JP2000174747A - 量子暗号装置 - Google Patents

Abstract

(57)【要約】 【課題】 微小周波数変調の印加と検出に基づき微小位
相変調しか必要とせず、光路長の安定化や光子検出器を
必要としない量子暗号装置を提供する。 【解決手段】 送信者２１は多数の光子からなるコヒー
レント光パルスを発生し、乱数表２４のビット値で決定
される波形で光パルスを変調器２３で微小変調し、この
光パルスを量子チャンネル２５を通して受信者３１に送
信し、受信者３１は光パルスを受信し、乱数表２８のビ
ット値で決定される波形で変調器２７で微小変調し、こ
の微小変調された光パルスに残存する変調成分の周波数
分布を測定し、測定結果に基づき古典チャンネルで送受
信側が交信して送受信側で共通でランダムなビット値を
決定し、このビット値のみで共通乱数表を生成し、共通
乱数表の一部を送受信側で古典チャンネルを通して照合
し一致していた場合のみ、共通乱数表の残りの部分を秘
密鍵として登録する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、量子力学の不確定
性原理を利用した量子暗号装置に関し、更に詳しくは、
量子力学的状態を変調した第１の信号を伝える量子チャ
ンネルと古典的状態を変調した第２の信号を伝える古典
チャンネルとを用い、不確定性原理に基づいて盗聴行為
によって第１の信号に発生する攪乱の有無を古典チャン
ネルで監視しながら乱数表を送信側から受信側に伝送
し、前記乱数表を秘密鍵とする量子暗号装置に関する。

【０００２】

【従来の技術】暗号には、盗聴されていることを前提に
その解読が計算量論的に困難であることに安全性の根拠
を置く現代暗号と、量子力学の不確定性原理を利用し盗
聴者の有無をモニタしながら鍵である乱数列を交換する
ことを特徴とする量子暗号がある。

【０００３】現代暗号は送信するメッセージを数字化し
（これを平叙文と呼ぶ）、それに乱数を演算して第三者
にはランダムに見える暗号文にし、第三者の知らない復
号法で受信者が復号するもので、大きく分けて秘密鍵暗
号法と公開鍵暗号法がある。送信者が暗号化に使う乱数
表を暗号鍵、受信者が復号に使う乱数表を復号鍵と呼ぶ
が、秘密鍵暗号法では暗号鍵と復号鍵は同一（秘密鍵と
呼ばれる）であり、送信者と受信者は何らかの安全な方
法、例えば直接会うなど、で事前に秘密鍵を決定してお
く。平叙文と秘密鍵の長さが等しいとき、すなわち一度
使った秘密鍵は必ず捨てるとき（これをone time pad法
と呼ぶが）、この方法は絶対的安全性を有していること
がShannon により証明されている。しかし、メッセージ
に匹敵する長さの秘密鍵をその都度事前に交換すること
の非現実性（それができるならばメッセージそのものを
交換すればよい）の故、one time pad法は実際には使わ
れていない。実用的な秘密鍵暗号法では同じ秘密鍵を繰
り返し使用する。

【０００４】公開鍵暗号法では受信者が公開鍵と秘密鍵
の２つを所有しており、公開鍵を一般に公開する。送信
者は受信者の公開鍵を使って暗号化し送信し、受信者は
秘密鍵を使って復号化する。言うまでもなく、ここでも
公開鍵と秘密鍵を繰り返し使用する。これらの現代暗号
については次に示す文献に詳細に説明されている。

【０００５】［１］太田和夫・黒澤馨・渡辺治著「情報
セキュリティの科学」（講談社ブルーバックス） ［２］今井秀樹著「暗号のおはなし」（日本規格協会） ［３］岡本英司著「暗号理論入門」（共立出版） ［４］池野信一、小山謙二著「現代暗号理論」（電子通
信学会） 現代暗号では暗号文が盗聴されることを前提としてお
り、盗聴されても解読に天文学的時間がかかることに安
全性の根拠を置いている。計算量論的表現を用いれば、
整数の素因数分解がＰ型問題に属していないという仮説
に根拠を置いている。

【０００６】しかし、この仮説は未だ証明されていない
予想に過ぎない。それどころか１９９４年には量子コン
ピューティング法まで計算法を拡張すれば素因数分解が
Ｐ型問題に転化されることが数学的に証明された。これ
については次に示す文献に詳細に説明されている。

