JP2003158519A

JP2003158519A - 量子状態および量子情報の暗号化方法と装置

Info

Publication number: JP2003158519A
Application number: JP2001357711A
Authority: JP
Inventors: Hiroo Azuma; 広夫吾妻
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2001-11-22
Filing date: 2001-11-22
Publication date: 2003-05-30

Abstract

(57)【要約】【課題】送信者、受信者が、あらかじめもつれ合った
対のｑｕｂｉｔを共有すること無しに、任意の量子状態
を安全に伝送する際、盗聴者が、伝送される量子状態
（量子情報）の一部（例えば、ｎーｑｕｂｉｔ中の１個
のｑｕｂｉｔ）を奪取、破壊する事を防ぐ、暗号化方法
および装置を提供する。【解決手段】暗号化されるｎーｑｕｂｉｔ量子状態
（量子情報）の各ｑｕｂｉｔを、量子エラー訂正コード
でブロック符号化してから、全ｑｕｂｉｔを、第一の暗
号化、署名情報を持つ量子系を付加、第二の暗号化、を
行う暗号化方法を適用する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、任意の量子状態お
よび量子情報の暗号化方法と装置に関するものである。

【０００２】

【従来の技術】量子力学の原理を効果的に利用すること
で、これまでにはなかった情報処理を行う量子情報理
論、量子計算理論が、最近急激に進展している（Ｐ．
Ｗ．Ｓｈｏｒ，‘Ａｌｇｏｒｉｔｈｍｓｆｏｒｑｕ
ａｎｔｕｍｃｏｍｐｕｔａｔｉｏｎ：Ｄｉｓｃｒｅｔ
ｅｌｏｇａｒｉｔｈｍｓａｎｄｆａｃｔｏｒｉｎ
ｇ’ｉｎＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ３
５ｔｈＡｎｎｕａｌＳｙｍｐｏｓｉｕｍｏｎＦ
ｏｕｎｄａｔｉｏｎｓｏｆＣｏｍｐｕｔｅｒＳｃｉ
ｅｎｃｅ（ｅｄ．Ｓ．Ｇｏｌｄｗａｓｓｅｒ）１２４−
１３４（ＩＥＥＥＣｏｍｐｕｔｅｒＳｏｃｉｅｔｙ，
ＬｏｓＡｌａｍｉｔｏｓ，ＣＡ，１９９４）．およ
び、Ｐ．Ｗ．Ｓｈｏｒ，‘Ｐｏｌｙｎｏｍｉａｌ−Ｔｉ
ｍｅＡｌｇｏｒｉｔｈｍｓｆｏｒＰｒｉｍｅＦ
ａｃｔｏｒｉｚａｔｉｏｎａｎｄＤｉｓｃｒｅｔｅ
ＬｏｇａｒｉｔｈｍｓｏｎａＱｕａｎｔｕｍ
Ｃｏｍｐｕｔｅｒ’，ＳＩＡＭＪ．Ｃｏｍｐｕｔｉ
ｎｇ２６，１４８４（１９９７）．および、Ｄ．Ｄｅ
ｕｔｓｃｈａｎｄＲ．Ｊｏｚｓａ，‘Ｒａｐｉｄ
ｓｏｌｕｔｉｏｎｏｆｐｒｏｂｌｅｍｓｂｙｑ
ｕａｎｔｕｍｃｏｍｐｕｔａｔｉｏｎ’，Ｐｒｏｃ．
Ｒ．Ｓｏｃ．Ｌｏｎｄ．Ａ４３９，５５３（１９９
２）．）。また、これらの理論を実現する際、量子的な
情報処理を行うデバイスとなる量子系と、それを取り囲
む環境系との相互作用によって引き起こされる、デコヒ
ーレンスの問題を回避するために、環境系からのノイズ
を取り除く、量子エラー訂正理論も整備されつつある。
一方、これらと並行して、量子論での不確定性、およ
び、量子状態複製不可能定理、それに複数の量子系の間
でのもつれ合いの性質を、暗号に応用する研究も進めら
れている。

【０００３】本明細書の内容は、量子暗号、および、量
子エラー訂正符号に関する技術、考え方と深い関連があ
る。そこで、以下に、これらの分野の従来技術について
説明する。

【０００４】［量子暗号］現在、量子暗号は、目的に応
じて様々な種類のものが考案されている。ここでは、古
典鍵配布を目的としたもの、および、量子状態の安全な
伝送を目的としたものの二種類について説明する。

【０００５】古典鍵配布とは、古典的な乱数列を第三者
に知られることなく共有することである。安全な古典鍵
配布が実現できれば、ｏｎｅ−ｔｉｍｅｐａｄ法と組
み合わせることで、信頼性の高い暗号を実現することが
できる。この種の量子暗号の代表的なものの一つに、Ｂ
Ｂ８４がある（Ｃ．Ｈ．ＢｅｎｎｅｔｔａｎｄＧ．
Ｂｒａｓｓａｒｄ，‘Ｑｕａｎｔｕｍｃｒｙｐｔｏｇ
ｒａｐｈｙ：Ｐｕｂｌｉｃｋｅｙｄｉｓｔｒｉｂｕ
ｔｉｏｎａｎｄｃｏｉｎｔｏｓｓｉｎｇ’，Ｐｒ
ｏｃｅｅｄｉｎｇｓｏｆＩＥＥＥＩｎｔｅｒｎａ
ｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕ
ｔｅｒｓ，Ｓｙｓｔｅｍｓ，ａｎｄＳｉｇｎａｌＰｒ
ｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，
ｐｐ．１７５−１７９，Ｄｅｃｅｍｂｅｒ１９８４．
および、Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｆ．Ｂ．Ｂｅｓｓｅ
ｔｔｅ，Ｇ．Ｂｒａｓｓａｒｄ，Ｌ．Ｓａｌｖａｉｌａ
ｎｄＪ．Ｓｍｏｌｉｎ，‘Ｅｘｐｅｒｉｍｅｎｔａｌ
ＱｕａｎｔｕｍＣｒｙｐｔｏｇｒａｐｈｙ’，Ｊ．Ｃ
ｒｙｐｔｏｌｏｇｙ，５：３−２８（１９９２）．およ
び、Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｇ．Ｂｒａｓｓａｒｄ
ａｎｄＡ．Ｋ．Ｅｋｅｒｔ，‘ＱｕａｎｔｕｍＣｒ
ｙｐｔｏｇｒａｐｈｙ’，ＳｃｉｅｎｔｉｆｉｃＡｍ
ｅｒｉｃａｎ，２６７，Ｎｏ．４，５０−５７，Ｏｃｔ
ｏｂｅｒ１９９２．）。

【０００６】ＢＢ８４の操作手順は、大まかに次のとお
りである。送信者Ａｌｉｃｅは一光子（または、二状態
系、ｑｕｂｉｔ）状態として、直線偏光基底｛｜０＞，
｜１＞｝、円偏光基底｛（１／√２）（｜０＞±｜１
＞）｝の、四種類の状態の中から無作為に一つを選び、
受信者Ｂｏｂに送る。Ｂｏｂは、Ａｌｉｃｅとは独立に
二種類の基底の中から、どちらか一方を無作為に選び、
その基底によって送られて来た光子を観測する。この過
程を繰り返し、Ａｌｉｃｅ，Ｂｏｂの基底が一致したと
きのデータのみを採用し、｜０＞，（１／√２）（｜０
＞＋｜１＞）をｂｉｔ値’０’に、｜１＞，（１／√
２）（｜０＞−｜１＞）を’１’に対応させる。

【０００７】直線偏光の基底と円偏光の基底は両立せ
ず、誤った基底で観測した場合に得られるデータは確率
的にランダムとなる。盗聴者Ｅｖｅが途中で光子を抜き
取って適当な基底で観測し代わりの光子を送ると、一光
子あたり１／４以上の確率で矛盾が生じＡｌｉｃｅ，
Ｂｏｂに察知される。このようにＢＢ８４は、量子力学
の不確定性原理を効果的に使うことによって盗聴者の存
在を見破る。なお、これより暗号の分野での習慣に従
い、情報の送り手をＡｌｉｃｅ、受け手をＢｏｂ、盗聴
者をＥｖｅで表すことにする。

【０００８】Ａ．Ｋ．Ｅｋｅｒｔは、ＥＰＲ−ｓｔａｔ
ｅ｜Ψ⁻＞＝（１／√２）（｜０１＞−｜１０＞）に
ある二つのｑｕｂｉｔをＡｌｉｃｅ，Ｂｏｂに配送す
ることにより、古典乱数鍵配布を行うプロトコルを提案
した（Ａ．Ｋ．Ｅｋｅｒｔ，‘ＱｕａｎｔｕｍＣｒｙ
ｐｔｏｇｒａｐｈｙＢａｓｅｄｏｎＢｅｌｌ’ｓ
Ｔｈｅｏｒｅｍ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．６
７，６６１（１９９１）．）。Ｅｖｅの介入の検出は、
Ｂｅｌｌの定理で行う。Ａｌｉｃｅ，Ｂｏｂは、各自あ
らかじめ定められた三種類の基底の中から、無作為に一
つの基底を選択して、手元にあるＥＰＲ−ｓｔａｔｅの
ｑｕｂｉｔを観測する。この過程を繰り返し、基底が一
致した場合の結果については鍵のためのデータとして採
用する。異なる基底で観測した場合は公共回線で結果を
公表し、相関関数Ｓを計算する。Ｅｖｅが介入した場合
としなかった場合のＳの違いから盗聴を検知する。

【０００９】一方、Ｃ．Ｈ．Ｂｅｎｎｅｔｔらは、Ａ．
Ｋ．Ｅｋｅｒｔのプロトコルを簡略化したものについて
考察し、これがＢＢ８４と等価であることを示した
（Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｇ．Ｂｒａｓｓａｒｄ，ａ
ｎｄＮ．Ｄ．Ｍｅｒｍｉｎ，‘ＱｕａｎｔｕｍＣｒｙ
ｐｔｏｇｒａｐｈｙｗｉｔｈｏｕｔＢｅｌｌ’ｓ
Ｔｈｅｏｒｅｍ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．６
８，５５７（１９９２）．）。彼らは、Ａｌｉｃｅ，Ｂ
ｏｂの選択する観測基底を二種類にし、ＥＰＲ−ｓｔａ
ｔｅの発生源をＡｌｉｃｅに持たせた。ＡｌｉｃｅはＥ
ＰＲ−ｓｔａｔｅ源から発せられる一対のｑｕｂｉｔの
うち、一個のｑｕｂｉｔを手元に残して、直線偏光、円
偏光のどちらか無作為に選んだ基底で観測し、残りもう
一つのｑｕｂｉｔをＢｏｂに送る。Ａｌｉｃｅ，Ｂｏｂ
の観測基底が同じ場合の結果をデータとして採用し、そ
の中の一部をＥｖｅの検出に使う。ＡｌｉｃｅがＢｏｂ
に向けて発する信号のランダムさが、ＥＰＲ−ｓｔａｔ
ｅの観測によるものか、古典乱数によるものか見分けが
付かず、ＢＢ８４と等価となる。

【００１０】これらの一連の仕事により、古典鍵配布を
量子力学によって行う場合、不確定性のみで十分で、も
つれ合いの性質は必ずしも必要ではないことが認識され
るようになった。（しかし、ｅｎｔａｎｇｌｅｍｅｎｔ
ｐｕｒｉｆｉｃａｔｉｏｎｐｒｏｔｏｃｏｌと呼ばれ
る技術をＥｋｅｒｔのプロトコルと併用すると、極めて
安全に古典鍵配布を実行出来ることが知られている
（Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｇ．Ｂｒａｓｓａｒｄ，
Ｓ．Ｐｏｐｅｓｃｕ，Ｂ．Ｓｃｈｕｍａｃｈｅｒ，Ｊ．
Ａ．ＳｍｏｌｉｎａｎｄＷ．Ｋ．Ｗｏｏｔｔｅｒ
ｓ，‘ＰｕｒｉｆｉｃａｔｉｏｎｏｆＮｏｉｓｙ
ＥｎｔａｎｇｌｅｍｅｎｔａｎｄＦａｉｔｈｆｕｌ
ＴｅｌｅｐｏｒｔａｔｉｏｎｖｉａＮｏｉｓｙ
Ｃｈａｎｎｅｌｓ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．７
６，７２２（１９９６）．および、Ｄ．Ｄｅｕｔｓｃ
ｈ，Ａ．Ｅｋｅｒｔ，Ｒ．Ｊｏｚｓａ，Ｃ．Ｍａｃｃｈ
ｉａｖｅｌｌｏ，Ｓ．ＰｏｐｅｓｃｕａｎｄＡ．Ｓ
ａｎｐｅｒａ，‘ＱｕａｎｔｕｍＰｒｉｖａｃｙＡｍ
ｐｌｉｆｉｃａｔｉｏｎａｎｄｔｈｅＳｅｃｕｒ
ｉｔｙｏｆＱｕａｎｔｕｍＣｒｙｐｔｏｇｒａｐ
ｈｙｏｖｅｒＮｏｉｓｙＣｈａｎｎｅｌｓ’，Ｐ
ｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．７７，２８１８（１９９
６）．および、Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｄ．Ｐ．Ｄｉ
Ｖｉｎｃｅｎｚｏ，Ｊ．Ａ．Ｓｍｏｌｉｎａｎｄ
Ｗ．Ｋ．Ｗｏｏｔｔｅｒｓ，‘Ｍｉｘｅｄ−ｓｔａｔｅ
ｅｎｔａｎｇｌｅｍｅｎｔａｎｄｑｕａｎｔｕｍ
ｅｒｒｏｒｃｏｒｒｅｃｔｉｏｎ’，Ｐｈｙｓ．Ｒ
ｅｖ．Ａ５４，３８２４（１９９６）．）。）任意の量
子状態を安全に伝送する有効な方法として、量子テレポ
テーションが考えられている（Ｃ．Ｈ．Ｂｅｎｎｅｔ
ｔ，Ｇ．Ｂｒａｓｓａｒｄ，Ｃ．Ｃｒｅ′ｐｅａｕ，
Ｒ．Ｊｏｚｓａ，Ａ．ＰｅｒｅｓａｎｄＷ．Ｋ．Ｗｏｏ
ｔｔｅｒｓ，‘Ｔｅｌｅｐｏｒｔｉｎｇａｎｕｎｋ
ｎｏｗｎｑｕａｎｔｕｍｓｔａｔｅｓｖｉａｄ
ｕａｌｃｌａｓｓｉｃａｎｄＥｉｎｓｔｅｉｎ−
Ｐｏｄｏｌｓｋｙ−Ｒｏｓｅｎｃｈａｎｎｅｌｓ’，
Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．７０，１８９５（１９９
３）．および、Ｄ．Ｂｏｕｗｍｅｅｓｔｅｒ，Ｊ−Ｗ．
Ｐａｎ，Ｋ．Ｍａｔｔｌｅ，Ｍ．Ｅｉｂｌ，Ｈ．Ｗｅｉ
ｎｆｕｒｔｅｒａｎｄＡ．Ｚｅｉｌｉｎｇｅｒ，
‘Ｅｘｐｅｒｉｍｅｎｔａｌｑｕａｎｔｕｍｔｅｌｅ
ｐｏｒｔａｔｉｏｎ’，Ｎａｔｕｒｅ３９０，５７５−
５７９（１９９７）．および、Ａ．Ｆｕｒｕｓａｗａ，
Ｊ．Ｌ．Ｓｏｒｅｎｓｅｎ，Ｓ．Ｌ．Ｂｒａｕｎｓｔｅ
ｉｎ，Ｃ．Ａ．Ｆｕｃｈｓ，Ｈ．Ｊ．Ｋｉｍｂｌｅａ
ｎｄＥ．Ｓ．Ｐｏｌｚｉｋ，‘Ｕｎｃｏｎｄｉｔｉｏ
ｎａｌＱｕａｎｔｕｍＴｅｌｅｐｏｒｔａｔｉｏ
ｎ’，Ｓｃｉｅｎｃｅ２８２，７０６−７０９（１９９
８）．）。

【００１１】量子テレポテーションの操作手順は、大ま
かに次のとおりである。あらかじめＡｌｉｃｅとＢｏｂ
は、ＥＰＲ−ｓｔａｔｅにある一対のｑｕｂｉｔを共有
しているとする。Ａｌｉｃｅは伝送したい１−ｑｕｂｉ
ｔ状態｜ψ＞と、手元にあるＥＰＲ−ｓｔａｔｅのｑｕ
ｂｉｔに対して、四つのＢｅｌｌ状態を基底とする観測
を行う。Ａｌｉｃｅは観測結果を２−ｂｉｔの古典情報
として公共回線でＢｏｂに伝える。ＢｏｂはＡｌｉｃｅ
からの通報に応じたユニタリ変換を手元のＥＰＲ−ｓｔ
ａｔｅのｑｕｂｉｔに作用させる。この結果、Ｂｏｂの
持つｑｕｂｉｔはＡｌｉｃｅの伝送したかった状態｜ψ
＞になる。

【００１２】この方法の特徴は、｜ψ＞の古典情報と非
古典情報が完全に分離され、古典情報のみが公共回線で
送られることにある。そのため、ＡｌｉｃｅはＢｏｂの
詳細な位置を知らなくてもよい。また、ＥＰＲ−ｓｔａ
ｔｅの共有が正しく行われていれば、盗聴は原理的に不
可能であり、Ｅｖｅは量子情報｜ψ＞を破壊することも
出来ない。

【００１３】量子テレポテーションは、任意の量子状態
を伝送する方法として優れた性質を持っている。しか
し、伝送の操作に先立って、送信者（Ａｌｉｃｅ）と受
信者（Ｂｏｂ）は、もつれ合った一対のｑｕｂｉｔを共
有していなければならない。この一対のｑｕｂｉｔは、
ある源で生成した後、送信者（Ａｌｉｃｅ）、受信者
（Ｂｏｂ）に量子回線で配られなくてはならない。従っ
て例えば、盗聴者（Ｅｖｅ）が、受信者（Ｂｏｂ）が保
持するはずのｑｕｂｉｔを量子回線の途中で奪ってしま
うと、盗聴は成功してしまう。このような危険を回避す
るために、送信者（Ａｌｉｃｅ）、受信者（Ｂｏｂ）
はあらかじめ多くのもつれ合った対のｑｕｂｉｔを配り
合った後、これらをｅｎｔａｎｇｌｅｍｅｎｔｐｕｒ
ｉｆｉｃａｔｉｏｎｐｒｏｔｏｃｏｌと呼ばれる技術
で精製する（Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｇ．Ｂｒａｓｓ
ａｒｄ，Ｓ．Ｐｏｐｅｓｃｕ，Ｂ．Ｓｃｈｕｍａｃｈｅ
ｒ，Ｊ．Ａ．ＳｍｏｌｉｎａｎｄＷ．Ｋ．Ｗｏｏｔ
ｔｅｒｓ，‘ＰｕｒｉｆｉｃａｔｉｏｎｏｆＮｏｉ
ｓｙＥｎｔａｎｇｌｅｍｅｎｔａｎｄＦａｉｔｈ
ｆｕｌＴｅｌｅｐｏｒｔａｔｉｏｎｖｉａＮｏｉ
ｓｙＣｈａｎｎｅｌｓ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔ
ｔ．７６，７２２（１９９６）．および、Ｄ．Ｄｅｕｔ
ｓｃｈ，Ａ．Ｅｋｅｒｔ，Ｒ．Ｊｏｚｓａ，Ｃ．Ｍａｃ
ｃｈｉａｖｅｌｌｏ，Ｓ．Ｐｏｐｅｓｃｕａｎｄ
Ａ．Ｓａｎｐｅｒａ，‘ＱｕａｎｔｕｍＰｒｉｖａｃ
ｙＡｍｐｌｉｆｉｃａｔｉｏｎａｎｄｔｈｅＳ
ｅｃｕｒｉｔｙｏｆＱｕａｎｔｕｍＣｒｙｐｔｏ
ｇｒａｐｈｙｏｖｅｒＮｏｉｓｙＣｈａｎｎｅｌ
ｓ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．７７，２８１８
（１９９６）．および、Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｄ．
Ｐ．ＤｉＶｉｎｃｅｎｚｏ，Ｊ．Ａ．Ｓｍｏｌｉｎａ
ｎｄＷ．Ｋ．Ｗｏｏｔｔｅｒｓ，‘Ｍｉｘｅｄ−ｓｔ
ａｔｅｅｎｔａｎｇｌｅｍｅｎｔａｎｄｑｕａｎ
ｔｕｍｅｒｒｏｒｃｏｒｒｅｃｔｉｏｎ’，Ｐｈｙ
ｓ．Ｒｅｖ．Ａ５４，３８２４（１９９６）．）。

【００１４】ＢＢ８４、および、量子テレポテーション
は、量子状態複製不可能定理と深い関係がある。この定
理は、任意の量子状態の複製を作るユニタリ変換は存在
しないというものである（Ｗ．Ｋ．Ｗｏｏｔｔｅｒｓ
ａｎｄＷ．Ｈ．Ｚｕｒｅｋ，‘Ａｓｉｎｇｌｅｑ
ｕａｎｔｕｍｃａｎｎｏｔｂｅｃｌｏｎｅｄ’，
Ｎａｔｕｒｅ２９９，８０２−８０３（１９８
２）．）。

【００１５】ＢＢ８４ではこの定理が次の点で効いてい
る。Ｅｖｅは量子通信回線の途中でｑｕｂｉｔ（光子）
を抜き取っても、二種類の基底のうち、どちらが選ばれ
ているのか分からない。従って、Ｅｖｅはｑｕｂｉｔの
複製を作って自分の手元に残すことが出来ず、適当な基
底で観測し、観測結果に応じて代わりのｑｕｂｉｔを送
るしかない。この意味で量子状態複製不可能定理は不確
定性の別の表現と考えても差し支えない。

【００１６】また、量子テレポテーションでは、Ａｌｉ
ｃｅは送りたい状態｜ψ＞の複製が作れないので、｜ψ
＞を観測することは出来ない。これは、観測によって元
々の量子情報を損なう可能性があるからである。量子テ
レポテーションでは全過程を通じてＡｌｉｃｅ，Ｂｏｂ
共に、送っている量子状態｜ψ＞について何の知識も持
たない。

【００１７】なお、最近、Ｂｅｌｌ状態にある二光子を
使って、古典二値データ（古典乱数列でなく）を安全に
伝達する方法が提案されている（Ｋ．Ｓｈｉｍｉｚｕ
ａｎｄＮ．Ｉｍｏｔｏ，‘Ｃｏｍｍｕｎｉｃａｔｉｏ
ｎｃｈａｎｎｅｌｓｓｅｃｕｒｅｄｆｒｏｍｅ
ａｖｅｓｄｒｏｐｐｉｎｇｖｉａｔｒａｎｓｍｉｓ
ｓｉｏｎｏｆｐｈｏｔｏｎｉｃＢｅｌｌｓｔａ
ｔｅｓ’，Ｐｈｙｓ．Ｒｅｖ．Ａ６０，１５７（１９９
９）．）。これは、Ａｌｉｃｅ，ＢｏｂがそれぞれＨ^２
_２上の異なる二種類の基底を用意して、符号化、観測を
行うこと、および、符号化の際、四次元Ｈｉｌｂｅｒｔ
空間の自由度の、二次元分しか使わないことに特徴があ
る。

【００１８】量子暗号のもう一つの例として、本発明で
最も重要な役割を果たす、本願出願人らによる「量子状
態の暗号化方法と装置」について説明する。この暗号化
方法は、送信者、受信者が、あらかじめもつれ合った対
のｑｕｂｉｔを共有すること無しに、任意の量子状態を
安全に伝送することを目的としている。

【００１９】この暗号化方法の操作手順は、次のとおり
である。

【００２０】まず、送信者（Ａｌｉｃｅ）は、たとえ盗
聴者（Ｅｖｅ）が量子状態を奪っても、元の情報を取り
出せないようにするため、伝送する任意のｎ−ｑｕｂｉ
ｔ量子状態に対して、次のような第一の暗号化を行う。

【００２１】一般にｎ−ｑｕｂｉｔの任意の密度演算子
ρ_ｎは、

【００２２】

【数１】

【００２３】で与えられる。ただし、

【００２４】

【数２】

【００２５】、また、ａ_ｋ（ｋΕ｛０，ｘ，ｙ，ｚ｝
^ｎ，ｋ≠（０，Λ，０））は実数とする。

【００２６】第一の暗号化として、Ａｌｉｃｅはρ_ｎに
対して、

【００２７】

【数３】

【００２８】の中から無作為に選び出したＵ_ｉを使って
ρ_ｎ→Ｕ_ｉρ_ｎＵ_ｉ ^＋と暗号化する。このとき、Ａｌｉ
ｃｅは、演算子の添え字ｉをパスワードとして秘密にし
ておき、決して他人に知らせないとする。

【００２９】仮にＥｖｅがｎ−ｑｕｂｉｔを持ち出した
場合、ＥｖｅはＡｌｉｃｅがどのような変換を施したか
（どのＵ_ｉを選んだか）知らないので、Ｅｖｅの得る状
態は、次のような統計的混合状態となる。

【００３０】

【数４】

【００３１】よって、ρ_ｎについての情報が奪われるこ
とはない。これは、変換後のＥｖｅの得る状態の密度演
算子ρ^′ _ｎが、恒等演算子Ｉに比例しているからであ
る。Ｅｖｅはρ^′ _ｎに、どのような補助系の付加、ユニ
タリ変換、観測を行っても、ρ _ｎを取り出すことは出来
ない。ただし、これは盗聴者がパスワードｉを知らない
限りにおいてである。パスワードｉの長さは２ｎ−ｂｉ
ｔとなる。

