1. 3行でわかる ／ 読む前に ／ シリーズの中での位置

• QKD は「暗号文を送る技術」ではなく、「鍵を作る技術」：遠く離れた二人が、同じ秘密の乱数列（鍵）を、光1個ずつを使って作ります。作った鍵は、そのあと普通の暗号（共通鍵暗号など）に使います［参考資料2・3］
• 盗聴すると、光の状態が乱れて「誤り」が増える：光の量子状態は、測ると変わり、コピーもできません。そこで、誤りが多ければ「盗聴されたかもしれない」として、その鍵を使わずに捨てます［参考資料1・4・2］
• ただし「物理法則で絶対に破れない」わけではない：安全の保証は、理想的な装置と仮定のもとでの話です。実際の装置の穴・距離の壁・認証が別に必要なこと、専用の光回線が要ることから、米国 NSA、英国 NCSC、そして仏独蘭瑞の4機関（ANSSI・BSI・NLNCSA・スウェーデン国家通信保安庁）は、国の重要な通信に QKD を勧めない、または PQC を優先する立場を公表しています［参考資料29・30・31］

2. 「鍵を共有する」とは ― 暗号と鍵の基本

まず、量子の話に入る前に、暗号の基本を確認します。ここが分かると、QKD が「何を解決したいのか」がはっきりします。

(1) 暗号は「錠前」、鍵は「鍵」

手紙を鍵つきの箱に入れて送る場面を考えてみましょう。箱の造りは誰が見てもよく、秘密にするのは鍵だけです。現代の暗号も同じで、暗号化の手順（アルゴリズム）は公開され、秘密は鍵と呼ばれる乱数の列だけです。現在広く使われている共通鍵暗号（AES など）は、送る人と受け取る人が同じ鍵を持ち、その鍵で閉め（暗号化）、同じ鍵で開けます（復号）。計算が速く、大量のデータを送るのに向いています（本記事による解説）。

(2) 弱点は「その鍵を、先にどう渡すか」

共通鍵暗号には、避けられない問いがあります。遠く離れた二人は、盗み聞きされる心配のない形で、最初の鍵をどう共有するのか？これが「鍵配送問題」です。鍵を普通の通信で送れば、その通信を盗み聞きした人が鍵を手に入れ、以後の暗号文がすべて読めてしまいます。

(3) 公開鍵暗号 ― 南京錠のたとえと、その弱点

1970年代に、この問題への新しい答えが出ました。Diffie と Hellman は「公開鍵」の考え方を示し［参考資料7］、Rivest・Shamir・Adleman は、その具体的な方式（RSA）を示しました［参考資料8］。南京錠のたとえで言うと、受け取る人は南京錠（公開鍵）を誰にでも配り、送る人はその南京錠で箱を閉めて送ります。南京錠は誰でも閉められますが、開けられるのは、秘密の鍵（秘密鍵）を持つ受け取る人だけです。これで、鍵を先に渡す必要がなくなりました。

たとえの限界：本物の公開鍵暗号は、物理的な錠前ではなく数学の問題の難しさに頼っています。たとえば、2つの大きな素数を掛け合わせるのは簡単でも、掛けた結果から元の素数を探す（素因数分解）のは非常に難しい、と信じられています。この「難しいはずだ」という予想が崩れると、錠前は役に立たなくなります。量子コンピュータは、この種の問題を速く解けることが知られており（Shor のアルゴリズム）、これが量子計算機に強い暗号（PQC）が必要とされる理由です。詳しくは本シリーズ「耐量子計算機暗号」編で扱います。

(4) 鍵を使うときの2つの流儀：ワンタイムパッドと、速い暗号

Shannon は1949年に、「メッセージと同じ長さの完全にランダムな鍵を、1回だけ使えば、暗号は原理的に破れない（ワンタイムパッド）」ことを示しました［参考資料9］。ただし、これは通信する量と同じ量の鍵が必要です。一方、AES のような共通鍵暗号は、短い鍵（たとえば数百ビット）で大量のデータを守れますが、安全性は「この暗号は破られにくい」という計算上の根拠に頼ります。QKD の鍵は、ワンタイムパッドと組み合わせる使い方と、高速な暗号装置に渡して短い周期で鍵を更新する使い方が考えられます［参考資料2］。

3. 光の矢印 ― 量子鍵配送に必要な3つの性質

QKD は、光を1個ずつ（光子）使います。光子の状態を、本シリーズ共通の「矢印」で表します。球の中心から表面に向かう矢印を想像してください。北を向く矢印を「0」、南を向く矢印を「1」と決めます。東を向く矢印は、北と南の中間（重ね合わせ）にあたります。

BB84 では、この矢印を4種類使います。北と南を「測り方A」の2つ、東と西を「測り方B」の2つと呼びます（専門用語では、測り方を「基底」と言います）。東を「0」、西を「1」と決めます。