【０００７】［５］Peter W.Shor:"Algorithms for qua
ntum computation:Discrete logarithms and factorin
g,"Proceedings of the 35th Annual Symposium on Fou
ndations of Computer Science,edited by S.Goldwasse
r (IEEE Computer Society,Los Alamitos,CA,1994) p.1
24. ［６］西野哲朗「量子コンピュータ」情報処理学会誌第
３６巻４号（1995年 4月）p.337. この量子コンピュータは未だ実用化されていないが、現
代暗号の究極の拠り所が理論上とはいえ崩れ去ったた
め、その安全性が将来保証されなくなることが避けられ
ないと考えられている。

【０００８】量子コンピューティング法を用いてもなお
破ることができない暗号として量子暗号がある。これは
量子力学の不確定性原理に基づき盗聴者のどんな盗聴行
為も必ず何らかの痕跡を量子レベルの信号に残すことを
利用し、盗聴されていないことを確認しながら秘密鍵を
決定する手続きである。すなわち、上述した秘密鍵暗号
方式において送信者と受信者が何らかの安全な方法で事
前に秘密鍵を決定しておく必要があるが、その安全な方
法としては、直接会見を除けば現在のところ量子暗号以
外はない。量子暗号を用いれば恒常的に秘密鍵の交換を
行うことが可能であり、絶対安全が保証されているone
time pad法の使用が可能となる。

【０００９】量子暗号の具体的方法として偏光による４
状態暗号および位相による非直交２状態暗号が従来提案
されている。しかし、これらの従来の提案は実用化に際
し大きな欠点を有している。以下、それぞれの提案と欠
点につき説明する。

【００１０】まず、偏光による４状態暗号とその問題点
について説明する。４状態暗号は最初に考案された量子
暗号であり、詳細は次に示す文献に説明されている。

【００１１】［７］C.H.Bennett and G.Brassard,in Pr
oceedings of IEEE InternationalConference on Compu
ters,Systems and Signal Processing,Bangalore,India
(IEEE,New York,1984) ,p.175. ［８］Ａ．エカート／井元信之訳「量子暗号への招待」
パリティ、vol.7,No.2,p.26(1992). ［９］Ｇ．コリンズ／井元信之訳「量子暗号は史上最強
の暗号」パリティ、vol.8,No.5,p.31(1993). この従来の４状態暗号は、図３に示すように、送信者１
と受信者２は１ビットにつき光子を１つだけ含む光パル
ス３を送る量子チャンネル４と送信および受信状況を確
認し合う古典的チャンネル５を使う。量子チャンネル４
は通常光ファイバであり、古典的チャンネル５は無線や
電話等である。古典的チャンネル５は盗聴されているこ
とを前提とするが、改竄はされないと仮定する。このこ
とを明確にするため、以下本明細書では古典的チャンネ
ルを公開チャンネルと呼ぶ。また、量子暗号に限らず暗
号理論の前提として、盗聴者は図の伝送路部にアクセス
することはできるが、送信側および受信側にはアクセス
できない。送信側ビット“０”および“１”を光パルス
３にコーディングするにあたり、直線偏光と円偏光の２
種類の変数、すなわち２種類のコーディング法を用い
る。例えば、直線偏光コーディングの場合は「水平」を
“０”に、「垂直」を“１”に、円偏光コーディングの
場合は「右回り」を“０”に、「左回り」を“１”に対
応させる。このような取り決めを送信者１と受信者２は
予め（公開チャンネル５で）行っておく。送信者１は二
進法で書かれた乱数表６を用意する。これは受信者２と
共有する秘密鍵７を生成するための元になる乱数表であ
る。秘密鍵７は次に説明するように乱数表６から半分弱
のビットを抽出した部分乱数表となっている。４状態暗
号における送信者１と受信者２のプロトコルは次のよう
になる。

【００１２】ステップ１：送信者１はランダムにコーデ
ィング法を選択し、乱数表６に従って光パルス３の偏光
を変調器８を用いて変調する。例えば、円偏光でコーデ
ィングすることとし、乱数表６の最初の値が“１”なら
ば「左回り」偏光となるように光パルス３の偏光状態を
変える。送信者１には選択したコーディング法は知らせ
ず、光パルス３だけを送る。同様にして引き続くビット
に対して次々と光子を送る。

