特許 7519696 応答推定方法及び応答推定装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-11

(45)【発行日】2024-07-22

(54)【発明の名称】応答推定方法及び応答推定装置

(51)【国際特許分類】

   H04L 9/12 20060101AFI20240712BHJP

【ＦＩ】

H04L9/12

【請求項の数】 10

(21)【出願番号】P 2021533092

(86)(22)【出願日】2020-07-15

(86)【国際出願番号】 JP2020027578

(87)【国際公開番号】W WO2021010429

(87)【国際公開日】2021-01-21

【審査請求日】2023-06-08

(31)【優先権主張番号】62/874,102

(32)【優先日】2019-07-15

(33)【優先権主張国・地域又は機関】US

【国等の委託研究の成果に係る記載事項】（出願人による申告）平成３０年度、国立研究開発法人量子科学技術研究開発機構、戦略的イノベーション創造プログラム（ＳＩＰ）事業「光・量子を活用したＳｏｃｉｅｔｙ５．０実現化技術」委託研究、産業技術力強化法第１７条の適用を受ける特許出願

(73)【特許権者】

【識別番号】504137912

【氏名又は名称】国立大学法人 東京大学

(74)【代理人】

【識別番号】110002675

【氏名又は名称】弁理士法人ドライト国際特許事務所

(72)【発明者】

【氏名】小芦 雅斗

(72)【発明者】

【氏名】前田 健人

(72)【発明者】

【氏名】佐々木 寿彦

【審査官】宮司 卓佳

(56)【参考文献】

【文献】特開２０１８－１３７７３９（ＪＰ，Ａ）

【文献】特開２０１６－１７８３８１（ＪＰ，Ａ）

【文献】国際公開第２００６／０７８０３３（ＷＯ，Ａ１）

【文献】特表２００６－５１２８７９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／１２

(57)【特許請求の範囲】

【請求項1】

送信器から対象物に量子力学的な信号を送信するシステムにおいて前記送信器から前記信号を入力したときの前記システムでの応答を推定する応答推定方法であって、
前記対象物のある事象を検出可能な理想的信号の量子力学的な理想状態を規定する理想状態規定ステップと、
前記理想状態と量子力学的な状態が近似した近似状態を、複数種類のテスト用信号の量子力学的な状態を利用した加減算で表し、前記理想状態と、前記複数種類のテスト用信号の量子力学的な状態との関係を定めた、演算子の不等式を特定する特定ステップと、
前記理想的信号によって検出される、前記対象物の前記事象の検出数と、前記複数種類のテスト用信号をランダムに選択して前記対象物で前記事象を検出したときに前記テスト用信号の種類ごとに得られる前記事象の検出数と、推定の信頼水準として、許容できる推定エラー量を規定するために予め定めたパラメータεと、の関係を定めた不等式を、ベルヌーイサンプリングの公式に基づき規定する不等式規定ステップと、
前記特定ステップで特定した前記複数種類のテスト用信号をランダムに切り換えて前記対象物に送信し、前記テスト用信号による前記事象の検出結果を取得する取得ステップと、
前記取得ステップで取得した前記検出結果に基づいて、前記不等式規定ステップの前記不等式を解いて、量子力学的な前記信号を入力したときの前記システムでの応答を推定する推定ステップと、
を含む、応答推定方法。

【請求項2】

前記システムは、前記送信器が第１ユニットであり、前記対象物が第２ユニットを含み、
前記信号として、ランダムに選択したランダムビットにより光パルスを変調した通信用光パルスと、前記テスト用信号として、前記光パルスの位相及び強度がランダムに選択される複数種類のテスト用光パルスと、を前記第１ユニットがランダムに選択して、前記第１ユニットから前記第２ユニットに、前記通信用光パルスと前記テスト用光パルスとを順次送信してゆく量子通信システムである、
請求項１に記載の応答推定方法。

【請求項3】

前記不等式規定ステップの前記不等式が下記の式（１）で表される、
請求項１又は２に記載の応答推定方法。

【数1】

…（１）
上記の式（１）のProbは｛ ｝内のパラメータが確率に関して規定していることを示す記号である。
Mは、前記理想的信号を送信したときに前記対象物で前記事象が検出される検出数である。
f（K₁,K₂,P₁, P₂, P₃,α,β,ε）は、確率P₁でランダムに選択された第１のテスト用信号によって前記対象物で前記事象を検出した検出数K₁と、確率P₂でランダムに選択された第２のテスト用信号によって前記対象物で前記事象を検出した検出数K₂と、0<P₃≦1-P₁-P₂を満たす任意の値であるP₃と、正のパラメータであるα，βと、推定の信頼水準として、許容できる推定エラー量を規定するために予め定めたパラメータεと、を含む関数である。

【請求項4】

前記f（K₁,K₂,P₁, P₂, P₃,α,β,ε）が下記の式（２）である、
請求項３に記載の応答推定方法。

【数2】

…（２）
関数M ^- (k;p,ε)とM ⁺ (k;p,ε)は、任意の非負の整数nについて、

【数3】

…（３）

【数4】

…（４）
を満たす。ここで、χ(条件式)は、条件式が真のとき１、偽のとき０の値をとる。
Q₁は、（P₁ β）/αであり、Q₂は、P₁ /αである。

【請求項5】

量子通信路によって光子検出ユニットを介して接続された第１ユニット及び第２ユニットが、ランダムに選択したランダムビットにより光パルスを変調した通信用光パルスと、前記光パルスの位相及び強度がランダムに選択される複数種類のテスト用光パルスと、をランダムに選択して前記光子検出ユニットにそれぞれ順次送信してゆく量子通信システムにおいて、前記通信用光パルスを入力したときの前記量子通信システムでの応答を推定する応答推定方法であって、
前記第１ユニット及び前記第２ユニットが両方とも前記通信用光パルスを選択したことで前記通信用光パルスのペアが前記光子検出ユニットで検出された検出数のうち、盗聴に関わる前記通信用光パルスのペアの検出数を検出可能な理想的光パルスの量子力学的な理想状態を規定する理想状態規定ステップと、
前記理想状態と量子力学的な状態が近似した近似状態を、ランダムな変調により生成される前記テスト用光パルスの量子力学的な状態を利用した加減算で表し、前記理想状態と、前記複数種類のテスト用光パルスの量子力学的な状態との関係を定めた、演算子の不等式を特定する特定ステップと、
前記理想的光パルスによって測定される、盗聴に関わる前記通信用光パルスのペアの前記検出数と、前記第１ユニット及び前記第２ユニットがそれぞれある確率でランダムに選択される第１の前記テスト用光パルスを選択したことで前記第１のテスト用光パルスのペアが検出される検出数と、前記第１ユニット及び前記第２ユニットが両方とも、前記第１のテスト用光パルスとは別にそれぞれある確率でランダムに選択される第２の前記テスト用光パルスを選択したことで前記第２のテスト用光パルスのペアが検出される検出数と、前記通信用光パルスのペアへの盗聴量の推定において許容できる推定エラー量を規定するために予め定めたパラメータεと、の関係を定めた不等式を、ベルヌーイサンプリングの公式に基づき規定する不等式規定ステップと、
前記第１ユニット及び前記第２ユニットにおいてそれぞれ前記通信用光パルス及び前記テスト用光パルスをランダムに前記光子検出ユニットに送信し、前記第１ユニット及び前記第２ユニットで一致したペアの前記通信用光パルスと、ペアの前記テスト用光パルスとを前記光子検出ユニットで検出した検出結果を前記第１ユニット及び前記第２ユニットが取得してゆく取得ステップと、
前記取得ステップで取得した前記検出結果に基づいて、前記不等式規定ステップの前記不等式を解いて、前記通信用光パルスを入力したときの前記量子通信システムでの応答を推定する推定ステップと、
を含む、量子通信システムの応答推定方法。

【請求項6】

前記不等式規定ステップの前記不等式が下記の式（５）で表される、
請求項５に記載の量子通信システムの応答推定方法。

【数5】

…（５）
上記の式（５）のProbは｛ ｝内のパラメータが確率に関して規定していることを示す記号である。
K₀ ^(even)は、前記第１ユニットと前記第２ユニットとが両方とも前記通信用光パルスを選択したことを前記光子検出ユニットが通知したラウンドの検出数K₀のうち、盗聴に関わる前記通信用光パルスのペアの検出数を示すパラメータである。
f(K₁,K₂)は、前記第１ユニット及び前記第２ユニットが両方ともそれぞれある確率でランダムに選択される前記第１のテスト用光パルスを選択したことを、前記光子検出ユニットが検出して通知したラウンドの検出数K₁と、前記第１ユニット及び前記第２ユニットが両方ともそれぞれある確率でランダムに選択される第２のテスト用光パルスを選択したことを、前記光子検出ユニットが検出して通知したラウンドの検出数K₂と、を含む関数である。
εは、前記通信用光パルスのペアへの盗聴量の推定において許容できる推定エラー量を規定するために予め定められるパラメータである。

【請求項7】

前記f(K₁,K₂)が下記の式（６）である、
請求項６に記載の量子通信システムの応答推定方法。

【数6】

…（６）
上記の式（６）の関数M⁺(k;p,ε)は、任意の非負の整数nについて、

【数7】

…（７）
を満たす。ここで、χ(条件式)は、条件式が真のとき１、偽のとき０の値をとる。
p₀は、前記第１ユニット及び前記第２ユニットにおいて前記通信用光パルスがランダムに選択される確率であり、予め定められるパラメータである。
p_evenは、前記第１ユニットと前記第２ユニットとが両方とも前記通信用光パルスを選択したときに前記通信用光パルスのペアの合計光子数が偶数である確率であり、予め定められるパラメータである。
Λは、予め定められるパラメータである。
K₁ ^(even)＋は、下記の式（８）である。

【数8】

…（８）
関数M^- (k;p,ε)は、任意の非負の整数nについて、

【数9】

…（９）
を満たす。
p₂は、前記第１ユニット及び前記第２ユニットにおいて前記第２のテスト用光パルスがランダムに選択される確率であり、予め定められるパラメータである。
Γは、予め定められるパラメータである。

【請求項8】

前記f(K₁,K₂)が、下記の式（１０）である、
請求項６に記載の量子通信システムの応答推定方法。

【数10】

…（１０）
p₀は、前記第１ユニット及び前記第２ユニットにおいて前記通信用光パルスがランダムに選択される確率であり、予め定められるパラメータである。
p_evenは、前記第１ユニットと前記第２ユニットとが両方とも前記通信用光パルスを選択したときに前記通信用光パルスのペアの合計光子数が偶数である確率であり、予め定められるパラメータである。
Γ及びΛは、予め定められるパラメータである。
p₂は、前記第１ユニット及び前記第２ユニットにおいて前記第２のテスト用光パルスがランダムに選択される確率であり、予め定められるパラメータである。
ν(K₁,K₂)は、下記の式（１１）である。

