JP7430926B2 - 長距離量子鍵配送 - Google Patents

Description

本開示は、セキュアな長距離通信を行うために、送信機と受信機との間で共有される秘密暗号鍵を決定するための方法及び通信装置に関する。

量子鍵配送は、高速でセキュアな通信を実現するために、量子リソースを使用する通信プロトコルのコア要素である。量子鍵配送のセキュリティは、送信機（慣例的にアリスと呼んでいる）から受信機（慣例的にボブと呼んでいる）まで延在する量子通信チャネルに沿った光子量子状態の伝送を、安定的に制御することに依存している。

長距離にわたる量子鍵配送は、様々な単一光子源を使用することによって実証されているが、典型的には、鍵交換レートが低いことや、送信機、受信機又は通信チャネルに沿って固有損失及びデコヒーレンスが起こることによる有害な影響、そして慎重に設計された様々な攻撃方式（慣例的にイブと呼んでいる、悪意のある第三者による盗聴）に対する脆弱性の問題を抱えている。

本開示の目的は、そのような制限を克服し、とりわけ長距離にわたり、高い鍵交換レートでのセキュアな通信を有効にする秘密暗号鍵を決定し、かつ配送するための、簡便で実用的な方法及び通信装置を提供することである。

この目的は、請求項１、１３、１４、及び１５に記載の方法、通信装置、コンピュータ可読記憶媒体、並びにコンピュータプログラム製品によって達成される。有利な展開形態及び実施形態を、従属請求項及び以下に続く説明に記載している。

本開示は、セキュアな長距離通信を行うために、空間的に離隔した増幅器を備える通信チャネルを使用することにより、送信機と受信機との間で共有される秘密暗号鍵を決定するための方法に関する。

本方法は、通信チャネルを介して、少なくとも１つの電磁試験パルスを送信機から受信機に送信し、次いで受信機で検出された当該少なくとも１つの電磁試験パルスに基づいて、盗聴者が引き起こした通信チャネル内の信号損失ｒ_Ｅを特定するステップを含む。

本方法は、秘密共有暗号鍵を確立するために、通信チャネルを介して、空間的に離隔した増幅器を通じて送信機から受信機に電磁パルスの第１のシーケンスを送信するステップをさらに含む。

電磁パルスの第１のシーケンスの電磁パルスはそれぞれ、暗号化プロトコルに従ってランダム・ビット・シーケンスのビットに対応している。予想鍵生成レート（Ｌ_ｆ／Ｌ）を、少なくとも１つの暗号化パラメータに関して、予想鍵生成レート（Ｌ_ｆ／Ｌ）の情報理論モデルを用いて最大化することにより、当該暗号化プロトコルの少なくとも１つの暗号化パラメータが求められる。特定されたこれらの信号損失ｒ_Ｅ及び空間的に離隔した増幅器の少なくとも１つの増幅パラメータは、情報理論モデルへの入力パラメータとして考慮される。提案している本方法により、高い鍵生成（又は交換）レート（Ｌ_ｆ／Ｌ）を有する、セキュアでロバストな（量子）鍵配送を実現することができる。ここで、かつ以下では、鍵生成レートＬ_ｆ／Ｌは無次元単位で得られてもよく、ここで、Ｌはランダム・ビット・シーケンス（時間単位の乱数生成レート）の長さであり、また、Ｌ_ｆは、（決定されるべき）秘密共有暗号鍵の長さ（時間単位の最終鍵生成レート）である。比率 Ｌ_ｆ／Ｌは、情報優位性又は正規化された鍵生成レートとも呼ばれ得る。

盗聴者が引き起こした通信チャネル内の信号損失ｒ_Ｅを特定することにより、盗聴者の活動が監視できるようになり、かつ通信チャネルの物理的制御が有効になる。具体的には、情報理論モデルに基づく最大化によって、少なくとも１つの暗号化パラメータを求めることにより、特定された信号損失ｒ_Ｅに基づいて暗号化プロトコルが最適化かつ／又は適合され得、これによって、盗聴者（悪意のある第三者）の存在下であっても、最大鍵交換レートが保証されるようになる。

盗聴者が引き起こした通信チャネル内の信号損失ｒ_Ｅは、標準的な通信技術に基づいて特定されてもよい。より具体的には、受信機で検出された少なくとも１つの電磁試験パルスを、送信機によって送信された（例えば、認証済み公開古典チャネルを介して）少なくとも１つの電磁試験パルスと比較することにより、総信号損失が特定されてもよい。

通信チャネルの固有損失は、例えば測定又はシミュレーションによって把握されていてもよいし、又は事前に特定されてもよい。

必要に応じて、当該通信チャネルは、固有損失が（主として）レイリー散乱によって引き起こされるように構成されてもよい。盗聴者が引き起こした信号損失ｒ_Ｅは、通信チャネルの総信号損失及び固有損失から特定されてもよい。

当該少なくとも１つの電磁試験パルスは、電磁試験パルスのシーケンスを含んでいてもよい。有利には、当該少なくとも１つの電磁試験パルス及び／又は電磁試験パルスのシーケンス内のパルスはそれぞれ、そのパルス強度、パルス位相、パルス長及び／又はパルス形状に関してランダム化されてもよい。

場合によっては、当該少なくとも１つの電磁試験パルスのパルス強度（又は平均光子数）は、第１のシーケンス内の各電磁パルスのパルス強度（又は平均光子数）よりも大きい。

場合によっては、少なくとも１つの電磁試験パルスのパルス持続時間は、第１のシーケンス内の電磁パルスのパルス持続時間よりも長い。当該第１のシーケンス内のすべての電磁パルスは、同じパルス持続時間を共有する可能性がある。少なくとも１つの電磁試験パルスの定電力又は平均電力は、第１のシーケンス内の電磁パルスの定電力又は平均電力に（略）等しくてもよい。

暗号化プロトコルは、電磁パルスの第１のシーケンス内の電磁パルスをそれぞれ、ビット値０又は１を有するビットに割り当てることができる（２進符号化方式）、割り当てルールを含んでいてもよい。好ましくは、個々のビットに対応する第１のシーケンス内の電磁パルスは、（略）非直交である。有利には、第１のシーケンスの各電磁パルスに含まれる平均光子数は、１よりも多い。

当該暗号化プロトコルの暗号化モードは、位相暗号化又は強度暗号化に対応してもよい。必要に応じて、当該暗号化プロトコルは、第１のシーケンス内の電磁パルスの位相がランダム・ビット・シーケンスに従って変調される位相暗号化、又は第１のシーケンス内の電磁パルスの強度がランダム・ビット・シーケンスに従って変調される強度暗号化のいずれかに対応している。他の暗号化モードも有効であり、異なる暗号化モードを組み合わせて使用してもよい。

位相暗号化が暗号化プロトコルの暗号化モードである場合、ビットは異なる位相を有する電磁パルスへと符号化される。

例えば、第１の位相を有する電磁パルスの第１のシーケンス内の電磁パルスはビット値０に割り当てられてもよく、第２の位相を有する電磁パルスの第１のシーケンス内の電磁パルスはビット値１に割り当てられてもよく、ここで、第１の位相は第２の位相と異なっていてもよい。

これら第１の位相と第２の位相との（位相）差は、πであってもよい。

電磁パルスの第１のシーケンス内の電磁パルスは、同じパルス強度を有するコヒーレント電磁パルスであってもよい。有利には、通信チャネルに長さがあり、かつ／又は２つの増幅器間に距離があることで、コヒーレンスを保存することができる場合、位相暗号化によって誤り率の低下を有効にすることができ、その結果、通信チャネルに沿った情報が確実に、とりわけ高速に伝送される可能性がある。

強度暗号化が暗号化プロトコルの暗号化モードである場合、ビットは異なるパルス強度を有する電磁パルスへと符号化される。

例えば、第１の強度を有する電磁パルスの第１のシーケンス内の電磁パルスは、ビット値０に割り当てられてもよく、第２の強度を有する電磁パルスの第１のシーケンス内の電磁パルスは、ビット値１に割り当てられてもよく、ここで、第１の強度は第２の強度と異なっていてもよい。

これら第１の強度と第２の強度との差は、予め定められていてもよい。

電磁パルスの第１のシーケンス内の電磁パルスは、同じ位相を有するコヒーレント電磁パルスであってもよい。強度暗号化は偏光保存に依存するものではないため、長距離通信の場合に有利となり得る。さらに、強度暗号化の場合、受信機における測定ルーチンが簡略化されてもよく、かつ／又は強度検出に基づいてもよい。情報理論モデルに基づく最適化又は最大化によって求められる少なくとも１つの暗号化パラメータは、第１のシーケンス内のコヒーレント電磁パルスの強度に対応してもよく、かつ／又は第１のシーケンス内のコヒーレント電磁パルスにおけるコヒーレント状態の振幅の絶対値γに対応してもよい。

強度暗号化の場合、少なくとも１つの暗号化パラメータは、第１の強度、第２の強度、及び／又は第１の強度と第２の強度との差をさらに含んでいてもよい。

通信チャネルに沿って送信された電磁パルスの第１のシーケンスを増幅することにより、固有損失及び／又は盗聴者が引き起こした信号損失ｒ_Ｅを少なくとも部分的に補償することができる。必要に応じて、複数の増幅器は、通信チャネルの固有損失のみを補償するように構成されていてもよい。これにより、電磁パルスの第１のシーケンスのパルス強度が長距離にわたって保存され得、それによってセキュアな長距離（量子）鍵配送が有効になる。

空間的に離隔した複数の増幅器は、通信チャネルに沿ってインラインにかつ／又は等間隔に配置されてもよい。

必要に応じて、これらの空間的に離隔した増幅器は、光増幅器に対応するか、又はこれを含む。有利には、当該光増幅器は、コヒーレンス保存光増幅器であってもよい。必要に応じて、空間的に離隔した増幅器は、インライン型エルビウム・ドープ・ファイバ増幅器（Ｅｒｂｉｕｍ ｄｏｐｅｄ ｆｉｂｅｒ ａｍｐｌｉｆｉｅｒ：ＥＤＦＡ）及び／又はラマン増幅器に対応するか、又はこれを含む。付加的に又は代替的に、他の形式の増幅器も同様に使用されてもよい。

情報理論モデルへの入力パラメータとして使用される、空間的に離隔した増幅器の少なくとも１つの増幅パラメータは、空間的に離隔した増幅器の数Ｍ、及び／又は隣接する２つの増幅器間の距離ｄ、及び／又は増幅率Ｇを含んでいてもよい。空間的に離隔した増幅器の数は、２よりも多くてもよい（Ｍ＞２）。

送信された電磁パルスの第１のシーケンスは、強度検出又はホモダイン検出を用いて、受信機によって受信かつ／又は測定されてもよい。強度検出は、強度暗号化の場合に用いられてもよい。いくつかの実施形態では、位相暗号化の場合にホモダイン検出が用いられてもよい。必要に応じて、送受信された第１のシーケンス内の電磁パルスの直交成分は、ホモダイン検出又は強度検出を用いて受信機で測定されてもよい。受信された第１のシーケンス内の電磁パルスは、ホモダイン検出又は強度検出の結果を使用して、暗号化プロトコルに従って受信機で復号されてもよい。当該暗号化プロトコルは、認証済み公開古典通信チャネルを使用して、送信機と受信機との間で伝達されてもよい。

復号処理に従って、受信された第１のシーケンス内の電磁パルスは、ホモダイン検出又は強度検出を用いて測定された受信電磁パルスの直交成分の値に応じて、ビット値０又は１を有すると特定されてもよい。より具体的には、対応する（復号された）ビット値は、受信された第１のシーケンス内の各電磁パルスに関して、ビット値０及び１に対応する２つの測定演算子、具体的にはビット値０及び１に対応する正演算子値測度（ｐｏｓｉｔｉｖｅ ｏｐｅｒａｔｏｒ－ｖａｌｕｅｄ ｍｅａｓｕｒｅ：ＰＯＶＭ）の２つの測定演算子の量子力学的期待値を評価することによって求められてもよい。

