你完全可以理解全光量子中继 | 袁岚峰

2019年7月初，很多人都很开心地看到了一条貌似很高大上的新闻：中国科学技术大学在世界上首次实现“全光量子中继器”（例如http://www.xinhuanet.com//science/2019-07/04/c_138197493.htm）。

新华网对全光量子中继的报道

开心，同时“不明觉厉”。我相信，绝大多数读者看到这条新闻的反应都是：我连量子中继是什么都不知道，你居然在跟我说什么全光量子中继？！

看不懂是正常的。如果这么容易就让普通人看懂了，那博士寒窗苦读十几年岂不是白读了？世界上没有这么便宜的事。

现在，好消息来了！我可以向大家来解释这项工作。而且我相信，只要认真听，大多数听众都可以理解个八九不离十，即使不能掌握所有的细节，至少也可以理解这项成果的背景。

为什么呢？

因为第一，这项工作属于“量子信息”这个领域，在这个领域我写过很多科普文章，所以我知道在宏观大图景上，这项工作处于什么位置。我关于量子信息的最重要的科普文章叫做《你完全可以理解量子信息》，有4万字，你看了以后就真的可以对量子信息获得一个全面的了解了。因此按照同样的风格，本文就叫做《你完全可以理解全光量子中继》！

第二，这篇论文发表在《自然·光子学》上，标题叫做《没有量子存储的量子中继》（“Experimental quantum repeater without quantum memory”）（https://www.nature.com/articles/s41566-019-0468-5）。我仔细阅读了这篇文章，了解了许多技术细节。

第三，这项工作是我的科大同事潘建伟院士的团队做的，两位主要负责人陈宇翱教授和徐飞虎教授都是我的朋友。通过直接向他们咨询，我了解了很多更加深入的洞察。

事实上，这正是我做科普的一个基本的方法论：了解宏观背景，调研原始文献，然后如果有条件的话，尤其重要的是跟一线研究者进行深入沟通。这个方法论在科普之外也具有更加普遍的意义，欢迎大家领悟和应用。

好，我们言归正传。看到“全光量子中继”这个名字，大多数人恐怕都搞不清这个词的重点何在：是“全光”？还是“量子”？还是“中继”？而看到原始论文的标题《没有量子存储的量子中继》，大家就可以明白了，这项工作真正的要点是“没有量子存储”。

就像那条著名的广告：我们的目标是，没有蛀牙！

我们的目标是，没有蛀牙！

因此，大家也可以明白，“全光量子中继”的重点在于“全光”，全光就是实现没有量子存储的手段。

好，只要你理解到这一层，你就已经超越90%以上的人了。

如果你还想理解更多，那么你的下一个问题自然就是：量子中继是什么？为什么我们希望在量子中继中去掉量子存储？

对此的回答，就出现了一个真正出人意料的地方。传统的中继大家都很熟悉，就是通信网络中用来扩展通信距离的中继站。顾名思义，量子中继就是量子通信网络中用来扩展通信距离的中继站喽？

然而，出人意料的是，量子通信网络的中继站并不一定要用量子中继！另一种中继也是可行的，叫做“可信中继”（trusted repeater）。也就是说，我们有两种选择，量子中继和可信中继。

这两个名字很容易让人搞糊涂，因为它们的命名方式并不是按照同样的标准。就像最近的垃圾分类一样，干垃圾和湿垃圾后面又冒出个有害垃圾和可回收垃圾。

垃圾分类

那么你觉得，可信中继和量子中继哪个更好呢？

这真是让人颇费思量。很容易感觉，可信中继更好，因为你不可能选个不可信的啊。但其实，这是一个名称造成的误解。真正的回答是：量子中继更好！

我们来解释一下，可信中继和量子中继这两个词实际上是什么意思。

可信中继的意思是，这个中继站在按照传统的方式储存数据，比如说用磁盘。发送方和接收方知道的所有数据，中继站也都知道。

这样做的缺点是什么呢？数据储存在中继站，敌人就可以去偷，而且如果中继站的工作人员有内鬼，就可以泄密。因此，为了保证安全，我们就需要确保中继站是在严密监控下的，没有泄露。也就是说，“可信中继”其实是“必须通过人力来保证它可信的中继”！

而量子中继是什么呢？量子中继干的事情，是让发送方和接收方通过它建立连接，但中继站本身并不存储数据。发送方和接收方知道的数据，中继站是不知道的。因此，这里根本就不存在数据泄露的问题。即使有内鬼，最糟也只是让量子中继不能运行，但不能偷到数据。所以量子中继是“比可信中继更可信的中继”，因为它天然就可信，不需要外力来保证！

更加具体地说，可信中继传输的是经典的信息，而量子中继能够实现量子态的传输。因此，可信中继能干的事情，量子中继在原理上都能干，而反之则不然。两者都可以用于量子保密通信，但量子中继还可以做分布式量子计算和远程量子精密测量等应用，这些是可信中继做不到的。