【００１３】ステップ２：受信者２は受けた光パルス３
が光子を１つしか含まないので、直線偏光と円偏光の両
方を測ることはできない（不確定性原理）。従って、ど
ちらを測るかを決心し、偏光測定器を含む受光器９を用
いて測定する。送信者１が選択したコーディング法と同
じコーディング法と間違ったコーディング法を選ぶ確率
はそれぞれ５０％である。同じだった場合、乱数表６の
値が正しく受信者２に再現されるが、間違った場合は、
そのビットに関する送信者１と受信者２の間の相互情報
量はゼロとなる。

【００１４】ステップ３：光パルスを１つ測定する毎に
（あるいは後でまとめて交信してもよいが）受信者２は
どちらのコーディング法を選択したか、公開チャンネル
５で明らかにする。送信者１はそれを聞き、受信者２の
コーディング選択が正しかったか否かを公開チャンネル
５で伝える。

【００１５】ステップ４：送信者１と受信者２は双方が
同じコーディング法を選択した約半分のビットだけを採
用し、後の半分は捨てる。盗聴がなければ双方に同じ乱
数表が形成されているはずである。

【００１６】ステップ５：送信者１と受信者２は残った
ビットのうち適当な割合で照合ビットを抽出し、それぞ
れの答合わせを（公開チャンネル５で）行う。十分な数
の照合ビットが一致すれば、上記文献に説明されている
ような理由により、１に近い確率で盗聴されていないと
結論づけられる。

【００１７】ステップ６：照合ビットを除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００１８】以上の手順により、盗聴されていないこと
をリアルタイムでモニタしながら秘密鍵を生成して行く
ことができる。万一照合ビットから盗聴を発見した場合
は、盗聴発見期間の交信をすべて無効とし、量子チャン
ネル４をチェックするか、あらためて構築する。実際は
盗聴者が最も恐れるのは盗聴の発覚であり、しかも発覚
の危険を侵しても盗聴遂行できない（盗聴した秘密鍵は
破棄されてしまう）ので、量子暗号に対して盗聴者のな
すべき手段は事実上ない。

【００１９】偏光による４状態暗号の欠点のひとつは、
光ファイバによる伝送においては、直線偏光と円偏光の
計４つの偏光状態を保持することが困難な点である。そ
のため、安定化のために、フィードバックを用いる必要
が生じる。２つ目は、送信者側において、４つの偏光状
態を切り替えるためには、πのオーダの位相差変化（波
長のオーダの光路長変化）を与えなければならない点で
ある。電気光学素子を用いて電気的にこれを行うには、
高い電圧印加ないし大きな相互作用長が必要となるた
め、高速化、小型化には適さない。３つ目は、光子を検
出する検出器を必要とする点である。光ファイバの伝送
損失が小さい波長領域では、量子効率が高く雑音の少な
い光子検出器は利用できない。

【００２０】次に、位相による非直交２状態暗号とその
問題点について説明する。非直交２状態暗号は、直交し
ない２つの量子状態をビット“０”と“１”に対応させ
て送信する方法である。以下は非直交２状態量子暗号の
一例である。詳細は次に示す文献に記載されている。

【００２１】［10］C.H.Benett,Phys.Rev.Lett.68,3121
(1992). ［11］B.Huttncr,N.Imoto,N.Gisin,and T.Mor,Phys.Re
v.A51,1863(1995). ここでは文献［10］で提案された構成を説明のためによ
り簡略化した図４で説明する。送信者１はコヒーレント
光パルス１１を５０％のビームスプリッタ１２で光パル
ス１３と１４に分け、位相変調器１５を用いて光パルス
１３の光位相を乱数表６に従ってビット値が“０”なら
ば０度、ビット値が“１”ならば１８０度と変調し、光
ファイバ１６と１７からなる量子チャンネル４に送る。
以下すべての量子暗号において公開チャンネル５は共通
であるので、本明細書では省略する。受信者２は、５０
％のビームスプリッタ１８で光パルス１３および１４を
干渉させる（実際は文献［10］にも述べられているよう
にビームスプリッタ１２および１８の反射率は５０％で
ある必要はない）。ビームスプリッタ１２からビームス
プリッタ１８までは１つのマッハツェンダー干渉計を構
成する。

