JP2002033730A - 量子ビットコミットメント送信装置及び量子ビットコミットメント受信装置及び量子ビットコミットメント通信システム - Google Patents
量子ビットコミットメント送信装置及び量子ビットコミットメント受信装置及び量子ビットコミットメント通信システムInfo
- Publication number
- JP2002033730A JP2002033730A JP2000217041A JP2000217041A JP2002033730A JP 2002033730 A JP2002033730 A JP 2002033730A JP 2000217041 A JP2000217041 A JP 2000217041A JP 2000217041 A JP2000217041 A JP 2000217041A JP 2002033730 A JP2002033730 A JP 2002033730A
- Authority
- JP
- Japan
- Prior art keywords
- way function
- generator
- quantum
- random number
- qubit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Abstract
(57)【要約】
【課題】 互いに安全なビットコミットメントプロトコ
ルを得る。 【解決手段】 ２つの異なる量子生成器と乱数発生器と
により、コミットするデータを含むデータを量子通信路
と古典通信路とを用いて伝送する構成において、入力数
列から一方向性関数を得る一方向性関数発生手段７，８
と、応答時間を規制する時計６とを備えて、一方向性関
数発生手段の入力数列を乱数発生器５から得て、一方向
性関数発生手段の出力を少なくとも量子生成器９，１０
に与えるようにし、かつ受信先からの受信応答である測
定結果の受付を時計６が指定する時間内に限定した。
ルを得る。 【解決手段】 ２つの異なる量子生成器と乱数発生器と
により、コミットするデータを含むデータを量子通信路
と古典通信路とを用いて伝送する構成において、入力数
列から一方向性関数を得る一方向性関数発生手段７，８
と、応答時間を規制する時計６とを備えて、一方向性関
数発生手段の入力数列を乱数発生器５から得て、一方向
性関数発生手段の出力を少なくとも量子生成器９，１０
に与えるようにし、かつ受信先からの受信応答である測
定結果の受付を時計６が指定する時間内に限定した。
Description
【０００１】
【発明の属する技術分野】この発明は、量子力学に基づ
く不確定性原理を利用した量子暗号プロトコルに関する
ものである。
く不確定性原理を利用した量子暗号プロトコルに関する
ものである。
【０００２】
【従来の技術】量子力学を利用したセキュリティに関す
る量子暗号プロトコルとしては、鍵配送プロトコルの他
に、ビットコミットメントプロトコル、紛失通信プロト
コルが提案されている（岡本龍明、山本博資著「現代暗
号」ｐｐ．２９３−ｐｐ．３０２産業図書１９９８年６
月３０日）。いずれも図１のように量子通信路と古典通
信路の２つの通信路を有している。一般に、紛失通信プ
ロトコルを基にしてあらゆるセキュリティに関する２者
間プロトコルが構成できることが示されており(J. Kili
an, ”Founding Cryptography on Oblivious Transfe
r,” Proc. 20th Annual ACM Symposium on Theory of
Computing, pp.20-pp.31, ACM, Chicago, 1998)、か
つ、ビットコミットメントプロトコルに基づく紛失通信
プロトコルが提案されている(A. Yao, ”Security of q
uantum protocols against coherent measurements,”
Proc. of the 27th Symposium on the theory of Compu
ting, pp.67-pp.75 June 1995)。従って、量子暗号通信
プロトコルとしての紛失通信プロトコル自体の実現、も
しくは、量子暗号通信プロトコルとしてのビットコミッ
トメントプロトコルの実現が求められている。
る量子暗号プロトコルとしては、鍵配送プロトコルの他
に、ビットコミットメントプロトコル、紛失通信プロト
コルが提案されている（岡本龍明、山本博資著「現代暗
号」ｐｐ．２９３−ｐｐ．３０２産業図書１９９８年６
月３０日）。いずれも図１のように量子通信路と古典通
信路の２つの通信路を有している。一般に、紛失通信プ
ロトコルを基にしてあらゆるセキュリティに関する２者
間プロトコルが構成できることが示されており(J. Kili
an, ”Founding Cryptography on Oblivious Transfe
r,” Proc. 20th Annual ACM Symposium on Theory of
Computing, pp.20-pp.31, ACM, Chicago, 1998)、か
つ、ビットコミットメントプロトコルに基づく紛失通信
プロトコルが提案されている(A. Yao, ”Security of q
uantum protocols against coherent measurements,”
Proc. of the 27th Symposium on the theory of Compu
ting, pp.67-pp.75 June 1995)。従って、量子暗号通信
プロトコルとしての紛失通信プロトコル自体の実現、も
しくは、量子暗号通信プロトコルとしてのビットコミッ
トメントプロトコルの実現が求められている。
【０００３】ここで、紛失通信とは、送信者Ａが通信文
ｍを受信者Ｂに送るとき、１／２の確率で受信者Ｂに伝
わるが、それが伝わったかどうかを送信者Ａは一切知る
ことができないような通信である（岡本龍明、山本博資
著「現代暗号」ｐｐ．２２９産業図書１９９８年６月３
０日）。また、ビットコミットメントとは、送信者Ａと
受信者Ｂからなる２者間から構成されるプロトコルで、
以下に述べる２つのフェーズから構成される：コミッ
トメントフェーズ、開示フェーズ。ビットコミット
メントフェーズでは、送信者Ａは０，１のいずれか１ビ
ットｂをコミットするビットとして選択し、その後受信
者Ｂと交信を行う。開示フェーズでは、送信者Ａは受
信者Ｂにｂを送り受信者Ｂと交信を行う。最後に受信者
Ｂは当該コミットであるｂを受理するか拒絶するかを行
う。このプロトコルにおいて以下の２つの条件を満足す
ることが要求される：１つは、コミットメントフェーズ
において、受信者Ｂがｂの値を正しく求められないこ
と。２つは、送信者Ａがコミットメントフェーズを実行
した後の開示フェーズにおいて選択していない方のｂの
値を開示できないこと（岡本龍明、山本博資著「現代暗
号」ｐｐ．１４３産業図書１９９８年６月３０日）。こ
のような性質を満たす従来から提案されている量子ビッ
トコミットメントプロトコルを実現する構成として、図
１１のようなシステムがある。このシステムにおいて、
送信装置は、乱数生成器、互いに共役な量子生成器、古
典通信路送受信装置、データ照合装置からなり、受信装
置は、乱数生成器、送信者の有する２つの量子生成器そ
れぞれに対応した２つの量子測定器、古典通信路送受信
装置、データ照合装置からなる。
ｍを受信者Ｂに送るとき、１／２の確率で受信者Ｂに伝
わるが、それが伝わったかどうかを送信者Ａは一切知る
ことができないような通信である（岡本龍明、山本博資
著「現代暗号」ｐｐ．２２９産業図書１９９８年６月３
０日）。また、ビットコミットメントとは、送信者Ａと
受信者Ｂからなる２者間から構成されるプロトコルで、
以下に述べる２つのフェーズから構成される：コミッ
トメントフェーズ、開示フェーズ。ビットコミット
メントフェーズでは、送信者Ａは０，１のいずれか１ビ
ットｂをコミットするビットとして選択し、その後受信
者Ｂと交信を行う。開示フェーズでは、送信者Ａは受
信者Ｂにｂを送り受信者Ｂと交信を行う。最後に受信者
Ｂは当該コミットであるｂを受理するか拒絶するかを行
う。このプロトコルにおいて以下の２つの条件を満足す
ることが要求される：１つは、コミットメントフェーズ
において、受信者Ｂがｂの値を正しく求められないこ
と。２つは、送信者Ａがコミットメントフェーズを実行
した後の開示フェーズにおいて選択していない方のｂの
値を開示できないこと（岡本龍明、山本博資著「現代暗
号」ｐｐ．１４３産業図書１９９８年６月３０日）。こ
のような性質を満たす従来から提案されている量子ビッ
トコミットメントプロトコルを実現する構成として、図
１１のようなシステムがある。このシステムにおいて、
送信装置は、乱数生成器、互いに共役な量子生成器、古
典通信路送受信装置、データ照合装置からなり、受信装
置は、乱数生成器、送信者の有する２つの量子生成器そ
れぞれに対応した２つの量子測定器、古典通信路送受信
装置、データ照合装置からなる。
【０００４】次に動作について説明する。送信者Ａが量
子通信路を使って送信するキュービット列を生成するに
あたり、コミットするビットｂを決める。乱数生成器を
用いて２つの乱数列を生成する。第１の乱数列はパリテ
ィがｂと一致するように生成する。また第２の乱数列に
対して、その乱数列の値に計算量的な意味で一方向性的
な変換を施すことなく当該乱数値を用いて２つの量子生
成器の１つを第１の乱数列のビット毎に選択する。選択
された量子生成器で第１の乱数列をそのビット毎にキュ
ービットに変換する。つまり、１つの量子生成器あたり
ビット値０，１に応じて２種類のキュービットが生成さ
れる。従って、全体で４種類のキュービットが生成され
ることになる。変換後のキュービット列は量子通信路を
用いて受信者Ｂに送られる。このとき、受信者Ｂを含め
あらゆる観測者にとって、完全に上記４つのキュービッ
