JP7312487B2 - 量子鍵配送のための方法及びシステム - Google Patents

Description

本開示は、量子鍵配送（ｑｕａｎｔｕｍ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ：ＱＫＤ）のための方法及びシステムに関する。

量子鍵配送に対する従来の手法では、すべての誤り及び損失が盗聴行為に起因するものであるという前提が必要になる。このことにより、正規ユーザは、共有した生鍵に関して盗聴者が有する情報量を、正規ユーザのうちの１人の装置と当該信号の損失部分を記述する装置との間の相互情報量と等しいと見なすことを強いられる。その結果、確実にセキュアな鍵を取得するために、プライバシー増幅中に鍵長を大幅に短縮することが必要になる。

本開示の目的は、とりわけ実現可能な鍵レートを向上させ、かつ／又は正規装置間の距離を拡大するために、量子鍵配送によってデータを送信するための改良された手法を提供することである。

この課題を解決するために、独立請求項に従って量子鍵配送のための方法及びシステムが提供される。更なる実施形態は、従属請求項に開示されている。

一態様によれば、量子鍵配送のための方法が提供され、複数のデータ処理装置を備えるシステムにおいて、本方法は、第１のデータ処理装置及び第２のデータ処理装置のうちの少なくとも一方において、量子チャネルに沿って、第１のデータ処理装置と第２のデータ処理装置との間で生じた固有損失を特定するステップと、第１のデータ処理装置において、第１の信号を生成するステップと、第１のデータ処理装置において、少なくとも１つの試験パルス及び第１の信号から生成される信号パルスを含むパルスシーケンスを生成するステップと、量子チャネルを介して、第１のデータ処理装置から第２のデータ処理装置に当該パルスシーケンスを送信するステップと、第２のデータ処理装置において当該パルスシーケンスを受信し、次いで第２のデータ処理装置において、当該パルスシーケンスから第２の信号を測定するステップと、第１のデータ処理装置及び第２のデータ処理装置において無効な信号位置を特定し、次いで当該無効な信号位置を第１のデータ処理装置及び第２のデータ処理装置に提供するステップと、第１のデータ処理装置において、第１の信号及び当該無効な信号位置から第１の照合信号を求め、また、第２のデータ処理装置において、第２の信号及び当該無効な信号位置から第２の照合信号を求めるステップと、第２のデータ処理装置で受信された少なくとも１つの試験パルスから、量子チャネルに沿った総損失を求め、当該総損失及び固有損失から信号損失を特定し、次いで当該信号損失を第１及び第２のデータ処理装置に提供するステップと、第１のデータ処理装置において第１の照合信号を誤り訂正し、かつ第２のデータ処理装置において第２の照合信号を誤り訂正することにより、第１及び第２のデータ処理装置における共有鍵を求めるステップと、当該信号損失から決定された短縮量だけ共有鍵を短縮することにより、当該共有鍵から第１及び第２のデータ処理装置における増幅鍵を求めるステップと、を含む。

別の態様によれば、量子鍵配送のためのシステムが提供され、本システムは複数のデータ処理装置を備え、かつ、第１のデータ処理装置及び第２のデータ処理装置のうちの少なくとも一方において、量子チャネルに沿って、第１のデータ処理装置と第２のデータ処理装置との間で生じた固有損失を特定するステップと、第１のデータ処理装置において、第１の信号を生成するステップと、第１のデータ処理装置において、少なくとも１つの試験パルス及び第１の信号から生成される信号パルスを含むパルスシーケンスを生成するステップと、量子チャネルを介して、第１のデータ処理装置から第２のデータ処理装置に当該パルスシーケンスを送信するステップと、第２のデータ処理装置において当該パルスシーケンスを受信し、次いで第２のデータ処理装置において、当該パルスシーケンスから第２の信号を測定するステップと、第１のデータ処理装置及び第２のデータ処理装置において無効な信号位置を特定し、次いで当該無効な信号位置を第１のデータ処理装置及び第２のデータ処理装置に提供するステップと、第１のデータ処理装置において、第１の信号及び当該無効な信号位置から第１の照合信号を求め、また、第２のデータ処理装置において、第２の信号及び当該無効な信号位置から第２の照合信号を求めるステップと、第２のデータ処理装置で受信された少なくとも１つの試験パルスから、量子チャネルに沿った総損失を求め、当該総損失及び固有損失から信号損失を特定し、次いで当該信号損失を第１及び第２のデータ処理装置に提供するステップと、第１のデータ処理装置において第１の照合信号を誤り訂正し、かつ第２のデータ処理装置において第２の照合信号を誤り訂正することにより、第１及び第２のデータ処理装置における共有鍵を求めるステップと、当該信号損失から決定された短縮量だけ共有鍵を短縮することにより、当該共有鍵から第１及び第２のデータ処理装置における増幅鍵を求めるステップと、を実行するように構成されている。

第１の信号がビット・ストリングであってもよく、好ましくは物理乱数生成器を使用して生成されてもよい。信号パルスはそれぞれ、第１及び第２の信号の信号位置に対応してもよい。信号位置はまた、２つの信号パルス又は複数の信号パルスに対応してもよい。パルスシーケンスは、デコイパルスをさらに含んでいてもよい。

本開示の文脈では、量子チャネルに沿った固有損失を特定するステップは、量子チャネルに沿った固有損失を測定するステップを含んでいてもよい。代替的に、又は付加的に、固有損失はまた、予め収集された測定値又はメーカー情報に基づいて特定されてもよい。

固有損失は、少なくとも１つの光反射率計を使用して検出されてもよい。固有損失が、好ましくは光反射率計によって、自然発生イベントを事前に検出し、かつ記録することによって特定されてもよい。当該イベントは、コネクタ、溶接部、湾曲部及び／又はクラック部の損失を含んでいてもよい。

量子チャネルは光ファイバを含んでいてもよく、かつ／又は試験パルス及び信号パルスは光パルスであってもよい。

光ファイバの透過率は、Ｔ＝１０^－μ・Ｄとしてスケーリングされてもよく、ここで、Ｄは第１のデータ処理装置（「アリス」）と第２のデータ処理装置（「ボブ」）との間の光ファイバの長さ（例えば、ｋｍ単位）を表し、μは、例えば１０^－３ｋｍ^－１～１０^－１ｋｍ^－１の値をとり得る損失パラメータを表す。具体的には、μは０．０２ｋｍ^－１に等しくてもよい。

固有損失（固有の自然損失）は、レイリー散乱損失及びラマン散乱損失を含んでいてもよい。固有損失は、盗聴装置（「イブ」）によって引き起こされないものとして定められてもよい。

第１のデータ処理装置内で生成され、量子チャネルを介して第２のデータ処理装置に送信される、初期信号の強度の低下を測定することによって、固有損失が特定されてもよい。固有損失は、第１及び第２のデータ処理装置に提供されてもよい。当該初期信号は、少なくとも１つの光パルスを含んでいてもよい。

無効な信号位置は、公開チャネルを介して第１のデータ処理装置及び第２のデータ処理装置に提供されてもよい。公開チャネルは、認証済み公開古典チャネルであってもよい。第１のデータ処理装置及び第２のデータ処理装置は、公開チャネルを介して古典信号を交換してもよい。古典信号はまた、量子チャネルを介して交換されてもよい。光ファイバは、量子チャネルと古典チャネルとで共用されてもよい。あるいは、量子チャネルと古典チャネルとは離隔されていてもよい。

