Information Reconciliation for Continuous-Variable Quantum Key Distribution with $β> 1$ Using Short Blocklength Error Correction Codes: Proposal and Concerns

技術要約：$\beta > 1$ における CV-QKD の情報照合（Information Reconciliation）

問題提起
連続変数量子鍵配送（CV-QKD）は、その後処理段階、特に情報照合において重大なボトルネックに直面している。このプロセスの効率は $\beta$（エラー訂正符号の符号化率と量子チャネル容量の比）で表されるが、伝統的に 1 に制限されている。信頼性の高い伝送におけるシャノン限界の下では、$\beta > 1$ を達成することは一般に不可能であると考えられている。しかし、現在の照合プロトコルはしばしば低い照合効率で動作しており、達成可能な秘密鍵生成率（SKR）や伝送距離を制限している。さらに、高いフレーム誤り率（FER）は、誤ってデコードされたフレームを破棄することによって $\beta > 1$ を理論的に可能にするが、標準的な長ブロック長符号は、コーディング定理の「強い逆（strong converse）」により、ブロック長が増加するにつれて FER が 1 に近づくため、この領域では性能が悪化する。加えて、多次元照合に関する既存のセキュリティ証明は、短ブロック長の使用やフレームの拒絶（ポストセレクション）が、ホレボ情報（$\chi_{BE}$）および有限サイズ効果に与える影響を明示的に扱っていない。

手法
著者らは、短ブロック長・低レートの符号と長ブロック長・高レートの符号を組み合わせることで、$\beta > 1$ で動作するように設計された新しい二段階照合プロトコルを提案している。プロトコルは以下のように動作する：

1. 第一デコードステップ（内部符号）：

   • アリスとボブは、短ブロック長の低レート LDPC 符号を用いて多次元照合を行う。
   • このステップの照合効率 $\beta_{in}$ は 1 より大きく設定される。
   • アリスは、シンドロームチェックや CRC のみに基づいてフレームを破棄するのではなく、デコードされた符号語の対数事後確率比（$q_i$）の大きさに基づいて符号語をソートする。
   • アリスは、最も高い $q_i$ 値を持つフレームのみを一定の割合（高い受理率、AFR）で受け入れる。これにより、プロセス全体の FER は高くなるが、受け入れられたフレームのビット誤り率（BER）は大幅に低くなることが保証される。

2. 第二デコードステップ（外部符号）：

   • 第一ステップで受け入れられた情報ビットを結合して長い文字列を形成する。
   • アリスは、受け入れられたフレームのインデックスをボブに送信する。
   • ボブは、対応するビットを結合し、高レートの長ブロック長符号を用いてこのシーケンスのシンドロームを計算する。
   • ボブは、このシンドロームのワンタイムパディング版をアリスに送る。
   • アリスは受信したシンドロームを使用して、自身の結合された文字列と有効な符号語との間のエラーパターンをデコードし、共有ビット列を復元する。
   • 第二ステップは、最終的なハッシュ確認ステップを必要とせずに、高い確率で最終的な文字列が一致するように、非常に低い FER（$< 10^{-9}$）で動作するように設計されている。

主な貢献

• 二段階プロトコル： 短ブロック長・低レートの符号（初期フィルタリングと高い $\beta_{in}$ のため）と、長ブロック長・高レートの符号（最終的なエラー訂正のため）を組み合わせた照合スキームの導入。
• $\beta > 1$ の達成： 短ブロック長符号から最も信頼性の高いフレームのみを受け入れることにより、総照合効率（$\beta_t$）が 1 を超えることを実証した。これは、高い全体的なフレーム拒絶率を伴う。
• シミュレーションによる検証： ブロック長 $N_{in} = 500$ の Type-Based Protograph (TBP) LDPC 符号を用いたシミュレーション結果により、$\beta_t$ が最大 1.4 に達することが示された。これは、極めて低い受理率（AFR = 0.0001）において $\beta \approx 1.09$ に制限される標準的なプロトコルを大幅に上回る性能である。
• セキュリティ分析： フレーム拒絶および短ブロック長に関する現在のセキュリティ証明における決定的なギャップを特定した。論文は、フレーム拒絶がポストセレクションの一種として機能し、既存のモデルでは考慮されていないホレボ情報（$\chi_{BE}$ の変動や有限サイズ効果をもたらす可能性があることを強調している。

結果

• 性能： シミュレーションによれば、受理フレーム率（AFR）が減少するにつれて、受け入れられたフレームの BER は低下し、結果として得られる二元対称通信路（BSC）の容量は増加する。
• 最適化： 最適な $\beta_{in}$ は目標とする AFR に依存する。より高い $\beta_{in}$ は初期のスループットを向上させるが、第二ステップにおけるより堅牢な補正を必要とする。
• ブロック長への感度： 本プロトコルは短ブロック長（例：$N_{in} = 500$）で最もよく動作する。ブロック長が小さすぎると（例：$N_{in} = 200$）、パリティ検査行列の密度やビット誤りの相対的な影響により、性能が著しく低下する。
• 比較： 提案手法は $\beta_t$ 値 1.4 まで達成できるのに対し、長ブロック長を用いた最先端の手法は、極めて低い AFR（0.0001）において $\beta \approx 1.09$ に制限され、これにより SKR が著しく抑制される。

意義および主張
本論文は、このプロトコルが従来の $\beta \leq 1$ の障壁を打破することで、CV-QKD システムの秘密鍵生成率および伝送距離を向上させる経路を提供すると主張している。しかし、著者らは現在の知見の限界について明確に述べている：

• セキュリティ上の注意： 本論文は、このプロトコルが現在実装に対して安全であると主張するものではない。多次元照合のセキュリティ証明は、任意のブロック長の使用やフレーム拒絶（ポストセレクション）を現在検証していないことを明示している。
• 未解決の問い： 著者らは、フレーム拒絶がホレボ情報（$\chi_{BE}$）の変動を引き起こす可能性があり、その推定は困難であると指摘している。また、受理／拒絶メッセージをワンタイムパディングしても、SKR が長距離にわたって期待通りに振る舞わないことから、未計算の漏洩（leakage）が存在することを示唆している。
• 結論： 主な意義は、この手法の「提案」と「シミュレーション」にあり、現在の効率限界を超える理論的可能性を実証した点にある。著者らは、SKR や達成可能な距離に関する主張を行う前に、フレーム拒絶および有限サイズ効果の影響に対処する厳密なセキュリティ分析を行う必要があると結論付けている。