トを区別できないことが量子力学から保証されている。
つまり、あらゆる観測者にとって、測定するときに上記
２つの量子生成器に対応する２つの量子測定器のいずれ
かを選択しなければならないので、その測定器に対応し
たキュービットしか観測できないのである。このとき、
キュービット生成に用いた量子生成器と観測に用いた量
子測定器の型が一致していれば、観測者は生成されたキ
ュービットの種類を決定論的に正しく特定できるが、も
し、キュービット生成に用いた量子生成器と観測に用い
た量子測定器の型が一致していなければ、観測者は生成
されたキュービットの種類を確率１／２でしか推定でき
ないのである。かつ、一回でも観測することにより、観
測されたキュービットは観測に用いた測定器に従い変化
してしまうので、繰り返し測定を行うことで正しい種類
を特定することも不可能である。
子通信路を使って送信するキュービット列を生成するに
あたり、コミットするビットｂを決める。乱数生成器を
用いて２つの乱数列を生成する。第１の乱数列はパリテ
ィがｂと一致するように生成する。また第２の乱数列に
対して、その乱数列の値に計算量的な意味で一方向性的
な変換を施すことなく当該乱数値を用いて２つの量子生
成器の１つを第１の乱数列のビット毎に選択する。選択
された量子生成器で第１の乱数列をそのビット毎にキュ
ービットに変換する。つまり、１つの量子生成器あたり
ビット値０，１に応じて２種類のキュービットが生成さ
れる。従って、全体で４種類のキュービットが生成され
ることになる。変換後のキュービット列は量子通信路を
用いて受信者Ｂに送られる。このとき、受信者Ｂを含め
あらゆる観測者にとって、完全に上記４つのキュービッ
トを区別できないことが量子力学から保証されている。
つまり、あらゆる観測者にとって、測定するときに上記
２つの量子生成器に対応する２つの量子測定器のいずれ
かを選択しなければならないので、その測定器に対応し
たキュービットしか観測できないのである。このとき、
キュービット生成に用いた量子生成器と観測に用いた量
子測定器の型が一致していれば、観測者は生成されたキ
ュービットの種類を決定論的に正しく特定できるが、も
し、キュービット生成に用いた量子生成器と観測に用い
た量子測定器の型が一致していなければ、観測者は生成
されたキュービットの種類を確率１／２でしか推定でき
ないのである。かつ、一回でも観測することにより、観
測されたキュービットは観測に用いた測定器に従い変化
してしまうので、繰り返し測定を行うことで正しい種類
を特定することも不可能である。
【０００５】受信者Ｂはキュービット列を受信すると即
座に２つの量子測定器のいずれかを受信装置にある乱数
生成器で生成した乱数を用いて選択し、キュービット毎
にキュービット列を測定し記録しておく。この測定結果
とは、キュービット毎に測定した測定器の種別とその選
択した測定器を用いてキュービットを測定した結果に基
づき復号されたビット値の対である。この時点で受信者
Ｂは測定に用いた量子測定器のどれが正しく測定された
キュービットの生成に用いられた量子生成器に対応する
か未知なので、ｂを特定できない。開示フェーズに、送
信者Ａがｂと２つの乱数列を古典通信路をもちいて開示
すると、受信者Ｂは開示された乱数列と測定結果のデー
タ照合をおこなう。送信者Ａが生成した２の乱数列と受
信者Ｂが生成した乱数列の照合を行い、その各ビットに
対してビット値が一致した部分に対応した送信者Ａが生
成した１の乱数列を抽出し、同様に受信者Ｂがキュービ
ットを測定してえた復号結果を抽出する。この２つの抽
出されたビット列が全く一致していれば、受信者Ｂは送
信者Ａが正しい２つの乱数列を開示したと判断できる。
正しい乱数列を開示した判断した受信者Ｂは、送信者Ａ
が開示したｂと第１の乱数列のパリティを比較し、一致
すれば、このビットコミットメントを受理するのであ
る。この開示フェーズにおいて、送信者Ａは受信者Ｂが
どの量子測定器を用い、どのような測定とそれに伴う復
号結果を得たか未知なので、開示するｂと２つの乱数列
を都合よく改ざんすることはできない。
座に２つの量子測定器のいずれかを受信装置にある乱数
生成器で生成した乱数を用いて選択し、キュービット毎
にキュービット列を測定し記録しておく。この測定結果
とは、キュービット毎に測定した測定器の種別とその選
択した測定器を用いてキュービットを測定した結果に基
づき復号されたビット値の対である。この時点で受信者
Ｂは測定に用いた量子測定器のどれが正しく測定された
キュービットの生成に用いられた量子生成器に対応する
か未知なので、ｂを特定できない。開示フェーズに、送
信者Ａがｂと２つの乱数列を古典通信路をもちいて開示
すると、受信者Ｂは開示された乱数列と測定結果のデー
タ照合をおこなう。送信者Ａが生成した２の乱数列と受
信者Ｂが生成した乱数列の照合を行い、その各ビットに
対してビット値が一致した部分に対応した送信者Ａが生
成した１の乱数列を抽出し、同様に受信者Ｂがキュービ
ットを測定してえた復号結果を抽出する。この２つの抽
出されたビット列が全く一致していれば、受信者Ｂは送
信者Ａが正しい２つの乱数列を開示したと判断できる。
正しい乱数列を開示した判断した受信者Ｂは、送信者Ａ
が開示したｂと第１の乱数列のパリティを比較し、一致
すれば、このビットコミットメントを受理するのであ
る。この開示フェーズにおいて、送信者Ａは受信者Ｂが
どの量子測定器を用い、どのような測定とそれに伴う復
号結果を得たか未知なので、開示するｂと２つの乱数列
を都合よく改ざんすることはできない。
【０００６】
【発明が解決しようとする課題】任意のセキュアな２者
間プロトコルを構成するためには紛失通信プロトコルを
構成すればよく、そのための１つの手段として量子ビッ
トコミットメントプロトコルを構成すればよい。しか
し、従来の量子ビットコミットメントプロトコルは、受
信者Ｂがコミットメントフェーズにおいて送信されてき
たキュービット列を測定することを前提としているが、
受信者Ｂがキュービット列を測定しないで貯えておくと
いう不正を働くことが可能である。この場合、受信者Ｂ
は送信者Ａがどのような量子生成器を使ったかを、すな
わち、送信者生成の２の乱数列を、何らかの手段を用い
て知ることができれば、この情報を基に貯えておいたキ
ュービット列の全てを正しく測定でき、正しく送信者生
成の１の乱数列を復号できるので、開示フェーズを待た
ずに受信者Ｂはｂの値を知ることができてしまうという
課題がある。つまり、送信者Ａはｂだけでなくキュービ
ット列生成に使用した乱数列も開示フェーズまで安全に
秘匿しなければならない。また、従来の量子ビットコミ
ットメントプロトコルでは、送信者Ａが送信するキュー
ビット列の各キュービットは他の系と相関のない全く独
立した状態であることを前提としているが、送信者Ａは
エンタングル状態と呼ばれる相関のある２粒子状態の一
方の粒子をキュービットとして送信するという不正を働
くことが可能である。この場合、送信者Ａは残された相
関のあるもう一方の粒子を貯えておく。受信者Ｂがキュ
ービットを測定すると、測定結果に応じて送信者Ａが貯
えた粒子の状態が相関により定まるので、送信者はこの
貯えられた粒子の状態を測定することで、受信者Ｂの測
定結果を推定できてしまう。従って、送信者Ａはこの推
定結果に整合する範囲で、ｂと２つの乱数列を容易に選
択できる。つまり、送信者Ａはビットコミットメントフ
ェーズが終了後に任意にｂの値を選択できるという課題
がある。(D. Mayers, ”Unconditionally secure quant
um bit commitment is impossible,” Phys. Rev. Le
t., vol.78, pp.3414-3417, 1997).
間プロトコルを構成するためには紛失通信プロトコルを
構成すればよく、そのための１つの手段として量子ビッ
トコミットメントプロトコルを構成すればよい。しか
し、従来の量子ビットコミットメントプロトコルは、受
信者Ｂがコミットメントフェーズにおいて送信されてき
たキュービット列を測定することを前提としているが、
受信者Ｂがキュービット列を測定しないで貯えておくと
いう不正を働くことが可能である。この場合、受信者Ｂ
は送信者Ａがどのような量子生成器を使ったかを、すな
わち、送信者生成の２の乱数列を、何らかの手段を用い
て知ることができれば、この情報を基に貯えておいたキ
ュービット列の全てを正しく測定でき、正しく送信者生
成の１の乱数列を復号できるので、開示フェーズを待た
ずに受信者Ｂはｂの値を知ることができてしまうという
課題がある。つまり、送信者Ａはｂだけでなくキュービ
ット列生成に使用した乱数列も開示フェーズまで安全に
秘匿しなければならない。また、従来の量子ビットコミ
ットメントプロトコルでは、送信者Ａが送信するキュー
ビット列の各キュービットは他の系と相関のない全く独
立した状態であることを前提としているが、送信者Ａは
エンタングル状態と呼ばれる相関のある２粒子状態の一
方の粒子をキュービットとして送信するという不正を働
くことが可能である。この場合、送信者Ａは残された相
関のあるもう一方の粒子を貯えておく。受信者Ｂがキュ
ービットを測定すると、測定結果に応じて送信者Ａが貯
えた粒子の状態が相関により定まるので、送信者はこの
貯えられた粒子の状態を測定することで、受信者Ｂの測
定結果を推定できてしまう。従って、送信者Ａはこの推
定結果に整合する範囲で、ｂと２つの乱数列を容易に選
択できる。つまり、送信者Ａはビットコミットメントフ
ェーズが終了後に任意にｂの値を選択できるという課題
がある。(D. Mayers, ”Unconditionally secure quant
um bit commitment is impossible,” Phys. Rev. Le
t., vol.78, pp.3414-3417, 1997).
