出てくるもの（1）：盗聴は乱れを残す

相対エントロピーから情報と物理を組み立てる　第3部 第10章 §3.10.3　★★★ 複製不可能定理と、Bell 対角な状態での等式 $I(A_z;E)=H(\lambda)-h_{\mathrm b}(e_z)\le h_{\mathrm b}(e_x)$。$Z$ の鍵を知るには $X$ を乱すしかない

複製不可能定理

Eve にとって最も都合のよい攻撃は、送られてきた量子ビットを複製し、1つを Bob へ送り、もう1つを手元に残すことである。これは量子力学で禁じられている。

証明

2つの式の内積をとる。左辺は $\hat U$ がユニタリなので $\langle \psi | \phi \rangle \langle 0 | 0 \rangle =\langle \psi | \phi \rangle$、右辺は $\langle \psi | \phi \rangle ^2$。$x=\langle \psi | \phi \rangle$ が $x=x^2$ を満たすので $x=0$ か $x=1$ である。複製の結果に位相が付くことを許しても、絶対値について同じ議論が成り立つ。

この定理は W. K. Wootters と W. H. Zurek、D. Dieks が 1982 年に示した¹1W. K. Wootters and W. H. Zurek (1982), Nature 299, 802; D. Dieks (1982), Phys. Lett. A 92, 271.下の脚注へ閉じる。BB84 の4つの状態には重なり $1/\sqrt2$ の組があるので、Eve は4つすべてを複製することができない。ただしこの定理は「完全な複製ができない」と言うだけで、不完全な複製や部分的な測定でどれだけ情報が得られ、どれだけ乱れるかは教えない。それを量で言うのがこの節の残りである。

測って送り直す攻撃

最も素朴な攻撃は、Eve が乱数で基底を選んで測り、測った結果の状態を作り直して Bob へ送るものである（測定・再送攻撃）。ふるい分けで残る回（Alice と Bob の基底が一致した回）について考える。Eve の基底が Alice と一致する確率は $1/2$ で、そのとき Eve はビットを正しく知り、Bob にも正しい状態が届く。一致しないとき（確率 $1/2$）、Eve の結果は Alice のビットと無関係で、Eve が作り直した状態を Bob が正しい基底で測ると、半分の確率で誤る。したがって誤り率は

$$Q=\frac12\cdot0+\frac12\cdot\frac12=\frac14\tag{3.10.8}$$

になる。Eve は基底の公開を聞いてから、自分の基底が合っていたかを知る。合っていた半分の回だけ Alice のビットを知っているので、$I(A;E)=\frac12\ln2$、つまり 0.5 ビットである。一方 Bob は誤り率 $1/4$ の2値対称通信路の出力を持つので $I(A;B)=\ln2-h_{\mathrm b}(1/4)$、ビットで $0.189$ である。Eve の方が多く知っているので、式 (3.10.7) の右辺は負になり、鍵は取れない。

Eve が全体の割合 $\lambda$ の量子ビットにだけこの攻撃をすると、$Q=\lambda/4$、$I(A;E)=\frac\lambda2\ln2$ である。この攻撃に限れば $\ln2-h_{\mathrm b}(\lambda/4)>\frac\lambda2\ln2$ の範囲、すなわち $\lambda<0.682$（$Q<0.171$）で鍵が取れる。しかし Alice と Bob は Eve がどの攻撃を使ったかを知らない。誤り率だけから、あらゆる攻撃に対して成り立つ上界を作る必要がある。

Bell 対角な状態での情報と乱れの関係

量子もつれで言い直した形（3.10.1節）で考える。Alice と Bob の対の状態が、Bell 状態の確率混合

$$\hat\rho_{AB}=\sum_{P\in\{\mathbf 1,X,Y,Z\}}\lambda_P\,(\mathbf 1\otimes P)| \Phi^+ \rangle \langle \Phi^+ |(\mathbf 1\otimes P)\tag{3.10.9}$$