【数11】

…（１１）

【請求項9】

送信器から対象物に量子力学的な信号を送信するシステムにおいて前記送信器から前記信号を入力したときの前記システムでの応答を推定する応答推定装置であって、
前記対象物のある事象を検出可能な理想的信号の量子力学的な理想状態を規定する理想状態規定部と、
前記理想状態と量子力学的な状態が近似した近似状態を、複数種類のテスト用信号の量子力学的な状態を利用した加減算で表し、前記理想状態と、前記複数種類のテスト用信号の量子力学的な状態との関係を定めた、演算子の不等式を特定する特定部と、
前記理想的信号によって検出される、前記対象物の前記事象の検出数と、前記複数種類のテスト用信号をランダムに選択して前記対象物で前記事象を検出したときに前記テスト用信号の種類ごとに得られる前記事象の検出数と、推定の信頼水準として許容できる推定エラー量を規定するために予め定めたパラメータεと、の関係を定めた不等式を、ベルヌーイサンプリングの公式に基づき規定する不等式規定部と、
前記特定部で特定した前記複数種類のテスト用信号をランダムに切り換えて前記対象物に送信し、前記テスト用信号による前記事象の検出結果を取得し、前記検出結果に基づいて、前記不等式規定部で得た前記不等式を解いて、量子力学的な前記信号を入力したときの前記システムでの応答を推定する推定部と、
を備える、応答推定装置。

【請求項10】

量子通信路によって光子検出ユニットを介して接続された第１ユニット及び第２ユニットの間で、ランダムに選択したランダムビットにより光パルスを変調した通信用光パルスと、前記光パルスの位相及び強度がランダムに選択される複数種類のテスト用光パルスと、をランダムに前記光子検出ユニットに送信する量子通信システムにおいて、前記通信用光パルスを入力したときの前記量子通信システムでの応答を推定する応答推定装置であって、
前記第１ユニット及び前記第２ユニットが両方とも前記通信用光パルスを選択したことで前記通信用光パルスのペアが前記光子検出ユニットで検出された検出数のうち、盗聴に関わる前記通信用光パルスのペアの検出数を検出可能な理想的光パルスの量子力学的な理想状態を規定する理想状態規定部と、
前記理想状態と量子力学的な状態が近似した近似状態を、ランダムな変調により生成される前記テスト用光パルスの量子力学的な状態を利用した加減算で表し、前記理想状態と、前記複数種類のテスト用光パルスの量子力学的な状態との関係を定めた、演算子の不等式を特定する特定部と、
前記理想的光パルスによって測定される、盗聴に関わる前記通信用光パルスのペアの前記検出数と、前記第１ユニット及び前記第２ユニットが両方ともそれぞれある確率でランダムに選択される第１の前記テスト用光パルスを選択したことで前記第１のテスト用光パルスのペアが検出される検出数と、前記第１ユニット及び前記第２ユニットが両方とも、前記第１のテスト用光パルスとは別にそれぞれある確率でランダムに選択される第２の前記テスト用光パルスを選択したことで前記第２のテスト用光パルスのペアが検出される検出数と、前記通信用光パルスのペアへの盗聴量の推定において許容できる推定エラー量を規定するために予め定めたパラメータεと、の関係を定めた不等式を、ベルヌーイサンプリングの公式に基づき規定する不等式規定部と、
前記第１ユニット及び前記第２ユニットにおいてそれぞれ前記通信用光パルス及び前記テスト用光パルスをランダムに前記光子検出ユニットに送信し、前記第１ユニット及び前記第２ユニットで一致したペアの前記通信用光パルスと、ペアの前記テスト用光パルスとを前記光子検出ユニットで検出した検出結果を前記第１ユニット及び前記第２ユニットが取得して、前記検出結果に基づいて、前記不等式規定ステップの前記不等式を解いて、前記通信用光パルスを入力したときの前記量子通信システムでの応答を推定する推定部と、
を含む、量子通信システムの応答推定装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、応答推定方法及び応答推定装置に関する。

【背景技術】

【0002】

近年、標準的な通信用光ファイバを用いて、量子暗号通信の通信距離を500 km以上に拡大したツインフィールド量子鍵配信（TF-QKD ：Twin-Field Quantum Key Distribution）と呼ばれる量子通信システム（以下、この方式をツインフィールド方式と称する）が知られている（例えば、非特許文献１参照）。

【0003】

このツインフィールド方式では、アリスと呼ばれる光送信ユニットと、ボブと呼ばれる光送信ユニットとの間にチャーリと呼ばれる光子検出ユニットが設置されている。アリス及びボブは、それぞれビット値（0か1）をランダムに選択してゆき、それに応じて光パルスの位相を選択してそれぞれチャーリに送信する。

【0004】

チャーリは、アリス及びボブから受信した光パルスから光子１個を検出すると、検出したラウンドごとにアリス及びボブから受信した光パルスが同位相か逆位相かを検出し、得られた検出結果をアリスとボブに公表する。ボブは、逆位相であると宣言されたラウンドの全てのビット値を反転する。これにより、アリス及びボブは、チャーリで光子が検出されるたびに、ランダムな共通のビット値を入手することができる。

【先行技術文献】

【非特許文献】

【0005】

【文献】株式会社東芝，“量子暗号通信で世界最長500km以上の通信距離が可能となる新たな方式を開発”，［online］，2018年5月23日，［令和2年7月7日検索］，インターネット＜URL：https://www.toshiba.co.jp/rdc/detail/1805_01.htm＞

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、ツインフィールド方式では、量子力学の干渉の性質を利用するために、光の波としての性質（波の振動のタイミング）に信号を載せて通常の通信を行うことから、盗聴を検出するには、「シュレーディンガーの猫状態」と呼ばれる非常に特殊な光が必要になってしまう。そのため、既存のレーザ光源で生成した光パルスを、光子検出ユニットや光ファイバに入力したときに、量子通信システム内において、どのような盗聴が試みられたか等、入力に対する応答を効率よく推定することが困難であった。

【0007】

そこで、本発明は以上の点を考慮してなされたもので、量子力学的な信号を入力したときの入力に対する応答を効率よく推定することができる応答推定方法及び応答推定装置を提案することを目的とする。

【課題を解決するための手段】

【0008】

本発明に係る応答推定方法では、送信器から対象物に量子力学的な信号を送信するシステムにおいて前記送信器から前記信号を入力したときの前記システムでの応答を推定する応答推定方法であって、前記対象物のある事象を検出可能な理想的信号の量子力学的な理想状態ρ^(ideal)を規定する理想状態規定ステップと、前記理想状態ρ^(ideal)と量子力学的な状態が近似した近似状態を、複数種類のテスト用信号の量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)を利用した加減算で表し、前記理想状態ρ^(ideal)と、前記複数種類のテスト用信号の量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)との関係を定めた、演算子の不等式αρ₊ ^(test) -βρ_- ^(test) ≧ ρ^(ideal)を特定する特定ステップと、前記理想的信号によって検出される、前記対象物の前記事象の検出数Mと、前記複数種類のテスト用信号をランダムに選択して前記対象物で前記事象を検出したときに前記テスト用信号の種類ごとに得られる前記事象の検出数K₁，K₂と、推定の信頼水準として、許容できる推定エラー量を規定するために予め定めたパラメータεと、の関係を定めた不等式Prob{ M ≦ f(K₁,K₂)} ≧ 1-εを、ベルヌーイサンプリングの公式に基づき規定する不等式規定ステップと、前記特定ステップで特定した前記複数種類のテスト用信号をランダムに切り換えて前記対象物に送信し、前記テスト用信号による前記事象の検出結果を取得する取得ステップと、前記取得ステップで取得した前記検出結果に基づいて、前記不等式規定ステップの前記不等式を解いて、量子力学的な前記信号を入力したときの前記システムでの応答を推定する推定ステップと、を含む。

【0009】

また、本発明に係る量子通信システムの応答推定方法では、量子通信路によって光子検出ユニットを介して接続された第１ユニット及び第２ユニットが、ランダムに選択したランダムビットにより光パルスを変調した通信用光パルスと、前記光パルスの位相θ及び強度μ₁,μ₂がランダムに選択される複数種類のテスト用光パルスと、をランダムに選択して前記光子検出ユニットにそれぞれ順次送信してゆく量子通信システムにおいて、前記通信用光パルスを入力したときの前記量子通信システムでの応答を推定する応答推定方法であって、前記第１ユニット及び前記第２ユニットが両方とも前記通信用光パルスを選択したことで前記通信用光パルスのペアが前記光子検出ユニットで検出された検出数K₀のうち、盗聴に関わる前記通信用光パルスのペアの検出数K₀ ^(even)を検出可能な理想的光パルスの量子力学的な理想状態ρ^(even)を規定する理想状態規定ステップと、前記理想状態ρ^(even)と量子力学的な状態が近似した近似状態を、ランダムな変調により生成されるテスト用光パルスの量子力学的な状態ρ_＋ ^(test1)、ρ_－ ^(test2)を利用した加減算で表し、前記理想状態ρ^(even)と、前記複数種類のテスト用光パルスの量子力学的な状態ρ_＋ ^(test1)、ρ_－ ^(test2)との関係を定めた、演算子の不等式αρ₊ ^(test1) -βρ_- ^(test2) ≧ ρ^(even)を特定する特定ステップと、前記理想的光パルスによって測定される、盗聴に関わる前記通信用光パルスのペアの前記検出数K₀ ^(even)と、前記第１ユニット及び前記第２ユニットがそれぞれある確率でランダムに選択される第１の前記テスト用光パルスを規定の組み合わせで選択したことで前記第１のテスト用光パルスのペアが検出される検出数K₁と、前記第１ユニット及び前記第２ユニットが両方とも、前記第１のテスト用光パルスとは別にそれぞれある確率でランダムに選択される第２の前記テスト用光パルスを選択したことで前記第２のテスト用光パルスのペアが検出される検出数K₂と、前記通信用光パルスのペアへの盗聴量の推定において許容できる推定エラー量を規定するために予め定めたパラメータεと、の関係を定めた不等式Prob{ K₀ ^(even) ≦ f(K₁,K₂)} ≧ 1-εを、ベルヌーイサンプリングの公式に基づき規定する不等式規定ステップと、前記第１ユニット及び前記第２ユニットにおいてそれぞれ前記通信用光パルス及び前記テスト用光パルスをランダムに前記光子検出ユニットに送信し、前記第１ユニット及び前記第２ユニットで一致したペアの前記通信用光パルスと、ペアの前記テスト用光パルスとを前記光子検出ユニットで検出した検出結果を前記第１ユニット及び前記第２ユニットが取得してゆく取得ステップと、前記取得ステップで取得した前記検出結果に基づいて、前記不等式規定ステップの前記不等式を解いて、前記通信用光パルスを入力したときの前記量子通信システムでの応答を推定する推定ステップと、を含む。