【０００７】この発明は上記のような課題を解決するた
めになされたもので、受信者が開示フェーズの前にコミ
ットしたビット値を推定できず、かつ、送信者がコミッ
トメントフェーズ以後にコミットしたビット値を変更で
きないという意味で安全なビットコミットメントプロト
コルを得ることを目的とする。
めになされたもので、受信者が開示フェーズの前にコミ
ットしたビット値を推定できず、かつ、送信者がコミッ
トメントフェーズ以後にコミットしたビット値を変更で
きないという意味で安全なビットコミットメントプロト
コルを得ることを目的とする。
【０００８】
【課題を解決するための手段】この発明に係る量子ビッ
トコミットメント送信装置は、２つの異なる量子生成器
と乱数発生器とにより、コミットするデータを含むデー
タを量子通信路と古典通信路とを用いて伝送する構成に
おいて、入力数列から一方向性関数を得る一方向性関数
発生手段と、応答時間を規制する時計とを備えて、一方
向性関数発生手段の入力数列を乱数発生器から得て、一
方向性関数発生手段の出力を少なくとも量子生成器に与
えるようにし、かつ受信先からの受信応答である測定結
果の受付を時計が指定する時間内に限定した。
トコミットメント送信装置は、２つの異なる量子生成器
と乱数発生器とにより、コミットするデータを含むデー
タを量子通信路と古典通信路とを用いて伝送する構成に
おいて、入力数列から一方向性関数を得る一方向性関数
発生手段と、応答時間を規制する時計とを備えて、一方
向性関数発生手段の入力数列を乱数発生器から得て、一
方向性関数発生手段の出力を少なくとも量子生成器に与
えるようにし、かつ受信先からの受信応答である測定結
果の受付を時計が指定する時間内に限定した。
【０００９】また更に、異なる２つの一方向性関数発生
手段を設けて、１つは古典通信路を用いて伝送するよう
にした。
手段を設けて、１つは古典通信路を用いて伝送するよう
にした。
【００１０】また更に、他の一方向性関数発生手段を設
けて、この他の一方向性関数発生手段出力がコミットす
るデータを生成するようにした。
けて、この他の一方向性関数発生手段出力がコミットす
るデータを生成するようにした。
【００１１】また更に、コミットするデータを順次定め
たデータ列を一方向性関数発生手段の入力数列とした。
たデータ列を一方向性関数発生手段の入力数列とした。
【００１２】この発明に係る量子ビットコミットメント
受信装置は、２つの異なる量子生成器と乱数発生器とに
より、コミットするデータを含むデータを量子通信路と
古典通信路とを用いて伝送する構成において、入力数列
から一方向性関数を得る一方向性関数発生手段と、応答
時間を規制する時計とを備えて、一方向性関数発生手段
は、送信装置に対応した一方向性関数発生手段とし、開
示フェーズにおける受信データを入力数列として、かつ
出力を先に受信した結果と比較し、かつ送信元への受信
応答である測定結果の送信を時計が指定する時間内に限
定した。
受信装置は、２つの異なる量子生成器と乱数発生器とに
より、コミットするデータを含むデータを量子通信路と
古典通信路とを用いて伝送する構成において、入力数列
から一方向性関数を得る一方向性関数発生手段と、応答
時間を規制する時計とを備えて、一方向性関数発生手段
は、送信装置に対応した一方向性関数発生手段とし、開
示フェーズにおける受信データを入力数列として、かつ
出力を先に受信した結果と比較し、かつ送信元への受信
応答である測定結果の送信を時計が指定する時間内に限
定した。
【００１３】この発明に係る量子ビットコミットメント
通信システムは、２つの異なる量子生成器と乱数発生器
とにより、コミットするデータを含むデータを量子通信
路と古典通信路とを用いて伝送する構成において、送信
装置と受信装置は、入力数列から一方向性関数を得る一
方向性関数発生手段と、応答時間を規制する時計とを備
えて、送信装置は、一方向性関数発生手段の入力数列を
乱数発生器から得て、一方向性関数発生手段の出力を少
なくとも量子生成器に与えるようにし、かつ受信先から
の受信応答である測定結果の受付を時計が指定する時間
内に限定し、受信装置は、一方向性関数発生手段を送信
装置に対応した構成とし、開示フェーズにおける受信デ
ータを入力数列として、出力を先に受信した結果と比較
し、かつ送信元への受信応答である測定結果の送信を時
計が指定する時間内に限定した。
通信システムは、２つの異なる量子生成器と乱数発生器
とにより、コミットするデータを含むデータを量子通信
路と古典通信路とを用いて伝送する構成において、送信
装置と受信装置は、入力数列から一方向性関数を得る一
方向性関数発生手段と、応答時間を規制する時計とを備
えて、送信装置は、一方向性関数発生手段の入力数列を
乱数発生器から得て、一方向性関数発生手段の出力を少
なくとも量子生成器に与えるようにし、かつ受信先から
の受信応答である測定結果の受付を時計が指定する時間
内に限定し、受信装置は、一方向性関数発生手段を送信
装置に対応した構成とし、開示フェーズにおける受信デ
ータを入力数列として、出力を先に受信した結果と比較
し、かつ送信元への受信応答である測定結果の送信を時
計が指定する時間内に限定した。
【００１４】
【発明の実施の形態】実施の形態１．図１はこの発明の
一実施の形態を示す全体構成図である。図１において、
１は送信者側の量子通信および古典通信が可能な送信装
置、２は受信者側の量子通信および古典通信が可能な受
信装置、３は送信装置１と受信装置２をつなぐ量子通信
路、４は送信装置１と受信装置２をつなぐ古典通信路で
ある。図２は図１で構成される通信系において安全なビ
ットコミットメントプロトコルを実現するための送信装
置１、受信装置２の一構成を示す。図２において５は乱
数生成器、６は時計、７は式（１）に示す一方向性関数
を生成する一方向性関数ｆ生成器、８は式（２）に示す
一方向性関数を生成する一方向性関数ｈ生成器である。 ｆ（・）， （１） ｈ（・）（∈｛０，１｝k）， （２） また、互いに共役な物理量からなる９は＋系の量子生成
器、１０は×系の量子生成器）、１１は古典通信路送受
信装置、１２はデータ照合装置、１３は乱数生成器、１
４は時計６と同期した時計、１５は一方向性関数７と同
じ一方向性関数ｆ生成器、１６は一方向性関数８と同じ
一方向性関数ｈ生成器、１７は＋系量子生成器９に対応
した量子測定器、１８は×系量子生成器１０に対応した
量子測定器、１９は古典通信路送受信装置、２０はデー
タ照合装置である。
一実施の形態を示す全体構成図である。図１において、
１は送信者側の量子通信および古典通信が可能な送信装
置、２は受信者側の量子通信および古典通信が可能な受
信装置、３は送信装置１と受信装置２をつなぐ量子通信
路、４は送信装置１と受信装置２をつなぐ古典通信路で
ある。図２は図１で構成される通信系において安全なビ
ットコミットメントプロトコルを実現するための送信装
置１、受信装置２の一構成を示す。図２において５は乱
数生成器、６は時計、７は式（１）に示す一方向性関数
を生成する一方向性関数ｆ生成器、８は式（２）に示す
一方向性関数を生成する一方向性関数ｈ生成器である。 ｆ（・）， （１） ｈ（・）（∈｛０，１｝k）， （２） また、互いに共役な物理量からなる９は＋系の量子生成
器、１０は×系の量子生成器）、１１は古典通信路送受
信装置、１２はデータ照合装置、１３は乱数生成器、１
４は時計６と同期した時計、１５は一方向性関数７と同
じ一方向性関数ｆ生成器、１６は一方向性関数８と同じ
一方向性関数ｈ生成器、１７は＋系量子生成器９に対応
した量子測定器、１８は×系量子生成器１０に対応した
量子測定器、１９は古典通信路送受信装置、２０はデー
タ照合装置である。
【００１５】量子状態として、本発明において互いに共
役な物理量を有する任意の量子を用いることが可能であ
る。具体的な一例として量子として光子を用いる場合、
量子状態として偏光状態を用いることができる。偏光状
態として１つの直線偏光を０度偏光と定義したとき、こ
れと垂直な直線偏光を９０度偏光とし、この２つの状態
対を＋系量子状態と定義する。このとき、互いに共役な
量子状態として、４５度傾いた直線偏光と１３５度傾い
た直線偏光の２つの量子状態対を×系量子状態として定
義される。このとき、量子生成器としては、互いに４５
度傾いた２つの偏光ビームスプリッタ、レーザ光源から
構成できる。量子測定器としては、偏光ビームスプリッ
タと光子検出器から構成できる。量子通信路としては光
ファイバーを用いる、または、空間そのものを用いるこ
とも可能である。このとき、＋系量子生成器で生成され
た０度偏光の光子と９０度偏光の光子を＋系量子測定器
で測定すると、正しく、０度偏光の光子と９０度偏光の
光子を識別できるが、×系量子測定器で測定すると、そ
れぞれ４５度偏光の光子か１３５度偏光の光子として確
率１／２で測定されてしまい、元の状態が０度偏光の光
子、もしくは、９０度偏光の光子であったかは全く区別
できない。これは、×系量子生成器で生成された４５度
偏光の光子、１３５度偏光の光子に関しても全く同様の
ことが成り立つ。なお、一度測定器を通した光子はその
測定器に適合した状態に波束の収縮を起こしてしまい、
測定器に入射する前の状態は壊れてしまっているので、
測定を繰り返すことで元の状態を推定することは不可能
である。
役な物理量を有する任意の量子を用いることが可能であ
る。具体的な一例として量子として光子を用いる場合、
量子状態として偏光状態を用いることができる。偏光状
態として１つの直線偏光を０度偏光と定義したとき、こ
れと垂直な直線偏光を９０度偏光とし、この２つの状態
対を＋系量子状態と定義する。このとき、互いに共役な
量子状態として、４５度傾いた直線偏光と１３５度傾い
た直線偏光の２つの量子状態対を×系量子状態として定
義される。このとき、量子生成器としては、互いに４５
度傾いた２つの偏光ビームスプリッタ、レーザ光源から
構成できる。量子測定器としては、偏光ビームスプリッ
タと光子検出器から構成できる。量子通信路としては光
ファイバーを用いる、または、空間そのものを用いるこ
とも可能である。このとき、＋系量子生成器で生成され
た０度偏光の光子と９０度偏光の光子を＋系量子測定器
で測定すると、正しく、０度偏光の光子と９０度偏光の
光子を識別できるが、×系量子測定器で測定すると、そ
れぞれ４５度偏光の光子か１３５度偏光の光子として確
率１／２で測定されてしまい、元の状態が０度偏光の光
子、もしくは、９０度偏光の光子であったかは全く区別
できない。これは、×系量子生成器で生成された４５度
偏光の光子、１３５度偏光の光子に関しても全く同様の
ことが成り立つ。なお、一度測定器を通した光子はその
測定器に適合した状態に波束の収縮を起こしてしまい、
測定器に入射する前の状態は壊れてしまっているので、
測定を繰り返すことで元の状態を推定することは不可能
である。
【００１６】次に動作について説明する。まず送信者Ａ
はコミットすべきビットを選択する。次に、乱数生成器
５により２つの乱数が生成される。第１の乱数列は次の
値（３）で与えられ、 ｃ（ビット長はｋ） （３） 値（３）は、そのパリティが選択されたコミットビット