図4の3つの規則が、QKD の安全の土台です。

• ①合う測り方なら確実、違えば五分五分：測る側が「北か南か」を聞くとき、北か南の矢印なら正しく答えが出ます。東か西の矢印だと、答えは北か南のどちらかにランダムに決まります（確率は矢印の傾きで決まり、真横の東西なら半々）。
• ②測ると矢印が変わる：測定の後、矢印は測った結果の向きになり、元の向きは戻りません。
• ③複製できない：未知の量子状態を、元を壊さずにそっくりコピーすることは、原理的にできません（量子の複製不可能性。Wootters と Zurek、1982年）［参考資料4］。

もっと詳しく：光子で矢印をどう作るか

実際の装置では、光の偏光（光が振動する向き）の4つの向きを、矢印の4つの向きに対応させるものや、光が到着する時刻・位相の違いを使うものがあります。これらは、矢印のたとえと同じ数学で扱えます。1個の光子を本当に「1個」だけ出す装置は作りにくく、実際には、とても弱いレーザー光を使うことが多いことを、第7章で扱います［参考資料2］。

4. BB84 の流れを図で追う

BB84 は、Bennett と Brassard が1984年に提案した、最初の QKD の方式です［参考資料1］。その名は、二人の名前と年から来ています。登場人物は慣例で、送る人を Alice、受ける人を Bob、盗聴者を Eve と呼びます。

小さな例で追ってみる

Alice が光を12個送る場合を、本稿の模擬計算で追います（A＝北南、B＝東西。Alice のビットが 0/1 のとき、A なら北/南、B なら東/西の矢印を送る）。Bob が、自分で選んだ測り方で測った結果が右の列です。測り方が合わなかった行（残す＝×）の Bob の結果は、ランダムなので当てになりません。

本稿の計算。Python の乱数（種4）による模擬。盗聴者がいない場合。残った6個のビット「011001」が、Alice と Bob の共通の鍵の種になります（この小さな例では、続く誤り訂正・圧縮は省略）。

ポイントは、③の突き合わせで公開するのは「どの測り方を使ったか」だけで、ビットの値そのものは公開しないことです。盗聴者が測り方の一覧を知っても、ビットの値は分かりません（Alice が A で送ったのか B で送ったのかは、Bob が測る前は盗聴者も知らない）。

もっと詳しく：もつれを使う別の方式（E91）

Ekert は1991年に、BB84 とは別に、もつれた2つの光子の対を使う方式を提案しました［参考資料6］。送る側が矢印を選んで送るのではなく、もつれた対の片方ずつを Alice と Bob が受け取って測ります。もつれは、2つの量子ビットが「1つのまとまり」として振る舞う性質です（片方だけでは状態が書けない）。このような方式は、第8章の衛星の実験や、次の記事「量子ネットワークと量子中継」とつながります。

5. 盗聴されると何が起きるか

第3章の3つの規則を使って、盗聴者 Eve が何をできるかを考えます。もっとも単純な盗聴は「傍受再送」です。Eve は光を途中で横取りして、自分で測り、測った結果どおりの矢印を作って Bob に送り直します［参考資料2］。Eve は、Alice が使った測り方（A か B か）を知りません。そこで、ランダムに A か B を選んで測るしかありません。

すべての光に傍受再送をすると、測り方が合って残ったビットの25%が食い違う［参考資料2］。本稿の計算（上の確率の掛け算）。

第4章の12個の例で、Eve が全部の光に傍受再送をした場合を、同じ模擬で見てみます。

本稿の計算。模擬（種2、全ての光に傍受再送）。6個だけの小さな例なので、2/6（約33%）と25%はずれます。大量に試すと25%に近づきます（次の表）。

本稿の計算。理論値は、傍受再送を割合 p の光にだけ行うと誤り率は Q＝p/4 になる、という Scarani らの記述に基づく［参考資料2］。模擬は Python（種7）で、各行に約10万個のビットが残った。

「誤り」は、盗聴か雑音かを区別できない

実際の装置では、盗聴者がいなくても、光学部品の不完全さや検出器の雑音で、数%の誤りが出ます。誤りが盗聴によるのか、雑音によるのかは、区別できません。そこで安全性の評価では、「測った誤り率は、盗聴者が得た情報の量の上限を決める」と考えます。誤り率が高いほど、盗聴者が知っているかもしれない情報が多いと見積もり、その分を後の「圧縮」で消します（第6章）。誤り率が限界を超えたら、その鍵は捨てます。理想的な条件（光が1個ずつ出る装置・無限に長い鍵・片方向の後処理）での BB84 の限界は、誤り率およそ11%と計算されています［参考資料2・5］。

