量子鍵配送（QKD）とは？BB84プロトコルと耐量子暗号（PQC）との違い

「量子コンピュータが実用化されると、今の暗号が破られる」という話とセットでよく登場するのが「量子鍵配送（QKD）」です。ただしQKDは、量子コンピュータの計算力とは別物の技術で、むしろ「盗聴を検知できる通信」を実現するための量子力学の応用です。この記事では、QKDの代表的な方式であるBB84プロトコルのしくみ、よく混同される耐量子暗号（PQC）との違い、そして東芝や中国などの実用化事例と限界を、予備知識ゼロからやさしく解説します。

量子鍵配送（QKD）とは何か

QKDが守っているのは「通信データ（暗号文）そのもの」ではなく、「暗号を解くための鍵」です。実際の通信内容は、これまで通り普通の回線で送っても構いません。鍵さえ安全に共有できれば、通信全体の安全性が保証される、という発想がベースにあります。（量子通信全体の位置づけについては量子通信・量子インターネットとは？でも解説しています）

BB84プロトコルの流れ

QKDの元祖であり、いまも代表的な方式であり続けているのが、1984年にBennettとBrassardが考案した「BB84プロトコル」です。

ポイントは、基底が2種類あることです。盗聴者は光子が送られてくる前に「送信者がどちらの基底を使うか」を知ることができません。間違った基底で測定してしまうと量子状態が乱れてしまい、後から正しい基底で測定し直すこともできません（量子複製不可能定理により、状態をこっそりコピーして保存しておくこともできないため）。この「測定すると壊れる」という性質こそが、BB84の安全性の根拠です。

QKDと耐量子暗号（PQC）はどう違うのか

「量子コンピュータ時代の暗号対策」として、QKDとあわせてよく名前が挙がるのが「耐量子暗号（PQC）」です。この2つは目的は似ていますが、しくみはまったく別物です。

世界の実用化事例

QKDは研究段階を終えて、すでにいくつもの実用・商用ネットワークで使われ始めています。

• 東芝：QKD装置の実用化で世界をリードする企業の一つです。2025年には、大容量データ通信とQKDの鍵配送を同一の光ファイバー上で30Tbps超の速度で多重化することに成功したと発表しました。同年12月には米国企業Quantum Corridorと共同で、商用の都市間光ファイバー網を使ったクロスステート（州をまたぐ）QKDの実証にも成功しています。
• 中国：2016年に打ち上げた量子科学実験衛星「墨子号（Micius）」を使い、衛星経由のQKDや大陸を超えた量子暗号通信を実証してきました。地上でも北京・上海間などを結ぶ大規模な量子暗号バックボーン網の整備が進められています。
• その他の国：ヨーロッパではQuantum Internet Allianceを中心に量子ネットワークの実証が、日本ではNICT（情報通信研究機構）が中心となり光ファイバー網でのQKD実証実験が進められています（詳しくは量子通信・量子インターネットとは？を参照）。

限界：距離とコストの壁

QKDには、実用化を難しくしている技術的な壁が主に2つあります。

1つ目は距離の制約です。 光子は光ファイバーを通るあいだに少しずつ失われていくため、地上の光ファイバーによるQKDは、一般に100〜200km程度が実用的な限界とされています。今の光通信のように信号を「増幅」して伝送距離を伸ばすことができません。なぜなら量子ビットは複製できないからです（量子複製不可能定理）。これを解決する「量子中継器」の実用化にはまだ時間がかかると見られており、衛星を使った自由空間でのQKDが長距離化の有力な選択肢の一つとなっています。

2つ目はコストです。 QKD装置は光子を精密に検出・制御する専用のハードウェアが必要で、既存の通信機器に比べて高価です。また、既存の光ファイバー網に組み込むには専用の波長帯域の確保や機器の追加投資が必要になることも多く、導入コストの高さが普及の壁になっています。

まとめ

• 量子鍵配送（QKD）は、光子の量子力学的な性質を使い、盗聴されたら必ず気づける形で暗号の鍵を共有する技術
• 代表的なBB84プロトコルは、ランダムな基底での符号化・測定・照合・誤り率チェックというステップで鍵を確定する
• QKDと耐量子暗号（PQC）は目的は似ているが仕組みは別物で、多くの国・企業はまずPQCへの移行を優先し、QKDは特定区間での併用が中心
• 東芝や中国の「墨子号」などで実用化・実証が進む一方、伝送距離とコストという2つの壁が普及のハードルになっている

もう少し詳しく（背景）

BB84プロトコルの安全性は、量子複製不可能定理（no-cloning theorem）¹という量子力学の基本ルールに支えられています。盗聴者が光子の状態をこっそり複製して、後からゆっくり解析する、という攻撃が原理的に不可能なのです。もう一つの代表的なQKD方式であるE91プロトコルは、量子もつれを使った相関関係を利用する点でBB84とは異なるアプローチを取りますが、「盗聴があれば検知できる」という結論は共通しています²。

実用システムでは、理想的な単一光子源の代わりに減衰レーザーを使うことが一般的なため、光子数分割攻撃などの現実的な脅威に対応する「デコイ状態プロトコル」の実装が標準的になっています³。QKDの安全性はあくまで「鍵の共有プロセス」に対するものであり、共有した鍵を使った暗号化・復号処理自体の実装や、通信機器のソフトウェアの脆弱性まで守るものではない点にも注意が必要です。

次に読むなら

• 量子通信・量子インターネットとは？ — QKDを含む量子通信全体の位置づけを知りたい方に
• 量子コンピュータと暗号のセキュリティ — 耐量子暗号（PQC）など、ソフトウェア側からのアプローチを詳しく知りたい方に
• 「重ね合わせ」ってなに？ — QKDの安全性を支える量子力学の基本を、さらにやさしく
• 量子コンピュータのよくある誤解10選 — 「暗号が今日にでも破られる」という誤解を正したい方に

Footnotes

1. 量子力学には「未知の量子状態を完璧に複製することはできない」というルールがある。これにより、盗聴者が量子状態をこっそりコピーして知らん顔をする、という攻撃ができなくなる。 ↩

2. Artur Ekertが1991年に提案した方式。量子もつれ状態にある光子ペアを2地点で測定し、その相関関係を利用して鍵を共有する。盗聴があると相関が崩れるため検知できる。 ↩

3. 実用的なQKD装置の多くが採用する手法。強度の異なる「おとり」のパルスを混ぜて送ることで、複数光子を悪用する盗聴（光子数分割攻撃）を検出しやすくする。 ↩