である次式の式（４） ｂ∈｛０、１｝ （４） になることを満たすまで生成を繰り返す。第２の乱数列
は次の式（５）で与えられ、 ｒ（ビット長はｍ） （５） この式（５）は、その一方向性関数ｈ生成器８によりビ
ット列が次式（６）の形に変換される。 ｈi（ｒ）： ｉ＝１，．．．，ｋ （６） ここで一方向性関数ｈ生成器８の出力結果である式
（６）のビット列から容易に入力した式（５）の乱数列
が導出できない性質を利用して、後続する開示フェーズ
において送信者Ａが式（６）のビット列と整合性を保っ
た偽の乱数列の式（５）を開示することを防ぐことがで
きる。
はコミットすべきビットを選択する。次に、乱数生成器
５により２つの乱数が生成される。第１の乱数列は次の
値（３）で与えられ、 ｃ（ビット長はｋ） （３） 値（３）は、そのパリティが選択されたコミットビット
である次式の式（４） ｂ∈｛０、１｝ （４） になることを満たすまで生成を繰り返す。第２の乱数列
は次の式（５）で与えられ、 ｒ（ビット長はｍ） （５） この式（５）は、その一方向性関数ｈ生成器８によりビ
ット列が次式（６）の形に変換される。 ｈi（ｒ）： ｉ＝１，．．．，ｋ （６） ここで一方向性関数ｈ生成器８の出力結果である式
（６）のビット列から容易に入力した式（５）の乱数列
が導出できない性質を利用して、後続する開示フェーズ
において送信者Ａが式（６）のビット列と整合性を保っ
た偽の乱数列の式（５）を開示することを防ぐことがで
きる。
【００１７】このためには、式（２）の一方向性関数の
１例として、既存のハッシュ関数ＳＨＡ−１やＭＤ５を
単体で、もしくは出力ビット長に適合するように複数組
合わせて用いることも可能である。次に、この第１の乱
数列ｃからビット毎にキュービットを生成するにあた
り、次の値（７）のｉ番目のビット ｃi （ｉ＝１，．．．，ｋ） （７） に対して用いる量子生成器は、式（６）で与えられたビ
ットが次式（８）を満たすなら＋系量子生成器９を用
い、式（７）のビット値が０であれば０度偏光の光子を
生成し、１であれば９０度偏光の光子を生成する。 ｈi（ｒ）＝０ （８） また逆に式（６）のビットが式（９）になるなら×系量
子生成器１０を用い、式（７）のビット値が０であれば
４５度偏光の光子を生成し、１であれば１３５度偏光の
光子を生成する。 ｈi（ｒ）＝１ （９）
１例として、既存のハッシュ関数ＳＨＡ−１やＭＤ５を
単体で、もしくは出力ビット長に適合するように複数組
合わせて用いることも可能である。次に、この第１の乱
数列ｃからビット毎にキュービットを生成するにあた
り、次の値（７）のｉ番目のビット ｃi （ｉ＝１，．．．，ｋ） （７） に対して用いる量子生成器は、式（６）で与えられたビ
ットが次式（８）を満たすなら＋系量子生成器９を用
い、式（７）のビット値が０であれば０度偏光の光子を
生成し、１であれば９０度偏光の光子を生成する。 ｈi（ｒ）＝０ （８） また逆に式（６）のビットが式（９）になるなら×系量
子生成器１０を用い、式（７）のビット値が０であれば
４５度偏光の光子を生成し、１であれば１３５度偏光の
光子を生成する。 ｈi（ｒ）＝１ （９）
【００１８】生成されたキュービットは量子通信路３に
より受信装置２に伝送される。このとき、古典通信路４
を用いて、一方向性関数ｆ生成器７により乱数列ｒを変
換した値で次式（１０）も受信装置２に伝送される。こ
の伝送した時点より時計６を用いて計時が始まる。ここ
で一方向性関数ｆ生成器７の出力結果である式（１０）
から容易に入力した乱数列の式（５）が導出できない
で、かつ、同じ出力の式（１０）をもつ式（２）と異な
る乱数列を導出できない性質を利用する。即ち、１つは
受信者Ｂが式（１０）から乱数列の式（２）を導出し、
全てのキュービット列を正しく測定することでコミット
された式（４）のビットを開示フェーズを待たずに特定
することを防ぐことができる。２つは後続する開示フェ
ーズにおいて送信者Ａが式（１０）と整合性を保った偽
の式（５）の乱数列を開示することを防ぐことができ
る。このためには、式（２）の一方向性関数の１例とし
て、既存のハッシュ関数ＳＨＡ−１やＭＤ５を単体で、
もしくは出力ビット長に適合するように複数組合わせて
用いてもよい。 ｘ＝ｆ（ｒ） （１０）
より受信装置２に伝送される。このとき、古典通信路４
を用いて、一方向性関数ｆ生成器７により乱数列ｒを変
換した値で次式（１０）も受信装置２に伝送される。こ
の伝送した時点より時計６を用いて計時が始まる。ここ
で一方向性関数ｆ生成器７の出力結果である式（１０）
から容易に入力した乱数列の式（５）が導出できない
で、かつ、同じ出力の式（１０）をもつ式（２）と異な
る乱数列を導出できない性質を利用する。即ち、１つは
受信者Ｂが式（１０）から乱数列の式（２）を導出し、
全てのキュービット列を正しく測定することでコミット
された式（４）のビットを開示フェーズを待たずに特定
することを防ぐことができる。２つは後続する開示フェ
ーズにおいて送信者Ａが式（１０）と整合性を保った偽
の式（５）の乱数列を開示することを防ぐことができ
る。このためには、式（２）の一方向性関数の１例とし
て、既存のハッシュ関数ＳＨＡ−１やＭＤ５を単体で、
もしくは出力ビット長に適合するように複数組合わせて
用いてもよい。 ｘ＝ｆ（ｒ） （１０）
【００１９】一方、受信装置では、乱数生成器１３を用
いて乱数列を生成し、その各ビットの値に従って伝送さ
れてきたキュービット列を＋系量子測定器１７で測定す
るか、×系量子測定器１８で測定するかが選択される。
キュービット列が届くと、選択されたこれらの量子測定
器により各キュービットを測定する。このキュービット
が到着したときから時計１４を用いて計時を始める。測
定終了後、古典通信路送受信装置１９を用いて、測定結
果と測定に用いた量子測定器の種類を送信装置に送信す
る。この送信は次の値（１１）で示される時限迄に実行
しなければならない。 ｔ （１１） これは式（１）の一方向性関数の出力結果から入力乱数
列を容易に導出できないのであるが、十分な時間をかけ
れば必ず入力乱数列が導出できるので、一方向性関数ｈ
生成器１６が出力結果から入力乱数列を導出するのに要
する時間より短い時間で受信者にキュービットの測定を
強いるのである。つまり、この制限時間内であれば受信
者Ｂは式（５）の入力乱数列を知ることが不可能であ
り、キュービット列の全てを正しく測定することができ
ないことが保証される。さらに一度測定したキュービッ
ト列は元の状態が破壊されているので、たとえ後で式
（５）の乱数列が導出できても、もはや式（３）の乱数
列およびコミットされた式（４）のビットを受信者Ｂが
特定することは不可能である。
いて乱数列を生成し、その各ビットの値に従って伝送さ
れてきたキュービット列を＋系量子測定器１７で測定す
るか、×系量子測定器１８で測定するかが選択される。
キュービット列が届くと、選択されたこれらの量子測定
器により各キュービットを測定する。このキュービット
が到着したときから時計１４を用いて計時を始める。測
定終了後、古典通信路送受信装置１９を用いて、測定結
果と測定に用いた量子測定器の種類を送信装置に送信す
る。この送信は次の値（１１）で示される時限迄に実行
しなければならない。 ｔ （１１） これは式（１）の一方向性関数の出力結果から入力乱数
列を容易に導出できないのであるが、十分な時間をかけ
れば必ず入力乱数列が導出できるので、一方向性関数ｈ
生成器１６が出力結果から入力乱数列を導出するのに要
する時間より短い時間で受信者にキュービットの測定を
強いるのである。つまり、この制限時間内であれば受信
者Ｂは式（５）の入力乱数列を知ることが不可能であ
り、キュービット列の全てを正しく測定することができ
ないことが保証される。さらに一度測定したキュービッ
ト列は元の状態が破壊されているので、たとえ後で式
（５）の乱数列が導出できても、もはや式（３）の乱数
列およびコミットされた式（４）のビットを受信者Ｂが
特定することは不可能である。
【００２０】送信装置では、受信装置から次の値（１
２）の回答時間が値（１１）の時限以内であることを確
認すると、受信装置からの回答にある測定結果のうち、
正しい測定器を用いている測定結果の整合性をデータ照
合装置１２を用いて確認する。 ｔ’ （１２） これにより、送信者Ａは受信者Ｂがキュービット列の測
定を制限時間内に実行したことを確認できる。正しい測
定器を用いてキュービットを測定した測定結果と送信者
の保持する値（７）のビットとの整合性が確認された場
合、もはや、送信者Ａは受信者Ｂが送信したキュービッ
ト列を測定により破壊したこと、いいかえると、受信者
Ｂが開示フェーズになるまでコミットされた式（４）の
ビットを特定できないことを確認できる。また、整合性
が確認されないときは、送信者Ａは受信者Ｂが不正を行
ったと判断し当該プロトコルを破棄する。開示フェーズ
において送信装置１は古典通信路４を用いて、式
（４）、（５）、（６）のデータを受信装置２に開示す
る。受信装置２はデータ照合装置２０を用いて送られた
開示データと測定結果の照合を行う。ここで、まず開示
された式（５）の乱数列ｒの正しさが一方向性関数ｆ生
成器１５による式（１）と、コミットメントフェーズで
送信者Ａより受信者Ｂに伝送された式（１０）を用いて
確認される。
２）の回答時間が値（１１）の時限以内であることを確
認すると、受信装置からの回答にある測定結果のうち、
正しい測定器を用いている測定結果の整合性をデータ照
合装置１２を用いて確認する。 ｔ’ （１２） これにより、送信者Ａは受信者Ｂがキュービット列の測
定を制限時間内に実行したことを確認できる。正しい測
定器を用いてキュービットを測定した測定結果と送信者
の保持する値（７）のビットとの整合性が確認された場
合、もはや、送信者Ａは受信者Ｂが送信したキュービッ
ト列を測定により破壊したこと、いいかえると、受信者
Ｂが開示フェーズになるまでコミットされた式（４）の
ビットを特定できないことを確認できる。また、整合性
が確認されないときは、送信者Ａは受信者Ｂが不正を行
ったと判断し当該プロトコルを破棄する。開示フェーズ
において送信装置１は古典通信路４を用いて、式
（４）、（５）、（６）のデータを受信装置２に開示す
る。受信装置２はデータ照合装置２０を用いて送られた
開示データと測定結果の照合を行う。ここで、まず開示
された式（５）の乱数列ｒの正しさが一方向性関数ｆ生
成器１５による式（１）と、コミットメントフェーズで
送信者Ａより受信者Ｂに伝送された式（１０）を用いて
確認される。
【００２１】次に、開示された式（５）の乱数列ｒと一
方向性関数ｈ生成器１６による式（２）を用いて導出さ
れた式（６）のビット列から正しい測定器を用いた測定
結果をピックアップし、開示された値（３）の対応する
ビットと比較照合する。この結果が一致すれば、開示さ
れた値（３）が正しいと確認される。最後に開示された
値（３）のパリティと開示された式（４）のコミットビ
ットが一致すれば、受信者Ｂは当該プロトコルを受理す
る。逆に、上記３つの開示されたデータ、式（４）、値