【００３２】この暗号プロトコルでは、第一のパスワー
ドｉは、後で説明されるが、送信者と受信者が認証を正
常に終了してからでないと公開されない。従って、盗聴
者（Ｅｖｅ）は、もしρ_ｎの情報を得たいのであれば、
認証が正しく行われる盗聴方法を取らなくてはならな
い。

【００３３】次に、送信者（Ａｌｉｃｅ）は、伝送する
量子状態に、署名を表す量子系を付加し、第二の暗号化
を行う。これは、次のような理由からである。送信者
（Ａｌｉｃｅ）も受信者（Ｂｏｂ）も伝送するｎ−ｑｕ
ｂｉｔ量子状態｜Ψ＞_Ｑにつて何の知識も持っていな
い。従って、盗聴者（Ｅｖｅ）に、伝送する暗号化され
た状態を、他の状態にすりかえられても気付かない。そ
のため、受信者（Ｂｏｂ）の受け取った量子状態が確か
に送信者（Ａｌｉｃｅ）の送ったものであることを確認
する、認証を行う必要がある。（なお、これより簡単の
ため、しばらくの間、Ａｌｉｃｅの伝送したいｎ−ｑｕ
ｂｉｔ量子状態を、密度演算子ρ_ｎでなく、状態ベクト
ル｜Ψ＞_Ｑで表すことにする。両者に本質的な違いはな
い。）送信者（Ａｌｉｃｅ）は、Ｕ_ｉ｜Ψ＞_Ｑに、自分の署名
を表すｎ−ｑｕｂｉｔ｜ａ＞_ｓを付加し、各ｑｕｂｉｔ
毎に両者にもつれ合いを生じさせる。ただし、量子デー
タを表す系をＱ、署名を表す系をＳとしている。具体的
には、Ａｌｉｃｅは、ｎ−ｂｉｔ乱数列 ∀ａ＝（ａ_１，Λ，ａ_ｎ）Ε｛０，１｝^ｎを用意し、

【００３４】

【数５】

【００３５】のｋ番目のｑｕｂｉｔに対して、署名を表
すｑｕｂｉｔ｜ａ_ｋ＞_ｓを付加する。そして、図２の
ように、ｃｏｎｔｒｏｌｌｅｄ−ＮＯＴゲートを作用さ
せる。

【００３６】

【数６】

【００３７】さらに、ｑｕｂｉｔの情報が盗聴者（Ｅｖ
ｅ）によって複製されないようにするために、二つのｑ
ｕｂｉｔにそれぞれ独立に、演算子の集合Ｌ＝｛Ｉ，Ｈ，σ_ｚ，Ｈσ_ｚ｝の中から無作為に選び出
した演算子Ｌ_ｋ，１ ^Ｑ，Ｌ_ｋ，２ ^ＳΕＬを作用させる。
ただし、ＨはＨａｄａｍａｒｄ変換、Ｈ：｜０＞→（１／√２）（｜０＞＋｜１＞），｜１＞
→（１／√２）（｜０＞−｜１＞） σ_ＸはＰａｕｌｉ行列の一つ、σ_Ｘ：｜０＞→｜１＞，
｜１＞→｜０＞とする。これらの操作をＫ＝１，…，ｎ番目のｑｕｂｉ
ｔに行い、全体の変換をＶ_ａ ^ＱＳと書くことにする。ａ
はＬからどの演算子を選んだかを表す。ａは二番目のパ
スワードで４ｎ−ｂｉｔで表される。

【００３８】なお、これより、ｑｕｂｉｔに対する操作
をしばしば図２のようにネットワーク図で表すことにす
る。ｑｕｂｉｔは横線で描かれ、操作は左から右へ順に
行われるものとする。ｑｕｂｉｔに作用されるユニタリ
変換は、例えば図３のように表す。図３．ｉはｃｏｎｔ
ｒｏｌｌｅｄ−ＮＯＴ（Ｃ−ＮＯＴ）ゲート、図３．ｉ
ｉはσ_Ｘを表す。これらの表記方法は文献、Ｒ．Ｐ．Ｆ
ｅｙｎｍａｎ，‘ＦｅｙｎｍａｎＬｅｃｔｕｒｅｓ
ｏｎＣｏｍｐｕｔａｔｉｏｎ’，Ａｄｄｉｓｏｎ−Ｗ
ｅｓｌｅｙ（１９９６）．および、Ａ．Ｂａｒｅｎｃ
ｏ，Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｒ．Ｃｌｅｖｅ，Ｄ．
Ｐ．ＤｉＶｉｎｃｅｎｚｏ，Ｎ．Ｍａｒｇｏｌｕｓ，
Ｐ．Ｓｈｏｒ，Ｔ．Ｓｌｅａｔｏｒ，Ｊ．Ｓｍｏｌｉｎ
ａｎｄＨ．Ｗｅｉｎｆｕｒｔｅｒ，‘Ｅｌｅｍｅｎ
ｔａｒｙｇａｔｅｓｆｏｒｑｕａｎｔｕｍｃｏ
ｍｐｕｔａｔｉｏｎ’，Ｐｈｙｓ．Ｒｅｖ．Ａ５２，３
４５７（１９９５）．によっている。

【００３９】これまでの暗号化の手続きの流れをまとめ
ると次のようになる。

【００４０】

【数７】

【００４１】このように二重に暗号化すれば、Ｅｖｅが
状態を奪い取り、｜ａ＞_Ｓだけ抜き出して不正に使用す
ることは出来ない。もしＶ_ａ ^ＱＳを作用させなかった
ら、ＥｖｅはＵ_ｉ ^Ｑ｜Ψ＞_Ｑを奪って

【００４２】

【数８】

【００４３】という偽物をＢｏｂに送るかもしれない。

【００４４】Ｅｖｅが系Ｑのｋ番目のｑｕｂｉｔに何ら
かの操作を加えると、署名部分｜ａ _ｋ＞_Ｓが破壊され、
一定の確率以上で矛盾が生じ、Ｂｏｂは認証を正常に行
えない。Ｅｖｅが系Ｓのｋ番目のｑｕｂｉｔに手を加え
ても同様である。これは系Ｑ，Ｓの暗号化された各ｑ
ｕｂｉｔの情報が、両立しない二種類の基底｛｜０＞，
｜１＞｝，｛（１／√２）（｜０＞±｜１）｝のどちら
かで無作為に表現されていること、および、両者がもつ
れ合っているためである。これにより、送信者（Ａｌｉ
ｃｅ）、受信者（Ｂｏｂ）は盗聴者（Ｅｖｅ）の介入を
察知できる。この方法では、認証操作は盗聴者（Ｅｖ
ｅ）の検知をも兼ねている。

【００４５】以上、説明してきた二重の暗号化処理を伝
送する状態に施した後、ＡｌｉｃｅとＢｏｂは通信を行
う。そこで、これより、Ａｌｉｃｅ，Ｂｏｂの通信手順
（プロトコル）について説明する。伝送する任意の量子
データを

【外】

とし、Ａｌｉｃｅ，Ｂｏｂは共に｜Ψ＞_Ｑについて何の
知識も持たないとする。Ａｌｉｃｅ，Ｂｏｂは次の二種
類の回線を使えるとする。

【００４６】（古典通信回線）古典情報（ｂｉｔ列）を
送受信する。情報は公開されてＥｖｅも知ることができ
る。情報の複製は可能だが、改変、消去は不可能とす
る。新聞、ラジオがこれにあたる。（量子通信回線）量子情報（ｑｕｂｉｔ列）を送受信す
る。Ｅｖｅは量子状態の一部または全部を、奪取、観
測、改変することが可能だが、任意の量子状態を複製す
ることは不可能とする。

【００４７】特に、次の点に注意する。パスワードや署
名は古典ｂｉｔ列で与えられ、古典通信回線によって送
受信者の間でやり取りされ、盗聴者もこれらを知ること
が出来る。

【００４８】Ａｌｉｃｅ，Ｂｏｂは以下の手順（プロト
コル）で通信する（図４を参照）。

【００４９】（１）Ａｌｉｃｅは｜Ψ_{ｃｒｙｐｔ}＞をＢ
ｏｂへ量子通信回線で送る、ただし、

【数９】

【００５０】とする。（２）Ｂｏｂは量子状態｜Ψ_{ｃｒｙｐｔ}＞を受け取る
と、量子通信回線を断ち、そのことをＡｌｉｃｅに古典
通信回線で知らせる。（３）ＡｌｉｃｅはＢｏｂからの通報を受け取ると、Ｂ
ｏｂにＶ_ａ ^ＱＳがどのような変換か（ａ：４ｎ−ｂｉ
ｔ）を古典通信回線で知らせる。（４）Ｂｏｂは｜Ψ_{ｃｒｙｐｔ}＞にＶ_ａ ^ＱＳを作用させ
て系Ｓを観測し、その結果（ａ：ｎ−ｂｉｔ）を古典通
信回線でＡｌｉｃｅに知らせる。（５）ＡｌｉｃｅはＢｏｂから署名を受け取り、それが
正しいかどうか確認する。署名が正しければ、古典通信
回線でＵ_ｉ ^Ｑがどのような変換か（ｉ：２ｎ−ｂｉｔ）
をＢｏｂに知らせる。署名が正しくなければ、Ｅｖｅの
介入があったと判断し、通信を終了する。（６）ＢｏｂはＵ_ｉ ^Ｑを手元の量子状態に作用させて｜
Ψ＞_Ｑを得る。

【００５１】この手順では、二番目の項目のＢｏｂが｜
Ψ_{ｃｒｙｐｔ}＞を受け取ったと判断して量子通信回線を
断つことが重要である。それは次の事情からである（図
５を参照）。仮に、Ｂｏｂが誤って、｜Ψ_{ｃｒｙｐｔ}＞
が量子通信回線の途中にある時点でＡｌｉｃｅに到着を
通報し、ＡｌｉｃｅはＶ_ａ ^ＱＳを古典通信回線で公開し
てしまったとする。盗聴者Ｅｖｅは｜Ψ_{ｃｒｙｐｔ}＞を
奪いＶ_ａ ^ＱＳを作用させて、

【００５２】

【数１０】

【００５３】を得ることができる。Ｅｖｅは手元にＵｉ
｜Ψ＞_Ｑを残して、｜ａ＞_Ｓと偽の量子状態

【００５４】

【数１１】

【００５５】を結合させた

【００５６】

【数１２】

【００５７】をＢｏｂに送ることが出来る。Ｂｏｂがま
だ量子通信回線を開けていて

【００５８】

【数１３】

【００５９】を受け取ってしまうと、正しい署名がされ
ているので、Ａｌｉｃｅ，ＢｏｂはＥｖｅの存在を見破
れない。ＡｌｉｃｅはＵ_ｉ ^Ｑを公開してしまい、最終的
にはＥｖｅは｜Ψ＞_Ｑを手に入れてしまう。

【００６０】このような危険を避けるためには、Ｂｏｂ
は｜Ψ_{ｃｒｙｐｔ}＞、もしくは、Ｅｖｅの作った偽の量
子状態が確かに自分の手元に届いたことを判断しなくて
はならない。

【００６１】例えば図６の量子ゲートネットワークを用
意するとよい（Ｄ．Ｇｏｔｔｅｓｍａｎ，‘Ｓｔａｂｉ
ｌｉｚｅｒＣｏｄｅｓａｎｄＱｕａｎｔｕｍＥ
ｒｒｏｒＣｏｒｒｅｃｔｉｏｎ’，Ｐｈ．Ｄ．ｔｈｅ
ｓｉｓ，ＣａｌｉｆｏｒｎｉａＩｎｓｔｉｔｕｔｅ
ｏｆＴｅｃｈｎｏｌｏｇｙ，ＬＡＮＬｑｕａｎｔｕ
ｍｐｈｙｓｉｃｓａｒｃｈｉｖｅｑｕａｎｔ−ｐ
ｈ／９７０５０５２．）。１ｓｔ，２ｎｄ−ｑｕｂｉｔ
が一般のもつれ合った状態｜Ψ＞_Ｑにあるときに、１ｓ
ｔ−ｑｕｂｉｔが存在するか否かを補助ｑｕｂｉｔ系Ａ
で調べたいとする。系全体を、

【００６２】

【数１４】

【００６３】のように書くことにする。｜Ψ＞_Ｑ｜０＞
_Ａは、

【００６４】

【数１５】

【００６５】のように変換される。

【００６６】従って、図６のような、ｑｕｂｉｔが存在
するか否かを調べる測定を、Ｂｏｂが自分の手元にｑｕ
ｂｉｔを運んで来る各チャンネルに対して行えば、全て
のｑｕｂｉｔが到着したかどうかを判断できる。

【００６７】盗聴に対する安全性は、次のように考え
る。Ｅｖｅの取り得る全ての盗聴方法を想定するのは難
しい。そこで、本明細書では、Ｅｖｅは、伝送される各
ｑｕｂｉｔを独立に適当な基底で観測し、その結果に応
じて代わりのｑｕｂｉｔを送る、Ｉｎｔｅｒｃｅｐｔ／
Ｒｅｓｅｎｄａｔｔａｃｋのみ行うとする（Ｃ．Ｈ．
Ｂｅｎｎｅｔｔ，Ｆ．Ｂ．Ｂｅｓｓｅｔｔｅ，Ｇ．Ｂｒ
ａｓｓａｒｄ，Ｌ．ＳａｌｖａｉｌａｎｄＪ．Ｓｍ
ｏｌｉｎ，‘ＥｘｐｅｒｉｍｅｎｔａｌＱｕａｎｔｕ
ｍＣｒｙｐｔｏｇｒａｐｈｙ’，Ｊ．Ｃｒｙｐｔｏｌ
ｏｇｙ，５：３−２８（１９９２）．）。これは、Ｅｖ
ｅが、量子コンピュータを使って、もつれ合いを利用し
た盗聴を行うことはないと、仮定したことになる。

【００６８】また、次のことに注意する。Ｅｖｅは第一
の暗号化Ｕ_ｉ ^Ｑ｜Ψ＞_Ｑのパスワードｉを知らない限
り、暗号化された状態の密度演算子はＩに比例したまま
なので、｜Ψ＞_Ｑに関する情報を引き出せない。従って
Ｅｖｅとしては、どうしてもＡｌｉｃｅに第一のパスワ
ードｉを公開させなくてはならない。それには、Ａｌｉ
ｃｅ，Ｂｏｂが署名を確認する際、不正が見つからない
ようにしなくてはならない。ここでは、Ａｌｉｃｅ，Ｂ
ｏｂが、Ｅｖｅの盗聴を検知できない確率を評価するこ
とにする。

【００６９】特許提案書（提案番号４１３９０２７）
「量子状態の暗号化方法と装置」では、以下のことが示
されている。｜Ψ＞_Ｑを任意のｎ−ｑｕｂｉｔ純粋状態
とする。まず、図７のように、Ａｌｉｃｅが信号を発し
てから（時刻ｔ＝０）、Ｂｏｂが受信するまで（時刻ｔ
＝ｒ）の間に、Ｅｖｅがｋ番目のｑｕｂｉｔ対の、系Ｑ
または系Ｓのどちらか一方のｑｕｂｉｔに対してＩｎｔ
ｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔａｃｋを行った場
合を考える。（図７では、Ｅｖｅは系Ｓのｑｕｂｉｔに
対して盗聴を行っている。Ｕ，Ｖは、１−ｑｕｂｉｔに
作用する任意のユニタリ変換で、Ｅｖｅはこれらを自由
に選ぶことができるとする。）系ＱＳの、ｎ個のｑｕｂ
ｉｔ対中のｍ個に対して、Ｅｖｅがこのような盗聴を行
った場合、Ｅｖｅの盗聴が発見されない確率は（３／
４）^ｍで抑えられる。また、Ｅｖｅが系ＱＳのｍ個のｑ
ｕｂｉｔ対に対して、図８のように系ＱＳの両方のｑｕ
ｂｉｔに盗聴を行った場合も、Ｅｖｅの盗聴が発見され
ない確率は（３／４）^ｍで抑えられる（図８のＵ_１，Ｖ
_１，Ｕ_２，Ｖ_２，は、１−ｑｕｂｉｔに作用する任意の
ユニタリ変換で、Ｅｖｅはこれらを自由に選ぶことがで
きるとする。）。

【００７０】伝送される状態｜Ψ＞_Ｑが古典情報、すな
わち基底｛｜０＞，｜１＞｝のｐｒｏｄｕｃｔｓｔａ
ｔｅ（例えば｜Ψ＞_Ｑ＝｜０＞｜１＞…｜０＞）である
場合、この方法で暗号化すると、ｏｎｅ−ｔｉｍｅｐ
ａｄ法で古典鍵配布をＢＢ８４プロトコルによって行う
ことと等価となる。

【００７１】特許提案書（提案番号４１３９０２７）
「量子状態の暗号化方法と装置」で提案されている暗号
化方法は、量子テレポテーションと異なり、盗聴者に量
子状態を奪われると送受信者は元の量子情報を失ってし
まうが、盗聴者が量子情報を引き出せる確率を低く抑え
られることが期待できる。盗聴者がもつれ合いを利用し
た盗聴を仕掛けてきた場合の安全性については検討され
ていない。

【００７２】すでに説明したように、一般に、古典乱数
の配布を量子力学的に行う場合、不確定性の性質のみで
十分であると考えられている（Ａ．Ｋ．Ｅｋｅｒｔ，
‘ＱｕａｎｔｕｍＣｒｙｐｔｏｇｒａｐｈｙＢａｓ
ｅｄｏｎＢｅｌｌ’ｓＴｈｅｏｒｅｍ’，Ｐｈｙ
ｓ．Ｒｅｖ．Ｌｅｔｔ．６７，６６１（１９９１）．ま
たは、Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｇ．Ｂｒａｓｓａｒ
ｄ，ａｎｄＮ．Ｄ．Ｍｅｒｍｉｎ，‘Ｑｕａｎｔｕｍ
ＣｒｙｐｔｏｇｒａｐｈｙｗｉｔｈｏｕｔＢｅｌ
ｌ’ｓＴｈｅｏｒｅｍ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔ
ｔ．６８，５５７（１９９２）．）。一方、量子状態を
送る場合、量子テレポテーションのように、量子系のも
つれ合いの性質が重要な役割を演じると考えられる
（Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｇ．Ｂｒａｓｓａｒｄ，
Ｃ．Ｃｒｅ′ｐｅａｕ，Ｒ．Ｊｏｚｓａ，Ａ．Ｐｅｒｅ
ｓａｎｄＷ．Ｋ．Ｗｏｏｔｔｅｒｓ，‘Ｔｅｌｅｐ
ｏｒｔｉｎｇａｎｕｎｋｎｏｗｎｑｕａｎｔｕｍ
ｓｔａｔｅｓｖｉａｄｕａｌｃｌａｓｓｉｃａｎ
ｄＥｉｎｓｔｅｉｎ−Ｐｏｄｏｌｓｋｙ−Ｒｏｓｅｎ
ｃｈａｎｎｅｌｓ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．７
０，１８９５（１９９３））。この暗号方法は、上の二
つの性質を使っていることに特徴がある。

【００７３】［量子エラー訂正コード］現在までに考案
されている、ほとんどの量子エラー訂正コードは、Ｓｈ
ｏｒの提案した量子エラー訂正コードの仕組みを、その
まま受け継いでいると考えられる（Ｐ．Ｗ．Ｓｈｏｒ，
‘Ｓｃｈｅｍｅｆｏｒｒｅｄｕｃｉｎｇｄｅｃｏ
ｈｅｒｅｎｃｅｉｎｑｕａｎｔｕｍｃｏｍｐｕｔ
ｅｒｍｅｍｏｒｙ’，Ｐｈｙｓ．Ｒｅｖ．Ａ５２，２
４９３（１９９５）．）。その基本的な仕組みは、次の
ようにまとめられる。

【００７４】ｎ−ｑｕｂｉｔの張る２^ｎ次元ヒルベルト
空間に作用する演算子として｛Ｍ_ｉ：ｉ＝１，…，ｎ−
ｋ｝を用意する。ただし、Ｍ_ｉは可換なエルミート演算
子の集合で、固有値が±１の固有ベクトルを２^ｎ−１個
ずつ持つとする。（ｎ−ｋ）個全てのＭ_ｉの固有値が’
＋１’であるベクトルの張る２^ｋ次元部分空間を考え、
符号化はこの２^ｋ次元部分空間の基底によって行う。従
って、符号化された状態は必ずこの部分空間内に含まれ
る。そして、符号語の張る部分空間から出てしまった状
態を、エラーが生じた状態と考える。｛Ｍ_ｉ｝の固有値
を観測することで状態を収縮させ、観測結果に応じてエ
ラー訂正する。このような意味で、Ｓｈｏｒの示した処
方箋に従ったエラー訂正方法では、ヒルベルト空間の分
け方、エラーを検出する演算子の選び方が工夫のし所と
なる。

【００７５】以上のことを、さらに理解するために、１
−ｑｕｂｉｔの量子系がデコヒーレンスする様子を考え
てみる。一個のｑｕｂｉｔ｜Ψ＞_Ｑに外部環境系｜ｅ
＞_Ｅが相互作用して、任意のユニタリ発展Ｕ_ＱＥが生じ
たとする。｜Ψ＞_Ｑ｜ｅ＞_Ｅ→Ｕ_ＱＥ（｜Ψ＞_Ｑ｜ｅ＞_Ｅ）このような変換は、一般性を失うことなく次のように書
き直せる。

【００７６】

【数１６】

【００７７】ただし、環境系Ｅの状態を表す｜ａ
_０＞_Ｅ，｜ａ_１＞_Ｅ，｜ａ_２＞_Ｅ，｜ａ_３＞_Ｅは、一般
に規格化されておらず、互いに直交し合うとも限らな
い。｜０＞_Ｑ，｜１＞_Ｑはｑｕｂｉｔ系Ｑの正規直交基
底で、ｑｕｂｉｔの任意の状態は｜Ψ＞_Ｑ＝Ｃ_０｜０＞
＋Ｃ_１｜１＞で表される。今後、混乱が生じない場合、
添え字Ｅ，Ｑを省略することがある。結合系ＱＥの相互
作用は、初期状態が系Ｑと系Ｅの状態の直積（ｐｒｏｄ
ｕｃｔｓｔａｔｅ）

【００７８】

【数１７】

【００７９】であっても、ユニタリ発展後は一般に、系
Ｑ，Ｅの直積では書き表せない、もつれ合った状態（ｅ
ｎｔａｎｇｌｅｄｓｔａｔｅ）にしてしまう。

【００８０】ｑｕｂｉｔと環境系Ｅのユニタリ発展は、
次のように書き下せる。

【００８１】

【数１８】

【００８２】ただし、σ_ｘ，σ_ｙ，σ_ｚは、ｑｕｂｉｔ
系Ｑに作用するＰａｕｌｉ行列で、

【００８３】

【数１９】

【００８４】という基底に対して、

【００８５】

【数２０】

【００８６】と表現されるとする。

【００８７】これを見ると、１−ｑｕｂｉｔの任意のデ
コヒーレンスは、｛Ｉ，σ_ｘ，σ_ｙ，σ_ｚ｝の項に分解
できることが分かる。三つのＰａｕｌｉ行列は、それぞ
れ、σ_ｘがビット反転エラー（｜０＞←→｜１＞）、σ
_ｚが位相反転エラー（｜０＞→｜０＞，｜１＞→｜１
＞）、σ_ｙ＝ｉσ_ｘσ_ｚがビット、位相エラーの混合を
表している。

【００８８】１−ｑｕｂｉｔのデコヒーレンスを、上の
式のように書き表すことには、次のような意味がある。
（数式１６）はＵ_ＱＥの性質を系Ｅの任意のベクトル｜
ａ_０＞_Ｅ，｜ａ_１＞_Ｅ，｜ａ_２＞_Ｅ，｜ａ_３＞_Ｅに押し
込めた形になっている。そのおかげで、（数式１８）で
は系ＱにＵ_ＱＥの性質が陽に入って来ず、｛Ｉ，σ_ｘ，
σ_ｙ，σ_ｚ｝が作用しているのみの形にまとめられてい
る。（数式１８）の系Ｅの状態（｜ａ_０＞±｜ａ
_３＞），（｜ａ_１＞±｜ａ_２＞）は規格化されておら
ず、また互いに直交し合うとも限らない。

【００８９】このように任意のデコヒーレンスがＰａｕ
ｌｉ行列に分解できる性質は、１−ｑｕｂｉｔだけでな
く、一般の複数のｑｕｂｉｔについても成立する（Ａ．
ＥｋｅｒｔａｎｄＣ．Ｍａｃｃｈｉａｖｅｌｌｏ，
‘ＥｒｒｏｒＣｏｒｒｅｃｔｉｏｎｆｏｒＱｕａ
ｎｔｕｍＣｏｍｍｕｎｉｃａｔｉｏｎ’，Ｐｈｙｓ．
Ｒｅｖ．Ｌｅｔｔ．７７，２５８５（１９９６）．およ
び、Ｊ．ＰｒｅｓｋｉｌｌａｎｄＡ．Ｋｉｔａｅ
ｖ，ｌｅｃｔｕｒｅｎｏｔｅｓ，ｓｅｃｔｉｏｎ
７，ＣａｌｉｆｏｒｎｉａＩｎｓｔｉｔｕｔｅ
ｏｆＴｅｃｈｎｏｌｏｇｙ，（１９９７−１９９
９），ｈｔｔｐ：／／ｗｗｗ．ｔｈｅｏｒｙ．ｃａｌｔ
ｅｃｈ．ｅｄｕ／ｐｅｏｐｌｅ／ｐｒｅｓｋｉｌｌ／ｐ
ｈ２２９／．）。複数のｑｕｂｉｔの場合、任意のデコ
ヒーレンスは、Ｐａｕｌｉ行列のテンソル積に分解可能
である。