量子チャネルは、増幅器を一切含まないか、又は１つ以下の増幅器（例えば、インライン型エルビウム・ドープ・ファイバ増幅器（Ｅｒｂｉｕｍ ｄｏｐｅ ｆｉｂｒｅ ａｍｐｌｉｆｉｅｒ：ＥＤＦＡ）又はラマン増幅器）を含んでいてもよい。

量子チャネルはまた、増幅器が１１０ｋｍ当たり２つ未満となるような増幅器の平均密度を有するか、好ましくは増幅器が１２０ｋｍ、１３０ｋｍ、１５０ｋｍ又は２００ｋｍのうちのいずれか当たり２つ未満となるような増幅器の平均密度を有するようにさらに定められてもよい。

量子チャネル内の隣接する２つの増幅器間の距離は５５ｋｍよりも長くなり、好ましくは６０ｋｍ、７０ｋｍ、８０ｋｍ又は１００ｋｍのいずれかよりも長くなるようにさらに定められてもよい。

固有損失が量子チャネルに沿って均一に分布するように、量子チャネルが構成されていてもよい。

盗聴装置は、量子チャネルへのローカルな物理アクセスのみを有し得るように定められてもよい。例えば、盗聴装置は、量子チャネルの長さの１％未満又は０．１％未満にアクセスすることができる。

補助ビット・シーケンスは、単一の試験パルスに符号化されてもよい。具体的には、単一の試験パルスは、補助ビット・シーケンスに従って第２のデータ処理装置で検証されてもよい。

したがって、総損失は、単一の試験パルスから測定されてもよい。

単一の試験パルスに補助ビット・シーケンスを符号化するステップは、試験パルスのパラメータのうちの少なくとも１つを修正するステップを含んでいてもよい。試験パルスのパラメータは、試験パルスの強度、位相、長さ及び形状を含んでいてもよい。当該位相は、区間［０，π）からサンプリングされてもよく、かつ／又は当該長さは、区間［１ｎｓ，１０^６ｎｓ］からサンプリングされてもよい。

パルスシーケンスは、複数の試験パルス（のシーケンス）を含んでいてもよく、また補助ビット・シーケンスは、複数の試験パルスに符号化されてもよい。好ましくは、複数の試験パルスが、補助ビット・シーケンスに従って第２のデータ処理装置で検証されてもよい。

複数の試験パルスに補助ビット・シーケンスを符号化するステップは、試験パルスのパラメータのうちの少なくとも１つを修正するステップをさらに含んでいてもよい。

単一の試験パルス又は複数の試験パルスを検証するステップは、補助ビット・シーケンスが、第２のデータ処理装置で受信された単一の試験パルス又は複数の試験パルスのいずれかに符号化されているかを判定するステップを含んでいてもよい。

補助ビット・シーケンスが、第２のデータ処理装置で受信された単一の試験パルスにも複数の試験パルスにも符号化されていないと判定された場合、単一の試験パルス又は複数の試験パルスは破棄されてもよい。単一の試験パルス又は複数の試験パルスが破棄される場合、別の試験パルス又は別の複数の試験パルスが、第１のデータ処理装置から第２のデータ処理装置に送信されてもよい。

試験パルスのシーケンス長は、信号パルス長よりも長くてもよい。好ましくは、試験パルスのシーケンス長が、信号パルス長よりも１０^３～１０^６倍長くてもよい。具体的には、試験パルスのシーケンス長は１ｍｓであってもよく、信号パルス長は１ｎｓであってもよい。

試験パルス及び信号パルスはそれぞれ同じ定電力を有してもよく、例えば０，１μＷ～１０μＷの値を有してもよく、具体的には２μＷの値を有してもよい。

試験パルス当たりの平均光子数は、１０^６～１０^１２であり、具体的には１０^１０であってもよい。

好ましくは単一の試験パルス又は複数の試験パルスが第２のデータ処理装置で測定された後に、補助ビット・シーケンスが第１のデータ処理装置で生成され、次いで第２のデータ処理装置に送信されてもよい。補助ビット・シーケンスは、公開チャネルを介して送信されてもよい。補助ビット・シーケンスはランダムに生成されてもよい。

第１の照合信号は、第１の信号から無効な信号位置を破棄することにより、第１の信号から求められてもよい。また、第２の照合信号は、第２の信号から無効な信号位置を破棄することにより、第２の信号から求められてもよい。

無効な信号位置は、第１のデータ処理装置及び／又は第２のデータ処理装置で特定されてもよい。

無効な信号位置の少なくとも１つは、第２のデータ処理装置内の対応する信号パルスの不確定な測定結果を検出することによって特定されてもよい。

無効な信号位置の少なくとも１つは、第１のデータ処理装置の準備基底と、対応する信号パルスに対する第２のデータ処理装置の測定基底とが異なっていることを検出することで特定されてもよい。

総損失は、第１のデータ処理装置で生成された少なくとも１つの試験パルスの第１の強度と、第２のデータ処理装置で受信された少なくとも１つの試験パルスの第２の強度とから測定されてもよい。

具体的には、総損失は、第１の強度から第２の強度への減少量から測定されてもよい。

信号損失は、総損失から固有損失を減算することによって特定されてもよい。

総損失及び／又は信号損失は、第１のデータ処理装置及び／又は第２のデータ処理装置で測定されてもよい。信号損失は、公開チャネルを介して信号損失を共有することにより、第１及び第２のデータ処理装置に提供されてもよい。

無効な位置の数は、信号損失に依存してもよい。

本方法は、第１のデータ処理装置及び第２のデータ処理装置において、第１の照合信号及び／又は第２の照合信号から誤り率を推定するステップをさらに含んでいてもよい。

第１の照合信号からの第１の誤り情報は第１のデータ処理装置で生成され、次いで第２のデータ処理装置に送信されてもよい。

その一方、第２の照合信号からの第２の誤り情報は第２のデータ処理装置で生成され、次いで第１のデータ処理装置に送信されてもよい。

誤り率は、第１のデータ処理装置及び第２のデータ処理装置において、第１の誤り情報及び第２の誤り情報から測定されてもよい。第１の誤り情報は、第１の照合信号の第１のパリティビット又はその一部を含んでいてもよい。第２の誤り情報は、第２の照合信号の第２のパリティビット又はその一部を含んでいてもよい。誤り率は、第１のパリティビットと第２のパリティビットとを比較することによって測定されてもよい。

第１の誤り情報は、第１の照合信号の第１の桁位置サブセットをさらに含んでいてもよく、また、第２の誤り情報は、第２の照合信号の第２の桁位置サブセットを含んでいてもよい。

共有鍵は、当該共有鍵にハッシュ法を適用することによって短縮されてもよい。

具体的には、第１の鍵長を有する鍵を第２の鍵長を有する鍵にマッピングするハッシュ関数が、当該共有鍵に適用されてもよい。第１の鍵長は、当該共有鍵の長さと等しくてもよい。第２の鍵長は、第１の鍵長から短縮量を減じたものであってもよい。ハッシュ関数は、ランダムに決定されてもよい。続いて、第１のデータ処理装置及び第２のデータ処理装置間でハッシュ関数が共有されてもよい。

好ましくは、ランダムな２値テプリッツ行列が当該共有鍵に適用されてもよい。テプリッツ行列は、第１の鍵長に等しい列数と、第１の鍵長から短縮量を減じたものに等しい行数とを含んでいてもよい。