【００２２】受信者２は光ファイバ１６と１７の間の位
相差θを適当に調節し、ビームスプリッタ１８において
ビット値“０”のパルスは受光器１９側がダークフリン
ジに、ビット値“１”のパルスは受光器２０側がダーク
フリンジになるようにする。コヒーレント光パルス１１
の強度は、パルスに含まれる平均光子数が１よりずっと
小さい（例えば０．１の）コヒーレント状態の光を用い
る。これは光パルス１１に含まれる光子の数が２以上に
なる確率をできる限り０に近づけるためである。平均光
子数が１よりずっと小さいため、パルス到着時に受光器
１９と２０の何れにも光子がカウントされないケースが
ほとんどとなるので、ほとんどの場合受信者２にとって
ビット値判定不能となる。しかし受光器１９でカウント
された場合はビット値は“１”、受光器２０でカウント
された場合は“０”であると確定的に結論することがで
きる。以上のことから次のようなプロトコルで秘密鍵交
換が可能である。

【００２３】ステップ１：送信者１は乱数表６に従って
光パルス１３の位相を位相変調器１５を用いて変調し送
る。

【００２４】ステップ２：受信者２は受光器１９と２０
で光子のカウンティングを行う。カウントした場合、受
信者２は送信者１が乱数表６から引いたビット値がわか
る。受信者２は受光器１９と２０のどちらでカウントし
たかは言わず、カウントした、あるいはしなかった事実
だけを公開チャンネルで送信者１に告げる。

【００２５】ステップ３：受信者２がカウントしないと
公表したビットは、受信者に伝わっていないので、送信
者１もそのビットを破棄し、カウントがあったビットの
み残す。

【００２６】ステップ４：残ったビット列から適当な割
合で照合ビットを抽出し、それぞれの答合わせを（公開
チャンネル５で）行う。十分な数の照合ビットが一致す
れば、後で述べる理由により１に近い確率で盗聴されて
いないと結論づけられる。

【００２７】ステップ５：照合ビットを除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００２８】このスキームに対し盗聴者に何ができるか
を考える。量子チャンネル４にアクセスして二手に分か
れた光パルスの位相差を測定するためには、受信者と同
様干渉させて光子カウンティングを行う必要がある。た
またまカウンティングに成功すれば、送信者と同じ装置
を用いて送信者が送ったのと同じ並列２パルスを送るこ
とができる。しかしほとんどのパルスで光子がカウント
されないので、その場合は偽のパルスを何も送らない
か、ランダムな位相差を持った偽のパルスを送るしかな
い。前者の場合、伝送レートが本来値から下がり、後者
の場合照合ビットの矛盾を引き起こし、いずれにせよ送
信者と受信者から検知される。

【００２９】位相による非直交２状態暗号では、送信側
と受信側に大きな干渉計が構成されることになる。従っ
て、使用する光の波長よりもかなり短い精度で、光路長
を安定させなければならない。伝送路部では、光路を２
つ使用するかわりに、パルスに時間差をつけることによ
って１つの光路だけを利用することも可能だが、それで
も送信側と受信側では位相差をつけるために光路を２つ
に分けなければならず、その光路差を光の波長よりもか
なり短い精度で安定させなければならない。これらの安
定化のために、フィードバックを用いる必要が生じる。

【００３０】また、送信者側において、ビット値を切り
替えるためにπの位相差変化（波長のオーダの光路長変
化）を与えるため、偏光の場合と同じ欠点が生じる。光
子を検出する検出器を必要とする点も、偏光の場合と同
様である。

【００３１】

【発明が解決しようとする課題】上述したように、従来
の方法では、直線偏光と円偏光の４つの偏光状態を保持
することが困難であり、安定化のためにフィードバック
を必要とし、また送信側において４つの偏光状態を切り
替えるためにπのオーダの位相差変化、すなわち波長の
オーダの光路長変化を与える必要があるとともに、更に
光子検出器を必要とする。また更に、使用する光の波長
よりもかなり短い精度で光路長を安定させる必要がある
という問題がある。