本方法は、事後選択を実行するステップをさらに含んでいてもよい。事後選択は、送受信された電磁パルスの第１のシーケンスのホモダイン検出又は強度検出に基づいて、受信機で実行されてもよい。より具体的には、事後選択は選択基準に基づいてもよい。当該選択基準によれば、最小絶対値Θを超えない直交成分ｑを有する、送受信された第１のシーケンス内の電磁パルスに対応するビットは、不確定ビットとして破棄されてもよい。送受信された電磁パルスの第１のシーケンスを復号することから取得された、破棄されるビットのビット・シーケンス内の位置は、共有ビット・シーケンスを確立するために、認証済み公開古典チャネルを介して送信機に伝達されてもよい。具体的には、残りの（破棄されない）ビットは、送信機と受信機との間で共有されるビット・シーケンスを表してもよい。

好ましくは、事後選択に使用される最小絶対値Θは、信号損失ｒ_Ｅに従って求められる。

より具体的には、最小絶対値Θは、予想鍵生成レート（Ｌ_ｆ／Ｌ）を、少なくとも１つの暗号化パラメータに関して、かつ／又は最小絶対値Θに関して最大化することにより、情報理論モデルに基づいて求められ、かつ選択されてもよい。この場合、必要に応じて、暗号化プロトコルのうちの少なくとも１つの暗号化パラメータ、及び事後選択の最小絶対値（Θ）の両方が、予想鍵生成レート（Ｌ_ｆ／Ｌ）を情報理論モデルに基づいて．最大化することによって求められてもよい（例えば、同時に）。

事後選択から得られた共有ビット・シーケンスを使用して、送信機と受信機との間でセキュアな長距離通信を行うための、秘密共有暗号鍵が確立されてもよい。必要に応じて、秘密共有暗号鍵を確立する前に、共有ビット・シーケンスが、以下でさらに述べているように誤り訂正及び／又はプライバシー増幅を施されてもよい。

本方法は、誤り訂正を実行するステップをさらに含んでいてもよい。誤り訂正を実行するステップは、事後選択を実行するステップの後に行われてもよい。

パリティビットは、ランダム・ビット・シーケンスの一部であってもよく、かつ／又は事後選択の後に取得された共有ビット・シーケンスの一部であってもよい。必要に応じて、パリティビットに対応する電磁パルスは、電磁パルスの第１のシーケンスの一部として送信されてもよい。パリティビットは、ランダム・ビット・シーケンスのブロック（サブセット）に割り当てられてもよい。

誤り訂正を実行するステップは、送信された電磁パルスの第１のシーケンスの少なくとも一部について、受信機での復号誤り率を推定するステップを含んでいてもよい。当該復号誤りは、ベイズの定理を用いて推定されてもよい。

より具体的には、受信機での復号の結果を所与とした符号語の条件付き確率は、ホモダイン検出又は強度検出を用いて測定される、送信された電磁パルスの直交成分に基づいて推定され、これによって復号誤りが推定されてもよい。

付加的に又は代替的に、受信機での復号の結果を所与とした符号語の条件付き確率は、最小絶対値Θに基づいて推定され、これによって復号誤りが推定されてもよい。

当該復号誤りはまた、送信された電磁パルスの第１のシーケンスの少なくとも一部から取得され、受信機で復号されたビットを開示することによって推定されてもよい。復号誤りを判定するために使用される、開示された復号ビットは、パリティビットに対応してもよい。

より具体的には、当該復号誤りは、送信された電磁パルスの第１のシーケンスの少なくとも一部から取得された復号ビットを、例えば認証済み公開古典チャネルを使用することにより、送信機で取得又は生成されたランダム・ビット・シーケンスと比較することで推定されてもよい。このように、事後選択の後に取得された共有ビット・シーケンス及び／又はパリティビットの一部を（公開）開示することにより、復号誤りが直接観測されてもよい。

（公開）開示された共有ビット・シーケンスの一部は破棄されてもよく、また、共有ビット・シーケンスの残りのビットは、秘密共有暗号鍵を確立するために使用されてもよい。次いで、共有ビット・シーケンスの残りの部分の復号誤りが、ベイズの定理を用いて推定されてもよい。

付加的に又は代替的に、電磁パルスの第１のシーケンスの第１のサブセットの第１のパリティビット又はその一部から、第１の誤り情報が取得されてもよい。受信された電磁パルスの第１のシーケンスの第２のサブセットの第２のパリティビット又はその一部から、第２の誤り情報が取得されてもよい。復号誤りは、これら第１のパリティビットと第２のパリティビットとを比較し、かつベイズの定理を用いることによって推定されてもよい。

誤り訂正符号は、線形ブロック符号であってもよい。場合によっては、当該誤り訂正符号は低密度パリティ検査符号（ｌｏｗ－ｄｅｎｓｉｔｙ ｐａｒｉｔｙ－ｃｈｅｃｋ ｃｏｄｅ：ＬＤＰＣ）であってもよい。復号誤りの推定値は、誤り訂正符号への入力として使用されてもよい。必要に応じて、誤り訂正符号のブロックサイズ及び／又は符号化率は、復号誤り率の推定値に基づいて決定され、かつ／又は適合される。必要に応じて、誤り訂正を実行するステップは、送信後に検出された電磁パルスの第１のシーケンスの少なくとも一部を復号することから取得される、事後選択されたビットを誤り訂正するステップを含んでいてもよい。

本方法は、盗聴者が取得した共有ビット・シーケンスに関する情報を排除又は制限するために、プライバシー増幅を実行するステップをさらに含んでいてもよい。

より具体的には、プライバシー増幅を用いて、送信後に検出された電磁パルスの第１のシーケンスから取得されるビット、並びに／又は復号、事後選択及び／若しくは誤り訂正の後に送信機と受信機との間で共有されるビット・シーケンスに関する盗聴者の情報が、少なくとも部分的に取り除かれてもよい。プライバシー増幅を実行するステップは、ハッシュ関数をマップとして用いることにより、共有ビット・シーケンスから秘密共有暗号鍵を蒸留するステップを含んでいてもよい。

必要に応じて、本方法の前述のステップは、反復的かつ／又は連続的に実行されてもよい。本方法の前述のステップで各繰り返し後に取得される共有ビット・シーケンスは、所望の又は所定の長さの秘密共有暗号鍵を確立するために、結合かつ／又は追加されてもよい。当該秘密共有暗号鍵は、送信機と受信機との間でセキュアな長距離通信を行うために使用されてもよい。

各繰り返しにおいて、電磁パルスの異なる第１のシーケンス又は電磁パルスの第１のシーケンスの異なるサブセットが、送信機から受信機に送信されてもよい。各繰り返しにおいて、上記でさらに述べたような事後選択、誤り訂正及び／又はプライバシー増幅を実行するステップは、電磁パルスの異なる第１のシーケンス又は電磁パルスの第１のシーケンスの異なるサブセットに対して実行されてもよい。

必要に応じて、電磁パルスの第１のシーケンスの第１のサブセット又は電磁パルスの第１のシーケンスの送信後に、電磁パルスの第１のシーケンスの第２のサブセット又は電磁パルスの別の第１のシーケンスが、送信機から受信機に送信されてもよい。場合によっては、誤り訂正は適応的に実行されてもよい。第１の繰り返しでは、受信された電磁パルスの第１のシーケンスの第１のサブセットから、復号誤りの第１の推定値が取得されてもよい。受信された電磁パルスの第１のシーケンスの第１のサブセットに対する誤り訂正は、第１の誤り訂正符号に従って実行されてもよい。

第１の繰り返しの後に実行される第２の繰り返しでは、第１の繰り返しの後に観測される復号誤り及び／又は誤りの第１の推定値が、第２の誤り訂正符号の誤り推定値への入力として使用されてもよい。第２の誤り訂正符号を使用して、受信された電磁パルスの第１のシーケンスの第２のサブセット又は電磁パルスの別の第１のシーケンスなどが誤り訂正されてもよい。

その結果、誤り訂正の効率及び／又は復号誤りの推定値は、各繰り返し後に更新かつ改良され得る。より具体的には、誤り訂正符号のブロックサイズ及び／又は符号化率を、各繰り返しで推定される復号誤りに応じて適合させることにより、誤り訂正が適応的に実行されてもよい。当該適合は、ベイズの定理に基づいて実行されてもよい。

予想鍵生成レート（Ｌ_ｆ／Ｌ）の情報理論モデルは、量子力学的原理に基づいてもよい。より具体的には、情報理論モデルは、送信機、受信機、及び盗聴者に基づいた密度行列のインコヒーレントな発展を記述することができる。当該密度行列は、電磁パルスの第１のシーケンスに含まれる光子の状態に対応してもよい。

情報理論モデルによれば、当該密度行列は初期密度行列から最終密度行列まで発展してもよい。初期密度行列は、電磁パルスの第１のシーケンスを受信機に送信する前に、電磁パルスの第１のシーケンスに含まれる光子の状態を記述することができる。場合によっては、当該初期密度行列は、コヒーレント状態及び／又は真空状態の混合（又は擬似的な混合）に対応してもよい。最終密度行列は、送信機から受信機への電磁パルスの第１のシーケンスの送信、事後選択、誤り訂正及び／又はプライバシー増幅の後の、電磁パルスの第１のシーケンスに含まれる光子の状態に対応してもよい。

情報理論モデルは、通信チャネル内又は通信チャネルに沿って生じる損失及び増幅の影響を考慮するために、密度行列の正準変換を含んでいてもよい。損失及び／又は増幅を記述する正準変換は、密度行列のインコヒーレントな発展に対応してもよい。場合によっては、正準変換は、情報理論モデルへの入力パラメータとして損失率（Ｔ）及び／又は増幅率（Ｇ）を含んでいてもよい。

場合によっては、損失率（Ｔ）及び／又は増幅率（Ｇ）は、隣接する２つの増幅器間の距離（ｄ）、送信機と受信機との間の距離（Ｄ_ＡＢ）、及び／又は送信機と盗聴者との間の距離（Ｄ_ＡＥ）を含む。

前述のパラメータのいずれかが、情報理論モデルへの入力パラメータを構成してもよい。付加的に又は代替的に、前述のパラメータのいずれかが、情報理論モデルに基づいて、予想鍵生成レート（Ｌ_ｆ／Ｌ）を最大化することによって求められ、かつ通信装置の最適化されたデバイスパラメータとして使用される最適化パラメータを構成してもよい。このように、本通信装置は、情報理論モデルに基づいて構成されていてもよい。

有利には、損失及び／又は増幅を記述する正準変換は、ハミルトニアンに基づいてもよい。このハミルトニアンは、空間的に離隔した増幅器の増幅媒質（物質）と、光・物質相互作用強度（λ）を有する電磁パルス（光）の第１のシーケンスに含まれる光子との間の光・物質相互作用を記述することができる。場合によっては、損失率（Ｔ）及び／又は増幅率（Ｇ）は、光・物質相互作用強度（λ）を含んでいてもよい。

有利には、増幅器ノイズ（例えば、量子ノイズ）の影響及び／又は増幅の有害な影響が、当該ハミルトニアンに基づく情報理論モデルにおいて考慮されてもよい。場合によっては、増幅の有害な影響には、増幅媒質の原子集団の不完全な反転及び／又は通信チャネルのモードと増幅器との間の結合不完全性が含まれていてもよい。

暗号化プロトコルの少なくとも１つの暗号化パラメータが、情報理論モデルに基づく最適化によって求められているため、当該少なくとも１つの暗号化パラメータ及び／又は暗号化プロトコルは、情報理論モデルへの入力パラメータのすべて又はいずれか１つに依存してもよい。より具体的には、当該少なくとも１つの暗号化パラメータ及び／又は暗号化プロトコルは、情報理論モデルに基づく最適化手法を用いて、入力パラメータのすべて又はいずれか１つによって求められてもよい。

