JP2003298570A - 秘密証拠供託方法および秘密証拠供託システム - Google Patents

Abstract

(57)【要約】 【課題】 量子力学の不確定性原理に基づく量子暗号を
利用することによって情報理論的に充分な信頼性を有す
る秘密証拠供託方法および秘密証拠供託システムを提供
する。 【解決手段】 送信装置１が２ビット情報を符号化した
複数の情報キャリアを受信装置７に送信し、受信装置７
は各情報キャリアの測定を行い、測定できた情報キャリ
アの一部から有意な符号語を構成し、この符号語のいず
れかに秘密情報を対応付けて符号化し、その秘密情報に
関連する秘密証拠を送信装置１に供託した後に秘密情報
自体を開示し、送信装置１が有効情報キャリアの測定結
果と最初に符号化した２ビット情報との照合を行い、両
者が一致した場合には前記秘密情報が変更されていない
と承認する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、量子力学の不確定
性原理に基づく量子暗号を利用した秘密証拠供託方法お
よび秘密証拠供託システムに関する。

【０００２】

【従来の技術】近年のコンピュータネットワークの発展
に伴って各種の商取引などをネットワーク上で行う電子
マネーや集団意思決定をネットワーク上で行う電子投票
などに対する需要が高まっている。

【０００３】このような応用技術の基礎となる重要な要
素技術の一つが秘密証拠供託である。秘密証拠供託と
は、供託者が被供託者に対して「所定の情報Ｗの内容が
既に確定していること」を証拠づけるに足る情報（以
後、秘密証拠と呼ぶ）を、情報Ｗの内容自体を秘密にし
たままで供託し、時間が経過して後に供託者が情報Ｗの
内容を開示するときに、この情報Ｗの内容が変更されて
いないことを被供託者に承認させることを可能にするも
のである。

【０００４】秘密証拠供託の最も簡単な例はコイン投げ
である。以下、秘密証拠供託の概念を説明するために、
ＡとＢの二人の人間がコインを投げて二人とも同じ面が
出ればＡの勝ち、出た面が異なっていればＢの勝ちとす
るコイン投げゲームについて説明する。

【０００５】このコイン投げゲームの場合、二人が同じ
場所にいれば同時にコインを投げて互いに相手の行動を
観察して結果を知ることができるので何の問題も生じな
い。しかし、ＡとＢが異なる場所にいて、通信回線等を
介してこのゲームを行う場合を考えると、さまざまな問
題が生じる。

【０００６】先にコインを投げた結果を伝える方をＡ、
後から結果を伝える方をＢとしよう。この場合、Ａの方
は後手であるＢが正直に結果を返信してきたかどうかに
ついて確信が持つことができない。なぜならば、Ｂは先
手のＡからの申告をもとにしていくらでも自分の結果を
ねつ造できるからである。

【０００７】このような局面は単なるゲームにとどまら
ず、通信回線等を介して情報の交換が行われる際にはよ
く起こりうることである。実際、二者間の電子商取引等
において、後手が先手の出方に応じて一方的に有利に行
動できることの無いようにし、両者が公平な立場で安心
して取引に応じることができる仕組を実現することは極
めて重要であり、秘密証拠供託はそのような仕組の実現
に寄与するものである。

【０００８】今日では、上述した電子商取引等におい
て、公開鍵暗号等の現代暗号を駆使して構築されるさま
ざまな暗号化セキュリティ処理技術が広く用いられてい
る（例えば、太田和夫、黒澤馨、渡辺治著，「情報セキ
ュリティの科学 マジック・プロトコルへの招待」、講
談社ブルーバックス (講談社、1995）を参照）。

【０００９】この暗号化セキュリティ技術の一つとして
構成される秘密証拠供託方法の信頼性は、計算量理論に
よって裏付けされている。計算量理論では、ある問題を
解くのに必要な計算時間が問題のサイズまたは複雑さの
増大に応じてどのように増加するのかを評価することに
より、その問題が実際に解ける問題なのか否かを判別し
ている。

【００１０】例えば、暗号化された情報のサイズｎが増
加するにつれて、その情報の解読に要する計算時間ｔが
指数関数的に（ｔ∝exp(n)）増大してしまう場合には、
一般にその問題は解けない（解読できない）とみなされ
る。一方、上記サイズｎの有限多項式で表される計算時
間内で解読できる場合には、その問題は解ける問題、す
なわち解読可能な問題とみなされる。

【００１１】しかしながら、現代暗号にもとづく秘密証
拠供託方法の信頼性は、後述するように原理的な問題を
抱えている。そこで、原理的により信頼性の高い秘密証
拠供託方法を検討することが重要な課題となる。

【００１２】このような背景のもとで近年検討されてい
るのが量子暗号の方法である。量子暗号の方法では、公
開鍵暗号方式のようにアプリケーション層での計算処理
に基づいてその信頼性を確保するのではなく、物理層に
おいて情報キャリアが従うことを余儀なくされる量子力
学の不確定性原理によって暗号の信頼性を確保すること
が可能になる（例えば、Ａ．エカート著、井元 信之
訳、「量子暗号への招待」、パリティ、Vol.７，No.
２、（丸善、1992）を参照）。

【００１３】量子暗号の方法は、離れた二者間での暗号
鍵の配送の問題を原理的に解決することを可能にした
が、これを秘密証拠供託に応用することも検討されてい
る。

【００１４】秘密証拠供託における最も基本的な単位は
１ビット情報の秘密証拠供託であり、一般にビットコミ
ットメントと呼ばれている。量子暗号の方法を用いてビ
ットコミットメントを行おうとする試みを量子暗号鍵配
送とは区別して量子ビットコミットメントと呼んでいる
（例えば、H. K. Lo, S. Popescu, and T. Spiller,e
d., Introduction to Quantum Computation and Inform
ation (World Scientific, Singapore, 1998）を参
照）。