【発明の効果】

【0010】

本発明によれば、ベルヌーイサンプリングの公式に基づき規定した不等式を用いることで、特殊な理想的信号及び理想的光パルスを用いずに、量子力学的な信号を入力したときの入力に対する応答を効率よく推定することができる。

【図面の簡単な説明】

【0011】

【図1】本実施形態に係る量子暗号鍵配信システムの構成を示す概略図である。

【図2】本実施形態に係る応答推定方法の概要をイメージした概略図である。

【図3】本実施形態に係る応答推定方法に利用する無作為抽出検査について説明する概略図である。

【図4】本実施形態に係る応答推定方法を説明するための概略図である。

【図5】本実施形態に係る応答推定方法を説明するための概略図である。

【図6】αρ_＋ ^(test)－βρ_－ ^(test) ≧ ρ^(ideal)の式を説明するための説明図である。

【図7】本実施形態に係る応答推定方法を説明するための説明図である。

【図8】本実施形態に係る応答推定方法を説明するための説明図である。

【図9】αρ_＋ ^(test)－βρ_－ ^(test) ≧ ρ^(ideal)の式を説明するための説明図である。

【図10】アリスとボブの間の距離Lと、パルスあたりのキーレートG/N_totとの関係を示したグラフである。

【図11】他の実施形態に係る応答推定方法を説明するための概略図である。

【発明を実施するための形態】

【0012】

以下図面に基づいて本発明の実施の形態を詳述する。

【0013】

（１）本実施形態に係る量子暗号鍵配信システムの概略
初めに、本実施形態に係る量子暗号鍵配信システムの概略を説明する。図１に示すように、本実施形態に係る量子暗号鍵配信システム１は、アリスと呼ばれる第１ユニット２（以下、単にアリス２とも称する）と、ボブと呼ばれる第２ユニット３（以下、単にボブ３とも称する）と、これらアリス２及びボブ３の間に設置されるチャーリと呼ばれる光子検出ユニット４（以下、単にチャーリ４とも称する）とを有する。この場合、アリス２とボブ３は、いずれも光送信ユニットとなる。

【0014】

アリス２及びボブ３は、光ファイバ等の量子通信路１００を介してチャーリ４に接続されており、量子通信路１００によってアリス２及びボブ３からそれぞれチャーリ４に送信信号として光パルスが送信される。また、アリス２、ボブ３及びチャーリ４は、インターネット等の公開通信路（図示せず）にも接続されており、当該公開通信路を介して各種データを互いに送受信し得る。

【0015】

本実施形態に係るアリス２には、送信部１９と、取得部１０と、応答推定装置１１とを有する。送信部１９には、レーザ光源５と、強度変調器６と、位相変調器７と、可変光減衰器８と、乱数生成器９と、を有する。また、応答推定装置１１には、理想状態規定部、特定部及び不等式規定部としての解析部１２と、推定部１３と、鍵長算出部１４と、を有する。ボブ３は、応答推定装置１１を有していない以外はアリス２と同じ構成からなることから、以下、説明の重複を避けるため、ここでは主としてアリス２に着目して説明する。

【0016】

なお、本実施形態に係る量子暗号鍵配信システム１においては、アリス２に応答推定装置１１を設けた場合について説明するが、本発明はこれに限らず、アリス２に応答推定装置１１を設けずに、ボブ３にのみ応答推定装置１１を設けてもよく、また、アリス２及びボブ３の両方に応答推定装置１１を設けてもよい。

【0017】

この場合、アリス２は、レーザ光源５から強度変調器６に光パルスを出力し、強度変調器６からの出力が位相変調器７及び可変光減衰器８に順に導かれる。アリス２は、強度変調器６により光パルスの強度（平均光子数）を変調し、位相変調器７により光パルスの位相を変調する。乱数生成器９は、強度変調と位相変調の大きさを指定する乱数を生成し、その指定に基づき、強度変調の大きさと位相変調の大きさとを、強度変調器６と位相変調器７に指示する。アリス２は、可変光減衰器８により光パルスを単一光子レベルに減衰させた後、光子検出ユニット４であるチャーリ４に当該光パルスを送る。

【0018】

ここで、アリス２及びボブ３は、光パルスをチャーリ４に送る際、信号モードとテストモードをランダムに切り換え、信号モードで生成した通信用光パルスと、テストモードで生成したテスト用光パルスとをランダムに送る。

【0019】

信号モードは、アリス２及びボブ３において、共通したビット値を蓄積してゆき暗号鍵を生成するためのモードである。信号モードでは、固定強度（平均光子数）μの光パルスにランダムなビット値（ランダムビット）aをエンコードして、振幅（-1）^a√μの光パルス（通信用光パルス）を生成し、送信する。

【0020】

テストモードは、信号モードとは独立して位相θをランダムで選択するとともに、3つの強度0、μ₁及びμ₂をランダムに選択した光パルス（テスト用光パルス）を生成し、送信する。具体的には、テストモードが選択されると、|0>、|√μ₁e^iθ>又は|√μ₂e^iθ>のテスト用光パルスをランダムに選択して送信する。

【0021】

具体的には、アリス２において、信号モード時に選択されるラベルを“0”とし、テストモード時に選択されるラベルを“10”、“11”及び“2”とした場合、以下のステップ１～ステップ８の手順に従って、本実施形態に係る応答推定方法を含む暗号鍵配信方法を実行する。

【0022】

［ステップ１］
ステップ１として、まず、アリス２は、それぞれ確率p₀、p₁₀、p₁₁及びp₂で、ラベル“0”、ラベル“10”、ラベル“11”及びラベル“2”の中から、ランダムにラベルを選択してゆく。アリス２は、各確率でランダムに選択されたラベルに従って次の手順を実行する。
“0” ：アリス２は、ランダムなビットaを生成し、振幅(-1)^a√μの光パルスを通信用光パルスとして送信。
“10”：アリス２は、テスト用光パルスとして振幅ゼロのパルスを送信（なお、実際はテスト用光パルスを送信しないが、ここでは、テスト用光パルスとして振幅ゼロのパルスを送信すると規定する）。
“11”：アリス２は、強度μ₁で位相θをランダムに選択した光パルスをテスト用光パルスとして送信。
“2” ：アリス２は、強度μ₂で位相θをランダムに選択した光パルスをテスト用光パルスとして送信。

【0023】

なお、本実施形態では、確率p₀でラベル“0”がランダムに選択される信号モードをシグナル（Signal）と称し、確率p₁₀、p₁₁でラベル“10”、“11”がそれぞれランダムに選択されるテストモードをまとめてテスト１（Test1）と称し、確率p₂でラベル“2”がランダムに選択されるテストモードをテスト２（Test2）と称する。

【0024】

［ステップ２］
ボブ３は、ステップ１のアリス２と同じ手順を個別に実行する。

【0025】

［ステップ３］
アリス２及びボブ３は、ステップ１及びステップ２を合計N_tot回（ラウンド）繰り返す。

【0026】

［ステップ４］
アリス２及びボブ３は、各確率でランダムにラベルを選択してゆき、ランダムに通信用光パルス又はテスト用光パルスを生成するたびに、これをチャーリ４に量子通信路１００を介して順次送信してゆく。

【0027】

なお、本実施形態に係るチャーリ４は、イブとも呼ばれる不正な盗聴者が制御する光子検出ユニットにもなり得る光子検出ユニット４であり、５０：５０のビームスプリッタ１５と、対の単一光子検出器１６ａ，１６ｂと、通知部２０とを有している。

【0028】

チャーリ４は、アリス２及びボブ３から送信された連続する光パルスをビームスプリッタ１５で受信する。ビームスプリッタ１５は、アリス２及びボブ３から同時刻に受信したペアの光パルスを干渉させ、ペアの光パルスの位相差が０のときには第１の単一光子検出器１６ａに光パルスを出力し、位相差がπのときには第２の単一光子検出器１６ｂに光パルスを出力する。

【0029】

これにより、チャーリ４では、ペアの光パルスの位相差が０で同位相のときには、第１の単一光子検出器１６ａで光子を検出し得、ペアの光パルスの位相差がπで逆位相のときには、第２の単一光子検出器１６ｂで光子を検出し得る。

【0030】

チャーリ４は、アリス２及びボブ３から同時刻に受信した光パルスの各ペアについて、それぞれ単一光子検出器１６ａ，１６ｂで光子を検出したか否かと、検出した際には単一光子検出器１６ａ，１６ｂのいずれで光子を検出したか否かの検出結果を通知部２０により公開通信路を介してアリス２及びボブ３に公開する。アリス２及びボブ３は、チャーリ４が公開した検出結果を取得部１０で取得する。

【0031】

［ステップ５］
その後、アリス２及びボブ３は、量子通信が終了してから、各自が選択したラベルを、公開通信路を介して公開する。アリス２は、応答推定装置１１によって、アリス２とボブ３の両方がラベル“0”を選択し、かつチャーリ４が検出を通知したラウンドの数（検出数）を求め、K₀とする。アリス２は、アリス２とボブ３の両方がラベル“0”を選択したK₀のランダムビットを連結してシフト鍵を定義する。

【0032】

一方、ボブ３は、アリス２とボブ３の両方がラベル“0”を選択したK₀のラウンドのうち、同位相のラウンドはそのランダムビットを維持するとともに、逆位相であると宣言されたラウンドの全てのランダムビットを反転させたうえで、これらK₀のラウンド全てのビットを連結してシフト鍵を定義する。

【0033】

このようにして、アリス２及びボブ３は、通信用光パルスに基づいて暗号鍵のもととなるシフト鍵を生成することができる。

【0034】

［ステップ６］
この際、アリス２は、応答推定装置１１によって、アリス２とボブ３の両方がラベル“10”、“11”及び“2”を選択し、かつチャーリ４が検出を通知したラウンドの数（検出数）を求める。ここで、アリス２とボブ３の両方がラベル“10”を選択したときの検出数をK₁₀とし、アリス２とボブ３の両方がラベル“11”を選択したときの検出数をK₁₁とし、アリス２とボブ３の両方がラベル“2”を選択したときの検出数をK₂とする。また、ここではK₁＝K₁₀＋K₁₁とする。