【００９０】以上の議論より、量子エラー訂正コードで
は、符号語に対して、Ｐａｕｌｉ行列、または、そのテ
ンソル積のエラーが除去できれば良いとわかる。除去し
たいエラーを表すＰａｕｌｉ行列のテンソル積をσ_ｋで
表すと、｛σ_ｋ，Ｍ_ｉ＝０という反交換関係が成立する
なら、符号語状態にσ_ｋエラーが作用した状態は、Ｍ _ｉ
の固有値が’−１’となり、エラー検出が可能となる。

【００９１】符号語｛｜ｖ_ｉ｝の張る部分ヒルベルト空
間が、ｔ個のｑｕｂｉｔのエラー訂正可能な量子コード
であるための必要十分条件は、次の式で与えられる
（Ｅ．ＫｎｉｌｌａｎｄＲ．Ｌａｆｌａｍｍｅ，
‘Ｔｈｅｏｒｙｏｆｑｕａｎｔｕｍｅｒｒｏｒ−
ｃｏｒｒｅｃｔｉｎｇｃｏｄｅｓ’，Ｐｈｙｓ．Ｒｅ
ｖ．Ａ５５，９００（１９９７）．）。

【００９２】

【数２１】

【００９３】ただし、σ_ｋはｋΕ｛０，ｘ，ｙ，ｚ｝^ｎ
で指定される、｛Ｉ，σ_ｘ，σ_ｙ，σ _ｚ，｝のｎ個のテ
ンソル積とする。σ_０＝Ｉとしている。ｗｔ（ｋ）は、
数列ｋの’０’でない成分の個数を表す。

【００９４】量子コードの距離ｄ（符号語間最小距離）
を次のように定義する（Ｊ．Ｐｒｅｓｋｉｌｌａｎｄ
Ａ．Ｋｉｔａｅｖ，ｌｅｃｔｕｒｅｎｏｔｅｓ，ｓ
ｅｃｔｉｏｎ７，ＣａｌｉｆｏｒｎｉａＩｎｓｔｉ
ｔｕｔｅｏｆＴｅｃｈｎｏｌｏｇｙ，（１９９７−
１９９９），ｈｔｔｐ：／／ｗｗｗ．ｔｈｅｏｒｙ．ｃ
ａｌｔｅｃｈ．ｅｄｕ／ｐｅｏｐｌｅ／ｐｒｅｓｋｉｌ
ｌ／ｐｈ２２９／．）。

【数２２】となるσ_ｋのうち、ｗｔ（ｋ）の最小値をｄとする。こ
のときエラー訂正可能なｑｕｂｉｔ数をｔとすると、

【００９５】

【数２３】

【００９６】という関係が成り立つ。これは、正確に言
うと、量子エラー訂正コード｛｜ｖ_ｉ｝は、位置の特定
されていない任意のｔ＝［（ｄ−１）／２］個以下のエ
ラーが訂正可能ということである。一方、位置の特定さ
れた任意のエラーは（ｄ−１）−ｑｕｂｉｔまで訂正可
能である。この事実は、本明細書の実施形態の説明で使
われる。

【００９７】以下に、Ｓｈｏｒの方法に従った、いくつ
かのエラー訂正符号について説明する。

【００９８】（ＤｉＶｉｎｃｅｎｚｏ−Ｓｈｏｒの５−
ｑｕｂｉｔコード）ＤｉＶｉｎｃｅｎｚｏ−Ｓｈｏｒの
５−ｑｕｂｉｔコードは、１−ｑｕｂｉｔの情報を符号
化し、１−ｑｕｂｉｔの任意のエラーを除去してくれる
エラー訂正コードの中で、ブロックを構成するｑｕｂｉ
ｔ数が最小（５−ｑｕｂｉｔ）と考えられている（Ｄ．
Ｐ．ＤｉＶｉｎｃｅｎｚｏａｎｄＰ．Ｗ．Ｓｈｏ
ｒ，‘Ｆａｕｌｔ−ＴｏｌｅｒａｎｔＥｒｒｏｒＣ
ｏｒｒｅｃｔｉｏｎｗｉｔｈＥｆｆｉｃｉｅｎｔＱ
ｕａｎｔｕｍＣｏｄｅｓ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅ
ｔｔ．７７，３２６０（１９９６）．および、Ｃ．Ｈ．
ＢｅｎｎｅｔｔＤ．Ｐ．ＤｉＶｉｎｃｅｎｚｏＪ．
Ａ．ＳｍｏｌｉｎａｎｄＷ．Ｋ．Ｗｏｏｔｔｅｒ
ｓ，‘Ｍｉｘｅｄ−ｓｔａｔｅｅｎｔａｎｇｌｅｍｅ
ｎｔａｎｄｑｕａｎｔｕｍｅｒｒｏｒｃｏｒｒ
ｅｃｔｉｏｎ’，Ｐｈｙｓ．Ｒｅｖ．Ａ５４，３８２４
（１９９６）．）。

【００９９】１−ｑｕｂｉｔの任意の状態∀｜Ψ＞＝α
｜０＞＋β｜１＞ΕＨ_２を、次のように５−ｑｕｂｉｔ
で符号化する。

【０１００】

【数２４】

【０１０１】ただし、規格化定数は、ここでは省略して
いる。また、

【０１０２】

【数２５】

【０１０３】とする。

【０１０４】（｜ｃ_０＞±｜ｃ_１＞）は、次の四つの演
算子を作用させても不変である（固有値が１という意味
である）。Ｋ_３＝ＸＸＺＩＺ≡Ｍ_１Ｋ_４＝ＸＸＺＩＺ≡Ｍ_２Ｋ_０＝ＸＸＺＩＺ≡Ｍ_３Ｋ_１＝ＸＸＺＩＺ≡Ｍ_４Ｍ_ｉ（｜ｃ_０＞±｜ｃ_１＞）＝｜ｃ_０＞±｜ｃ_１＞ｆ
ｏｒ∀ｉΕ｛１，…４｝ただし、Ｘ＝σ_Ｘ，Ｚ＝σ_Ｚ，
Ｙ＝ＺＸ＝ｉσ_Ｙとする。Ｍ_１，Ｍ_２，Ｍ_３，Ｍ _４はエ
ルミート演算子で、固有値は±１である。

【０１０５】このコードでは、符号語（｜ｃ_０＞±｜ｃ
_１＞）と、符号語のどれか１個のｑｕｂｉｔにＸ，Ｙ，
Ｚがエラーとして作用した状態の、合計３２個の状態が
全て互いに直交し合っており、Ｍ_１，Ｍ_２，Ｍ_３，Ｍ_４
の４個の演算子の固有値でエラーが完全に識別できる。
これにより、このコードは、任意の１−ｑｕｂｉｔのエ
ラーが除去可能となる。

【０１０６】次に、任意の１−ｑｕｂｉｔの量子情報
を、（｜ｃ_０＞±｜ｃ_１＞）で符号化する量子ゲートネ
ットワークを、どのように構成するかについて考える。

【０１０７】Ｍ_１，Ｍ_２，Ｍ_３，Ｍ_４はエルミート演算
子で、互いに可換である。また、二乗すると恒等演算子
となる。これらをまとめると、以下のようになる。Ｍ_ｉ ^＋＝Ｍ_ｉｆｏｒ∀ｉΕ｛１，…４｝［Ｍ_ｉ，Ｍ_ｊ］＝０ｆｏｒ∀ｉ，ｊΕ｛１，…４｝Ｍ_ｉ ^２＝Ｉｆｏｒ∀ｉΕ｛１，…４｝Ｍ_１，Ｍ_２，Ｍ_３，Ｍ_４について、次のことが言える
（Ｊ．ＰｒｅｓｋｉｌｌａｎｄＡ．Ｋｉｔａｅｖ，ｌ
ｅｃｔｕｒｅｎｏｔｅｓ，ｓｅｃｔｉｏｎ７，Ｃａｌ
ｉｆｏｒｎｉａＩｎｓｔｉｔｕｔｅｏｆＴｅｃｈ
ｎｏｌｏｇｙ，（１９９７−１９９９），ｈｔｔｐ：／
／ｗｗｗ．ｔｈｅｏｒｙ．ｃａｌｔｅｃｈ．ｅｄｕ／ｐ
ｅｏｐｌｅ／ｐｒｅｓｋｉｌｌ／ｐｈ２２９／．）。ど
のＭ_１も、残り三つのＭ_ｊの積で書き表せない。その意
味で、これら四つの演算子は互いに独立である。Ｍｉ｜ψ＞｜ψ＞ｆｏｒ∀｜ψ＞ΕＨ_２ ^５，ｉΕ
｛１，…４｝をみたす｜ψ＞の張る空間が、｛｜ｃ_０＞±｜ｃ_１＞｝
の張る符号語空間となる。そこで、この符号語空間をＨ
_ｃと表すことにする。

【０１０８】次の演算子の集合Ｓを考える。Ｓは、Ｐａ
ｕｌｉ行列のテンソル積で作られる演算子の集合

【０１０９】

【数２６】

【０１１０】の部分集合であり、かつ、

【０１１１】

【数２７】

【０１１２】とする。ここで、Ｍと（−Ｍ）を同一視す
ることにする。Ｓは｛Ｍ_１，…，Ｍ_４｝を掛け合わせた
ものの集合で、要素数は１６個となる。Ｓを陽に書き表
すと、Ｓ＝｛Ｉ，Ｍ_１，…，Ｍ_４，Ｍ_１，Ｍ_２，…，Ｍ_１，Ｍ
_２，Ｍ_３，Ｍ_４｝となる。

【０１１３】∀｜ψ＞ΕＨ_２ ^５に対して、

【０１１４】

【数２７】

【０１１５】を定義する。このとき、

【０１１６】

【数２８】

【０１１７】となる。これは、

【０１１８】

【数２９】

【０１１９】が成立するからである。ところで、次の書
き換えが可能である。

【０１２０】

【数３０】

【０１２１】そこで、∀｜Ψ＞ΕＨ_２を｛｜ｃ_０＞±｜
ｃ_１＞｝で符号化するということは、次のようなことと
分かる。

【０１２２】

【数３１】

【０１２３】上の式では、｜Ψ＞が、｜ψ＞を５−ｑｕ
ｂｉｔでブロック符号化したものとなる。なお、上の式
では、これより先での議論の都合上、１，３，４，５番
目のｑｕｂｉｔを初期化された状態｜０＞として用意
し、２番目のｑｕｂｉｔを量子情報を持つｑｕｂｉｔ｜
ψ＞としたが、この順序は本質的ではない。

【０１２４】ここで、｛Ｍ_ｉ｝を次のように再定義す
る。

【０１２５】

【数３２】

【０１２６】Ｘ，Ｙ、および、Ｚ，Ｉの並び方を図９に
示す。図９の矢印で示すように、ｑｕｂｉｔの位置を置
換して、Ｘ，Ｙ等のｂｉｔ値（｜０＞，｜１＞）を反転
させる演算子を、対角線上、および、右端の列に配置す
る。これにより、｜００００＞｜ψ＞に、

【０１２７】

【数３３】を順番に作用させることが可能となる。ｑｕｂｉｔの位
置の置換により、｜ψ＞の位置が右端の５番目に来たこ
とに注意する。

【０１２８】

【数３４】を作用させる量子ゲートネットワークを、図１０．ｉに
示す。図１０．ｉｉは、図１０．ｉ中で使用される量子
ゲートを、ｃｏｎｔｒｏｌｌｅｄ−ＮＯＴゲート、およ
び、１‐ｑｕｂｉｔのユニタリ変換で構成する方法を示
したものである。状態の変化をｓｔｅｐ毎に追うと次の
ようになる。

【０１２９】

【数３５】

【０１３０】このとき、２，３，４番目のｑｕｂｉｔは
ｂｉｔ値が｜０＞のままで、反転していないことに注意
する。

【０１３１】また、

【０１３２】

【数３６】

【０１３３】を作用させる量子ゲートネットワークを、
図１１．ｉに示す。図１１．ｉｉは、図１１．ｉ中で使
用される量子ゲートを、ｃｏｎｔｒｏｌｌｅｄ−ＮＯＴ
ゲート、および、１‐ｑｕｂｉｔのユニタリ変換で構成
する方法を示したものである。状態の変化をｓｔｅｐ毎
に追うと次のようになる。

【０１３４】

【数３７】

【０１３５】これらの操作を、

【０１３６】

【数３８】

【０１３７】，について行えば、符号化したことにな
る。

【０１３８】最後に、この５−ｑｕｂｉｔコード特有の
性質を一つ挙げておく（Ｊ．Ｐｒｅｓｋｉｌｌａｎｄ
Ａ．Ｋｉｔａｅｖ，ｌｅｃｔｕｒｅｎｏｔｅｓ，ｓ
ｅｃｔｉｏｎ７，ＣａｌｉｆｏｒｎｉａＩｎｓｔｉ
ｔｕｔｅｏｆＴｅｃｈｎｏｌｏｇｙ，（１９９７−
１９９９），ｈｔｔｐ：／／ｗｗｗ．ｔｈｅｏｒｙ．ｃ
ａｌｔｅｃｈ．ｅｄｕ／ｐｅｏｐｌｅ／ｐｒｅｓｋｉｌ
ｌ／ｐｈ２２９／．）。このコードでは、５−ｑｕｂｉ
ｔ中の２個以下のｑｕｂｉｔからは何の情報も取り出せ
ない。一方、５−ｑｕｂｉｔ中の３個以上のｑｕｂｉｔ
が得られれば、元の量子情報を完全に回復できる。ブロ
ック中から取り出されるｑｕｂｉｔの個数に応じて、元
の量子情報が完全に復元可能か、全く得られないかの、
どちらかに分けられ、その中間、すなわち、元の量子情
報の一部が取り出されるというようなことはない。これ
は、次のように考えると明らかである。

【０１３９】１−ｑｕｂｉｔの任意の状態α｜０＞＋β
｜１＞（｜α｜^２０＞＋｜β｜^２＝１）を５−ｑｕｂｉ
ｔで符号化し、｜ψ＞＝α｜ｃ_０＞＋β｜ｃ_１＞を得た
とする。このとき、１番目と２番目のｑｕｂｉｔの密度
演算子は

【０１４０】

【数３９】

【０１４１】で、α，βに関する情報は何も得られな
い。ただし、Ｉ_４は４ｘ４単位行列とする。実は、この
場合、

【０１４２】

【数４０】

【０１４３】が成立し、５−ｑｕｂｉｔ内の任意の２−
ｑｕｂｉｔ状態には、｜ψ＞に関する情報が一切含まれ
ていない。

【０１４４】これは、逆に考えると、５−ｑｕｂｉｔの
内の、任意の３個以上のｑｕｂｉｔが得られれば、元々
の量子情報を完全に復元できるということである。（こ
のことは、５−ｑｕｂｉｔブロック内で、位置の特定さ
れた任意の２−ｑｕｂｉｔエラーが訂正可能であること
に相当する。）（Ｓｈｏｒの９−ｑｕｂｉｔコード）Ｓｈｏｒの９−ｑ
ｕｂｉｔコーは、１−ｑｕｂｉｔの情報を９−ｑｕｂｉ
ｔのブロックで符号化し、１−ｑｕｂｉｔの任意のエラ
ーを除去してくれる（Ｐ．Ｗ．Ｓｈｏｒ，‘Ｓｃｈｅｍ
ｅｆｏｒｒｅｄｕｃｉｎｇｄｅｃｏｈｅｒｅｎｃ
ｅｉｎｑｕａｎｔｕｍｃｏｍｐｕｔｅｒｍｅｍ
ｏｒｙ’，Ｐｈｙｓ．Ｒｅｖ．Ａ５２，２４９３（１９
９５）．）。

【０１４５】１−ｑｕｂｉｔの任意の状態∀｜ψ＞＝α
｜０＞＋β｜１＞ΕＨ_２を、次の様に９−ｑｕｂｉｔで
符号化する。

【０１４６】

【数４１】

【０１４７】エラーを検出するためのエルミート演算子
（固有値±１）は９個で、図１２の表で与えられる。表
の空欄は、恒等演算子Ｉを表す。｛｜φ_０＞，｜φ
_１＞｝の張る符号語空間内の任意のベクトルは、Ｍ_１，
…，Ｍ_９に対して、固有値が全て’＋１’となる。ブロ
ック内の９−ｑｕｂｉｔ中の、どれか１−ｑｕｂｉｔに
エラーが生じた場合、Ｍ_１，…，Ｍ_９の固有値の情報か
ら、エラーを特定して訂正することが可能となる。

【０１４８】（ＣＳＳ（Ｃａｌｄｅｒｂａｎｋ，Ｓｈｏ
ｒ，Ｓｔｅａｎｅ）コード）二つの古典線形コード
Ｃ_１，Ｃ_２を元にして量子コードＱ_{Ｃ１，Ｃ２}を構成す
る（Ａ．Ｒ．ＣａｌｄｅｒｂａｎｋａｎｄＰ．Ｗ．
Ｓｈｏｒ，‘Ｇｏｏｄｑｕａｎｔｕｍｅｒｒｏｒ−ｃ
ｏｒｒｅｃｔｉｎｇｃｏｄｅｓｅｘｉｓｔ’，Ｐｈ
ｙｓ．Ｒｅｖ．Ａ５４，１０９８（１９９６）．およ
び、Ａ．Ｓｔｅａｎｅ，‘Ｍｕｌｔｉｐｌｅｐａｒｔ
ｉｃｌｅｉｎｔｅｒｆｅｒｅｎｃｅａｎｄｑｕａ
ｎｔｕｍｅｒｒｏｒｃｏｒｒｅｃｔｉｏｎ’，Ｐ
ｒｏｃ．Ｒ．Ｓｏｃ．Ｌｏｎｄ．Ａ４５２，２５５１
（１９９６）．および、Ａ．Ｓｔｅａｎｅ，‘Ｓｉｍ
ｐｌｅｑｕａｎｔｕｍｅｒｒｏｒ−ｃｏｒｒｅｃｔ
ｉｎｇｃｏｄｅｓ’，Ｐｈｙｓ．Ｒｅｖ．Ａ５４，４
７４１（１９９６）．）。この際、ｃ−基底、ｓ−基底
と呼ばれる二種類の量子状態の正規直交基底が大切な役
割を果たす。

【０１４９】まず、ｃ−基底について説明する。古典線
形符号Ｃ_１⊂Ｆ_２ ^ｎが与えられているとし、Ｃ_１の生成
行列をＧとする。次の基底を考える。

【０１５０】

【数４２】

【０１５１】｛｜ｃ_ｘ＞｝は次の性質を持つ。まずｘ_１
＋ｘ_２ΕＣ_１ ^⊥のとき、

【０１５２】

【数４３】

【０１５３】が成立する。これは、−ｘ_１＋ｘ_２＝ｘ_１
＋ｘ_２ΕＣ_１ ^⊥（ｍｏｄ２）より明らかである。また、

【０１５４】

【数４４】のとき、

【０１５５】

【数４５】

【０１５６】が成立する。これは次の理由による。

【０１５７】

【数４６】

【０１５８】より、（ｘ_１＋ｘ_２）Ｇ_ｖ′ ^Ｔ＝１となる

【０１５９】

【数４７】

【０１６０】が少なくとも一つ存在する。よって、

【０１６１】

【数４８】

【０１６２】が成立し、ｖＧ^Ｔと（ｖ＋ｖ′）Ｇ^Ｔは、
（ｖ＋ｖ′）Ｇ^Ｔｘ_１＋ｘ_２との内積の値が異なること
になる。これは、Ｃ_１の中でｘ_１＋ｘ_２との内積が１と
０になる要素はちょうど半分ずつあることを意味する。
これより（数式４５）が成立する。

【０１６３】（数式４５３），（数式４５）より、｜Ｃ
_ｘ＞の自然なラベルはｘΕＦ_２ ^ｎ／Ｃ_１ ^⊥と分かる。つ
まり、｛｜Ｃ_ｘ＞：∀ｘΕＦ_２ ^ｎ／Ｃ_１ ^⊥｝と

【０１６４】

【数４９】

【０１６５】は同じｄｉｍ（Ｃ_１）次元のヒルベルト空
間の正規直交基底になっている。ここでさらに、もう一
つ別の古典線形符号Ｃ_２を用意する。ただし｛０｝⊂Ｃ
２⊂Ｃ１⊂Ｆ_２ ^ｎとする。量子コードＱ_{Ｃ１・Ｃ２}とし
て｛｜ｃ_ｘ＞：∀ｘΕＣ_２ ^⊥を考える。このとき符号語
｛｜Ｃ_ｘ＞｝の自然なラベルはｘΕＣ_２ ^⊥／Ｃ_１ ^⊥とな
り、Ｑ_{Ｃ１・Ｃ２}は２ｄｉｍ^{（Ｃ２⊥／Ｃ１⊥）}次元の
ヒルベルト空間となる。従って、Ｑ_{Ｃ１・Ｃ２}は［ｄｉ
ｍ（Ｃ_２ ^⊥）−ｄｉｍ（Ｃ_１ ^⊥）］−ｑｕｂｉｔをｎ−
ｑｕｂｉｔにブロック符号化するコードとなる。｜Ｃ_ｘ
＞はＣ_１のビット列による基底の重ね合わせで、ｘΕＣ
_２ ^⊥／Ｃ_１ ^⊥の情報は各基底の位相にとりこまれたもの
と考えられる。

【０１６６】次にｓ−基底について説明する。ｓ−基底
は、Ｑ_{Ｃ１・Ｃ２}のｃ−基底での符号語の各ｑｕｂｉｔ
にＨａｄａｍａｒｄ変換を施したもので、

【０１６７】

【数２０】

【０１６８】で与えられる。ただし（数式５０）を導く
のに次の事実を使っている。まず∀ｖΕＦ_２ ^ｎに対し
て、

【０１６９】

【数５１】

【０１７０】が成り立つ。また（数式５）の、二行目の
［…］の中は、

【０１７１】

【数５２】

【０１７２】で相殺して０になり、ｘ＋ｙΕＣ_１ ^⊥のと
き値が残る。ｚ＝ｘ＋ｙとすると、和は∀ｚΕＣ_１ ^⊥に
ついて取ることになる。｜ｓ_ｘ＞はｚ＋ｘΕＣ_２ ^⊥の基
底の和で表されていることに注意する。｜ｓ_ｘ＞はＣ_２
^⊥をＣ_１ ^⊥による同値類で組み分けしたもののうち、ｘ
ΕＣ_２ ^⊥／Ｃ_１ ^⊥で指定される組の基底を重ね合わせた
ものと考えられる。

【０１７３】ここでＱ_{Ｃ１，Ｃ２}の具体例を考え｛｜ｃ
_ｘ＞｝，｛｜ｓ_ｘ＞｝を書き下してみることにする。Ｃ
を［７，４，３］Ｈａｍｍｉｎｇ符号（ｂｉｔ数７、符
号語の次元数４、符号語間最小Ｈａｍｍｉｎｇ距離３の
古典線形符号）として、Ｃ_１＝Ｃ，Ｃ_２＝Ｃ_１ ^⊥とす
る。このときｃ−基底は

【０１７４】

【数５３】

【０１７５】もっと明らかに書くと

【０１７６】

【数５４】

【０１７７】で与えられる。｜ｃ_０＞では各基底の係数
は（＋１）だが、｜ｃ_１＞ではＨａｍｍｉｎｇ重みが奇
の基底は係数が（−１）となっている。またｓ−基底
は、

【０１７８】

【数５５】

【０１７９】で与えられる。｜ｓ_０＞はＨａｍｍｉｎｇ
重みが偶の基底の重ね合わせ、｜ｓ_１＞は奇の基底の重
ね合わせとなっている。

【０１８０】Ｃ_１，Ｃ_２ ^⊥の最小Ｈａｍｍｉｎｇ距離が
ｄなら、Ｑ_{Ｃ１，Ｃ２}は少なくともｔ＝［（ｄ−１）／
２］個のｑｕｂｉｔのエラー訂正が可能である。以下
に、このことを説明する。まずｃ−基底｛｜ｃ_ｘ＞：∀
ｘΕＣ_２ ^⊥／Ｃ_１ ^⊥｝で符号化されている状態を考え
る。符号語は

【０１８１】

【数５６】

【０１８２】の重ね合わせなので、σ_ｘによるビット反
転エラーは古典符号Ｃ_１のパリティ検査で検出可能であ
る。Ｃ_１がｔ＝［（ｄ−１）／２］個のエラー訂正可能
ならＱ _{Ｃ１，Ｃ２}もやはりｔ個のσ_ｘエラーが訂正可能
である。次に各ｑｕｂｉｔをＨａｄａｍａｒｄ変換して
符号語をｓ−基底に切り換える。これにより位相エラー
σ_ｚは、Ｈσ_ｚ＝σ_ｘでビット反転エラーに変換され
る。｜ｓ_ｘ＞は｛ｚ＋ｘ＞：ｘΕＣ_２ ^⊥／Ｃ_１ ^⊥，ｚΕ
Ｃ_１ ^⊥｝の重ね合わせなので、Ｃ_２ ^⊥のパリティ検査で
ｔ個のσ_ｚエラーが訂正可能となる。

