授業で習った形との対応

相対エントロピーから情報と物理を組み立てる　第3部 第10章 §3.10.6　★★ Shannon の完全秘匿 $H(M\,|\,\tilde M)=H(M)$、盗聴通信路の秘密容量 $\max[I(A;B)-I(A;E)]$、量子情報の講義の「QBER 11%」を、この章の式と並べる

完全秘匿の定義

情報理論の授業では、完全秘匿を $H(M\,|\,\tilde M)=H(M)$、あるいは「すべての $m,\tilde m$ で $\Pr(M=m\,|\,\tilde M=\tilde m)=\Pr(M=m)$」と定義し、そこから鍵の長さの条件 $H(K)\ge H(M)$ を導くことが多い。$H(M)-H(M\,|\,\tilde M)=I(M;\tilde M)=D(p_{M\tilde M}\,\|\,p_Mp_{\tilde M})$ なので、授業の定義は式 (3.10.1) と同じことを言っている。この章では、完全でない秘密も同じ形で測れるように、理想の状態（一様で独立）からの相対エントロピー (3.10.4) で秘密を定義した。

盗聴通信路の秘密容量

情報理論の授業では、Alice の入力 $A$ が Bob へは通信路 $W_B$ を、Eve へは通信路 $W_E$ を通って届く盗聴通信路を扱うことがある。Eve の通信路が Bob の出力をさらに劣化させたもの（$A\to B\to E$ が Markov 連鎖）なら、秘密を保って送れる最大の割合（秘密容量）は

$$C_{\mathrm s}=\max_{p_A}\bigl[I(A;B)-I(A;E)\bigr]\tag{3.10.19}$$

である¹1A. D. Wyner (1975), Bell Syst. Tech. J. 54, 1355. 劣化していない一般の場合は Csiszár と Körner（1978、前掲）が補助の変数を入れた形で示した。下の脚注へ閉じる。量子鍵配送の式 (3.10.7) と同じ形で、違いは2つある。1つは、Eve の出力が古典の値でなく量子の系で、$I(A;E)$ が Holevo 量になることである。もう1つは、盗聴通信路では Eve の通信路 $W_E$ を既知とするのに対し、量子鍵配送では Eve の操作を知らず、Alice と Bob が測った誤り率と量子力学だけから $I(A;E)$ を上から押さえることである。この「Eve の通信路を仮定しなくてよい」点が、量子鍵配送の安全性が計算量の仮定にも盗聴者の装置の仮定にもよらない理由である。

量子情報の講義での BB84

量子情報の講義では、BB84 の鍵率を底2の二値エントロピー $h(Q)=-Q\log_2Q-(1-Q)\log_2(1-Q)$ で $r=1-2h(Q)$ と書き、「誤り率 (QBER) が約 $11\%$ 以下なら安全」と説明することが多い。この章の式 (3.10.13) は nat で書いたもので、$h(Q)=h_{\mathrm b}(Q)/\ln2$ と読み替えれば一致する。また、量子もつれを使う Ekert の手順では、CHSH の不等式（第3部第5章）の破れで盗聴を見つけると説明される。Bell 対角な状態のうち、$\lambda_X=\lambda_Y=\lambda_Z=(1-V)/4$ の Werner 状態では $Q=(1-V)/2$、CHSH の値の最大は $2\sqrt2\,V$ なので、誤り率と CHSH の値は1対1に対応する。この対応は総合問題で使う。