衛星量子鍵配送(QKD) — 物理法則そのもので盗聴を検知する鍵配送

この回で学ぶこと

SDLSの回では、MACによる認証や暗号化が、共有鍵 $K$ さえ安全に配れていれば数学的に堅牢であることを見ました。HMACやAES-GCMの安全性は、「鍵を知らない攻撃者が、現実的な計算量でタグや暗号文を偽造することは事実上不可能である」という**計算量的安全性(computational security)**の前提の上に成り立っています。この前提はこれまで半世紀近く、地上のインターネットから深宇宙探査機のコマンドリンクまで、あらゆる暗号システムを支えてきました。

しかしこの前提には、静かに、しかし着実に迫っている長期的なリスクがあります。量子コンピュータです。1994年にPeter Shorが示したアルゴリズムは、大きな数の素因数分解や離散対数問題を、量子コンピュータ上では古典コンピュータよりも指数関数的に高速に解けることを証明しました。RSAやDiffie-Hellman鍵交換のような公開鍵暗号の安全性は、まさにこれらの問題が「現実的な時間では解けない」ことに依存しているため、十分な規模の量子コンピュータが実現すれば、これらは原理的に無力化されます。さらに厄介なのは、**「今傍受して、後で復号する(harvest now, decrypt later)」**という攻撃モデルです。攻撃者は今日の時点では鍵を解読できなくても、暗号化された通信をまるごと記録しておき、将来量子コンピュータが実用化された時点でさかのぼって解読する、という戦略が取れます。深宇宙探査機のミッションは運用期間が10年、20年に及ぶこともあり、今日打ち上げる探査機の通信が、将来の量子コンピュータの登場までに「解読済み」として記録され続けるリスクは、決して絵空事ではありません。

対称鍵暗号(AES、HMACなど)自体は、量子コンピュータのGroverのアルゴリズムによる高速化を受けても鍵長を2倍にすれば安全性を維持できるため、比較的量子耐性があるとされています。問題の核心は、その対称鍵 $K$ を最初にどうやって安全に共有するかという鍵配送(key distribution)の部分です。従来はこれを公開鍵暗号や、事前共有(打ち上げ前に鍵をハードコードする)といった方法に頼ってきましたが、公開鍵暗号を使う限り量子コンピュータのリスクから逃れられず、事前共有だけでは運用中の鍵更新(SDLSの回で見た鍵のロールオーバー)に限界があります。

この回で扱う**量子鍵配送(QKD, Quantum Key Distribution)**は、この鍵配送問題に対して、計算量的安全性とはまったく異なる土俵で答えを出そうとするアプローチです。安全性の根拠を「攻撃者の計算能力が足りない」ことではなく、量子力学の測定原理そのものに置きます。物理法則が成り立つ限り(そして量子コンピュータがどれほど強力になろうとも)破られない、という意味で、QKDは”未来永劫”の安全性を目指す技術です。

直感的導入: 「読んだら壊れる手紙」

従来の暗号の安全性を、金庫にたとえてみましょう。RSA暗号は「開けるのに天文学的な時間がかかる金庫」です。どれほど頑丈でも、いつか金庫破りの技術(量子コンピュータ)が進歩すれば、原理的には開けられてしまいます。

QKDが目指すのは、まったく違う発想の安全性です。それは「盗み読みしようとした瞬間に、中身が壊れてしまう手紙」です。攻撃者がどれほど賢く、どれほど計算能力があっても、手紙(光子)を覗き見ようとする行為そのものが、手紙の中身を物理的に変えてしまいます。しかも受取人は、手紙が壊れているかどうかを、あとから簡単に確認できます。壊れていれば「盗み見された」と分かるので、その回の鍵は使わずに捨てればよいのです。

この「観測すると状態が変わる」という性質は、量子力学における測定の基本原理そのものであり、光子1個を単位として鍵情報を送ることで初めて活用できます。次節から、この原理を実際にどう鍵配送のプロトコルに落とし込むかを見ていきます。

数式定式化

1. 単一光子の偏光状態と2つの共役基底

QKDでは、光子1個の**偏光(polarization)**状態に1ビットの情報を乗せます。偏光は量子力学的な2準位系(量子ビット、qubit)として扱えるため、任意の偏光状態は複素ベクトル空間の単位ベクトルとして表現できます。