当該短縮量が信号損失から決定されてもよく、さらに信号パルスの少なくとも１つの強度、好ましくは信号パルスの平均強度から決定されてもよい。

具体的には、当該短縮量は信号損失から決定されてもよく、さらに第１のデータ処理装置及び／又は第２のデータ処理装置内の信号パルスの平均光子数から決定されてもよい。

当該短縮量が、信号損失と信号パルスの少なくとも１つの強度（第１のデータ処理装置及び／又は第２のデータ処理装置内の）との積、好ましくは信号パルスの平均強度との積から決定されてもよい。

具体的には、当該短縮量は、信号損失と、第１のデータ処理装置及び／又は第２のデータ処理装置内の信号パルスの平均光子数との積から決定されてもよい。

当該短縮量が、好ましくは第１のデータ処理装置と盗聴装置との間の相互情報量を計算することによって決定されてもよい。

信号パルスの強度は、共有鍵の長さが最大になるように調整されてもよい。具体的には、各信号パルスの強度及び／又は信号パルスの平均強度は、共有鍵の長さが最大になるように調整されてもよい。

より包括的には、試験パルスの第１の強度及び／又は信号パルスの強度は、固有損失に応じて調整されてもよい。

本方法は、コヒーレント一方向プロトコル、差動位相シフトプロトコル、ＢＢ－８４プロトコル、Ｂ－９２プロトコル、Ｔ－１２ ＱＫＤプロトコル、Ｙ－００ ＱＫＤプロトコル、（４＋２）－ＱＫＤプロトコル、ＳＡＲＧ０４ ＱＫＤプロトコル、又は６状態プロトコルのうちの少なくとも１つ（具体的には１つ）に準拠してもよい。

さらに、Ｃｏｒｎｄｏｒｆらによる記載論文、Ｑｕａｎｔｕｍ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｃｏｍｐｕｔａｔｉｏｎ誌、第２巻第５４３６号第１２～２０頁、２００４年が採用されてもよい。

本開示の文脈内では、コヒーレント一方向プロトコル、差動位相シフトプロトコル、ＢＢ－８４プロトコル、Ｂ９２プロトコル（Ｂｅｎｎｅｔｔによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ（ＰＲＬ）誌、第６８巻第２１号第３１２１～３１２４頁、１９９２年）、Ｔ－１２ ＱＫＤプロトコル（Ｌｕｃａｍａｒｉｎｉらによる記載論文、Ｏｐｔｉｃｓ Ｅｘｐｒｅｓｓ誌、第２１巻第２１号第２４５５０～２４５６５頁、２０１３年を参照のこと）、Ｙ－００ ＱＫＤプロトコル（Ｈｉｒｏｔａらによる記載論文、Ｑｕａｎｔｕｍ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ａｎｄ Ｑｕａｎｔｕｍ Ｉｍａｇｉｎｇ国際会議議事録第５１６１巻第３２０～３３１頁、２００４年を参照のこと）、（４＋２）－ＱＫＤプロトコル（Ｂ．Ｈｕｔｔｎｅｒらによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ａ（ＰＲＡ）誌、第５１巻第１８６３～１８６９頁、１９９５年）、ＳＡＲＧ０４ ＱＫＤプロトコル（Ｖ．Ｓｃａｒａｎｉらによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ誌、第９２巻第５号、論文番号０５７９０１、２００４年）、及び６状態プロトコル（Ｂｅｃｈｍａｎｎ－Ｐａｓｑｕｉｎｕｃｃｉらによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ａ誌、第５９巻第６号第４２３８～４２４８頁）の各々は、それぞれのプロトコルの変形をさらに含んでいてもよい。

量子鍵配送のための方法に関する前述の実施形態は、量子鍵配送のためのシステムに対応して提供され得る。

以下では、例示として、図面を参照しながら実施形態について説明する。
量子鍵配送のためのシステム及び潜在的な盗聴装置の配置を示すグラフィカル図である。 量子鍵配送のための方法を示すグラフィカル図である。 信号損失と距離との関数としての試験パルスの試験パルス強度値を示すプロットである。 コヒーレント一方向プロトコルにおける、量子鍵配送のためのシステム及び盗聴装置の配置を示すグラフィカル図である。 距離と信号損失との関数としての信号パルスの最適強度を示すプロットである。 距離と信号損失との関数としての最大鍵レートを示すプロットである。 距離と信号損失との関数としての鍵レート比を示すプロットである。 差動位相シフトプロトコルにおける、量子鍵配送のためのシステム及び盗聴装置の配置を示すグラフィカル図である。 ＢＢ－８４プロトコルにおける最大鍵レートを、距離と信号損失との関数として示すプロットである。 ＢＢ－８４プロトコルにおける鍵レート比を、距離と信号損失との関数として示すプロットである。

図１には、量子鍵配送のためのシステム及び潜在的な盗聴装置１２（慣例的に「イブ」と呼んでいる）の配置を示すグラフィカル図が示されている。本システムは、第１のデータ処理装置１０（慣例的に「アリス」と呼んでいる）と、第２のデータ処理装置１１（慣例的に「ボブ」と呼んでいる）と、を備える。アリス及びボブは、イブとは対照的に、本システムの正規ユーザに対応する。

第１のデータ処理装置１０及び第２のデータ処理装置１１は、量子チャネル１３（伝送線路）を介して信号を交換することができ、具体的には量子信号及び量子状態を交換することができる。量子チャネル１３は光ファイバを備える。

第１のデータ処理装置１０及び第２のデータ処理装置１１は、具体的には公開チャネル１４を介して古典信号をさらに交換することができる。古典信号はまた、量子チャネル１３を介して交換されてもよい。光ファイバは、量子チャネル１３と古典チャネルとで共用されてもよい。あるいは、量子チャネルと古典チャネルとは物理的に離隔され得る。

盗聴装置１２は、量子チャネル１３と公開チャネル１４との両方にアクセスできると仮定される。

図２は、量子鍵配送のための方法を示すグラフィカル図である。

提案している本方法は、盗聴装置１２のあらゆる介入を検出することを目的とした、伝送線路の物理的制御を含む。基礎を成す一態様は、光ファイバ内で光子を搬送する送信パルスから、盗聴装置が情報を取得しようと試みると、伝搬モードへの物理的アクセスが不可避的に必要となることにある。ローカルな物理アクセスの形成は、伝送線路を通る電磁パルスの伝搬を制御することで検出され得る。

提案している本方法では、盗聴装置１２によって流用された信号の正確な割合が測定され、次いでその割合が量子チャネル１３内の自然損失と区別され得る。したがって、盗聴装置１２に対する第１及び第２のデータ処理装置１０、１１の情報優位性が正確に推定され得、これにより、プライバシー増幅後に極めて長い秘密鍵が生成され得る。

即ち、盗聴装置１２の行為を監視するために、第１のデータ処理装置１０から適切な間隔で試験パルスが送信され、これに対応する強度が第２のデータ処理装置１１と照合される。

伝送線路又は光ファイバが適切に設置されている（即ち、著しい屈曲点や粗い接合点がない）と仮定すると、固有損失の大部分は、レイリー散乱及びラマン散乱に起因して生じる。このような損失は、線路全体にわたって分散されている。したがって、伝送線路の相当な部分をカバーするアンテナを備えない限り、盗聴装置１２が分散された信号を効果的に捕捉することは不可能である。しかしながら、そのようなアンテナを秘匿構築することは、事実上実現不可能である。

盗聴者に残された唯一の選択肢は、信号の一部を流用すること、即ち、例えば光ファイバを屈曲させることにより、固有損失とは別に付加的な損失を生じさせて、これを悪用することである。