【0035】

［ステップ７］
エラー訂正のために、アリス２は、自身のシフト鍵における線型符号のシンドロームのH_ECビットをボブ３に知らせる。これに応じて、ボブ３は、自身のシフト鍵を適宜訂正する。アリス２とボブ３は、ユニバーサルハッシュ（参考文献24）を介してζ′ビットを比較することにより、訂正を検証する。H_ECは、想定される通信エラー量に基づき、予め定められるパラメータである。ζ′は、暗号鍵の不完全性をどこまで許容するかを規定するために、予め定められるパラメータである。

【0036】

ここで、アリス２は、解析部１２及び推定部１３によって、下記の式（１）に基づいて、このプロトコルの安全性を証明する。なお、下記の式（１）についての詳細な説明は後述する。

【数1】

…（１）
なお、上記の式（１）の「<_ 」は「≦」とも表記し、「>_ 」は「≧」とも表記する。

【0037】

なお、Probは｛ ｝内のパラメータが確率に関して規定していることを示す記号である。つまり、上記の式（１）は、K₀ ^(even) ≦ f(K₁,K₂)となる確率が、(1-ε)以上であることを示している。
K₀ ^(even)は、アリス２とボブ３とが両方とも通信用光パルス（ラベル“0”）を選択したときの検出数K₀のうち、アリス２とボブ３の光パルス対の合計光子数が偶数だったときの検出数を示すパラメータである。このパラメータの値は盗聴量の多寡に応じて変化する。
f(K₁,K₂)は、アリス２及びボブ３の両方がラベル“10”“11”を選択したときの検出数K₁と、アリス２及びボブ３の両方がラベル“2”を選択したときの検出数K₂と、を含む関数である。なお、関数f(K₁,K₂)の詳細については後述する。
εは、量子暗号鍵配信システム１が出力する最終的な暗号鍵の不完全性をどこまで許容するかかを規定（すなわち、通信用光パルスのペアへの盗聴量の推定において許容できる推定エラー量を規定）するための確率を示し、予め定められるパラメータである。

【0038】

［ステップ８］
アリス２は、鍵長算出部１２によって、上記の式（１）に示す不等式に基づき、安全性が高い最終的な暗号鍵の長さを、下記の式（２）により算出し、ボブ３に通知する。これにより、アリス２とボブ３は、下記の式（２）の長さGの暗号鍵を、それぞれシフト鍵から生成する。

【数2】

…（２）

【0039】

上記の式（２）のGは、暗号鍵の長さである。
関数h(x)は、x ≦ 1/2のとき、h(x)=-xlog₂x-(1-x)log₂(1-x)となり、x > 1/2のとき、h(x)=1となる。ζは、暗号鍵の不完全性をどこまで許容するかを規定するために、予め定められるパラメータである。

【0040】

（２）本実施形態に係る量子暗号鍵配信システムの応答推定方法の概要
次に、図２に示すイメージ図を用いて、本実施形態に係る応答推定方法の概要について簡単に説明する。本実施形態に係る応答推定方法は、図２の２Ａに示すように、推定したい盗聴量を直接測定できる特殊な光パルスの量子力学的な理想状態１０１について、既存のレーザ光源５では生成が困難である際に、レーザ光源５から生成可能な様々な強度の光パルスの量子力学的な状態１０３，１０４，１０５を利用した加減算で、当該理想状態１０１を近似した、量子力学的な近似状態１０２を生成するものである。

【0041】

その際に、近似状態１０２と理想状態１０１とが、量子状態を表す密度演算子に関する演算子の不等式を満たすように調整される。本実施形態に係る応答推定方法で用いる検出数に関する不等式は、ベルヌーイサンプリングの公式を２回使うだけで得られるものであり、この不等式を用いることで規定の信頼水準のもとでの厳密な最悪値（盗聴量の上限）が得られる。

【0042】

図２の２Ｂは、本実施形態に係る応答推定方法を説明するための別のイメージ図であり、光を対象物１１０に照射した際に盗聴の痕跡が浮かび上がることをイメージしたものである。上述したように、量子通信システムにおいて、盗聴の痕跡を直接浮かび上がらせるには、レーザ光源５では生成することが困難な特殊な光が必要となる場合がある。そのような光を実際に生成する替わりに、本実施形態に係る応答推定方法では、レーザ光源５で生成可能な光パルス（レーザ光）を照射して得られたデータを２種類作り、これを引き算する。本願の発明者らは、どのような盗聴攻撃でも、この引き算した結果に痕跡が現れることを数学的に証明することができた。

【0043】

（２－１）本実施形態に係る応答推定方法で用いる不等式の概要
上述したように、本実施形態に係る応答推定方法において用いる、上記式（１）に示す不等式は、ベルヌーイサンプリングの公式を２回使うだけで得られるものである。ここでは、上述した量子暗号鍵配信システム１を用いずに、別の例を提示して、一般的なベルヌーイサンプリングの公式について説明しつつ、上記式（１）に示した不等式の大まかな概要について説明する。

【0044】

図３は、ベルヌーイサンプリングの公式を説明するためのイメージ図であり、ここでは、複数の製品（例えば、１００００個の製品）２８を出荷する際に、実際に出荷した製品２９の中に、欠陥がある製品（欠陥品とも称する）がいくつあるかを特定する例を考える。各製品の欠陥の有無が破壊検査でのみ確認できる場合には、出荷対象となる製品２８の中から無作為に所定数（例えば１００個）の製品をランダムに選択し、ランダムに選択した製品について欠陥があるか否かを検査し、その結果から出荷した残り９９００個の製品２９の中に、どの程度、欠陥品が含まれているかを推測する手法がある。

【0045】

出荷予定の１００００個の製品の中からランダムに１００個程度の製品を選択する手法としてベルヌーイサンプリングが知られている。ベルヌーイサンプリングは、１００００個の製品一つ一つについて確率p（例えば1/100）で、サンプルにする製品を選定してゆくものである。

【0046】

例えば、検査の対象物となる製品からベルヌーイサンプリングによりランダムに選択した製品を、理想的なプローブ光（以下、プローブ光を単にプローブと称する）２５を照射して破壊検査を行った際に、欠陥が見つかった製品（「欠陥あり」と表記）の総数Kは、出荷した残りの製品２９の中にある「欠陥あり」の総数との関係で、厳密な保証がある。

【0047】

ここで、その保証は、例えば、「出荷された製品のうち、５個を超える欠陥が見つかる確率は０．００１％以下である」という形で与えられる。サンプリングの確率をp、検査によって欠陥が見つかる総数をK、出荷した製品の中で欠陥が見つかる総数をM、推定の信頼水準として許容できる推定エラー量を規定するために予め定めたパラメータ（推定エラー量を規定するための確率）をεとした場合、ベルヌーイサンプリングの公式は下記の式（３）、式（４）で表すことができる。

【数3】

…（３）

【数4】

…（４）

【0048】

なお、ここでのM^－は、出荷した製品２９の中で欠陥が見つかる総数の下限を示し、M^＋は、出荷した製品２９の中で欠陥が見つかる総数の上限を示す。このM^-とM⁺は、k，p，εに依存する関数であり、任意の非負の整数nについて、

【数5】

…（５）

【数6】

…（６）
を満たす。ここで、χ(条件式)は、条件式が真のとき１、偽のとき０の値をとる。

【0049】

具体的には、関数M^-(k;p,ε)とM⁺(k;p,ε)の選び方のひとつとして、下記の式（７）に示す方程式

【数7】

…（７）
をMについて解いて得られる2つの解の大きいほうをM⁺、小さいほうをM^-とすると、式（５）と式（６）が満たされる。ここで、

【数8】

…（８）
である。

【0050】

ここで、図４に示すように、例えば、製品に欠陥があるか否かを正確に検査することができる理想的なプローブ２５で製品２８（対象物）を検査した場合には、理想的なプローブ２５により「positive」の検出結果が得られれば必ず製品に欠陥があると言え、一方、「negative」の検出結果が得られれば必ず製品に欠陥がないと言える。

【0051】

しかしながら、理想的なプローブ（対象物の所定状態を測定可能な理想的信号）２５よりも検査精度が低い安価なプローブ（テスト用信号）３０を用いて製品２８を検査した場合には、検査精度が低いことから、一般的に、安価なプローブ３０により「positive」の検出結果が得られても必ず製品に欠陥があるとは言えず、「negative」の検出結果が得られても同様に必ず製品に欠陥がないとは言えない。

【0052】

そこで、図５及び下記の式（９）に示すように、“＋”のプローブ３０ａの量子力学的な状態ρ₊ ^(test)と、“－”のプローブ３０ｂの量子力学的な状態ρ_- ^(test)との引き算によって、理想的なプローブの量子力学的な理想状態ρ^(ideal)を近似できるような２種類の“＋”のプローブ３０ａ及び“－”のプローブ３０ｂを見つけ、量子力学的な状態が下記の式（９）の条件を満たす“＋”のプローブ３０ａと“－”のプローブ３０ｂとの２種類のプローブで製品２８を検査することを考える。なお、ここでは、下記の式（９）のような条件を演算子優越条件（operator dominance condition）とも称する。

【数9】

…（９）

【0053】

上記の式（９）のρ₊ ^(test)、ρ_- ^(test)及びρ^(ideal)は、密度演算子又は密度行列と呼ばれる、量子力学において、物質や光の量子力学的な状態を表すものである。

【0054】

ρ₊ ^(test)は、安価な“＋”のプローブ３０ａの密度演算子であり、ρ_- ^(test)は、“＋”のプローブ３０ａとは量子力学的な状態が異なる他の安価な“－”のプローブ３０ｂの密度演算子である。ρ^(ideal)は、理想的なプローブ２５の密度演算子である。
α、βは正の実数（パラメータ）である。
演算子の間の不等式A≧Bは、差の演算子A-Bが半正定値であることを意味する。

【0055】

ここで、確率P₁で“＋”のプローブ３０ａで製品２８を検査したときに、positiveになるという事象の総数（検出数とも称する）をK₁とする。また、確率P₂で“－”のプローブ３０ｂで製品２８を検査したときに、positiveになるという事象の総数（検出数とも称する）をK₂とする。製品２９は、確率P₃で出荷されるとする。なお、検査しなかった製品を全て出荷する場合にはP₃＝1-P₁-P₂が成り立つが、以下では、全てを出荷しない場合も含めることとし、出荷される確率は0<P₃≦1-P₁-P₂を満たす任意の値とする。出荷された製品２９を理想的なプローブ２５で検査したときに、positiveとなる総数をMとする。

