量子隐写术：在噪声中隐藏信息

11 量子隐写术

托德·A·布伦南加州大学，明谢电气与计算机工程系，洛杉矶，加利福尼亚州，美国

11.1 引言

11.1.1 隐写术的概念

隐写术是将秘密消息（隐写文本）隐藏在一个更大且看似无害的消息（载体文本）之中，并传输该结果，使得隐写消息只能被预期的接收者读取的科学。“隐写术”一词源自希腊语词汇 steganos（意为“隐匿”）和 graphia（意为“书写”）。信息隐藏的艺术可追溯至公元前440年的希腊人[1]。“隐写术”一词最早由约翰内斯·特里特米乌斯于1499年在其著作《隐写术》中使用，这是关于密码学与隐写术技术的最早论著之一[2]。在第二次世界大战期间，一名日本间谍维尔瓦莉·狄金森向中立的南美洲发送机密信息。她是一名玩偶经销商，其信件表面上讨论要运送的玩偶数量和类型。载体文本是玩偶订单，其中隐藏着关于战舰动向的编码隐写文本[3]。

隐写术的现代研究始于西蒙斯[4]。在他的模型中，爱丽丝和鲍勃被分别关押在两个相距遥远的牢房中。他们希望制定一项越狱计划，但他们之间唯一的通信方式是通过为监狱狱警（窃听者伊芙；在隐写术文献中，她有时被称为狱警威利）工作的信使。该信使会将所有消息透露给伊芙。如果伊芙怀疑爱丽丝和鲍勃正在密谋越狱，她就会切断他们之间的所有通信。在入狱之前，爱丽丝和鲍勃共享了一个密钥——假设为一长串随机比特——之后他们利用该密钥将秘密消息隐藏在载体文本中进行传递。爱丽丝和鲍勃能否在不引起狱警怀疑的情况下制定出越狱计划？

必须认识到隐写术与密码学之间的区别。在密码学中，发送方（爱丽丝）使用共享密钥对秘密消息（明文）进行加密，然后将生成的密文发送给接收方（鲍勃）进行解码。如果窃听者（伊芙）观察到该密文，她无法在没有密钥的情况下将其解密。然而，她会知道存在一条秘密消息，因为爱丽丝正在向鲍勃发送看似无意义的内容。而隐写术的保密性则来自于隐藏了存在任何消息这一事实。在许多情况下，一旦伊芙意识到存在秘密消息，她就能轻易地读取它。

这两种范式也赋予了窃听者或对手不同的角色。在标准密码学中，窃听者被认为是在秘密地、甚至可能是非法地运作。而在隐写术中，窃听者可以公开行动，并且通常处于权威地位。如果伊芙是狱警，那么她可以通过简单地禁止所有通信来阻止秘密通信。但通常情况下，她希望允许某些类型的合法通信，同时禁止其他类型。密码学是对抗间谍的防御手段；隐写术则是对抗审查者和秘密警察的工具。

量子密码学已经得到了广泛研究[5]。然而，量子隐写术的研究仍处于相对早期阶段。将隐写术的思想推广到量子信息可以采取多种形式。例如，可以通过量子信道在量子通信协议中隐藏秘密经典消息。类似地，也可以通过量子信道发送秘密量子消息（即量子态）。量子隐写术还可以包括使用除信道之外的量子资源（如纠缠）来发送秘密经典或量子消息。这些可能性要求发展适用于量子通信信道的新编码方法，以及建立“无辜”量子消息的合理概念。

古尔蒂等人提出了三种不同的量子隐写协议[6]。然而，这些协议均未解决在有噪声的经典信道或广义量子信道上传送普通消息的问题，也未给出密钥消耗速率。纳托里[7]提出了一种对量子隐写术的简化处理方法，该方法是对超密集编码的修改。马丁[8]也引入了量子隐写通信的概念。他的协议是本内特和布拉萨德的量子密钥分发协议（QKD）的一种变体，通过该协议将隐写信道隐藏在QKD协议中。班纳吉[9]提出了一种受可逆量子门启发的经典隐写方法。本章探讨一种基于在量子态中隐藏消息并将其伪装成量子信道中错误的量子隐写术的有前景的方法[10–14]。

11.1.2 量子纠错码

本章研究的方法由吉亚‐巴纳克洛切[10]提出。吉亚‐巴纳克洛切给出了一种协议，通过故意对编码在三量子比特量子纠错码（QECC）中的量子态施加可纠正错误，以错误伴随式的形式隐藏秘密经典消息。然而，他的论文并未解决使消息看起来无辜的问题：在该协议中，消息不会类似于任何合理的量子信道。

肖和布鲁恩[11,12],已对这种量子隐写术方法进行了详细研究，提出了明确的编解码过程，并计算了通信速率和密钥消耗。他们证明了此类方案即使在有噪声的物理信道中，也能隐藏量子信息和经典信息，并具有保密性的定量度量。

在上述工作的基础上，萨瑟兰和布鲁恩[13,14]推导出了量子隐写术的渐近通信速率。当物理信道的错误率低于窃听者的预期时，有可能实现非零的渐近通信速率。（如果窃听者对信道有确切的了解，则仍可能实现秘密通信，但可传输的秘密信息总量通常随信道使用的次数呈次线性增长。）在本章中，我们将研究这些技术。

最近，一种与量子隐写术密切相关的思想在“隐蔽量子通信”这一名称下得到了研究[15–19]。该领域中的许多概念与隐写术的要求（如保密性和可恢复性）密切相关。这并不令人意外，因为当窃听者伊芙对信道具有精确了解，并且假设信道处于空闲状态（即仅传输噪声）时，隐蔽量子通信可以被视为在有噪量子信道上进行的量子隐写术的一种特殊情况。类似地，量子隐写术是一种伊芙知晓载体文本通信但不知晓隐藏的隐写文本、且伊芙可能不完全掌握信道信息的量子隐蔽通信。关于隐蔽通信的研究发现，如果伊芙对信道具有精确的知识，则可实现的秘密通信量通常随信道使用次数的平方根增长。

在本章中，只需了解有关量子纠错码的一些基本知识。量子纠错码（QECC）由三个参数{n, k, d}表征，它将 k个逻辑量子比特编码到 n个物理量子比特中，并具有最小距离 d。如果满足 t ≤ (d −1)/2，此类码可以纠正作用在 t个量子比特上的错误。最广泛使用的一类 QECC是基于经典线性码的稳定子码[20],。通过测量一组错误伴随式来诊断错误，这类似于经典的奇偶校验。另一个需要区分的概念是退化码与非退化码。如果所有可纠正错误都具有唯一的错误伴随式，则该QECC称为非退化码。若某个退化QECC存在两个或更多具有相同错误伴随式的可纠正错误，这些错误可通过相同的操作进行纠正。退化性是量子码独有的特性，在经典线性码中没有类似性质。本章中所使用的QECC假设为非退化码，但应当认识到许多QECC实际上是退化的，因此这些协议在应用于退化情况时需要相应修改。