ただし、そのような人工損失は、第１及び第２のデータ処理装置１０、１１によって特定かつ測定され得る。このことは、盗聴者の行為に関連しない損失の大きさをまず特定すること、即ち、データ信号を送信する前に、線路全体にわたって均一に生じる損失を測定することによって達成され得る。その後、盗聴装置１２によって傍受された可能性がある、新たに生じた局所的な信号漏洩が正確に特定され得る。こうした把握により、最も効率的な暗号化及び測定ルーチンが確実に実行され、次いで事後選択処理が決定される。

したがって、第１のステップ２１で、量子チャネル１３に沿って、第１のデータ処理装置１０と第２のデータ処理装置１１との間で生じた固有の（自然）損失１－Ｔ（光ファイバの透過率ＴをＴ＝１０^－μ・Ｄとしてスケーリングし、光ファイバの長さをＤとし、規格化定数をμとする）が特定される。第１のデータ処理装置１０内で生成され、量子チャネル１３を介して第２のデータ処理装置１１に送信され、かつそこで受信される初期信号の強度低下を測定することにより、固有損失１－Ｔが特定されてもよい。当該初期信号は、少なくとも１つの光パルスを含んでいてもよい。

固有損失１－Ｔはまた、パラメータ表又はファイバメーカー情報を参照するなどして、光ファイバの所与かつ所定のパラメータ又は特性として特定されてもよいが、ただし、当該パラメータ表又はメーカー情報が、本開示の文脈において十分に信頼できる情報源であると見なされ得ることを条件とする。

したがって、盗聴装置１２が引き起こした可能性のある局所的な損失は、光ファイバ全体にわたって均一に生じる固有損失１－Ｔと区別され得る。初期の設備設定の一部として、特定された固有損失値１－Ｔが、公開チャネルを介して第１及び第２のデータ処理装置１０、１１で共有される。

光線路内の固有損失に主として寄与しているのは、レイリー散乱（光ファイバ密度が不規則になることによって起こり、最新のファイバでは０．２ｄＢ／ｋｍを超えない）や、ルーティングの仕様に関連する損失、即ち、コネクタ、溶接部、湾曲部、クラック部の損失（「イベント」とも呼ばれる）によるものであり得る。

これらの固有損失は、光反射率計を使用して検出され得る。固有損失を盗聴装置に起因して生じる損失と区別するために、自然発生するすべてのイベントが光反射率計によって事前に検出され、かつ記録されてもよい。

光反射率計を作動させることは、後方散乱光放射を測定し、信号が到達するまでの時間遅延によってイベントまでの距離を計算し、反射係数図を表示し、その結果として当該イベントの分類が可能になることに基づいている。最新の反射率計では、最大５００ｋｍの距離からイベントをリアルタイムで識別することができる。

第２のステップ２２で、第１の信号、即ち長さＬの第１のビット・シーケンス（ビット・ストリング）Ｒ_Ａが第１のデータ処理装置１０で生成される。第１の信号は、第１のデータ処理装置１０で生成された一連のｌ個の信号（光）パルスに符号化される。

さらに、単一の試験パルス又は複数の試験パルスが第１のデータ処理装置１０で生成され、これらは信号パルスと共に光パルスのパルスシーケンスを形成する。

１つ又は複数の試験パルスは、第１のビット・シーケンスＲ_Ａに関する情報を含んでいないが、介入推定に使用される。第２のデータ処理装置１１の検出手段が確実に損傷を受けないようにする一方で、１つ又は複数の試験パルスが可能な限り最高の強度を有することが好ましい。

試験パルスのシーケンスの長さτ_ｔｅｓｔは、信号パルスの長さτ_{ｓｉｇｎａｌ}よりもはるかに長くなければならず、例えば、τ_ｔｅｓｔ＝１ｍｓとなり、τ_{ｓｉｇｎａｌ}＝１ｎｓとなる。試験パルスのシーケンスは、１つの信号パルスよりも多くの光子を含む必要がある。両形式のパルスは、同じ定電力Ｐを含み得、例えばＰ＝２μＷとなり得る。試験パルス当たりの平均光子数は

となり、ここでνは光周波数である。

例えば盗聴装置１２によって試験パルスが確実に不正操作されないようにするために、１つ又は複数の試験パルスが以下のように調整される。

単一の試験パルスの場合、第１のデータ処理装置１０で補助ビット・シーケンスが生成され、次いで試験パルスに符号化される。補助ビット・シーケンスは、特定の試験パルスのパラメータ、例えば、試験パルスの強度、位相（例えば、０～π）、長さ（例えば、１ｎｓ～１０^６ｎｓ）、及び／又は形状を修正することによって、試験パルスに符号化されてもよい。

複数の（一連の）試験パルスの場合、生成された補助ビット・シーケンスが試験パルスのシーケンスに符号化される。これを目的として、異なる試験パルスの強度又は位相が複数の試験パルスにおいて調整されてもよい。

試験パルスのパラメータが盗聴者に知られている場合、原理上は試験パルスが傍受される可能性があり、また、不正操作された試験パルスが盗聴者から送信されて、それらの存在が隠蔽され得る。このような不正操作を防止するためには、補助ビット・シーケンスをランダムに生成し、第２のデータ処理装置１１で試験パルスを測定した後にのみ、当該パラメータを比較すればよい。このようにして、盗聴者は、最初にパルスを測定し、その後に当該パルスを再生することを強いられるため、これにより送信が遅延することになる。そのような遅延は、正規装置によって容易に検出され得る。

第３のステップ２３で、パルスシーケンスが量子チャネル１３を介して、第１のデータ処理装置１０から第２のデータ処理装置１１に送信される。

第４のステップ２４で、当該パルスシーケンスが第２のデータ処理装置１１で受信かつ測定される。また、第２のデータ処理装置１１において、当該パルスシーケンスを復号することで、当該パルスシーケンスから第２のビット・シーケンスＲ_Ｂに対応する第２の信号が求められる。

単一の試験パルス又は複数の試験パルスが第２のデータ処理装置１１で受信かつ測定された後、補助ビット・シーケンスが第２のデータ処理装置１１に送信され、対応する試験パルスのパラメータが検証される。

第２のデータ処理装置１１におけるパルス測定値のいくつかが、不確定結果をもたらす可能性があり、あるいはこれらのパルスのうちの１つに対して、誤った測定基底が選択されている可能性がある。対応するビット位置（無効な信号位置）は破棄される必要がある。

これらを破棄するために、第５のステップ２５で、不確定結果に対応する信号位置が、公開チャネル１４を介して第２のデータ処理装置１１から第１のデータ処理装置１０に送信される。さらに、基底不一致を特定するために、信号位置ごとの対応する準備基底と測定基底とが、公開チャネル１４を介して第１及び第２のデータ処理装置間で共有されてもよい。

したがって、第１の信号から無効な信号位置を破棄することにより、第１の信号及び無効な信号位置から第１の照合信号が求められ得る。同様に、第２の信号から無効な信号位置を破棄することにより、第２の信号及び無効な信号位置から第２の照合信号が求められ得る。第２のデータ処理で確定的な測定結果になる確率を

で表すと、第１及び第２の照合信号の長さは平均して

に等しくなる。

第６のステップ２６で、量子チャネル１３に沿った総損失（値）ｒ_{ｔｏｔａｌ}が、第２のデータ処理装置１１で受信された少なくとも１つの試験パルスから測定される。これを目的として、第１のデータ処理装置から第２のデータ処理装置に至る少なくとも１つの試験パルスの強度低下が測定される。具体的には、総損失ｒ_{ｔｏｔａｌ}は、散乱行列によって測定され得る。