即ち、少なくとも１つの暗号化パラメータ及び暗号化プロトコルはまた、損失及び増幅に関して最適化されてもよく、これにより、通信チャネル、複数の増幅器、及び／又は盗聴者の存在によって設けられるハードウェアの制約に対する現実的な対処が有効になる。

情報理論モデルは、信号の一部を傍受しようと試みる盗聴者の影響（ビームスプリッタ攻撃）を考慮するために、ビームスプリッタモデルを含んでいてもよい。

当該信号は、電磁パルスの第１のシーケンスに対応してもよい。

ビームスプリッタは、入力、第１の出力、及び第２の出力を含んでいてもよい。当該入力は、送信された電磁パルスの第１のシーケンスに対応してもよく、当該送信された電磁パルスの第１のシーケンスは、通信チャネルの少なくとも一部に沿って伝搬していてもよく、かつ／又は損失及び増幅にさらされていてもよい。

第１の出力は、盗聴者が傍受する、送信された電磁パルスの第１のシーケンスの一部に対応してもよい。

第２の出力は、通信チャネルに沿って受信機までさらに伝搬する、送信された電磁パルスの第１のシーケンスの一部に対応してもよい。

これら第１の出力及び第２の出力は、量子もつれであってもよい。

これら第１及び第２の出力の強度並びに／又はコヒーレント状態の振幅は、盗聴者が引き起こした特定済み信号損失（ｒ_Ｅ）に依存してもよい。このようにして、信号損失（ｒ_Ｅ）は、入力パラメータとして情報理論モデルに導入されてもよい。

当該情報理論モデルは、確率モデルを通じて、事後選択、誤り訂正及び／又はプライバシー増幅を実行するステップを最適化かつ／又は考慮することができる。より具体的には、送信機と盗聴者との間で共有される相互情報、及び／又は送信機と受信機との間の相互情報量は、確率モデルに基づいて事後選択、誤り訂正、及び／又はプライバシー増幅を実行するステップが行われる前及び／又は後に、推定かつ／又は最適化されてもよい。

情報理論モデルは、ホモダイン検出、強度検出、及び／又は事後選択を考慮するために、量子測定モデルを含んでいてもよい。

当該量子測定モデルによれば、ホモダイン検出は、射影測定演算子によって記述されてもよい。より具体的には、ホモダイン検出の量子測定モデルによれば、強度検出及び／又は事後選択は、正演算子値測度（ＰＯＶＭ）によって記述されてもよい。ビット値０及び１に対応する正演算子値測度（ＰＯＶＭ）の測定演算子は、直交固有状態の射影演算子に関して定義されてもよい。当該測定演算子は、直交成分の最小絶対値（Θ）を含んでいてもよい。このようにして、最小絶対値（Θ）は、情報理論モデルにおいて、入力及び／又は最適化パラメータとして考慮されてもよい。

当該情報理論モデルは、予想鍵生成レート（Ｌ_ｆ／Ｌ）の代数式又は数式を含んでいてもよい。当該代数式又は数式は、損失及び増幅が生じ、かつ事後選択、誤り訂正、及び／又はプライバシー増幅が行われている場合に、通信チャネルを介して送信機から受信機に電磁パルスの第１のシーケンスを送信した後、ランダム・ビット・シーケンスから取得された秘密共有暗号鍵の鍵生成レート（Ｌ_ｆ／Ｌ）の正確な推定値をもたらすことができる。

予想鍵生成レート（Ｌ_ｆ／Ｌ）を表す代数式又は数式の最適化及び／又は最大化は、最新技術に含まれる標準的な最適化ルーチンを使用して実行され、これにより、例えば、少なくとも１つの暗号化パラメータ及び／又は暗号化プロトコルが求められてもよい。

本発明はまた、上記の方法のステップを実行するように構成された、ある装置に関する。本装置は、送信機、受信機、通信チャネル、空間的に離隔した複数の増幅器、及び／又は認証済み公開古典チャネルを備えていてもよい。

本通信装置、送信機及び／又は受信機は、電子評価・制御ユニットを備えていてもよい。当該電子評価・制御ユニットは、少なくとも１つの演算部及び／又は少なくとも１つの電子記憶部を含んでいてもよい。当該少なくとも１つの演算部は、プロセッサ、ＣＰＵ（中央処理装置）、又はＧＰＵ（グラフィックス処理装置）のうちの少なくとも１つを含んでいてもよい。

送信機は、ランダム・ビット・シーケンスを生成するように構成された、乱数生成器を備えていてもよい。場合によっては、当該乱数生成器は古典的な乱数生成器又は量子乱数生成器であってもよい。必要に応じて、送信機は電磁放射線源を備える。当該電磁放射線源は、電磁パルスの第１のシーケンスを生成するように構成されていてもよく、かつ／又は少なくとも１つの電磁試験パルスを生成するように構成されていてもよい。場合によっては、当該電磁放射線源はレーザ、テラヘルツ放射線源又はマイクロ波放射線源であってもよい。

必要に応じて、少なくとも１つの受信機は、検出器及び測定ユニットを備えていてもよい。これらの検出器及び測定ユニットは、送信された電磁パルスの第１のシーケンス及び／若しくは少なくとも１つの電磁試験パルスの強度並びに／又は位相を検出かつ測定するように構成されていてもよい。

通信チャネルは、伝送線路及び／又は光ファイバを含んでいてもよい。好ましくは、当該通信チャネルは、複数の伝送線路及び／又は光ファイバを含む。空間的に離隔した複数の増幅器は、当該通信チャネル内にインラインに組み込まれ、かつ／又は配置されてもよい。

送信機は、通信チャネルを介して、少なくとも１つの電磁試験パルスを受信機に送信するように構成されていてもよい。受信機は、当該送信機によって送信される少なくとも１つの電磁試験パルスを検出するように構成されていてもよい。

電子評価・制御ユニットは、受信機で検出された少なくとも１つの電磁試験パルスに基づいて、盗聴者が引き起こした通信チャネル内の信号損失ｒ_Ｅを特定するように構成されていてもよい。

電子評価・制御ユニットは、予想鍵生成レート（Ｌ_ｆ／Ｌ）を、少なくとも１つの暗号化パラメータに関して、予想鍵生成レート（Ｌ_ｆ／Ｌ）の情報理論モデルを用いて最大化することにより、暗号化プロトコルの少なくとも１つの暗号化パラメータを求めるようにさらに構成されていてもよく、ここで特定される信号損失（ｒ_Ｅ）及び空間的に離隔した増幅器の少なくとも１つの増幅パラメータは、情報理論モデルへの入力パラメータとして考慮される。

当該情報理論モデルは、予想鍵生成レート（Ｌ_ｆ／Ｌ）の代数式又は数式を含んでいてもよく、この代数式又は数式は、少なくとも１つの電子記憶部に記憶される。

送信機は、電磁パルスの第１のシーケンス内の各電磁パルスがそれぞれ、暗号化プロトコルに従ってランダム・ビット・シーケンスのビットに対応するように、当該電磁パルスの第１のシーケンスを生成するように構成されていてもよい。

当該送信機は、電磁パルスの第１のシーケンスを、通信チャネルを介して受信機に送信するようにさらに構成されていてもよい。

電磁パルスを送信するステップは、電磁放射線源によって電磁パルスを放射するステップ、及び／又は電磁放射線源を通信チャネルと結合する結合手段を使用して、通信チャネルに沿って電磁パルスを送信するステップを含んでいてもよい。したがって、送信機は、ランダム・ビット・シーケンスに含まれる生鍵を暗号化（符号化）して配送するための、物理的手段を提供している。

少なくとも１つの認証済み公開古典チャネルは、例えば、事後選択、誤り訂正、及び／又はプライバシー増幅のステップを実行するために、少なくとも１つの受信機から少なくとも１つの送信機に、かつ／又はその逆も同様に、フィードバック情報を送信するように構成されていてもよい。

本発明はまた、コンピュータによって実行されると、当該コンピュータに上記でさらに述べた方法を実行させる命令を含む、コンピュータプログラム製品に関する。本発明はまた、コンピュータによって実行されると、当該コンピュータに上記でさらに述べた方法を実行させる命令を含む、コンピュータ可読記憶媒体に関する。当該コンピュータプログラム製品は、コンピュータ可読記憶媒体に記憶され得る。当該コンピュータ可読記憶媒体は、通信装置、送信機及び／又は受信機に含まれ得る。

要約すると、セキュアな長距離通信を実現するために、送信機と受信機との間で共有される秘密暗号鍵を決定するための簡便で実用的な方法、通信装置、コンピュータプログラム及びコンピュータ可読記憶媒体を提案している。

提案している本発明により、高い鍵交換レートでの効率的な（量子）鍵配送が、４，０００キロメートルを超える、好ましくは２０，０００キロメートルを超える長距離にわたって実現され得る。

本発明の典型的な実施形態を図面に示しており、図１～図９を参照しながら、ここでこれらについて説明する。

一実施形態による、通信構成を示す概略図である。 一実施形態による通信構成において、複数の損失チャネル又は増幅チャネルが、一対の損失チャネル及び増幅チャネルまでどのように低減され得るかを概略的に示す図である。 一実施形態による通信構成における、量子状態の光位相図を概略的に示す図である。 一実施形態による通信構成において、ボブが使用する量子測定値を示す概略図である。 一実施形態による通信プロトコルに対して、イブが使用するビームスプリッタ攻撃を概略的に示す図である。 一実施形態による通信構成における増幅器間の空間距離の個々の値に対して得られた、暗号鍵生成レートの結果を示す図である。 一実施形態による通信構成におけるアリスとボブとの間の空間距離の個々の値に対して得られた、暗号鍵生成レートの結果を示す図である。 一実施形態による方法ステップを示す概略フロー図である。 一実施形態による、ある通信装置を示す概略図である。

ここで、量子チャネル３及び古典的情報リンク７によって接続された一対の通信機１、２（慣例的に、それぞれアリス１及びボブ２と呼んでいる）が量子技術を用いて、これらの通信機１、２の間で暗号鍵を共有しており、この暗号鍵をめぐって、盗聴者５（慣例的にイブ５と呼んでいる）が量子チャネル３及び／又は古典的情報リンク７を盗聴してはいるが、情報を（ほとんど）一切取得することができないという通信シナリオにおいて、典型的な実施形態を参照しながら本開示の技術を説明する。そのような暗号鍵は、その後機密情報を交換するための暗号化されたワンタイムパッドとして、アリス１とボブ２とによって使用され得る。

本開示の実施形態は、アリス１とボブ２とが大きな空間距離で離隔され、これによって量子チャネル３で損失が生じる可能性があり、また量子チャネル３を介してアリス１とボブ２との間で交換される通信信号を増幅する必要があり得る状態において、そのような暗号鍵の共有を有効にするための安定したセキュアな技術に特に重点を置いている。

１ 方法の説明
本発明は、伝送線路の信号増幅及び物理的制御に基づく長距離量子鍵配送（ｑｕａｎｔｕｍ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ：ＱＫＤ）のための方法を提案している。基本的な通信構成が、図１に概略的に示されている。

図１の通信構成における典型的な通信プロトコルでは、アリス１は、ランダム・ビット・ストリングをコヒーレントパルス６のシーケンスに符号化し、これを、伝送線路３を介してボブ２に送信する。当該パルスは、エルビウム・ドープ・ファイバ増幅器４（１つ又は複数のＥＤＦＡ）のシーケンスを通過し、そこで結果として得られる信号は、ボブ２によって受信かつ測定される。さらに、電磁パルスの位相コヒーレンスを保持する他の形式の光増幅器４が使用されてもよい。