11.2 量子隐写术的目标和工具

量子隐写术有两个主要目标。通信：爱丽丝希望经由量子信道向鲍勃发送经典或量子信息。大多数已提出的量子隐写术协议都是用于发送经典信息，但肖和布鲁恩表明，在对窃听者行为做出某些假设的前提下，也有可能发送量子信息。保密性：伊芙应当无法检测到秘密消息的存在。理想情况下，协议应在满足保密要求的同时最大化通信速率。在本章中，我们将展示使隐藏消息与通过适当信道的载体文本无法区分是可能的。

第三个要求可能会被施加，也可能不会：《安全性》。在某些情况下，即使伊芙知道隐写消息的存在，我们也可能要求她无法读取该隐写消息。这一要求在某种意义上独立于隐写术本身的方法，可以通过将隐写术与密码学结合来实现。

肖和布鲁恩提出了一组实现上述目标的协议。这些协议具有以下结构：爱丽丝将一个“无辜”的量子消息（或态）ρc通过量子纠错码（QECC）进行编码，该编码结果ρc即为载体文本。在本章中，我们通常假设 ρc是一个纯态ρc= |ψc〉〈ψc|。随后，爱丽丝对已编码的载体文本执行二次操作，将隐写消息嵌入到码字中。由此得到的隐写文本是另一个态|φs〉。隐写文本中的一个比特或量子比特分别称为隐写位或隐写量子位。修改后的码字通过量子信道发送给鲍勃，鲍勃可以以高概率对其进行解码并提取出隐写文本|φs〉。该编码方式的设计使得，如果窃听者伊芙截获了该码字，那么它看起来就像是经过噪声信道后的编码态ρc。换句话说，伊芙无法将编码后的隐写消息与信道中的噪声区分开来。

为了证明量子隐写协议的有效性，我们必须对爱丽丝、鲍勃和伊芙所知道的信息以及他们可利用的资源做出若干假设：
1. 爱丽丝和鲍勃知晓（具有足够精度）物理信道的情况，该信道可能具有固有噪声，也可能没有（两种情况都会被考虑）。
2. 伊芙对物理信道有自己的认知，这种认知可能准确，也可能不准确。但本章假设爱丽丝和鲍勃对伊芙的预期有一定了解。如果爱丽丝和鲍勃一直通过在所有传输中额外添加错误，使信道看起来比实际更嘈杂，则这种假设是合理的。但（如将看到的）即使伊芙对信道的了解是准确的，秘密通信仍然是可能的。
3. 爱丽丝和鲍勃共享一个密钥或共享纠缠。密钥是一个来自等权重独立同分布的长二进制字符串。共享纠缠可用于生成此类密钥，但也可以作为量子资源用于量子隐形传态[21]。
4. 伊芙可以对信道上传输的任何消息进行测量，但她并不一定会始终这样做。如果伊芙截获了一条消息，她可以向爱丽丝和鲍勃索要有关载体文本ρc、所用量子纠错码等的信息，并进行测量以验证这些信息。

隐写协议在爱丽丝和鲍勃能够传递非零信息量且满足保密要求时成功。该要求是：如果伊芙截获了消息，她无法以高概率判断该消息是否包含秘密消息。该消息应看起来与伊芙所预期的、经过信道传输后的编码态ρc完全相同。

我们还可以进一步要求，即使伊芙知道码字中包含秘密信息，她也无法读取——这一条件称为安全性。这可以通过在将消息嵌入载体文本之前对其进行加密来实现。爱丽丝和鲍勃希望在满足保密条件的前提下，最大化隐写通信的速率，同时最小化密钥使用的速率。

11.3 基于去极化噪声的量子隐写术

在本节中，我们将介绍一种简单的隐写协议，展示如何利用爱丽丝和鲍勃之间共享的经典密钥，在去极化信道的噪声中隐藏量子信息。首先考虑物理信道无噪声的情况（即所有噪声均由爱丽丝控制），但伊芙预期存在一定水平的去极化噪声。该简单协议可推广至信道存在内在去极化噪声（不由爱丽丝和鲍勃控制）的情形。消耗的密钥量可以计算得出。该协议不是最优的，但它证明了量子隐写术的可行性，并提供了一种简单且鲁棒的编码方式。在本章后续部分，将针对更一般的量子信道研究更高效的量子隐写协议，这些协议将量子信息隐藏在典型错误伴随式的空间中。对于某些类别的量子纠错码和量子信道，这种编码是渐近最优的。

11.3.1 去极化信道

在经典情况下，一种标准的错误模型是二进制对称信道（BSC），其中每个比特以独立的概率 p发生翻转 0 ↔ 1。在量子表示中，这对应于信道
$$ \rho \rightarrow \mathcal{N} {\text{BSC}}^p (\rho)=(1 -p)\rho+pX\rho X, $$
其中 ρ是表示单个量子比特态的密度矩阵，而 X算符用于翻转比特（见下文）。其量子推广形式是去极化信道（DC），这是最常用的量子信道模型之一：
$$ \rho \rightarrow \mathcal{N} {\text{DC}}^p(\rho)=(1 -p)\rho+ \frac{p}{3} X\rho X+ \frac{p}{3} Y\rho Y+ \frac{p}{3} Z\rho Z. $$
每个量子比特发生 X、 Y或 Z错误的概率相等，其中这些是标准的泡利矩阵：
$$ X=\begin{pmatrix} 0 & 1 \ 1 & 0 \end{pmatrix}, Y=\begin{pmatrix} 0 & -i \ i & 0 \end{pmatrix}, Z=\begin{pmatrix} 1 & 0 \ 0 & -1 \end{pmatrix}. $$
反复对该量子比特应用此信道，最终会将其映射到最大混合态 I/2。该信道可以写成另一种但等效的形式：
$$ \mathcal{N}_{\text{DC}}^p =(1 -4p/3)\mathcal{I}+(4p/3)\mathcal{T}, $$
其中 $\mathcal{I}(\rho)= \rho$和 $\mathcal{T}(\rho)=(1/4)(\rho+ X\rho X+ Y\rho Y+ Z\rho Z)$。操作 $\mathcal{T}$是扭转操作：它将任意态 ρ的量子比特变为最大混合态 I/2。如果信道以这种方式表示，我们就可以将其视为以概率 4p/3移除量子比特并用最大混合态替代，而不是以概率 p/3应用 X、 Y或 Z错误。这种描述方式使隐写协议更加清晰明了。

