们的协议中每个门需要多少经典/量子操作的问题。此外，我们提供了原理证明实验结果，强调了在电信波长超过10公里的光纤传输的损失的影响。

2.研究结果

2.1理论

我们的加密 CV 计算协议包括三个阶段（参见图 1）：加密阶段、程序阶段和解密阶段。我们现在将更详细地阐述。首先，客户端对其所需的输入执行加密操作，以限制服务器可以获得的有关初始状态的信息量。然后将状态发送到服务器，服务器执行双方都知道的一组预定门（对应于需要执行的程序）。最后，状态被发送回客户端，客户端能够执行解密操作，恢复所需计算的输出。为了讨论加密操作，我们首先定义 Heisenberg-Weyl 算子 $XQ=\exp\lparen-iQ\hat{p})$ 和 $Z\left(P\right)=\exp\lparen iP\hat{q})$ ，以及位移算子 $D\left(\alpha\right)=\exp(\alpha\hat{a}^{\dagger}-\alpha^{\ast}\hat{a})$ 其中 $\hat{q}$ 和 $\hat{p}$ 是规范的幅度和相位算子，分别服从海森堡的不确定性关系 $\lbrack\hat{q},\hat{p}\rbrack=i$ 。湮灭算符和产生算符分别由 $\hat{a}$ 和 $\hat{a}^{\dagger}$ 表示，并用 $\hat{a}=\left(\hat{q}+i\hat{p}\right)/\sqrt{2}$ 考虑将相空间中的随机位移应用于输入状态的动作；直观地说，如果位移是随机选择的，那么对于不知道位移参数的人来说，状态将在整个相空间中看起来混合和模糊。 ${1\over \pi}\smallint D（\alpha）\rvert\psi\rangle\langle\psi\rvert D^{\dagger}\left(\alpha\right)d^2\alpha=1$ 这可以通过调用适用于任何标准化状态的事实来变得严格 $\rvert\psi\rangle$ 。这向我们表明，在整个复平面上对应用于任何归一化状态的位移进行平均，得到一个与恒等式成比例的量。实际上，位移的均匀分布是非物理的，我们必须用一个足够快地消失的函数来代替它，以遵守某个能量阈值。对于固定能量，高斯分布将最大化所得状态的熵26，因此我们将自己限制为高斯分布。这可能使服务器能够提取有关输入状态的一些信息，但数量将基于高斯的宽度进行限制。在有限挤压和位移的限制下，对我们的协议进行正式的安全分析仍然是一个悬而未决的问题。

图1：加密数据的量子计算协议。我们的协议的三个阶段：加密、门和解密，说明了一个相干状态输入，其中我们包括客户端和服务器之间的两个方向的传输步骤。输入：用红框表示置换后的真空状态。加密：接下来，在绿色框中，一个随机位移被应用于初始状态，作为加密过程。通道:该状态通过一个高斯有损信道传输到服务器(传输 $t$ )，用右箭头表示。门：服务器应用所需的幺正(在我们的实验中是高斯位移或压缩操作)，用黄色框表示。通道:状态通过高斯有损通道发送回客户端，如图左箭头所示。解密:客户端应用解密操作来检索蓝色方框中描述的最终输出状态。