続いて、信号損失（値）ｒ_Ｅが総損失ｒ_{ｔｏｔａｌ}及び固有損失１－Ｔから、総損失ｒ_{ｔｏｔａｌ}から固有の信号損失１－Ｔを減算することによって求められ、即ちｒ_Ｅ＝ｒ_{ｔｏｔａｌ}－（１－Ｔ）となる。さらに、当該信号損失は、公開チャネル１４を介して第１及び第２のデータ処理装置１０、１１で共有される。

第２のデータ処理装置１１における試験パルス強度

の測定誤り

は、光のポアソン統計に起因して生じるので、次式（１）の通りとなり、

ここで、

は、第１のデータ処理装置１０における試験パルス強度に対応する。１つの試験パルスで、大きさ

の漏洩を検出することができる。最小の検出可能信号損失量ｒ_{Ｅ，ｍｉｎ}について、次式（２）が成り立つ。

図３は、ｒ_{Ｅ，ｍｉｎ}とＤ（ｋｍ単位でスケーリング）との関数としての試験パルスの試験パルス強度値

を示すプロットである。ｒ_{Ｅ，ｍｉｎ}のより小さい値とＤのより大きい値とは、

のより大きい値に対応する。

第７のステップ２７（図２を参照のこと）で、第１及び第２の照合信号に対して誤り訂正が実行される。これを目的として、第１のデータ処理装置１０で第１の照合信号から第１のパリティデータが生成され、次いで第２のデータ処理装置に送信されてもよい。付加的に又は代替的に、第２のデータ処理装置１１で第２の照合信号から第２のパリティデータが生成され、次いで第１のデータ処理装置１０に送信されてもよい。

その後、第１の照合信号と第２の照合信号との差が求められ、次いで訂正され得る。第１のパリティデータは、第１の照合信号の第１のデータブロックの第１のパリティビットを含んでいてもよく、第２のパリティデータは、第２の照合信号の第２のデータブロックの第２のパリティビットを含んでいてもよい（ＣＡＳＣＡＤＥ方式）。あるいは、第１のパリティデータは、第１の照合信号の第１のシンドロームを含んでいてもよく、第２のパリティデータは、第２の照合信号の第２のシンドロームを含んでいてもよい（線形誤り訂正符号方式又は線形ブロック符号方式）。

第１のパリティデータ及び／又は第２のパリティデータから、誤り率が推定されてもよい。

第１及び第２の照合信号を誤り訂正することにより、第１及び第２のデータ処理装置１０、１１の両方で共有鍵が特定される。

第８のステップ２８で、共有鍵を短縮すること（プライバシー増幅）により、第１及び第２のデータ処理装置１０、１１で共有鍵から増幅鍵が求められる。当該共有鍵は、信号損失から決定された短縮量だけ短縮される。したがって、増幅鍵に関して盗聴者が有する情報がほとんどないことになる。

これを目的として、ランダムな２値テプリッツ行列Ｔが求められ、かつ公開共有されてもよい。増幅鍵は、このテプリッツ行列Ｔを共有鍵に（好ましくは行ベクトルとして）乗算する（好ましくは左乗算する）ことによって求められてもよい。Ｔの列数は共有鍵の長さに対応していてもよく、Ｔの行数は、信号損失から決定される短縮量を当該鍵の長さから減じたものに対応していてもよい。

第１のデータ処理装置１０と盗聴装置１２との間の最大相互情報量（本方法に従って信号損失を特定することを考慮に入れる）をｍａｘＩ’（Ａ，Ｅ）で表すと、増幅鍵の長さが次式（３）の通りに記述されてもよい。

本方法において特定された信号損失を考慮することにより、従来の手法と比較して当該短縮量が大幅に少なくなり、長さが延長された増幅鍵が得られるようになる。

以下で本方法について、いくつかの典型的な量子鍵配送プロトコルによってさらに例示する。しかしながら、本開示の手法は、これらのプロトコルの変形を用いて、又は他の量子鍵配送プロトコルを用いて同様に実施されてもよい。

コヒーレント一方向（ＣＯＷ）量子鍵配送プロトコル
ＣＯＷ ＱＫＤプロトコル（例えば、Ｓｔｕｃｋｉらによる記載論文、Ａｐｐｌｉｅｄ Ｐｈｙｓｉｃｓ Ｌｅｔｔｅｒｓ誌、第８７巻第１９号、論文番号１９４１０８、２００５年を参照のこと）では、第１のデータ処理装置１０が、強度変調器４１と共に減衰レーザ４０を備える（図４を参照のこと）。レーザ４０は、平均光子数｜γ｜^２のコヒーレント状態を生成して、ランダム・ビット・ストリングである第１の信号を、空でないパルス（量子状態｜γ〉に対応する）及び空のパルス（量子状態｜０〉に対応する）から成る二重パルスに符号化するように構成されている。したがって、ゼロ値ビットは｜０〉｜γ〉となるように符号化されてもよく、１値ビットは｜γ〉｜０〉となるように符号化されてもよい。

第２のデータ処理装置１１は、主検出器４２と、第２の検出器４３と、第３の検出器４４と、を備える。第１及び第２のデータ処理装置１０、１１は、第２及び第３の検出器４３、４４での干渉可視性を推定し、これを用いて盗聴装置１２によって傍受された情報量を推定してもよい。

すべての二重パルスの小部分ｆ≪１は、デコイ状態（デコイパルス）｜γ〉｜γ〉に対応する。第２のデータ処理装置１１における干渉計の長アームは、空でない２つの隣接パルスが最後のビームスプリッタ（図４には示さず）で干渉するような長さを有する。このため、第３の検出器４４は、デコイ状態のトリガとはならない。主検出器４２を使用して、パルスのうちの１つの到達時間が監視される。コヒーレントパルスにおける光子数がポアソン統計に従うために、主検出器４２は、空でないパルスのトリガとはならないことがある。第２のデータ処理装置１１では、このような測定結果は不確定と解釈される。

すべてのパルスを送信した後、第１のデータ処理装置１０は、第２のデータ処理装置１１に対して用意されたのがデコイパルスであるのか信号パルスであるのかを示す情報を送信する。事後選択処理は、デコイパルスを解析し、次いで無効な信号位置、具体的には不確定結果に対応する信号位置を破棄するステップを含む。潜在的な盗聴装置１２は、更なる誤りを発生させる可能性がある。その結果、第２のデータ処理装置１１は、量子チャネル１３内の対応する損失があるために、予想されるよりもより不確定な結果を得ることになる。

原ＣＯＷ ＱＫＤプロトコルにおける鍵レートの上限推定値を定めるために、想定可能なあらゆる盗聴攻撃を考慮することができる。例えば、盗聴装置１２が、信号の損失部分を取得したと見なされてもよい。第１のデータ処理装置１０から送信されたビット（「Ａ」）に関して盗聴装置１２（「Ｅ」）で取得される最大情報量ｍａｘＩ（Ａ，Ｅ）は、等確率状態については以下（４）の結果をもたらす、ホレボ限界によって推定され得、

ここで、Ｉ（Ａ，Ｅ）は、第１のデータ処理装置１０と盗聴装置１２との間の相互情報量を表し、χはホレボ容量又はホレボ限界を表し、ｈ_２は、２値エントロピー関数を表し、Ｔ＝１０^－μＤは、量子チャネル１３（光線路全体）の透過率を表し、Ｄは、光線路の長さを表し、そしてμは、損失パラメータを表す。光ファイバ内の損失の典型的な値は、μ＝０．０２ｋｍ^－１である。