代表的なプロトコルである BB84(Bennett と Brassard が1984年に提案)では、次の2つの**基底(basis)**を使います。

直線基底(rectilinear basis、記号 $+$)

$$|0\rangle_+ = |H\rangle \ (\text{水平偏光}), \qquad |1\rangle_+ = |V\rangle \ (\text{垂直偏光})$$

斜め基底(diagonal basis、記号 $\times$)

$$|0\rangle_\times = |{+}45^\circ\rangle = \frac{|H\rangle+|V\rangle}{\sqrt{2}}, \qquad |1\rangle_\times = |{-}45^\circ\rangle = \frac{|H\rangle-|V\rangle}{\sqrt{2}}$$

この2つの基底は**互いに共役(mutually unbiased)**です。つまり、直線基底のどちらの状態($|H\rangle$ または $|V\rangle$)を、斜め基底で測定しても、結果は50%/50%の確率でしか得られません。

$$|\langle H | {+}45^\circ\rangle|^2 = \left|\frac{1}{\sqrt{2}}\right|^2 = \frac{1}{2}$$

この「基底を取り違えて測定すると、結果が完全にランダムになる」という性質こそが、BB84の盗聴検知の心臓部です。

2. 量子複製不可能定理(no-cloning theorem)

なぜ攻撃者は、光子をこっそり複製してから、複製の方だけを測定する(元の光子はそのまま何事もなかったように転送する)という手が使えないのでしょうか。答えは量子複製不可能定理にあります。

未知の量子状態 $|\psi\rangle$ を、別の状態 $|0\rangle$ にコピーする万能な量子操作(ユニタリ変換 $U$)が存在すると仮定します。

$$U(|\psi\rangle \otimes |0\rangle) = |\psi\rangle \otimes |\psi\rangle \quad \text{が任意の未知の} \ |\psi\rangle \ \text{で成立}$$

この仮定が2つの正規直交状態 $|0\rangle, |1\rangle$ に対して成り立つとすると、$U|0\rangle|0\rangle = |0\rangle|0\rangle$、$U|1\rangle|0\rangle = |1\rangle|1\rangle$ です。ここで重ね合わせ状態 $|\psi\rangle = a|0\rangle + b|1\rangle$ を入力すると、$U$ の線形性により、

$$U|\psi\rangle|0\rangle = a\,U|0\rangle|0\rangle + b\,U|1\rangle|0\rangle = a|0\rangle|0\rangle + b|1\rangle|1\rangle$$

となります。しかし、期待される「正しい複製」は

$$|\psi\rangle \otimes |\psi\rangle = (a|0\rangle+b|1\rangle)\otimes(a|0\rangle+b|1\rangle) = a^2|0\rangle|0\rangle + ab|0\rangle|1\rangle + ab|1\rangle|0\rangle + b^2|1\rangle|1\rangle$$

であり、$a, b$ が両方非ゼロである限り、この2つの式は一致しません。つまり未知の量子状態を万能に複製できるユニタリ操作は存在しないというのが量子複製不可能定理です。この定理により、攻撃者(慣習的にEveと呼びます)は「光子をこっそりコピーして自分だけ後でゆっくり調べる」という、古典的な盗聴では当たり前の手口が原理的に使えません。Eveに残された手段は、光子そのものを測定してしまうことだけであり、測定は必然的に状態を乱します。