盗聴者５（イブ）は、例えば、伝送光ファイバを湾曲させて、透過光モードを検出することにより、信号の一部を傍受することができる。ただし、アリス１とボブ２とは、線路３における損失を監視しているため、盗聴者イブ５によって盗聴された信号の割合ｒ_Ｅを常時把握している。イブ５が引き起こして悪用したことによる正確な損失を、アリス１及びボブ２が特定できるという点が重要である。この損失の把握により、アリス１及びボブ２による、最も効率的なビット暗号化並びに測定方式の採用が有効になり、これは即ち、ｒ_Ｅに応じて、イブ５に対する情報優位性の面から最適である特定の信号強度値をアリス１が選択し、これに協調して、自身の測定ルーチンをボブ２が調整することを意味している。このことは、とりわけ事後選択を行う面からは、認可された当事者に別の効力をもたらし、これは即ち、ランダム・ビット・ストリングを送受信した後、アリス１及びボブ２が、認証済み公開古典チャネル７を使用して情報の照合（イブ５に対する情報優位性を高める）及びプライバシー増幅を実行し、その際、暗号化及び測定時に最適なパラメータを使用することで、これらの処理により、それほど多くのビットを犠牲にすることなく、イブ５が所有する情報を取り除けるようになることを意味している。

この実施形態の方法の背後にある２つの主要な概念は、（ｉ）インライン型ＥＤＦＡ ４のカスケードによって増幅される非直交コヒーレントパルス６に、ランダム・ビットを符号化することで、長距離伝送を実現すること、及び（ｉｉ）アリス１及びボブ２が、盗聴者５（イブ）によって盗聴された信号の正確な割合を特定し、この割合を線路内の自然損失（主としてレイリー散乱によって引き起こされる）と区別することができる点にある。アリス１及びボブ２は、損失に関して把握していることを利用してイブ５に対する情報優位性を正確に推定し、これによりパルスの強度を選択し、測定ルーチンを採用し、かつ最も効率的な方法で事後選択を実行することができ、その際、イブ５に対し、最終共有鍵に関する情報を（ほとんど）一切残さない。

当該通信プロトコルは、以下のステップで進んでもよい。

０．初期準備。既存の技術では、高精度で損失を特定し、局所的な損失（イブ５が引き起こした可能性のある）を、線路３全体にわたり均一に生じる、主としてレイリー散乱及びラマン散乱によって引き起こされる固有の自然損失と区別することができる。初期の設備設定の一部として、アリス１及びボブ２は、イブ５が引き起こした可能性がない伝送線路３内の自然損失ｒ_０を特定する。ボブ１及びアリス２は、認証済み古典通信チャネル７を介してｒ_０の値を共有する。

１．アリス１及びボブ２は、試験パルスを送信することにより、通信チャネル３内の総信号損失ｒ_ｔを特定する（セクション５を参照のこと）。当該電磁試験パルスは、通信チャネル３を介してアリス１からボブ２に送信される。その後、盗聴者５が引き起こした信号損失ｒ_Ｅを、固有の信号損失ｒ_０及び総信号損失ｒ_ｔから求める。ボブ１及びアリス２は、認証済み古典通信チャネル７を介してｒ_Ｅの値を共有する。

例えば、増幅器４を含まない通信チャネル３の区間を、ここで検討する。当該区間の固有損失がｒ_０であり、イブ５が当該信号における割合ｒ_Ｅを傍受した場合、総損失ｒ_ｔは式（１－ｒ_ｔ）＝（１－ｒ_Ｅ）（１－ｒ_０）から特定される。さらに以下では、通信チャネル３に沿った１箇所で発生するイブ５によるビームスプリッタ攻撃について述べる。以下にさらに示す提案中の本方法及び本発明者らによる分析は、イブ５が複数箇所で通信チャネル３に侵入する場合に対しても一般化されている。

２．アリス１は、物理乱数生成器（場合により量子）を使用して、長さＬのビット・シーケンスＲを生成する。

３．アリス１はＲを一連のＬコヒーレント光パルスに符号化し、これを、通信チャネル３を介してボブ２に送信する。一連のＬコヒーレント光パルスは、電磁パルス６の第１のシーケンスに対応している。ビット０及び１は、コヒーレント状態γ_０＝γ及びγ_１＝－γによってそれぞれ定義され、その際、一般性を失うことなく、

と仮定し、γの値は、ｒ_Ｅの既知の具体的な値が付与された場合に最適に選択される。これは、アリス１が、チャネル３内の損失に関して、最大鍵生成速度に対応する、そのようなコヒーレント状態を使用することを意味する。パルスの強度±γは、平均光子数によって以下の（１）の通りに求められる。

＜ｎ＞＝｜γ｜^２ （１）

上記の暗号化プロトコルによれば、暗号化モードは位相暗号化であり、少なくとも１つの暗号化パラメータは、コヒーレント状態の振幅γに対応している。当該コヒーレント状態の振幅γの値は、情報理論モデルに基づいて、鍵生成レートＬ_ｆ／Ｌを最大化することによって最適に選択される。

４．信号は、光線路（通信チャネル３）全体に沿って等距離に設置された、ＥＤＦＡ ４のカスケードによって増幅される。増幅器４はそれぞれ、増幅される信号強度が初期の信号強度と等しくなるように、その損失を補償する。コヒーレントパルスが増幅器４を通過すると、その状態が混合状態になる。ボブ２は当該信号を受信してホモダイン測定を実行し、そのパラメータはｒ_Ｅの既知の値によって再度特定される。

５．アリス１及びボブ２は、情報の照合を（事後選択）を適用する。ボブ２の測定値のうちの一部は不確定結果を有するため、これに対応するビットを破棄する必要がある。当該ビットを破棄するために、ボブ２は、認証済み公開古典チャネル７を介して無効ビットの位置をアリス１に公開する。

６．アリス１及びボブ２は誤り率を推定して、誤り訂正処理を実行する。

７．アリス１及びボブ２は、プライバシー増幅を実行する。アリス１及びボブ２は、特別なプロトコルを用いてより短い鍵を生成するが、これについてイブ５は情報を一切有しない（又は無視できる程度に少ない）。ここでも、アリス１及びボブ２は、認証済み公開古典チャネル７を使用する必要があり得る。

８．アリス１及びボブ２は、共有鍵の長さが適切になるまで、ステップ１～７を繰り返し実行する。本方法のステップについてより詳述する前に、電磁パルス６の第１のシーケンスに対応する信号が量子化され、光子のシーケンスと見なされ得ることを強調しておく。ただし、光子の離散統計により、信号の一部を測定することから情報を抽出するイブ５の能力に大きな制限が課される。具体的には、初期信号が平均でＮ＝＜ｎ＞＝｜γ｜^２の光子を含み、局所的な漏洩が透過率ｒ_Ｅによって定量化されている場合、ｎ_Ｅ＝Ｎｒ_Ｅの光子を含む信号のごく一部のみがイブ５に到達する。コヒーレントな信号状態の場合、光子数の変動はポアソン統計

に従う。したがって、イブ５の光子数の相対変動は、

で与えられる。光子数の変動が大きい場合、イブ５が受信した電磁パルスを区別して、傍受した信号を解読することが困難になる。これに対して、ボブ２が、変動が小さいｎ_Ｂの光子、即ちδｎ_Ｂ≪ｎ_Ｂを含む電磁パルスを得た場合、シングルショット測定であっても、受信された信号がビット値０又は１に相当するかどうかをボブ２が確実に証明できる確率が高くなる。したがって、信号損失ｒ_Ｅの値を特定し、情報理論モデルに基づいて、特定された信号損失ｒ_Ｅによる少なくとも１つの暗号化パラメータを表すコヒーレント状態の振幅γを最適に選択することにより、イブ５は受信した電磁パルスを効率的に区別することができなくなる一方、ボブ２は、受信された電磁パルスを最大鍵交換レートで効率的に復号できることが確実になる。その結果、伝送線路３の物理的制御に基づいて、セキュアで効率的な量子鍵配送の方法が提供される。

２ 信号増幅
本セクションでは、信号増幅の物理過程をより詳細に扱う。このために、まずＰ関数表現に基づくフレームワークを導入し、好適な増幅過程の下で信号状態がどのように変化するかを示す。次に、チャネル３内の関連損失を伴うドープ・ファイバにおける増幅の実際的事例を検討する。さらに、増幅器４のカスケードを１台の有効増幅器まで理論的に削減できることも分かっており、盗聴者５に対する正規ユーザの情報優位性を分析するために、この形式的特性をこの後のセクションでも使用する。

２．１ Ｐ関数及び増幅下でのその変化
本発明者らの理論的なフレームワークについて紹介する。ボソン演算子

及び

がフォック空間で作用する、単一光子モードを検討する。ボソンモードの状態に対する増幅の効果を理解するために、後者のＰ関数表現を使用することが最も好都合である。そのような表現により、コヒーレント状態の擬似的な混合として、次の（２）のように、任意の密度演算子を記述することができ、

ここで、ｄ^２α≡ｄＲｅ（α）ｄＩｍ（α）となり、擬確率分布Ｐ（α）は必ずしも正とは限らない。密度行列

によって記述される所与の状態について、Ｐ関数では次式（３）のように記述することができ、

ここで、

となる。さらなる詳細については、Ｗ．Ｖｏｇｅｌ、Ｄ．Ｇ．Ｗｅｌｓｃｈ、Ｓ．Ｗａｌｌｅｎｔｏｗｉｔｚによる「Ｑｕａｎｔｕｍ Ｏｐｔｉｃｓ：Ａｎ Ｉｎｔｒｏｄｕｃｔｉｏｎ」、ワイリー誌、２００１年で確認することができる。

位相増幅は、次式（５）で与えられる量子チャネルによって記述され、

ここで、ｇは増幅器を特徴付ける相互作用パラメータであり、Ｇ＝ｃｏｓｈ^２（ｇ）は、入力信号の強度が増幅される係数であり（次式から明示的に分かるように）、消滅演算子

は、真空状態で始まる副モードに対応している。チャネルの明示的なクラウス表現は、次式（６）のように記述することができ、

ここで

となり、これについては、例えばＰ．Ｓｅｋａｔｓｋｉらによる「Ｃｌｏｎｉｎｇ ｅｎｔａｎｇｌｅｄ ｐｈｏｔｏｎｓ ｔｏ ｓｃａｌｅｓ ｏｎｅ ｃａｎ ｓｅｅ」、フィジカル・レビューＡ誌第８２巻第５号、２０１０年１１月 を参照されたい。

ある状態のＰ関数が増幅過程の下でどのように変化するかを示すために、入力信号が純粋なコヒーレント状態｜β＞＜β｜にあり、対応する初期のＰ関数Ｐ_ｉ（α）＝δ（α－β）（複素数上のデルタ関数）を有する単純な状況をここで検討する。増幅後、Ｐ関数は、次式（７）の通りになり、

その際、以下の（８）に注意すると、

次式（９）の通りになるのが容易に分かる。

換言すれば、当該出力状態は、

を中心とする正規分布状態の混合であり、分布の幅は

である。

２．２ ドープ・ファイバにおける増幅と損失
エルビウム（Ｅｒ）／イッテルビウム（Ｙｔ）ドープ・ファイバでは、光子モードは反転原子媒質を伝搬する。媒質を反転させたままにするために、異なる周波数のシードレーザがファイバ内で信号の光子モードと共伝搬し、次いで波長分割多重化（ｗａｖｅｌｅｎｇｔｈ－ｄｉｖｉｓｉｏｎ ｍｕｌｔｉｐｌｅｘｉｎｇ：ＷＤＭ）によって当該出力においてフィルタリングされる。ｚ位置の反転原子と伝搬光照射野モード

との間の相互作用は、次式（１０）のハミルトニアンによって（定数因子まで）得られ、

ここで、

は、これらの原子のうちの１つの全反射に対応している。したがって、ＥＤＦＡを介した伝播後の信号モードの展開は、次のサブセクションで示すように、単一の増幅チャネルまで効果的に低減させることができる、極小位相増幅の構成によって決まる。

実際には、ＥＤＦＡの性能には、付加される量子ノイズの増幅限界に加えて出現する、技術的限界がある。これらの限界は、主として以下の２つの要因によって生じ、これらは即ち、
（ｉ）当該原子集団が、媒質全体を通じて完全には反転していない可能性があること、及び
（ｉｉ）光モードとＥＤＦＡ又は光ファイバとの間の結合が不完全であることである。