11.3.2 一种局部隐写编码

首先，假设爱丽丝和鲍勃之间的实际物理信道是无噪声的。伊芙所看到的所有噪声都源于爱丽丝故意在其码字上引入的错误。该过程如图11.1所示。
1. 爱丽丝将 kc个量子比特的载体文本编码为 N个量子比特，使用一个{N, kc}量子纠错码（QECC）。
2. 根据（11.4），去极化信道将以概率 Q完全混合 Q个量子比特
$$ p_Q=\binom{N}{Q} (4p/3)^Q(1 -4p/3)^{N-Q}. $$
对于较大的 N，爱丽丝可以发送 $M=(4/3)pN(1 - \delta)$ 个隐写量子比特，其中 $1 \ll \delta \ll \sqrt{(1 -4p/3)/(4p/3)N}$。（出现少于 M个错误的概率可以忽略不计。）
3. 利用共享随机密钥（或共享纠缠比特），爱丽丝从 M个量子比特中选择一个随机子集，并将码字中对应位置的量子比特替换为她的M隐写量子比特。她还将该子集之外的 m个量子比特随机替换为最大混合量子比特，使得总的 $Q= M+ m$数量以高精度符合二项分布 （11.5）。
4. 爱丽丝使用 2M比特密钥或 2M共享纠缠比特对其 M个隐写量子比特执行扭转操作。对于每个量子比特，她随机选择并应用 I、 X、 Y或 Z之一，因此 $\rho \rightarrow \mathcal{T} \rho$。对于没有密钥的伊芙而言，这些量子比特呈现为最大混合态。（扭转操作可视为量子版本的一次一密。）
5. 爱丽丝将码字传输给鲍勃。根据密钥，他知道正确的 M量子比特子集以及用于解码（“解缠绕”）的一次一密。

该协议将$(4/3)pN(1 - \delta)$个秘密量子比特从爱丽丝传输给鲍勃。其保密性源于以下事实：在没有密钥的情况下，伊芙无法区分隐写量子位与最大混合量子比特；这些最大混合量子比特的分布与错误率为 p的去极化信道所预期的完全相同。如果速率 p符合伊芙的预期，那么即使她截获了码字并测量其错误伴随式，也不会察觉任何异常。

如果信道包含固有噪声，那么爱丽丝首先必须将她的 ks个隐写量子比特用一个{M, ks}量子纠错码进行编码，将这 M个量子比特与码字中的一个随机子集的 M个量子比特交换，并执行扭曲过程。如果鲍勃知道密钥，则该扭转操作不会影响量子纠错码的纠错能力。传输速率 ks/N将取决于用于保护隐写量子比特的量子纠错码的速率。对于二进制对称信道，该速率上限为$(1 - \delta)(1 - h(p))\delta p/(1 -2p)$。然而，对于大多数量子信道（包括去极化信道），最高的可达速率尚不清楚。

假设物理信道也是一个错误率为 p的去极化信道，并且爱丽丝模拟一个错误率为 q的去极化信道，则对伊芙而言，有效信道看起来就像是一个错误率为 $p+ q(1 - 4p/3) \equiv p+ \delta p$的去极化信道。只要$p+ \delta p$足够接近伊芙对错误率的预期，通信就将保持保密性。（这种保密性的概念很快将被严格定义。）通信速率为 $k_s/N \approx (4/3)c\delta p/(1 - 4p/3)$，其中 $c= k_s/M$是针对错误率为 p的去极化信道的码的可达速率。尽管去极化信道的 c（量子容量）的渐近极限尚不明确，但该极限的一个下界是已知的，称为哈希界[22]。这是 $c_{\text{hasing}}= 1 - h(p) -p\log_2(3)$，其中 $h(p)= -p\log_2(p)-(1 -p)\log_2(1 -p)$是二元熵。

11.3.3 密钥使用

该密钥在此协议中有两处使用。在步骤3中，爱丽丝从 N量子比特的码字中随机选择一个包含 M个量子比特的子集。共有 C(N, M)个子集，因此大约需要$\log_2 C(N, M)$比特来选择其中一个。在步骤4中，使用了 2M比特密钥进行扭转操作。这总共给出
$$ n_k \approx \log_2\binom{N}{M}+ 2M $$
使用的密钥比特数。定义密钥消耗率$K= n_k/N$为爱丽丝通过信道发送每个量子比特所消耗的密钥比特数，并使用$M \approx 4qN/3 $和$q \approx \delta p/(1−4p/3) $将$K$表示为$p、 \delta p$和$N$的函数：
$$ K \approx \log_2\left[\left(\frac{4}{\beta}\right)^\beta (1 -\beta N)^{\beta-1}\right], \beta \equiv 4\delta p/(3 -4p). $$
如果爱丽丝在对所有可能的消息取平均时，其源接近最大混合态，则她可以消耗更少的密钥比特——例如，如果爱丽丝首先压缩该源态 |φs〉在发送之前[23]。这将允许爱丽丝和鲍勃跳过扭转/去扭转过程。这种密钥消耗率的差异说明了保密性与安全性之间的区别。如果源被压缩，并且省略了扭转操作，则编码仍然模拟了去极化信道的效果，并满足保密性的要求。然而，如果伊芙获知了该消息，则她可能无需共享密钥即可读取（或大部分读取）该消息。相比之下，如果使用了扭转操作，则消息会被随机化，无法在没有密钥的情况下恢复。

11.3.4 局部编码的弱点

上述局部编码协议在模拟去极化信道方面表现良好。然而，存在更为广泛的广义信道，该协议在其他情况下可能表现不佳，甚至完全无效。如果我们有一个可以被写成的信道
$$ \rho \rightarrow \mathcal{N} \rho=(1 -p_T+p_E)\mathcal{I}\rho+p_T\mathcal{T} \rho+p_E\mathcal{E}\rho, $$
其中 E是任意的错误操作，我们仍然可以使用之前的协议来隐藏大约$p_T N$个隐写位或量子比特，同时产生 $p_EN$个类型为 E的随机错误。但对于某些信道，$p_T$可能非常小或者为零。

此外，本地隐藏隐写量子比特会牺牲一些可能额外传输的秘密信息。也就是说，错误的位置——即包含错误的子集的选择——也可以用来传递信息，从而可能提高隐写通信速率，并减少所需的密钥或共享纠缠量。另一种方法则是将信息编码到错误伴随式中。