3. BB84プロトコルの手順

BB84の手順は次の通りです。送信者をAlice(地上局または衛星)、受信者をBobとします。

1. Aliceの符号化: Aliceは各パルスごとに、ランダムなビット値 $b_A \in \{0,1\}$ と、ランダムな基底 $c_A \in \{+, \times\}$ を選び、対応する偏光状態の光子を1個ずつBobに送ります。
2. Bobの測定: Bobは、Aliceがどの基底を使ったか知らないまま、自分もランダムに基底 $c_B \in \{+,\times\}$ を選んで各光子を測定し、測定結果 $b_B$ を記録します。
3. ふるい分け(sifting): 光子の送受信がすべて終わったあと、AliceとBobは認証された公開の古典通信路(暗号化までは不要ですが、コマンド認証の回で学んだMACなどで送信元は保証されている必要があります)を使って、基底の選択 $c_A, c_B$ だけを比較します。ビット値そのものは一切明かしません。$c_A = c_B$ だった回だけを残し、それ以外は捨てます。基底はランダムに独立して選ばれるため、平均して半分のパルスが生き残ります。
4. ふるい分け後の鍵: 盗聴も雑音もなければ、$c_A = c_B$ の回では、Bobは正しい基底で測定しているのでAliceの偏光状態を確定的に判別でき、$b_A = b_B$ が成立します。この一致した $\{b_A\}$ の列(シフト鍵、sifted key)が、鍵の候補になります。

ここで重要なのは、Eveが盗聴していたかどうかを判定する材料が、まだこの時点では手元にないということです。それを与えるのが次の節です。

4. 傍受再送攻撃とQBER(量子ビット誤り率)

Eveが最もナイーブに盗聴を試みる方法は、**傍受再送攻撃(intercept-resend attack)**です。Eveは光子が通過する経路の途中に割り込み、自分もランダムに基底 $c_E$ を選んで光子を測定し、測定結果に基づいて新しい光子を用意し、Bobに向けて再送します。

Eveは $c_A$ を知らないので、$c_E$ が $c_A$ と一致する確率は $1/2$ です。ふるい分け後(つまり $c_A = c_B$ の場合)に限って、この後の挙動を場合分けします。

• $c_E = c_A$(確率 $1/2$)の場合: Eveはたまたま正しい基底で測定しており、光子はAliceが送った状態の固有状態にあるため、Eveの測定結果はAliceのビットと確実に一致します。Eveは正しい状態をそのまま再現してBobに送るので、Bobの測定結果もAliceのビットと一致し、誤りは発生しません。
• $c_E \ne c_A$(確率 $1/2$)の場合: Eveは間違った基底で測定します。前節で見た通り、間違った基底での測定結果はAliceのビット値と無関係に $1/2, 1/2$ でランダムに決まります。Eveはこの(誤った)測定結果に基づいて光子を再生成し送るため、その光子はAliceの元の基底 $c_A$ から見ると重ね合わせ状態になっており、Bobが $c_A$($=c_B$)で測定しても、正しいビットが得られる確率は $1/2$ にすぎません。

この2つの場合を合わせると、Eveが全パルスに傍受再送攻撃をかけたときの、シフト鍵における誤り率は、

$$\text{QBER} = \underbrace{\frac{1}{2}}_{c_E \ne c_A} \times \underbrace{\frac{1}{2}}_{\text{誤る確率}} = \frac{1}{4} = 25\%$$

となります。これが**QBER(Quantum Bit Error Rate、量子ビット誤り率)**です。AliceとBobは、シフト鍵の一部を無作為に選んで公開の古典通信路で比較し、実測のQBERを推定します。もしEveが全パルスを傍受再送していれば、$25\%$ という(通常の光ファイバーや自由空間の雑音だけでは説明できない)大きな誤り率が観測され、盗聴の存在が発覚します。QBERの推定に使ったビットは鍵として使わず捨て、残りが最終的な鍵の材料になります。

実際には、Eveがすべてのパルスを傍受するとは限らず、部分的な傍受や、より巧妙な攻撃(たとえば弱コヒーレントパルスを使う実装では、1パルスに複数光子が含まれる場合に一部だけを抜き取る光子数分岐攻撃、PNS攻撃)も理論上考えられます。実運用のシステムでは、真の単一光子源の実現が難しいため、平均光子数 $\mu \ll 1$ の弱コヒーレントパルス(weak coherent pulse)でBB84を近似実装することが一般的で、PNS攻撃への対策として、意図的に平均光子数を変えた「おとりパルス(decoy state)」を混ぜて送るデコイ状態法が広く使われます。これにより、Eveが多光子パルスだけを選択的に盗聴しても、AliceとBobは統計的にそれを検出できます。

5. 誤り訂正・秘匿性増強と、安全な鍵レート

QBERが許容できる範囲(自然な通信路雑音だけで説明できる程度)であれば、AliceとBobはシフト鍵を最終的な秘密鍵に仕上げるため、さらに2段階の古典的な後処理を行います。