6. 鍵ができたあと ― 誤り訂正・圧縮・認証

第4章の③で残ったビット列（「生の鍵」）は、まだ鍵として使えません。Alice と Bob のビットに少し食い違いがあり、盗聴者も一部を知っているかもしれないからです。そこで、公開の通信路で、次の3つの後処理を行います（図5の④〜⑦）。

• 誤り訂正：食い違いを直します。たとえば、ビット列を小さなブロックに分けて、各ブロックの「1の個数が偶数か奇数か」だけを公開して比べ、食い違うブロックを絞り込んで誤りの位置を見つけます（具体的な手法の一例。本記事による解説）。公開した情報は盗聴者にも伝わるので、その分だけ後で鍵を短くします。
• 秘密の圧縮（プライバシー増幅）：長い列を、決まった手順で「混ぜて」短い列にします。元の列の一部を盗聴者が知っていても、混ぜて短くした列については、ほとんど何も知らない状態にできます。Scarani らは、現在証明できる方法は「2-universal ハッシュ関数」を使うものだとまとめています［参考資料2］。
• 認証：③〜⑥の公開の通信が、途中で書き換えられていないこと、相手が本物であることを確かめます（次に説明します）。

最終的な鍵の長さが、元の何割になるかを、理想的な場合の式で見てみます。単一の光子を使う理想的な BB84 では、鍵になる割合は、およそ 1 − 2h(Q) と書かれます［参考資料2］。ここで Q は誤り率、h(Q) は「誤りの不確かさ」を表す関数（2値エントロピー）です。h(Q) の値は、Q が1%で約0.081、5%で約0.286、11%で約0.5です。

本稿の計算。式 1 − 2h(Q) は、単一光子・理想的な装置・無限に長い鍵の場合の目安［参考資料2］。実際の装置（弱いレーザー光、有限の長さの鍵）では、これより小さくなります。誤り率が11%に近づくと、鍵に残る割合は急に0へ向かいます。

認証 ― QKD だけでは「相手が本物か」を確かめられない

QKD の理論は、Alice と Bob が「改ざんされない、認証された公開の通信路」でつながっていることを前提にしています［参考資料2］。もし通信路が認証されていなければ、Eve が Alice になりすまして Bob と鍵を作り、Bob になりすまして Alice と鍵を作る、ということができてしまいます（「中間者」）。そのため、QKD は、認証を提供せず、認証には別の仕組みが要ることが、NSA・英国 NCSC のいずれからも指摘されています［参考資料29・30］。

認証の方法は2つあります。NCSC によれば、①耐量子計算機暗号（PQC）で認証する方法と、②あらかじめ共有した秘密の鍵（事前共有鍵）で認証する方法です［参考資料30］。②は、事前に共有した短い鍵を使う、情報理論的に安全な認証の方式が知られており（Wegman と Carter、1981年）［参考資料10］、QKD で新しくできた鍵の一部を、次回の認証に回します。ただし NCSC は、②は管理して使う範囲を広げにくく、一般的な用途には向かないとしています［参考資料30］。

7. 実装の限界 ― 距離・速度・装置の穴

ここまでは、理想的な装置を前提にしてきました。実際に作るときには、3つの壁があります。

(1) 距離の壁 ― 光はファイバーの中で指数的に減る

光ファイバーの中で光は少しずつ吸収・散乱で失われます。損失を1 kmあたり0.2 dB（説明用の例。現在の低損失ファイバーの記録は本シリーズ「光ファイバー」編を参照）とすると、100 kmで光の1%、200 kmで1万分の1、300 kmで100万分の1しか届きません。量子の状態は、普通の信号のように途中で増幅して再生することができません（複製不可能性のため）。ここが、普通の光通信との大きな違いです。

では、光が届く割合 η のとき、鍵はどれだけ作れるのでしょうか。Pirandola らは、量子中継器を使わない（2点間だけの）方式の鍵の出方の、原理的な上限を求めました。損失が大きいとき、光パルス1個あたり約 1.44 × η ビットが上限です［参考資料11］。実際の装置は、検出器の効率や雑音のため、この上限よりずっと低い値になります。

本稿の計算。上限は −log₂(1 − η)（損失が大きいとき約 1.44η）［参考資料11］。損失0.2 dB/km、毎秒10億パルス（1 GHz）は説明用の仮定です。検出器の効率・雑音は考慮していない、理想的な上限です。中継器を使わない方式の「壁」の高さの目安であり、実際に出る鍵の量ではありません。