11.4 错误伴随式中的隐写编码

11.4.1 编解码过程

为简便起见，考虑 N较大的情况。此时，只需考虑典型错误[24,25]即可。首先考虑物理信道为无噪声的情况。当 N较大时，几乎所有（概率为 1 − ε）单个量子比特上的错误组合都将对应于典型错误集合中的一种。这类错误大约有 $2^{sN}$种，它们的概率$pe$均被限制在范围
$$ 2^{-N(s+\delta)} \le pe \le 2^{-N(s-\delta)} $$
内。数值 s表示单量子比特上的信道熵；对于二进制对称信道， $s= h(p)= -p\log_2p -(1 -p)\log_2(1 -p)$，而对于去极化信道， $s= -(1 -p)\log_2(1 -p) -p\log_2p/3$。对于更一般的错误模型，单量子比特熵 s可能没有明确定义；这一情况将在第11.8节中讨论。典型错误算符标记为$E_0, E_1, \ldots, E_{2^{sN} -1}$，其对应的概率分别为 $p_j$：
$$ \rho \rightarrow \mathcal{N}^{\otimes N} (\rho)\approx\sum_j p_j E_j \rho E_j^\dagger. $$

对于载体文本而言，选择一种良好的量子纠错码（QECC）将能够纠正所有这些错误。（如果爱丽丝和鲍勃使用的量子纠错码对于信道的假设错误模型来说不够强，那么这可能会引起伊芙的怀疑。）假设他们使用一种{N, kc, d}量子纠错码，其中 d足够大，可以纠正所有典型错误，并进一步简化假设该量子纠错码是非退化的，因此每个典型错误 $E_j$都有一个标记为 $s_j$的独特错误伴随式。

现在我们可以看到，如何构造一种隐写编码来模拟该信道中的错误。在协议开始之前，爱丽丝和鲍勃将典型错误划分为 C个大致等概率的集合 $S_k$，以便
$$ \sum_{E_j\in S_k} p_j \approx \frac{1}{C} , \forall k. $$
在给定集合中，应尽可能选择具有相等概率的错误。对于某个较小的 δ> 0， C的最大值大致为$C \approx 2^{N(s-\delta)}$，且 k= 0,…, C −1。这种划分实现了一种新的量子隐写协议，利用错误伴随式来存储信息（而非在本地存储）。

1. 爱丽丝将载体文本的 kc个量子比特制备到态 $\rho_c= |\psi_c\rangle\langle\psi_c|$中。
2. 爱丽丝的秘密消息是一串 $M= \log_2 C\approx N(s -\delta)$个量子比特的态
   $$ |\psi_s\rangle= \sum_{k=0}^{C-1} \alpha_k|k\rangle. $$
   她使用密钥或共享纠缠比特的 $2N(s - \delta)$比特对这个字符串的每个量子比特进行“旋转”，以获得最大混合态。然后，她附加 $N -k_c -(s -\delta)N$个处于 |0〉态的额外辅助量子比特，构成总共$N−kc$个量子比特的寄存器。（注意，如前所述，如果消息量子比特已经被压缩，使得在对所有消息取平均后已经接近最大混合态，则此步骤可以省略。）
3. 利用共享密钥，爱丽丝从每组 $S_k$中选择一个具有伴随式 $E_{jk} s_{jk}$的典型错误。她对包含 $N - kc$个量子比特的寄存器应用一个酉算符 $U_S$，使其映射
   $$ U_S(|k\rangle\otimes|0\rangle^{\otimes N-k_c -(s-\delta)N})= |s_{jk}\rangle 。 $$
   然后，她将此寄存器附加到处于态$|\psi_c\rangle$的载体量子比特上，并应用编码么正算符 $U_E$。在密钥上取平均后，所得的态对伊芙而言看起来就像式（11.9）给出的噪声态，这实际上与作用于编码后的掩护文本的模拟信道无法区分。
4. 爱丽丝将此码字发送给鲍勃。如果伊芙检查其伴随式，她将发现被模拟信道的典型错误。
5. 鲍勃应用解码酉算符$U_D= U_E^\dagger $，然后应用他从共享密钥中获知的$U_S^\dagger $。他丢弃载体文本和最后的$N - k_c -(s - \delta)N$个辅助量子比特，并再次使用密钥对剩余的量子比特执行逆扭转操作。如果伊芙没有测量这些量子比特，那么他将成功恢复爱丽丝所编码的态。

该过程在图11.2中进行了示意图说明。通过使用单一基态而非（11.11）中的叠加态，该协议可轻松用于发送经典信息。因此，该协议适用于传输经典或量子信息。

11.4.2 通信与密钥使用率

隐写传输速率 R约为 $R\approx s -\delta \rightarrow s$。传输速率$s$高于局部编码的速率 $4p/3$。该协议在步骤 2中使用了 $2N(s - \delta)$比特密钥（或纠缠比特）用于缠绕操作，在步骤3中从每个集合 $S_k$选择代表性错误$E_{jk}$时大约使用了 $N\delta$比特密钥。因此，密钥速率为约 $K \approx 2s -\delta \rightarrow2s$，在每传输一个隐写量子位所消耗的密钥使用方面优于第一种协议。由于几乎所有的密钥使用都用于缠绕操作，对于最大混合的源，平均密钥使用速率实际上可以随着 $N \rightarrow\infty$趋近于零。

在之前的分析中，我们假设实际的物理信道是无噪声的，并且伊芙认为该信道是有噪声的，这是因为爱丽丝和鲍勃故意在他们所有的消息中添加噪声，从而系统性地误导了伊芙。不用说，这一假设并不现实：真实的信道通常都会存在噪声。当信道包含固有噪声时，是否仍可能将信息编码到错误伴随式中就远不那么明显了。事实证明，这确实是可能的；这种情况将在第11.9节中进行讨论。接下来的两节将首先给出无噪声情况下量子隐写编码的两个示例。

11.5 在二进制对称信道中的编码

在本节中，我们将首先看一个简单的经典示例： n比特重复码和二进制对称信道（BSC）。重复码是最简单的纠错码概念；单个比特0或1通过重复 n次进行编码： $0\rightarrow 00\cdots0， 1\rightarrow 11\cdots1$。如果其中一个码字通过二进制对称信道传输，则每个比特独立地有概率 p发生翻转 $0\leftrightarrow 1$，以及概率 $1 -p$保持不变。爱丽丝和鲍勃希望通过对比特翻转应用于码字的方式进行隐写通信，使得他们消息的统计特性与伊芙在错误概率为p的二进制对称信道上所预期的统计特性相匹配。（实际信道是无噪声的。） 假设 $n \gg 1$，且平均错误数为 $pN \gg 1$，但 p显著小于 1/2。那么典型错误的比特翻转数 w（错误的权重）将落在范围 $N(p−\delta) \le w\le N(p+ \delta)$内。在选择 δ时存在一定的任意性，但由于w服从二项分布，因此选择 $\delta= D\sqrt{p(1 -p)/N}$是合理的，其中 D是 $O(1)$的系数， $\sqrt{Np(1 -p)}$是 w的标准差。