【０１８３】以上のことを、もう少し詳しく見てみる。
まず｜ｃ_ｘ＞に、ｎ−ｂｉｔ列αで指定されるｑｕｂｉ
ｔにσ_ｘエラーが生じた場合、

【０１８４】

【数５７】

【０１８５】のようになる。ただしＡ_αはαの’１’成
分の場所にσ_ｘを作用させ、’０’成分の場所には何も
しないとする。αの情報は基底ベクトルのラベルを変化
させているが、位相には何の影響も与えていない。一
方、｜ｃ_ｘ＞に、ｎ−ｂｉｔ列βで指定されるｑｕｂｉ
ｔにσ_ｚエラーが生じた場合、

【０１８６】

【数５８】

【０１８７】のようになる。ただしＰ_βはβの’１’成
分の場所にσ_ｚを作用させ、’０’成分の場所には何も
しない演算子である。βの情報は位相にのみ取り込まれ
ている。

【０１８８】そこで、

【０１８９】

【数５９】

【０１９０】が成立する。これはｔ＝［（ｄ−１）／
２］として、Ｑ_{Ｃ１，Ｃ２}がブロック中のｔ−ｑｕｂｉ
ｔのσ_ｘエラーとｔ−ｑｕｂｉｔのσ_ｚエラーを訂正で
きることを意味している。ただし、上の式を導くのに、

【０１９１】

【数６０】

【０１９２】および、

【０１９３】

【数６１】

【０１９４】を使った。σ_ｘエラーとσ_ｚエラーが同じ
ｑｕｂｉｔで生じるσ_ｙエラーの場合も、訂正可能であ
る。従って、Ｑ_{Ｃ１，Ｃ２}は、少なくともｔ−ｑｕｂｉ
ｔに生じた任意のエラーが訂正できることになる。

【０１９５】７−ｑｕｂｉｔコードの場合、１ブロック
あたり１−ｑｕｂｉｔ以下の任意のエラーが訂正可能と
なるだけでなく、σ_ｘエラーとσ_ｚエラーが一個ずつ異
なるｑｕｂｉｔに生じても訂正できてしまう。７−ｑｕ
ｂｉｔコードのパリティ検出演算子は以下の六個であ
る。

【０１９６】

【数６２】

【０１９７】Ｋ_０，Ｋ_１，Ｋ_２はｃ−基底での、Ｋ_３，
Ｋ_４，Ｋ_５，はｓ−基底でのパリティ検出に対応する。
ここでは具体例として７−ｑｕｂｉｔコードの場合を挙
げたが、｛０｝⊂Ｃ_２⊂Ｃ_１⊂Ｆ_２ ^ｎを選べば様々な量
子コードＱ_{Ｃ１，Ｃ２}が設計可能である。

【０１９８】［Ｒｅｅｄ−Ｍｕｌｌｅｒコード］ＣＳＳ
コードに適用可能な古典線形コードとして、Ｒｅｅｄ−
Ｍｕｌｌｅｒコードが考えられる（Ｐ．Ｗ．Ｓｈｏｒ，
‘Ｆａｕｌｔ−ｔｏｌｅｒａｎｔｑｕａｎｔｕｍｃ
ｏｍｐｕｔａｔｉｏｎ’，Ｐｒｏｃ．３７ｔｈＡｎｎ
ｕａｌＳｙｍｐｏｓｉｕｍｏｎＦｏｕｎｄａｔｉｏ
ｎｓｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ＩＥＥ
ＥＣｏｍｐｕｔｅｒＳｏｃ．Ｐｒｅｓｓ，１９９
６，ｐｐ．５６−６５．）。そこで、ここでは、ＣＳＳ
コードに適用することを念頭において、Ｒｅｅｄ−Ｍｕ
ｌｌｅｒコードについて説明する（Ｆ．Ｊ．Ｍａｃｗｉ
ｌｌｉａｍｓａｎｄＮ．Ｊ．Ａ．Ｓｌｏａｎｅ，
‘ＴｈｅＴｈｅｏｒｙｏｆＥｒｒｏｒ−Ｃｏｒｒ
ｅｃｔｉｎｇＣｏｄｅｓ’，Ｎｏｒｔｈ−Ｈｏｌｌａ
ｎｄＭａｔｈ．Ｌｉｂｒａｒｙ１６，Ｎｏｒｔｈ−Ｈ
ｏｌｌａｎｄ，Ａｍｓｔｅｒｄａｍ（１９７７）．）。

【０１９９】ｂｉｔ長ｎ＝２^ｍの古典線形コードを構成
することを考える。ｍ個の変数ｖ_１，…，ｖ_ｍΕ｛０，
１｝を準備して、（ｖ＝（ｖ_１，…，ｖ_ｍ）ΕＶ^ｍ（＝
Ｆ_２ ^ｍ＝｛０，１｝^ｍ））というベクトルを定義する。
次のような関数ｆをＢｏｏｌｅａｎｆｕｎｃｔｉｏｎ
と呼ぶ。ｆ：Ｖ^ｍ→｛０，１｝，ｆ（ｖ）＝ｆ（ｖ_１，…，ｖ_ｍ）Ε｛０，１｝例えば、図１３は、ｍ＝３のＢｏｏｌｅａｎｆｕｎｃ
ｔｉｏｎｆ（ｖ）＝ｖ_１＋ｖ_１＋ｖ_３（ｍｏｄ２）の真理表であ
る。表の右端の縦列を、成分数が２^３個のベクトルｆと
見なすことにする。

【０２００】Ｂｏｏｌｅａｎｆｕｎｃｔｉｏｎｆは
真理表によって定義される。二つのＢｏｏｌｅａｎｆ
ｕｎｃｔｉｏｎの真理表が異なっていれば、それらは異
なるＢｏｏｌｅａｎｆｕｎｃｔｉｏｎであると言え
る。また、真理表が同じなら、二つのＢｏｏｌｅａｎ
ｆｕｎｃｔｉｏｎは同じものと見なす。真理表はベクト
ルｆによって特徴付けられており、ｆの成分数は２
^ｍ個、各成分は｛０，１｝の値を取る。異なるベクトル
ｆが２^２ｍ個存在することから、Ｂｏｏｌｅａｎｆｕ
ｎｃｔｉｏｎｆは２^２ｍ種類存在すると分かる。

【０２０１】一般に、次の事実が知られている。Ｂｏｏ
ｌｅａｎｆｕｎｃｔｉｏｎｆ（ｖ）＝ｆ（ｖ_１，
…，ｖ_ｍ）は、１、ｖ_１，ｖ_２，…，ｖ_ｍ，ｖ_１，
ｖ_２，ｖ_１，ｖ_３，…，ｖ_１ｖ_２…ｖ_ｍの

【０２０２】

【数６３】

【０２０３】個の項の線形結合で書ける。ただし、各項
の係数は｛０，１｝とする。よって、２^２ｍ個のＢｏｏ
ｌｅａｎｆｕｎｃｔｉｏｎが表現可能で、これは、全
てのＢｏｏｌｅａｎｆｕｎｃｔｉｏｎを尽くしてい
る。以上の考察から、１、ｖ_１，ｖ_２，…，ｖ_ｍ，ｖ_１，ｖ_２，ｖ_１，ｖ_３，
…，ｖ_１ｖ_２…ｖ_ｍを、２^ｍ個の線形独立なベクトルと考えても差し支えな
い。

【０２０４】長さｎ＝２^ｍ、次数ｒ

【０２０５】

【数６４】

【０２０６】の二進Ｒｅｅｄ−ＭｕｌｌｅｒコードＲ
（ｒ，ｍ）とは、ｒ次以下の全てのＢｏｏｌｅａｎｆ
ｕｎｃｔｉｏｎｆ（ｖ）＝ｆ（ｖ_１，…，ｖ_ｍ）から
成る、２ ^ｍ成分ベクトルｆの集合のことである。

【０２０７】例えば、Ｒ（１，３）（ｒ＝１，ｍ＝
３）の符号語は、図１４の表に示される１６個となる。
ただし、表の中の

【０２０８】

【数６５】は０，…，７の二進数表現を表している。図１４の表か
らも分かるように、Ｒ（１，３）は｛ｖ_１、ｖ_２、
ｖ_３，１｝を基底ベクトルとする、重ね合わせの係数が
｛０，１｝の線形空間である。

【０２０９】二進Ｒｅｅｄ−ＭｕｌｌｅｒコードＲ
（ｒ，ｍ）は、１、ｖ_１，…，ｖ_ｍ，ｖ_１，ｖ_２，ｖ_１，ｖ_３，…，ｖ
_ｍ−１ｖ_ｍ，… （ｕｐｔｏｄｅｇｒｅｅｒ）の線形結合で、

【０２１０】

【数６６】

【０２１１】として、符号語の個数は２^ｋで与えられ
る。Ｒｅｅｄ−ＭｕｌｌｅｒコードＲ（ｒ，ｍ）に関す
る、次の事実を証明なしで挙げておく。（１）Ｒ（ｒ，ｍ）の符号語間の最小距離は２^ｍ−ｒ。（２）Ｒ（ｍ−ｒ−１，ｍ）

【０２１２】

【数６７】はＲ（ｒ，ｍ）のｄｕａｌｃｏｄｅ（双対コード）。

【０２１３】また、ｐｕｎｃｔｕｒｅｄＲｅｅｄ−Ｍ
ｕｌｌｅｒコードＲ（ｒ，ｍ）^＊を次のように定義でき
る。Ｒ（ｒ，ｍ）^＊は、

【０２１４】

【数６８】

【０２１５】として、Ｒ（ｒ，ｍ）からｖ_１＝…＝ｖ_ｍ
＝０となっている座標を除いたもの（このような座標は
一つしかない）とする。Ｒ（ｒ，ｍ）^＊の長さは（２^ｍ
−１）、符号語空間の次元は

【０２１６】

【数６９】

【０２１７】、最小距離は（２^ｍ−ｒ−１）となる。

【０２１８】例えば、長さ８（ｎ＝８，ｍ＝３）のＲｅ
ｅｄ−Ｍｕｌｌｅｒコードのｐｕｎｃｔｕｒｅｄコード
を考える。符号語空間を構成する基底ベクトルは、図１
５の表のように変更を受ける。（斜線の部分の成分が除
去される。）Ｒ（１，３）^＊コードは｛１，ｖ_１，
ｖ_２，ｖ_３｝の先頭の成分を除去したものを基底ベクト
ルとする線形空間、Ｒ（２，３）^＊コードは｛１，
ｖ_１，ｖ_２，ｖ_３，ｖ_１，ｖ_２，ｖ_２，ｖ_３，ｖ_１，ｖ
_３｝の先頭の成分を除去したものを基底ベクトルとする
線形空間となる。（Ｒ（０，３）^＊）コードは｛１｝の
先頭の成分を除去したものを基底ベクトルとする１次元
線形空間となる。）本明細書（第４の実施形態）では、特に、次の場合を考
える。Ｒ（ｍ，２ｍ＋１）

【０２１９】

【数７０】

【０２２０】は、長さ２^２ｍ＋１、符号語空間の次元

【０２２１】

【数７１】

【０２２２】、最小距離２^ｍ＋１となる。また、Ｒ
（ｍ，２ｍ＋１）^⊥＝Ｒ（ｍ，２ｍ＋１）で、自己双対
コードとなっている。さらに、Ｒ（ｍ，２ｍ＋１）^＊⊃
Ｒ（ｍ，２ｍ＋１）^＊⊥が成立する。

【０２２３】このことは、次の例を考えると理解しやす
い。Ｒ（１，３）コードの基底は｛１，ｖ_１，ｖ_２，ｖ
_３｝で与えられる。各基底の先頭の成分を除去した基底
を、

【０２２４】

【数７２】

【０２２５】と書くことにする。Ｒ（１，３）^＊を張る
基底は

【０２２６】

【数７３】

【０２２７】、Ｒ（１，３）^＊⊥を張る基底は

【０２２８】

【数７４】

【０２２９】で、Ｒ（１，３）^＊⊃Ｒ（１，３）^＊⊥が
成立している。

【０２３０】

【発明が解決しようとする課題】上述した「量子状態の
暗号化方法と装置」で提案されている暗号化方法は、送
信者、受信者が、あらかじめもつれ合った対のｑｕｂｉ
ｔを共有すること無しに、任意の量子状態を安全に伝送
することを可能にし、量子テレポテーションとは異なる
暗号方法として、優れた特徴を備えている。

【０２３１】例えば、上記暗号化方法では、盗聴が成功
する確率が、受信者が正しく認証を行う確率として与え
られ、評価しやすい。ｎ−ｑｕｂｉｔの量子状態（量子
情報）を盗聴者が完全に得てしまう確率は、（３／４）
のｎ乗で抑えられる。

【０２３２】本発明は、盗聴者による、伝送される量子
状態（量子情報）の一部（例えば、ｎ−ｑｕｂｉｔ中の
１個のｑｕｂｉｔ）の奪取、破壊を防ぐ（奪取、破壊に
成功する確率を低く抑える）、暗号化方法および装置を
提供することを目的としている。

【０２３３】

【課題を解決するための手段】暗号化されるｎ−ｑｕｂ
ｉｔ量子状態（量子情報）の各ｑｕｂｉｔを、量子エラ
ー訂正コードでブロック符号化してから、全ｑｕｂｉｔ
を上述した暗号化方法で暗号化する。

【０２３４】

【作用】暗号化されるｎ−ｑｕｂｉｔ量子状態（量子情
報）の各ｑｕｂｉｔを、量子エラー訂正コードでブロッ
ク符号化することにより、１−ｑｕｂｉｔあたりの情報
をより多くのｑｕｂｉｔで冗長に表現し、盗聴者が、よ
り多くのｑｕｂｉｔに盗聴行為を行わなくては、量子情
報が得られないようにする。これにより、盗聴行為が、
送受信者に検出されない確率を低く抑えることができ
る。

【０２３５】また、送受信者が量子エラー訂正コードに
より、エラー訂正操作を行うことによって、盗聴者によ
って引き起こされた、量子情報の損傷（デコヒーレン
ス）を除去することが可能となる。

【０２３６】

【発明の実施の形態】（第１の実施形態）本実施形態
は、（請求項１）の量子状態の暗号化方法、および、
（請求項２）の量子状態の暗号化装置について説明した
ものである。すなわち、量子二状態系（ｑｕｂｉｔ）を
使った、任意の量子状態、または、その量子状態に含ま
れている量子情報の、入力手段、記憶手段、演算手段、
出力手段を用意し、任意の量子状態または、その量子状
態に含まれている量子情報を、送信者から受信者に量子
通信回線を使って伝送する際、送りたい量子状態が盗聴
者に奪われても元の情報を取り出せないようにするため
に第一の暗号化を行い、量子状態が送り手から受け手に
確かに渡されたことを保証するための署名情報を持つ量
子系を付加し、さらに、盗聴者に署名を偽造されないよ
うにするための第二の暗号化を行う量子状態の暗号化方
法を使用する場合において、特に、盗聴者からの、伝送
される量子状態、または、その量子状態に含まれている
量子情報の奪取、破壊を防ぐために、本来の伝送したい
状態に冗長なｑｕｂｉｔ列を付加し、量子エラー訂正符
号化を行い、これら全体の量子状態に、前記の暗号化方
法を適用することを特徴とする、量子状態および量子情
報の暗号化方法と暗号化装置について、説明する。

【０２３７】また、本実施形態は、（請求項３）の量子
状態の暗号化方法、および、（請求項４）の量子状態の
暗号化装置について説明したものでもある。すなわち、
本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付加
し、量子エラー訂正符号化を行い、これら全体の量子状
態に、第一の暗号化、署名情報を持つ量子系を付加、第
二の暗号化を行う暗号化方法を適用する際、送信者、お
よび、受信者が、認証操作として、署名情報を持つ量子
系（ｑｕｂｉｔ）に対して観測を行い、これらのｑｕｂ
ｉｔの中で、どれか１個のｑｕｂｉｔでも矛盾が見付か
った場合、第一の暗号化の復号用パスワードを公開しな
いことを特徴とする、量子状態の暗号化方法と暗号化装
置について、説明する。

【０２３８】また、本実施形態は、（請求項５）の量子
状態の暗号化方法、および、（請求項６）の量子状態の
暗号化装置について説明したものでもある。すなわち、
本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付加
し、量子エラー訂正符号化を行い、これら全体の量子状
態に、第一の暗号化、署名情報を持つ量子系を付加、第
二の暗号化を行う暗号化方法を適用する際、前記の量子
エラー訂正符号として、ＤｉＶｉｎｃｅｎｚｏ−Ｓｈｏ
ｒの５−ｑｕｂｉｔコード、すなわち、１−ｑｕｂｉｔ
の量子情報を、全体で５−ｑｕｂｉｔのブロックに符号
化し、ブロック内の任意の１−ｑｕｂｉｔに局所的に生
じる任意のエラー（デコヒーレンス）を訂正するコード
を使用することを特徴とする、量子状態の暗号化方法と
暗号化装置について、説明する。

【０２３９】図１は本実施形態の、任意の１−ｑｕｂｉ
ｔ量子状態｜ψ＞を５−ｑｕｂｉｔのブロックに符号化
し、これを暗号化する操作全体の量子ゲートネットワー
クを表したものである。図１の左上にあるＱｕａｎｔｕ
ｍｃｉｒｃｕｉｔｓｆｏｒｅｎｃｏｄｉｎｇと表
示された箱がブロック符号化を行う回路を、右側のＱｕ
ａｎｔｕｍｃｉｒｃｕｉｔｓｆｏｒｅｎｃｉｐｈ
ｅｒｉｎｇと表示された部分が暗号化を行う回路を表し
ている。

【０２４０】なお、これより、ｑｕｂｉｔに対する操作
をしばしば図１のようにネットワーク図で表すことにす
る。ｑｕｂｉｔは横線で描かれ、操作は左から右へ順に
行われるものとする。ｑｕｂｉｔに作用されるユニタリ
変換は、例えば図３のように表す。図３．ｉはｃｏｎｔ
ｒｏｌｌｅｄ−ＮＯＴ（Ｃ−ＮＯＴ）ゲート、図３．ｉ
ｉはσ_ｘを表す。これらの表記方法は文献、Ｒ．Ｐ．Ｆ
ｅｙｎｍａｎ，‘ＦｅｙｎｍａｎＬｅｃｔｕｒｅｓ
ｏｎＣｏｍｐｕｔａｔｉｏｎ’，Ａｄｄｉｓｏｎ−Ｗ
ｅｓｌｅｙ（１９９６）．および、Ａ．Ｂａｒｅｎｃ
ｏ，Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｒ．Ｃｌｅｖｅ，Ｄ．
Ｐ．ＤｉＶｉｎｃｅｎｚｏ，Ｎ．Ｍａｒｇｏｌｕｓ，
Ｐ．Ｓｈｏｒ，Ｔ．Ｓｌｅａｔｏｒ，Ｊ．Ｓｍｏｌｉｎ
ａｎｄＨ．Ｗｅｉｎｆｕｒｔｅｒ，‘Ｅｌｅｍｅｎ
ｔａｒｙｇａｔｅｓｆｏｒｑｕａｎｔｕｍｃｏ
ｍｐｕｔａｔｉｏｎ’，Ｐｈｙｓ．Ｒｅｖ．Ａ５２，３
４５７（１９９５）．によっている。

【０２４１】図１の左上にあるＱｕａｎｔｕｍｃｉｒ
ｃｕｉｔｓｆｏｒｅｎｃｏｄｉｎｇと表示された箱
の中には、本明細書の（従来の技術）の項目で説明し
た、ＤｉＶｉｎｃｅｎｚｏ−Ｓｈｏｒの５−ｑｕｂｉｔ
コードの符号化を行う量子ゲートネットワーク、図１
０．ｉ、図１１．ｉ等が挿入される。

【０２４２】図１の右側にあるＱｕａｎｔｕｍｃｉｒ
ｃｕｉｔｓｆｏｒｅｎｃｉｐｈｅｒｉｎｇと表示さ
れた部分は、本明細書の（従来の技術）の項目で説明し
た「量子状態の暗号化方法と装置」において提案されて
いる暗号化方法を実現する量子ゲートネットワークであ
る。まず、符号化された５個のｑｕｂｉｔに、各々独立
に｛Ｉ，σ_ｘ，σ_ｙ，σ_ｚ，｝の中から無作為に選ばれ
た演算子が作用される。図１中のσ_ｉｋの添え字ｉ
_ｋ（ｋ＝１，…，５）は、｛０，ｘ，ｙ，ｚ｝のどれか
である。ただし、σ_０＝Ｉとしている。次に、符号化さ
れた５−ｑｕｂｉｔ、署名を表す５−ｑｕｂｉｔ、それ
ぞれから１−ｑｕｂｉｔずつ取り出したｑｕｂｉｔ対
に、図２の量子ゲートネットワークを作用させる。これ
らの暗号化の量子ゲート操作は、ｑｕｂｉｔ対毎に独立
に行われていることに注意する。

【０２４３】これより、本実施形態での、Ｅｖｅが不正
な盗聴行為を行って、量子情報の一部を奪う、または、
破壊することに成功する確率について検討する。本実施
形態では、Ｅｖｅは、伝送される各ｑｕｂｉｔを独立に
適当な基底で観測し、その結果に応じて代わりのｑｕｂ
ｉｔを送る、Ｉｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔ
ｔａｃｋのみ行うとする（Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，
Ｆ．Ｂ．Ｂｅｓｓｅｔｔｅ，Ｇ．Ｂｒａｓｓａｒｄ，
Ｌ．ＳａｌｖａｉｌａｎｄＪ．Ｓｍｏｌｉｎ，‘Ｅ
ｘｐｅｒｉｍｅｎｔａｌＱｕａｎｔｕｍＣｒｙｐｔ
ｏｇｒａｐｈｙ’，Ｊ．Ｃｒｙｐｔｏｌｏｇｙ，５：３
−２８（１９９２）．）。これは、Ｅｖｅが、量子コン
ピュータを使って、もつれ合いを利用した盗聴を行うこ
とはないと、仮定したことになる。

【０２４４】送受信者Ａｌｉｃｅ，Ｂｏｂ、盗聴者Ｅｖ
ｅの行う操作の流れは、以下のようにまとめられる。

【０２４５】Ａｌｉｃｅは図１の量子ゲートネットワー
クを使って、１−ｑｕｂｉｔの情報を５−ｑｕｂｉｔに
ブロック符号化し（これを量子系Ｑと見なす）、さら
に、５−ｑｕｂｉｔの署名を表すｑｕｂｉｔ（これを量
子系Ｓと見なす）を付加、暗号化して、伝送する。

【０２４６】Ｅｖｅは、合計１０個のｑｕｂｉｔに、各
々個別に任意にＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａ
ｔｔａｃｋを行う。

【０２４７】信号を受け取ったＢｏｂは、図１の、Ｑｕ
ａｎｔｕｍｃｉｒｃｕｉｔｓｆｏｒｅｎｃｉｐｈ
ｅｒｉｎｇ部分の量子ゲートの逆変換を行って、５−ｑ
ｕｂｉｔ系Ｑ，Ｓを得る。この際、Ａｌｉｃｅ，Ｂｏｂ
間で、パスワード、署名を表す古典ｂｉｔ情報が交換さ
れる。最後に、Ｂｏｂは、５−ｑｕｂｉｔ系Ｑに対し
て、エラー訂正操作、復号化操作（図１０．ｉ、図１
１．ｉ等の逆変換）を行い、元々の１−ｑｕｂｉｔ量子
情報を得る。Ｂｏｂは第１の復号化のパスワードｉを得
てからでないと、５−ｑｕｂｉｔ系Ｑに対して、エラー
訂正操作、復号化操作を行うことは出来ない。

【０２４８】暗号化の量子ゲートＱｕａｎｔｕｍｃｉ
ｒｃｕｉｔｓｆｏｒｅｎｃｉｐｈｅｒｉｎｇ部分
は、系ＱＳのｑｕｂｉｔ対毎に、独立にユニタリ変換を
行うので、例えば、Ｅｖｅがｔ個のｑｕｂｉｔ対に対し
て盗聴（Ｉｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔａ
ｃｋ）を仕掛けた場合、５−ｑｕｂｉｔのブロック符号
中のｔ−ｑｕｂｉｔにしかエラーは発生しない。これ
は、暗号の復号化操作がｑｕｂｉｔ対毎に独立に行われ
るため、Ｅｖｅが起こしたエラーは別のｑｕｂｉｔ対に
拡大しないからである。

【０２４９】従って、Ｅｖｅが系ＱＳのｔ個のｑｕｂｉ
ｔ対にＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔａｃ
ｋを行った場合、Ｂｏｂは５−ｑｕｂｉｔブロック中
の、ｔ−ｑｕｂｉｔのエラー訂正を行うことになる。