【００３２】すなわち、従来の方法は、光ファイバ使用
時の光路長の安定化、大きな位相差変化、および光子検
出器を必要とするという問題がある。

【００３３】本発明は、上記に鑑みてなされたもので、
その目的とするところは、微小周波数変調の印加と検出
に基づき微小位相変調しか必要とせず、光路長の安定化
や光子検出器を必要としない量子暗号装置を提供するこ
とにある。

【００３４】

【課題を解決するための手段】上記目的を達成するた
め、請求項１記載の本発明は、量子力学的状態を変調し
た第１の信号を伝える量子チャンネルと古典的状態を変
調した第２の信号を伝える古典チャンネルとを用い、不
確定性原理に基づいて盗聴行為によって前記第１の信号
に発生する攪乱の有無を前記古典チャンネルで監視しな
がら、乱数表を送信側から受信側に伝送し、前記乱数表
を秘密鍵とする量子暗号装置であって、前記送信側が、
多数の光子からなるコヒーレント光パルスを発生する光
パルス発生手段と、送信側乱数表の１つまたは複数のビ
ット値に基づいて決定される波形で前記光パルスを微小
変調し、この微小変調された光パルスを前記量子チャン
ネルを通して受信側に送信する変調手段とを有し、前記
受信側が、前記量子チャンネルを通して送信されてくる
前記光パルスを受信し、受信側乱数表の１つまたは複数
のビット値に基づいて決定される波形で微小変調する変
調手段と、この微小変調された光パルスに残存する変調
成分の周波数分布を測定する測定手段とを有し、前記測
定結果に基づき古典チャンネルで受信側と送信側が交信
することにより送信側と受信側で共通でランダムな１つ
または複数のビット値を決定し、この決定されたビット
値のみを使用して共通乱数表を生成し、この共通乱数表
の一部を送信側と受信側が古典チャンネルを通して照合
し、一致していた場合のみ、前記共通乱数表の残りの部
分を秘密鍵として登録することを要旨とする。

【００３５】請求項１記載の本発明にあっては、送信側
が多数の光子からなるコヒーレント光パルスを発生し、
送信側乱数表の１つまたは複数のビット値に基づいて決
定される波形で光パルスを微小変調し、この光パルスを
量子チャンネルを通して受信側に送信し、受信側は光パ
ルスを受信し、受信側乱数表の１つまたは複数のビット
値に基づいて決定される波形で微小変調し、この光パル
スに残存する変調成分の周波数分布を測定し、該測定結
果に基づき古典チャンネルで受信側と送信側が交信して
送信側と受信側で共通でランダムな１つまたは複数のビ
ット値を決定し、この決定したビット値のみを使用して
共通乱数表を生成し、この共通乱数表の一部を送信側と
受信側が古典チャンネルを通して照合し、一致していた
場合のみ、共通乱数表の残りの部分を秘密鍵として登録
するため、必要とされる電圧は小さく、小型化、高速化
に適し、更に高い周波数における変調を選択した場合、
装置構成は非常に単純になり、光路長の波長オーダでの
安定化が必要なくなり、また低い周波数における変調を
選択した場合、光ファイバの損失の小さい波長領域で高
い量子効率をもつ光検出器を利用できる。

【００３６】

【発明の実施の形態】以下、図面を用いて本発明の実施
の形態について説明する。図１は、本発明の一実施形態
に係る量子暗号装置の構成を示す図である。同図におい
て、送信者２１は多数の光子を含むコヒーレント光パル
ス２２を発生し、変調器２３に入射する。変調器２３は
電気光学素子であり、正弦波交流電圧を加えてコヒーレ
ント光パルス２２を微小変調する。正弦波の大きさは、
サイドバンドの大きさが光子１個相当よりも小さくなる
ようにとる。正弦波の周波数は、受信者３１がファブリ
ペロー共振器２９でサイドバンドを分離できるために、
ある程度大きくなければならない（例えば１ＧＨｚ）。
交流信号の位相は、乱数表２４から１ビット取り出し
て、ビット値が０なら０゜、１なら１８０゜とする。