我们现在将注意力转向服务器，该服务器被要求对加密数据执行一些已知算法，原则上，该算法对应于一组通用的量子门。为了证明服务器可以执行这样的计算，只要证明我们可以实现一组通用的门就足够了。也就是说，我们需要证明集合 $G=\lbrace X\left(Q\right),Z\left(P\right),U_2\left(T\right),U_3\left(T\right),F,C_Z\rbrace$ ，其中 $U_k\left(T\right)=\exp(iT\hat{q}^k)$ ， $F=\exp\lbrack{i\pi\over 4}\left(\hat{q}^2+\hat{p}^2\right)\rbrack$ ，并且 $C_Z=\exp\lparen i\hat{q}_1\otimes\hat{q}_2)$ 可以通过适当选择的操作实现和解密。请注意，在这组门中，只有 $U_3\left(T\right)$ 门不是高斯门，我们只需要这一个非高斯门即可实现通用量子计算。然而，值得注意的是，非高斯运算的实现非常具有挑战性，并且在设计基于 CV 的稳健量子计算机方面仍然存在许多实际挑战。除了 $U_{3}$ ，所有这些操作都具有对应于位移的解密算子（参见表 1），这允许直接组合门。为了更清楚，我们考虑一个简单的例子，即 $Z\left(T\right)$ 门。加密操作 $D\left(Q,P\right)$ 包括幅度和相位正交的转换，它可以分解为 $X\left(Q\right)$ 以及 $Z\left(P\right)$ 门，后者与 $Z\left(T\right)$ 通勤，因此将简单地滑过门。考虑 $X\left(Q\right)$ 门的应用：该门通过 $Z\left(T\right)$ 门滑动到 $X\left(Q\right)Z\left(T\right)=e^{−iQT}Z\left(T\right)X\left(Q\right)$ 的阶段。因此我们可以构造一个解密操作为

表 1 量子计算门和相应的解密操作。

对于单模门对应的加密操作D ( Q , P ) 和D 1 ( Q 1 , P 1 ) D 2 ( Q 2 , P 2 )对应于每个门的解密操作被列出，直到一个阶段双模门。

其中 $C\left(Q,P,T\right)=\exp\left[iQP/2−QT\right]X\left(−Q\right)Z\left(−P\right)$ 是解密门，当应用它时，将撤销初始加密操作的效果。然而， $U_{3}$ 运算中存在的 $U_{2}$ 解密门不容易滑过傅里叶门 $F$ ，因此我们必须让服务器在运行中进行正确处理；这可以通过类似于参考文献中提出的离散变量协议的方式实现。去表演 $U_{3} （ T)$ ，客户端改为向服务器发送两种模式，第一种是加密状态，第二种是状态 $U_2\left(A\right)Z\left(Q′\right)|0>p$ ，其中 $A$ 和 $Q ′$ 分别为随机选择， $∣ 0 > p$ 表示动量本征态；除了通常与隐形传态相关的问题，即引入额外的高斯噪声之外，有限挤压不会出现任何问题。然后，服务器能够实现 $U_3\left(T\right)$ ，如图 2 中的电路所示。在客户端发送两种模式和B的值之后，服务器在应用逆傅里叶门之后执行所需的U 3 ( T ) 门，然后将两种模式与受控相位门进行交互，由垂直线指示。服务器然后测量第一个模式，并在执行 $U_2\left(B\right)$ 门之后获得剩余模式的所需状态 $U_3\left(T\right)\rvert\psi\rangle$ ，直到位移校正，前提是 $B = - 3 Q T - A$ 。可以查看 $- 3 Q T$ 的这种分解作为一个加性高斯白噪声通道，其中输入由噪声源 $A$ 调制；随着 $A$ 的方差增加，通道容量接近零，因此服务器无法获得有关加密参数 $Q$ 的信息。请注意，额外的修正取决于 $m_{1} A$ 的值，因此服务器必须将获得的 $m_{1}$ 的值传达给客户端，因此需要一轮经典通信才能完全实现。在理想隐形传态的极限和控制 $A$ 和 $Q^{\prime}$ 选择的高斯概率密度函数的无限方差下，可以表明该交互协议不会危及加密;这个证明与引用的参考文献23中的证明相同。同时存在有限挤压和位移的证明仍然是一个公开的挑战。

图 2：实现立方门的服务器。演示在服务器持有的所需 qumode 上的实现的量子电路（顶部线）。客户端能够通过发送辅助 qumode（底线）即时纠正 $U_3\lparen T)$ 的解密操作中的 $U_2\left(-3QT\right)$ 门。通过随机选择 $A$ 和 $Q^{\prime}$ 并隐藏这些参数，客户端能够让服务器执行解密而不泄露有关加密参数 $Q$ 的信息。