如果有 C 种可能的消息，那么爱丽丝和鲍勃必须事先约定 C 个不同的码字。他们可以通过从典型错误中随机选择 C 个错误来实现这一点。如果这是一次性通信，爱丽丝和鲍勃可以提前做出这种选择。但如果他们要反复发送消息，则应在每一步使用他们的共享密钥来选择一组新的随机错误，以确保他们始终知道当前使用的是哪一组典型错误。

之后，该过程很简单。爱丽丝准备一个码字。如果她希望向鲍勃发送消息 m，则她在将码字发送给鲍勃之前，先对码字施加对应于 m 的典型错误。当鲍勃接收到码字后，他测量错误伴随式以确定施加的是哪种错误，并将其还原为 m。如果伊芙观察正在传输的码字，它看起来就像是经过二进制对称信道（BSC）后的码字。对所有消息 m 和所有选择随机错误的方式进行平均，其错误统计特性与错误率为p的二进制对称信道的统计特性相匹配。

该协议可以 straightforwardly 转化为量子协议。无错误的码字变为量子态 $|00\cdots0\rangle$和 $|11\cdots1\rangle$，而载体文本量子比特被编码在态 $|\psi_c\rangle= \alpha|00\cdots0\rangle+ \beta|11\cdots1\rangle$中。二进制对称信道变为量子信道$\mathcal{N}^{\otimes N}$，其中作用于单个量子比特的 $\mathcal{N}$由公式(11.1)给出。重量为 w的错误是算符 $E_m$，它们在被翻转的量子比特上作用为 X，而在未被翻转的量子比特上作用为 I。与经典情况的主要区别在于，爱丽丝现在可以发送消息的叠加态 m。如果她想要传输一个叠加态，则只需进行编码
$$ |\psi\rangle=\sum_m \alpha_m|m\rangle\rightarrow\sum_m \alpha_m E_m|\psi_c\rangle. $$
现在考虑一个完全量子的例子，该例子展示了这种编码如何实现。

11.6 在5量子比特“完美”码中的编码

这种编码方式在[12]中已详细阐述。在此示例中，爱丽丝使用{5,1,3}码（“完美码”）将她的隐写量子位编码到该码的伴随式中。该完美码可将一个逻辑量子比特编码进五个物理量子比特，是能够纠正任意单量子比特错误的最小量子纠错码[26]。首先考虑以下问题：爱丽丝希望在一条消息中嵌入秘密量子信息

完美码的稳定子生成元。完美码的稳定子生成元 g1，…，g4，以及逻辑 $\bar{X}$ 和 $\bar{Z}$。
g1 g2 g3 g4
X Z

通过将其伪装成{5,1,3}码的单个码字中的错误来传送给鲍勃。在本节中，我们将展示一些编码方法，这些方法允许最多四个量子比特以单个（权重为一）错误或双重（权重为二）错误的形式进行传输。随后，我们将研究在一系列传输的码字中编码量子信息的问题，使得其错误统计特性与去极化信道的统计特性相匹配。

该完美码是非退化的：每个单量子比特泡利错误都被映射到一个唯一的伴随式。该码是一种稳定子码，具有 $n - k= 5 - 1= 4$个稳定子生成元；它们与逻辑算符一起列在表11.1中。爱丽丝和鲍勃可以在此码中隐藏最多四个量子比特的信息，并通过一个对伊芙而言看起来像是去极化信道的信道发送。图11.3展示了该完美码的编码酉电路。

11.6.1 使用单量子比特错误的编码

完美码共有十五个单量子比特错误 $X_1, X_2,\ldots, X_5, Z_1, Z_2,\ldots, Z_5,$和$Y_1, Y_2,\ldots, Y_5$。连同“无错误算子” $IIIII$，这十六个算符具有十六个不同的伴随式，列于表11.2。

爱丽丝可以将四个隐写量子比特编码到该码的单量子比特错误伴随式中。该协议较为复杂，因为爱丽丝需要隐藏的是量子信息而不仅仅是经典信息，因此必须确保不干扰待隐藏的量子比特。将包含五量子比特码字的爱丽丝子系统标记为 A，将编码前存放隐写量子比特的子系统标记为 S。使用经典密钥

| 完美码的伴随式表。完美码的所有单量子比特泡利错误及其对应伴随式的列表。错误算符按伴随式值排序。 |
| :— |
| 错误 | 伴随式 | 错误 | 伴随式 |
| IIIII | 0000 | XIIII | 0001 |
| IIZII | 0010 | IIIIX | 0011 |
| IIIIZ | 0100 | IZIII | 0101 |
| IIIXI | 0110 | IIIIY | 0111 |
| IXIII | 1000 | IIIZI | 1001 |
| ZIIII | 1010 | YIIII | 1011 |
| IIXII | 1100 | IYIII | 1101 |
| IIYII | 1110 | IIIYI | 1111 |
通过与鲍勃共享密钥后，爱丽丝首先对四个隐写量子比特中的每一个应用一个“扭转操作”，随机地对每个量子比特应用 I、 X、 Y或Z。对该四个量子比特执行此操作需要8比特的密钥。（再次注意，如果爱丽丝的隐写量子比特来自一个平均而言看起来像是最大混合态的压缩源，则无需进行扭转操作。）在扭转之后但编码之前， A和 S子系统的联合态处于状态
$$ \rho_{SA}= \frac{1}{16} \sum_{k=0}^{15} |k\rangle_S\langle k| \otimes|0000\rangle_A\langle 0000| \otimes|\psi_c\rangle_A\langle\psi_c|, $$
其中 $|\psi_c\rangle$是单量子比特载体态。用右矢态 $|k\rangle, k= 0,…,15$来代替它们的二进制表示。爱丽丝现在应用交换么正算符$U_{\text{SWAP}}= U_2U_1$，这两个么正算符定义为
$$ U_1 \equiv \sum_{i=0}^{15} |i\rangle_S\langle i| \otimes E_i^A \otimes O_i^A , $$
$$ U_2 \equiv \sum_{j=0}^{15} (X_j) S \otimes|j\rangle\langle j|_A \otimes I_A^C , $$
其中$E_i$和$O_i$是表11.3中列出的错误算符，按从上到下的顺序排列。这些算符$E_i \otimes O_i$在五量子比特码的编码么正算符作用下，变换为表11.2中的可纠正的单量子比特错误。注意，$E_i$算符作用于辅助量子比特，使得$E_i|0\rangle\propto |i\rangle$。在公式(11.15)中， $X_j$是 $X_j^1 \otimes X_j^2 \otimes X_j^3 \otimes X_j^4$的简写形式，其中$j_1\cdots j_4$是 $j$的二进制表示。在应用酉算符 $U {\text{SWAP}}$后，系统