この壁の外へ出るには、量子中継器（次の記事で扱う）のほか、第8章の「信頼中継」「衛星」「ツインフィールド方式」といった工夫が使われます。

(2) 速度の壁 ― 遠くなるほど、鍵は「1時間に1ビット」の世界へ

距離とともに、鍵の出る速さは急に下がります。Lucamarini らの論文は、先行する実験の例として、標準的な光ファイバー50 kmで毎秒126万ビット、超低損失ファイバー404 km（測定器に依存しない方式）で1時間に1.16ビットを挙げています［参考資料12］。同じ「QKD」でも、距離で桁違いに違います。Boaron らは、毎秒2.5 GHzの繰り返しで、405 kmで毎秒6.5ビット、最大421 kmの鍵生成を報告しました［参考資料19］（第8章の表）。

なぜ速さが問題かというと、第2章(4)の使い方によって、必要な鍵の量が違うからです。ワンタイムパッドでは通信量と同じ量の鍵が要り、毎秒数ビットではほとんど何も送れません。一方、短い鍵を頻繁に更新する共通鍵暗号の使い方なら、毎秒数ビット〜数千ビットでも役に立つ場面があります（本記事による解説）。

(3) 装置の穴 ― 理論の「理想」と、実際の装置のずれ

3つ目の壁が、もっとも本質的です。安全性の証明は、装置が理論どおりに動くことを前提にしています。実際の装置が、理論の前提からずれると、そのずれが「穴」になります。

• 光源の穴：理論は「光子がちょうど1個」を想定しますが、実際は弱いレーザー光を使うことが多く、1パルスに光子が2個以上含まれることがあります。複数の光子が含まれると、盗聴者が余った光子を取り出す余地が生まれます（光子数分離攻撃）。これへの対策がデコイ状態法で、強さの違う光を混ぜて送り、盗聴者の働きを見破ります。Hwang と Lo らが提案しました［参考資料14］。デコイを使うと、鍵の出方は損失 t に比例（t¹）で済み、使わないと t² に比例して急に悪くなる、と整理されています［参考資料2］。
• 検出器の穴：光を受ける検出器は、想定外の入力に対して、想定外の動作をすることがあります。Lydersen らは2010年に、市販の2種類の QKD 装置の検出器が、特別に調整した強い光で外部から制御できることを実験で示し、鍵が気づかれずに盗まれうると報告しました［参考資料13］。これは、見つかった穴が装置の実装にあり、理論には問題がなかった例です。その後、穴をふさぐ対策（装置の変更や、後述の方式）が研究されてきました。

穴をふさぐ方法には、段階があります。

各方式の位置づけは Xu らのレビューに整理されている［参考資料16］。事実

DIQKD の実験の規模：Nadlinger らは、トラップイオン2個の光ファイバーによるもつれから、8時間で150万個のベル対を作り、95,628ビットの鍵を得たと報告しています［参考資料17］。Zhang らは、建物間400 mにある2個のルビジウム原子を使い、漸近の場合でもつれ生成1回あたり0.07ビットの鍵の出方を報告しました［参考資料18］。量子ビット1個1個を扱う実験室の実証で、通信網で使える速度・距離ではありません。2026年には、Liu らが、トラップイオンのメモリを使い、ファイバー10 km（有限長の解析つき）で、また漸近の場合は101 kmで正の鍵率となる、デバイス非依存 QKD の原理実証を報告しました。著者は、両方の距離が従来の報告を2桁以上上回る、としています［参考資料44］（要旨のみ確認。次の記事「量子ネットワークと量子中継」で扱う量子中継器の部品の研究の一部です）。

8. 距離の壁を越える試み ― 信頼中継・衛星・ツインフィールド

第7章の壁を越えるために、3つの工夫が試されています。

元のSVG・数値・出典を確認する

元SVGの説明：概念図（ベクター作図）。距離を延ばす3つの道。実験や運用の例は、下の表を参照。

• 信頼中継（トラステッドノード）：区間ごとに QKD で鍵を作り、中継所でいったん鍵を受け渡して、端から端へ鍵を届けます。QKD ネットワークでは、しばしばこの形が使われます。ただし、中継所が盗聴者に乗っ取られると鍵が漏れます。Yin らは、中継はセキュリティ上のリスクを持つ、と明記しており［参考資料23］、NSA も、信頼中継は費用と内部者による脅威を増やす、としています［参考資料29］。日本では、東京の QKD ネットワークで行われた現場試験の報告があります（Sasaki ら）［参考資料25］。
• 衛星：宇宙空間は光の損失がごく小さいので、衛星で光を地上に降ろします。中国の「墨子号」の実験が、2017年以降、衛星から地上へ最大1,200 kmの鍵生成［参考資料22］、衛星から2つの地上局へもつれ光子を送って1,120 km離れた地上局どうしで鍵を作る実験［参考資料23］、地上のファイバー網と衛星の統合ネットワークの実験［参考資料24］を報告しています。
• ツインフィールド方式（TF-QKD）：両端から弱い光を中央の測定所に送って干渉させる方式で、鍵の出方が距離に対して、η ではなく √η の傾向で減ります。Lucamarini らが2018年に提案し、「量子中継器を使わずに、2点間の限界を超えうる」としました［参考資料12］。中央の測定所が誰に制御されていても安全性が保たれる、という点も特徴です［参考資料12］。