【0056】

この場合、上記の式（９）と、ベルヌーイサンプリングの公式に基づく二項分布の式（３）、式（４）とを使って、下記の式（１０）を導くことができる。

【数10】

…（１０）

【0057】

ここで、K₁,K₂,P₁, P₂, P₃,α,β,εを含む関数である、上記の式（１０）の関数f（K₁,K₂,P₁, P₂, P₃,α,β,ε）について説明する。

【0058】

まず、図６に示すように、上記の式（９）の不等式の左辺と右辺との差は半正定値なので、ある量子力学的な状態ρ^(junk)を用いて(α-β-1)ρ^(junk)と表せる。すると、ρ_＋ ^(test)は、このρ^(junk)を用いることで、下記の式（１１）のように表すことができる。なお、α-β ≧ 1である。

【数11】

…（１１）

【0059】

ここで、Q₁，Q₂，Q₃を下記の式（１２）で定義すると、上記の式（１１）は下記の式（１３）で表わすことができる。なお、Q₁,Q₂,Q₃ ≧ 0、Q₁ + Q₂ + Q₃＝P₁である。

【数12】

…（１２）

【数13】

…（１３）

【0060】

ここで、上記の式（１３）から、次のようなことが言える。
「確率P₁で“＋”のプローブ３０ａで製品２８を検査したときに、positiveとなった総数をK₁」とするということは、図６に示すように、下記の(i)、(ii)及び(iii)の３つのことを全て行っているのと量子力学的に等価になると言える。また、K₁＝L₁ + L₂ + L₃となる。

【0061】

（i） 「確率Q₁で“－”のプローブ３０ｂで製品２８を検査したときに、positiveとなった総数をL₁」とする。
（ii） 「確率Q₂で理想的なプローブ２５で製品２８を検査したときに、positiveとなった総数をL₂」とする。
（iii）「確率Q₃で“junk”のプローブ３２で製品２８を検査したときに、positiveとなった総数をL₃」とする。

【0062】

ここで、図７に示すように、“＋”のプローブ３０ａと“－”のプローブ３０ｂの２種類のプローブを用いて製品２８の検査を行った場合について考える。すなわち、「確率P₁で“＋”のプローブ３０ａで製品２８を検査したときに、positiveとなった総数をK₁とする」、「確率P₂で“－”のプローブ３０ｂで製品２８を検査したときに、positiveとなった総数をK₂とする」という場合について考える。さらに、確率P₃で製品２９が出荷されることになり、出荷した製品２９での欠陥の数をMとする。

【0063】

図６にて説明したように、「確率P₁で“＋”のプローブ３０ａで製品２８を検査したときに、positiveとなった総数をK₁」とするということは、上記の（i）、（ii）及び（iii）の３つのことを全て行っているのと量子力学的に等価になるため、“＋”のプローブ３０ａと“－”のプローブ３０ｂの２種類のプローブを用いて製品２８の検査を行うことは、図７に示すように、以下の(i)、(ii)、(iii)、(iV)及び(V)の５つのことを全て行っているのと量子力学的に等価になると言える。また、K₁＝L₁ + L₂ + L₃となる。

【0064】

（i） 「確率Q₁で“－”のプローブ３０ｂで製品２８を検査したときに、positiveとなった総数をL₁」とする
（ii） 「確率Q₂で理想的なプローブ２５で製品２８を検査したときに、positiveとなった総数をL₂」とする
（iii）「確率Q₃で“junk”のプローブ３２で製品２８を検査したときに、positiveとなった総数をL₃」とする
（iV） 「確率P₂で“－”のプローブ３０ｂで製品２８を検査したときに、positiveとなった総数をK₂」とする。
（V） 「確率P₃で理想的なプローブ２５で製品２８を検査したときに、positiveとなった総数をM」とする。

【0065】

このように、“＋”のプローブ３０ａと“－”のプローブ３０ｂの２種類のプローブを用いて製品２８の検査を行うということは、見方を変えると、上記の５つのことを全て行っているとも言える。

【0066】

ここで、上記の（ii）と（V）に着目すると、選択される確率がQ₂とP₃とで異なるが、いずれも同じように、理想的なプローブ２５で製品２８を検査し、positiveとなった総数を数えているだけである。従って、「（ii）または（V）が選択された」という条件のもとでは、確率Q₂/（P₃+ Q₂）で選ばれたサンプルについて得られたpositiveの総数がL₂であり、選ばれなかった製品におけるpositiveの総数がMであるという、ベルヌーイサンプリングと同じ状況になっている。よって、欠陥の総数MをL₂によって推定することができる。

【0067】

このような考え方の下、上記の式（４）で示したベルヌーイサンプリングの公式に基づいて下記の式（１４）を得ることができる。

【数14】

…（１４）

【0068】

また、同様に、上記の（i）と（iV）にも着目すると、選択される確率がQ₁とP₂とで異なるが、いずれも同じように、“－”のプローブ３０ｂで製品２８を検査し、positiveとなった総数を数えているだけである。そのため、上記と同様の考えで、欠陥の総数L₁をK₂によって推定することができる。従って、この場合も上記と同様に、上記の式（３）で示したベルヌーイサンプリングの公式に基づいて下記の式（１５）を得ることができる。

【数15】

…（１５）

【0069】

また、上記のK₁＝L₁ + L₂ + L₃を、L₂ + L₃＝K₁ - L₁とし、L₃を除去してL₂を不等式で表すと、下記の式（１６）を得ることができる。
L₂ ≦ K₁ - L₁ … （１６）

【0070】

以上より、上記の式（１５）に基づいて総数K₂からL₁を規定することができ、上記の式（１６）に基づいて総数L₁，K₁からL₂を規定することができ、さらに、上記の式（１４）に基づいて総数L₂から、最終的に知りたい総数Mを規定することができる。これらのうち、K₁とK₂とについては、“＋”のプローブ３０ａと“－”のプローブ３０ｂの２種類のプローブを用いて製品２８の検査を行うことで求めることができるパラメータである。

【0071】

そして、このような上記の式（１４）、式（１５）及び式（１６）から、最終的に上記の式（１０）及び下記の式（１７）を得ることができる（図８）。

【数16】

…（１７）

【0072】

このように、ベルヌーイサンプリングの公式（式（１４）及び式（１５））を２回用いるだけで、“＋”のプローブ３０ａと、“－”のプローブ３０ｂとの２種類のプローブを用いて製品２８を検査した検査結果に基づいて、最終的に出荷した製品２９でのpositiveとなる総数Mを推定することができる。

【0073】

以上から、上記の例では、例えば、ある送信器から対象物である製品２８に量子力学的なプローブ（信号）を送信するシステムにおいて、送信器からプローブを入力したときのシステム内での、製品２８での応答を推定することができる。この場合、製品２８で、ある事象を検出可能なプローブ（理想的信号）２５の量子力学的な理想状態ρ^(ideal)を規定する（理想状態規定ステップ）。そして、この理想状態ρ^(ideal)と量子力学的な状態が近似した近似状態を、２種類の安価なプローブ（テスト用信号）３０ａ，３０ｂの量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)を利用した加減算で表し、理想状態ρ^(ideal)と、２種類の安価なプローブ３０ａ，３０ｂの量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)との関係を定めた、演算子の不等式（αρ₊ ^(test) -βρ_- ^(test) ≧ ρ^(ideal)）を特定する（特定ステップ）。

【0074】

また、この例では、理想的なプローブ２５によって検出される、製品２９の欠陥ありとの事象の検出数Mと、２種類の安価なプローブ３０ａ，３０ｂをランダムに選択して製品２８に欠陥ありとの事象を検出したときに安価なプローブ３０ａ，３０ｂの種類ごとに得られる欠陥ありの事象の検出数K₁，K₂と、推定の信頼水準として許容できる推定エラー量を規定するための確率εと、の関係を定めた不等式（Prob{ M ≦ f(K₁,K₂;P₁,P₂,P₃,α,β,ε)} ≧ 1-ε）を、ベルヌーイサンプリングの公式に基づき規定する（不等式規定ステップ）。

【0075】

これにより、この例では、特定ステップで特定した２種類の安価なプローブ３０ａ，３０ｂをランダムに切り換えて製品２８に照射等し、安価なプローブ３０ａ，３０ｂによる、欠陥ありの事象の検出結果（K₁，K₂）を取得し（取得ステップ）、取得ステップで取得した検出結果に基づいて、式（１０）の不等式を解いて、プローブを入力したときの入力に対する応答、すなわち、製品２９にどの程度欠陥品が含まれているかの応答を推定することができる（推定ステップ）。

【0076】

なお、ここでは、２種類の安価なプローブ３０ａ，３０ｂを用いた場合について説明したが、本発明はこれに限らず、３種類以上の安価なプローブを用い、３種類以上の安価なプローブの量子力学的な状態を利用した加減算で、理想的なプローブ（理想的信号）２５の量子力学的な理想状態を近似するようにしてもよい。

【0077】

図９に示すように、３種類以上の安価なプローブを用いた場合でも、α：= Σ_ｉα_ｉ、β：= Σ_jβ_j、ρ_＋ ^(test) ：= Σ_ｉ（α_ｉ/α）ρ_ｉ、ρ_- ^(test) ：= Σ_j（β_j/β）ρ´_j、というようにグループ化することで、上記の式（９）と同様に考えることができる。

【0078】

（２－２）量子通信システムにおける応答推定方法での不等式
上記では、出荷する製品の中に欠陥がある製品がいくつあるかを一例として、上記式（１）に示す不等式が、ベルヌーイサンプリングの公式を２回使うだけで得られるものであることを説明した。ここでは、再び、図１に示したツインフィールド方式の量子暗号鍵配信システム１における応答推定方法について説明する。

【0079】

信号モード時において、アリス２は、確率1/2で振幅√μの光パルス、確率1/2で振幅-√μの光パルスC_Aを生成する。いずれの場合も、光パルスC_Aが偶数個の光子を含む確率はe^-μ cosh μ、奇数個の光子を含む確率はe^-μ sinh μである。ボブ３も全く同様に光パルスC_Bを生成する。このとき、２つのパルスの量子的な状態を表す密度演算子は、下記の式（１８）に示すように、合計光子数が偶数の状態ρ^(even) と、合計光子数が奇数の状態ρ^(odd) とを用いた和の形にかける。

【数17】

…（１８）

【0080】

これは、２つのパルスが確率p_even:=e^-2μ cosh 2μで状態ρ^(even) に準備され、確率p_odd:=1-p_evenで状態ρ^(even) に準備された場合と等価であることを意味する。

【0081】

この解釈のもとでは、信号モード時にチャーリ４が検出を通知した総数K₀は、２つのパルスが状態ρ^(even) に準備された場合の検出回数K₀ ^（even）と、２つのパルスが状態ρ^(odd) に準備された場合の検出回数K₀ ^（odd）との和と考えられる(K₀ = K₀ ^（even）+ K₀ ^（odd）)。