【０２５０】Ａｌｉｃｅ，Ｂｏｂは署名ｑｕｂｉｔ｜ａ
_１…ａ_５＞ｓを観測して、Ｅｖｅの振る舞いを推測す
る。ここで、次の点に注意する。本実施形態で考えてい
る５−ｑｕｂｉｔ符号は、位置の特定されていない任意
の１−ｑｕｂｉｔエラーを訂正できる。一方、エラーの
生じているｑｕｂｉｔが特定できている場合は、任意の
２−ｑｕｂｉｔエラーを訂正できる。（ＤｉＶｉｎｃｅ
ｎｚｏ−Ｓｈｏｒの５−ｑｕｂｉｔコードでは、符号語
間最小距離はｄ＝３で与えられる。）Ａｌｉｃｅ，Ｂｏ
ｂが署名ｑｕｂｉｔを観測して認証を行うと、Ｅｖｅが
少なくともどのｑｕｂｉｔに介入したかの情報が得られ
る。従って、署名ｑｕｂｉｔの観測結果を、エラー訂正
操作に反映させるかどうかによって、Ａｌｉｃｅ，Ｂｏ
ｂの取るべき戦略（Ｅｖｅからの盗聴を防ぐための戦
略）は変わってくる。

【０２５１】また、第１の復号化のパスワードｉを公開
するか、しないかの判断基準を、どのように設定するか
についても、様々な場合が考えられる。

【０２５２】さらに、次の点に注意する。Ｅｖｅは５−
ｑｕｂｉｔブロック符号のどの位置のｑｕｂｉｔを得た
か、当然知っている。従って、Ｅｖｅが５−ｑｕｂｉｔ
ブロック中の３個のｑｕｂｉｔを忠実に取り出せた場
合、Ｅｖｅの持つ状態は、ブロック符号中に位置の特定
されたエラーが２個生じている状態と同じになり、エラ
ー訂正可能で、元々の量子情報が完全に取り出せてしま
う。これは、Ｅｖｅが、最少で３個のｑｕｂｉｔに対す
るＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔａｃｋ
で、元々の量子情報が完全に取り出せてしまうというこ
とである。

【０２５３】一方、５−ｑｕｂｉｔブロック中の、任意
の２−ｑｕｂｉｔの密度演算子は、恒等行列で与えられ
る。従って、Ｅｖｅは２個以下のｑｕｂｉｔに盗聴を行
っても、何の情報も得られない。これらの事情は、（従
来の技術）の項目でも説明した。

【０２５４】以下、場合分けをして、安全性を検討す
る。まず、最も基本的な比較の対象として、次の、ブロ
ック符号化せずに暗号化する場合を考える。

【０２５５】［０］．１−ｑｕｂｉｔの量子情報を符号
化せずに、暗号化する。Ｅｖｅは系ＱＳの（１個の）ｑ
ｕｂｉｔ対に、Ｉｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａ
ｔｔａｃｋを行う。Ａｌｉｃｅ，Ｂｏｂは、署名ｑｕｂ
ｉｔの中に矛盾を見付けたら、第１の復号化のパスワー
ドｉを公開しない。

【０２５６】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／４以上の
確率で、署名ｑｕｂｉｔの矛盾を検出する。このとき、
パスワードｉは公開されないので、Ａｌｉｃｅ，Ｂｏｂ
は、元々の１−ｑｕｂｉｔ量子情報を失うことになる。
従って、Ｅｖｅは情報の破壊に成功したことになる。Ｅ
ｖｅは盗聴によって何の情報も得られない。

【０２５７】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは３／４以下
の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖｅ
の介入を見落とす。このとき、パスワードｉは公開され
る。Ｅｖｅは盗聴によって量子情報を完全に得る可能性
がある。Ａｌｉｃｅ，Ｂｏｂは、Ｅｖｅの不正に気付か
ない。

【０２５８】次に、ブロック符号化してから、暗号化す
る場合を考える。

【０２５９】［Ａ］．Ａｌｉｃｅ，Ｂｏｂは、署名ｑｕ
ｂｉｔの観測結果を、エラー訂正操作に反映させない
（１−ｑｕｂｉｔのエラー訂正が可能）。

【０２６０】［１］．Ａｌｉｃｅ，Ｂｏｂは、５個の署
名ｑｕｂｉｔの中に、どれか１個でも矛盾を見付けた
ら、第１の復号化のパスワードｉを公開しない。

【０２６１】（ａ）．Ｅｖｅがブロック中の１個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０２６２】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／４以上の
確率で、１個の署名ｑｕｂｉｔの矛盾を検出する。この
とき、パスワードｉは公開されないので、Ａｌｉｃｅ，
Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うことに
なる。従って、Ｅｖｅは情報の破壊に成功したことにな
る。Ｅｖｅは盗聴によって何の情報も得られない。

【０２６３】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは３／４以下
の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖｅ
の介入を見落とす。このとき、パスワードｉは公開され
る。しかし、Ｂｏｂはブロック符号により１−ｑｕｂｉ
ｔのエラーを訂正して、元々の１−ｑｕｂｉｔ量子情報
を得ることができる。Ｅｖｅは盗聴によって何の情報も
得られない。

【０２６４】（ｂ）．Ｅｖｅがブロック中の２個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０２６５】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／１６以上
の確率で、２個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０２６６】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは９／１６以
下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖ
ｅの介入を見落とす。このとき、パスワードｉは公開さ
れる。Ｂｏｂは、２−ｑｕｂｉｔのエラーを訂正できな
いので、元々の量子情報を失ってしまう。Ｅｖｅは盗聴
によって何の情報も得られない。Ａｌｉｃｅ，Ｂｏｂ
は、Ｅｖｅの不正に気付く可能性がある（Ｂｏｂのエラ
ー訂正中に、Ｅｖｅの介入の痕跡が見付かる可能性があ
る）。

【０２６７】ｉｉｉ）．上のｉ），ｉｉ）以外の場合と
して、Ａｌｉｃｅ，Ｂｏｂは、１個の署名ｑｕｂｉｔの
矛盾を検出する。パスワードｉは公開されないので、Ａ
ｌｉｃｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を
失うことになる。従って、Ｅｖｅは情報の破壊に成功し
たことになる。Ｅｖｅは盗聴によって何の情報も得られ
ない。

【０２６８】（ｃ）．Ｅｖｅがブロック中の３個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０２６９】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／６４以上
の確率で、３個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０２７０】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは２７／６４
以下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅ
ｖｅの介入を見落とす。このとき、パスワードｉは公開
される。Ｂｏｂは、３−ｑｕｂｉｔのエラーを訂正でき
ないので、元々の量子情報を失ってしまう。Ｅｖｅは、
５−ｑｕｂｉｔブロック中の３−ｑｕｂｉｔを手にして
いる。これは、Ｅｖｅの手にしている状態が、位置の特
定された２−ｑｕｂｉｔエラーの生じているブロックと
いうことである。従って、Ｅｖｅはエラー訂正すること
で、元々の完全な１−ｑｕｂｉｔ量子情報を得ることが
できる。Ａｌｉｃｅ，Ｂｏｂは、Ｅｖｅの不正に気付く
可能性がある（Ｂｏｂのエラー訂正中に、Ｅｖｅの介入
の痕跡が見付かる可能性がある）。

【０２７１】ｉｉｉ）．Ａｌｉｃｅ，Ｂｏｂは、１個の
署名ｑｕｂｉｔの矛盾を検出する。パスワードｉは公開
されないので、Ａｌｉｃｅ，Ｂｏｂは、元々の１−ｑｕ
ｂｉｔ量子情報を失うことになる。従って、Ｅｖｅは情
報の破壊に成功したことになる。Ｅｖｅは盗聴によって
何の情報も得られない。

【０２７２】ｉｖ）．上のｉ），ｉｉ），ｉｉｉ）以外
の場合として、Ａｌｉｃｅ，Ｂｏｂは、２個の署名ｑｕ
ｂｉｔの矛盾を検出する。パスワードｉは公開されない
ので、Ａｌｉｃｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量
子情報を失うことになる。従って、Ｅｖｅは情報の破壊
に成功したことになる。Ｅｖｅは盗聴によって何の情報
も得られない。

【０２７３】［Ａ−１］の方法では、盗聴者Ｅｖｅが伝
送されている量子情報の破壊を目的としているなら、ブ
ロック中の２個以下のｑｕｂｉｔ対に盗聴を仕掛ければ
十分である。例えば、Ｅｖｅがブロック中の１個のｑｕ
ｂｉｔ対に対して盗聴を行ったとすると、［Ａ−１］．
（ａ）．ｉｉ）の場合において、エラー訂正能力を活か
すことができる。また、Ａｌｉｃｅ，Ｂｏｂが、Ｅｖｅ
によって元々の量子情報が破壊されたことに気付かない
確率は、９／１６以下に抑えることができる。

【０２７４】［Ａ−１］の方法では、盗聴者Ｅｖｅが伝
送されている量子情報を完全に得る（奪取する）ことを
目的としているなら、ブロック中の３個以上のｑｕｂｉ
ｔ対に盗聴を仕掛けなくてはならない。これは、前にも
説明したように、５−ｑｕｂｉｔブロック中の、位置の
特定された３−ｑｕｂｉｔで元の情報を完全に再現でき
るからである。Ｅｖｅが元々の１−ｑｕｂｉｔの量子情
報を完全に得る確率は（３／４）の３乗（＝２７／６
４）以下となる。ブロック符号化を行わない［０］場
合、Ｅｖｅが元々の１−ｑｕｂｉｔの量子情報を完全に
得る確率は（３／４）以下なので、［Ａ−１］のように
エラー訂正符号を使うことで、安全性が改善されている
と言える。

【０２７５】［２］．Ａｌｉｃｅ，Ｂｏｂは、５個の署
名ｑｕｂｉｔの観測結果において、２−ｑｕｂｉｔ以上
の矛盾を見付けたら、第１の復号化のパスワードｉを公
開しない。（１−ｑｕｂｉｔ以下の矛盾なら、パスワー
ドｉを公開する。）（ａ）．Ｅｖｅがブロック中の１個のｑｕｂｉｔ対に対
して盗聴を行ったとする。

【０２７６】この場合、Ａｌｉｃｅ，Ｂｏｂは、必ずパ
スワードｉを公開する。Ｂｏｂはブロック符号により１
−ｑｕｂｉｔのエラーを訂正して、元々の１−ｑｕｂｉ
ｔ量子情報を得ることができ、Ｅｖｅは盗聴によって何
の情報も得られない。従って、この場合、必ず、Ａｌｉ
ｃｅ，Ｂｏｂ間の量子情報の伝達は正常に行われ、Ｅｖ
ｅが情報の奪取、破壊に成功することはない。

【０２７７】（ｂ）．Ｅｖｅがブロック中の２個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０２７８】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／１６以上
の確率で、２個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０２７９】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは９／１６以
下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖ
ｅの介入を見落とす。このとき、パスワードｉは公開さ
れる。Ｂｏｂは、２−ｑｕｂｉｔのエラーを訂正できな
いので、元々の量子情報を失ってしまう。Ｅｖｅは盗聴
によって何の情報も得られない。Ａｌｉｃｅ，Ｂｏｂ
は、Ｅｖｅの不正に気付く可能性がある（Ｂｏｂのエラ
ー訂正中に、Ｅｖｅの介入の痕跡が見付かる可能性があ
る）。

【０２８０】ｉｉｉ）．上のｉ），ｉｉ）以外の場合と
して、Ａｌｉｃｅ，Ｂｏｂは、１個の署名ｑｕｂｉｔの
矛盾を検出する。パスワードｉは公開される。Ｂｏｂ
は、２−ｑｕｂｉｔのエラーを訂正できないので、元々
の量子情報を失ってしまう。Ｅｖｅは盗聴によって何の
情報も得られない。一方、Ａｌｉｃｅ，Ｂｏｂは、１−
ｑｕｂｉｔのエラーは訂正可能と考えているので、訂正
操作を行い、元々の１−ｑｕｂｉｔ量子情報を得たと誤
解してしまう。

【０２８１】（ｃ）．Ｅｖｅがブロック中の３個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０２８２】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／６４以上
の確率で、３個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０２８３】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは２７／６４
以下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅ
ｖｅの介入を見落とす。このとき、パスワードｉは公開
される。Ｂｏｂは、３−ｑｕｂｉｔのエラーを訂正でき
ないので、元々の量子情報を失ってしまう。Ｅｖｅは、
５−ｑｕｂｉｔブロック中の３−ｑｕｂｉｔを手にして
いる。これは、Ｅｖｅの手にしている状態が、位置の特
定された２−ｑｕｂｉｔエラーの生じているブロックと
いうことである。従って、Ｅｖｅはエラー訂正すること
で、元々の完全な１−ｑｕｂｉｔ量子情報を得ることが
できる。Ａｌｉｃｅ，Ｂｏｂは、Ｅｖｅの不正に気付く
可能性がある（Ｂｏｂのエラー訂正中に、Ｅｖｅの介入
の痕跡が見付かる可能性がある）。

【０２８４】ｉｉｉ）．Ａｌｉｃｅ，Ｂｏｂは、１個の
署名ｑｕｂｉｔの矛盾を検出する。このとき、パスワー
ドｉは公開される。Ｂｏｂは、３−ｑｕｂｉｔのエラー
を訂正できないので、元々の量子情報を失ってしまう。
Ｅｖｅは、５−ｑｕｂｉｔブロック中の３−ｑｕｂｉｔ
を手にしている。これは、Ｅｖｅの手にしている状態
が、位置の特定された２−ｑｕｂｉｔエラーの生じてい
るブロックということである。従って、Ｅｖｅはエラー
訂正することで、元々の完全な１−ｑｕｂｉｔ量子情報
を得ることができる。一方、Ａｌｉｃｅ，Ｂｏｂは、１
−ｑｕｂｉｔのエラーは訂正可能と考えているので、訂
正操作を行い、元々の１−ｑｕｂｉｔ量子情報を得たと
誤解してしまう。

【０２８５】ｉｖ）．上のｉ），ｉｉ），ｉｉｉ）以外
の場合として、Ａｌｉｃｅ，Ｂｏｂは、２個の署名ｑｕ
ｂｉｔの矛盾を検出する。パスワードｉは公開されない
ので、Ａｌｉｃｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量
子情報を失うことになる。従って、Ｅｖｅは情報の破壊
に成功したことになる。Ｅｖｅは盗聴によって何の情報
も得られない。

【０２８６】このように場合分けをして考えると、次の
ことが分かる。［０］，［Ａ−１］，［Ａ−２］を比べ
た場合、Ｅｖｅが１個のｑｕｂｉｔ対に対してのみ盗聴
を行うとすると、［Ａ−２］がＡｌｉｃｅ，Ｂｏｂにと
って、最も有利となる。そのため、一見して、［Ａ−
２］が、Ｅｖｅのどのような盗聴攻撃に対しても安全で
あるように思われる。しかし、次のように考えると、そ
うとは言えないことが分かる。

【０２８７】Ａｌｉｃｅ，Ｂｏｂが［Ａ−２］の方法を
採用する場合、Ｅｖｅは必ず２個以上のｑｕｂｉｔ対に
対して盗聴を行う。これは、Ｅｖｅが１個のｑｕｂｉｔ
対に対して盗聴を行っても、Ａｌｉｃｅ，Ｂｏｂに被害
を及ぼすことが出来ないからである。Ｅｖｅが２個以上
のｑｕｂｉｔ対に対して盗聴を行った場合、［Ａ−
１］．（ｂ）．ｉｉｉ）．と［Ａ−２］．（ｂ）．ｉｉ
ｉ）．および、［Ａ−１］．（ｃ）．ｉｉｉ）．と［Ａ
−２］．（ｃ）．ｉｉｉ）．の比較から、［Ａ−１］の
暗号化方法の方が、［Ａ−２］よりも安全性は高いと言
える。

【０２８８】条件［Ａ］の場合、エラー訂正できるｑｕ
ｂｉｔ数は１個である。また、Ｅｖｅは、３個のｑｕｂ
ｉｔに対するＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔ
ｔａｃｋで、元々の量子情報が完全に取り出せる可能性
がある。従って、Ａｌｉｃｅ，Ｂｏｂは、署名ｑｕｂｉ
ｔの観測結果で３−ｑｕｂｉｔ以上の矛盾が見付かった
ら、第１の復号化のパスワードｉを公開すべきではな
い。

【０２８９】［Ｂ］．Ａｌｉｃｅ，Ｂｏｂは、署名ｑｕ
ｂｉｔの観測結果を、エラー訂正操作に反映させる（２
−ｑｕｂｉｔのエラー訂正が可能）。

【０２９０】［１］．Ａｌｉｃｅ，Ｂｏｂは、５個の署
名ｑｕｂｉｔの中に、どれか１個でも矛盾を見付けた
ら、第１の復号化のパスワードｉを公開しない。

【０２９１】実は、この［Ｂ−１］の方法は、得られる
効果としては［Ａ−１］と全く同じとなる。これは、１
個でも署名ｑｕｂｉｔの矛盾を検出するとパスワードｉ
を公開しないため、エラーの生じている２−ｑｕｂｉｔ
が特定されてもパスワードｉが公開されず、実際問題と
して、特定された２−ｑｕｂｉｔのエラー訂正が行われ
ないからである。

【０２９２】［２］．Ａｌｉｃｅ，Ｂｏｂは、５個の署
名ｑｕｂｉｔの観測結果において、２−ｑｕｂｉｔ以上
の矛盾を見付けたら、第１の復号化のパスワードｉを公
開しない（１−ｑｕｂｉｔ以下の矛盾なら、パスワード
ｉを公開する。）。

【０２９３】実は、この［Ｂ−２］の方法は、得られる
効果としては［Ａ−２］と全く同じとなる。これは、２
個以上の署名ｑｕｂｉｔの矛盾を検出するとパスワード
ｉを公開しないため、エラーの生じている２−ｑｕｂｉ
ｔが特定されてもパスワードｉが公開されず、実際問題
として、特定された２−ｑｕｂｉｔのエラー訂正が行わ
れないからである。

【０２９４】［３］．Ａｌｉｃｅ，Ｂｏｂは、５個の署
名ｑｕｂｉｔの観測結果において、３−ｑｕｂｉｔ以上
の矛盾を見付けたら、第１の復号化のパスワードｉを公
開しない。（２−ｑｕｂｉｔ以下の矛盾なら、パスワー
ドｉを公開する。）（ａ）．Ｅｖｅがブロック中の１個のｑｕｂｉｔ対に対
して盗聴を行ったとする。

【０２９５】この場合、Ａｌｉｃｅ，Ｂｏｂは、必ずパ
スワードｉを公開する。Ｂｏｂはブロック符号により１
−ｑｕｂｉｔのエラーを訂正して、元々の１−ｑｕｂｉ
ｔ量子情報を得ることができ、Ｅｖｅは盗聴によって何
の情報も得られない。従って、この場合、必ず、Ａｌｉ
ｃｅ，Ｂｏｂ間の量子情報の伝達は正常に行われ、Ｅｖ
ｅが情報の奪取、破壊に成功することはない。

【０２９６】（ｂ）．Ｅｖｅがブロック中の２個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０２９７】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／１６以上
の確率で、２個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開される。Ｂｏｂはブロック
符号により、位置の特定された２−ｑｕｂｉｔのエラー
を訂正して、元々の１−ｑｕｂｉｔ量子情報を得ること
ができる。Ｅｖｅは盗聴によって何の情報も得られな
い。

【０２９８】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは９／１６以
下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖ
ｅの介入を見落とす。このとき、パスワードｉは公開さ
れる。Ｂｏｂは、位置の特定されていない２−ｑｕｂｉ
ｔのエラーを訂正できないので、元々の量子情報を失っ
てしまう。Ｅｖｅは盗聴によって何の情報も得られな
い。Ａｌｉｃｅ，Ｂｏｂは、Ｅｖｅの不正に気付く可能
性がある（Ｂｏｂのエラー訂正中に、Ｅｖｅの介入の痕
跡が見付かる可能性がある）。

【０２９９】ｉｉｉ）．上のｉ），ｉｉ）以外の場合と
して、Ａｌｉｃｅ，Ｂｏｂは、１個の署名ｑｕｂｉｔの
矛盾を検出する。このとき、パスワードｉは公開され
る。Ｂｏｂは、位置の特定されていない２−ｑｕｂｉｔ
のエラーを訂正できないので（今の場合、１−ｑｕｂｉ
ｔのエラーの位置は特定されているが、残り一つのｑｕ
ｂｉｔのエラーの位置は特定されていない）、元々の量
子情報を失ってしまう。Ｅｖｅは盗聴によって何の情報
も得られない。一方、Ａｌｉｃｅ，Ｂｏｂは、１−ｑｕ
ｂｉｔのエラーは訂正可能と考えているので、訂正操作
を行い、元々の１−ｑｕｂｉｔ量子情報を得たと誤解し
てしまう。

【０３００】（ｃ）．Ｅｖｅがブロック中の３個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０３０１】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／６４以上
の確率で、３個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０３０２】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは２７／６４
以下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅ
ｖｅの介入を見落とす。このとき、パスワードｉは公開
される。Ｂｏｂは３−ｑｕｂｉｔのエラーを訂正できな
いので、元々の量子情報を失ってしまう。Ｅｖｅは、５
−ｑｕｂｉｔブロック中の３−ｑｕｂｉｔを手にしてい
る。これは、Ｅｖｅの手にしている状態が、位置の特定
された２−ｑｕｂｉｔエラーの生じているブロックとい
うことである。従って、Ｅｖｅはエラー訂正すること
で、元々の完全な１−ｑｕｂｉｔ量子情報を得ることが
できる。Ａｌｉｃｅ，Ｂｏｂは、Ｅｖｅの不正に気付く
可能性がある（Ｂｏｂのエラー訂正中に、Ｅｖｅの介入
の痕跡が見付かる可能性がある）。

【０３０３】ｉｉｉ）．Ａｌｉｃｅ，Ｂｏｂは、１個の
署名ｑｕｂｉｔの矛盾を検出する。このとき、パスワー
ドｉは公開される。Ｂｏｂは３−ｑｕｂｉｔのエラーを
訂正できないので、元々の量子情報を失ってしまう。Ｅ
ｖｅは、５−ｑｕｂｉｔブロック中の３−ｑｕｂｉｔを
手にしている。これは、Ｅｖｅの手にしている状態が、
位置の特定された２−ｑｕｂｉｔエラーの生じているブ
ロックということである。従って、Ｅｖｅはエラー訂正
することで、元々の完全な１−ｑｕｂｉｔ量子情報を得
ることができる。一方、Ａｌｉｃｅ，Ｂｏｂは、１−ｑ
ｕｂｉｔのエラーは訂正可能と考えているので、訂正操
作を行い、元々の１−ｑｕｂｉｔ量子情報を得たと誤解
してしまう。

【０３０４】ｉｖ）．上のｉ），ｉｉ），ｉｉｉ）以外
の場合として、Ａｌｉｃｅ，Ｂｏｂは、２個の署名ｑｕ
ｂｉｔの矛盾を検出する。このとき、パスワードｉは公
開される。Ｂｏｂは３−ｑｕｂｉｔのエラーを訂正でき
ないので、元々の量子情報を失ってしまう。Ｅｖｅは、
５−ｑｕｂｉｔブロック中の３−ｑｕｂｉｔを手にして
いる。これは、Ｅｖｅの手にしている状態が、位置の特
定された２−ｑｕｂｉｔエラーの生じているブロックと
いうことである。従って、Ｅｖｅはエラー訂正すること
で、元々の完全な１−ｑｕｂｉｔ量子情報を得ることが
できる。一方、Ａｌｉｃｅ，Ｂｏｂは、位置の特定され
た２−ｑｕｂｉｔのエラーは訂正可能と考えているの
で、訂正操作を行い、元々の１−ｑｕｂｉｔ量子情報を
得たと誤解してしまう。

【０３０５】このように場合分けをして考えると、
［Ｂ］の条件が必ずしもＡｌｉｃｅ，Ｂｏｂに有利に働
かないことが分かる。［Ｂ−３］．（ｂ）．ｉ）．で位
置の特定された２−ｑｕｂｉｔエラーの訂正能力が活か
されてはいるが、Ａｌｉｃｅ，Ｂｏｂが全く気付かない
うちに、Ｅｖｅが完全な量子情報を得てしまう危険も増
大している。

【０３０６】以上の考察から、［Ａ−１］の方法を取る
のが、安全性の面で優れていると言える。

【０３０７】本実施形態の最後として、上記「量子状態
の暗号化方法と装置」で提案されている暗号化方法を、
符号語間最小距離ｄの量子エラー訂正符号に適用する場
合、盗聴者Ｅｖｅは、どのような方針で盗聴を行うかを
考える。（従来の技術）の項目で説明したように、一般
に、符号語間の最小距離がｄの量子エラー訂正コード
は、位置の特定されていない［（ｄ−１）／２］−ｑｕ
ｂｉｔの任意のエラー、または、位置の特定されている
（ｄ−１）−ｑｕｂｉｔの任意のエラーが、訂正可能で
ある。このことから、次のことが言える。