これらのメカニズムの両方を、Ｂ．Ｓａｎｇｕｉｎｅｔｔｉらによる「Ｑｕａｎｔｕｍ ｃｌｏｎｉｎｇ ｆｏｒ ａｂｓｏｌｕｔｅ ｒａｄｉｏｍｅｔｒｙ」、フィジカル・レビュー・レター誌、第１０５巻第８号、２０１０年８月によって示されているように、増幅前の状態に作用する損失チャネル３．１として考慮に入れることができる。

線路３内で生じ得るすべての損失を記述する損失チャネル３．１を、ここで導入する。式（８）は、ハイゼンベルク描像における消滅演算子に対する増幅器の作用を記述している。同様に、損失に関連した正準変換を、次式（１１）の通りに記述することができる。

ここで、λは相互作用パラメータであり、Ｔは送信信号の割合である。消滅演算子

は、損失光子が至る初期真空モードに対応しており、

となる。

２．３ 増幅器と損失とによる構成
本発明者らによる暗号化方式では、増幅を用いて、損失が生じた後の光信号を回復させている。長距離ＱＫＤでは増幅器４のカスケードを必要とし、この場合、信号展開は、複数の一連の損失チャネル３．１及び増幅チャネル４によって決まる。

本セクションでは、そのような連続が生じても、これらが１つの損失チャネル３．１と１つの増幅チャネル４との構成まで数学的に低減され得ることを証明している。本発明者らは、本発明者らのプロトコルの情報分析を行うために、この単純な式表現を以後採用する。

図２は、（ａ）２つの損失チャネル３．１又は増幅チャネル４が、どのようにして１つまで低減され得るか、（ｂ）損失チャネル３．１及び増幅チャネル４が、どのようにして効果的に再構成され得るか、及び（ｃ）一連の損失３．１及び増幅器４が、どのようにして一組の損失３．１及び増幅４まで低減され得るかをグラフで示したものである。

提言１．２つの損失チャネル又は増幅チャネルは１つまで低減可能
まず、２つの損失チャネル３．１又は増幅チャネル４が１つまで効果的に低減され得ることが分かっており、これについては図２を参照されたい。次式（１２）のように、結果として生じる２つの損失チャネル３．１の場合をここで検討し、

ここで、本発明者らは演算子を以下の（１３）のように定義し、

この演算子は真空状態に作用して、交換関係式

を満たすものである。したがって、２つのチャネルを１つの有効チャネルとする式で、以下の（１４）のように記述することができ、

増幅器４にも同じ推論を、以下の（１５）の通りに適用することができる。

提言２．損失チャネルと増幅チャネルとを効果的に再構成可能
増幅チャネル４とそれに続く損失チャネル３．１との構成が、逆の順序で作用する一組の特定の損失チャネル３．１及び増幅チャネル４と数学的に置き換えられ得ることが分かっており、これについては図２の（ｂ）を参照されたい。次式（１６）のように、増幅とそれに続く損失とに対応する変換をここで検討する。

逆の順序の場合、次式（１７）の通りになる。

その場合、次式（１８）のように、２つの変換が同一になるのが容易に分かる。

換言すれば、パラメータがこれらの関係式に従って修正されることを条件として、２つの形式のチャネルが「可換」となる。具体的には、上記の式のパラメータは、常に物理的に意味のあるＧ≧１，０≦Ｔ≦１となり、これは即ち、損失と増幅とを、損失の後に増幅が続く構成の式で随時記述できることを意味している（その逆は成立しない）。

提言３．一連の損失及び増幅器は、一組の損失及び増幅まで低減され得る。
最終的に、一連の損失チャネル３．１及び増幅チャネル４が、一組の損失及び増幅として数学的に記述され得るということが明らかであり、これについては図２（ｃ）を参照されたい。次式（１９）の変換をここで検討し、

これは、一連の同じＭ個の損失チャネル及び増幅チャネル４に対応しており、本発明者らは、これに対する単純な式表現を求めたいと望んでいる。提言２によれば、すべての損失を当該構成の右端に効果的に移動させることができ、これは即ち、すべての損失が増幅前に作用するように、チャネルを置き換えることを意味する。伝送確率Ｔ_（ｉ）を有する損失チャネル３．１が増幅率Ｇ_（ｉ）を有する増幅器４の前に移動するたびに、パラメータは式（１８）に従って変換され、以下の（２０）の通りになる。

本発明者らのシーケンスでは、すべての隣接損失を増幅器とペアで転置することができる（第１の増幅器と第２の損失とから開始）。これをＭ－１回繰り返した後、提言１を念頭に置くと、次式（２１）の通りになり、

ここで、

となり、これは即ち、一連の損失及び増幅器が、伝送確率Ｔ_。の損失チャネル３．１と、その後に続く増幅率Ｇ_。を有する増幅器４とに等しいことを意味している。

ここで、値μ≡Ｇ_（ｉ）Ｔ_（ｉ）＝ＧＴを、置換によって変更できないことに留意されたい。ここで、次式（２３）を定義し、
Ｆ_（ｉ）＝（Ｇ_（ｉ）－１）Ｔ_（ｉ）＋１ （２３）

その際、以下の（２４）となることに注意すると、

以下の（２５）、

及び（２６）のように記述することができる。

ここで、漸化式を解くことにより、Ｇ_。とＴ_。との明示式を求める。以下の関係式（２７）を通じて、Ａ_ｎ及びＢ_ｎを定義し、

次いで

が得られ、式（２７）及び式（２８）からＢ_ｎ＋１＝Ａ_ｎとなり、かつ
Ａ_ｎ＋１＝（μ＋１）Ａ_ｎ－μＢ_ｎ＝（μ＋１）Ａ_ｎ－μＡ_ｎ－１ （２９）
となり、この式の解は、次式（３０）で得られることが分かっており、
Ａ_ｎ＝ｃ_１＋ｃ_２μ^ｎ （３０）
ここで、ｃ_１とｃ_２とは、Ｆ_０＝（Ｇ－１）Ｔ＋１によって求められる定数であり、Ａ_１＝（Ｇ－１）Ｔ＋１及びＡ_０＝１を採用して、次式（３１）を得ている。

とりわけ、最終式に現れる積

は比較的単純な次式（３２）の通りになり、

かつ次式（３３）を得ている。

ＴＧ＝１の場合は、送信される信号の平均強度が保存されたままとなる（ノイズの寄与があるため、総出力強度とは異なる）ため、極めて興味深い。限界Ｇ→１／Ｔでは、次式（３４）を得ている。

３ 伝送線路の制御
盗聴者５の活動を監視するために、アリス１は、適切な間隔で特別な試験パルス（単一の又は多数の場合があり、以下の説明を参照のこと）を送信し、ボブ２とこれらの強度を照合してもよい。これらの試験パルスは多数の光子を含む必要があるが、ボブ２の検出器２．２が損傷するほどにすべきではない。対応する散乱行列を生成かつ分析することにより、アリス１及びボブ２はチャネル３内の損失を特定することができる。これらの損失を、認可された当事者が、イブ５が引き起こして悪用しているものと、そうでないものとに分類することができるという点が重要である。

伝送線路３（光ファイバ）が適切に設置されている、即ち、著しい屈曲部や粗い接合部がないと仮定している。その場合、線路内の固有の自然損失の大部分は、レイリー散乱に起因して生じる。このような損失は、線路全体にわたり分散されている。したがって、線路３の相当な部分をカバーするアンテナを有しない限り、イブ５は分散された信号を効果的に捕捉することができないばかりか、そのようなアンテナを秘匿的に構築することは、ほとんど実現不可能である。

盗聴者５に残された唯一の選択肢は、意図的に信号の一部を収奪すること、即ち、自然損失とは別に損失を生じさせて（即ち、光ファイバを意図的に屈曲させることによって）、これを悪用することである。アリス１及びボブ２は、そのような人工的な損失を特定かつ測定することができる。そのためには、アリス１及びボブ２はまず、盗聴者５の活動に関連しない損失の大きさを判定する必要があり、これは即ち、当該プロトコルの開始前にホールライン全体にわたり均一に現れる損失を測定することによって、行われ得る。その後、アリス１及びボブ２は、イブ５が傍受する可能性のある信号において、新たに出現した局所的な漏洩（割合ｒ_Ｅを有する）を正確に特定することができる。こうした把握により、最も効率的な暗号化及び測定ルーチンが確実に実行され、次いで事後選択処理が決定される。

本発明者らは、プロトコルの効率を改善できるようになる、以下の損失検出方法を提案する。

τ_Ｓを信号パルスの長さとし、τ_Ｔを試験パルスのシーケンスの全長（試験パルスは完全に信号パルスのように見え得るが、それらのシーケンスは１つの信号パルスよりもはるかに多くの光子を含む必要がある）としている。両形式のパルスは、同じ一定の電力、例えばＰ＝２０ｍＷによって特徴付けることができるが、τ_Ｔはτ_Ｓよりもはるかに大きくなければならず、例えばτ_Ｔ＝１ｍｓであり、τ_Ｓ＝１ｎｓである。試験パルス内の平均光子数は

であり、ここで、νは光周波数である。ボブ２の側の測定誤りδｎ_Ｔは、以下の２つの主要な寄与を有し、これらは即ち、
１．光のポアソン統計

による検出誤りと、
２．パルス増幅による誤り

（ＧＭ≫１である場合）であり、ここで、Ｇは単一の増幅器４の増幅率であり、Ｍは増幅器４の総数である。隣接する２つの増幅器４間の距離がｄ＝５０ｋｍであり、アリス１とボブ２との間の距離がＤ_ＡＢ＝１００００ｋｍである場合、Ｍ＝２００となり、かつＧ＝１０となり、この場合

となる。

したがって、δｎ_Ｔは

によって決まる。当該試験パルスにより、大きさ

の漏洩量を検出することができる。反射信号に対する同様の制御及び分析は、アリス１の側で実行する必要がある。

テスト手順の他の実施可能性として、以下の２つが挙げられる。

１．単一のパルス。アリス１は、単一の試験パルスを送信し、そのパラメータはランダムに選択される。ここでのパルスの生成は、予備ランダム・ビット・シーケンスを生成し、それをパルスのランダム強度、ランダム位相（例えば、０～π）、ランダム長さ（例えば、１～１０^６ｎｓ）及びランダム形状に変換することを意味している。試験パルスを測定した後、ボブ２はアリス１と共にそのパラメータを検証し、次いで、ボブ２及びアリス１はチャネル３内の損失を特定する。

２．パルスのシーケンス。アリス１は、予備ランダム・シーケンスを符号化する試験パルスのシーケンスを送信する。当該送信は、予備ランダム・シーケンスを生成し、それをパルスのシーケンス内で暗号化すること（例えば、古典的な強度に合わせて調整された強度暗号化又は位相暗号化を用いて）を含む。ボブ２はこれらのパルスを測定し、アリス１と共に符号化されたメッセージを検証した後に、それらの損失を特定する。

４ 測定方式
光信号の状態は、以下の（３５）の演算子で与えられるその直交成分によって、記述され得る。

これらの演算子は、信号の複素振幅の実部と虚部とを表し、直交成分の１つを測定することにより、個々の信号を区別することができる。

ボブ２は、損失及び増幅器４によって変換された２つの状態｜γ_０＞＝｜γ＞及び｜γ_１＞＝｜－γ＞（

を伴う）を区別する必要があり、これら２つの状態は、光位相空間の実軸（ｑ軸）上に中心がある、２つのガウス分布となっている。これについては図３に図示しており、この図３は、一連の損失３．１及び増幅４を通過した後の、ビット値０及び１に対応する状態の光位相図を示している。これら２つの出力状態は、