【0082】

K₀ ^（even）/K₀は、位相エラー率と呼ばれ、合計光子数が偶数の状態ρ^(even)の検出数への寄与割合に相当する。位相エラー率が低いということは、シフト鍵の盗聴量が少ないことを意味する。K₀ ^（even）は実際には知ることができない量であるが、何らかの手法でその上限値e_phがわかれば、最終的な暗号鍵の長さをシフト鍵の長さのおよそ1- h（e_ph）倍に短縮する秘匿性増強の手続きによって、ほぼ盗聴のない安全な暗号鍵が得られる(参考文献22,23)。ここで、上述したように、関数h(x)は、x ≦ 1/2のとき、h(x)=-xlog₂x-(1-x)log₂(1-x)となり、x > 1/2のとき、h(x)=1となる。

【0083】

より厳密には、本実施形態の場合、下記の式（１９）

【数18】

…（１９）
が成り立つ時、最終的な暗号鍵の長さを、下記の式（２０）

【数19】

…（２０）
にすれば、暗号鍵の不完全性が、次式（２１）で与えられるε_secに抑えられることが知られている。

【数20】

…（２１）

【0084】

従って、式（１）を満たす関数f(K₁, K₂)を見つけられれば、最終的な暗号鍵の長さを式（２）のGにとることで、その不完全性がたかだか上式のε_secであることが証明される。

【0085】

主な問題は、信号モードでK₀ ^（even）を推定するためにテストモードをどのように設計するかである。ここで、量子暗号鍵配信システム１では、実際に理想的な状態のρ^（even）の光パルスを、レーザ光源５を用いて生成することは非常に困難である。そこで、上述した「（２－１）本実施形態に係る応答推定方法で用いる不等式の概要」の考え方に基づき、レーザ光源５を用いて生成できる状態の検出数だけからK₀ ^（even）の上限を導く。

【0086】

強度μで位相θをランダムに選択した光パルスの状態の密度演算子をτ(μ)と表記する。本実施形態に現れる検出数を整理すると、
（i） 確率p₁₀ ²で光パルス対が下記の式（２２）の状態に準備される。その際の検出数はK₁₀

【数21】

…（２２）
（ii）確率p₁₁ ²で光パルス対が下記の式（２３）の状態に準備される。その際の検出数はK₁₁

【数22】

…（２３）
（iii）確率p₂ ²で光パルス対が下記の式（２４）のに準備される。その際の検出数はK₂

【数23】

…（２４）
（iV） 確率p₀ ²p_evenで光パルス対が状態ρ^(even) に準備される。その際の検出数はK₀ ^（even）
となる。

【0087】

ここでの証明方法は、下記の式（２５）に示す演算子優越条件に基づいている。

【数24】

…（２５）

【0088】

なお、ΓとΛは正の定数である。また、本実施形態では、パラメータのセット（p₁₀，p₁₁，μ，μ₁，μ₂，Γ，Λ）は上記の式（２５）を満たすものである。なお、ΓとΛは、p₁₀，p₁₁，μ，μ₁，μ₂）から計算することができ、その説明は後述する（式（３８）、式（３９）、式（４０））。

【0089】

ここで、光パルス対の密度演算子を以下の式（２６）ように定義する。

【数25】

…（２６）

【0090】

正のパラメータα、βを以下の式（２７）のように定義する。

【数26】

…（２７）

【0091】

そうすると、式（２５）は上述した「（２－１）本実施形態に係る応答推定方法で用いる不等式の概要」における式（９）と同一になる。

【0092】

また、本実施形態に現れる検出数を整理したものは、次のように書き換えられる。
（i） 確率p₁₀ ² + p₁₁ ²で光パルス対が状態ρ₊ ^(test)に準備される。その際の検出数はK₁
（ii） 確率p₂ ²で光パルス対が状態ρ_- ^(test)に準備される。その際の検出数はK₂
（iii）確率p₀ ²p_evenで光パルス対が状態ρ^(even) に準備される。その際の検出数はK₀ ^（even）

【0093】

ここで、P₁= p₁₀ ² + p₁₁ ²、P₂= p₂ ² _、P₃=p₀ ²p_even、M= K₀ ^（even）と読み替えれば、 上述した「(２－１)本実施形態に係る応答推定方法で用いる不等式の概要」と同一の設定になる。従って、式（１７）に定義された関数f（K₁,K₂,P₁,P₂,P₃,α,β,ε）を用いて、下記の式（２８）と定義すれば、式（１０）が成立することを用いて上記の式（１）が導かれる。

【数27】

…（２８）

【0094】

上記の式（２８）で与えられる関数ｆ（K₁，K₂）は、下記の式（２９）及び式（３０）となる。

【数28】

…（２９）

【数29】

…（３０）

【0095】

なお、式（７）をMについて解いて得られるM^±は、(1 - p)K ≫ -logεのとき、下記の式（３１）のように近似することができる。

【数30】

…（３１）

【0096】

これにより、上記の式（２９）の関数f（K1，K2）は、下記の式（３２）で表すことができる。なお、下記の式（３２）のf（K1，K2）は式（３３）で表すことができる。

【数31】

…（３２）

【数32】

…（３３）

【0097】

（２－３）数値シミュレーション
次に、アリス２及びボブ３の間の距離Lと、パルスあたりのキーレートG / N_totとの関係を、数値シミュレーションで調べたところ、図１１に示すような結果が得られた。この数値シミュレーションでは、アリス２及びボブ３からチャーリ４へ光パルスを送信する際の光ファイバでの損失を0.2 dB / kmとし、損失に依存しないモード不整合率をe_m = 0.03とし、チャーリ４の検出効率をη_d= 0.3とした。また、パラメータ（μ，μ₁，μ₂，p₀，p₁₀，p₁₁，p₂）は、距離Lごとに最適化した。

【0098】

この数値シミュレーションでは、K₀，K₁及びK₂を決定するために次のようなモデルを適用した。アリス２からチャーリ４までの全体的な透過率と、ボブ３からチャーリ４までの全体的な透過率とは、それぞれη=η_d10^-0.2L/20とした。

【0099】

チャーリ４は、単一光子検出器１６ａ，１６ｂの一方又は両方で光子を検出したときに成功を宣言すると仮定した。単一光子検出器１６ａ，１６ｂの両方で光子を検出した場合、チャーリ４はランダムに同位相又は逆位相を宣言することとした。チャーリ４の単一光子検出器１６ａ，１６ｂの誤検出率（ダークカウント確率）をp_d = 10^-8とした。この場合、単一光子検出器１６ａ，１６ｂを合わせた実効誤検出率はd：= 2p_d-p_d ²となる。予想される検出頻度は、下記の式（３４）、式（３５）及び式（３６）としてモデル化できる。

【数33】

…（３４）

【数34】

…（３５）

【数35】

…（３６）

【0100】

ビット誤り率については、モード不整合率がe_m = 0.03の下記の式（３７）に示すモデルを使用した。

【数36】

…（３７）

【0101】

エラー訂正のコストH_ECを1.1 × K₀ h（e_bit）と仮定した。

【0102】

N_totの有限値でのキーレートの計算では、セキュリティパラメータをε = 2^-66、ζ= 66及びζ ´= 32とし、ε_sec= 2 ^-31 < 10 ^-10でプロトコルが安全であるとした。

【0103】

上記の式（２）に示した最終的な量子鍵の長さGは、μ，a =μ₁/ μ，b =μ₂ /μ，p₂，p₁ = p ₁₀ + p₁₁，s = p₁₀ /（p₁₀ + p₁₁）の６つのパラメータで、ネルダーミード法（Nelder-Mead法）を使用して最適化した。

【0104】

図１０では、パルスペアの送信数N_totを無限大にした極限である漸近極限の鍵生成レート（Asymptotic）と、送信数が有限でN_tot = 10¹¹，10¹²の場合の鍵生成レートを示している。また、図１０では、比較のために、アリス２からボブ３へ直接リンクで、透過率がη_d10^{-0.2L / 10}における、理想的なデコイBB84のプロトコル（参考文献2,4）の漸近極限レートと、直接リンクの場合の原理限界であるPLOB限界レート（参考文献4）も示した。

【0105】

本実施形態に係るプロトコルを利用したN_tot = 10¹¹のキーレートは、アリス２及びボブ３の距離Lが300 km以上になると、PLOB限界をわずかに超えている。また、本実施形態に係るプロトコルを利用したN_tot = 10¹²は、250 km以上でPLOB限界を明らかに上回ることが確認できた。また、本実施形態に係るプロトコルは、N_tot = 10¹¹でも150 kmを超えると、デコイBB84プロトコルの性能を上回ることが確認できた。

【0106】

図１０に示す数値シミュレーションの結果から、アリス２とボブ３から送信されたパルスペアの総数が10¹¹～10¹²である場合、PLOB限界を上回ることが確認できた。これは、1 GHzでパルスを繰り返すシステムで数分から20分に相当する。

【0107】

（２－４）演算子優越条件の構築（Construction of operator dominance condition）
ここでは、上記の式（２５）に示す演算子優越条件を満たすパラメーターセットを計算する手順について説明する。μ₁，μ₂，p₁₀，p₁₁ > 0の値が、下記の式（３８）を満たすと仮定する。

【数37】

…（３８）

【0108】

この時、下記の式（３９）及び式（４０）に従って、Γ及びΛを規定すれば、上記の式（２５）が満たされる。

【数38】

…（３９）

【数39】

…（４０）

【0109】

証明は以下のようになる。τ(μ)=e ^-μ Σ_k(μ^k /k!)|k><k|を使用すると、上記の式（２５）の左側がフォック基底（Fock basis）で対角形式Σ_k,_k′(q _k+k′/ k! k′!)|k,k′><k,k′|を持つ。ここで、q_mは下記の式（４１）で表される。

【数40】

…（４１）

【0110】

上記の式（３９）を上記の式（４１）に代入すると、上記の式（３８）の条件の下で、下記の式（４２）が得られる。

【数41】

…（４２）

【0111】

q_mを使用すると、上記の式（４０）は下記の式（４３）に書き直される。

【数42】

…（４３）

【0112】

π_e =Σ^∞ _k=0 |2k><2k|とπ_e =Σ^∞ _k=0 |2k><2k|とを、それぞれ偶数と奇数の光子数を持つ部分空間への射影演算子とする。また、π_stは下記の式（４４）で表わされる。