2.2实验过程

与线性相空间位移和压缩变换相关的 CV 量子门允许对仅基于高斯量子态和高斯运算的加密数据进行量子计算的实验测试。这种操作可以在 CV 量子光学领域内以高保真度执行。在下文中，我们因此使用高斯位移和压缩操作来测试加密数据上量子计算的基本原理，即我们实现一个服务器执行第一个 $Z$ 和 $X$ 门，第二个执行与 $U_{2}$ 门相关的压缩门。

我们首先使用图 3a所示的实验装置测试加密操作的有效性。客户端位置的量子信息以光的相干状态的形式生成 $∣ φ > = ∣ α 〉$ 。为了同时测试许多不同相干态激发的协议，我们通过一组电光调制器 (EOM) 产生了一个相干态集合，从而准备了高斯集合 $\rho=\smallint G_{in}\left(Q,P\right)D\left(Q,P\right)\rvert0\rangle\langle0\rvert D^{\dagger}\left(Q,P\right)dQdP$ ，其中 $G_{in}\left(Q,P\right)$ 是高斯概率具有方差 $V_{in}$ 的密度函数. 然后，通过使用由两个独立的高斯白噪声源驱动的相同的两个 EOM 对相干状态集合应用随机相空间位移来加密该信息，对于幅度 $\left(Q\right)$ 和相位 ( $Q = V P = V e n c$ 具有相等的方差 $P$ ) 正交。这种加密噪声导致加密状态，其中 $G_{tot}\left(Q,P\right)$ 是高斯分布，总方差为 $V_{in}+V_{enc}$ . 我们用零差检测测量了加密的量子态，并记录了测量值与输入信号之间的相关性。使用这些相关性，我们计算出如图 3b 所示的互信息。实线是由下式给出的理论预测

图3：加密的有效性。( a ) 使用由高斯白噪声源驱动的电光幅度和相位调制器（分别为 AM 和 PM）来生成加密相干状态的集合的实验装置。输入噪声和零差输出均以 10.5 MHz 解调并由数据采集系统 (DAQ) 记录。PD：光电探测器。( b ) 根据方差 $V_{in}=0.6$ SNU的高斯字母表选择的相干状态的互信息I (server enc : client in ) ，然后使用不同的加密方差 $V_{enc}$ 对其进行加密. 对于输入状态的固定分布，该图显示了增加的加密噪声如何降低服务器对输入的了解。误差线小于点大小。

为了有效的加密，服务器接收到的加密状态和客户端准备的输入状态之间的正交相关性和互信息应该非常小。从图中，我们清楚地看到了有限加密方差的影响。

我们首先实现Z和X位移门，如图 4a 所示。该协议使用相干状态的高斯字母表执行，方差 $V_{in}=0.28$ 散粒噪声单元 (SNU)，嵌入在 $V_{enc}=31$ SNU 的加密噪声中。对于这种特定的加密，互信息是每次使用 $I = 0.005$ 位。测试Z和X门的位移的对称高斯分布，方差 $V_{gate}=0.6$ SNU。这导致计算后的状态 $ρ$ 具有V门的总方差+ V输入+ V编码。

图 4：实现Z和X门的服务器。( a ) 实验装置。加密输入状态的集合由两个由两个高斯白噪声源驱动的 EOM 生成。然后，加密的量子态通过半波片和偏振分束器模拟的透射率为 t的通道发送到服务器。服务器通过使用由独立高斯白噪声发生器驱动的第二对调制器来执行位移集合。在将量子状态发送回客户端后，量子计算机的输出通过使用只有客户端知道的加密噪声应用相移调制来解密。（乙) 在协议的每个阶段后面通过零差检测测量的相位正交的信噪比。使用相干输入状态和栅极位移的集合，通道的透射率设置为 1。零差检测器的输出由频谱分析仪记录，该频谱分析仪测量 10.5 MHz 附近的零跨度，分辨率带宽为 300 kHz，视频30赫兹的带宽。准备了一个小的输入状态（红色）并随后加密（绿色）。然后服务器（黄色）执行了一个小的位移，充当门。之后状态返回给客户端进行解密（蓝色），从而产生量子计算的输出。为了比较，我们记录了没有加密输入的结果（上图）。这些之间的差异表明不完善的解密会导致信噪比的损失。(c ) 使用加密状态的量子计算和使用纯文本状态的量子计算与通道传输t的输出状态集合之间的保真度。统计误差条小于点大小。保真度的变化主要来自于为最佳解密而对解密噪声的相位和增益设置进行微调时的系统误差。