第２のデータ処理装置１１で確定的な測定結果になる確率

は、次式（５）の通りに記述することができ、

ここで、｜γ｜^２は、第１のデータ処理装置１０におけるパルス強度を表す。

盗聴装置で取得可能な情報を排除するために、確立された共有鍵に対してプライバシー増幅又は鍵蒸留が実行されてもよい。例えば、第１のデータ処理装置と第２のデータ処理装置とは、ランダム（ハッシュ）関数

について一致をみる（認証済み公開チャネル１４を介して、あるいはプロトコルが実行される前に）ことができ、それによって、事後選択処理後に取得された長さ

の共有鍵の長さを、次式（６）の通りに短縮することができる。

提案している本方法に従って信号損失ｒ_Ｅを測定する場合、確定的な測定結果になる確率は、次式（７）の通りとなる。

盗聴装置１２によって取得可能な最大情報量を推定するために、対応するホレボ限界から、次式（８）を得ている。

したがって、事後選択処理及びプライバシー増幅の後、提案している本方法による増幅鍵の長さは、次式（９）の通りとなる。

強度｜γ｜^２は、特定の減衰量１０^－μＤに対する最大鍵レートを実現するために、最適化されてもよい。また、このことにより、原ＣＯＷプロトコル（鍵長Ｌ_ｆに対応）の鍵レートと、当該ＣＯＷプロトコルに加えて提案している本方法（鍵長

に対応）の鍵レートとを互いに比較することが可能になる。

これを目的として、式（６）及び式（９）がそれぞれ最適化され、次いでそれぞれの最適強度が求められる。ｒ_Ｅの個々の値について、異なる最適強度が決定されてもよい。

図５は、式（９）を、μ＝１／５０ｋｍ^－１となる場合の距離Ｄと信号損失ｒ_Ｅとの関数として最大化する、信号パルスの最適強度を示すプロットである。任意の距離値Ｄに対して、光チャネル透過率は１０^－μＤとなる。１０^－μＤの最適強度を式（６）及び式（９）に代入することにより、最大鍵レートがｒ_ＥとＤとの関数として計算される。

図６は、μ＝１／５０ｋｍ^－１となる場合の距離Ｄと信号損失ｒ_Ｅとの関数としての、最大鍵レートを示す対応するプロットである。

比較するために、提案している本方法のために求められた鍵レート

と、原ＣＯＷプロトコルの鍵レートである、Ｒ_ｏｒｉｇ＝Ｌ_ｆ／Ｌとの間の鍵レート比Ｒ／Ｒ_ｏｒｉｇが計算される。

図７は、μ＝１／５０ｋｍ^－１となる場合の距離Ｄと信号損失ｒ_Ｅとの関数としての、鍵レート比Ｒ／Ｒ_ｏｒｉｇを示すプロットである。当該ＣＯＷ ＱＫＤプロトコルの場合、提案している本方法では、盗聴装置１２が当該信号の約１０％を取得できる（図７のプロットの上部領域を参照のこと）という悲観的な場合であっても、原手法よりも高い鍵レート値を生成する。約１０％の漏洩を制御することで、とりわけ約１００ｋｍの距離Ｄにおいて、原ＣＯＷ ＱＫＤプロトコルよりも数倍高い鍵レート値を依然として実現している。約１％のｒ_Ｅでは、提案している本方法から得られる鍵レートは約８０倍高くなる。

盗聴者がパルスをブロックするか、又は更なる信号を生じさせるというような、様々な方式の盗聴攻撃が考えられ得る。試験パルスの一部が遮断されるため、そのような攻撃は直ちに検出され得る。さらに、試験パルスの波束形状は、盗聴装置１２の干渉によって著しく変化する。当該ＣＯＷ ＱＫＤプロトコルの場合、このことは、デコイ状態だけでなく、デコイパルスに対応する多数のビットも解析する必要がないことを意味する。

その結果、第２及び第３の検出器４３、４４を備える第２のデータ処理装置から干渉ユニットを取り除くことにより、当該ＣＯＷ ＱＫＤプロトコルのフレームワークが大幅に簡略化され得る。これらの変更を行うことがコスト削減につながって、ＱＫＤ実装をより広く利用可能にすることができる。

差動位相シフト（ＤＰＳ）ＱＫＤプロトコル
図８は、差動位相ＱＫＤプロトコルにおける、量子鍵配送のためのシステム及び盗聴装置の配置を示すグラフィカル図である。

ＤＰＳ ＱＫＤプロトコル（Ｉｎｏｕｅらによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ誌、第８９巻、論文番号０３７９０２、２００２年、及びＩｎｏｕｅらによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ａ誌、第６８巻、論文番号０２２３１７、２００３年を参照のこと）では、第１のデータ処理装置１０のコヒーレント光源８０で生成されたコヒーレントパルスが、位相変調ユニット８１で０又はπだけランダムに位相変調されており、また減衰ユニット８２で時間ビンごとに減衰されている。第２のデータ処理装置１１では、受信した各パルスが、より短い経路８４及びより長い経路８５に沿って、分岐比５０：５０の第１のビームスプリッタ８３によって分割されており、次いで分岐比５０：５０の第２のビームスプリッタ８６によって再結合されている。ビームスプリッタ８３、８６は、経路８４、８５と共に干渉計を構成している。より長い経路８５は、隣接する２つのパルスが第２のビームスプリッタ８６で干渉し合うような長さを有する。

こうした構成により、連続する２つのパルスの部分的な波動関数が、互いに干渉し合うようになる。第１の検出器８７は、干渉計内の適切に測定された位相を用いて連続する２つのパルス間の位相差０についてクリックされ、また、第２の検出器８８は位相差πについてクリックされる。パルスを受信した後、パルスが第２のデータ処理装置１１によって検出された検出時間は、第１のデータ処理装置１０と共有される。第１のデータ処理装置１０は、検出時間及びパルスごとの位相変調を含む変調データから、第１の検出器８７又は第２の検出器８８のいずれがそのパルスについてクリックされたかを判定することができる。

ビット値「０」は、量子状態｜γ〉｜γ〉又は｜－γ〉｜－γ〉のうちの１つを有すると特定されてもよく、またビット値「１」は、量子状態｜γ〉｜－γ〉又は｜－γ〉｜γ〉のうちの１つを有すると特定されてもよい。

第１の検出器のクリックがビット値「０」に対応し、第２の検出器のクリックがビット値「１」に対応すると定義すると、第１及び第２のデータ処理装置１０、１１の両方において、共有鍵に対応する同一のビット・ストリングが確立され得る。

盗聴装置１２が信号の損失部分すべてを取得するような攻撃を考慮すると、原ＤＰＳ ＱＫＤプロトコルにおいて第１のデータ処理装置１０から送信されたビットに関して盗聴装置１２で取得される最大情報量は、次式（１０）に対応する。

確定的な測定値になる確率

を示す数式（５）の構造が保存される。事後選択及びプライバシー増幅の後の鍵長は、次式（１１）に対応する。

これに対して、提案している本方法に従って信号損失ｒ_Ｅを測定する場合、盗聴装置１２によって取得され得る最大情報量は、次式（１２）の通りとなり、

増幅鍵の鍵長は、次式（１３）の通りとなる。

式（１０）～式（１３）中のＤＰＳプロトコルでの表現が、当該ＣＯＷプロトコルの対応する表現と類似しているために、最適な信号強度、鍵レート、及び提案している本方法によるプロトコルの鍵レートと原プロトコルの鍵レートとの間の鍵レート比Ｒ／Ｒ_ｏｒｉｇを解析することにより、ＤＰＳプロトコルと同様の結果が得られる。