【０３０８】（ｉ）盗聴者Ｅｖｅは、ｎ−ｑｕｂｉｔブ
ロック中の、［ｎ−（ｄ−１）］個のｑｕｂｉｔを忠実
に手に入れれば、元の量子情報を完全に復元できる。

【０３０９】（ｉｉ）盗聴者Ｅｖｅは、ブロック中の、
（ｄ−１）個、または、それ以下のｑｕｂｉｔに盗聴を
仕掛けても、何の情報も得られない。

【０３１０】（ｉｉｉ）盗聴者Ｅｖｅは、ブロック中
の、ｄ個以上、［ｎ−（ｄ−１）］個未満のｑｕｂｉｔ
を手に入れれば、元の量子情報の一部を得る可能性があ
る。

【０３１１】（第２の実施形態）本実施形態は、（請求
項１）の量子状態の暗号化方法、および、（請求項２）
の量子状態の暗号化装置について説明したものである。
すなわち、量子二状態系（ｑｕｂｉｔ）を使った、任意
の量子状態、または、その量子状態に含まれている量子
情報の、入力手段、記憶手段、演算手段、出力手段を用
意し、任意の量子状態または、その量子状態に含まれて
いる量子情報を、送信者から受信者に量子通信回線を使
って伝送する際、送りたい量子状態が盗聴者に奪われて
も元の情報を取り出せないようにするために第一の暗号
化を行い、量子状態が送り手から受け手に確かに渡され
たことを保証するための署名情報を持つ量子系を付加
し、さらに、盗聴者に署名を偽造されないようにするた
めの第二の暗号化を行う量子状態の暗号化方法を使用す
る場合において、特に、盗聴者からの、伝送される量子
状態、または、その量子状態に含まれている量子情報の
奪取、破壊を防ぐために、本来の伝送したい状態に冗長
なｑｕｂｉｔ列を付加し、量子エラー訂正符号化を行
い、これら全体の量子状態に、前記の暗号化方法を適用
することを特徴とする、量子状態および量子情報の暗号
化方法と暗号化装置について、説明する。

【０３１２】また、本実施形態は、（請求項３）の量子
状態の暗号化方法、および、（請求項４）の量子状態の
暗号化装置について説明したものでもある。すなわち、
本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付加
し、量子エラー訂正符号化を行い、これら全体の量子状
態に、第一の暗号化、署名情報を持つ量子系を付加、第
二の暗号化を行う暗号化方法を適用する際、送信者、お
よび、受信者が、認証操作として、署名情報を持つ量子
系（ｑｕｂｉｔ）に対して観測を行い、これらのｑｕｂ
ｉｔの中で、どれか１個のｑｕｂｉｔでも矛盾が見付か
った場合、第一の暗号化の復号用パスワードを公開しな
いことを特徴とする、量子状態の暗号化方法と暗号化装
置について、説明する。

【０３１３】また、本実施形態は、（請求項７）の量子
状態の暗号化方法、および、（請求項８）の量子状態の
暗号化装置について説明したものでもある。すなわち、
本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付加
し、量子エラー訂正符号化を行い、これら全体の量子状
態に、第一の暗号化、署名情報を持つ量子系を付加、第
二の暗号化を行う暗号化方法を適用する際、前記の量子
エラー訂正符号として、Ｓｈｏｒの９−ｑｕｂｉｔコー
ド、すなわち、１−ｑｕｂｉｔの量子情報を、全体で９
−ｑｕｂｉｔのブロックに符号化し、ブロック内の任意
の１−ｑｕｂｉｔに局所的に生じる任意のエラー（デコ
ヒーレンス）を訂正するコードを使用することを特徴と
する、量子状態の暗号化方法と暗号化装置について、説
明する。

【０３１４】ここでは、任意の１−ｑｕｂｉｔ量子状態
｜ψ＞を９−ｑｕｂｉｔのブロックに符号化し、これを
暗号化する方法を考える。９−ｑｕｂｉｔブロック符号
は、本明細書の（従来の技術）の項目で説明した、Ｓｈ
ｏｒの９−ｑｕｂｉｔコードを用いる。暗号化の操作に
ついては、（従来の技術）の項目で説明した「量子状態
の暗号化方法と装置」において提案されている暗号化方
法を用いる。

【０３１５】暗号化のための量子ゲートネットワークで
は、まず、符号化された９個のｑｕｂｉｔに、各々独立
に｛Ｉ，σ_ｘ，σ_ｙ，σ_ｚ｝の中から無作為に選ばれた
演算子が作用される。次に、符号化された９−ｑｕｂｉ
ｔ、署名を表す９−ｑｕｂｉｔ、それぞれから１−ｑｕ
ｂｉｔずつ取り出したｑｕｂｉｔ対に、図２の量子ゲー
トネットワークが作用される。これらの暗号化の量子ゲ
ート操作は、ｑｕｂｉｔ対毎に独立に行われていること
に注意する。

【０３１６】これより、本実施形態での、Ｅｖｅが不正
な盗聴行為を行って、量子情報の一部を奪う、または、
破壊することに成功する確率について検討する。本実施
形態では、Ｅｖｅは、伝送される各ｑｕｂｉｔを独立に
適当な基底で観測し、その結果に応じて代わりのｑｕｂ
ｉｔを送る、Ｉｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔ
ｔａｃｋのみ行うとする。これは、Ｅｖｅが、量子コン
ピュータを使って、もつれ合いを利用した盗聴を行うこ
とはないと、仮定したことになる。

【０３１７】送受信者Ａｌｉｃｅ，Ｂｏｂ、盗聴者Ｅｖ
ｅの行う操作の流れは、以下のようにまとめられる。

【０３１８】Ａｌｉｃｅは、１−ｑｕｂｉｔの情報を９
−ｑｕｂｉｔにブロック符号化し（これを量子系Ｑと見
なす）、さらに、９−ｑｕｂｉｔの署名を表すｑｕｂｉ
ｔ（これを量子系Ｓと見なす）を付加、暗号化して、伝
送する。

【０３１９】Ｅｖｅは、合計１８個のｑｕｂｉｔに、各
々個別に任意にＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａ
ｔｔａｃｋを行う。

【０３２０】信号を受け取ったＢｏｂは、図２の量子ゲ
ートの逆変換等を行って、９−ｑｕｂｉｔ系Ｑ，Ｓを得
る。この際、Ａｌｉｃｅ，Ｂｏｂ間で、パスワード、署
名を表す古典ｂｉｔ情報が交換される。最後に、Ｂｏｂ
は、９−ｑｕｂｉｔ系Ｑに対して、エラー訂正操作、復
号化操作を行い、元々の１−ｑｕｂｉｔ量子情報を得
る。Ｂｏｂは第１の復号化のパスワーｉを得てからでな
いと、９−ｑｕｂｉｔ系Ｑに対して、エラー訂正操作、
復号化操作を行うことは出来ない。

【０３２１】暗号化操作は、系ＱＳのｑｕｂｉｔ対毎
に、独立にユニタリ変換を行うので、例えば、Ｅｖｅが
ｔ個のｑｕｂｉｔ対に対して盗聴（Ｉｎｔｅｒｃｅｐｔ
／Ｒｅｓｅｎｄａｔｔａｃｋ）を仕掛けた場合、９−
ｑｕｂｉｔのブロック符号中のｔ−ｑｕｂｉｔにしかエ
ラーは発生しない。これは、暗号の復号化操作がｑｕｂ
ｉｔ対毎に独立に行われるため、Ｅｖｅが起こしたエラ
ーは別のｑｕｂｉｔ対に拡大しないからである。

【０３２２】従って、Ｅｖｅが系ＱＳのｔ個のｑｕｂｉ
ｔ対にＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔａｃ
ｋを行った場合、Ｂｏｂは９−ｑｕｂｉｔブロック中
の、ｔ−ｑｕｂｉｔのエラー訂正を行うことになる。

【０３２３】Ａｌｉｃｅ，Ｂｏｂは署名ｑｕｂｉｔ｜ａ
_１…ａ_９＞ｓを観測して、Ｅｖｅの振る舞いを推測す
る。ここで、次の点に注意する。本実施形態で考えてい
る９−ｑｕｂｉｔ符号は、位置の特定されていない任意
の１−ｑｕｂｉｔエラーを訂正できる。一方、エラーの
生じているｑｕｂｉｔが特定できている場合は、任意の
２−ｑｕｂｉｔエラーを訂正できる（Ｓｈｏｒの９−ｑ
ｕｂｉｔコードでは、符号語間最小距離はｄ＝３で与え
られる。）。

【０３２４】Ｅｖｅは、９−ｑｕｂｉｔブロック中の、
７−ｑｕｂｉｔ以上を忠実に手に入れると、元々の１−
ｑｕｂｉｔ量子情報を完全に復元できる。ブロック中の
２−ｑｕｂｉｔ以下を手に入れても、何の情報も得られ
ない。ブロック中の、３−ｑｕｂｉｔ以上、６−ｑｕｂ
ｉｔ以下を手に入れた場合、Ｅｖｅは部分的な量子情報
を手に入れる可能性がある。

【０３２５】Ａｌｉｃｅ，Ｂｏｂは、パスワードｉを公
開するか、しないかの判断基準を、次のように設定する
と良い。

【０３２６】すなわち、Ａｌｉｃｅ，Ｂｏｂは、署名ｑ
ｕｂｉｔの観測結果を、エラー訂正操作に反映させない
（１−ｑｕｂｉｔのエラー訂正が可能）とする。Ａｌｉ
ｃｅ，Ｂｏｂは、９個の署名ｑｕｂｉｔの中に、どれ
か１個でも矛盾が見付かったら、第１の復号化のパスワ
ードｉを公開しないとする。

【０３２７】以下、Ｅｖｅの攻撃に対して、どのような
安全性が得られるか、場合分けをして、考えることにす
る。

【０３２８】（ａ）．Ｅｖｅがブロック中の１個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０３２９】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／４以上の
確率で、１個の署名ｑｕｂｉｔの矛盾を検出する。この
とき、パスワードｉは公開されないので、Ａｌｉｃｅ，
Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うことに
なる。従って、Ｅｖｅは情報の破壊に成功したことにな
る。Ｅｖｅは盗聴によって何の情報も得られない。

【０３３０】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは３／４以下
の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖｅ
の介入を見落とす。このとき、パスワードｉは公開され
る。しかし、Ｂｏｂはブロック符号により１−ｑｕｂｉ
ｔのエラーを訂正して、元々の１−ｑｕｂｉｔ量子情報
を得ることができる。Ｅｖｅは盗聴によって何の情報も
得られない。

【０３３１】（ｂ）．Ｅｖｅがブロック中の２個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０３３２】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／１６以上
の確率で、２個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０３３３】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは９／１６以
下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖ
ｅの介入を見落とす。このとき、パスワードｉは公開さ
れる。Ｂｏｂは、２−ｑｕｂｉｔのエラーを訂正できな
いので、元々の量子情報を失ってしまう。Ｅｖｅは盗聴
によって何の情報も得られない。Ａｌｉｃｅ，Ｂｏｂ
は、Ｅｖｅの不正に気付く可能性がある（Ｂｏｂのエラ
ー訂正中に、Ｅｖｅの介入の痕跡が見付かる可能性があ
る）。

【０３３４】ｉｉｉ）．上のｉ），ｉｉ）以外の場合と
して、Ａｌｉｃｅ，Ｂｏｂは、１個の署名ｑｕｂｉｔの
矛盾を検出する。パスワードｉは公開されないので、Ａ
ｌｉｃｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を
失うことになる。従って、Ｅｖｅは情報の破壊に成功し
たことになる。Ｅｖｅは盗聴によって何の情報も得られ
ない。

【０３３５】Ｅｖｅが元々の１−ｑｕｂｉｔの量子情報
を完全に得る確率は（３／４）の７乗（＝２１８７／１
６３８４）以下である。これは、９−ｑｕｂｉｔブロッ
ク符号は、位置の特定された任意の２−ｑｕｂｉｔエラ
ーが訂正可能であること、従って、Ｅｖｅにとっては、
９−ｑｕｂｉｔブロック中の、位置の特定された７−ｑ
ｕｂｉｔが得られれば、元の情報を完全に再現できるか
らである。ブロック符号化を行わない場合、Ｅｖｅが元
々の１−ｑｕｂｉｔの量子情報を完全に得る確率は（３
／４）以下なので、改善されていると言える。

【０３３６】（第３の実施形態）本実施形態は、（請求
項１）の量子状態の暗号化方法、および、（請求項２）
の量子状態の暗号化装置について説明したものである。
すなわち、量子二状態系（ｑｕｂｉｔ）を使った、任意
の量子状態、または、その量子状態に含まれている量子
情報の、入力手段、記憶手段、演算手段、出力手段を用
意し、任意の量子状態または、その量子状態に含まれて
いる量子情報を、送信者から受信者に量子通信回線を使
って伝送する際、送りたい量子状態が盗聴者に奪われて
も元の情報を取り出せないようにするために第一の暗号
化を行い、量子状態が送り手から受け手に確かに渡され
たことを保証するための署名情報を持つ量子系を付加
し、さらに、盗聴者に署名を偽造されないようにするた
めの第二の暗号化を行う量子状態の暗号化方法を使用す
る場合において、特に、盗聴者からの、伝送される量子
状態、または、その量子状態に含まれている量子情報の
奪取、破壊を防ぐために、本来の伝送したい状態に冗長
なｑｕｂｉｔ列を付加し、量子エラー訂正符号化を行
い、これら全体の量子状態に、前記の暗号化方法を適用
することを特徴とする、量子状態および量子情報の暗号
化方法と暗号化装置について、説明する。

【０３３７】また、本実施形態は、（請求項３）の量子
状態の暗号化方法、および、（請求項４）の量子状態の
暗号化装置について説明したものでもある。すなわち、
本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付加
し、量子エラー訂正符号化を行い、これら全体の量子状
態に、第一の暗号化、署名情報を持つ量子系を付加、第
二の暗号化を行う暗号化方法を適用する際、送信者、お
よび、受信者が、認証操作として、署名情報を持つ量子
系（ｑｕｂｉｔ）に対して観測を行い、これらのｑｕｂ
ｉｔの中で、どれか１個のｑｕｂｉｔでも矛盾が見付か
った場合、第一の暗号化の復号用パスワードを公開しな
いことを特徴とする、量子状態の暗号化方法と暗号化装
置について、説明する。

【０３３８】また、本実施形態は、（請求項９）の量子
状態の暗号化方法、および、（請求項１０）の量子状態
の暗号化装置について説明したものでもある。すなわ
ち、本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付
加し、量子エラー訂正符号化を行い、これら全体の量子
状態に、第一の暗号化、署名情報を持つ量子系を付加、
第二の暗号化を行う暗号化方法を適用する際、前記の量
子エラー訂正符号として、Ｃａｌｄｅｒｂａｎｋ，Ｓｈ
ｏｒ，Ｓｔｅａｎｅの７−ｑｕｂｉｔコード、すなわ
ち、１−ｑｕｂｉｔの量子情報を、全体で７−ｑｕｂｉ
ｔのブロックに符号化し、ブロック内の任意の１−ｑｕ
ｂｉｔに局所的に生じる任意のエラー（デコヒーレン
ス）を訂正するコードを使用することを特徴とする、量
子状態の暗号化方法と暗号化装置について、説明する。

【０３３９】ここでは、任意の１−ｑｕｂｉｔ量子状態
｜ψ＞を７−ｑｕｂｉｔのブロックに符号化し、これを
暗号化する方法を考える。７−ｑｕｂｉｔブロック符号
は、本明細書の（従来の技術）の項目で説明した、Ｃａ
ｌｄｅｒｂａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅの７−ｑｕ
ｂｉｔコードを用いる。暗号化の操作については、（従
来の技術）の項目で説明した、「量子状態の暗号化方法
と装置」において提案されている暗号化方法を用いる。

【０３４０】暗号化のための量子ゲートネットワークで
は、まず、符号化された７個のｑｕｂｉｔに、各々独立
に｛Ｉ，σ_ｘ，σ_ｙ，σ_ｚ｝の中から無作為に選ばれた
演算子が作用される。次に、符号化された７−ｑｕｂｉ
ｔ、署名を表す７−ｑｕｂｉｔ、それぞれから１−ｑｕ
ｂｉｔずつ取り出したｑｕｂｉｔ対に、図２の量子ゲー
トネットワークが作用される。これらの暗号化の量子ゲ
ート操作は、ｑｕｂｉｔ対毎に独立に行われていること
に注意する。

【０３４１】これより、本実施形態での、Ｅｖｅが不正
な盗聴行為を行って、量子情報の一部を奪う、または、
破壊することに成功する確率について検討する。本実施
形態では、Ｅｖｅは、伝送される各ｑｕｂｉｔを独立に
適当な基底で観測し、その結果に応じて代わりのｑｕｂ
ｉｔを送る、Ｉｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔ
ｔａｃｋのみ行うとする。これは、Ｅｖｅが、量子コン
ピュータを使って、もつれ合いを利用した盗聴を行うこ
とはないと、仮定したことになる。

【０３４２】送受信者Ａｌｉｃｅ，Ｂｏｂ、盗聴者Ｅｖ
ｅの行う操作の流れは、以下のようにまとめられる。

【０３４３】Ａｌｉｃｅは、１−ｑｕｂｉｔの情報を７
−ｑｕｂｉｔにブロック符号化し（これを量子系Ｑと見
なす）、さらに、７−ｑｕｂｉｔの署名を表すｑｕｂｉ
ｔ（これを量子系Ｓと見なす）を付加、暗号化して、伝
送する。

【０３４４】Ｅｖｅは、合計１４個のｑｕｂｉｔに、各
々個別に任意にＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａ
ｔｔａｃｋを行う。

【０３４５】信号を受け取ったＢｏｂは、図２の量子ゲ
ートの逆変換等を行って、７−ｑｕｂｉｔ系Ｑ，Ｓを得
る。この際、Ａｌｉｃｅ，Ｂｏｂ間で、パスワード、署
名を表す古典ｂｉｔ情報が交換される。最後に、Ｂｏｂ
は、７−ｑｕｂｉｔ系Ｑに対して、エラー訂正操作、復
号化操作を行い、元々の１−ｑｕｂｉｔ量子情報を得
る。Ｂｏｂは第１の復号化のパスワードｉを得てからで
ないと、７−ｑｕｂｉｔ系Ｑに対して、エラー訂正操
作、復号化操作を行うことは出来ない。

【０３４６】暗号化操作は、系ＱＳのｑｕｂｉｔ対毎
に、独立にユニタリ変換を行うので、例えば、Ｅｖｅが
ｔ個のｑｕｂｉｔ対に対して盗聴（Ｉｎｔｅｒｃｅｐｔ
／Ｒｅｓｅｎｄａｔｔａｃｋ）を仕掛けた場合、７−
ｑｕｂｉｔのブロック符号中のｔ−ｑｕｂｉｔにしかエ
ラーは発生しない。これは、暗号の復号化操作がｑｕｂ
ｉｔ対毎に独立に行われるため、Ｅｖｅが起こしたエラ
ーは別のｑｕｂｉｔ対に拡大しないからである。

【０３４７】従って、Ｅｖｅが系ＱＳのｔ個のｑｕｂｉ
ｔ対にＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔａｃ
ｋを行った場合、Ｂｏｂは７−ｑｕｂｉｔブロック中
の、ｔ−ｑｕｂｉｔのエラー訂正を行うことになる。

【０３４８】Ａｌｉｃｅ，Ｂｏｂは署名ｑｕｂｉｔ｜ａ
_１…ａ_７＞_Ｓを観測して、Ｅｖｅの振る舞いを推測す
る。ここで、次の点に注意する。本実施形態で考えてい
る７−ｑｕｂｉｔ符号は、位置の特定されていない任意
の１−ｑｕｂｉｔエラーを訂正できる。一方、エラーの
生じているｑｕｂｉｔが特定できている場合は、任意の
２−ｑｕｂｉｔエラーを訂正できる（Ｃａｌｄｅｒｂａ
ｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅの７−ｑｕｂｉｔコード
では、符号語間最小距離はｄ＝３で与えられる。）。

【０３４９】Ｅｖｅは、７−ｑｕｂｉｔブロック中の、
５−ｑｕｂｉｔ以上を忠実に手に入れると、元々の１−
ｑｕｂｉｔ量子情報を完全に復元できる。ブロック中の
２−ｑｕｂｉｔ以下を手に入れても、何の情報も得られ
ない。ブロック中の、３−ｑｕｂｉｔ以上、４−ｑｕｂ
ｉｔ以下を手に入れた場合、Ｅｖｅは部分的な量子情報
を手に入れる可能性がある。

【０３５０】Ａｌｉｃｅ，Ｂｏｂは、パスワードｉを公
開するか、しないかの判断基準を、次のように設定する
と良い。

【０３５１】すなわち、Ａｌｉｃｅ，Ｂｏｂは、署名ｑ
ｕｂｉｔの観測結果を、エラー訂正操作に反映させない
（１−ｑｕｂｉｔのエラー訂正が可能）とする。Ａｌｉ
ｃｅ，Ｂｏｂは、７個の署名ｑｕｂｉｔの中に、どれか
１個でも矛盾が見付かったら、第１の復号化のパスワー
ドｉを公開しないとする。

【０３５２】以下、Ｅｖｅの攻撃に対して、どのような
安全性が得られるか、場合分けをして、考えることにす
る。

【０３５３】（ａ）．Ｅｖｅがブロック中の１個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０３５４】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／４以上の
確率で、１個の署名ｑｕｂｉｔの矛盾を検出する。この
とき、パスワードｉは公開されないので、Ａｌｉｃｅ，
Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うことに
なる。従って、Ｅｖｅは情報の破壊に成功したことにな
る。Ｅｖｅは盗聴によって何の情報も得られない。

【０３５５】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは３／４以下
の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖｅ
の介入を見落とす。このとき、パスワードｉは公開され
る。しかし、Ｂｏｂはブロック符号により１−ｑｕｂｉ
ｔのエラーを訂正して、元々の１−ｑｕｂｉｔ量子情報
を得ることができる。Ｅｖｅは盗聴によって何の情報も
得られない。

【０３５６】（ｂ）．Ｅｖｅがブロック中の２個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０３５７】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／１６以上
の確率で、２個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０３５８】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは９／１６
以下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅ
ｖｅの介入を見落とす。このとき、パスワードｉは公開
される。Ｂｏｂは、２−ｑｕｂｉｔのエラーを訂正でき
ないので、元々の量子情報を失ってしまう。Ｅｖｅは盗
聴によって何の情報も得られない。Ａｌｉｃｅ，Ｂｏｂ
は、Ｅｖｅの不正に気付く可能性がある（Ｂｏｂのエラ
ー訂正中に、Ｅｖｅの介入の痕跡が見付かる可能性があ
る）。

【０３５９】ｉｉｉ）．上のｉ），ｉｉ）以外の場合と
して、Ａｌｉｃｅ，Ｂｏｂは、１個の署名ｑｕｂｉｔの
矛盾を検出する。パスワードｉは公開されないので、Ａ
ｌｉｃｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を
失うことになる。従って、Ｅｖｅは情報の破壊に成功し
たことになる。Ｅｖｅは盗聴によって何の情報も得られ
ない。

【０３６０】Ｅｖｅが元々の１−ｑｕｂｉｔの量子情報
を完全に得る確率は（３／４）の５乗（＝２４３／１０
２４）以下である。これは、７−ｑｕｂｉｔブロック符
号は、位置の特定された任意の２−ｑｕｂｉｔエラーが
訂正可能であること、従って、Ｅｖｅにとっては、７−
ｑｕｂｉｔブロック中の、位置の特定された５−ｑｕｂ
ｉｔが得られれば、元の情報を完全に再現できるからで
ある。ブロック符号化を行わない場合、Ｅｖｅが元々の
１−ｑｕｂｉｔの量子情報を完全に得る確率は（３／
４）以下なので、改善されていると言える。

【０３６１】（第４の実施形態）本実施形態は、（請求
項１）の量子状態の暗号化方法、および、（請求項２）
の量子状態の暗号化装置について説明したものである。
すなわち、量子二状態系（ｑｕｂｉｔ）を使った、任意
の量子状態、または、その量子状態に含まれている量子
情報の、入力手段、記憶手段、演算手段、出力手段を用
意し、任意の量子状態または、その量子状態に含まれて
いる量子情報を、送信者から受信者に量子通信回線を使
って伝送する際、送りたい量子状態が盗聴者に奪われて
も元の情報を取り出せないようにするために第一の暗号
化を行い、量子状態が送り手から受け手に確かに渡され
たことを保証するための署名情報を持つ量子系を付加
し、さらに、盗聴者に署名を偽造されないようにするた
めの第二の暗号化を行う量子状態の暗号化方法を使用す
る場合において、特に、盗聴者からの、伝送される量子
状態、または、その量子状態に含まれている量子情報の
奪取、破壊を防ぐために、本来の伝送したい状態に冗長
なｑｕｂｉｔ列を付加し、量子エラー訂正符号化を行
い、これら全体の量子状態に、前記の暗号化方法を適用
することを特徴とする、量子状態および量子情報の暗号
化方法と暗号化装置について、説明する。

【０３６２】また、本実施形態は、（請求項３）の量子
状態の暗号化方法、および、（請求項４）の量子状態の
暗号化装置について説明したものでもある。すなわち、
本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付加
し、量子エラー訂正符号化を行い、これら全体の量子状
態に、第一の暗号化、署名情報を持つ量子系を付加、第
二の暗号化を行う暗号化方法を適用する際、送信者、お
よび、受信者が、認証操作として、署名情報を持つ量子
系（ｑｕｂｉｔ）に対して観測を行い、これらのｑｕｂ
ｉｔの中で、どれか１個のｑｕｂｉｔでも矛盾が見付か
った場合、第一の暗号化の復号用パスワードを公開しな
いことを特徴とする、量子状態の暗号化方法と暗号化装
置について、説明する。