を中心とするガウス分布を構成しており、ここで、ｒ_Ｅはイブ５によって盗聴された信号の割合である。このために、ボブ２は

直交成分を測定する。ボブ２は、以下の（３６）のＰＯＶＭ演算子によって記述されるホモダイン検出により、測定を実行してもよい。

ここで、｜ｑ＞は

の固有状態であり、パラメータΘは、イブ５の盗聴によって生じ得る損失の量に応じて、ボブ２によって調整され、これについては、Ａ．Ｐｅｒｅｓによる「Ｑｕａｎｔｕｍ Ｔｈｅｏｒｙ．Ｃｏｎｃｅｐｔｓａｎｄ Ｍｅｔｈｏｄｓ」、物理学の基礎理論、シュプリンガー社、オランダ、２００６年と、以下にさらに続く説明とを参照されたい。より具体的には、パラメータΘは、情報理論モデルに基づいて、予想鍵生成レートを最大化することによって求められる。

式（３６）中、

はビット値０（１）を決定するが、

は不良結果に関連付けられており、それぞれのビットは事後選択の段階で、アリス１及びボブ２によって破棄される必要がある。

図４は、ボブ２が採用しているＰＯＶＭの概略図である。これら２つの信号状態は、

に対応する位相空間の領域において最も重なり合っている、ガウス分布となっている。このため、アリス１及びボブ２は、関連結果を不確定的であると見なして、事後選択段階でこれを破棄する。

及び

に関連付けられた結果は、確定的であると見なされる。θの値を変動させて、最終鍵生成レートの面から最も効率的な事後選択処理を実行する（情報理論モデルに基づく最適化）。図４を参照すると、

は２つの状態（ガウス分布）が最も重なり合う位相空間領域に対応しており、したがって関連結果が不確定的であることが分かる。したがって、その直交成分が

に対応している位相空間の領域に入る、受信された電磁パルスに対応するビットは破棄される。

５ 誤り推定及び誤り訂正
無効ビットを破棄する測定及び事後選択処理の後、アリス１及びボブ２は誤り訂正処理を実行してもよい。ホモダイン測定から得られる直交成分値ｑにより、対応するビットにおける誤り確率が推定できるようになり、ｑごとの条件付き誤り確率を容易に計算することができる。実際には、当該誤り率は、チャネルの不完全性やイブ５による有害な活動によっても決まる。したがって、実際には、誤り訂正処理は、理論的予測の代わりに、例えば生鍵の一部を開示して誤りを観測することにより、主として誤りの直接測定に基づいて予測される必要がある。当該生鍵は、事後選択から得られる共有ビット・シーケンスに対応している。

実用的な誤り推定の１つの選択肢には、生鍵の半分を開示することがある。しかしながら、生鍵が十分に長い場合（例えば、１０，０００ビットを超える）、既に比較的短い部分（例えば、１，０００ビット）によって、正確な誤り推定値がもたらされ得る。本技術によれば、アリス１及びボブ２は、自身の認証済み公開チャネル７を使用して生鍵内のいくつかのビット位置を選択し、次いで対応するビット値を公開してもよい。その後、アリス１及びボブ２は、ベイズの定理を用いて、生鍵の残りの部分の予想誤り率について推測することができる。あるいは、アリス１及びボブ２は、ビット値の代わりに、選択されたいくつかの生鍵位置のブロックのパリティビットを開示することができる。本方法は、誤り率値が低い場合にはより優れた推定値をもたらすが、誤り率値が高い場合には、その推定が劣化する。ブロックサイズに関する決定は、ｑの観測値に基づく理論的推定値を考慮して行われ得る。例えば、生の誤り推定値が約６％である場合、長さ１０のブロックが使用され得、この場合のパリティビットの不一致確率は約３６％となり、高い確率であるが、依然として５０％未満であるため、このことは、当該パリティデータが実際の誤り率に関する多くの情報を明らかにしていることを意味する。

誤り率を推定した後、アリス１及びボブ２は、誤り訂正処理を実行してもよい。このために、アリス１及びボブ２は、Ｄ．Ｊ．Ｃ．ＭａｃＫａｙによる「ＩｎｆｏｒｍａｔｉｏｎＴｈｅｏｒｙ，Ｉｎｆｅｒｅｎｃｅ ａｎｄ Ｌｅａｒｎｉｎｇ Ａｌｇｏｒｉｔｈｍｓ」、ケンブリッジ大学出版局、２００３年に記載されているような低密度パリティ検査（ｌｏｗ－ｄｅｎｓｉｔｙ ｐａｒｉｔｙ－ｃｈｅｃｋ：ＬＤＰＣ）符号を使用してもよい。そのような符号の入力は、各ビット位置における０又は１の確率、及び正しいビット・ストリングのシンドローム、即ち、各位置の事前確率を考慮して、誤りを訂正するのに十分なパリティビットのセットである。測定結果ｑ自体によって正しい結果となる確率及び誤った結果となる確率を計算することができるので、ＬＤＰＣ符号は、ホモダイン測定後の誤り訂正にとりわけ有効である。

生鍵の（短いと思われる）一部の誤りを訂正した後、アリス１及びボブ２は、この部分の誤り数を考慮して、残りの鍵のより正確な誤り推定値を生成することができる。本発明者らは、以下の適応手順を提案している。

アリス１及びボブ２は、まず元の生鍵の比較的短いサブセットを選択し（そのサイズは符号語の長さに依存し、例えば１，０００ビットなどである）、誤り率が高い場合のために設計された誤り訂正処理を適用する（例えば、予備的な粗推定によって５％の誤り確率しか得られなかった場合、１０％となる）。この短いサブセット内の誤りを訂正した後、アリス１及びボブ２は、その中の誤り数を把握し、当該鍵の残りの部分について、より優れた誤り率推定値を得ることになる。次いで、アリス１及びボブ２は、別の短いサブセット（例えば、ここでも１，０００ビットとする）を選択し、新たに改良された誤り率推定値に従って、誤り訂正を実行することができ、以下同様に実行される。繰り返すたびに、誤り推定値はより正確になるため、誤り訂正処理がより効率的になる。本方法は、初期誤り推定値を一切有することなく適用することができ、アリス１及びボブ２にとっては、生鍵の大部分の使用を節約することができる。

誤り訂正処理では、当該鍵に関するいくつかの情報を開示する。ＬＤＰＣ符号のような線形符号の場合、１つのシンドロームビットは当該鍵に関する１ビット以下の情報を開示するので、このシンドローム長が情報漏洩量の適切な上限となる。

６ プライバシー増幅
誤り訂正処理の後、アリス１及びボブ２は同じビット・ストリングを共有しているが、このビット・ストリングはイブ５に関連付けられている可能性があるため、最終秘密鍵として使用されるべきではない。Ｃ．Ｈ．Ｂｅｎｎｅｔｔらによる「Ｐｒｉｖａｃｙ ａｍｐｌｉｆｉｃａｔｉｏｎ ｂｙ ｐｕｂｌｉｃ ｄｉｓｃｕｓｓｉｏｎ」、ＳＩＡＭコンピュータジャーナル第１７巻第２号第２１０～２２９頁、１９８８年４月、並びにＧ．Ｂｒａｓｓａｒｄ及びＬ．Ｓａｌｖａｉｌによる「Ｓｅｃｒｅｔ－ｋｅｙ ｒｅｃｏｎｃｉｌｉａｔｉｏｎ ｂｙ ｐｕｂｌｉｃ ｄｉｓｃｕｓｓｉｏｎ」、ＥＵＲＯＣＲＹＰＴ １９９３カンファレンス会報、シュプリンガー社、１９９４年、第４１０～４２３頁によって述べられている鍵蒸留処理は、イブ５の情報を取り除くことを目的としており、より短い新たなビット・ストリングを生成する。イブ５はそのビット・ストリングに関する情報を一切（又はほとんど）有しないので、この新たなストリングは最終的に秘密鍵として使用され得る。

盗聴者の情報を排除するために、アリス１及びボブ２は、例えば、ユニバーサルハッシュ法を用いることができる。本方法では、アリス１とボブ２とで、最初にハッシュ関数ｈ∈ＨのファミリＨについて一致をみることが必要になる。プライバシー増幅段階で、アリス１及びボブ２は、長さｌ_１の元のビット・ストリングを長さｌ_２の最終鍵へとマッピングするそのような関数

を、このファミリからランダムに選択する。イブ５が生鍵からｅ個のビットを把握している場合、ｌ_２はｌ_１－ｅに等しくなるはずである。元のビット・ストリングは、事後選択及び誤り訂正の後で受信された電磁パルス６の第１のシーケンスから得られる、共有ビット・シーケンスに対応している。

Ｈの一例には、テプリッツ行列のファミリがある。アリス１及びボブ２は、ｌ_１行とｌ_２列とを有するランダム２値テプリッツ行列Ｔを使用することができる。次に、アリス１及びボブ２は自身の（元の）ビット・ストリングを２値ベクトルｖとして記述するため、最終鍵ｋは次式、
ｋ＝Ｔ・ｖで与えられる。

７ イブの攻撃
以下では、盗聴者イブ５のビームスプリッタモデルについて述べる。

ここで、イブ５が光線路３に沿ったいずれかの場所でビームスプリッタ攻撃を実行して信号の一部を傍受する場合の、プロトコルの動作を実証する。

ここでは、「ビームスプリッタ」という用語を使用することで、イブ５が線路３に介入した時点に言及している。当該ビームスプリッタが好適であると仮定され、これは即ち、アリス１の方向に反射がないことを意味している。ビームスプリッタに入射する信号（入力）強度が１である場合、強度ｒ_Ｅはイブ５（第１の出力）に向かい、１－ｒ_Ｅはボブ２の方向（第２の出力）に向かう。

図５は、（ａ）当該プロトコルに対するビームスプリッタ攻撃、即ち、光線路３に沿ったいずれかの場所でイブ５が信号の一部を傍受する様子と、（ｂ）（ａ）に等しく、イブ５による介入の前後における損失及び増幅器４が、パラメータ｛Ｔ_１，Ｇ_１｝及び｛Ｔ_２，Ｇ_２｝によってそれぞれ定義された二組の損失チャネル及び増幅チャネル３．１、４によって記述される、ある方式とを概略的に示す図である。

７．１ 損失及び増幅器
隣接する２つの増幅器４間の距離ｄ上に送信される信号の割合は、以下の（３７）の損失率によって決まり、
Ｔ＝１０^－μｄ （３７）
ここで、μ＝１／５０ｋｍ^－１は、光ファイバに典型的な損失のパラメータである。当該損失率は、Ｔ＝１－ｒ_０と記述されてもよく、ここで、ｒ_０は、通信チャネル３において隣接する２つの増幅器４間で生じる固有損失に対応している。前述したように、各増幅器の増幅率はＧ＝１／Ｔである。ここで、アリス１とボブ２（アリス１とイブ５）との間の距離をＤ_{ＡＢ（ＡＥ）}とすると、ビームスプリッタの前後における増幅器４の数Ｍ_１及びＭ_２は、次式（３８）及び次々式（３９）で与えられる。
Ｍ_１＝Ｄ_ＡＥ／ｄ （３８）
Ｍ_２＝（Ｄ_ＡＢ－Ｄ_ＡＥ）／ｄ （３９）
セクション２．３からの提言３及び図５（ｂ）に示すように、ビームスプリッタの前後に生じる損失及び増幅を、次式（４０）の通りに、それぞれがパラメータ｛Ｔ_１，Ｇ_１｝及び｛Ｔ_２，Ｇ_２｝を有する２つの損失及び増幅の組まで低減することにより、当該方式が簡略化され得る。

以下では、少なくとも１つの暗号化パラメータ及び暗号化プロトコルを特定するために使用される、予想鍵生成レートＬ_ｆ／Ｌの情報理論モデルについて述べる。

７．２ 系の状態の発展
本開示の本セクションでは、結合系の状態の漸進的発展について述べる。アリス１のランダム・ビット（Ａ）、即ち、アリス１の乱数生成器と、対応する信号（Ｓ）との初期状態は、次式（４１）で与えられる。