【００３７】上述したように、変調器２３で微小変調さ
れたコヒーレント光パルスは、光ファイバからなる量子
チャンネル２５を通って受信者３１へ送られる。受信者
３１は、変調されたコヒーレント光パルス２６を受け取
り、変調器２７で送信者と同じように、乱数表２４とは
独立の乱数表２８から取り出したビット値に基づいてコ
ヒーレント光パルス２６に変調を加える。再変調された
コヒーレント光パルスは、ファブリペロー共振器２９を
通してサイドバンドのみを取り出し、光子検出器３０で
光子を検出する。

【００３８】ここで、もし送受信者が乱数表から引いた
ビット値が異なっていれば、２つの変調は互いに打ち消
し合うので、サイドバンドの光子は検出されないはずで
ある。従って、受信者３１は光子が検出されたか否かを
公開チャンネル３２を通じて送信者２１に伝え、検出さ
れた時のビット値のみを用いて乱数表を構成すれば、こ
の乱数表は送信者と受信者に共通のものとなる。

【００３９】最後に、盗聴の有無を確認するため、作成
した共通の乱数表から適当な割合で照合ビットを抽出
し、それぞれの答合わせを（公開チャンネル３２で）行
い、十分な数の照合ビットが一致しているかをテストす
る。問題がなければ、照合ビットを除いたビットは送信
者２１と受信者３１しか知らない同一の値を有すること
が保証されているので、それを秘密鍵と決定する。

【００４０】本方式における盗聴に対する安全性は、ビ
ット値に応じて送信側の選ぶ２つの光パルスの量子状態
が、非直交になっていることに因っている。量子力学の
原理によって、この２つの量子状態を見分けようとする
盗聴者のいかなる試みも、通信に誤りを導入するので、
上記のテストによって排除することができる。

【００４１】上述したように、本実施形態では、偏光も
干渉計も用いず、唯一つの光モードのみで送信するた
め、装置構成が非常に簡単になり、光路差の安定化、光
路長の安定化および大きな位相差変化を必要としない。

【００４２】図２は、本発明の他の実施形態に係る量子
暗号装置の構成を示す図である。同図において、送信者
２１は多数の光子を含むコヒーレント光パルス２２を発
生し、位相板３３を用いて、前記コヒーレント光パルス
２２の偏光状態を、斜め４５゜の直線偏光３７と、横直
線偏光３６が、位相差９０゜で加わった楕円偏光にす
る。この光パルスを変調器２３に入射し、縦直線偏光３
８に微小変調を加える。

【００４３】更に詳しくは、上記位相差９０゜というの
は、例えば、横直線偏光３６の振幅成分が一番左端にあ
る時に、斜め４５゜の直線偏光３７の振幅成分がゼロ
（すなわち、図面の中心点）になり、次に横直線偏光３
６の振幅成分がゼロ（すなわち、図面の中心点）にある
時に、斜め４５゜の直線偏光３７の振幅成分が右下端に
なるような状態を示す。このような状態にあるときには
直線偏光３６，３７のベクトル合成したものは楕円状態
で回転することになる。上記コヒーレント光パルス２２
に対して、このような状態を上記位相板３３を用いて作
り出す。

【００４４】次に、この楕円偏光されたコヒーレント光
パルスを変調器２３に入力する。ここでこの楕円状態で
回転しているベクトルを、例えば、図２の３６と３８の
直線偏光に分解して考え、この縦直線偏光３８に対して
微小変調を変調器２３により加える。

【００４５】変調器２３は、電気光学素子であり、複数
の周波数の交流電圧を加えて微小変調する。変調電圧の
大きさは、各サイドバンドの大きさが光子１個相当より
も小さくなるようにとる。周波数は、１／ｆゆらぎに代
表されるようなショット雑音以外の雑音が無視できる程
度に高ければよい（ＭＨｚ程度）。各周波数の交流信号
の位相は、乱数表２４から１ビットずつ引いて、ビット
値が０なら０゜、１なら１８０゜とする。

【００４６】このように微小変調されたコヒーレント光
パルスは、光ファイバからなる量子チャンネル２５を通
って受信者３１に送信される。受信者３１は、変調され
たコヒーレント光パルス４０を受け取り、変調器２７で
送信者と同じように、乱数表２８から引いた複数のビッ
ト値に基づいて前記コヒーレント光パルス４０に変調を
加える。再変調されたコヒーレント光パルスは、偏光子
３４を用いて斜め４５゜の直線偏光３９の成分を取り出
す。この過程で、微小変調は振幅変調に変換されるの
で、光検出器３５を用いて電気信号に変換する。