ＢＢ－８４プロトコル
ＢＢ－８４プロトコル（Ｂｅｎｎｅｔｔ、Ｂｒａｓｓａｒｄによる「Ｑｕａｎｔｕｍ ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ」、コンピュータ、システム及び信号処理に関するＩＥＥＥ国際会議の議事録、第１７５巻第８頁、ニューヨーク、１９８４年）では、第１のデータ処理装置１０において、ランダムに生成されたストリングの各ビットが、４つの量子状態｛｜０_ｘ〉｜１_ｘ〉，｜０_ｚ〉，｜１_ｚ〉｝のうちの１つに符号化され、相互にバイアスされていない２つの正規直交基底Ｘ及びＺを形成する。ｉ番目のビットは、｜ｉ_ｘ〉又は｜ｉ_ｚ〉に符号化され得、対応する準備基底の選択はランダムに行われる。結果として得られるパルスシーケンスは、第２のデータ処理装置１１に送信される。

第２のデータ処理装置１１では、｛Ｘ，Ｚ｝からの測定基底がビットごとに選択され（成功確率は２分の１）、そこで選択された測定基底で受信された状態又はパルスが測定される。その後、使用される準備基底（及び／又は測定基底）が、例えば、公開チャネル１４を介して、第１及び第２のデータ処理装置１０、１１間で共有される。その結果、平均して共有ビットの半分が破棄されることで、共有鍵が取得される。

このＢＢ－８４プロトコルは当初、１光子パルスを使用することを想定して考案されていた。実験段階のＢＢ－８４を実現したものでは、減衰コヒーレントレーザ光が１つの光子状態の光源として頻繁に使用されている。当該レーザは、ポアソン分布Ｐ_ｎ＝ｅｘｐ（－｜γ｜^２）・｜γ｜^２ｎ／ｎ！を有する光子数状態｜ｎ〉（フォック状態）の統計的混合である未知のランダムな全体位相を伴う（低強度｜γ｜^２の）、弱いコヒーレントパルスを生成し、結果として以下の（１４）のような量子状態をもたらす。

これに応じて、当該レーザが多光子パルスを生成することもできる。光子数分割（ｐｈｏｔｏｎ ｎｕｍｂｅｒ ｓｐｌｉｔｔｉｎｇ：ＰＮＳ）攻撃を行い、すべての余剰光子を取得し、かつ使用した準備基底について第１のデータ処理装置１０が第２のデータ処理装置１１に伝達するまで、それらを量子メモリに記憶させることができる潜在的な盗聴者にとって、このことは原理上有利となる。〈０_ｘ│１_ｘ〉＝〈０_ｚ│１_ｚ〉＝０になる直交条件により、盗聴装置１２は、更なる誤りを一切生じることなく、論理ビット「０」と「１」とを区別することができる。したがって、第１のデータ処理装置１０のレーザによって放出される単一光子パルスのみが、セキュアな量子鍵配送を保証することができる。この場合に実現できる秘密鍵の長さは、次式（１５）の通りとなり、

ここで、Ｑは信号状態又は信号パルスの利得（即ち、信号状態が第２のデータ処理装置１１によって検出される確率である）を表し、Ｅは量子ビット誤り率（ｑｕａｎｔｕｍ ｂｉｔ ｅｒｒｏｒ ｒａｔｅ：ＱＢＥＲ）を表す。Ｑ及びＥの両方を、実験によって容易に取得することができる。また、ｆ（Ｅ）∈［０，１］は誤り訂正の効率を表し、Ｑ_１は単一光子状態の利得（即ち、単一光子パルスが第１のデータ処理装置１０によって放出され、次いで第２のデータ処理装置１１によって検出される結合確率である）を表し、ｅ_１は単一光子パルスの誤り率を表す。

第２のデータ処理装置１１は通常、単一光子パルスから発生した光子と多光子パルスから発生した光子とを区別することができない。したがって、Ｑ_１とｅ_１とを直接求めることはできず、これらを推定する必要がある。現行の最も効率的な推定方法は、デコイ状態（Ｌｏらによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ誌、第９４巻、論文番号２３０５０４、２００５年及びＭａらによる記載論文、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ａ誌、第７２巻、論文番号０１２３２６、２００５年を参照のこと）に基づく。式（１５）中のＬ_ｆの上限を求めるために、２値エントロピー関数ｈ_２の非負性が使用され得、これによりＬ_ｆ≦Ｌ・１／２Ｑ_１が得られる。

盗聴装置１２の行為は、単一光子状態Ｑ_１の利得の減少を引き起こし、この利得は盗聴が行われない場合に、次の

のように最大となる。その結果、原ＢＢ－８４プロトコルの秘密共有鍵の長さの上限が、以下（１６）のように特定され得る。

提案している本手法をＢＢ－８４プロトコルに適用する場合、線路制御式ＣＯＷプロトコルの解析と同様に、特定された信号損失ｒ_Ｅが考慮される。結果として得られる確定的結果となる確率は、次式（１７）の通りとなり、

ここで、係数１／２は、基底照合に起因して生じる。盗聴装置１２が量子メモリを備えていることを想定すると、盗聴装置１２は、基底照合が行われるまで傍受した光子を記憶し、かつ最適な測定を適用することができるため、ビットに関する完全な情報を取得する。したがって、盗聴装置１２によって少なくとも１つの光子が傍受される場合は常に、対応するビットに関して取得された情報は、次式（１８）の通りとなり、
ｍａｘＩ’（Ａ，Ｅ）＝０・Ｐ_Ｅ（０）＋１・Ｐ_Ｅ（≧１） （１８）

ここで、ＰＥ（０）及びＰ_Ｅ（≧１）＝１－Ｐ_Ｅ（０）はそれぞれ、真空状態が傍受される確率と、正の光子数が傍受される確率とを表す。ポアソン統計から、Ｐ_Ｅ（０）＝ｅｘｐ（－ｒ_Ｅ｜γ｜^２）が成り立つ。事後選択及びプライバシー増幅の後、増幅鍵の鍵長は次式（１９）の通りとなる。

ＣＯＷ ＱＫＤプロトコルの文脈で上述したように、式（１６）及び式（１９）中の鍵長Ｌ_ｆ並びに

をそれぞれ最大化するために、信号パルスの最適強度が求められてもよい。続いて、当該最適強度を使用して、信号損失ｒ_Ｅと距離Ｄとの関数としての最大鍵レートが特定されてもよい。図９は、μ＝１／５０ｋｍ^－１となる最大鍵レートを示す、対応するプロットである。

図１０は、提案している本方法で特定された鍵レート

と、原ＣＯＷプロトコルでの鍵レート、Ｒ_ｏｒｉｇ＝Ｌ_ｆ／Ｌとの鍵レート比Ｒ／Ｒ_ｏｒｉｇを、デコイ状態のＢＢ－８４プロトコルでμ＝１／５０ｋｍ^－１となる距離Ｄと信号損失ｒ_Ｅとの関数として示すプロットである。図１０から分かるように、ｒ_Ｅを信号の１％になるまで制御できれば、１００ｋｍの距離において原プロトコルの２０倍を超える鍵レートが実現され得る。

本明細書、図及び／又は特許請求の範囲に開示されている特徴は、単独で、又はそれらの様々な組み合わせで取り入れられる、様々な実施形態を実現するための材料であってもよい。

Claims (15)