• 誤り訂正(error correction): AliceとBobのビット列にわずかに残る不一致(雑音由来のもの)を、公開通信路上でのパリティ検査などを使って一致させます。
• 秘匿性増強(privacy amplification): Eveが得た可能性のある部分的な情報を、ハッシュ関数などを使って鍵長を意図的に縮めることで、実質的にゼロまで削り落とします。

この後処理を経て残る、実際に安全に使える鍵の長さの割合は、QBER $Q$ の関数として近似的に見積もることができます。二値エントロピー関数

$$h_2(x) = -x\log_2 x - (1-x)\log_2(1-x)$$

を使うと、Shor–Preskillの安全性証明に基づく代表的な下界として、

$$R_{\text{secure}} \ \gtrsim\ R_{\text{sifted}} \cdot \Big[\, 1 - f_{EC}\, h_2(Q) - h_2(Q) \,\Big]$$

という形の式がよく使われます。ここで $R_{\text{sifted}}$ はシフト鍵のレート、$f_{EC}\ge 1$ は誤り訂正の非効率性を表す係数(理想的な符号化なら $f_{EC}=1$)です。$f_{EC}=1$ とした単純化された場合で、この式の括弧内がゼロになるQBERを求めると、

$$1 - 2h_2(Q_{th}) = 0 \ \Longrightarrow\ h_2(Q_{th}) = 0.5 \ \Longrightarrow\ Q_{th} \approx 0.11 \ (11\%)$$

となります。つまりQBERがおよそ11%を超えると、原理的に安全な鍵を1ビットも抽出できなくなり、AliceとBobはその回の鍵生成を中止(abort)しなければなりません。前節で見た通り、全パルス傍受再送によるQBERは25%なので、この閾値をはるかに超えて検出されることが分かります。

6. なぜ地上の光ファイバーではなく衛星なのか — 指数減衰 vs 幾何減衰

ここまでの議論は、光子をどう送るかという伝送路の物理的な性質に依存しません。しかし実際に鍵を配れる距離は、伝送路の減衰特性に強く支配されます。ここで光通信・DSOCの回で学んだ伝搬特性の知識が生きてきます。

光ファイバー中の減衰は指数関数的です。 標準的な通信用光ファイバー(波長1550nm帯)の減衰係数は、代表的な値として $\alpha \approx 0.2\ \text{dB/km}$ です。伝送距離 $L$ [km] における透過率(光子が生き残る確率)は、

$$\eta_{\text{fiber}}(L) = 10^{-\alpha L / 10}$$

で与えられます。具体的に計算してみましょう。

$$L = 50\ \text{km}: \ \eta_{\text{fiber}} = 10^{-1.0} = 10\%, \qquad L = 250\ \text{km}: \ \eta_{\text{fiber}} = 10^{-5.0} = 0.001\%$$ $$L = 500\ \text{km}: \ \eta_{\text{fiber}} = 10^{-10.0} \approx 10^{-10} \ (\text{事実上ゼロ})$$

QKDでは1パルスあたりに乗せられる光子はせいぜい平均1個程度(前節の $\mu \ll 1$)であるため、伝送路の透過率がそのまま最終的な鍵レートに直結します。$500\,\text{km}$ で透過率が $10^{-10}$ まで落ち込むと、実用的な鍵レートは事実上ゼロになり、地上の光ファイバー単独でのQKDは、信頼できる中継ノード(trusted repeater)を数十〜百数十kmおきに置かない限り、大陸間はおろか数百km規模でも成立しません。

一方、大気圏外の自由空間伝搬は、指数減衰ではなく幾何学的な(距離の2乗に反比例する)減衰です。 これは光通信・DSOCの回で扱ったビーム広がりの物理そのものです。送信望遠鏡の開口径を $D_{tx}$、波長を $\lambda$ とすると、回折限界のビーム広がり角は概ね

$$\theta_{\text{div}} \approx \frac{2.44\,\lambda}{D_{tx}}$$

で決まり、距離 $d$ でのビームスポットの直径は $\theta_{\text{div}}\, d$ 程度に広がります。受信望遠鏡の開口径を $D_{rx}$ とすると、幾何学的な受信効率(スポットのうち受信望遠鏡が拾える割合)は概ね

$$\eta_{\text{geo}}(d) \approx \left(\frac{D_{rx}}{\theta_{\text{div}}\, d}\right)^{2}$$