信号が損失及び増幅に関連する変換を経ると、その信号がビームスプリッタを通過する直前のＡＳ－系の状態が次式（４２）で与えられ、

次式（４３）を定義すると、

式（４２）を次式（４４）に書き換えることができる。

信号がビームスプリッタを通過した直後に、アリス１のランダム・ビット（Ａ）、ボブ２に向かう信号（Ｓ）及びイブ５によって傍受された信号（Ｅ）を含む結合系の状態は、次式（４５）によって記述され、

ここで、以下の（４６）となり、

ｒ_Ｅは、イブ５によって盗聴された信号の割合である。当該信号が損失と増幅器との第２のシーケンスを経た後、かつボブ２によってこれが測定される直前に、結合系の状態は、次式（４７）の通りとなり、

ここで、以下の（４８）が得られる。

ボブ２は、当該信号を受信してもよく、また当該信号を測定してもよく、さらにアリス１と共に、古典チャネル７を介して通信することにより、不良結果に関連付けられたビットを破棄することを含む、事後選択を実行してもよい。アリス１が送信したビットがａ＝｛０，１｝である場合に、ボブ２の測定結果がｂ＝｛０，１｝になる確率は、次式（４９）のように記述することができ、

ここで、以下の（５０）となる。

したがって、事後選択の段階でビットが廃棄されないことを意味する、確定的結果になる確率は、次式（５１）の通りとなる。

アリス１のランダム・ビット（Ａ）、測定結果を記憶するボブ２の記憶装置（Ｂ）、及び事後選択の後にイブ５によって盗聴された信号（Ｅ）の最終状態、即ち、良好な測定結果を条件とする最終状態は、次式（５２）の通りとなり、

ここで、以下の（５３）となる。

７．３ 確率
以下では、事後選択、誤り訂正及びプライバシー増幅のステップを説明するために、確率モデルを導入する。

確率ｐ（ｂ｜ａ），ａ，ｂ∈｛０，１｝を得るためには、まず次式（５４）の通りに｜＜β｜ｑ＞｜^２を計算する必要があり、

｜＜β｜ｑ＞｜^２を式（４９）、式（５０）に代入した後、ここで、以下の（５５）、（５６）、（５７）、（５８）が得られ、

ここで、以下の（５９）となる。

７．４ イブの情報量
本セクションでは、事後選択を経ているが、誤り訂正段階の前の生鍵に関する（１ビット当たりの）イブ５の情報量（即ち、盗聴者５と送信機１との間の相互情報量）を、次式（６０）の通りに推定する。

条件付きエントロピー

は、ＡＥ－系の最終密度行列によって決まり、この最終密度行列は式（５２）で得られ、かつ、以下の（６１）となることを使用して

次式（６２）のように記述することができ、

ここで、以下の（６３）が得られる。

イブ５のエントロピーの下限を求める（ひいては、当該鍵に関してイブ５が有する情報量の最大値を推定する）ために、本開示では、イブ５が変数α（Ｒ_Ｅ）を記録する何らかの補助レジスタを有する状況を考慮し、結合ＡＥＲ_Ｅ状態を次式（６４）の通りに導入している。

ここで、レジスタ状態は、＜ｒｅｇ（α）｜ｒｅｇ（α’）＞＝δ^（２）（α－α’）を満たしている。ここで注意すべきは、第一に、このレジスタをトレースすることにより、当該処理で以下の（６５）のようにＡＥ－系の元の状態が回復し、

第二に、条件付きエントロピーの単調性が次式（６６）をもたらし、

これが単に、レジスタを破棄した後、イブ５が送信されたビットに関する情報のみを喪失し得ることを示している点である。このために、

を求めることで、

の下限を得ることができる。

行列

は、次式（６７）に書き換えることができ、

ここで、

及び

は、

の固有値及び固有状態である。したがって、次式（６８）が得られ、

ここで、Ｃは追加の補正項であり、これを明示的に計算する必要はない。同様に、次式（６９）が得られ、

これら２つの式を組み合わせると、次式（７０）が得られ、

ここで、ｈ（ｐ）＝－ｐｌｏｇ（ｐ）－（１－ｐ）ｌｏｇ（１－ｐ）は、２値エントロピーである。

ここで、以下の（７１）のように、イェンセンの不等式を使用することができ、
＜ｈ（ｘ）＞≦ｈ（＜ｘ＞）→１－＜ｈ（ｘ）＞≧１－ｈ（＜ｘ＞） （７１）
ここで、＜ｘ＞≡∫ｄ^２αＱ_√［α］ｘ：となり、

ここで、以下の（７２）となる。

次式（７３）を求め、

ここで、ε_１，２≡Ｇ_１，２－１となる。

式（７３）を式（７２）に代入し、かつ式（６０）を使用することにより、本セクションに記載している方法で、イブ５の情報量の上限を取得している。

７．５ ボブの誤り率
本セクションでは、ボブ２の誤り率を推定する。事後選択を経ているが、誤り訂正の前の当該鍵に関する１ビット当たりのボブ２の情報量（即ち、送信機１と受信機２との間の相互情報量）は、次式（７４）で与えられ、

好適には１に等しくなければならない。したがって、ボブ２の誤り率は、条件付きエントロピー

によって決まり、次式（７５）の通りになる。

式（５２）から、次式（７６）及び次々式（７７）となり、

確率ｐ（ｂ｜ａ）及びｐ（√）は、式（５５）～式（５８）及び式（５１）で与えられる。なお、事後選択は対称に行われるため、次式（７８）の通りとなり、

次いで、

が得られ、次式（８０）は、

ここでも２値エントロピーである。

誤り訂正処理の後、当該鍵に関するボブ２の情報量は

になる一方、イブ５の情報量は増大し、これを次式（８１）の通りに推定することができる。

８ 鍵レート
本セクションは、事後選択、誤り訂正及びプライバシー増幅の後の最終鍵の長さＬ_ｆを、次式（８２）の通りに推定する。

式（８２）では、最終鍵生成レートを求め、この式が、情報理論モデルの主要結果を記述している。この方程式を明示式としてここで詳述すると煩雑になり過ぎるが、ここで２つのパラメータ、即ち信号の振幅γ及び測定パラメータΘを含み、これらのパラメータについては、アリス１及びボブ２は、最良のレートを確保する（例えば、式（８２）の関数を数値的に最大化することによって）ために、ｒ_Ｅに応じて変動させ得る。さらに、セクション７．１から想起されるように、式（８２）は、隣接する２つの増幅器４間の距離ｄと、当該行動の当事者間の距離Ｄ_ＡＢ及びＤ_ＡＥとをさらに含み、これらは固定されていると見なされるパラメータである。

式（８２）はまた、空間的に離隔した増幅器４の数Ｍ及び空間的に離隔した増幅器４の増幅率Ｇにも依存している。その結果、これらのパラメータは、情報理論モデルへの入力パラメータを構成している。

図６では、隣接する２つの増幅器４間の距離ｄの個々の値、即ち（ａ）ｄ＝１０ｋｍ、（ｂ）ｄ＝２０ｋｍ、及び（ｃ）ｄ＝３０ｋｍに対するｒ_Ｅの関数としてのＬ_ｆ／Ｌをプロットしている。アリス１とボブ２との間の距離は固定されていると仮定され、Ｄ_ＡＢ＝１，０００ｋｍとなる。図６にプロットされた個々の曲線は、最小距離（上部曲線）から最大距離（下部曲線）までの、アリス１とイブ５との間の様々な距離Ｄ_ＡＥに対応している。ｒ_Ｅの値ごとに、パラメータγ及びΘは、Ｌ_ｆ／Ｌを最大化するようになっている。増幅器によって付与される関連付けがあるため、イブ５の場合、ボブ２の近傍で信号を傍受すると有利である。

であれば、セキュアで高速な通信が確立され得、その結果、アリス１及びボブ２は、イブ５による盗聴量を数パーセント以下となるようにすることができる。

同様に、図７では、アリス１とボブ２との間の距離Ｄ_ＡＢの個々の値、即ち（ａ）Ｄ_ＡＢ＝１０，０００ｋｍ、（ｂ）Ｄ_ＡＢ＝２０，０００ｋｍ、（ｃ）Ｄ_ＡＢ＝４０，０００ｋｍに対するｒ_Ｅの関数としてのＬ_ｆ／Ｌを、セクション３で述べた理論的に許容される精度でｒ_Ｅを技術的に測定できるという仮定の下で示している。図７にプロットされた個々の曲線は、ここでも、最小距離（上部曲線）から最大距離（下部曲線）までの、アリス１とイブ５との間の様々な距離Ｄ_ＡＥに対応している。隣接する増幅器４間の距離は固定されていると仮定され、ｄ＝５０ｋｍとなる。信号の振幅γは、ｒ_Ｅ＝０．０の場合の１０^４から

の場合の１０^２まで変動している。

図８は、一実施形態による、提案している本方法のステップＳ１～Ｓ４を示す概略フロー図である。

ステップＳ１で、通信チャネル３を介して、電磁試験パルスが送信機１から受信機２に送信される。

ステップＳ２で、盗聴者５が引き起こした通信チャネル３内の信号損失ｒ_Ｅが、受信機２で検出された電磁試験パルスに基づいて特定される。

ステップＳ３で、暗号化プロトコルの暗号化パラメータ、即ちコヒーレント状態の振幅γ、及び最小絶対値Θ（測定パラメータ）が、予想鍵生成レートＬ_ｆ／Ｌを式（８２）に基づいて、これら暗号化パラメータ及び最小絶対値Θに関して、予想鍵生成レートＬ_ｆ／Ｌの情報理論モデルを用いて最大化することによって求められる。空間的に離隔した増幅器４の特定済み信号損失ｒ_Ｅ及び増幅パラメータ、即ち、空間的に離隔した増幅器の数Ｍ、増幅率Ｇ、隣接する２つの増幅器４間の距離ｄ、並びに距離Ｄ_ＡＢ及び距離Ｄ_ＡＥは、式（８２）の情報理論モデルへの入力パラメータとして考慮される。

ステップＳ４で、秘密共有暗号鍵を確立するために、電磁パルス６の第１のシーケンスが、通信チャネル３を介して、空間的に離隔した増幅器４を通じて送信機１から受信機２に送信され、ここで、送信された電磁パルス６の第１のシーケンスの電磁パルスはそれぞれ、暗号化プロトコルに従ってランダム・ビット・シーケンスのビットに対応している。

図９は、一実施形態による、提案している本方法のステップを実行するように構成された、ある通信装置を示す概略図である。

図９に示す通信装置は、送信機１と、受信機２と、通信チャネル３と、空間的に離隔した複数の増幅器４と、認証済み公開古典チャネル７と、を備える。送信機１は、電子評価・制御ユニット１．１及び電磁放射線源１．２を備える。受信機２は、電子評価・制御ユニット２．１及び検出器及び測定ユニット２．２を備える。

送信機１の電子評価・制御ユニット１．１は、ランダム・ビット・シーケンスを生成するように構成された、古典的な乱数生成器（図示せず）を含む。電子評価・制御ユニット１．１は、暗号化プロトコルの暗号化パラメータ及び最小絶対値Θ（測定パラメータ）を、予想鍵生成レートＬ_ｆ／Ｌを式（８２）に基づいて最大化することによって求めるようにさらに構成されている。

送信機１の電磁放射線源１．２は、電磁パルス６の第１のシーケンス及び電磁試験パルスを、暗号化プロトコルに従って生成するように構成されている。送信機１の電磁放射線源１．２は、電磁パルス６の第１のシーケンス及び電磁試験パルスを受信機２に送信するようにさらに構成されている。

受信機２の検出器及び測定ユニット２．２は、少なくとも送受信された電磁パルス６の第１のシーケンスの位相と、送受信された電磁試験パルスの強度とを検出かつ測定するように構成されている。

受信機２の電子評価・制御ユニット２．１は、盗聴者５が引き起こした通信チャネル３内の信号損失ｒ_Ｅを、受信機２で検出された電磁試験パルスに基づいて特定するように構成されている。