【０３６３】また、本実施形態は、（請求項１１）の量
子状態の暗号化方法、および、（請求項１２）の量子状
態の暗号化装置について説明したものでもある。すなわ
ち、本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付
加し、量子エラー訂正符号化を行い、これら全体の量子
状態に、第一の暗号化、署名情報を持つ量子系を付加、
第二の暗号化を行う暗号化方法を適用する際、前記の量
子エラー訂正符号として、Ｃａｌｄｅｒｂａｎｋ，Ｓｈ
ｏｒ，Ｓｔｅａｎｅの７−ｑｕｂｉｔコード、すなわ
ち、１−ｑｕｂｉｔの量子情報を、全体で７−ｑｕｂｉ
ｔのブロックに符号化し、ブロック内の任意の１−ｑｕ
ｂｉｔに局所的に生じる任意のエラー（デコヒーレン
ス）を訂正するコードを使用することを特徴とする、量
子状態の暗号化装置と暗号化装置について、説明する。

【０３６４】また、本実施形態は、（請求項１３）の量
子状態の暗号化方法、および、（請求項１４）の量子状
態の暗号化装置について説明したものでもある。すなわ
ち、本来の伝送したい状態に、冗長なｑｕｂｉｔ列を付
加し、量子エラー訂正符号化を行い、これら全体の量子
状態に、第一の暗号化、署名情報を持つ量子系を付加、
第二の暗号化を行う暗号化方法を適用する際、前記の量
子エラー訂正符号として、長さ２^２ｍ＋１、次元数２
^２ｍ、符号語間最小距離２^ｍ＋１のＲｅｅｄ−Ｍｕｌｌ
ｅｒコードＲ（ｍ，２ｍ＋１）をｐｕｎｃｔｕｒｅさせ
て得られる、ｐｕｎｃｔｕｒｅｄＲｅｅｄ−Ｍｕｌｌ
ｅｒコードＲ（ｍ，２ｍ＋１）^＊、ただし長さ（２
^２ｍ＋１−１）、次元数２^２ｍ、符号語間最小距離（２
^ｍ＋１−１）、および、その双対符号Ｒ（ｍ，２ｍ＋
１）^＊⊥の二つの古典線形符号を元にして構成される、
（２^２ｍ＋１−１）−ｑｕｂｉｔの量子エラー訂正符号
を使用することを特徴とする、量子状態の暗号化方法と
暗号化装置について、説明する。

【０３６５】ここでは、ｐｕｎｃｔｕｒｅｄＲｅｅｄ
−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ＋１）^＊を元にし
て、Ｃａｌｄｅｒｂａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎ
ｅ（ＣＳＳ）の量子エラー訂正コードを構成し、これ
によって任意の１−ｑｕｂｉｔ量子状態｜ψ＞をブロッ
ク符号化し、暗号化する方法を考える。

【０３６６】まず、ｐｕｎｃｔｕｒｅｄＲｅｅｄ−Ｍ
ｕｌｌｅｒコードＲ（ｍ，２ｍ＋１）^＊を元にして、Ｃ
ＳＳ量子エラー訂正コードを構成することについて考え
る。本明細書の（従来の技術）の項目で説明したよう
に、ｐｕｎｃｔｕｒｅｄＲｅｅｄ−Ｍｕｌｌｅｒコー
ドＲ（ｍ，２ｍ＋１）^＊は、長さ（２^２ｍ＋１−１）、
符号語空間の次元は

【０３６７】

【数７５】

【０３６８】、符号語間最小距離は（２^ｍ＋１−１）と
なる。さらに、Ｒ（ｍ，２ｍ＋１）^＊⊃Ｒ（ｍ，２ｍ＋
１）^＊⊥という関係も成立する。

【０３６９】本明細書の（従来の技術）の項目で説明し
たように、ＣＳＳ量子エラー訂正コードとは、以下のよ
うなものである。二つの古典線形コード｛０｝⊂Ｃ_１⊂
Ｃ_２⊂Ｆ_２ ^ｎが与えられているとする。量子コードＱ
_{Ｃ１，Ｃ２}として｛｜ｃ_ｘ：∀ｘΕＣ_２ ^⊥｝の張るヒル
ベルト空間を考える。ただし、Ｃ_１の生成行列をＧと
し、

【０３７０】

【数７６】

【０３７１】とする。このとき符号語｛｜ｃ_ｘ｝の自然
なラベルはｘΕＣ_２ ^⊥／ΕＣ_１ ^⊥となり、Ｑ_{Ｃ１，Ｃ２}
は

【０３７２】

【数７７】

【０３７３】次元のヒルベルト空間となる。従って、Ｑ
_{Ｃ１，Ｃ２}は

【０３７４】

【数７８】

【０３７５】をｎ−ｑｕｂｉｔにブロック符号化するコ
ードとなる。Ｃ_１，Ｃ_２ ^⊥の最小Ｈａｍｍｉｎｇ距離が
ｄなら、Ｑ_{Ｃ１，Ｃ２}は少なくともｔ＝［（ｄ−１）／
２］個のｑｕｂｉｔのエラー訂正が可能である。

【０３７６】今、Ｃ_１＝Ｒ（ｍ，２ｍ＋１）^＊，Ｃ_２＝
Ｒ（ｍ，２ｍ＋１）^＊⊥として、Ｑ _{Ｃ１，Ｃ２}を構成す
ることを考える。Ｃ_１＝Ｒ（ｍ，２ｍ＋１）^＊は、長さ
（２ ^２ｍ＋１−１）、符号語空間の次元は２^２ｍ、符号
語間最小距離は（２^ｍ＋１−１）となる。Ｃ_２＝Ｒ
（ｍ，２ｍ＋１）^＊⊥は、長さ（２^２ｍ＋１−１）、符
号語空間の次元は（２^２ｍ−１）、符号語間最小距離は
（２^ｍ＋１となる。よって、Ｑ_{Ｃ１，Ｃ２}は、符号語間
最少距離がｄ＝（２^ｍ＋１−１）で与えられ、ｔ＝（２
^ｍ−１）個のｑｕｂｉｔのエラーが訂正可能となる。特
に、ｍ＝１のとき、７−ｑｕｂｉｔの量子エラー訂正コ
ードとなる。そこで、本実施形態では、

【０３７７】

【数７９】

【０３７８】の場合を考えることにする。

【０３７９】このようにして構成したＱ_{Ｃ１，Ｃ２}を使
って、任意の１−ｑｕｂｉｔ量子状態｜ψ＞を（２
^２ｍ＋１−１）−ｑｕｂｉｔのブロックに符号化し、こ
れを暗号化する。暗号化の操作については、本明細書の
（従来の技術）の項目で説明した、「量子状態の暗号化
方法と装置」において提案されている暗号化方法を用い
る。

【０３８０】暗号化のための量子ゲートネットワークで
は、まず、符号化された（２^２ｍ＋ ^１−１）個のｑｕｂ
ｉｔに、各々独立に｛Ｉ，σ_ｘ，σ_ｙ，σ_ｚ｝の中から
無作為に選ばれた演算子が作用される。次に、符号化さ
れた（２^２ｍ＋１−１）−ｑｕｂｉｔ、署名を表す（２
^２ｍ＋１−１）−ｑｕｂｉｔ、それぞれから（２^２ｍ
^＋１−１）−ｑｕｂｉｔずつ取り出したｑｕｂｉｔ対
に、図２の量子ゲートネットワークが作用される。これ
らの暗号化の量子ゲート操作は、ｑｕｂｉｔ対毎に独立
に行われていることに注意する。

【０３８１】これより、本実施形態での、Ｅｖｅが不正
な盗聴行為を行って、量子情報の一部を奪う、または、
破壊することに成功する確率について検討する。本実施
形態では、Ｅｖｅは、伝送される各ｑｕｂｉｔを独立に
適当な基底で観測し、その結果に応じて代わりのｑｕｂ
ｉｔを送る、Ｉｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔ
ｔａｃｋのみ行うとする。これは、Ｅｖｅが、量子コン
ピュータを使って、もつれ合いを利用した盗聴を行うこ
とはないと、仮定したことになる。

【０３８２】送受信者Ａｌｉｃｅ，Ｂｏｂ、盗聴者Ｅｖ
ｅの行う操作の流れは、以下のようにまとめられる。

【０３８３】Ａｌｉｃｅは、１−ｑｕｂｉｔの情報を
（２^２ｍ＋１−１）−ｑｕｂｉｔにブロック符号化し
（これを量子系Ｑと見なす）、さらに、（２^２ｍ＋１−
１）−ｑｕｂｉｔの署名を表すｑｕｂｉｔ（これを量子
系Ｓと見なす）を付加、暗号化して、伝送する。

【０３８４】Ｅｖｅは、合計２（２^２ｍ＋１−１）個の
ｑｕｂｉｔに、各々個別に任意にＩｎｔｅｒｃｅｐｔ／
Ｒｅｓｅｎｄａｔｔａｃｋを行う。

【０３８５】信号を受け取ったＢｏｂは、図２の量子ゲ
ートの逆変換等を行って、（２^２ｍ ^＋１−１）−ｑｕｂ
ｉｔ系Ｑ，Ｓを得る。この際、Ａｌｉｃｅ，Ｂｏｂ間
で、パスワード、署名を表す古典ｂｉｔ情報が交換され
る。最後に、Ｂｏｂは、（２^２ ^ｍ＋１−１）−ｑｕｂｉ
ｔ系Ｑに対して、エラー訂正操作、復号化操作を行い、
元々の１−ｑｕｂｉｔ量子情報を得る。Ｂｏｂは第１の
復号化のパスワードｉを得てからでないと、（２
^２ｍ＋１−１）−ｑｕｂｉｔ系Ｑに対して、エラー訂正
操作、復号化操作を行うことは出来ない。

【０３８６】暗号化操作は、系ＱＳのｑｕｂｉｔ対毎
に、独立にユニタリ変換を行うので、例えば、Ｅｖｅが
ｔ個のｑｕｂｉｔ対に対して盗聴（Ｉｎｔｅｒｃｅｐｔ
／Ｒｅｓｅｎｄａｔｔａｃｋ）を仕掛けた場合、（２
^２ｍ＋１−１）−ｑｕｂｉｔのブロック符号中のｔ−ｑ
ｕｂｉｔにしかエラーは発生しない。これは、暗号の復
号化操作がｑｕｂｉｔ対毎に独立に行われるため、Ｅｖ
ｅが起こしたエラーは別のｑｕｂｉｔ対に拡大しないか
らである。

【０３８７】従って、Ｅｖｅが系ＱＳのｔ個のｑｕｂｉ
ｔ対にＩｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔａｃ
ｋを行った場合、Ｂｏｂは（２^２ｍ＋１−１）−ｑｕｂ
ｉｔブロック中の、ｔ−ｑｕｂｉｔのエラー訂正を行う
ことになる。

【０３８８】Ａｌｉｃｅ，Ｂｏｂは（２^２ｍ＋１−１）
個の署名ｑｕｂｉｔを観測して、Ｅｖｅの振る舞いを推
測する。ここで、次の点に注意する。本実施形態で考え
ている（２^２ｍ＋１−１）−ｑｕｂｉｔ符号は、位置の
特定されていない、ｔ＝［（ｄ−１）／２］＝（２^ｍ−１）個のｑｕｂｉｔの、任意のエラーを訂正できる。一方、
エラーの生じているｑｕｂｉｔが特定できている場合
は、（ｄ−１）＝（２^２ｍ＋１−２）個のｑｕｂｉｔ
の、任意のエラーを訂正できる（Ｃａｌｄｅｒｂａｎ
ｋ，Ｓｈｏｒ，Ｓｔｅａｎｅの（２^２ｍ＋１−１）−ｑ
ｕｂｉｔコードでは、符号語間最小距離はｄ＝（２
^ｍ＋１−１）で与えられる。）。

【０３８９】Ｅｖｅは、（２^２ｍ＋１−１）−ｑｕｂｉ
ｔブロック中の、（２^２ｍ＋１−１）−（２^ｍ＋１−２）＝（２^２ｍ＋１
−２^ｍ＋１＋１）個以上のｑｕｂｉｔを忠実に手に入れると、元々の１−
ｑｕｂｉｔ量子情報を完全に復元できる。ブロック中の
（ｄ−１）＝（２^ｍ＋１−２）個以下のｑｕｂｉｔを手
に入れても、何の情報も得られない。ブロック中の、ｄ
＝（２^ｍ＋１−１）個以上、（２^２ｍ＋１−１）−（２^ｍ＋１−２）−１＝（２
^２ｍ＋１−２^ｍ＋１）個以下のｑｕｂｉｔを手に入れた場合、Ｅｖｅは部分的
な量子情報を手に入れる可能性がある。

【０３９０】Ａｌｉｃｅ，Ｂｏｂは、パスワードｉを公
開するか、しないかの判断基準を、次のように設定する
と良い。

【０３９１】すなわち、Ａｌｉｃｅ，Ｂｏｂは、署名ｑ
ｕｂｉｔの観測結果を、エラー訂正操作に反映させない
（ｔ＝［ｄ−１］／２）＝（２^ｍ−１）（個のｑｕｂｉ
ｔのエラー訂正が可能）とする。Ａｌｉｃｅ，Ｂｏｂ
は、（２^２ｍ＋１−１）個の署名ｑｕｂｉｔの中に、ど
れか１個でも矛盾を見付けたら、第１の復号化のパスワ
ードｉを公開しないとする。

【０３９２】以下、Ｅｖｅの攻撃に対して、どのような
安全性が得られるか、場合分けをして、考えることにす
る。

【０３９３】（ａ）．Ｅｖｅがブロック中の１個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０３９４】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／４以上の
確率で、１個の署名ｑｕｂｉｔの矛盾を検出する。この
とき、パスワードｉは公開されないので、Ａｌｉｃｅ，
Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うことに
なる。従って、Ｅｖｅは情報の破壊に成功したことにな
る。Ｅｖｅは盗聴によって何の情報も得られない。

【０３９５】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは３／４以下
の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖｅ
の介入を見落とす。このとき、パスワードｉは公開され
る。しかし、Ｂｏｂはブロック符号により１−ｑｕｂｉ
ｔのエラーを訂正して、元々の１−ｑｕｂｉｔ量子情報
を得ることができる。Ｅｖｅは盗聴によって何の情報も
得られない。

【０３９６】（ｂ）．Ｅｖｅがブロック中の２個のｑｕ
ｂｉｔ対に対して盗聴を行ったとする。

【０３９７】ｉ）．Ａｌｉｃｅ，Ｂｏｂは１／１６以上
の確率で、２個の署名ｑｕｂｉｔの矛盾を検出する。こ
のとき、パスワードｉは公開されないので、Ａｌｉｃ
ｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を失うこ
とになる。従って、Ｅｖｅは情報の破壊に成功したこと
になる。Ｅｖｅは盗聴によって何の情報も得られない。

【０３９８】ｉｉ）．Ａｌｉｃｅ，Ｂｏｂは９／１６以
下の確率で、署名ｑｕｂｉｔの矛盾を検出できず、Ｅｖ
ｅの介入を見落とす。このとき、パスワードｉは公開さ
れる。Ｂｏｂは、２−ｑｕｂｉｔのエラーを訂正できな
いので、元々の量子情報を失ってしまう。Ｅｖｅは盗聴
によって何の情報も得られない。Ａｌｉｃｅ，Ｂｏｂ
は、Ｅｖｅの不正に気付く可能性がある（Ｂｏｂのエラ
ー訂正中に、Ｅｖｅの介入の痕跡が見付かる可能性があ
る）。

【０３９９】ｉｉｉ）．上のｉ），ｉｉ）以外の場合と
して、Ａｌｉｃｅ，Ｂｏｂは、１個の署名ｑｕｂｉｔの
矛盾を検出する。パスワードｉは公開されないので、Ａ
ｌｉｃｅ，Ｂｏｂは、元々の１−ｑｕｂｉｔ量子情報を
失うことになる。従って、Ｅｖｅは情報の破壊に成功し
たことになる。Ｅｖｅは盗聴によって何の情報も得られ
ない。

【０４００】Ｅｖｅが、部分的な量子情報を得る確率は
９／１６以下である。また、Ｅｖｅが元々の１−ｑｕｂ
ｉｔの量子情報を完全に得る確率はｌ＝（２^２ｍ＋１−１）−２（^ｍ−１）＝２^２ｍ＋１−
２^ｍ＋１＋１として、（３／４）のｌ乗以下となる。これは、Ｑ
_{Ｃ１，Ｃ２}は、長さが（２^２ ^ｍ＋１−１）−ｑｕｂｉ
ｔ、また、（２^ｍ＋１−１）−１＝２（２^ｍ−１）で、
位置の特定された任意の２（２^ｍ−１）−ｑｕｂｉｔエ
ラーが訂正可能であること、従って、Ｅｖｅにとって
は、（２^ｍ＋１−１）−ｑｕｂｉｔブロック中の、位置
の特定されたｌ−ｑｕｂｉｔが得られれば、元の情報を
完全に再現できるからである。ブロック符号化を行わな
い場合、Ｅｖｅが元々の１−ｑｕｂｉｔの量子情報を完
全に得る確率は（３／４）以下なので、改善されている
と言える。

【０４０１】（第５の実施形態）本実施形態は、（請求
項１，２）の量子二状態系（ｑｕｂｉｔ）を使った、任
意の量子情報入力手段、記憶手段、演算手段、出力手段
について説明したものである。前の（第１，２，３，４
の実施形態）での、量子二状態系（ｑｕｂｉｔ）を使っ
た情報処理の過程でも、これらの情報の入力手段、記憶
手段、演算手段、出力手段は共通して使用される。

【０４０２】また本実施形態は、（請求項１５）の量子
状態の暗号化方法、および、（請求項１６）の量子状態
の暗号化装置について説明したものでもある。すなわ
ち、使用する量子二状態系（ｑｕｂｉｔ）として、光子
の偏光や、電子、核子等のスピン（固体中の電子、核子
のスピン、高分子化合物中の核子のスピンを含む）、イ
オンの基底状態と励起状態を利用することを特徴とす
る、量子状態の暗号化方法、および、装置について説明
する。

【０４０３】前の（第１，２，３，４の実施形態）で使
用したｑｕｂｉｔは、互いに直交し合う二状態を基底と
するヒルベルト空間を実現する量子系であれば、どのよ
う物理系であっても本質的な違いはない。ｑｕｂｉｔの
候補としては、例えば、電子、核子等のスピン（固体中
の電子、核子のスピン、高分子化合物中の核子のスピン
を含む）、イオンの基底状態と励起状態が挙げられる。

【０４０４】例えば、核子のスピンについて考えてみ
る。一様な静磁場Ｂの中での、二個の核スピンのハミル
トニアンは、次の様に与えられる。

【０４０５】

【数８０】

【０４０６】上の式の第二項はＺｅｅｍａｎ項、第三項
はスピン−スピン相互作用項を表している。ここで、磁
場がｚ軸を向いていてＢ＝（０，０，Ｂ_０）、また、ス
ピン−スピン相互作用がＺｅｅｍａｎ効果によるエネル
ギー準位のずれより十分に小さいとする。

【０４０７】

【数８１】

【０４０８】ｚ方向の強い磁場のために、二つのスピン
はｚ方向にそろった方がエネルギーを低く抑えられ、第
三項はｚ成分のスカラー相互作用に近似できる。ハミル
トニアンは、

【０４０９】

【数８２】

【０４１０】ただし、ω_Ａ＝γ_ＡＢ_０，ω_Ｂ＝γ
_ＢＢ_０，

【０４１１】

【数８３】

【０４１２】となる。ここで、ω_Ａ，ω_Ｂはわずかに異
なるとし、そのずれを、Δε＝｜ω_Ａ，ω_Ｂ｜とする。
エネルギー準位のずれをまとめると、図１６のようにな
る。

【０４１３】スピンをｚ方向に対角化したときの下向き
を｜１＞、上向きを｜０＞とすると、核スピン系をｑｕ
ｂｉｔ系と見なすことができる。核スピンを複数個用意
すれば、複数個のｑｕｂｉｔ系を用意したことになる。
このｑｕｂｉｔ系に初期状態として｜０…０＞を入力し
たいのであれば、ｚ軸方向の十分強い一様な静磁場Ｂ＝
（０，０，Ｂ）を核スピン系全体にかければ良い。これ
により、全ての核スピンが磁場の方向に整列する。従っ
て、外部磁場と核スピンの相互作用（Ｚｅｅｍａｎ効
果）による制御が、この場合の情報の入力手段となる。

【０４１４】一度、核スピンの量子状態が確定すれば、
少なくともデコヒーレンス時間以内であれば、状態は保
持される。そこで、これを情報の記憶手段と考えて良
い。また、核スピンを伝送する際も、伝送時間がデコヒ
ーレンス時間内であれば、これまでの実施形態で説明し
てきた事柄は、問題なく適用できる。

【０４１５】演算手段は以下のようになる。ｑｕｂｉｔ
系に施される演算は全て、ｑｕｂｉｔ系の張るヒルベル
ト空間上のユニタリ変換である。複数のｑｕｂｉｔに対
する任意のユニタリ変換は、１−ｑｕｂｉｔの任意のユ
ニタリ変換と、２−ｑｕｂｉｔ間のＣ−ＮＯＴゲートを
組み合わせることで実現可能である。これらのユニタリ
変換は、図１６に示される状態間のエネルギー準位差か
らわずかにずれたエネルギーに相当する周波数の電磁波
（レーザーパルス）を核スピンに照射することで実行で
きる。電磁波を照射された核スピンでは、周波数に相当
するエネルギー差のある準位間でＢｌｏｃｈ振動を起こ
す。レーザーパルスの強度と照射時間を調節すれば目的
の状態に自由に遷移させることが出来る。例えば、

【０４１６】

【数８４】

【０４１７】の周波数の電磁波を照射すれば、

【０４１８】

【数８５】

【０４１９】との間でユニタリ回転が実行できる。共鳴
パルスを上手く組み合わせれば、Ｃ−ＮＯＴも実行でき
る。従って、外部磁場と核スピンの相互作用（Ｚｅｅｍ
ａｎ効果）、および、スピン−スピン相互作用によるエ
ネルギー準位のずれを利用したＢｌｏｃｈ振動が、この
場合の情報の演算手段となる。

【０４２０】ｑｕｂｉｔから出力を得るとは、核スピン
のｚ軸方向を観測することである。これを行う方法につ
いても、様々なものが考案されている。最も理解しやす
い方法は、量子力学の導入でしばしば例に出されるシュ
テルン−ゲルラッハ装置と呼ばれるもので、測定したい
核スピンをビームとして、一様でない磁場中を通過させ
る（「ファインマン物理学Ｖ量子力学」、砂川重信訳、
岩波書店（１９７９））。磁場とその勾配はｚ方向を向
いているとし、核子のビームは磁場と垂直に入射すると
する。核子のビームはスピンのｚ方向成分によって分裂
し、これを検出すれば核スピンのｚ軸方向を観測したこ
とになる。また、核スピンの情報を電子スピンに置き換
え、これを観測する方法が、文献（Ｂ．Ｅ．Ｋａｎ
ｅ，’Ａｓｉｌｉｃｏｎ−ｂａｓｅｄｎｕｃｌｅａ
ｒｓｐｉｎｑｕａｎｔｕｍｃｏｍｐｕｔｅｒ’，
Ｎａｔｕｒｅ，３９３，ｐ．１３３−１３７（１９９
８））で提案されている。よって、これらを情報の出力
手段と見なすこととする。

【０４２１】以上は核スピンを例にとって説明したが、
他の物理系をｑｕｂｉｔとして使用した場合も、情報の
入力手段、記憶手段、演算手段、出力手段を用意するこ
とが可能であり、そこで使われる物理的な考え方も、上
の説明と共通する部分が多い。

【０４２２】文献（Ｊ．Ｉ．ＣｉｒａｃａｎｄＰ．
Ｚｏｌｌｅｒ，’ＱｕａｎｔｕｍＣｏｍｐｕｔａｔｉｏ
ｎｓｗｉｔｈＣｏｌｄＴｒａｐｐｅｄＩｏｎ
ｓ’，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．７４，４０９１
（１９９５））には、ＣｏｌｄＴｒａｐｐｅｄＩｏｎ
ｓと呼ばれる方法で、Ｃ−ＮＯＴゲートを実行する方法
が議論されている。この場合、ｎ個のイオンを直線状に
捕獲し、各イオンの基底状態と第一励起状態をｑｕｂｉ
ｔの｛｜０＞，｜１＞｝と見なす。量子ゲートの操作
は、外部から各イオンへレーザー照射することによって
実現される。

【０４２３】直線状に捕獲されたイオンは、クーロン相
互作用し、各イオンは平衡点を中心に振動する。この振
動モードが量子化されると、ｐｈｏｎｏｎとなって、補
助ｑｕｂｉｔとして利用できる。先の文献では、このｐ
ｈｏｎｏｎモードを巧みに利用して、Ｃ−ＮＯＴゲート
を実行する方法が提案されている。

【０４２４】

【発明の効果】以上説明したように、本出願に係わる第
一の発明によれば、量子二状態系（ｑｕｂｉｔ）を使っ
た、任意の量子状態、または、その量子状態に含まれて
いる量子情報の、入力手段、記憶手段、演算手段、出力
手段を用意し、任意の量子状態または、その量子状態に
含まれている量子情報を、送信者から受信者に量子通信
回線を使って伝送する際、送りたい量子状態が盗聴者に
奪われても元の情報を取り出せないようにするために第
一の暗号化を行い、量子状態が送り手から受け手に確か
に渡されたことを保証するための署名情報を持つ量子系
を付加し、さらに、盗聴者に署名を偽造されないように
するための第二の暗号化を行う量子状態の暗号化方法を
使用する場合において、特に、盗聴者からの、伝送され
る量子状態、または、その量子状態に含まれている量子
情報の奪取、破壊を防ぐために、本来の伝送したい状態
に冗長なｑｕｂｉｔ列を付加し、量子エラー訂正符号化
を行い、これら全体の量子状態に、前記の暗号化方法を
適用することを特徴とする、量子状態および量子情報の
暗号化方法の実現に効果がある。