（３）、式（５）のいずれか１つでも正しく確認されな
ければ、受信者Ｂは当該プロトコルを破棄する。ここ
で、送信者がたとえエンタングル状態のような相関のあ
るキュービットを用いて、受信者Ｂの測定結果を開示フ
ェーズの前に知ることが出来ても、上記のような開示デ
ータの整合性チェックを免れるようなデータを捏造する
ことは、式（１）と式（２）の２つの一方向性関数の出
力結果から、その結果に対応した都合の良い入力乱数列
を見出すことは非常に困難であって事実上不可能に等し
い。以上のプロトコルの流れを図３に記す。
方向性関数ｈ生成器１６による式（２）を用いて導出さ
れた式（６）のビット列から正しい測定器を用いた測定
結果をピックアップし、開示された値（３）の対応する
ビットと比較照合する。この結果が一致すれば、開示さ
れた値（３）が正しいと確認される。最後に開示された
値（３）のパリティと開示された式（４）のコミットビ
ットが一致すれば、受信者Ｂは当該プロトコルを受理す
る。逆に、上記３つの開示されたデータ、式（４）、値
（３）、式（５）のいずれか１つでも正しく確認されな
ければ、受信者Ｂは当該プロトコルを破棄する。ここ
で、送信者がたとえエンタングル状態のような相関のあ
るキュービットを用いて、受信者Ｂの測定結果を開示フ
ェーズの前に知ることが出来ても、上記のような開示デ
ータの整合性チェックを免れるようなデータを捏造する
ことは、式（１）と式（２）の２つの一方向性関数の出
力結果から、その結果に対応した都合の良い入力乱数列
を見出すことは非常に困難であって事実上不可能に等し
い。以上のプロトコルの流れを図３に記す。
【００２２】以上のように、互いに共役な２つの量子生
成器を選択するにあたり、開示する乱数を直接用いるの
ではなく計算量的な意味での一方向性関数で変換したの
ち用いるようにしているので、送信者がエンタングル状
態のような特殊な量子状態を用いて不正を働き、受信者
の測定結果を知ることが出来ても、一方向性関数の出力
とうまく整合するように開示フェーズにおけるデータを
改ざんできないので、送信者がコミットするビットを開
示フェーズにおいて改ざんするような攻撃を無効にする
ことができる。また、時限を設けて受信者は測定結果を
送信者に報告しなければならないので、一方向性関数を
破るのに必要な時間よりも短く当該時限を設定し、伝送
されたキュービット列の元の状態を壊すことを強要する
ことにより受信者が開示フェーズ前にコミットするビッ
トの内容を解読するという不正を防ぐことができる。
成器を選択するにあたり、開示する乱数を直接用いるの
ではなく計算量的な意味での一方向性関数で変換したの
ち用いるようにしているので、送信者がエンタングル状
態のような特殊な量子状態を用いて不正を働き、受信者
の測定結果を知ることが出来ても、一方向性関数の出力
とうまく整合するように開示フェーズにおけるデータを
改ざんできないので、送信者がコミットするビットを開
示フェーズにおいて改ざんするような攻撃を無効にする
ことができる。また、時限を設けて受信者は測定結果を
送信者に報告しなければならないので、一方向性関数を
破るのに必要な時間よりも短く当該時限を設定し、伝送
されたキュービット列の元の状態を壊すことを強要する
ことにより受信者が開示フェーズ前にコミットするビッ
トの内容を解読するという不正を防ぐことができる。
【００２３】実施の形態２．実施の形態１では、生成し
た乱数を直接キュービットに変換するようにした構成で
あるが、ここでは生成した乱数に一方向性関数を用いた
変換を経てキュービットに変換する実施の形態を示す。
図４は、図１で構成される通信系において他の安全なビ
ットコミットメントプロトコルを実現するための送信装
置１ｂ、受信装置２ｂの構成を示す図である。図４にお
いて７ｂは式（１３）の一方向性関数を生成する一方向
関数ｆ生成器、２４は式（１４）の一方向性関数を生成
する一方向性関数ｇ生成器、８ｂは式（１４）の一方向
性関数を生成する一方向性関数ｈ生成器である。 ｆ（・）（∈｛０，１｝n） （１３） ｇ（・）（∈｛０，１｝n） （１４） ｈ（・）（∈｛０，１｝） （１５） その他の互いに共役な物理量を生成する＋系量子生成器
９、×系量子生成器１０、古典通信路送受信装置１１、
データ照合装置１２、乱数生成器１５、時計６は図２の
同番号要素と同様のものである。１５ｂは一方向性関数
ｆ生成器７ｂと同じ一方向性関数ｆ生成器、３３は一方
向性関数２４と同じ一方向性関数ｇ生成器、１６ｂは一
方向性関数ｈ生成器８ｂと同じ一方向性関数ｈ生成器で
ある。その他の要素は図２の構成における同番号の構成
要素と同等のものである。
た乱数を直接キュービットに変換するようにした構成で
あるが、ここでは生成した乱数に一方向性関数を用いた
変換を経てキュービットに変換する実施の形態を示す。
図４は、図１で構成される通信系において他の安全なビ
ットコミットメントプロトコルを実現するための送信装
置１ｂ、受信装置２ｂの構成を示す図である。図４にお
いて７ｂは式（１３）の一方向性関数を生成する一方向
関数ｆ生成器、２４は式（１４）の一方向性関数を生成
する一方向性関数ｇ生成器、８ｂは式（１４）の一方向
性関数を生成する一方向性関数ｈ生成器である。 ｆ（・）（∈｛０，１｝n） （１３） ｇ（・）（∈｛０，１｝n） （１４） ｈ（・）（∈｛０，１｝） （１５） その他の互いに共役な物理量を生成する＋系量子生成器
９、×系量子生成器１０、古典通信路送受信装置１１、
データ照合装置１２、乱数生成器１５、時計６は図２の
同番号要素と同様のものである。１５ｂは一方向性関数
ｆ生成器７ｂと同じ一方向性関数ｆ生成器、３３は一方
向性関数２４と同じ一方向性関数ｇ生成器、１６ｂは一
方向性関数ｈ生成器８ｂと同じ一方向性関数ｈ生成器で
ある。その他の要素は図２の構成における同番号の構成
要素と同等のものである。
【００２４】次に動作について説明する。まず送信者Ａ
はコミットするビットを選択する。次に、乱数生成器５
により２つの乱数が生成される。第１の乱数列は次の値
（１６）で与えられ、値（１６）は、その一方向性関数
ｈ生成器８による次の値（１７）が選択されたコミット
ビットである式（１８）になることを満たすまで生成を
繰り返す。 ｒ（ビット長はｍ） （１６） ｈ（ｒ） （１７） ｂ∈｛０、１｝ （１８） ここで、式（１５）の一方向性関数を用いることで、そ
の出力結果である式（１８）を満足するような第１の乱
数列（１６）の条件がパリティビットを用いることより
もはるかに厳しくなるので、送信者Ａが開示フェーズに
おいて偽の式（１６）を開示することが困難になる。こ
のための一方向性関数式（１５）の１例として、既存の
ハッシュ関数ＳＨＡ−１やＭＤ５を使い、その出力ビッ
ト列のＭＳＢを式（１５）の出力として用いてもよい。
満足するｒが生成されると一方向性関数ｆ生成器７ｂに
よりビット列が次式（１９）に変換される。ここで、一
方向性関数（１３）の出力結果である式（１９）から容
易に入力した乱数列（１６）を導出できず、かつ、同じ
出力結果（１９）を持つ値（１６）と異なる乱数列を導
出できない性質を利用して、開示フェーズにおいて、送
信者Ａによる開示する乱数列（１６）の改ざんを防ぐこ
とができる。一方向性関数として、既存のハッシュ関数
ＳＨＡ−１やＭＤ５を単体、もしくは複数組合わせて用
いてもよい。 ｆi（ｒ）： ｉ＝１，．．．，ｎ （１９）
はコミットするビットを選択する。次に、乱数生成器５
により２つの乱数が生成される。第１の乱数列は次の値
（１６）で与えられ、値（１６）は、その一方向性関数
ｈ生成器８による次の値（１７）が選択されたコミット
ビットである式（１８）になることを満たすまで生成を
繰り返す。 ｒ（ビット長はｍ） （１６） ｈ（ｒ） （１７） ｂ∈｛０、１｝ （１８） ここで、式（１５）の一方向性関数を用いることで、そ
の出力結果である式（１８）を満足するような第１の乱
数列（１６）の条件がパリティビットを用いることより
もはるかに厳しくなるので、送信者Ａが開示フェーズに
おいて偽の式（１６）を開示することが困難になる。こ
のための一方向性関数式（１５）の１例として、既存の
ハッシュ関数ＳＨＡ−１やＭＤ５を使い、その出力ビッ
ト列のＭＳＢを式（１５）の出力として用いてもよい。
満足するｒが生成されると一方向性関数ｆ生成器７ｂに
よりビット列が次式（１９）に変換される。ここで、一
方向性関数（１３）の出力結果である式（１９）から容
易に入力した乱数列（１６）を導出できず、かつ、同じ
出力結果（１９）を持つ値（１６）と異なる乱数列を導
出できない性質を利用して、開示フェーズにおいて、送
信者Ａによる開示する乱数列（１６）の改ざんを防ぐこ
とができる。一方向性関数として、既存のハッシュ関数
ＳＨＡ−１やＭＤ５を単体、もしくは複数組合わせて用
いてもよい。 ｆi（ｒ）： ｉ＝１，．．．，ｎ （１９）
【００２５】一方第２の乱数列Ｓは、一方向性関数ｇ生
成器２４によりビット列が次式（２１）に変換される。 ｓ（ビット長はｋ） （２０） ｇi（ｓ）： ｉ＝１，．．．，ｎ （２１） ここで、一方向性関数（数１４）の出力結果である式
（２１）から容易に入力した乱数列（２０）を導出でき
ず、かつ、同じ出力結果（２１）を持つ（２０）と異な
る乱数列を導出できない性質を利用して、開示フェーズ
において、送信者Ａによる開示する乱数列（２０）の改
ざんを防ぐことができる。一方向性関数として、ハッシ
ュ関数ＳＨＡ−１やＭＤ５を単体、もしくは複数組み合
わせて用いてよい。式（１９）のビット列からビット毎
にキュービットを生成するにあたり、値（２２で示され
るｉ番目のビットに対して用いる量子生成器は、式（２
１）で与えられたビットが式（２３）ならば＋系量子生
成器９を用い、ビット値（２２）が０であれば０度偏光
の光子を生成し、ビット値（２２）が１であれば９０度
偏光の光子を生成する。逆に式（２１）で与えられたビ
ットが式（２４）となるならば×系量子生成器１０を用
い、ビット値（２２）が０であれば４５度偏光の光子を
生成し、ビット値（２２）が１であれば１３５度偏光の
光子を生成する。 ｆi （ｉ＝１，．．．，ｎ） （２２） ｇi（ｓ）＝０ （２３） ｇi（ｓ）＝１ （２４）
成器２４によりビット列が次式（２１）に変換される。 ｓ（ビット長はｋ） （２０） ｇi（ｓ）： ｉ＝１，．．．，ｎ （２１） ここで、一方向性関数（数１４）の出力結果である式
（２１）から容易に入力した乱数列（２０）を導出でき
ず、かつ、同じ出力結果（２１）を持つ（２０）と異な
る乱数列を導出できない性質を利用して、開示フェーズ
において、送信者Ａによる開示する乱数列（２０）の改
ざんを防ぐことができる。一方向性関数として、ハッシ
ュ関数ＳＨＡ−１やＭＤ５を単体、もしくは複数組み合
わせて用いてよい。式（１９）のビット列からビット毎
にキュービットを生成するにあたり、値（２２で示され
るｉ番目のビットに対して用いる量子生成器は、式（２
１）で与えられたビットが式（２３）ならば＋系量子生
成器９を用い、ビット値（２２）が０であれば０度偏光
の光子を生成し、ビット値（２２）が１であれば９０度