主な実験を、何の値かを添えて並べます。方式も条件も違うので、鍵の量の大小で優劣はつけられません。

事実。値はいずれも論文の要旨に基づく報告値。方式・距離・条件（漸近か有限か、パルスあたりか毎秒か）が違うため、表の数値どうしで優劣はつけられません。

9. 標準と各国機関の見方

QKD には、技術の標準と、各国の安全保障機関の見解の2種類の「ものさし」があります。混同しないようにしましょう。標準は、装置やネットワークの作り方・つなぎ方・試験の仕方を定めるもの、機関の見解は、国の重要な情報の守りに QKD を使うべきかについての判断です。

(1) 技術の標準（確認日 2026年10月16日）

• ITU-T（国際電気通信連合の標準化部門）：QKD ネットワークの勧告が連番で整備されています。Y.3800（全体の概観、2019年10月）、Y.3801（機能要件）、Y.3802（機能アーキテクチャ）、Y.3803（鍵管理）、Y.3804（制御と管理。2025年4月版が有効）、X.1710（QKD ネットワークのセキュリティの枠組み）、X.1711（QKD ネットワークでの QKD プロトコルの枠組み、2026年3月）。いずれも「有効（in force）」と表示されています［参考資料32・33・34・35・36・37・45］。
• ETSI（欧州電気通信標準化機構）：QKD の産業仕様グループが、仕様（GS）と報告書（GR）を出しています。たとえば GS QKD 014（アプリケーションが QKD 網から鍵を受け取る REST の API、2019年2月）［参考資料39］、GS QKD 011（光部品の特性の測り方、2016年5月）［参考資料40］、GS QKD 008（QKD モジュールのセキュリティ仕様、2010年12月）［参考資料41］、GS QKD 016（Common Criteria の保護プロファイル、V2.1.1、2024年1月）、GR QKD 007（用語集、V1.2.1、2026年1月）、GS QKD 020（相互運用できる鍵管理システムの REST API、V1.1.1、2026年6月）［参考資料38］。
• ISO/IEC：ISO/IEC 23837-1:2023（QKD のセキュリティ要件・試験・評価方法 第1部：要件。2023年8月）と、同-2:2023（第2部：評価と試験の方法。2023年9月）。Common Criteria（ISO/IEC 15408 シリーズ）を使った QKD の安全評価の枠組みを定めています［参考資料42・43］。本文は有料のため、題名と要旨の確認にとどめています。なお、ISO/IEC の量子技術の合同委員会（IEC/ISO JTC 3）は、適用範囲に量子通信を含み、作業部会に WG 16「量子通信」を置いています（確認日 2026年10月16日）［参考資料46］。

標準は、推奨や仕様であって、「これに適合すれば安全」という保証ではありません。たとえば GS QKD 014 は、鍵を受け取るインターフェースの規格で、鍵の作り方の安全性そのものは対象外です（規格の適用範囲に「QKD ネットワークがどう鍵を共有するかは範囲外」と記載）［参考資料39］。

(2) 各国機関の見解

事実。各機関の見解は、主に政府・軍・国の重要な通信の守りについての判断で、研究や、他の用途での QKD の価値を否定するものではありません。EuroQCI は、導入の立場の計画で、機関の見解とは目的が違います（本記事による解説）。

10. QKD と PQC の違いと使い分け

QKD と PQC は、どちらも「量子コンピュータが来ても、鍵を安全に共有する」ことを目指しますが、守り方が違います。

事実／本稿の計算（整理）。PQC の欄は、次の記事「耐量子計算機暗号」編で、一次情報とともに詳しく確認します。

QKD 以外の「量子通信」

量子通信という言葉は、QKD より広く使われます。NCSC は、「量子ネットワーク」と呼ばれるものを3つに分けています：①古典的な安全機能を量子技術で置き換えるもの（QKD はこの例）、②古典のネットワークに量子部品でしかできない機能を加えるもの（量子センサーのネットワークなど）、③もつれた量子状態を量子機器の間に配る、本来の意味の量子ネットワークです［参考資料30］。また、量子の予測不可能さを使う量子乱数発生器（QRNG）も、鍵を作る材料になる乱数の源として研究されています［参考資料30］。③は、遠く離れた量子コンピュータどうしをつなぐ将来の基盤にもなりえます。次の記事「量子ネットワークと量子中継」で扱います。