完美码的编码错误算子。该表列出了每个单量子比特泡利错误对应的在伴随式空间上作用的算符$E_i$以及在逻辑量子比特上作用的算符 $O_i$。
$E_i$
IIII
XIII
IXZZ
XIZI
IIZX
XZZX
IIZX
XIIX
IXIII
IXZZ
ZXIX
YXIX
IIZI
XYZX
−XIYZ
YXIX

处于态
$$ \rho’= \frac{1}{16} \sum_{k=0}^{15} |0000\rangle_S\langle 0000| \otimes|k\rangle_A\langle k| \otimes O_k|\psi_c\rangle_A\langle\psi_c|O_k. $$
注意，原始的隐写量子比特现在都处于态 $|0\rangle$。它们所包含的量子信息已被交换到伴随式子系统中。

爱丽丝将编码么正算符$U_E$应用于子系统$A$并丢弃子系统$S$。该编码么正算符$U_E$在图11.3中以量子电路形式展示。生成的码字对伊芙而言必须看起来合理。在此情况下，她试图匹配公式(11.2)中的去极化信道。编码后的无错状态为
$$ \rho_c= U_E(|0000\rangle\langle 0000| \otimes|\psi_c\rangle\langle\psi_c|) U_E^\dagger . $$
通过如前所述将隐写量子比特交换到伴随式空间中，爱丽丝实际上已经制备好了该态
$$ \rho’ c= \sum {k=0}^{15} E_k \rho_c E_k^\dagger, $$
其中$E_k$是来自表11.2的单量子比特错误（包括“无错误”操作符$E_0= IIIII$）。要合理使用五量子比特码，错误率 p必须足够低

双量子比特错误表。该表代表了六种不同编码，每种编码使用十六个不同的错误算符及其相应不同的伴随式。粗体的错误算符是单一编码的一个示例。
伴随式$i$
0001
0011
0101
0111
1001
1011
下页继续

因此，单量子比特错误同时发生的情况很少见。所以，如果伊芙截获该态并检查错误伴随式，结果对于一个经过去极化信道的码字来说应该是合理的。

11.6.2 两种错误编码

完美码可以纠正其码字中单个量子比特上的任意错误。只要错误率 p足够低，该码就能在大多数情况下正确传输量子信息。但至少偶尔会（以与$p^2$成比例的速率）出现权重为二或更高的错误。这些错误无法被纠正，但会不时发生。因此，考虑对应于权重为二错误的隐写编码是合理的，这与前一小节中对权重为一错误所采取的做法相同。

考虑所有双量子比特错误的集合。共有九十种此类错误。这九十种双量子比特错误自然地分为六组，每组包含十五种错误，每组中的每一种错误对应于十五个非零伴随式之一。如果再包含“无错误”算符，则每组对应一种能够传输四个隐写量子比特的编码。这六组列于表11.4中。当爱丽丝向鲍勃发送四个隐写量子比特时，她必须使用全部十六个不同的伴随式。该表中的一行覆盖全部十六个伴随式，对应于一种单一编码。每种编码的执行过程与之前所述的单错误情况完全相同，只是在公式（11.14）中使用表11.4中的算符$E_i$和 $O_i$，而不是表 11.3中的算符。

以非常类似的方式，我们可以找到对应于权重为三或更高的错误的编码。然而，只有当错误率 p足够低，使得三量子比特错误极不可能发生，并且可能的编码数量非常多时，爱丽丝和鲍勃才有可能使用{5,1,3}码，因此这些编码被省略了。无论如何，我们都可以通过与上述单错误和双错误编码完全相同的过程来找到这些编码。

11.6.3 秘密量子比特传输速率

前两个小节中给出的编码假设使用单次协议，其中隐写量子比特被编码到单个五量子比特码的码字中。如果爱丽丝想要向鲍勃发送多条消息，这种方案将不再适用。因为几乎每个码字都出现一个或两个单量子比特错误会迅速引起怀疑。对于更长的消息，大多数块应没有错误；偶尔某个块出现一个错误，极少数情况下出现两个错误（即不可纠正错误）。错误模式应与所模拟的量子信道的统计特性相匹配。本小节假设信道为错误概率为p的去极化信道，但对其他信道也可进行类似分析。

对爱丽丝来说，最直接的方法是逐块改变她所使用的编码方式（如果有的话），每一块的选择由共享密钥决定。假设爱丽丝有一些希望传输给鲍勃的秘密量子比特。她向鲍勃连续发送五量子比特码字，每个码字都编码了一个无害的载体

双量子比特错误表。（续）
伴随式$i$
1101
1111

量子比特在 {5,1,3}码中。根据密钥，她选择一个包含“错误”的码字子集，并使用前一小节中的编码方式之一，在每个这样的码字中编码四个量子比特。鲍勃根据自己持有的密钥副本，知道哪些码字包含隐写量子比特以及使用了哪种编码，因此当他接收到这些码字时可以将其提取出来。这是第11.3节所述局部编码的更复杂版本。

我们希望在爱丽丝的编码方案与去极化信道中错误概率分布相匹配的约束下，最大化爱丽丝可以发送给鲍勃的隐写量子比特数量。对于一个五量子比特码字，无错误的概率是 $p_0=(1 -p)^5$；存在15种等概率的单量子比特错误，总概率为 $p_1=5p(1 -p)^4$，以及90种等概率的双量子比特错误，总概率为 $p_2= 10p^2(1 -p)^3$。当然还可能存在三、四和五量子比特错误，但这些错误发生的可能性非常小，因此被省略。

对于每个5量子比特块，存在三种不同情况。情况0不使用编码且不传输任何隐藏信息。其伴随式始终为 $s_0 \equiv 0000$表11.3中的值。情况1对应所有单量子比特错误以及无错误的情况，且概率相等。这些是同一表中 $s_0 \equiv 0000$到 $s_{15} \equiv 1111$的伴随式。该编码在小节11.6.1中描述。此情况包含一种单一编码，并传输四个隐写量子比特。情况2对应所有双量子比特错误的集合。如小节11.6.2所述，共有六种此类编码，每种编码可隐藏四个量子比特，且每种编码应以相等的概率使用。这些编码总结于表11.4中。