偏光の光子を生成する。逆に式（２１）で与えられたビ
ットが式（２４）となるならば×系量子生成器１０を用
い、ビット値（２２）が０であれば４５度偏光の光子を
生成し、ビット値（２２）が１であれば１３５度偏光の
光子を生成する。 ｆi （ｉ＝１，．．．，ｎ） （２２） ｇi（ｓ）＝０ （２３） ｇi（ｓ）＝１ （２４）
【００２６】生成されたキュービットは量子通信路３を
経由して受信装置２ｂに伝送される。ここで、送信側で
は量子生成器の選択のみならず、キュービットに変換さ
れるビット値に関しても値（２２）のように、一方向性
関数ｆ生成器７ｂを通して決定されているので、実施の
形態１と異なり、コミットメントフェーズにおいてキュ
ービット列のみを伝送すればよい。言い換えると、式
（１３）の一方向性により、送信者が値（２２）を改ざ
んしても、それに対応して値（１６）を改ざんすること
が困難である。この伝送した時点より時計６を用いて計
時が始まる。一方、受信装置２ｂでは、乱数生成器１３
を用いて乱数列を生成し、その各ビットの値に従って伝
送されてきたキュービット列を＋系量子測定器１７で測
定するか、×系量子測定器１８で測定するかが選択され
る。キュービット列が届くと、選択された量子測定器に
より各キュービットを測定する。このキュービットが到
着したときから時計１４を用いて計時を始める。測定終
了後、古典通信路送受信装置１９を用いて、測定結果と
測定に用いた量子測定器の種類を送信装置１ｂに送信す
る。この送信は時限値（２５）迄に実行しなければなら
ない。 ｔ （２５） これは一方向性関数ｇ生成器２４の出力結果である式
（１４）から入力乱数列を容易には導出できないのであ
るが、十分な時間をかければ必ず入力乱数列が導出でき
る。従って、一方向性関数ｇ発生器３３の出力結果から
入力乱数列を導出するのに要する時間より短い時間で受
信者にキュービットの測定を強いる。つまり、この制限
時間内であれば受信者Ｂは入力乱数列の値（２０）を知
ることが不可能であり、キュービット列の値（２０）の
全てを正しく測定することができないことが保証され
る。さらに一度測定したキュービット列は元の状態が破
壊されているので、たとえ後で乱数列（２０）が導出で
きても、もはやコミットされたビットである式（１８）
を受信者Ｂが特定することは不可能である。
経由して受信装置２ｂに伝送される。ここで、送信側で
は量子生成器の選択のみならず、キュービットに変換さ
れるビット値に関しても値（２２）のように、一方向性
関数ｆ生成器７ｂを通して決定されているので、実施の
形態１と異なり、コミットメントフェーズにおいてキュ
ービット列のみを伝送すればよい。言い換えると、式
（１３）の一方向性により、送信者が値（２２）を改ざ
んしても、それに対応して値（１６）を改ざんすること
が困難である。この伝送した時点より時計６を用いて計
時が始まる。一方、受信装置２ｂでは、乱数生成器１３
を用いて乱数列を生成し、その各ビットの値に従って伝
送されてきたキュービット列を＋系量子測定器１７で測
定するか、×系量子測定器１８で測定するかが選択され
る。キュービット列が届くと、選択された量子測定器に
より各キュービットを測定する。このキュービットが到
着したときから時計１４を用いて計時を始める。測定終
了後、古典通信路送受信装置１９を用いて、測定結果と
測定に用いた量子測定器の種類を送信装置１ｂに送信す
る。この送信は時限値（２５）迄に実行しなければなら
ない。 ｔ （２５） これは一方向性関数ｇ生成器２４の出力結果である式
（１４）から入力乱数列を容易には導出できないのであ
るが、十分な時間をかければ必ず入力乱数列が導出でき
る。従って、一方向性関数ｇ発生器３３の出力結果から
入力乱数列を導出するのに要する時間より短い時間で受
信者にキュービットの測定を強いる。つまり、この制限
時間内であれば受信者Ｂは入力乱数列の値（２０）を知
ることが不可能であり、キュービット列の値（２０）の
全てを正しく測定することができないことが保証され
る。さらに一度測定したキュービット列は元の状態が破
壊されているので、たとえ後で乱数列（２０）が導出で
きても、もはやコミットされたビットである式（１８）
を受信者Ｂが特定することは不可能である。
【００２７】送信装置１ｂでは、受信装置２ｂからの回
答時間が時限値（２６）以内であることを確認すると、
受信装置からの回答にある測定結果のうち、正しい測定
器を用いている測定結果の整合性をデータ照合装置１２
を用いて確認する。 ｔ’ （２６） これにより、送信者Ａは受信者Ｂがキュービット列の測
定を制限時間内に実行した有無を確認できる。正しい測
定器を用いてキュービットを測定した測定結果と送信者
の保持する式（１９）のビット、式（２１）のビットと
の整合性が確認されると、受信者Ｂが開示フェーズにな
るまでコミットされた式（１８）のビットが特定できな
いことが確認できる。また、整合性が確認されないとき
は、送信者Ａは受信者Ｂが不正を行ったと判断し当該プ
ロトコルを破棄する。整合性が確認された場合、開示フ
ェーズにおいて送信装置は古典通信路４を用いて、式
（１８）、値（２０）、値（１６）で示される、ｂ、
ｓ、ｒのデータを受信装置２ｂに開示する。受信装置は
データ照合装置２０を用いて開示データと測定結果の照
合を行う。ここで、開示された乱数列（２０）ｓと一方
向性関数ｇ生成器３３を用いて導出されたビット列（２
１）から正しい測定器を用いた測定結果をピックアップ
し、開示された乱数列（１６）ｒと一方向性関数ｆ生成
器１５ｂを用いて導出されたビット列（１９）の対応す
るビットと比較照合する。この結果が一致すれば、開示
された値（１６）、式（１８）が正しいと確認される。
答時間が時限値（２６）以内であることを確認すると、
受信装置からの回答にある測定結果のうち、正しい測定
器を用いている測定結果の整合性をデータ照合装置１２
を用いて確認する。 ｔ’ （２６） これにより、送信者Ａは受信者Ｂがキュービット列の測
定を制限時間内に実行した有無を確認できる。正しい測
定器を用いてキュービットを測定した測定結果と送信者
の保持する式（１９）のビット、式（２１）のビットと
の整合性が確認されると、受信者Ｂが開示フェーズにな
るまでコミットされた式（１８）のビットが特定できな
いことが確認できる。また、整合性が確認されないとき
は、送信者Ａは受信者Ｂが不正を行ったと判断し当該プ
ロトコルを破棄する。整合性が確認された場合、開示フ
ェーズにおいて送信装置は古典通信路４を用いて、式
（１８）、値（２０）、値（１６）で示される、ｂ、
ｓ、ｒのデータを受信装置２ｂに開示する。受信装置は
データ照合装置２０を用いて開示データと測定結果の照
合を行う。ここで、開示された乱数列（２０）ｓと一方
向性関数ｇ生成器３３を用いて導出されたビット列（２
１）から正しい測定器を用いた測定結果をピックアップ
し、開示された乱数列（１６）ｒと一方向性関数ｆ生成
器１５ｂを用いて導出されたビット列（１９）の対応す
るビットと比較照合する。この結果が一致すれば、開示
された値（１６）、式（１８）が正しいと確認される。
【００２８】最後に開示された値（１６）ｒと一方向性
関数ｈ生成器１６ｂを用いて導出されたビット（１７）
と、開示されたコミットビット（１８）が一致すれば、
受信者Ｂは当該プロトコルを受理する。逆に、上記３つ
の開示されたデータ式（１８）、値（２０）、値（１
６）のいずれか１つでも正しく確認されなければ受信者
Ｂは当該プロトコルを破棄する。ここで、送信者がたと
えエンタングル状態のような相関のあるキュービットを
用いて、受信者Ｂの測定結果を開示フェーズの前に知る
ことが出来ても、上記のような開示データの整合性チェ
ックを免れるようなデータを捏造することは、３つの一
方向性関数（１３）、（１４）、（１５）の値から、そ
の結果に対応した都合の良い入力乱数列を見出すことが
非常に困難であるため、事実上不可能に等しい。以上の
プロトコルの流れを図５に記す．
関数ｈ生成器１６ｂを用いて導出されたビット（１７）
と、開示されたコミットビット（１８）が一致すれば、
受信者Ｂは当該プロトコルを受理する。逆に、上記３つ
の開示されたデータ式（１８）、値（２０）、値（１
６）のいずれか１つでも正しく確認されなければ受信者
Ｂは当該プロトコルを破棄する。ここで、送信者がたと
えエンタングル状態のような相関のあるキュービットを
用いて、受信者Ｂの測定結果を開示フェーズの前に知る
ことが出来ても、上記のような開示データの整合性チェ
ックを免れるようなデータを捏造することは、３つの一
方向性関数（１３）、（１４）、（１５）の値から、そ
の結果に対応した都合の良い入力乱数列を見出すことが
非常に困難であるため、事実上不可能に等しい。以上の
プロトコルの流れを図５に記す．
【００２９】実施の形態３．実施の形態２では、３つの
一方向性関数を用いた場合を示したが、ここでは、２つ
の一方向性関数を用いた変換を経てキュービットに変換
する形態を示す。図６は、図１で構成される通信系にお
いて更に他の安全なビットコミットメントプロトコルを
実現するための送信装置１ｃ、受信装置２ｃの構成を示
す図である。図６において、７ｃは式（２７）を生成す
る一方向性関数ｆ生成器である。 ｆ（・）（∈｛０，１｝2m）， （２７） また一方向性関数ｈ生成器８ｂは次式（２８）を生成す
る。 ｈ（・）（∈｛０，１｝）、 （２８） その他の乱数生成器５、時計６、互いに共役な物理量を
生成する＋系量子生成器９、×系量子生成器１０、古典
通信路送受信装置１１、データ照合装置１２は、図４に
示す同番号要素と同等のものである。また、一方向性関
数ｆ生成器１５ｃは一方向性関数ｆ生成器７ｃと同じ、
一方向性関数ｈ生成器１６ｂは一方向性関数ｈ生成器８
ｂと同じものである。その他の＋系量子生成器９に対応
した＋系量子測定器１７、×系量子生成器１０に対応し
た×系量子測定器１８、古典通信路送受信装置１９、デ
ータ照合装置２０は、図４に示す同番号要素と同等のも
のである。
一方向性関数を用いた場合を示したが、ここでは、２つ
の一方向性関数を用いた変換を経てキュービットに変換
する形態を示す。図６は、図１で構成される通信系にお
いて更に他の安全なビットコミットメントプロトコルを
実現するための送信装置１ｃ、受信装置２ｃの構成を示
す図である。図６において、７ｃは式（２７）を生成す
る一方向性関数ｆ生成器である。 ｆ（・）（∈｛０，１｝2m）， （２７） また一方向性関数ｈ生成器８ｂは次式（２８）を生成す
る。 ｈ（・）（∈｛０，１｝）、 （２８） その他の乱数生成器５、時計６、互いに共役な物理量を
生成する＋系量子生成器９、×系量子生成器１０、古典
通信路送受信装置１１、データ照合装置１２は、図４に
示す同番号要素と同等のものである。また、一方向性関
数ｆ生成器１５ｃは一方向性関数ｆ生成器７ｃと同じ、
一方向性関数ｈ生成器１６ｂは一方向性関数ｈ生成器８
ｂと同じものである。その他の＋系量子生成器９に対応
した＋系量子測定器１７、×系量子生成器１０に対応し
た×系量子測定器１８、古典通信路送受信装置１９、デ
ータ照合装置２０は、図４に示す同番号要素と同等のも