最后，状态通过有损通道发送回客户端，客户端使用两个 EOM 解密状态，该 EOM 由与用于加密的噪声最佳反相关的噪声驱动。最终状态理想地由 $D\left(Q,P\right)|$ 给出 $ϕ >$ ，但由于不完善，加密协议存在一些残余噪声，因此我们必须考虑输出状态ρ，其方差为 $V_{in}+V_{gate}+V_{res}$ 。对于所呈现的测量，残余噪声为 $V_{res}=0.072$ SNU。为了可视化方案不同阶段信息内容的演变，在图 4b中，我们绘制了协议每个阶段之后单个正交的信噪比 (SNR)。从这些数字可以清楚地看出，加密状态下的信息量接近于零，解密操作几乎是理想的。为了进一步量化，我们在图 4c中显示了使用加密状态和纯文本状态的量子计算的输出状态集合之间的保真度。对于所有测量的透射值，保真度 $> 97 %$ 。

我们现在转向挤压门的实现，它被定义为 $S\left(r\right)=\exp(r\left(\hat{a}^2-\hat{a}^{\dagger2}\right)/2)$ ，其中 $r$ 是挤压参数。它通过两个额外的相移和 $T$ 和 $r$ 之间的适当变换与 $U_2\left(T\right)$ 门直接相关。图 5a显示了实验设置。与位移门的实现相比，我们使用单个相干激发而不是相干输入状态的集合。压缩光源基于放置在线性腔中的周期性极化的磷酸氧钛钾晶体中的参数下转换。在我们的门实现中，我们直接在压缩光源中压缩（加密）输入状态。我们注意到，这构成了对量子信息的在线压缩变换的首次演示。以前的演示依赖于离线压缩状态。图 5c-f给出了完整的 Wigner 函数说明，在四个步骤中的每一个步骤之后通过零差检测测量。压门后的状态如图图 5e，很明显，由于加密噪声，挤压操作几乎不可见。最后，在客户端通过位移对转换后的状态进行解密，从而揭示服务器的输出状态，如图5f所示。现在可以清楚地看到状态的第一和第二时刻的挤压变换。

图 5：实现挤压门的服务器。( a ) 实验装置。挤压门是通过将输入状态注入线性腔中由周期性极化的磷酸氧钛钾制成的挤压光源来实现的。压缩后，输出状态被发送回客户端，客户端通过干扰模式与另一个光束进行解密，该光束在 $2 %$ 分接分束器上用 $π$ 相移加密噪声调制。由于压缩幅度正交，解密噪声在两个正交中被不同地放大，增益 $g_{1}$ 和 $g_{2}$ 取决于压缩强度。更多细节可以在补充方法中找到。（乙) 加密和纯文本状态计算的输出状态之间的保真度，其中 $100\%$ 信道传输和 $5 d B$ 传输损耗对应于电信波长 10 km 光纤中的光损耗。统计误差条小于点大小。保真度的变化主要来自解密微调中的系统误差和系统漂移。( c – f ) 协议中每个步骤的相空间中重构的 Wigner 函数，具有相干输入状态，并且在每个步骤之后在 10.5 MHz 的边带频率下通过零差检测测量挤压门。f中的黑色圆圈表示理想挤压椭圆的半峰全宽 (FWHM)。（克) 显示了面板c – f中显示的状态以及在计算期间未加密的输出状态的 Q 和 P 正交中的信噪比。虚线表示使用理想门且无通道损耗的输出状态的信噪比。