【００４７】なお、上述した受信側における変調方法に
ついても上記の送信側と同様に、図２の縦直線偏光３８
に対して微小変調を加えることになる。更に、受信側で
は、この再変調されたコヒーレント光パルスを図２で表
すところの斜め４５゜の直線偏光３７と斜め４５゜の直
線偏光３９で合成されたものとして考え、偏光子３４を
用いて斜め４５゜の直線偏光３７の成分を取り除き、斜
め４５゜の直線偏光３９の成分を取り出す。

【００４８】最終的には、この斜め４５゜の直線偏光３
９の成分は微小変調が振幅変調という形で表現されたも
のとなっているため、光検出器３５を用いてこの斜め４
５゜の直線偏光３９の成分は電気信号に変換され、この
変換された電気信号から、各周波数の振幅成分を検出す
ることができる。

【００４９】ある周波数について、送信者と受信者の引
いたビット値が異なっている場合、振幅変調のその周波
数成分は打ち消し合うため、振幅変調のその周波数成分
の期待値はゼロである。送信者と受信者の引いたビット
値が等しい場合、振幅変調のその周波数成分の期待値は
有限の値をとる。実際に測定される値は、この期待値の
まわりにショット雑音に相当するゆらぎを伴うため、期
待値がゼロの場合でも測定値はゼロになるとは限らな
い。従って、あるしきい値を設け、期待値がゼロの場合
（送信者と受信者の引いたビット値が異なっている場
合）を排除する。しきい値を越えた測定結果が得られた
場合、送信者と受信者の引いたビット値が等しいことを
意味するので、受信者はどの周波数でしきい値を越えた
測定結果が得られたかを送信者に公開チャンネル３２を
通じて伝えることにより、送信者と受信者は共通の乱数
表を構成していくことが可能である。

【００５０】最後に、盗聴の有無を確認するため、作成
した共通の乱数表から適当な割合で照合ビット抽出し、
それぞれの答合わせを（公開チャンネル３２で）行い、
十分な数の照合ビットが一致しているかをテストする。
問題がなければ、照合ビットを除いたビットは送信者２
１と受信者３１しか知らない同一の値を有することが保
証されているので、それを秘密鍵と決定する。

【００５１】本方式における盗聴に対する安全性は、各
周波数成分において、ビット値に応じて送信側の選ぶ２
つのサイドバンドの量子状態が、非直交になっているこ
とに因っている。量子力学の原理によって、この２つの
量子状態を見分けようとする盗聴者のいかなる試みも、
通信に誤りを導入するので、上記のテストによって排除
することができる。

【００５２】この実施形態では、光子検出器ではなく、
光強度を電流に変換する光検出器３５を使用している。
これは、通常の光通信用に広く用いられているものであ
るため、技術的にも成熟しており、量子効率が高く帯域
の広いものが容易に得られ、小型化、集積化にも適して
いる。

【００５３】この実施形態においては、送信者と受信者
の引いたビット値が等しい時に、受信者がしきい値を越
える測定値を得る確率は小さい。しかし、１つの光パル
スに多くの周波数を割り当てることができるため、１パ
ルス当たりの秘密鍵生成量は、１に近いオーダにするこ
とができる。

【００５４】更に詳しくは、光子検出器ではなく光検出
器３５を使用していることから、送信者と受信者がそれ
ぞれの乱数表から引いたビット値がたとえ等しかったと
しても、必ずしも受信側でしきい値を越える測定値を得
られるわけではなく、光子検出器を使用した場合に比べ
て、受信側でしきい値を越える測定値を得る確率は小さ
くなる。しかしながら、この実施形態では１つの光パル
スに一度に複数の周波数を多重した形態で微小変調を掛
けることができ、かつ１つの周波数に対して乱数表から
引いた１つのビット値で微小変調することから、一度に
複数のビット値を検出対象とすることで、結果的に１つ
の光パルスに対する秘密鍵の生成確率をより１に近いオ
ーダにすることを可能にしている。