我们现在可以求解每种情况应使用的频率，以匹配信道的统计特性。设 $Q_0$、 $Q_1$和 $Q_3$分别为爱丽丝使用这三种情况的占比。信道分布的约束条件为
$$ p_0=(1 -p)^5= Q_0+ \frac{1}{16} (Q_1+ Q_2), $$
$$ p_1= 5p(1 -p)^4= \frac{15}{16} Q_1, $$
$$ p_2= 10p^2(1 -p)^3= \frac{15}{16} Q_2, $$
可以求解以得到
$$ Q_0=p_0 -(p_1+p_2)/15, Q_1=(16/15)p_1, $$
$$ Q_2=(16/15)p_2. $$
请注意，这些数值加起来并不完全等于1，因为忽略了权重为三或更高的错误。对于较小的p，它们会接近1，此时分数可以重新归一化；或者如果爱丽丝和鲍勃将进行足够大量的秘密通信，以至于三量子比特及更高权重的错误不应被忽略，那么可以针对这些情况设计更多的编码方案。在上述约束条件下，爱丽丝每次信道使用平均可发送给鲍勃的隐写量子比特数为
$$ R_{\text{5-qubit}}= 4(Q_1+ Q_2)/5=(64/75)(p_1+p_2) = \frac{64}{15}p(1 -p^2)(1 -p)^2. $$

11.6.4 与跨块编码的比较

隐写通信速率

如果将上述编码方案与第11.3节中描述的局部编码进行比较，五量子比特码方案以渐近速率 $R_{\text{5-qubit}} \approx(64/15)p$（主导项）传输秘密量子比特，而纯局部编码以渐近速率$R_{\text{local}} \approx p$传输秘密量子比特。这是速率上的四倍以上提升，显示出利用伴随式进行编码的优势。然而，两种速率都与p呈线性关系。原则上，还可以做得更好。

爱丽丝和鲍勃不必将每个五量子比特码字视为独立的编码问题，而是可以将整个 M个码字序列看作一个大小为 $N= 5M$的大码块。这个大码字的错误伴随式将是各个块的错误伴随式的序列。爱丽丝和鲍勃可以选择一组典型的伴随式序列作为他们的码字，并将隐藏的量子比特编码在这些非局域态中。该方案的渐近速率为$R_{\text{syndrome}} \approx s(p)= -p\log_2p -(1 -p) \log_2(1 -p)/3$个秘密量子比特每信道使用，远优于 $O(p)$。在五量子比特编码方案中，信息在每个块内是非局域存储的，但在整个 M个块的序列中是局域的。同样，这种编码方式并未利用错误位置来传递信息。当底层物理信道实际上是无噪声时，对典型错误序列进行编码显然更优越。

密钥使用率

在密钥使用方面也存在类似的优点。为了便于比较，忽略扭转操作中使用的密钥，仅考虑编码过程本身消耗的密钥量。在纯局部编码中，每次信道使用的渐近密钥消耗率为
$$ K_{\text{local}}= \lim_{N\to\infty} \frac{1}{N} \log_2\binom{N}{(4/3)pN}. $$
对于基于局域5量子比特块伴随式的编码，每个信道使用下的密钥消耗的渐近速率变为
$$ K_{\text{local}}= -\frac{1}{5}(Q_0 \log_2 Q_0+ Q_1 \log_2 Q_1+ Q_2 \log Q_2/6), $$
这是渐近情况下为每个5量子比特块选择编码所需的信息量除以5的结果。对于较小的p，该值近似为$(1/5)h(16p/3)$（因为双量子比特编码很少被使用），因此其缩放行为与局部编码相似，尽管绝对水平较低。相比之下，在无噪声情况下，跨块的伴随式编码（不包括扭转操作）的密钥消耗率$R_{\text{syndrome}}$在渐近情况下趋近于零。这种编码的优势是显而易见的。（在第 11.9节中，我们将展示当底层信道有噪声时，这一优势虽不那么显著，但依然存在。）

11.7 保密性与安全性

对于隐写协议，我们必须区分保密性——包含隐藏信息的消息与普通消息不可区分——和安全性——即使窃听者知道隐藏消息的存在，也无法读取该消息。安全性的条件与传统密码学中的条件相同，其量化方法已被充分理解。扭转操作每传输一个隐写量子比特需消耗两个共享密钥比特，可为隐藏的量子信息提供安全保障。这相当于量子版本的一次一密，若要求完美安全性，则此方法是最优的[22]。

量子隐写协议中的保密性量化条件是什么？最重要的问题是：爱丽丝和鲍勃能否避免引起伊芙怀疑他们在传输秘密消息？为此，爱丽丝发送的消息必须尽可能逼真地模拟伊芙所期望的信道。这一要求可以量化。设$\mathcal{E} C$为伊芙期望的 N量子比特上的信道，而 $\mathcal{E}_S$为爱丽丝和鲍勃通过他们的隐写协议产生的有效信道。若对于某个较小的 $\varepsilon> 0$，$\mathcal{E}_S$在钻石范数距离上与 $\mathcal{E}_C$相差不超过 $\varepsilon$，则该协议是$\varepsilon$‐保密的。
$$ |\mathcal{E}_S -\mathcal{E}_C| \diamond \le \varepsilon. $$
钻石范数直接关联到伊芙在理想情况下（即她控制了两个输入和输出时）区分 $\mathcal{E}_C$与$\mathcal{E}_S$的概率[27]，因此

对她实际区分它们的能力施加了一个上界。正确区分两个信道$\mathcal{E} S$和 $\mathcal{E}_C$的最优概率是
$$ P {\text{opt}}= \frac{1}{2}+ \frac{1}{4} |\mathcal{E} S -\mathcal{E}_C| \diamond. $$
因此，钻石范数距离可以作为衡量爱丽丝发送给鲍勃的量子消息“无辜性”的质量指标：如果伊芙无法区分包含隐写消息的信道与她所预期的信道，则该隐写编码满足保密准则。

钻石范数定义如下[28]。设$\mathcal{N}: \mathcal{L}(V) \to \mathcal{L}(W)$为任意超算符，其中$\mathcal{L}(V)$是希尔伯特空间$V$上线性算符的空间。则 $\mathcal{N}$的钻石范数为
$$ |\mathcal{N}| \diamond \equiv \left| \mathcal{I} {\mathcal{L}(V)} \otimes\mathcal{N} \right| {\text{tr}}, $$
其中$|\mathcal{N}| {\text{tr}} $定义为
$$ |\mathcal{N}| {\text{tr}} \equiv \max \rho{|\mathcal{N}(\rho)| {\text{tr}}: \rho \in \mathcal{L}(V),|\rho| {\text{tr}}= 1}. $$
公式(11.29)中的最大化是针对所有密度矩阵$\rho$进行的。（当希尔伯特空间是无限维时，我们取上确界而非最大值。） 原则上，钻石范数距离可以针对任何信道进行计算，但计算过程不一定简单。然而，对于某些标准信道，例如二进制对称信道和去极化信道，该计算可以以闭式形式完成。