という**距離の2乗に反比例する($1/d^2$)**減衰になります。試しに、衛星側の送信望遠鏡 $D_{tx}=0.3\ \text{m}$、波長 $\lambda=850\ \text{nm}$、地上局側の受信望遠鏡 $D_{rx}=1\ \text{m}$、低軌道(LEO)衛星のスラントレンジ(斜め距離) $d=600\ \text{km}$ という代表的な値で計算してみましょう。

$$\theta_{\text{div}} \approx \frac{2.44 \times 850\times10^{-9}}{0.3} \approx 6.9\times10^{-6}\ \text{rad}$$ $$\text{地上でのスポット直径} \approx \theta_{\text{div}} \times d \approx 6.9\times10^{-6}\times 6\times10^{5}\ \text{m} \approx 4.1\ \text{m}$$ $$\eta_{\text{geo}} \approx \left(\frac{1}{4.1}\right)^2 \approx 0.059 \ \Longrightarrow\ 10\log_{10}\eta_{\text{geo}} \approx -12.3\ \text{dB}$$

この簡略化した幾何学的な計算だけでも、$600\ \text{km}$ 先まで届く損失はわずか十数dB程度に収まります。実際のリンクにはこれに加えて大気透過率・光学系の挿入損失・検出器量子効率などの要因が上乗せされますが、それでも指数関数的に効いてくるのは大気を通過するごく薄い層(高度数十kmまで)だけであり、大気圏外の真空中の伝搬そのものは実質的に無損失です。同じ「数百km」でも、光ファイバー中では指数的に光が消え去るのに対し、自由空間では距離の2乗でしか効いてこない——この質的な違いこそが、衛星QKDが地上の光ファイバーの限界を突破できる理由です。

実際に中国のMicius(墨子号)衛星の実測では、衛星-地上局間の1回のリンクで平均して約 $30\ \text{dB}$ 程度の総損失が報告されています(大気透過率・望遠鏡の追尾効率・検出器効率を含む)。これを同じ $30\ \text{dB}$ の損失に相当する光ファイバー長に換算すると、

$$L_{\text{fiber-equiv}} = \frac{30\ \text{dB}}{0.2\ \text{dB/km}} = 150\ \text{km}$$

にすぎません。つまり衛星を使った数百kmのダウンリンクは、わずか150km程度の光ファイバーと同程度の損失で実現できてしまうわけです。これが、光ファイバーでは中継なしに数百kmが限界であるのに対し、衛星を経由すれば数千km離れた2地点間の鍵配送が現実的になる、という定量的な根拠です。

7. 衛星QKDのアーキテクチャ — 信頼できる中継点(trusted node)方式

では、地球上の離れた2つの地上局 $A$ と $B$ の間で鍵を共有するために、衛星は具体的にどう振る舞うのでしょうか。現在最も広く実証されている方式は、衛星を信頼できる中継点(trusted node)として使う方式です。

1. 衛星が地上局 $A$ の上空を通過する際、BB84などのプロトコルで地上局 $A$ との間に鍵 $K_A$ を確立します。
2. 別の周回(または軌道上のタイミング)で、衛星が地上局 $B$ の上空を通過する際、同様に鍵 $K_B$ を確立します。
3. 衛星は、$K_A$ と $K_B$ の排他的論理和(XOR)

$$X = K_A \oplus K_B$$

を計算し、これを(SDLSの回で見たような認証済みの)公開の古典通信路でどちらかの地上局(あるいは両方)に送ります。

4. 地上局 $A$ は自分の持つ $K_A$ と、受け取った $X$ から、

$$K_A \oplus X = K_A \oplus (K_A \oplus K_B) = K_B$$

を計算し、地上局 $B$ の鍵 $K_B$ を復元します。$X$ は公開されていますが、$K_A$ または $K_B$ のどちらかを知らない限り $X$ から相手の鍵を導くことはできないため、地上局 $A$ と地上局 $B$ は最終的に同じ鍵 $K_B$($=$ 事実上の共有鍵)を安全に共有したことになります。