1. 複数のデータ処理装置（１０、１１）を備えるシステムにおいて実施可能な量子鍵配送のための方法であって、前記方法は、
   －第１のデータ処理装置（１０）及び第２のデータ処理装置（１１）のうちの少なくとも一方において、量子チャネル（１３）に沿って、前記第１のデータ処理装置（１０）と前記第２のデータ処理装置（１１）との間で生じた固有損失を特定するステップと、
   －前記第１のデータ処理装置（１０）において、第１の信号を生成するステップと、
   －前記第１のデータ処理装置（１０）において、少なくとも１つの試験パルス及び前記第１の信号から生成される信号パルスを含むパルスシーケンスを生成するステップと、
   －前記量子チャネル（１３）を介して、前記第１のデータ処理装置（１０）から前記第２のデータ処理装置（１１）に前記パルスシーケンスを送信するステップと、
   －前記第２のデータ処理装置（１１）において前記パルスシーケンスを受信し、次いで前記第２のデータ処理装置（１１）において、前記パルスシーケンスから第２の信号を測定するステップと、
   －前記第１のデータ処理装置（１０）及び前記第２のデータ処理装置（１１）において無効な信号位置を特定し、次いで前記無効な信号位置を前記第１のデータ処理装置（１０）及び前記第２のデータ処理装置（１１）に提供するステップと、
   －前記第１のデータ処理装置（１０）において、前記第１の信号及び前記無効な信号位置から第１の照合信号を求め、また、前記第２のデータ処理装置（１１）において、前記第２の信号及び前記無効な信号位置から第２の照合信号を求めるステップと、
   －前記第２のデータ処理装置（１１）で受信された前記少なくとも１つの試験パルスから、前記量子チャネル（１３）に沿った総損失を求め、前記総損失及び前記固有損失から信号損失を特定し、次いで前記信号損失を前記第１及び第２のデータ処理装置（１０、１１）に提供するステップと、
   －前記第１のデータ処理装置（１０）において前記第１の照合信号を誤り訂正し、かつ前記第２のデータ処理装置（１１）において前記第２の照合信号を誤り訂正することにより、前記第１及び第２のデータ処理装置（１０、１１）における共有鍵を求めるステップと、
   －前記信号損失から決定された短縮量だけ前記共有鍵を短縮することにより、前記共有鍵から前記第１及び第２のデータ処理装置（１０、１１）における増幅鍵を求めるステップと、を含む、
   方法。
2. 前記量子チャネル（１３）が光ファイバを含み、かつ／又は前記少なくとも１つの試験パルス及び前記信号パルスが光パルスである、請求項１に記載の方法。
3. 前記固有損失が前記量子チャネルに沿って均一に分布するように、前記量子チャネルが構成されている、請求項１又は２に記載の方法。
4. 補助ビット・シーケンスが単一の試験パルスに符号化されており、好ましくは、前記単一の試験パルスが、前記補助ビット・シーケンスに従って前記第２のデータ処理装置（１１）で検証される、請求項１から３のいずれか一項に記載の方法。
5. 前記パルスシーケンスが複数の試験パルスを含み、補助ビット・シーケンスが、前記複数の試験パルスに符号化されており、また好ましくは、前記複数の試験パルスが、前記補助ビット・シーケンスに従って前記第２のデータ処理装置（１１）で検証される、請求項１から３のいずれか一項に記載の方法。
6. 前記第１の照合信号が、前記第１の信号から前記無効な信号位置を破棄することにより、前記第１の信号から求められ、かつ／又は前記第２の照合信号が、前記第２の信号から前記無効な信号位置を破棄することにより、前記第２の信号から求められる、請求項１から５のいずれか一項に記載の方法。
7. 前記総損失が、前記第１のデータ処理装置（１０）で生成された前記少なくとも１つの試験パルスの第１の強度と、前記第２のデータ処理装置（１１）で受信された前記少なくとも１つの試験パルスの第２の強度とから測定される、請求項１から６のいずれか一項に記載の方法。
8. 前記信号損失が、前記総損失から前記固有損失を減算することによって特定される、請求項１から７のいずれか一項に記載の方法。
9. 前記方法が、前記第１の照合信号及び／又は前記第２の照合信号から誤り率を推定するステップをさらに含む、請求項１から８のいずれか一項に記載の方法。
10. 前記共有鍵が、前記共有鍵にハッシュ法を適用することによって短縮される、請求項１から９のいずれか一項に記載の方法。
11. 前記短縮量が前記信号損失から決定され、さらに前記信号パルスの少なくとも１つの強度から決定される、請求項１から１０のいずれか一項に記載の方法。
12. 前記短縮量が、前記信号損失と前記信号パルスの少なくとも１つの強度との積から決定される、請求項１から１１のいずれか一項に記載の方法。
13. 前記信号パルスの強度が、前記共有鍵の長さが最大になるように調整される、請求項１から１２のいずれか一項に記載の方法。
14. 前記方法が、コヒーレント一方向プロトコル、差動位相シフトプロトコル、ＢＢ－８４プロトコル、Ｂ－９２プロトコル、Ｔ－１２ ＱＫＤプロトコル、Ｙ－００ ＱＫＤプロトコル、（４＋２）－ＱＫＤプロトコル、ＳＡＲＧ０４ ＱＫＤプロトコル、及び６状態プロトコルのうちの少なくとも１つに準拠している、請求項１から１３のいずれか一項に記載の方法。
15. 複数のデータ処理装置を備え、かつ、
    －第１のデータ処理装置（１０）及び第２のデータ処理装置（１１）のうちの少なくとも一方において、量子チャネル（１３）に沿って、前記第１のデータ処理装置（１０）と前記第２のデータ処理装置（１１）との間で生じた固有損失を特定するステップと、
    －前記第１のデータ処理装置（１０）において、第１の信号を生成するステップと、
    －前記第１のデータ処理装置（１０）において、少なくとも１つの試験パルス及び前記第１の信号から生成される信号パルスを含むパルスシーケンスを生成するステップと、
    －前記量子チャネル（１３）を介して、前記第１のデータ処理装置（１０）から前記第２のデータ処理装置（１１）に前記パルスシーケンスを送信するステップと、
    －前記第２のデータ処理装置（１１）において前記パルスシーケンスを受信し、次いで前記第２のデータ処理装置（１１）において、前記パルスシーケンスから第２の信号を測定するステップと、
    －前記第１のデータ処理装置（１０）及び前記第２のデータ処理装置（１１）において無効な信号位置を特定し、次いで前記無効な信号位置を前記第１のデータ処理装置（１０）及び前記第２のデータ処理装置（１１）に提供するステップと、
    －前記第１のデータ処理装置（１０）において、前記第１の信号及び前記無効な信号位置から第１の照合信号を求め、また、前記第２のデータ処理装置（１１）において、前記第２の信号及び前記無効な信号位置から第２の照合信号を求めるステップと、
    －前記第２のデータ処理装置（１１）で受信された前記少なくとも１つの試験パルスから、前記量子チャネル（１３）に沿った総損失を求め、前記総損失及び前記固有損失から信号損失を特定し、次いで前記信号損失を前記第１及び第２のデータ処理装置（１０、１１）に提供するステップと、
    －前記第１のデータ処理装置（１０）において前記第１の照合信号を誤り訂正し、かつ前記第２のデータ処理装置（１１）において前記第２の照合信号を誤り訂正することにより、前記第１及び第２のデータ処理装置（１０、１１）における共有鍵を求めるステップと、
    －前記信号損失から決定された短縮量だけ前記共有鍵を短縮することにより、前記共有鍵から前記第１及び第２のデータ処理装置（１０、１１）における増幅鍵を求めるステップと、を実行するように構成されている、
    量子鍵配送のためのシステム。

Images