のである。
【００３０】次に動作について説明する。まず送信者Ａ
はコミットするビットを選択する。次に、乱数生成器５
により式（２９）の乱数が生成され、その後、一方向性
関数ｈ生成器８ｂによる値次の式（３０）が選択された
式（３１）のコミットビットになることを満たすまで生
成を繰り返す。 ｒ（ビット長はｌ） （２９） ｈ（ｒ） （３０） ｂ∈｛０、１｝ （３１） ここで、式（２８）を与える一方向性関数ｈ生成器８ｂ
を用いることで、その出力結果である（３１）を満足す
るような乱数列（２９）の条件がパリティビットを用い
ることよりもはるかに厳しくなるので、送信者Ａが開示
フェーズにおいて偽のｒである値（２９）を開示するこ
とが困難になる。満足するｒが生成されると一方向性関
数ｆ生成器７ｃにより式（３２）のビット列に変換され
る。 ｆi（ｒ）： ｉ＝１，．．．，２ｎ （３２） ここで、一方向性関数ｆ生成器７ｃの出力結果である式
（３２）から容易に入力した乱数列（２９）を導出でき
ず、かつ、同じ出力結果式（３２）を持つ式（２９）と
異なる乱数列を導出できない性質を利用して、開示フェ
ーズにおいて、送信者Ａによる開示する乱数列（２９）
の改ざんを防ぐことができる。
はコミットするビットを選択する。次に、乱数生成器５
により式（２９）の乱数が生成され、その後、一方向性
関数ｈ生成器８ｂによる値次の式（３０）が選択された
式（３１）のコミットビットになることを満たすまで生
成を繰り返す。 ｒ（ビット長はｌ） （２９） ｈ（ｒ） （３０） ｂ∈｛０、１｝ （３１） ここで、式（２８）を与える一方向性関数ｈ生成器８ｂ
を用いることで、その出力結果である（３１）を満足す
るような乱数列（２９）の条件がパリティビットを用い
ることよりもはるかに厳しくなるので、送信者Ａが開示
フェーズにおいて偽のｒである値（２９）を開示するこ
とが困難になる。満足するｒが生成されると一方向性関
数ｆ生成器７ｃにより式（３２）のビット列に変換され
る。 ｆi（ｒ）： ｉ＝１，．．．，２ｎ （３２） ここで、一方向性関数ｆ生成器７ｃの出力結果である式
（３２）から容易に入力した乱数列（２９）を導出でき
ず、かつ、同じ出力結果式（３２）を持つ式（２９）と
異なる乱数列を導出できない性質を利用して、開示フェ
ーズにおいて、送信者Ａによる開示する乱数列（２９）
の改ざんを防ぐことができる。
【００３１】式（３２）のビット列からビット毎にキュ
ービットを生成するにあたり、ｉ番目のビット値（３
３）に対して用いる量子生成器は、同じ式（３２）で与
えられたビットが式（３４）となるなら、＋系量子生成
器９を用い、ビット値（３３）が０であれば０度偏光の
光子を、１であれば９０度偏光の光子を生成する。 ｆi （ｒ）（ｉ＝１，．．．，ｎ） （３３） ｆn+i（ｒ）＝０ （３４） 逆に式（３２）で与えられたビットが次式（３５）とな
るなら、×系量子生成器１０を用い、ビット値（３３）
が０であれば４５度偏光の光子を、１であれば１３５度
偏光の光子を生成する。 ｆn+i（ｒ）＝１ （３５） 生成されたキュービットは量子通信路３を経由して受信
装置２ｃに伝送される。この伝送した時点より時計６に
よる計時が始まる。
ービットを生成するにあたり、ｉ番目のビット値（３
３）に対して用いる量子生成器は、同じ式（３２）で与
えられたビットが式（３４）となるなら、＋系量子生成
器９を用い、ビット値（３３）が０であれば０度偏光の
光子を、１であれば９０度偏光の光子を生成する。 ｆi （ｒ）（ｉ＝１，．．．，ｎ） （３３） ｆn+i（ｒ）＝０ （３４） 逆に式（３２）で与えられたビットが次式（３５）とな
るなら、×系量子生成器１０を用い、ビット値（３３）
が０であれば４５度偏光の光子を、１であれば１３５度
偏光の光子を生成する。 ｆn+i（ｒ）＝１ （３５） 生成されたキュービットは量子通信路３を経由して受信
装置２ｃに伝送される。この伝送した時点より時計６に
よる計時が始まる。
【００３２】一方、受信装置２ｃでは、乱数生成器１３
を用いて乱数列を生成し、その各ビットの値に従って伝
送されてきたキュービット列を＋系量子測定器１７で測
定するか、×系量子測定器１８で測定するかが選択され
る。キュービット列が届くと、選択された量子測定器に
より各キュービットを測定する。このキュービットが到
着したときから時計１４を用いて計時を始める。測定終
了後、古典通信路送受信装置１９を用いて、測定結果と
測定に用いた量子測定器の種類を送信装置に送信する。
この送信は時限値（３６）迄に実行しなければならな
い。 ｔ （３６） これは一方向性関数ｆ生成器７ｃの出力結果である式
（２７）から入力乱数列を容易には導出できないが、十
分な時間をかければ必ず入力乱数列を導出できることを
防ぐために行う。即ち、一方向性関数（２７）の出力結
果から入力乱数列を導出するのに要する時間より短い時
間で受信者にキュービットの測定を強いる。つまり、こ
の制限時間内であれば受信者Ｂはキュービット列の全て
を正しく測定することができない。
を用いて乱数列を生成し、その各ビットの値に従って伝
送されてきたキュービット列を＋系量子測定器１７で測
定するか、×系量子測定器１８で測定するかが選択され
る。キュービット列が届くと、選択された量子測定器に
より各キュービットを測定する。このキュービットが到
着したときから時計１４を用いて計時を始める。測定終
了後、古典通信路送受信装置１９を用いて、測定結果と
測定に用いた量子測定器の種類を送信装置に送信する。
この送信は時限値（３６）迄に実行しなければならな
い。 ｔ （３６） これは一方向性関数ｆ生成器７ｃの出力結果である式
（２７）から入力乱数列を容易には導出できないが、十
分な時間をかければ必ず入力乱数列を導出できることを
防ぐために行う。即ち、一方向性関数（２７）の出力結
果から入力乱数列を導出するのに要する時間より短い時
間で受信者にキュービットの測定を強いる。つまり、こ
の制限時間内であれば受信者Ｂはキュービット列の全て
を正しく測定することができない。
【００３３】送信装置１ｃでは、受信装置２ｃからの回
答時間が時限（３７）以内であることを確認すると、受
信装置からの回答にある測定結果のうち、正しい測定器
を用いている測定結果の整合性をデータ照合装置２０を
用いて確認する。 ｔ’ （３７） これにより、送信者Ａは受信者Ｂがキュービット列の測
定を制限時間内に実行した有無を確認できる。正しい測
定器を用いてキュービットを測定した測定結果と送信者
の保持する式（３２）ビットとの整合性が確認されたる
と、受信者Ｂが開示フェーズになるまでコミットされた
式（３１）のビットが特定できないことが確認できる。
また、整合性が確認されないときは、送信者Ａは受信者
Ｂが不正を行ったと判断し当該プロトコルを破棄する。
整合性が確認された場合、開示フェーズにおいて送信装
置は古典通信路４を用いて、式（３１）、式（２９）の
データを受信装置２ｃに開示する。受信装置２ｃはデー
タ照合装置２０を用いて開示データと測定結果の照合を
行う。ここで、開示された乱数列（２９）ｒと一方向性
関数ｆ生成器１５ｃを用いて導出されたビット列（３
２）から正しい測定器を用いた測定結果をピックアップ
し、対応するビットと比較照合する。この結果が一致す
れば、開示された（２９）が正しいと確認される。
答時間が時限（３７）以内であることを確認すると、受
信装置からの回答にある測定結果のうち、正しい測定器
を用いている測定結果の整合性をデータ照合装置２０を
用いて確認する。 ｔ’ （３７） これにより、送信者Ａは受信者Ｂがキュービット列の測
定を制限時間内に実行した有無を確認できる。正しい測
定器を用いてキュービットを測定した測定結果と送信者
の保持する式（３２）ビットとの整合性が確認されたる
と、受信者Ｂが開示フェーズになるまでコミットされた
式（３１）のビットが特定できないことが確認できる。
また、整合性が確認されないときは、送信者Ａは受信者
Ｂが不正を行ったと判断し当該プロトコルを破棄する。
整合性が確認された場合、開示フェーズにおいて送信装
置は古典通信路４を用いて、式（３１）、式（２９）の
データを受信装置２ｃに開示する。受信装置２ｃはデー
タ照合装置２０を用いて開示データと測定結果の照合を
行う。ここで、開示された乱数列（２９）ｒと一方向性
関数ｆ生成器１５ｃを用いて導出されたビット列（３
２）から正しい測定器を用いた測定結果をピックアップ
し、対応するビットと比較照合する。この結果が一致す
れば、開示された（２９）が正しいと確認される。
【００３４】最後に開示された（２９）ｒと一方向性関
数ｈ生成器１６ｂを用いて導出されたビット（３０）と
開示されたコミットビット（３１）が一致すれば、受信
者Ｂは当該プロトコルを受理する。逆に、上記２つの開
示されたデータ（２９）、（３１）のいずれか１つでも
正しく確認されなければ受信者Ｂは当該プロトコルを破
棄する。ここで、送信者がたとえエンタングル状態のよ
うな相関のあるキュービットを用いて、受信者Ｂの測定
結果を開示フェーズの前に知ることが出来ても、上記の
ような開示データの整合性チェックを免れるようなデー
タを捏造することは、２つの一方向性関数（２７）、
（２８）の値から、その結果に対応した都合の良い入力
乱数列を見出すことが非常に困難であるため、事実上不
可能に等しい。以上のプロトコルの流れを図７に記す．
数ｈ生成器１６ｂを用いて導出されたビット（３０）と
開示されたコミットビット（３１）が一致すれば、受信
者Ｂは当該プロトコルを受理する。逆に、上記２つの開
示されたデータ（２９）、（３１）のいずれか１つでも
正しく確認されなければ受信者Ｂは当該プロトコルを破
棄する。ここで、送信者がたとえエンタングル状態のよ
うな相関のあるキュービットを用いて、受信者Ｂの測定
結果を開示フェーズの前に知ることが出来ても、上記の
ような開示データの整合性チェックを免れるようなデー
タを捏造することは、２つの一方向性関数（２７）、
（２８）の値から、その結果に対応した都合の良い入力
乱数列を見出すことが非常に困難であるため、事実上不
可能に等しい。以上のプロトコルの流れを図７に記す．
【００３５】
【発明の効果】以上のように，この発明におけるはビッ
トコミットメントプロトコルは乱数生成器から生成した
乱数を一方向性関数を通して変換後にキュービット生成
に使うので，送信者がエンタングルド状態のような特殊
な量子状態を用いて不正を働くことを非常に困難にする
という効果がある．また，受信者が測定結果を送信者に
時限内に報告しなければならないので受信者が観測を不
履行することによる受信者の不正を防ぐことができる.
従って，安全なビットコミットメントプロトコルが構成
できるので，安全な紛失通信が実現できる
トコミットメントプロトコルは乱数生成器から生成した
乱数を一方向性関数を通して変換後にキュービット生成
に使うので，送信者がエンタングルド状態のような特殊
な量子状態を用いて不正を働くことを非常に困難にする
という効果がある．また，受信者が測定結果を送信者に
時限内に報告しなければならないので受信者が観測を不
履行することによる受信者の不正を防ぐことができる.