この方式の弱点は名前の通り「信頼できる」中継点を前提にしていることです。衛星そのもの(あるいはその運用主体)が $K_A$ と $K_B$ の両方を一時的にせよ知っているため、衛星が乗っ取られたり、運用主体自体が信頼できない場合には、鍵のエンドツーエンドの安全性は保証されません。この弱点を回避する研究として、衛星が量子もつれ光子対を2つの地上局にそれぞれ配り、衛星自身は測定結果を一切知らないまま2地点間の相関(もつれ)だけを提供するもつれ配送(entanglement distribution)方式も実証が進んでいます。これは次節で扱う実例の中でも触れます。

実務での使われ方

Micius(墨子号)— 世界初の衛星QKD実証

この分野を切り拓いた実証機が、中国科学院(CAS)が2016年8月に打ち上げた**Micius(墨子号、QUESS: Quantum Experiments at Space Scale)**衛星です。太陽同期軌道、高度約500kmを周回するこの衛星は、量子光学ペイロードを搭載し、複数のマイルストーンを達成してきました。

• 2017年、衛星-地上間QKD: Liaoらは Nature 誌で、Miciusと中国・興隆(Xinglong)地上局の間で、デコイ状態BB84プロトコルによる衛星-地上QKDを実証したと報告しました。1回の衛星通過(数分間のパス)あたり、平均チャネル損失は約30dB程度であったにもかかわらず、実用的なレートで秘密鍵を生成できることが示されました。
• 2017年、1200km超のもつれ配送: Yinらは Science 誌で、Miciusから中国国内の2つの地上局(徳令哈と麗江、直線距離にして約1200km離れている)へ、量子もつれ光子対をそれぞれ配送し、地上の2局間でベル不等式の破れを観測したことを報告しました。これは前節で触れた「衛星が鍵の中身を知らずに済む」もつれ配送方式の実証であり、地上の光ファイバーでは到底届かない距離で量子相関を維持できることを示しました。
• 2018年、大陸間の量子鍵配送: Liaoらは Physical Review Letters 誌で、信頼できる中継点方式を使い、Miciusを介して北京(中国)とウィーン(オーストリア)の間で鍵を確立し、その鍵から生成したワンタイムパッド的な暗号鍵でビデオ通話を暗号化する、大陸間の量子暗号通信を実証しました。中国側の複数の地上局とオーストリア・グラーツの地上局を、Miciusが軌道上でそれぞれ結ぶ形で実現されています。

これらの実証は、衛星QKDが実験室内の原理実証を超えて、実際に大陸間規模で機能することを示した画期的な成果として位置づけられています。

今後の宇宙量子通信ネットワーク構想

Miciusに続く展開として、いくつかの方向性が世界的に模索されています。

• 静止軌道(GEO)中継: LEO衛星は1回のパスが数分程度に限られるため、常時利用可能な鍵配送インフラとしては制約があります。より高い軌道(GEOなど)に量子中継ノードを置き、可視時間を大幅に延ばす構想が検討されています。
• 量子中継器(quantum repeater)とエンタングルメント・スワッピング: 信頼できる中継点方式の弱点(衛星が鍵を知ってしまう)を根本的に解消する方向性として、複数のもつれ光子対を組み合わせて遠距離のもつれを中継する量子中継器の研究が進んでいます。これが実現すれば、衛星を経由しつつも衛星自身が鍵の情報を一切持たない、真にエンドツーエンドで安全な鍵配送が可能になります。
• 各国の追随ミッション: カナダのQEYSSat、シンガポールの超小型衛星SpooQy-1、日本のSOCRATESなど、CubeSat級の小型プラットフォームを使った低コストな衛星量子通信実証も進められており、将来的な量子通信衛星コンステレーション構想の土台になりつつあります。
• 地上ネットワークとの融合: 地上では光ファイバーによる大都市圏QKDネットワークがすでに実用段階に入りつつあり、都市内は光ファイバー、都市間・大陸間は衛星、というハイブリッドな量子通信インフラが将来像として描かれています。

演習問題

1. 傍受再送攻撃において、Eveが「常にAliceと同じ基底を使う」という(現実には不可能な)仮定を置いた場合、シフト鍵のQBERはどうなるか。本文の場合分けの議論を参考に説明してください。また、実際にはEveがAliceの基底を事前に知ることができない理由を、量子複製不可能定理と関連づけて述べてください。