好，如果你理解到这一层，我相信你已经超越了99%以上的人。

关于量子中继和可信中继的基本状况是：量子中继离实用还非常远，而可信中继已经在实用了。

例如2017年9月29日，中国开通了世界第一条量子保密通信干线——“京沪干线”。具体而言，京沪干线是在北京、济南、合肥、上海已有的量子网络的基础上，通过包括两端在内的总共32个节点把它们连接起来。这样，就可以在从北京到上海的2000公里的范围内，实现量子保密通信。中间那些节点，就是可信中继。

京沪干线

这里我们需要说明一下。在实践中，量子保密通信的安全传输距离是有限的。例如京沪干线是用光纤来传输光子，而光纤有一定的概率吸收光子，因此过一段距离后信号就衰减到不能用了。这就是为什么，我们需要每隔一段距离加一个中继。

在二十一世纪初之前的很长时间内，量子保密通信的安全传输距离只有10公里的量级。因此学术界曾经认为量子密码术的发展已经到头了，没有太大前途。然而，2003至2005年期间，韩国、加拿大和中国科学家提出了“诱骗态协议”，使得安全传输距离可以提高到百公里的量级。从此以后，量子密码术蓬勃发展，而中国获得了领先地位，大部分新纪录都是科大的研究团队创造的。

2016年8月16日，中国发射了世界第一颗量子科学实验卫星“墨子号”。当时光纤中的安全传输距离已经超过了200公里。三个月以后，2016年11月，科大与清华大学、中科院上海微系统与信息技术研究所、济南量子技术研究院等单位合作，又把安全传输距离提高到了404公里（这真是一个很吉利的数字），而且在102公里处的安全成码率已经足以保证安全的语音通话。也就是说，间隔102公里的量子保密电话已经是在技术上可行的了。

墨子号发射

墨子号和京沪干线的关系是怎样的呢？其实它们是实现长距离量子保密通信的两条技术路线。

京沪干线就是传统的用光纤传输光，每隔一段距离加一个中继站。墨子号是不用光纤，让光子从地面站直接连接到卫星，这叫做“自由空间传播”。这里的有趣之处在于，自由空间传输的光子在真空中是没有衰减的，只在大气层内有衰减。因此，一旦出了大约10公里厚的大气层，即使传得再远，也不会再衰减了。而光纤传输，却是每一寸都在衰减的。因此，对于几百几千公里的超远距离传输，自由空间传输的效率可以远远超过光纤传输，这就是量子通信卫星的优势。

事实上，卫星也可以作为一种可信中继，来实现地面站之间的量子保密通信。例如在京沪干线开通的记者会上，中国科学院院长白春礼与奥地利科学院院长安东·塞林格（Anton Zeilinger，潘建伟的博士导师）就通过墨子号，进行了世界首次洲际量子保密通信的视频通话。

中国科学院院长白春礼（电子屏右侧）在现场通过“墨子号”量子科学实验卫星，与奥地利科学院院长安东•塞林格（电子屏左侧）进行世界首次洲际量子保密通信视频通话。

现在的问题是：既然量子中继在原理上更好，为什么大家不用它呢？

原因是：造出量子中继的难度远远高于可信中继。一个基本的道理就是，用到量子力学的操作总是要比不用量子力学的困难。

具体而言，在现有的量子中继设计中包含三个元素：纠缠交换，纠缠纯化，以及量子存储。

咦，前面不是说量子中继不存储数据吗，为什么这里又要用到量子存储？回答是，量子中继中存储的是一些中间量子态，对窃密者来说没有用处。

到目前为止，量子存储虽然也有很多研究组取得了很多进展，但发展程度还远远满足不了量子中继的需要，成了一个瓶颈。因此，如果能够造出“没有量子存储的量子中继”，就可望绕过这个瓶颈，促进量子中继的实用化。

好，如果你理解到这一层，我相信你已经超越了99.9%以上的人。

如果你还想理解更多，那么你的下一个问题自然就是：潘建伟、陈宇翱、徐飞虎等人是如何实现“没有量子存储的量子中继”的？

好吧，真正能够关心到这个层面的观众都是专家了。你既然是专家，那么我多讲些术语也是正常的喽？

基本的回答是：发送方Alice和接收方Bob各自产生M组纠缠对，然后通过量子中继Charlie连接起来。我们可以把这M组纠缠对画成M行横线。

在以前的方案中，Alice的每一个纠缠对只和Bob的属于同一行的纠缠对建立连接，也就是说总共只建立M个连接。

而在新方案中，Alice的每一个纠缠对都和Bob的属于所有行的纠缠对建立连接，也就是说总共建立了M的平方个连接。用术语说，这叫做建立了一个“图态”（graph state）。

《没有量子存储的量子中继》

这样做的好处，就是取消了对量子存储的需求。这样做的代价，就是要付出更多的努力去建立纠缠。因此，这是不是让量子中继变得更容易造出来了，都还不能确定。无论采取什么技术路线，实用的量子中继恐怕还需要10年或更长的时间才会出现。