我们通过计算客户端在解密计算的输入状态后检索到的状态与未使用加密时客户端接收到的状态之间的保真度来量化压缩协议对加密数据的性能。该比较是在无传输损耗和对应于电信波长 10 km 光纤传播的损耗的加密噪声量变化下进行的，相当于 5 dB 传输损耗。这种损失是通过半波片和偏振分束器组合实现的。结果如图5b所示。正如位移门所观察到的，保真度的变化主要来自解密微调中的系统误差和系统漂移。单位保真度的偏差主要是由于 Wigner 函数重构不完善和系统漂移以及加密和解密噪声之间存在少量去相关导致的非理想解密造成的。尽管存在这些缺陷，但保真度接近于一致，并且所有参数都保持在 $>98.5\%$ 。一般来说，损失情况的保真度要高一些，因为损失迫使解密状态更接近真空状态。测量的高保真度表明，在加密状态而不是纯文本状态上执行量子计算确实是可行的。

为了量化实现的远程门本身的性能，我们在图 5g中显示了协议不同步骤的 $Q$ 和 $P$ 正交的 SNR 。理想情况下，即没有通道损失、门中没有损失并且具有完美解密，挤压门将保持如两条虚线所示的 SNR。对于输出状态，我们显示了加密和不加密的 SNR，如果使用加密，SNR 会出现小幅下降。与理想栅极相比，SNR 的剩余降低主要是由于光损耗，即栅极大约 $2.2 d B$ ，包括压缩器和电源光学器件。

3.结论

我们为加密变量上的量子计算开发了一个连续变量协议，其中我们需要一个量子通道只有两种用途的基线：一种用于输入，另一种用于输出。我们需要在每个方向上额外进行一轮经典通信，并额外使用一次量子通道来实现立方相门 $U_3\left(T\right)$ ，而高斯门可以在没有通信成本的情况下实现。客户端只需要能够执行位移来加密和解密，除非他们执行 $U_3\left(T\right)$ 门，客户端必须能够实现 $U_2\left(A\right)$ 门也是如此。或者，可以运行该协议的基于纠缠的等效版本，该版本依赖于隐形传输。为了实现高保真隐形传输，可以使用混合隐形传输方案。

在本文中，我们还研究了如何组成门用于加密和解密、传输和不完美加密的影响、基于纠缠的模拟和信道估计的使用以及三次相位门中压缩的限制。我们已经通过实验证明了我们的方案在相干状态字母表上执行位移和在线挤压操作，并研究了保真度方面的结果性能。最后，据我们所知，这是加密数据上的量子计算第一次被推广到 CV，并且是任何形式（量子位或量子模式）的安全委托量子计算在有损信道。我们希望我们的结果将有助于为未来类似于量子密钥分发的理论探索和实验演示奠定基础，例如自由空间和场演示。

4.研究方法

4.1状态准备和门操作

在所有实验中，使用相干连续波 $1, 064 n m$ 激光束作为载体进行状态准备。所研究的量子态是在相对于载波的 $10.5 M H z$ 边带处制备的，其中频谱受到散粒噪声限制。通过将激光束注入一对由 $10.5 M H z$ 正弦信号驱动的 EOM，在这些边带中制备了相干态。通过向一对 EOM 施加大约 $10.5 M H z$ 的两个独立白噪声信号来制备热态。使用具有温度稳定的周期性极化磷酸氧钛钾晶体作为非线性介质的半整体腔制备挤压态，由 $532 n m$ 光泵浦。使用 Hänsch-Couillaud 锁定型腔长度。泵浦和量子态载波光束之间的相对相位通过 EOM 施加到载波光束上的 $36.7 M H z$ 边带锁定来锁定，这也产生协议中的输入状态。见图5。