2. 光ファイバーの減衰係数 $\alpha = 0.2\ \text{dB/km}$ のとき、伝送距離 $L=100\ \text{km}$ における透過率 $\eta_{\text{fiber}}$ をdBおよび真数の両方で求めてください。また、その透過率と同じ損失量を、本文の衛星リンクの簡略計算で使った幾何減衰の式 $\eta_{\text{geo}}(d) \approx (D_{rx}/(\theta_{\text{div}}d))^2$ に当てはめた場合、$D_{tx}=0.3\ \text{m}$、$\lambda=850\ \text{nm}$、$D_{rx}=1\ \text{m}$ の条件でおよそ何kmの距離まで許容されるか、概算してください。

3. QBERが $Q=0.03$(3%)、誤り訂正の非効率係数が $f_{EC}=1.16$ であるとき、本文の安全な鍵レートの近似式 $R_{\text{secure}} \gtrsim R_{\text{sifted}}[1 - f_{EC}h_2(Q) - h_2(Q)]$ を用いて、シフト鍵に対する安全な鍵の割合(パーセント)を計算してください。$h_2(0.03) \approx 0.194$ を使ってよい。

4. 「信頼できる中継点(trusted node)」方式によるMiciusの北京-ウィーン間鍵配送では、衛星自身が両地上局の鍵 $K_A, K_B$ を一時的に知る構造になっています。この構造がもたらすセキュリティ上の弱点を具体的に説明し、本文で触れた「もつれ配送方式」がなぜこの弱点を回避できる可能性を持つのか、量子もつれの性質(測定するまでどちらの結果になるか決まっていない)に触れながら論じてください。

まとめと次回予告

この回では、SDLSの回までの議論が暗黙のうちに前提としてきた「共有鍵は安全にすでに配られている」という前提そのものを問い直しました。従来の鍵配送(公開鍵暗号や事前共有)が将来の量子コンピュータによって脅かされうるという長期的リスクを出発点に、BB84プロトコルが量子複製不可能定理と基底の取り違えによる状態の乱れを使って盗聴を物理的に検知する仕組みを、QBERの計算(傍受再送攻撃で25%)や安全な鍵レートの式(QBER閾値約11%)とともに数式で確認しました。さらに、光通信・DSOCの回で学んだ伝搬特性の知識を使って、光ファイバーの指数減衰と自由空間の幾何減衰(距離の2乗則)という質的な違いこそが、衛星QKDが地上ファイバーの数百kmの壁を越えて大陸間鍵配送を可能にする理由であることを見ました。最後に、中国のMicius衛星が2017年以降に実証した衛星-地上QKD、1200km超のもつれ配送、そして北京-ウィーン間の大陸間量子暗号通信という一連の成果を確認しました。

次回は、宇宙リンクの上でインターネットプロトコルそのものを走らせるという、また別の角度からのネットワーク・プロトコルの話題、IP over CCSDS に軽く触れます。SCPSの回やDTNの回で見た「TCP/IPが素直には通用しない宇宙リンク」という前提に、あえてIPを持ち込もうとする動きが今どうなっているのかを見ていきます。

参考文献

• C. H. Bennett and G. Brassard, “Quantum Cryptography: Public Key Distribution and Coin Tossing,” Proceedings of IEEE International Conference on Computers, Systems, and Signal Processing, 1984.
• S.-K. Liao et al., “Satellite-to-Ground Quantum Key Distribution,” Nature 549, 43–47 (2017).
• J. Yin et al., “Satellite-based Entanglement Distribution over 1200 Kilometers,” Science 356, 1140–1144 (2017).
• S.-K. Liao et al., “Satellite-Relayed Intercontinental Quantum Network,” Physical Review Letters 120, 030501 (2018).
• P. W. Shor, “Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms on a Quantum Computer,” SIAM Journal on Computing, 1997.
• N. Gisin, G. Ribordy, W. Tittel, H. Zbinden, “Quantum Cryptography,” Reviews of Modern Physics 74, 145 (2002).
• CCSDS 355.0-B, Space Data Link Security Protocol, Blue Book