11. 評価・標準の読み方

QKD の「進み具合」は、①鍵がどれだけ速く・どこまで出るか（鍵生成率と距離）、②理論上の安全性（安全性証明の仮定）、③実装の安全性（装置の穴の検証）、④ネットワークとしての運用、の4つの「ものさし」で測られます。①は、実験の数値で報告されますが、距離・方式・「漸近か有限か」「パルスあたりか毎秒か」の条件が数値ごとに違います。②は、仮定がなにかで意味が変わります。③は、標準や評価制度（Common Criteria など）で扱われ始めています。確認日は2026年10月16日です。

表の整理は本稿の計算（整理）。番号・題名・状態は ITU-T・ETSI・ISO の公式ページで確認（確認日 2026年10月16日）。

読み方の注意（素材技術者向け）

• 「物理法則で安全」と「この装置が安全」は別です：前者は理論の話、後者は装置の検証の話です。装置を作る側（光源・検出器・ファイバー）の材料の品質が、後者を決めます（第7章）。
• 鍵の「量」の数字は、条件を揃えて読む：「1000 km で成功」「毎秒数ビット」「1パルスあたり10⁻¹¹」は、別の量です（第8章の表）。
• 標準と機関の見解は、拘束力が違います：ITU-T・ETSI・ISO/IEC の規格は、一般に、法令や契約で引用されて初めて拘束力を持つ位置づけです（本記事による解説）。機関の見解は、その国の政府調達や運用の方針に関わりますが、他の組織を直接拘束するとは限りません。
• 計画と達成を分ける：EuroQCI など、整備中・計画中のネットワークは、「未確定／将来」として読みます。