11.7.1 二进制对称信道的钻石范数距离

比较两个BSCs，$\mathcal{N} p$错误率为p（翻转每个比特的概率）和$\mathcal{N}_r$错误率为$r= p+ \delta p$。BSC由公式(11.1)给出。假设 $0< p< r<1/2$。在隐写术的背景下，p可能是底层信道的错误率，而 $\delta p$可能表示编码的秘密消息所引入的额外噪声。BSCs的一个良好性质是它们构成一个对复合封闭的单参数族；因此 $\mathcal{N}_p \circ \mathcal{N}_q= \mathcal{N}_q \circ \mathcal{N}_p=\mathcal{N} {p+q−2pq}$。爱丽丝和鲍勃将添加错误率 $q= \delta p/(1 −2p)$的错误。

两个信道的差异现在可以表示为
$$ (\mathcal{N} r -\mathcal{N}_p)\rho=(p− r)\rho+(r −p)X\rho X= \delta p(−\rho+ X\rho X). $$
信道$\mathcal{N}_p $和 $\mathcal{N}_r$的差值的钻石范数是
$$ \left| \mathcal{N}_r -\mathcal{N}_p \right| \diamond = \max_\rho \left| ( \mathcal{I} \otimes(\mathcal{N} r -\mathcal{N}_p))\rho \right| {\text{tr}} $$
$$ =(r −p)\times \max_\rho |(I \otimes I)\rho(I \otimes I)−(I \otimes X)\rho(I \otimes X)|_{\text{tr}} . $$

最大值通过将 $\rho= \chi \otimes |0\rangle\langle 0| $（其中 $\chi$是任意密度算符）代入上述方程得到：
$$ \left|\mathcal{N} r -\mathcal{N}_p\right| \diamond=(r −p)|\chi \otimes|0\rangle\langle 0| −\psi \otimes|1\rangle\langle 1|| {\text{tr}} \le(r −p)(1+ 1)= 2(r −p)= 2\delta p. $$
公式(11.33)的第二行使用了三角不等式以及以下事实：对于任意两个算符 A和 B，
$$ |A\otimes B| {\text{tr}}= |A| {\text{tr}} |B| {\text{tr}}. $$
事实上，这个界是紧的，因为这两项彼此正交。因此，从式(11.27)和式(11.33)可以看出，通过在单个量子比特上使用信道，区分两个BSCs（二进制对称信道）的最优概率为
$$ P_{\text{opt}}= \frac{1}{2}(1+ \delta p). $$

对两个量子比特使用两次信道$\mathcal{N} p $可得到映射
$$ (\mathcal{N}_p \otimes\mathcal{N}_p)\rho=(1 −p)^2\rho+p(1 −p)X_1\rho X_1 +p(1 −p)X_2\rho X_2+p^2X_1X_2\rho X_1X_2, $$
其中 $X_1 \equiv X\otimes I$、 $X_2 \equiv I \otimes X$和 $X_1X_2 \equiv X\otimes X$。对于$\mathcal{N}_r \otimes\mathcal{N}_r$也有类似的表达式。然后，两个信道之间的差异是
$$ (\mathcal{N}_r \otimes\mathcal{N}_r−\mathcal{N}_p \otimes\mathcal{N}_p)\rho=(r^2 −2r+ 2p−p^2)\rho +(r − r^2 −p+p^2 )(X_1\rho X_1+ X_2\rho X_2) +(r^2 −p^2 )X_1X_2\rho X_1X_2. $$
两个量子比特上两个BSCs之间差异的钻石范数是
$$ \left| \mathcal{N}_r \otimes\mathcal{N}_r −\mathcal{N}_p \otimes\mathcal{N}_p \right| \diamond = \max_\rho \left| ( \mathcal{I} \otimes(\mathcal{N} r \otimes\mathcal{N}_r −\mathcal{N}_p \otimes\mathcal{N}_p))\rho \right| {\text{tr}} . $$
一种类似于单量子比特的构造可以最大化（11.38）的右边：将 $\rho= \chi \otimes|00\rangle\langle 00| $代入（ 11.38）可得
$$ \left| \mathcal{N} r \otimes\mathcal{N}_r −\mathcal{N}_p \otimes\mathcal{N}_p \right| \diamond = \left| (1 − r)^2 −(1 −p)^2 \right| + 2|r(1 − r)−p(1 −p)| + \left| r^2 −p^2 \right| = 2(r −p)(2 − r −p) = 2\delta p(2 −2p−\delta p), $$
其中在公式(11.39)的第二行中，我们使用了约束条件 $0< p< r<1/2$。因此在双量子比特情况中，
$$ P_{\text{opt}}= \frac{1}{2}+ \frac{1}{2}\delta p(2 −2p−\delta p). $$

仔细检查公式(11.39)可以发现，这些项是二项式分布的。推广到 N量子比特的情况，态 $\rho= \chi \otimes|00\cdots0\rangle\langle 00\cdots0|$在使用 N次二进制对称信道时使钻石范数最大化：
$$ \left| \mathcal{N} r^{\otimes N} −\mathcal{N}_p^{\otimes N} \right| \diamond = \sum_{j=0}^N \binom{N}{j} \left|r^j(1 − r)^{N−j} −p^j(1 −p)^{N−j} \right|. $$

11.7.2 去极化信道的钻石范数距离

计算两个去极化信道（DC）使用次数之间差值的钻石范数 N与前一小节中二进制对称信道的计算类似。该信道的表达式由公式(11.2)给出，并与另一个具有更高速率的去极化信道 $r=p+ \delta p$进行比较。与二进制对称信道情况一样，假设 $0<p< r<1/2$。

与二进制对称信道类似，去极化信道构成一个对复合封闭的单参数族。如果我们以公式（11.4）中使用的形式重写该信道，则这一点更容易看出。
$$ \mathcal{N} p\rho=(1 −p’)\rho+p’(I/2), $$
其中$ p’=(4/3)p$。然后连续应用两个形式为（11.42）且参数分别为$ p’$和$ q’$的映射，等同于应用一个参数为$ p’+ q’ −p’q’$的映射。将此结果代回公式（11.2）的原始形式可得 $\mathcal{N}_p \circ\mathcal{N}_q=\mathcal{N}_q \circ\mathcal{N}_p=\mathcal{N} {p+q−4pq/3}$。

两个去极化映射之间的差异是
$$ (\mathcal{N}_r −\mathcal{N}_p)(\rho)=(p− r)\rho+ \frac{1}{3}(r −p)(X\rho X+ Y\rho Y+ Z\rho Z) = \delta p(−\rho+(1/3)(X\rho X+ Y\rho Y+ Z\rho Z)). $$

为了计算钻石范数，我们必须找到一个两个量子比特的态，使得映射$(I \otimes(\mathcal{N}_r −\mathcal{N}))(\rho) $的迹范数最大化。不难看出，这一目标可通过最大纠缠态$|\Phi^+\rangle\langle\Phi^+|$实现：
$$ \left| (\mathcal{N}_r −\math