通信チャネル３は、複数の伝送線路を含む。空間的に離隔した増幅器４は、通信チャネル３内に（インラインに）組み込まれている。認証済み公開古典チャネル７は、事後選択、誤り訂正及びプライバシー増幅を実行するために、受信機２から送信機１に、かつその逆も同様に、フィードバック情報を送信するように構成されている。

９ 推定
以下では、提案している本方法を例示する、電磁パルスの光子数及び変動についての単純かつ透明性のある数値推定を実現している。典型的な事例では、その形状及び位相を変形させることなく発生するノイズを最小限に抑えながら、安定して送信かつ増幅することができ、それと同時に、盗聴に対する保護度をも維持するような電磁パルスの強度を推定している。

より具体的には、本方法では、長さ２０，０００ｋｍの典型的な伝送線路を想定している。通常、増幅器４間の正確な最適距離は、例えば計算によって求められる。ここでは、本方法は例示として、標準通信距離ｄ＝５０ｋｍを想定している。この距離では、信号は１０分の１まで減衰する（伝送確率Ｔ＝０．１）可能性がある。これに応じて、増幅率はＧ＝１０となる。初期試験信号が

個の光子を搬送する場合、５０ ｋｍ進んだ後、光子の数は

個まで減少する。増幅器はそれを

個の光子まで戻すが、ノイズも加わることになる。光子はポアソン統計に従うので、増幅前の変動は

となる。これらの変動は、増幅率Ｇによっても増幅され、その結果、次式（８３）の通りに生成される。

別々に変動を付加するＭ個の増幅器４のシーケンスを介して送信すると、変動幅は√Ｍ倍に増大し、２０，０００ｋｍの線路上にあるＭ＝４００個の増幅器４に２０倍の増加変動をもたらす。その結果、ボブ２の側の変動は、次式（８４）の通りとなる。

最終的に、本方法では、次式（８５）に示すような最小の検出可能漏洩量が得られる。

例えば、ここでは模範として、位相暗号化の代わりに強度暗号化が想定されている。約１個の光子を含む信号の一部をイブ５が傍受した場合（アリス１の近傍でその信号を傍受した場合）、対応する相対誤りが１のオーダーになることから、アリス１によって送信された電磁パルスの強度が同程度の大きさであれば、それら個々の電磁パルスをイブ５が区別することは不可能となる。

したがって、盗聴が困難となるようなパルスは、好ましくは

個の光子を含む。この場合、ボブ２における変動は、次式（８６）の通りとなり、

よって、以下の（８７）となる。

したがって、上記でさらに説明したように、とりわけボブ２及びアリス１の両方が、追加の後処理手段を実行することを考慮すると、アリス１からボブ２への伝送を、イブ５が効率的に傍受することは不可能となる。拡大縮小可能性が線路長の平方根として機能しているという事実により、４０，０００ｋｍもの広範囲の距離にわたる復号可能な信号のセキュアな伝送を有効にする。

これらの実施形態及び図の説明は、本開示の技術やその技術が実現する利点を例示する役割を果たしているにすぎないので、何ら限定を示唆するものと理解されるべきではない。本開示の範囲は、添付の特許請求の範囲に基づいて決定されるべきである。

Claims (29)

1. 空間的に離隔した複数の増幅器（４）を備える通信チャネル（３）を介して接続された送信機（１）と受信機（２）との間で共有される秘密暗号鍵を決定するための方法であって、前記方法が、
   前記通信チャネル（３）を介して、少なくとも１つの電磁試験パルスを前記送信機（１）から前記受信機（１）に送信し（Ｓ１）、次いで前記受信機（２）で検出された前記少なくとも１つの電磁試験パルスに基づいて、盗聴者（５）が引き起こした前記通信チャネル（３）内の信号損失（ｒ_Ｅ）を特定するステップ（Ｓ２）と、
   秘密共有暗号鍵を確立するために、前記通信チャネル（３）を介して、前記送信機（１）から前記受信機（２）に電磁パルス（６）の第１のシーケンスを送信するステップ（Ｓ４）であって、前記通信チャネル（３）に沿って送信された前記電磁パルス（６）の第１のシーケンスが、前記空間的に離隔した増幅器（４）によって増幅されており、
   前記電磁パルス（６）の第１のシーケンスの前記電磁パルスがそれぞれ、暗号化プロトコルに従ってランダム・ビット・シーケンスのビットに対応している、ステップ（Ｓ４）と、
   予想鍵生成レート（Ｌ_ｆ／Ｌ）を、少なくとも１つの暗号化パラメータに関して、前記予想鍵生成レート（Ｌ_ｆ／Ｌ）の情報理論モデルを用いて最大化することにより、前記暗号化プロトコルの前記少なくとも１つの暗号化パラメータを求めるステップ（Ｓ３）であって、
   前記特定された信号損失（ｒ_Ｅ）及び前記空間的に離隔した増幅器（４）の少なくとも１つの増幅パラメータが、前記情報理論モデルへの入力パラメータとして考慮される、ステップ（Ｓ３）と、を含む、
   方法。
2. 前記電磁パルス（６）の第１のシーケンス内の前記電磁パルスが、同じパルス強度を有するコヒーレント電磁パルスである、請求項１に記載の方法。
3. 前記暗号化プロトコルの暗号化モードが、位相暗号化又は強度暗号化である、請求項１に記載の方法。
4. 前記少なくとも１つの暗号化パラメータが、前記第１のシーケンス内の前記コヒーレント電磁パルスにおけるコヒーレント状態の振幅の絶対値（γ）に対応していることを特徴とする、請求項２に記載の方法。
5. 前記空間的に離隔した増幅器（４）の前記少なくとも１つの増幅パラメータが、前記空間的に離隔した増幅器の数（Ｍ）を含むことを特徴とする、請求項１から４のいずれか一項に記載の方法。
6. 前記空間的に離隔した増幅器（４）の前記少なくとも１つの増幅パラメータが、隣接する２つの増幅器間の距離（ｄ）を含むことを特徴とする、請求項１から４のいずれか一項に記載の方法。
7. 前記空間的に離隔した増幅器（４）の前記少なくとも１つの増幅パラメータが、前記空間的に離隔した増幅器（４）の増幅率（Ｇ）を含むことを特徴とする、請求項１から４のいずれか一項に記載の方法。
8. 前記予想鍵生成レートの前記情報理論モデルが、前記送信機（１）と前記受信機（２）との間の距離（Ｄ_ＡＢ ）をさらに考慮していることを特徴とする、請求項１から７のいずれか一項に記載の方法。
9. 前記予想鍵生成レートの前記情報理論モデルが、前記送信機（１）と前記盗聴者（５）との間の距離（Ｄ_ＡＥ ）をさらに考慮していることを特徴とする、請求項１から７のいずれか一項に記載の方法。
10. 前記予想鍵生成レートの前記情報理論モデルが、前記通信チャネル内の固有損失（３．１）をさらに考慮していることを特徴とする、請求項１から７のいずれか一項に記載の方法。
11. 前記方法が、前記送信された電磁パルス（６）の第１のシーケンスの事後選択を、とりわけホモダイン検出又は強度検出を用いて、前記受信機（２）で実行するステップであって、ここで、最小絶対値（Θ）を超えない直交成分（ｑ）を有する、検出された前記電磁パルスに対応するビットが、不確定ビットとして破棄されている、ステップをさらに含むことを特徴とする、請求項１から１０のいずれか一項に記載の方法。
12. 前記直交成分の前記最小絶対値（Θ）が、前記予想鍵生成レート（Ｌ_ｆ／Ｌ）を、前記少なくとも１つの暗号化パラメータに関して最大化することによって求められている、請求項１１に記載の方法。
13. 前記直交成分の前記最小絶対値（Θ）が、前記予想鍵生成レート（Ｌ_ｆ／Ｌ）を、検出された前記電磁パルスの前記直交成分（ｑ）に対応する測定パラメータに関して最大化することによって求められている、請求項１１に記載の方法。
14. 前記方法が、前記送信された電磁パルス（６）の第１のシーケンスの少なくとも一部について、とりわけホモダイン検出結果に基づいて、前記受信機（２）での復号誤り率を推定するステップをさらに含むことを特徴とする、請求項１から１３のいずれか一項に記載の方法。
15. 前記方法が、誤り訂正を実行するステップであって、誤り訂正符号のブロックサイズが、推定された前記復号誤り率に基づいて決定されるステップをさらに含むことを特徴とする、請求項１４に記載の方法。
16. 前記誤り訂正符号が、低密度パリティ検査符号（ＬＤＰＣ）を含むことを特徴とする、請求項１５に記載の方法。
17. 前記誤り訂正が適応的に実行され、ここで、前記検出された電磁パルスの前記シーケンスのサブセットが反復的に誤り訂正されることを特徴とする、請求項１５又は１６に記載の方法。
18. 前記誤り訂正が適応的に実行され、ここで、前記検出された電磁パルスの前記シーケンスのサブセットが反復的に誤り訂正され、かつ、新たなサブセットが誤り訂正された時に、前記復号誤り率の推定値が更新されることを特徴とする、請求項１５又は１６に記載の方法。
19. 前記誤り訂正が適応的に実行され、ここで、前記検出された電磁パルスの前記シーケンスのサブセットが反復的に誤り訂正され、かつ、新たなサブセットが誤り訂正された時に、前記復号誤り率の推定値が更新され、かつ各繰り返しで使用される前記誤り訂正符号が、適宜適合されることを特徴とする、請求項１５又は１６に記載の方法。
20. 前記方法が、前記盗聴者（５）が取得できる情報を排除又は制限するために、とりわけハッシュ関数を用いてプライバシー増幅を実行するステップをさらに含むことを特徴とする、請求項１から１９のいずれか一項に記載の方法。
21. 前記空間的に離隔した増幅器（４）が、コヒーレンス保存光増幅器を含むことを特徴とする、請求項１から２０のいずれか一項に記載の方法。
22. 前記空間的に離隔した増幅器（４）が、インライン型エルビウム・ドープ・ファイバ増幅器（ＥＤＦＡ）を含むことを特徴とする、請求項１から２０のいずれか一項に記載の方法。
23. 前記予想鍵生成レート（Ｌ_ｆ／Ｌ）を推定するための前記情報理論モデルが、損失が生じている場合に、前記通信チャネル（３）に沿って前記送信機（１）から前記受信機（２）に送信される電磁パルスの状態に対応する密度行列の微視的発展を考慮に入れることを特徴とする、請求項１から２２のいずれか一項に記載の方法。
24. 前記予想鍵生成レート（Ｌ_ｆ／Ｌ）を推定するための前記情報理論モデルが、増幅が生じている場合に、前記通信チャネル（３）に沿って前記送信機（１）から前記受信機（２）に送信される電磁パルスの状態に対応する密度行列の微視的発展を考慮に入れることを特徴とする、請求項１から２２のいずれか一項に記載の方法。
25. 前記予想鍵生成レート（Ｌ_ｆ／Ｌ）を推定するための前記情報理論モデルが、事後選択が行われている場合に、前記通信チャネル（３）に沿って前記送信機（１）から前記受信機（２）に送信される電磁パルスの状態に対応する密度行列の微視的発展を考慮に入れることを特徴とする、請求項１から２２のいずれか一項に記載の方法。
26. 前記予想鍵生成レート（Ｌ_ｆ／Ｌ）を推定するための前記情報理論モデルが、誤り訂正が行われている場合に、前記通信チャネル（３）に沿って前記送信機（１）から前記受信機（２）に送信される電磁パルスの状態に対応する密度行列の微視的発展を考慮に入れることを特徴とする、請求項１から２２のいずれか一項に記載の方法。
27. 請求項１から２６のいずれか一項に記載の方法を実施するように構成された手段を備える、通信装置。
28. コンピュータによって実行されると、前記コンピュータに請求項１から２６のいずれか一項に記載の方法を実行させる命令を含む、コンピュータ可読記憶媒体。
29. コンピュータによって実行されると、前記コンピュータに請求項１から２６のいずれか一項に記載の方法を実行させる命令を含む、コンピュータプログラム製品。

Images