12. 用語集

13. 参考資料（一次情報）

1. Bennett C. H., Brassard G. "Quantum cryptography: Public key distribution and coin tossing", Theor. Comput. Sci. 560, 7–11 (2014), DOI 10.1016/j.tcs.2014.05.025 (reprint of the 1984 conference paper; arXiv:2003.06557) — doi.org/10.1016/j.tcs.2014.05.025
2. Scarani V. et al. "The security of practical quantum key distribution", Rev. Mod. Phys. 81, 1301–1350 (2009), DOI 10.1103/RevModPhys.81.1301 (arXiv:0802.4155) — doi.org/10.1103/RevModPhys.81.1301
3. Gisin N., Ribordy G., Tittel W., Zbinden H. "Quantum cryptography", Rev. Mod. Phys. 74, 145–195 (2002), DOI 10.1103/RevModPhys.74.145 — doi.org/10.1103/RevModPhys.74.145
4. Wootters W. K., Zurek W. H. "A single quantum cannot be cloned", Nature 299, 802–803 (1982), DOI 10.1038/299802a0 — doi.org/10.1038/299802a0
5. Shor P. W., Preskill J. "Simple Proof of Security of the BB84 Quantum Key Distribution Protocol", Phys. Rev. Lett. 85, 441–444 (2000), DOI 10.1103/PhysRevLett.85.441 — doi.org/10.1103/PhysRevLett.85.441
6. Ekert A. K. "Quantum cryptography based on Bell's theorem", Phys. Rev. Lett. 67, 661–663 (1991), DOI 10.1103/PhysRevLett.67.661 — doi.org/10.1103/PhysRevLett.67.661
7. Diffie W., Hellman M. "New directions in cryptography", IEEE Trans. Inf. Theory 22, 644–654 (1976), DOI 10.1109/TIT.1976.1055638 — doi.org/10.1109/TIT.1976.1055638
8. Rivest R. L., Shamir A., Adleman L. "A method for obtaining digital signatures and public-key cryptosystems", Commun. ACM 21, 120–126 (1978), DOI 10.1145/359340.359342 — doi.org/10.1145/359340.359342
9. Shannon C. E. "Communication Theory of Secrecy Systems", Bell Syst. Tech. J. 28, 656–715 (1949), DOI 10.1002/j.1538-7305.1949.tb00928.x — doi.org/10.1002/j.1538-7305.1949.tb00928.x
10. Wegman M. N., Carter J. L. "New hash functions and their use in authentication and set equality", J. Comput. Syst. Sci. 22, 265–279 (1981), DOI 10.1016/0022-0000(81)90033-7 — doi.org/10.1016/0022-0000(81)90033-7
11. Pirandola S., Laurenza R., Ottaviani C., Banchi L. "Fundamental limits of repeaterless quantum communications", Nat. Commun. 8, 15043 (2017), DOI 10.1038/ncomms15043 — nature.com/articles/ncomms15043
12. Lucamarini M., Yuan Z. L., Dynes J. F., Shields A. J. "Overcoming the rate–distance limit of quantum key distribution without quantum repeaters", Nature 557, 400–403 (2018), DOI 10.1038/s41586-018-0066-6 — nature.com/articles/s41586-018-0066-6
13. Lydersen L. et al. "Hacking commercial quantum cryptography systems by tailored bright illumination", Nat. Photon. 4, 686–689 (2010), DOI 10.1038/nphoton.2010.214 — nature.com/articles/nphoton.2010.214
14. Lo H.-K., Ma X., Chen K. "Decoy State Quantum Key Distribution", Phys. Rev. Lett. 94, 230504 (2005), DOI 10.1103/PhysRevLett.94.230504 (see also Hwang W.-Y., Phys. Rev. Lett. 91, 057901 (2003), DOI 10.1103/PhysRevLett.91.057901) — doi.org/10.1103/PhysRevLett.94.230504
15. Lo H.-K., Curty M., Qi B. "Measurement-Device-Independent Quantum Key Distribution", Phys. Rev. Lett. 108, 130503 (2012), DOI 10.1103/PhysRevLett.108.130503 — doi.org/10.1103/PhysRevLett.108.130503
16. Xu F., Ma X., Zhang Q., Lo H.-K., Pan J.-W. "Secure quantum key distribution with realistic devices", Rev. Mod. Phys. 92, 025002 (2020), DOI 10.1103/RevModPhys.92.025002 — doi.org/10.1103/RevModPhys.92.025002
17. Nadlinger D. P. et al. "Experimental quantum key distribution certified by Bell's theorem", Nature 607, 682–686 (2022), DOI 10.1038/s41586-022-04941-5 — nature.com/articles/s41586-022-04941-5
18. Zhang W. et al. "A device-independent quantum key distribution system for distant users", Nature 607, 687–691 (2022), DOI 10.1038/s41586-022-04891-y — nature.com/articles/s41586-022-04891-y
19. Boaron A. et al. "Secure Quantum Key Distribution over 421 km of Optical Fiber", Phys. Rev. Lett. 121, 190502 (2018), DOI 10.1103/PhysRevLett.121.190502 — doi.org/10.1103/PhysRevLett.121.190502
20. Chen J.-P. et al. "Sending-or-Not-Sending with Independent Lasers: Secure Twin-Field Quantum Key Distribution over 509 km", Phys. Rev. Lett. 124, 070501 (2020), DOI 10.1103/PhysRevLett.124.070501 — doi.org/10.1103/PhysRevLett.124.070501
21. Liu Y. et al. "Experimental Twin-Field Quantum Key Distribution over 1000 km Fiber Distance", Phys. Rev. Lett. 130, 210801 (2023), DOI 10.1103/PhysRevLett.130.210801 — doi.org/10.1103/PhysRevLett.130.210801
22. Liao S.-K. et al. "Satellite-to-ground quantum key distribution", Nature 549, 43–47 (2017), DOI 10.1038/nature23655 — nature.com/articles/nature23655
23. Yin J. et al. "Entanglement-based secure quantum cryptography over 1,120 kilometres", Nature 582, 501–505 (2020), DOI 10.1038/s41586-020-2401-y — nature.com/articles/s41586-020-2401-y