【００５５】なお、上記実施形態では、コヒーレント光
パルス２２を使用しているが、コヒーレント光パルス２
２の代わりに、直交位相スクイーズド光パルスを用いる
ことにより、ショット雑音を低減し、秘密鍵の生成効率
を上げることも可能である。また、上述したように、本
実施形態では、大きな位相差変化を必要としないととも
に、光子検出器も必要としない。

【００５６】

【発明の効果】以上説明したように、本発明によれば、
送信側で多数の光子からなるコヒーレント光パルスを発
生し、乱数表の１つまたは複数のビット値に基づいて決
定される波形で光パルスを微小変調し、受信側は光パル
スを受信し、乱数表の１つまたは複数のビット値に基づ
いて決定される波形で微小変調し、この光パルスに残存
する変調成分の周波数分布を測定し、測定結果に基づき
古典チャンネルで受信側と送信側が交信して送信側と受
信側で共通でランダムな１つまたは複数のビット値を決
定し、この決定したビット値のみを使用して共通乱数表
を生成し、共通乱数表の一部を送信側と受信側が古典チ
ャンネルを通して照合し、一致していた場合のみ、共通
乱数表の残りの部分を秘密鍵として登録するので、必要
とする電圧は小さく、小型化、高速化に適し、更に高い
周波数における変調を選択した場合、装置構成は非常に
単純になり、光路長の波長オーダでの安定化が必要なく
なり、また低い周波数における変調を選択した場合、光
子検出器を必要とせず、光ファイバの損失の小さい波長
領域で高い量子効率をもつ光検出器を利用できる。すな
わち、本発明では、従来の問題である光路長の安定化、
大きな位相差変化、光子検出器のうち同時に２つを解決
することができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る量子暗号装置の構成
を示す図である。

【図２】本発明の他の実施形態に係る量子暗号装置の構
成を示す図である。

【図３】従来の偏光による４状態暗号を行う構成を示す
図である。

【図４】従来の位相による非直交２状態暗号を行う構成
を示す図である。

【符号の説明】

２１ 送信者 ２２，２６，４０ コヒーレント光パルス ２３，２７ 変調器 ２４，２８ 乱数表 ２５ 量子チャンネル ２９ ファブリペロー共振器 ３０ 光子検出器 ３１ 受信者 ３２ 公開チャンネル ３３ 位相板 ３４ 偏光子 ３５ 光検出器

───────────────────────────────────────────────────── フロントページの続き (72)発明者 清水 薫 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 Ｆターム(参考） 5J104 AA05 AA16 EA02 EA16 NA02 5K002 AA02 AA03 BA02 CA14 DA14

Claims (1)

【特許請求の範囲】
1. 【請求項１】 量子力学的状態を変調した第１の信号を
   伝える量子チャンネルと古典的状態を変調した第２の信
   号を伝える古典チャンネルとを用い、不確定性原理に基
   づいて盗聴行為によって前記第１の信号に発生する攪乱
   の有無を前記古典チャンネルで監視しながら、乱数表を
   送信側から受信側に伝送し、前記乱数表を秘密鍵とする
   量子暗号装置であって、 前記送信側は、 多数の光子からなるコヒーレント光パルスを発生する光
   パルス発生手段と、 送信側乱数表の１つまたは複数のビット値に基づいて決
   定される波形で前記光パルスを微小変調し、この微小変
   調された光パルスを前記量子チャンネルを通して受信側
   に送信する変調手段とを有し、 前記受信側は、 前記量子チャンネルを通して送信されてくる前記光パル
   スを受信し、受信側乱数表の１つまたは複数のビット値
   に基づいて決定される波形で微小変調する変調手段と、 この微小変調された光パルスに残存する変調成分の周波
   数分布を測定する測定手段とを有し、 前記測定結果に基づき古典チャンネルで受信側と送信側
   が交信することにより送信側と受信側で共通でランダム
   な１つまたは複数のビット値を決定し、この決定された
   ビット値のみを使用して共通乱数表を生成し、この共通
   乱数表の一部を送信側と受信側が古典チャンネルを通し
   て照合し、一致していた場合のみ、前記共通乱数表の残
   りの部分を秘密鍵として登録することを特徴とする量子
   暗号装置。