従って，安全なビットコミットメントプロトコルが構成
できるので，安全な紛失通信が実現できる
【図１】 この発明の各実施の形態における全体構成を
示すブロック図である。
示すブロック図である。
【図２】 実施の形態１における量子ビットコミットメ
ントプロトコル送信装置と受信装置の内部構成を示す図
である。
ントプロトコル送信装置と受信装置の内部構成を示す図
である。
【図３】 実施の形態１におけるプロトコルの流れ図で
ある。
ある。
【図４】 この発明の実施の形態２における量子ビット
コミットメントプロトコル送信装置と受信装置の内部構
成を示す図である。
コミットメントプロトコル送信装置と受信装置の内部構
成を示す図である。
【図５】 実施の形態２におけるプロトコルの流れ図で
ある。
ある。
【図６】 この発明の実施の形態３における量子ビット
コミットメントプロトコル送信装置と受信装置の内部構
成を示す図である。
コミットメントプロトコル送信装置と受信装置の内部構
成を示す図である。
【図７】 実施の形態３におけるプロトコルの流れ図で
ある。
ある。
【図８】 従来の量子ビットコミットメントプロトコル
送信装置と受信装置の構成図である。
送信装置と受信装置の構成図である。
１，１ｂ，１ｃ 量子ビットコミットメントプロトコル
送信装置、２，２ｂ，２ｃ 量子ビットコミットメント
プロトコル受信装置、３ 量子通信路、４ 古典通信
路、５ 乱数生成器、６ 時計、７，７ｂ，７ｃ 一方
向性関数ｆ生成器、８，８ｂ 一方向性関数ｈ生成器、
９ ＋系量子生成器、１０ ×系量子生成器、１１ 古
典通信路送受信装置、１２ データ照合装置、１３ 乱
数生成器、１４ 時計、１５，１５ｂ，１５ｃ 一方向
性関数ｆ生成器、１６，１６ｂ 一方向性関数ｈ生成
器、１７ ＋系量子測定器、１８ ×系量子測定器、１
９ 古典通信路送受信装置、２０ データ照合装置、２
４ 一方向性関数ｇ生成器、３３ 一方向性関数ｇ生成
器。
送信装置、２，２ｂ，２ｃ 量子ビットコミットメント
プロトコル受信装置、３ 量子通信路、４ 古典通信
路、５ 乱数生成器、６ 時計、７，７ｂ，７ｃ 一方
向性関数ｆ生成器、８，８ｂ 一方向性関数ｈ生成器、
９ ＋系量子生成器、１０ ×系量子生成器、１１ 古
典通信路送受信装置、１２ データ照合装置、１３ 乱
数生成器、１４ 時計、１５，１５ｂ，１５ｃ 一方向
性関数ｆ生成器、１６，１６ｂ 一方向性関数ｈ生成
器、１７ ＋系量子測定器、１８ ×系量子測定器、１
９ 古典通信路送受信装置、２０ データ照合装置、２
４ 一方向性関数ｇ生成器、３３ 一方向性関数ｇ生成
器。
Claims (6)
- 【請求項１】 ２つの異なる量子生成器と乱数発生器と
により、コミットするデータを含むデータを量子通信路
と古典通信路とを用いて伝送する構成において、 入力数列から一方向性関数を得る一方向性関数発生手段
と、応答時間を規制する時計とを備えて、 上記一方向性関数発生手段の入力数列を上記乱数発生器
から得て、該一方向性関数発生手段の出力を少なくとも
上記量子生成器に与えるようにし、かつ受信先からの受
信応答である測定結果の受付を上記時計が指定する時間
内に限定したことを特徴とする量子ビットコミットメン
ト送信装置。 - 【請求項２】 異なる２つの一方向性関数発生手段を設
けて、１つは古典通信路を用いて伝送するようにしたこ
とを特徴とする請求項１記載の量子ビットコミットメン
ト送信装置。 - 【請求項３】 他の一方向性関数発生手段を設けて、該
他の一方向性関数発生手段出力がコミットするデータを
生成するようにしたことを特徴とする請求項１記載の量
子ビットコミットメント送信装置。 - 【請求項４】 コミットするデータを順次定めたデータ
列を一方向性関数発生手段の入力数列としたことを特徴
とする請求項３記載の量子ビットコミットメント送信装
置。 - 【請求項５】 ２つの異なる量子生成器と乱数発生器と
により、コミットするデータを含むデータを量子通信路
と古典通信路とを用いて伝送する構成において、 入力数列から一方向性関数を得る一方向性関数発生手段
と、応答時間を規制する時計とを備えて、 上記一方向性関数発生手段は、送信装置に対応した一方
向性関数発生手段とし、開示フェーズにおける受信デー
タを入力数列として、かつ該出力を先に受信した結果と
比較し、かつ送信元への受信応答である測定結果の送信
を上記時計が指定する時間内に限定したことを特徴とす
る量子ビットコミットメント受信装置。 - 【請求項６】 ２つの異なる量子生成器と乱数発生器と
により、コミットするデータを含むデータを量子通信路
と古典通信路とを用いて伝送する構成において、 送信装置と受信装置は、入力数列から一方向性関数を得
る一方向性関数発生手段と、応答時間を規制する時計と
を備えて、 上記送信装置は、上記一方向性関数発生手段の入力数列
を上記乱数発生器から得て、該一方向性関数発生手段の
出力を少なくとも上記量子生成器に与えるようにし、か
つ受信先からの受信応答である測定結果の受付を上記時
計が指定する時間内に限定し、 上記受信装置は、一方向性関数発生手段を送信装置に対
応した構成とし、開示フェーズにおける受信データを入
力数列として、かつ該出力を先に受信した結果と比較
し、かつ送信元への受信応答である測定結果の送信を上
記時計が指定する時間内に限定したことを特徴とする量
子ビットコミットメント通信システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000217041A JP3949879B2 (ja) | 2000-07-18 | 2000-07-18 | 量子ビットコミットメント送信装置及び量子ビットコミットメント受信装置及び量子ビットコミットメント通信システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000217041A JP3949879B2 (ja) | 2000-07-18 | 2000-07-18 | 量子ビットコミットメント送信装置及び量子ビットコミットメント受信装置及び量子ビットコミットメント通信システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002033730A true JP2002033730A (ja) | 2002-01-31 |
| JP3949879B2 JP3949879B2 (ja) | 2007-07-25 |
Family
ID=18712211
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000217041A Expired - Fee Related JP3949879B2 (ja) | 2000-07-18 | 2000-07-18 | 量子ビットコミットメント送信装置及び量子ビットコミットメント受信装置及び量子ビットコミットメント通信システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3949879B2 (ja) |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1305250C (zh) * | 2002-05-15 | 2007-03-14 | 中兴通讯股份有限公司 | 一种量子安全通信方法 |
| JP2007511956A (ja) * | 2003-11-13 | 2007-05-10 | マジック テクノロジーズ，インコーポレーテッド | 古典的なビット暗号化を有するｑｋｄ |
| JPWO2006003715A1 (ja) * | 2004-07-06 | 2008-04-17 | 三菱電機株式会社 | 量子暗号通信システム |
| US7649996B2 (en) | 2002-09-26 | 2010-01-19 | Mitsubishi Denki Kabushiki Kaisha | Cryptographic communication apparatus |
| JP2011061304A (ja) * | 2009-09-07 | 2011-03-24 | Nippon Telegr & Teleph Corp <Ntt> | 秘密証拠の供託方法 |
| JP2011061833A (ja) * | 2010-10-28 | 2011-03-24 | Mitsubishi Electric Corp | 量子暗号通信システムおよび送信装置 |
| JP2014521132A (ja) * | 2011-07-07 | 2014-08-25 | ムイセ，ジョセフ，ジェラード | デジタル画像で発見された微細構造とノイズをベースにした真正乱数生成器の提供の方法 |
-
2000
- 2000-07-18 JP JP2000217041A patent/JP3949879B2/ja not_active Expired - Fee Related
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1305250C (zh) * | 2002-05-15 | 2007-03-14 | 中兴通讯股份有限公司 | 一种量子安全通信方法 |
| US7649996B2 (en) | 2002-09-26 | 2010-01-19 | Mitsubishi Denki Kabushiki Kaisha | Cryptographic communication apparatus |
| JP2007511956A (ja) * | 2003-11-13 | 2007-05-10 | マジック テクノロジーズ，インコーポレーテッド | 古典的なビット暗号化を有するｑｋｄ |
| JPWO2006003715A1 (ja) * | 2004-07-06 | 2008-04-17 | 三菱電機株式会社 | 量子暗号通信システム |
| JP2011061304A (ja) * | 2009-09-07 | 2011-03-24 | Nippon Telegr & Teleph Corp <Ntt> | 秘密証拠の供託方法 |
| JP2011061833A (ja) * | 2010-10-28 | 2011-03-24 | Mitsubishi Electric Corp | 量子暗号通信システムおよび送信装置 |
| JP2014521132A (ja) * | 2011-07-07 | 2014-08-25 | ムイセ，ジョセフ，ジェラード | デジタル画像で発見された微細構造とノイズをベースにした真正乱数生成器の提供の方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3949879B2 (ja) | 2007-07-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11838407B2 (en) | Computer-implemented systems and methods for using a blockchain to perform an atomic swap | |
| Halevi et al. | Practical and provably-secure commitment schemes from collision-free hashing | |
| Ben-David et al. | Quantum tokens for digital signatures | |
| Amos et al. | One-shot signatures and applications to hybrid quantum/classical authentication | |
| Bartusek et al. | One-way functions imply secure computation in a quantum world | |
| Kaniewski et al. | Secure bit commitment from relativistic constraints | |
| CN110493010B (zh) | 基于量子数字签名的邮件系统的邮件收发方法 | |
| Cojocaru et al. | QFactory: classically-instructed remote secret qubits preparation | |
| Crépeau et al. | Two provers in isolation | |
| US20100150349A1 (en) | Method and system for performing quantum bit commitment protocol | |
| EP1768301B1 (en) | Quantum encryption communication system | |
| Bartusek et al. | Cryptography with certified deletion | |
| Freitag et al. | Non-malleable time-lock puzzles and applications | |
| Zhu et al. | An efficient quantum identity authentication key agreement protocol without entanglement | |
| Liu et al. | Two-pass authenticated key exchange with explicit authentication and tight security | |
| Damgård et al. | Improving the security of quantum protocols via commit-and-open | |
| CN106788990B (zh) | 单代理量子比特承诺协议 | |
| JP3949879B2 (ja) | 量子ビットコミットメント送信装置及び量子ビットコミットメント受信装置及び量子ビットコミットメント通信システム | |
| Crépeau et al. | How to convert the flavor of a quantum bit commitment | |
| He | Quantum private comparison protocol without a third party | |
| JP2007116216A (ja) | 量子認証方法およびシステム | |
| Wang et al. | Consensus algorithm based on verifiable quantum random numbers | |
| JP5156078B2 (ja) | 量子暗号通信システムおよび送信装置 | |
| Koshiba et al. | Non-interactive statistically-hiding quantum bit commitment from any quantum one-way function | |
| Barnett et al. | Bell's inequality and rejected-data protocols for quantum cryptography |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20040517 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040924 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20041018 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070123 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070306 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070417 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070419 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100427 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110427 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120427 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120427 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130427 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130427 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140427 Year of fee payment: 7 |
|
| LAPS | Cancellation because of no payment of annual fees |