【数43】

…（４４）

【0113】

状態ρ^(even)は合計光子数が偶数の場合を取り出した状態であることから、以下の式（４５）が得られる。

【数44】

…（４５）

【0114】

従って、上記の式（２５）は下記の式（４６）、式（４７）及び式（４８）のセットと同等であると言える。

【数45】

…（４６）

【数46】

…（４７）

【数47】

…（４８）

【0115】

上記の式（４８）の条件は、上記の式（４２）から明らかに真である。k+k´が偶数の場合はq_k+k′>0となるため、下記の式（４９）が真ならば、上記の式（４６）は真である。

【数48】

…（４９）
ただし、

【数49】

…（５０）
である。

【0116】

式（４３）から下記の式（５１）が得られ、上記の式（４９）及び上記の式（４６）が真であることが分かる。

【数50】

…（５１）
同様に、下記の式（５２）のもとで下記の式（５３）が成り立ち、このことは上記の式（４７）も真であることを意味する。

【数51】

…（５２）

【数52】

…（５３）

【0117】

（３）作用および効果
以上の構成において、本実施形態に係る応答推定装置１１は、量子通信路１００を介して接続されたアリス２及びボブ３が、ランダムに選択したランダムビットにより光パルスを変調した通信用光パルスと、当該光パルスの位相θ及び強度μ₁,μ₂がランダムに選択される複数種類のテスト用光パルスと、をランダムに選択して相手方に順次送信してゆく量子暗号鍵配信システム１に設けられる。

【0118】

この場合、応答推定装置１１では、アリス２及びボブ３が両方とも通信用光パルスを選択したことで当該通信用光パルスのペアが検出された検出数K₀のうち、盗聴に関わる通信用光パルスのペアの検出数K₀ ^(even)を検出可能な理想的光パルスの量子力学的な理想状態ρ^(ideal)を規定する（理想状態規定ステップ）。

【0119】

また、応答推定装置１１では、理想状態ρ^(ideal)と量子力学的な状態が近似した近似状態を、ランダムな変調により生成されるテスト用光パルスの量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)を利用した加減算で表し、理想状態ρ^(ideal)と、２種類のテスト用光パルスの量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)との関係を定めた、演算子の不等式を特定する（特定ステップ）。

【0120】

そして、応答推定装置１１では、理想的光パルスによって測定される、盗聴に関わる通信用光パルスのペアの検出数K₀ ^(even)と、アリス２及びボブ３がそれぞれ確率p₁₀、p₁₁でランダムに選択される第１のテスト用光パルスを規定の組み合わせで選択（テスト１）したことで第１のテスト用光パルスのペアが検出される検出数K₁と、アリス２及びボブ３が両方とも確率P₂でランダムに選択される第２の前記テスト用光パルスを選択（テスト２）したことで第２のテスト用光パルスのペアが検出される検出数K₂と、通信用光パルスのペアへの盗聴量の推定において許容できる推定エラー量を規定するための確率εと、の関係を定めた上記の式（１）の不等式を、ベルヌーイサンプリングの公式に基づく二項分布から規定する（不等式規定ステップ）。

【0121】

これにより、応答推定装置１１は、アリス２及びボブ３においてそれぞれ通信用光パルス及びテスト用光パルスをランダムにチャーリ４に送信し、アリス２及びボブで一致した通信用光パルスとテスト用光パルスとを検出した検出結果をチャーリ４から取得した際（取得ステップ）、当該検出結果に基づいて上記の式（１）の不等式を解いて、通信用光パルスを入力したときの量子暗号鍵配信システム１における盗聴量を推定することができる（推定ステップ）。

【0122】

このように、本実施形態では、ベルヌーイサンプリングの公式に基づき規定した不等式を用いて、通信用光パルスへの盗聴行為を監視することができるので、盗聴を検出するために必要であるとされる特殊な理想的光パルスを用いずに、既存のレーザ光源５を利用して効率よく盗聴行為を監視することができる。

【0123】

以上の構成によれば、ベルヌーイサンプリングの公式に基づく二項分布で定めた不等式を用いて、通信用光パルスへの盗聴量を推定できるので、従来、通信用光パルスへの盗聴量を推定するために必要であるとされる特殊な理想的光パルスを用いずに、通信用光パルスへの盗聴量を効率よく推定することができる。

【0124】

（４）他の実施の形態
（４－１）測定システムへの応答推定方法の適用
次に、図１１に示すように、送信器４２と測定器４３とで構成された測定システム４１に、本実施形態に係る応答推定方法を適用した場合について説明する。この場合、送信器４２は、図示しないレーザ光源や位相変調器等を有する送信部４４と、応答推定装置１１とを有している。送信部４４は、例えば、水平偏光のレーザ光パルスと、垂直偏光のレーザ光パルスとのうちいずれかをランダムで選択し、選択した光パルスを、量子通信路１００を介して測定器４３に送信する。

【0125】

測定器４３は、偏光ビームスプリッタ４６と、対の光子検出器４７ａ，４７ｂと、通知部４９とを有している。測定器４３は、送信器４２からのレーザ光パルスを偏光ビームスプリッタ４６で受光し、偏光ビームスプリッタ４６を介して光子検出器４７ａ，４７ｂのいずれにレーザ光パルスを出力する。測定器４３は、光子検出器４７ａによって、ある検出効率ηで斜め＋45度偏光の光子を検出し、一方の光子検出器４７ｂによって、同じ検出効率ηで斜め－45度偏光の光子を検出する。

【0126】

測定器４３は、光子検出器４７ａだけで光子を検出すると、「ビット値0」の検出結果を、通信路（図示せず）を介して通知部４９により送信器４２に送信する。一方、光子検出器４７ｂだけで光子を検出すると、「ビット値1」の検出結果を、通信路（図示せず）を介して通知部４９により送信器４２に送信する。それ以外の場合、測定器４３は「測定失敗」の検出結果を、通信路（図示せず）を介して通知部４９により送信器４２に送信する。測定器４３が上記の動作を忠実に行えば、測定成功時のビット値は理想的な真性乱数となる。

【0127】

ここで、測定器４３の上記の動作を検査する方法としては以下のような検査方法が考えられる。この場合、送信器４２とは別の検査用の光源を用いることになる。検査用の光源によって、水平偏光のレーザ光パルスと、垂直偏光のレーザ光パルスとを量子力学的に重ね合わせたパルスを理想的な状態のパルスとして生成する。そして、このような理想的な第１のパルスを繰り返し測定器４３に送り、測定器４３が「ビット値0」を検出する頻度を記録する。

【0128】

また、これとは別に、検査用の光源によって、水平偏光のレーザ光パルスと、垂直偏光のレーザ光パルスとを上記とは量子力学的な位相を変えて重ね合わせた理想的な状態のパルスを発生する。そして、このような理想的な第２のパルスを繰り返し測定器４３に送り、測定器４３が「ビット値1」を検出する頻度を記録する。理想的には、測定器４３における「ビット値0」及び「ビット値1」の検出頻度は検査回数にηを乗じたものに近いはずである。

【0129】

このことから、測定器４３における「ビット値0」及び「ビット値1」の検出頻度が分かれば、量子力学に従い、この測定器４３の出力が理想的な真性乱数からどの程度異なっているのかが定量的に分かり、性能が保証された乱数を生成することができる。

【0130】

しかしながら、実際には、水平偏光のレーザ光パルスと、垂直偏光のレーザ光パルスとを重ね合わせた理想的な状態のパルスを生成することは、技術的に困難であるという問題を抱えている。

【0131】

また、水平偏光のレーザ光パルスと、垂直偏光のレーザ光パルスとを重ね合わせた理想的な状態のパルスは、送信器４２に設けられている既存の送信部４４で生成する、斜め＋45度偏光のレーザ光パルスとは一般に異なる状態であるため、既存の送信部４４をそのまま使用することは困難である。

【0132】

そこで、上記のような理想的な状態のパルスを用いた検査に替え、本実施形態に係る応答推定方法を用いることで、測定器４３の動作を以下のようにして検査することができる。

【0133】

この場合、送信器４２では、測定器４３の動作を検査するために、複数種類の複素振幅をランダムに選択したテスト用レーザ光パルス（テスト用信号）を送信部４４で生成する。送信部４４は、ランダムに複素振幅を選択した各種類のテスト用レーザ光パルスを繰り返し測定器４３に送り、測定器４３において「ビット値0」を検出する頻度を、測定器４３の通知部４９から受け取り記録する。

【0134】

送信器４２の応答推定装置１１は、複素振幅ごとの「ビット値0」の検出頻度から、水平偏光のレーザ光パルスと垂直偏光のレーザ光パルスとを重ね合わせた理想的な状態の第１のパルスを繰り返し測定器４３に送ったときに測定器４３が「ビット値0」を検出する頻度の下限を求めることができる。

【0135】

同様にして、送信部４４は、複数種類の複素振幅をランダムに選択したテスト用レーザ光パルス（テスト用信号）を送信部４４で生成し、ランダムに複素振幅を選択した各種類のテスト用レーザ光パルスを繰り返し測定器４３に送り、測定器４３において「ビット値1」を検出する頻度を、測定器４３の通知部４９から受け取り記録する。これにより、送信器４２の応答推定装置１１は、複素振幅ごとの「ビット値1」の検出頻度から、水平偏光のレーザ光パルスと垂直偏光のレーザ光パルスとを第１のパルスとは別の状態で重ね合わせた理想的な状態の第２のパルスを繰り返し測定器４３に送ったときに測定器４３が「ビット値1」を検出する頻度の下限を求めることができる。

【0136】

複素振幅をランダムに選択したテスト用レーザ光パルスを送信器４２から測定器４３に送ったときの測定器４３における「ビット値0」及び「ビット値1」の検出頻度の下限がそれぞれ分かれば、量子力学に従い、この測定器４３の出力が理想的な真性乱数からどの程度異なっているかが定量的に知ることができる。

【0137】

以上より、測定システム４１では、安価に用意できるレーザ光源のみを用いて、保証の前提のない測定器４３の検査を行い、性能が保証された乱数を生成できる。

【0138】

ここで、「水平偏光のレーザ光パルスと垂直偏光のレーザ光パルスとを重ね合わせた理想的な状態のパルスを繰り返し測定器４３に送ったときに測定器４３が「ビット値0」を検出する頻度の下限を求める」という点に着目して、より詳細に説明する。

【0139】

測定器４３が「ビット値0」を検出するという事象の余事象を事象Eとすると、この事象Eは、測定器４３が「ビット値1」又は「測定失敗」を検出する事象に対応する。よって、測定器４３が「ビット値0」を検出する頻度の下限を求めることは、測定器４３が事象Eの頻度の上限を求めることと等価であると言える。