《没有量子存储的量子中继》

但这项工作的意义在于，确实提出了另一种可行的思路。最终的结果可能是新方案，也可能是老方案，还可能是新老方案的某种联用。无论如何，多一个值得探索的方向总是非常有价值的。因此，这篇文章能够发表在《自然·光子学》这样的顶级期刊上，说明它的重要性得到了公认。

不过，通过以上的解读，你已经可以明白：这是一项远景性质的工作，对当前的实用并没有影响。事实上，当前我们的量子通信网络已经有中继可以用，就是可信中继。虽然原理上存在更好的，但也别拿豆包不当干粮啊！

好，如果你理解到这一层，我相信你已经超越了99.99%以上的人。

最后，有一个经常见到的问题值得回答一下：既然敌人攻击京沪干线的中继站就可以窃密，那么京沪干线还有什么意义呢？事实上，有不少人就以此为由，宣称京沪干线完全没用，甚至是一场骗局，吆喝潘建伟等人是骗子。

回答是：京沪干线怎么样，要看你跟谁比。如果跟理想的用量子中继的量子通信线路比，当然是不如，但问题不就是这理想的还没造出来吗？

然后，如果跟现有的其他密码技术比较，你就能理解京沪干线与可信中继的优势了。这里的关键在于，保密通信要解决的是信息传输的问题，而可信中继要解决的是信息存储的问题。

显然，存储是传输的前提。你要安全地传一个信息，就必须首先有能力把它安全地存在本地。如果你存都存不住，放在家里都被人偷了，那还谈什么传输的问题？

因此，对可信中继的要求，完全是一个合理的要求。在一条线路上防守一个孤立的站点，这应该是你完全能做到的。如果你连这个都做不到，那你无论用什么保密通信的方法都是白扯。而如果你能做到这个合理的要求，那么可信中继就能让你在很长的距离上实现量子保密通信。

你如果想了解量子保密通信的原理，那么欢迎去看我的文章《你完全可以理解量子信息》。在这里，我们只是说明一点：量子密码术实现的安全性，叫做“无条件安全性”（unconditional security），也经常被称为“绝对安全性”或“完美安全性”。这话实际的意思是，敌人即使具有无限的计算能力，也无法破解你的密文。

有人可能会觉得不可思议：怎么可能存在这样的密文，敌人用无限的计算能力都不能破解？事实上，这样的密文是很容易构建的。

例如这样一个密文：它就是二进制的一位数0，而它可能对应的明文是二进制的0或者1。敌人在不知道密钥的情况下，只能推出这个密文0以一半的概率对应0，一半的概率对应1。然后敌人还能得到什么呢？什么都得不到了，因为再往下没有任何可推理的。你看，这个密文就是具有无条件安全性的。

你可能会问了：既然这么简单就能实现无条件安全性，为什么密码学家还要发展出那么多复杂得多的算法呢？

回答是：无条件安全性的关键在于，密钥要跟明文一样长，甚至更长！如果你的明文有《红楼梦》这么长，那么密钥也需要这么长。如果密钥比明文短，那么只要敌人的计算能力够强，就一定可以破解，也就是说，这时就不可能具有无条件安全性了。

《红楼梦》

量子密码术的技术诀窍，其实就是利用量子力学的操作，让双方分享任意长度的密钥，不需要第三者的信使。因此，量子密码术可以实现无条件安全性。

而现在常用的绝大多数密码术，例如著名的RSA算法，在原理上都是基于某种数学问题的困难性。意思是，你解决了某个数学问题，例如“因数分解”，就可以破解我的密码。但这个数学问题非常困难，如果你没有某种我不知道的巧妙算法，那么你会需要非常长的时间。在这个意义上，我的密文是安全的。

RSA密码体系的三位发明者

大家看明白了吧？基于数学问题的密码术能够达到的安全性，在本质上就是有条件的。如果敌人有无限的计算能力，就可以破解这种密码。因此，这些密码术的安全级别在本质上就低于量子密码术。

更不用说，敌人完全有可能已经找到了巧妙的解法，只是没有告诉你，——显然嘛，他干吗要告诉你呢？让你在自以为安全的情况下源源不断地泄密，对他来说不是更好吗？

现在大家可以理解，在像京沪干线这样的长距离上实现量子保密通信，具有多么重大的价值。如果你认为防守中间那30个中继站是不可承受的负担，那么你应该想到，假如用传统密码术的话，按照同样的标准，你需要防守的就不只是中继站了，而是2000公里的整条线路！因为传统密码术的密文是可以破译的！所以敌人在任何一点拿到密文，都可以窃密！

现在，你明白那些说京沪干线用了可信中继所以就没用的，是怎么回事了吧？这些人是有意或无意地用了双重标准，对无条件安全的量子密码术认为存储的要求不可接受，对传统密码术却觉得有条件安全就够用了。这纯粹是脑子不清醒嘛。

好，如果你理解到这一层，我相信你已经超越了99.999%以上的人！现在，你是不是感到自己的思维层次都上升了呢？

欢呼雀跃