になっているとする（Bell 対角な状態）。$(\mathbf 1\otimes X)| \Phi^+ \rangle =| \Psi^+ \rangle$、$(\mathbf 1\otimes Z)| \Phi^+ \rangle =| \Phi^- \rangle$、$(\mathbf 1\otimes Y)| \Phi^+ \rangle =\mathrm{i}| \Psi^- \rangle$ なので、$\lambda_P$ は Bob の量子ビットに Pauli の誤り $P$ が起きた確率と読める。$X$ は $Z$ 基底の結果を反転させ、$Z$ は $X$ 基底の結果を反転させ、$Y=\mathrm{i} XZ$ は両方を反転させる。したがって2つの基底の誤り率は

$$e_z=\lambda_X+\lambda_Y,\qquad e_x=\lambda_Z+\lambda_Y\tag{3.10.10}$$

である。$e_z$ をビットの誤り率、$e_x$ を位相の誤り率と呼ぶ。鍵は $Z$ 基底の結果 $A_z$ から作るとする。

証明

$\hat\rho_{ABE}$ は純粋なので、$S(E)=S(AB)=H(\lambda)$ である（Bell 状態は正規直交なので $\hat\rho_{AB}$ の固有値は $\lambda_P$）。Alice が $A$ を $Z$ で測って結果 $a$ を得ると、残りの $BE$ は純粋状態になる（純粋状態の一部を射影測定しても、残りは純粋のまま）。純粋状態の2つの部分のエントロピーは等しいので、$S(\hat\rho_E^a)=S(\hat\rho_B^a)$ である。$\hat\rho_B^a$ を求める。$| \Phi^\pm \rangle$ では $A$ が $a$ なら $B$ も $a$、$| \Psi^\pm \rangle$ では $B$ は $a\oplus1$ で、$\hat\rho_{AB}$ は Bell 基底で対角なので、異なる Bell 状態の間の干渉の項は無い。したがって

$$\hat\rho_B^a=(1-e_z)| a \rangle \langle a |+e_z| a\oplus1 \rangle \langle a\oplus1 |,\qquad S(\hat\rho_E^a)=h_{\mathrm b}(e_z)$$

で、$a$ は確率 $1/2$ ずつ出る。命題 3.10.2 から $I(A_z;E)=S(\hat\rho_E)-\sum_a\frac12S(\hat\rho_E^a)=H(\lambda)-h_{\mathrm b}(e_z)$ である。

不等号を示す。Pauli の誤り $P$ を、ビットの反転の有無 $F$ と位相の反転の有無 $G$ の組に対応させる（$\mathbf 1\mapsto(0,0)$、$X\mapsto(1,0)$、$Z\mapsto(0,1)$、$Y\mapsto(1,1)$）。この対応は1対1なので $H(\lambda)=H(F,G)$ で、式 (3.10.10) から $F$ と $G$ の周辺の分布はそれぞれ $e_z$、$e_x$ の2値分布である。劣加法性$H(F,G)\le H(F)+H(G)=h_{\mathrm b}(e_z)+h_{\mathrm b}(e_x)$ を代入すれば式 (3.10.11) を得る。等号は $I(F;G)=0$ のときである。

この定理は、$Z$ 基底の鍵について Eve が知ることができる量は、$X$ 基底の誤り率だけで上から押さえられると言っている。Eve が $Z$ の値を読もうとすれば、その分だけ $X$ 基底の相関を壊すことになり、Alice と Bob はそれを $e_x$ として見ることができる。$e_x=0$ なら $I(A_z;E)=0$ で、これは 3.10.2節で純粋な対について示したことの量的な形である。測定・再送攻撃では $Q=e_x=1/4$、$I(A;E)=0.5$ ビットで、上界 $h_{\mathrm b}(1/4)/\ln2=0.811$ ビットより小さい。この攻撃は Eve にとって最良ではない。

Bell 対角の仮定は計算を見通しよくするためのもので、上界 $h_{\mathrm b}(e_x)$ そのものは一般の状態でも成り立つ。それは次の節で不確定性関係から示す。図 3.10.2 に、Bob の情報量 $\ln2-h_{\mathrm b}(Q)$、Eve の情報量の上界 $h_{\mathrm b}(Q)$、測定・再送攻撃での Eve の情報量 $2Q\ln2$ を誤り率 $Q$（$e_z=e_x=Q$）に対して示す。

1　W. K. Wootters and W. H. Zurek (1982), Nature 299, 802; D. Dieks (1982), Phys. Lett. A 92, 271.