【0140】

ここで、水平偏光のレーザ光パルスと垂直偏光のレーザ光パルスとを重ね合わせた理想的な状態のパルスに関する密度演算子（密度行列）を、ρ^(ideal)とする。
また、適当な確率で生成される、１種類又は複数種類の複素振幅のテスト用レーザ光パルスに関する密度演算子（密度行列）を、ρ₊ ^(test)とする。
さらに、ρ₊ ^(test)とは異なる適当な確率で生成され、かつ、ρ₊ ^(test)とは量子力学的な状態が異なる１種類又は複数種類の複素振幅のテスト用レーザ光パルスに関する密度演算子（密度行列）を、ρ_- ^(test)とする。

【0141】

解析部１２は、上記の式（９）と同じ下記の式（５４）が成り立つρ^(ideal)とρ₊ ^(test)とρ_- ^(test)とを解析する。
αρ₊ ^(test) -βρ_- ^(test) ≧ ρ^(ideal)…（５４）

【0142】

ここで、例えば、ある確率P₁で状態ρ₊ ^(test)のテスト用レーザ光パルス（第１のテスト用信号）を生成して、当該テスト用レーザ光パルスを測定器４３に送った際の測定器４３での事象Eの頻度（検出数）をK₁とする。
また、ある確率P₂で状態ρ_- ^(test)のテスト用レーザ光パルス（第２のテスト用信号）を生成して、当該テスト用レーザ光パルスを測定器４３に送った際の測定器４３での事象Eの頻度（検出数）をK₂とする。
さらに、ここでは、測定器４３が確率P₃で乱数生成に使用されるとする。

【0143】

上述した実施形態と同様に、ベルヌーイサンプリングの公式に基づいて、下記の式（５５）が得られる。
Prob{M ≦ f(K₁,K₂;P₁,P₂,P₃,α,β)} ≧ 1-ε…（５５）

【0144】

Mは、確率P₃で理想的な状態ρ^(ideal)のパルスを測定器４３に送ったときに測定器４３で事象Eが検出される頻度を示す。また、εは、Mの上限の推定を誤る確率として許容できる大きさ（すなわち、推定の信頼水準として許容できる推定エラー量）を規定するために、予め定められるパラメータである。なお、これら式（５４）及び式（５５）における各パラメータ等については、上述した実施形態と同じであるため、ここは、説明の重複を避けるため詳細については省略する。

【0145】

以上の構成において、測定システム４１に設けた応答推定装置１１では、測定器４３のある事象Eを検出可能なレーザ光パルス（理想的信号）２５の量子力学的な理想状態ρ^(ideal)を規定する（理想状態規定ステップ）。そして、この理想状態ρ^(ideal)と量子力学的な状態が近似した近似状態を、ランダムに選択される複数種類のテスト用レーザ光パルス（テスト用信号）の量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)を利用した加減算で表し、理想状態ρ^(ideal)と、複数種類のテスト用レーザ光パルスの量子力学的な状態ρ_＋ ^(test)、ρ_－ ^(test)との関係を定めた、演算子の不等式（αρ₊ ^(test) -βρ_- ^(test) ≧ ρ^(ideal)）を特定する（特定ステップ）。

【0146】

また、応答推定装置１１では、理想的なレーザ光パルスによって検出される、測定器４３での事象Eの検出数Mと、複数種類のテスト用レーザ光パルスをランダムに選択して測定器４３で事象Eを検出したときにテスト用レーザ光パルスの種類ごとに得られる事象Eの検出数K₁，K₂と、許容できる推定エラー量を規定するための確率εと、の関係を定めた上記の式（５５）の不等式を、ベルヌーイサンプリングの公式に基づく二項分布から規定する（不等式規定ステップ）。

【0147】

これにより、応答推定装置１１では、特定ステップで特定した複数種類のテスト用レーザ光パルスをランダムに切り換えて測定器４３に送信し、テスト用レーザ光パルスによる、測定器４３の事象Eの検出結果（K₁，K₂）を取得し（取得ステップ）、取得ステップで取得した検出結果に基づいて式（５５）の不等式を解いて、測定器４３にどの程度の検出エラーが生じるかの状態を推定することができる（推定ステップ）。

【0148】

以上の応答推定装置１１でも、上述した実施形態と同様に、推定部１３によって、ベルヌーイサンプリングの公式に基づき規定した不等式（式（５５））を用いて、従来、測定器４３の状態を検出するために必要であるとされる特殊な理想的レーザ光パルスを用いずに、量子力学的な信号を測定器４３に入力したときの測定システム１での入力に対する応答を効率よく推定することができる。

【0149】

（４－２）その他
上述した実施形態においては、アリス２とボブ３がチャーリ４を介して接続された量子暗号鍵配信システム１を適用した場合について説明したが、本発明はこれに限らず、例えば、アリス２からボブ３にチャーリ４を介在させないで光パルスを送信する量子通信システムを適用してもよい。例えば、送信器４２を第１ユニット（アリス）とし、測定器４３を第２ユニット（ボブ）として用い、信号として、ランダムに選択したランダムビットにより光パルスを変調した通信用光パルスと、テスト用信号として、光パルスの位相及び強度がランダムに選択される複数種類のテスト用光パルスと、をアリスがランダムに選択して、アリスからボブに、通信用光パルスとテスト用光パルスとを順次送信してゆく量子通信システムにも、本実施形態に係る応答推定装置１１を適用できる。

【0150】

また、本実施形態で、通信用光パルス及びテスト用光パルスを適用した場合について述べたが、本発明はこれに限らず、例えば、電磁波等のその他種々の量子力学的な通信用信号及びテスト用信号を適用してもよい。

【0151】

（５）参考文献
以下のリストは本実施形態における技術的な事項を補足するための参考文献であり、各参考文献に記載されている内容は、本実施形態に係る技術的内容の理解を深めるための補足情報となり得る。
1.Bennett, C. H. & Brassard, G. Quantum cryptography: public key distribution and coin tossing. Proc. IEEE Int. Conf. Comput. Syst. Signal Process. 175-179 (1984)
2.Scarani, V. et al. The security of practical quantum key distribution. Rev. Mod. Phys. 81, 1301-1350 (2009).
3.Takeoka, M., Guha, S. & Wilde, M. M. Fundamental rate-loss tradeoff for optical quantum key distribution. Nat. Commun. 5, 5235 (2014).
4.Pirandola, S., Laurenza, R., Ottaviani, C. & Banchi, L. Fundamental limits of repeaterless quantum communications. Nat. Commun. 8, 15043 (2017).
5.Briegel, H., Dur, W., Cirac, J. I. & Zoller, P. Quantum repeaters: the role of imperfect local operations in quantum communication. Phys. Rev. Lett. 81, 5932-5935 (1998).
6.Panayi, C., Razavi, M., Ma, X. & Lutkenhaus, N. Memory-assisted measurement-device-independent quantum key distribution. New J. Phys. 16, 043005 (2014).
7.Azuma, K., Tamaki, K. & Munro, W. J. All-photonic intercity quantum key distribution. Nat. Commun. 6, 10171 (2015).
8.Lucamarini, M., Yuan, Z. L., Dynes, J. F. & Shields, A. J. Overcoming the rate-distance limit of quantum key distribution without quantum repeaters. Nature 557, 400-403 (2018).
9.Lo, H.-K., Curty, M. & Qi, B. Measurement-device-independent quantum key distribution. Phys. Rev. Lett. 108, 130503 (2012).
10.Tamaki, K., Lo, H.-K., Fung, C.-H. F. & Qi, B. Phase encoding schemes for measurement-device-independent quantum key distribution with basis-dependent flaw. Phys. Rev. A 85, 042307 (2012).
11.Wang, X.-B. Beating the photon-number-splitting attack in practical quantum cryptography. Phys. Rev. Lett. 94, 230503 (2005).
12.Hwang, W. Y. Quantum key distribution with high loss: toward global secure communication. Phys. Rev. Lett. 91, 057901 (2003).
13.Lo, H.-K., Ma, X. & Chen, K. Decoy state quantum key distribution. Phys. Rev. Lett. 94, 230504 (2005).
14.Ma, X., Zeng, P. & Zhou, H. Phase-matching quantum key distribution. Phys. Rev. X 8, 31043 (2018).
15.Tamaki, K., Lo, H.-K., Wang, W. & Lucamarini, M. Information theoretic security of quantum key distribution overcoming the repeaterless secret key capacity bound. Preprint at http://arxiv.org/abs/1805.05511 (2018).
16.Wang, X.-B., Yu, Z.-W. & Hu, X.-L. Twin-field quantum key distribution with large misalignment error. Phys. Rev. A 98, 062323 (2018).
17.Yin, H.-L. & Fu, Y. Measurement-device-independent twin-field quantum key distribution. Sci. Rep. 9, 3045 (2019).
18.Cui, C. et al. Twin-field quantum key distribution without phase post-selection. Phys. Rev. Applied 11, 034053 (2019).
19.Curty, M., Azuma, K. & Lo, H.-K. Simple security proof of twin-field type quantum key distribution protocol. Preprint at http://arxiv.org/abs/1807.07667 (2018).
20.Lin, J. & Lutkenhaus, N. Simple security analysis of phase-matching measurement-device-independent quantum key distribution. Phys. Rev. A 98, 42332 (2018).
21.Yin, H.-L. & Chen, Z.-B. Twin-field quantum key distribution over 1000 km Fibre. Preprint at http://arxiv.org/abs/1901.05009 (2019).
22.Shor, P. W. & Preskill, J. Simple proof of security of the BB84 quantum key distribution protocol. Phys. Rev. Lett. 85, 441-444 (2000).
23.Koashi, M. Simple security proof of quantum key distribution based on complementarity. New J. Phys. 11, 045018 (2009).
24.Carter, J. L. & Wegman, M. N. Classes of hash functions. J. Comput. Syst. Sci. 18, 143-154 (1979).
25.Hoffding, W. Probability inequalities for sums of bounded random variables. J. Am. Stat. Assoc. 58, 13-30 (1963).
26.Hayashi, M. & Tsurumaru, T. Concise and tight security analysis of the Bennett-Brassard 1984 protocol with finite key lengths. New J. Phys. 14, 093014 (2012).
27.Muller-Quade, J. & Renner, R. Composability in quantum cryptography. New J. Phys. 11, 085006 (2009).

【符号の説明】

【0152】

１ 量子暗号鍵配信システム（量子通信システム）
２ アリス（第１ユニット）
３ ボブ（第２ユニット）
４ チャーリ／イブ（光子検出ユニット）
１０ 取得部
１１ 応答推定装置
１２ 解析部（理想状態規定部、特定部、不等式規定部）
１３ 推定部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】