24. Chen Y.-A. et al. "An integrated space-to-ground quantum communication network over 4,600 kilometres", Nature 589, 214–219 (2021), DOI 10.1038/s41586-020-03093-8 — nature.com/articles/s41586-020-03093-8
25. Sasaki M. et al. "Field test of quantum key distribution in the Tokyo QKD Network", Opt. Express 19, 10387–10409 (2011), DOI 10.1364/OE.19.010387 — doi.org/10.1364/OE.19.010387
26. Hadfield R. H. "Single-photon detectors for optical quantum information applications", Nat. Photon. 3, 696–705 (2009), DOI 10.1038/nphoton.2009.230 — doi.org/10.1038/nphoton.2009.230
27. Marsili F. et al. "Detecting single infrared photons with 93% system efficiency", Nat. Photon. 7, 210–214 (2013), DOI 10.1038/nphoton.2013.13 (arXiv:1209.5774) — arxiv.org/abs/1209.5774
28. Reddy D. V., Nerem R. R., Nam S. W., Mirin R. P., Verma V. B. "Superconducting nanowire single-photon detectors with 98% system detection efficiency at 1550 nm", Optica 7, 1649–1653 (2020), DOI 10.1364/OPTICA.400751 — doi.org/10.1364/OPTICA.400751
29. NSA (National Security Agency) "Quantum Key Distribution (QKD) and Quantum Cryptography (QC)"（ウェブページ。2026年10月16日時点で、公式ページには本稿の環境から接続できず、同じURLのインターネットアーカイブの保存版の本文を読んだ） — nsa.gov/Cybersecurity/Quantum-Key-Distribution-QKD-and-Quantum-Cryptography-QC/
30. NCSC (UK National Cyber Security Centre) "Quantum networking technologies"（ホワイトペーパー、版1.0、2025年8月5日公開） — ncsc.gov.uk/whitepaper/quantum-security-technologies
31. ANSSI, BSI, NLNCSA, Swedish NCSA "Position Paper on Quantum Key Distribution"（ANSSI のページ、2024年1月25日公開） — cyber.gouv.fr/en/publications/jointly-led-international-publications/position-pa
32. ITU-T 勧告 Y.3800（2019年10月）"Overview on networks supporting quantum key distribution"（状態：有効） — itu.int/rec/T-REC-Y.3800/en
33. ITU-T 勧告 Y.3801（2020年4月）"Functional requirements for quantum key distribution networks"（状態：有効） — itu.int/rec/T-REC-Y.3801/en
34. ITU-T 勧告 Y.3802（2020年12月）"Quantum key distribution networks – Functional architecture"（状態：有効。2023年11月に追補1） — itu.int/rec/T-REC-Y.3802/en
35. ITU-T 勧告 Y.3803（2020年12月）"Quantum key distribution networks – Key management"（状態：有効。2023年11月に追補1） — itu.int/rec/T-REC-Y.3803/en
36. ITU-T 勧告 Y.3804（2025年4月）"Quantum key distribution networks – Control and management"（状態：有効。2020年9月版を置き換え） — itu.int/rec/T-REC-Y.3804/en
37. ITU-T 勧告 X.1710（2020年10月）"Security framework for quantum key distribution networks"（状態：有効） — itu.int/rec/T-REC-X.1710/en
38. ETSI Quantum Key Distribution (QKD) 委員会のページ（ETSI の Group Specification・Group Report の一覧。2026年10月16日確認） — etsi.org/committee/qkd
39. ETSI GS QKD 014 V1.1.1（2019年2月）"Quantum Key Distribution (QKD); Protocol and data format of REST-based key delivery API" — etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_qkd014v010101p.pdf
40. ETSI GS QKD 011 V1.1.1（2016年5月）"Quantum Key Distribution (QKD); Component characterization: characterizing optical components for QKD systems" — etsi.org/deliver/etsi_gs/QKD/001_099/011/01.01.01_60/gs_QKD011v010101p.pdf
41. ETSI GS QKD 008 V1.1.1（2010年12月）"Quantum Key Distribution (QKD); QKD Module Security Specification" — etsi.org/deliver/etsi_gs/QKD/001_099/008/01.01.01_60/gs_qkd008v010101p.pdf
42. ISO/IEC ISO/IEC 23837-1:2023 "Information security — Security requirements, test and evaluation methods for quantum key distribution — Part 1: Requirements"（ISO のページ。2023年8月発行、ISO/IEC JTC 1/SC 27） — iso.org/standard/77097.html
43. ISO/IEC ISO/IEC 23837-2:2023 "… — Part 2: Evaluation and testing methods"（ISO のページ。2023年9月発行） — iso.org/standard/77309.html
44. Liu W.-Z. et al. "Long-lived remote ion–ion entanglement for scalable quantum repeaters", Nature 652, 51 (2026; published online 2 February 2026), DOI 10.1038/s41586-026-10177-4 — nature.com/articles/s41586-026-10177-4
45. ITU-T 勧告 X.1711（2026年3月）"Framework of quantum key distribution (QKD) protocols in QKD networks"（状態：有効。2026年10月16日確認） — itu.int/rec/T-REC-X.1711/en
46. IEC/ISO JTC 3 iso.org の委員会ページ "Quantum technologies"（適用範囲に量子通信を含み、作業部会に WG 16 量子通信がある。2026年10月16日確認） — iso.org/committee/10138914.html
47. European Commission "European Quantum Communication Infrastructure - EuroQCI"（Shaping Europe's digital future） — digital-strategy.ec.europa.eu/en/policies/european-quantum-communication-infrast

14. 主張と出典の対応表（監査）

最終更新：2026年10月16日／出典は一次情報（査読論文、ITU-T・ETSI・ISO の公式ページ、NSA・NCSC・ANSSI・欧州委員会の公式ページ）に限定しています。規格の本文は有料または未確認のため、題名・適用範囲の確認にとどめています。NSA の公式ページは本稿の環境から接続できず、インターネットアーカイブの保存版を読みました。数値例は本稿の計算で、実在の装置の測定ではありません。鍵生成率の共通の合格基準を定めた標準、ネットワーク運用の共通ベンチマーク、1002 kmの実験の繰り返し周波数、各規格の要求事項の中身は、確認できなかったため記載していません。図はすべて説明用の概念図または本稿の計算を含む作図で、図1と図10はImageGen生成の概念画像です。本記事は、法的・投資の助言ではなく、攻撃の手順の解説でもありません。