【０４２５】以上説明したように、本出願に係わる第二
の発明によれば、量子二状態系（ｑｕｂｉｔ）を使っ
た、任意の量子状態、または、その量子状態に含まれて
いる量子情報の、入力手段、記憶手段、演算手段、出力
手段を用意し、任意の量子状態または、その量子状態に
含まれている量子情報を、送信者から受信者に量子通信
回線を使って伝送する際、送りたい量子状態が盗聴者に
奪われても元の情報を取り出せないようにするために第
一の暗号化を行い、量子状態が送り手から受け手に確か
に渡されたことを保証するための署名情報を持つ量子系
を付加し、さらに、盗聴者に署名を偽造されないように
するための第二の暗号化を行う量子状態の暗号化方法を
使用する場合において、特に、盗聴者からの、伝送され
る量子状態、または、その量子状態に含まれている量子
情報の奪取、破壊を防ぐために、本来の伝送したい状態
に冗長なｑｕｂｉｔ列を付加し、量子エラー訂正符号化
を行い、これら全体の量子状態に、前記の暗号化方法を
適用することを特徴とする、量子状態および量子情報の
暗号化装置の実現に効果がある。

【０４２６】以上説明したように、本出願に係わる第三
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、送信者、および、受信者が、認証操作として、署名
情報を持つ量子系（ｑｕｂｉｔ）に対して観測を行い、
これらのｑｕｂｉｔの中で、どれか１個のｑｕｂｉｔで
も矛盾が見付かった場合、第一の暗号化の復号用パスワ
ードを公開しないことを特徴とする、量子状態の暗号化
方法の実現に効果がある。

【０４２７】以上説明したように、本出願に係わる第四
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、送信者、および、受信者が、認証操作として、署名
情報を持つ量子系（ｑｕｂｉｔ）に対して観測を行い、
これらのｑｕｂｉｔの中で、どれか１個のｑｕｂｉｔで
も矛盾が見付かった場合、第一の暗号化の復号用パスワ
ードを公開しないことを特徴とする、量子状態の暗号化
装置の実現に効果がある。

【０４２８】以上説明したように、本出願に係わる第五
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、ＤｉＶｉｎｃｅ
ｎｚｏ−Ｓｈｏｒの５−ｑｕｂｉｔコード、すなわち、
１−ｑｕｂｉｔの量子情報を、全体で５−ｑｕｂｉｔの
ブロックに符号化し、ブロック内の任意の１−ｑｕｂｉ
ｔに局所的に生じる任意のエラー（デコヒーレンス）を
訂正するコードを使用することを特徴とする、量子状態
の暗号化方法の実現に効果がある。

【０４２９】以上説明したように、本出願に係わる第六
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、ＤｉＶｉｎｃｅ
ｎｚｏ−Ｓｈｏｒの５−ｑｕｂｉｔコード、すなわち、
１−ｑｕｂｉｔの量子情報を、全体で５−ｑｕｂｉｔの
ブロックに符号化し、ブロック内の任意の１−ｑｕｂｉ
ｔに局所的に生じる任意のエラー（デコヒーレンス）を
訂正するコードを使用することを特徴とする、量子状態
の暗号化装置の実現に効果がある。

【０４３０】以上説明したように、本出願に係わる第七
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｓｈｏｒの９−
ｑｕｂｉｔコード、すなわち、１−ｑｕｂｉｔの量子情
報を、全体で９−ｑｕｂｉｔのブロックに符号化し、ブ
ロック内の任意の１−ｑｕｂｉｔに局所的に生じる任意
のエラー（デコヒーレンス）を訂正するコードを使用す
ることを特徴とする、量子状態の暗号化方法の実現に効
果がある。

【０４３１】以上説明したように、本出願に係わる第八
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｓｈｏｒの９−
ｑｕｂｉｔコード、すなわち、１−ｑｕｂｉｔの量子情
報を、全体で９−ｑｕｂｉｔのブロックに符号化し、ブ
ロック内の任意の１−ｑｕｂｉｔに局所的に生じる任意
のエラー（デコヒーレンス）を訂正するコードを使用す
ることを特徴とする、量子状態の暗号化装置の実現に効
果がある。

【０４３２】以上説明したように、本出願に係わる第九
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｃａｌｄｅｒｂ
ａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅの７−ｑｕｂｉｔコー
ド、すなわち、１−ｑｕｂｉｔの量子情報を、全体で７
−ｑｕｂｉｔのブロックに符号化し、ブロック内の任意
の１−ｑｕｂｉｔに局所的に生じる任意のエラー（デコ
ヒーレンス）を訂正するコードを使用することを特徴と
する、量子状態の暗号化方法の実現に効果がある。

【０４３３】以上説明したように、本出願に係わる第十
の発明によれば、本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｃａｌｄｅｒｂ
ａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅの７−ｑｕｂｉｔコー
ド、すなわち、１−ｑｕｂｉｔの量子情報を、全体で７
−ｑｕｂｉｔのブロックに符号化し、ブロック内の任意
の１−ｑｕｂｉｔに局所的に生じる任意のエラー（デコ
ヒーレンス）を訂正するコードを使用することを特徴と
する、量子状態の暗号化装置の実現に効果がある。

【０４３４】以上説明したように、本出願に係わる第十
一の発明によれば、本来の伝送したい状態に、冗長なｑ
ｕｂｉｔ列を付加し、量子エラー訂正符号化を行い、こ
れら全体の量子状態に、第一の暗号化、署名情報を持つ
量子系を付加、第二の暗号化を行う暗号化方法を適用す
る際、前記の量子エラー訂正符号として、ＣＳＳ（Ｃａ
ｌｄｅｒｂａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅ）コード、
すなわち、Ｆ_２を二成分｛０，１｝の体、Ｆ_２ ^ｎを各成
分がＦ_２の値を取るｎ成分ベクトルの張るベクトル空
間、０をＦ_２ ^ｎに含まれるｎ個の全ての成分が０のベク
トル、Ｃ_１，Ｃ_２をＦ_２ ^ｎ上で定義される古典線形コー
ドとして、｛０｝⊂Ｃ_１⊂Ｃ_２⊂Ｆ_２ ^ｎをみたす、二つ
の古典線形コードＣ_１，Ｃ_２を元にして構成されるｎ−
ｑｕｂｉｔの量子エラー訂正符号を使用することを特徴
とする、量子状態の暗号化方法の実現に効果がある。

【０４３５】以上説明したように、本出願に係わる第十
二の発明によれば、本来の伝送したい状態に、冗長なｑ
ｕｂｉｔ列を付加し、量子エラー訂正符号化を行い、こ
れら全体の量子状態に、第一の暗号化、署名情報を持つ
量子系を付加、第二の暗号化を行う暗号化方法を適用す
る際、前記の量子エラー訂正符号として、ＣＳＳ（Ｃａ
ｌｄｅｒｂａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅ）コード、
すなわち、Ｆ_２を二成分｛０，１｝の体、Ｆ_２ ^ｎを各成
分がＦ_２の値を取るｎ成分ベクトルの張るベクトル空
間、０をＦ_２ ^ｎに含まれるｎ個の全ての成分が０のベク
トル、Ｃ_１，Ｃ_２をＦ_２ ^ｎ上で定義される古典線形コー
ドとして、｛０｝⊂Ｃ_１⊂Ｃ_２⊂Ｆ_２ ^ｎをみたす、二つ
の古典線形コードＣ_１，Ｃ_２を元にして構成されるｎ−
ｑｕｂｉｔの量子エラー訂正符号を使用することを特徴
とする、量子状態の暗号化装置の実現に効果がある。

【０４３６】以上説明したように、本出願に係わる第十
三の発明によれば、本来の伝送したい状態に、冗長なｑ
ｕｂｉｔ列を付加し、量子エラー訂正符号化を行い、こ
れら全体の量子状態に、第一の暗号化、署名情報を持つ
量子系を付加、第二の暗号化を行う暗号化方法を適用す
る際、前記の量子エラー訂正符号として、長さ２^２ｍ
^＋１、次元数２^２ｍ、符号語間最小距離２^ｍ＋１のＲｅ
ｅｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ＋１）をｐｕｎ
ｃｔｕｒｅさせて得られる、ｐｕｎｃｔｕｒｅｄＲｅｅ
ｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ＋１）^＊、ただし
長さ（２^２ｍ＋ ^１−１）、次元数２^２ｍ、符号語間最小
距離（２^ｍ＋１−１）、および、その双対符号Ｒ（ｍ，
２ｍ＋１）^＊⊥の二つの古典線形符号を元にして構成さ
れる、（２^２ｍ＋１−１）−ｑｕｂｉｔの量子エラー訂
正符号を使用することを特徴とする、量子状態の暗号化
方法の実現に効果がある。

【０４３７】以上説明したように、本出願に係わる第十
四の発明によれば、本来の伝送したい状態に冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、長さ
２^２ｍ＋ ^１、次元数２^２ｍ、符号語間最小距離２^ｍ＋１
のＲｅｅｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ＋１）を
ｐｕｎｃｔｕｒｅさせて得られる、ｐｕｎｃｔｕｒｅｄ
Ｒｅｅｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ＋１）^＊、
ただし長さ（２^２ｍ＋１−１）、次元数２^２ｍ、符号語
間最小距離（２^ｍ＋１−１）、および、その双対符号Ｒ
（ｍ，２ｍ＋１）^＊⊥の二つの古典線形符号を元にして
構成される、（２ ^２ｍ＋１−１）−ｑｕｂｉｔの量子エ
ラー訂正符号を使用することを特徴とする、量子状態の
暗号化装置の実現に効果がある。

【０４３８】以上説明したように、本出願に係わる第十
五の発明によれば、使用する量子二状態系（ｑｕｂｉ
ｔ）として、光子の偏光や、電子、核子等のスピン（固
体中の電子、核子のスピン、高分子化合物中の核子のス
ピンを含む）、イオンの基底状態と励起状態を利用する
ことを特徴とする、量子状態の暗号化方法の実現に効果
がある。

【０４３９】以上説明したように、本出願に係わる第十
六の発明によれば、使用する量子二状態系（ｑｕｂｉ
ｔ）として、光子の偏光や、電子、核子等のスピン（固
体中の電子、核子のスピン、高分子化合物中の核子のス
ピンを含む）、イオンの基底状態と励起状態を利用する
ことを特徴とする、量子状態の暗号化装置の実現に効果
がある。

【図面の簡単な説明】

【図１】（第１の実施形態）の説明で使用される、任意
の１−ｑｕｂｉｔ量子状態｜ψ＞を５−ｑｕｂｉｔのブ
ロックに符号化し、これを暗号化する操作全体の量子ゲ
ートネットワークを表した図である。

【図２】（従来の技術）の説明で使用される、送信者
が、伝送する量子状態に、署名を表す量子系を付加し、
第二の暗号化を行う操作の、量子ゲートネットワークを
表した図である。

【図３】（従来の技術）の説明で使用される、一般的
な、ｑｕｂｉｔに作用するユニタリ変換の、量子ゲート
ネットワークを表した図である。

【図４】（従来の技術）の説明で使用される、伝送する
状態を暗号化した後、送受信者が通信を行う際の、通信
手順（プロトコル）について説明した図である。

【図５】（従来の技術）の説明で使用される、受信者が
誤って、暗号化された状態が量子通信回線の途中にある
時点で送信者に到着を通報した際の、盗聴者の取る戦略
の一つを説明した図である。

【図６】（従来の技術）の説明で使用される、受信者
が、暗号化された状態、もしくは、盗聴者の作った偽の
量子状態が、確かに自分の手元に届いたかどうか調べる
ための量子ゲートネットワークを表した図である。

【図７】（従来の技術）の説明で使用される、送信者が
信号を発してから、受信者が受信するまでの間に、盗聴
者がｋ番目のｑｕｂｉｔ対の、系Ｑまたは系Ｓのどちら
か一方のｑｕｂｉｔに対して、Ｉｎｔｅｒｃｅｐｔ／Ｒ
ｅｓｅｎｄａｔｔａｃｋを行う様子を表した図であ
る。

【図８】（従来の技術）の説明で使用される、送信者が
信号を発してから、受信者が受信するまでの間に、盗聴
者がｋ番目のｑｕｂｉｔ対の、系ＱＳ両方のｑｕｂｉｔ
に対して、Ｉｎｔｅｒｃｅｐｔ／Ｒｅｓｅｎｄａｔｔ
ａｃｋを行う様子を表した図である。

【図９】（従来の技術）の説明で使用される、５−ｑｕ
ｂｉｔブロック符号語状態に対して、固有値’＋１’を
与えるエルミート演算子、および、ｑｕｂｉｔの位置を
置換した場合の、それらの演算子の変化の様子を説明し
た図である。

【図１０】（従来の技術）の説明で使用される、任意の
１−ｑｕｂｉｔ量子情報を、５−ｑｕｂｉｔにブロック
符号語化する際に、使用される量子ゲートネットワーク
の一つを表した図である。

【図１１】（従来の技術）の説明で使用される、任意の
１−ｑｕｂｉｔ量子情報を、５−ｑｕｂｉｔにブロック
符号語化する際に、使用される量子ゲートネットワーク
の一つを表した図である。

【図１２】（従来の技術）の説明で使用される、９−ｑ
ｕｂｉｔブロック符号において使用される、エラーを検
出するためのエルミート演算子を表した図である。

【図１３】（従来の技術）の説明で使用される、ｍ＝３
のＢｏｏｌｅａｎｆｕｎｃｔｉｏｎの、真理表の一例
を表した図である。

【図１４】（従来の技術）の説明で使用される、Ｒｅｅ
ｄ−Ｍｕｌｌｅｒ符号、Ｒ（１，３）（ｒ＝１，ｍ＝
３）の符号語を表した図である。

【図１５】（従来の技術）の説明で使用される、長さ８
（ｎ＝８，ｍ＝３）のＲｅｅｄ−Ｍｕｌｌｅｒコードか
らｐｕｎｃｔｕｒｅｄコードを構成した際の、符号語空
間を構成する基底ベクトルの変化を表した図である。

【図１６】（第５の実施形態）の説明で使用される、一
様な静磁場Ｂ中での、二個の相互作用を持つ核スピンに
よるハミルトニアンの、エネルギー準位のずれを表した
図である。

Claims

【特許請求の範囲】

【請求項１】量子二状態系（ｑｕｂｉｔ）を使った、
任意の量子状態、または、その量子状態に含まれている
量子情報の、入力手段、記憶手段、演算手段、出力手段
を用意し、任意の量子状態または、その量子状態に含ま
れている量子情報を、送信者から受信者に量子通信回線
を使って伝送する際、送りたい量子状態が盗聴者に奪わ
れても元の情報を取り出せないようにするために第一の
暗号化を行い、量子状態が送り手から受け手に確かに渡
されたことを保証するための署名情報を持つ量子系を付
加し、さらに、盗聴者に署名を偽造されないようにする
ための第二の暗号化を行う量子状態の暗号化方法を使用
する場合において、特に、盗聴者からの、伝送される量
子状態、または、その量子状態に含まれている量子情報
の奪取、破壊を防ぐために、本来の伝送したい状態に冗
長なｑｕｂｉｔ列を付加し、量子エラー訂正符号化を行
い、これら全体の量子状態に、前記の暗号化方法を適用
することを特徴とする、量子状態および量子情報の暗号
化方法。
【請求項２】量子二状態系（ｑｕｂｉｔ）を使った、
任意の量子状態、または、その量子状態に含まれている
量子情報の、入力手段、記憶手段、演算手段、出力手段
を用意し、任意の量子状態または、その量子状態に含ま
れている量子情報を、送信者から受信者に量子通信回線
を使って伝送する際、送りたい量子状態が盗聴者に奪わ
れても元の情報を取り出せないようにするために第一の
暗号化を行い、量子状態が送り手から受け手に確かに渡
されたことを保証するための署名情報を持つ量子系を付
加し、さらに、盗聴者に署名を偽造されないようにする
ための第二の暗号化を行う量子状態の暗号化方法を使用
する場合において、特に、盗聴者からの、伝送される量
子状態、または、その量子状態に含まれている量子情報
の奪取、破壊を防ぐために、本来の伝送したい状態に冗
長なｑｕｂｉｔ列を付加し、量子エラー訂正符号化を行
い、これら全体の量子状態に、前記の暗号化方法を適用
することを特徴とする、量子状態および量子情報の暗号
化装置。
【請求項３】本来の伝送したい状態に、冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、送信者、および、受信者が、認証操作として、署名
情報を持つ量子系（ｑｕｂｉｔ）に対して観測を行い、
これらのｑｕｂｉｔの中で、どれか１個のｑｕｂｉｔで
も矛盾が見付かった場合、第一の暗号化の復号用パスワ
ードを公開しないことを特徴とする、請求項１に記載の
量子状態の暗号化方法。
【請求項４】本来の伝送したい状態に、冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、送信者、および、受信者が、認証操作として、署名
情報を持つ量子系（ｑｕｂｉｔ）に対して観測を行い、
これらのｑｕｂｉｔの中で、どれか１個のｑｕｂｉｔで
も矛盾が見付かった場合、第一の暗号化の復号用パスワ
ードを公開しないことを特徴とする、請求項２に記載の
量子状態の暗号化装置。
【請求項５】本来の伝送したい状態に、冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、ＤｉＶｉｎｃｅ
ｎｚｏ−Ｓｈｏｒの５−ｑｕｂｉｔコード、すなわち、
１−ｑｕｂｉｔの量子情報を、全体で５−ｑｕｂｉｔの
ブロックに符号化し、ブロック内の任意の１−ｑｕｂｉ
ｔに局所的に生じる任意のエラー（デコヒーレンス）を
訂正するコードを使用することを特徴とする、請求項１
または請求項３に記載の量子状態の暗号化方法。
【請求項６】本来の伝送したい状態に、冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、ＤｉＶｉｎｃｅ
ｎｚｏ−Ｓｈｏｒの５−ｑｕｂｉｔコード、すなわち、
１−ｑｕｂｉｔの量子情報を、全体で５−ｑｕｂｉｔの
ブロックに符号化し、ブロック内の任意の１−ｑｕｂｉ
ｔに局所的に生じる任意のエラー（デコヒーレンス）を
訂正するコードを使用することを特徴とする、請求項２
または請求項４に記載の量子状態の暗号化装置。
【請求項７】本来の伝送したい状態に、冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｓｈｏｒの９−
ｑｕｂｉｔコード、すなわち、１−ｑｕｂｉｔの量子情
報を、全体で９−ｑｕｂｉｔのブロックに符号化し、ブ
ロック内の任意の１−ｑｕｂｉｔに局所的に生じる任意
のエラー（デコヒーレンス）を訂正するコードを使用す
ることを特徴とする、請求項１または請求項３に記載の
量子状態の暗号化方法。
【請求項８】本来の伝送したい状態に、冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｓｈｏｒの９−
ｑｕｂｉｔコード、すなわち、１−ｑｕｂｉｔの量子情
報を、全体で９−ｑｕｂｉｔのブロックに符号化し、ブ
ロック内の任意の１−ｑｕｂｉｔに局所的に生じる任意
のエラー（デコヒーレンス）を訂正するコードを使用す
ることを特徴とする、請求項２または請求項４に記載の
量子状態の暗号化装置。
【請求項９】本来の伝送したい状態に、冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｃａｌｄｅｒｂ
ａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅの７−ｑｕｂｉｔコー
ド、すなわち、１−ｑｕｂｉｔの量子情報を、全体で７
−ｑｕｂｉｔのブロックに符号化し、ブロック内の任意
の１−ｑｕｂｉｔに局所的に生じる任意のエラー（デコ
ヒーレンス）を訂正するコードを使用することを特徴と
する、請求項１または請求項３に記載の量子状態の暗号
化方法。
【請求項１０】本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、Ｃａｌｄｅｒｂ
ａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅの７−ｑｕｂｉｔコー
ド、すなわち、１−ｑｕｂｉｔの量子情報を、全体で７
−ｑｕｂｉｔのブロックに符号化し、ブロック内の任意
の１−ｑｕｂｉｔに局所的に生じる任意のエラー（デコ
ヒーレンス）を訂正するコードを使用することを特徴と
する、請求項２または請求項４に記載の量子状態の暗号
化装置。
【請求項１１】本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、ＣＳＳ（Ｃａｌ
ｄｅｒｂａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅ）コード、す
なわち、Ｆ_２を二成分｛０，１｝の体、Ｆ_２ ^ｎを各成分
がＦ_２の値を取るｎ成分ベクトルの張るベクトル空間、
０をＦ_２ ^ｎに含まれるｎ個の全ての成分が０のベクト
ル、Ｃ_１，Ｃ_２をＦ_２ ^ｎ上で定義される古典線形コード
として、｛０｝⊂Ｃ_２⊂Ｃ_１⊂Ｆ_２ ^ｎをみたす、二つの
古典線形コードＣ_１，Ｃ_２を元にして構成されるｎ−ｑ
ｕｂｉｔの量子エラー訂正符号を使用することを特徴と
する、請求項１または請求項３に記載の、量子状態の暗
号化方法。
【請求項１２】本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、ＣＳＳ（Ｃａｌ
ｄｅｒｂａｎｋ，Ｓｈｏｒ，Ｓｔｅａｎｅ）コード、す
なわち、Ｆ_２を二成分｛０，１｝の体、Ｆ_２ ^ｎを各成分
がＦ_２の値を取るｎ成分ベクトルの張るベクトル空間、
０をＦ_２ ^ｎに含まれるｎ個の全ての成分が０のベクト
ル、Ｃ_１，Ｃ_２をＦ_２ ^ｎ上で定義される古典線形コード
として、｛０｝⊂Ｃ_２⊂Ｃ_１⊂Ｆ_２ ^ｎをみたす、二つの
古典線形コードＣ_１，Ｃ_２を元にして構成されるｎ−ｑ
ｕｂｉｔの量子エラー訂正符号を使用することを特徴と
する、請求項２または請求項４に記載の、量子状態の暗
号化装置。
【請求項１３】本来の伝送したい状態に、冗長なｑｕ
ｂｉｔ列を付加し、量子エラー訂正符号化を行い、これ
ら全体の量子状態に、第一の暗号化、署名情報を持つ量
子系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、長さ
２^２ｍ＋１、次元数２^２ｍ、符号語間最小距離２
^２ｍ＋１のＲｅｅｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ
＋１）をｐｕｎｃｔｕｒｅさせて得られる、ｐｕｎｃｔ
ｕｒｅｄＲｅｅｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ
＋１）^＊、ただし長さ（２^２ｍ＋１−１）、次元数２
^２ｍ、符号語間最小距離（２^ｍ＋１−１）、および、そ
の双対符号Ｒ（ｍ，２ｍ＋１）^＊⊥の二つの古典線形符
号を元にして構成される、（２^２ｍ＋１−１）−ｑｕｂ
ｉｔの量子エラー訂正符号を使用することを特徴とす
る、請求項１、請求項３、または請求項１１に記載の量
子状態の暗号化方法。
【請求項１４】本来の伝送したい状態に冗長なｑｕｂ
ｉｔ列を付加し、量子エラー訂正符号化を行い、これら
全体の量子状態に、第一の暗号化、署名情報を持つ量子
系を付加、第二の暗号化を行う暗号化方法を適用する
際、前記の量子エラー訂正符号として、長さ
２^２ｍ＋１、次元数２^２ｍ、符号語間最小距離２^ｍ ^＋１
のＲｅｅｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ＋１）を
ｐｕｎｃｔｕｒｅさせて得られる、ｐｕｎｃｔｕｒｅｄ
Ｒｅｅｄ−ＭｕｌｌｅｒコードＲ（ｍ，２ｍ＋
１）^＊、ただし長さ（２^２ｍ＋１−１）、次元数
２^２ｍ、符号語間最小距離（２^ｍ＋１−１）、および、
その双対符号Ｒ（ｍ，２ｍ＋１）^＊⊥の二つの古典線形
符号を元にして構成される、（２^２ｍ＋１−１）−ｑｕ
ｂｉｔの量子エラー訂正符号を使用することを特徴とす
る、請求項２、請求項４、または請求項１２に記載の、
量子状態の暗号化装置。
【請求項１５】使用する量子二状態系（ｑｕｂｉｔ）
として、光子の偏光や、電子、核子等のスピン（固体中
の電子、核子のスピン、高分子化合物中の核子のスピン
を含む）、イオンの基底状態と励起状態を利用すること
を特徴とする、請求項１，３，５，７，９，１１，また
は１３に記載の、量子状態の暗号化方法。
【請求項１６】使用する量子二状態系（ｑｕｂｉｔ）
として、光子の偏光や、電子、核子等のスピン（固体中
の電子、核子のスピン、高分子化合物中の核子のスピン
を含む）、イオンの基底状態と励起状態を利用すること
を特徴とする、請求項２，４，６，８，１０，１２，ま
たは１４に記載の量子状態の暗号化装置。