【００１５】

【発明が解決しようとする課題】以上説明した従来技術
のうち、公開鍵暗号等の現代暗号に基づいた秘密証拠供
託方法の信頼性には原理的な問題がある。

【００１６】公開鍵暗号方式の信頼性は、前述したよう
に計算量理論の前提、すなわちどの程度の計算時間で解
読可能かに基づいており、この前提は今日一応広く受け
入れられている。しかしながら、暗号解読に利用できる
計算機の計算能力の向上も極めて著しく、暗号系のサイ
ズ（複雑さ）の増大とその暗号系を解読するアルゴリズ
ム開発の間にいたちごっこの関係が続いている。つま
り、ある時期安全とみなされていた暗号系もそれからほ
どなくして解読可能となってしまうという懸念を本質的
に解消することができないという問題を有している。

【００１７】さらに、計算量理論的に難しいとされ、現
代暗号の基礎となっている多くの数学的な問題に対し
て、高速解法（多項式計算時間内で解けてしまうような
効率的な解法）が存在しないことが証明されているわけ
ではなく、将来そのような高速解法が発見される可能性
が皆無なわけではない。

【００１８】このような現代暗号による秘密証拠供託方
法の問題を解決するために、原理的により信頼性の高い
秘密証拠供託方法として従来考案されてきた量子暗号の
方法、特に量子ビットコミットメントの方法にも問題が
ないわけではない。

【００１９】仮に将来、量子計算機間の大規模な量子力
学的なネットワーキングが可能になれば、この方法も原
理的に破られうるものであることが１９９６年に数学的
に証明された。これは現在「量子ビットコミットメント
の不可能定理」として知られているものであり、この定
理の証明がなされて以来、量子ビットコミットメントは
不可能であるということが定説になっている（例えば、
H. K. Lo, S. Popescu, and T. Spiller, ed., Introdu
ction to Quantum Computation and Information (Worl
d Scientific, Singapore, 1998）を参照）。

【００２０】しかしながら、前述したような量子計算機
ネットワークを実現することは技術的に極度に困難であ
ると考えられており、少なくとも現在の技術の延長上で
実現されうるものではなく、その実現には少なくとも１
世紀以上の年月を要すると予想されている。したがっ
て、少なくとも今後百年程度の期間では、従来の量子ビ
ットコミットメントの方法でも実用上は充分な信頼性を
有するものであるといえる。

【００２１】他方、上述した実用的な側面から離れ、原
理的に安全で信頼性の高い量子ビットコミットメントの
可能性を追求することも重要である。

【００２２】従来提案されてきた量子ビットコミットメ
ントの方法では、ビット情報を供託する供託者が被供託
者に対して情報キャリアの集団もしくは系を送るが、こ
の段階で被供託者が秘密証拠供託されたビット値を知る
ことが完全に不可能になるように情報キャリアの量子力
学的状態を設定することを前提としている。

【００２３】前述した「量子ビットコミットメントの不
可能定理」は、このような前提条件が満たされる場合に
は、必ず供託者が１ビット情報を事後変更できることを
証明したものである。しかしながら量子ビットコミット
メントを行うに際して、そもそも上記の前提条件を満た
すことが本当に必要不可欠な条件であるのかどうかは必
ずしも自明ではない。

【００２４】本発明は以上説明した従来技術の問題点に
鑑みてなされたものであり、その目的は、量子力学の不
確定性原理に基づく量子暗号を利用することによって情
報理論的に充分な信頼性を有する秘密証拠供託方法およ
び秘密証拠供託システムを提供することにある。

【００２５】

【課題を解決するための手段】上記目的を達成するため
に、請求項１記載の本発明は、秘密情報を保持する供託
者装置が、すでに当該秘密情報が確定していることを証
拠付けるに足る秘密証拠を前記秘密情報は秘密にしたま
まで被供託者装置に供託し、その後前記秘密情報を開示
するときに前記秘密情報が変更されていないことを前記
被供託者装置に承認させる秘密証拠供託方法であって、
前記被供託者装置が所定の量子力学的状態を有する複数
の粒子ないしは粒子系の各々に対して２ビット情報を符
号化した複数の情報キャリアを発生し、当該複数の情報
キャリアを、各情報キャリアがそれぞれ有する量子力学
的状態を物理的に保持したまま伝送する量子通信チャネ
ルを介して前記供託者装置に送信するステップと、前記
供託者装置が前記複数の情報キャリアを受信し、当該複
数の情報キャリアに符号化された前記２ビット情報のう
ちの１ビット情報分をそれぞれ測定するステップと、前
記供託者装置が各情報キャリアについて測定した結果を
記録するとともに前記被供託者装置に対して各情報キャ
リアの測定の成否を通知するステップと、前記供託者装
置が測定に成功した複数の有効情報キャリアからランダ
ムに選択した前記有効情報キャリアの各々に符号化され
た前記２ビット情報の開示を前記被供託者装置に対して
要求するステップと、前記被供託者装置が前記供託者装
置から開示を要求された前記２ビット情報を前記供託者
装置に開示するステップと、前記供託者装置が前記被供
託者装置から開示された前記２ビット情報とこの２ビッ
ト情報に該当する前記有効情報キャリアの測定結果との
照合を行うステップと、このステップで照合した結果、
開示された前記２ビット情報とこの２ビット情報に該当
する前記有効情報キャリアの測定結果とが一致した場
合、前記供託者装置が前記有効情報キャリアの一部を選
択してその順序を並び替えることによりランダム線形組
織化符号系に属する符号語を構成し、この符号語のいず
れかに秘密情報となる１ビット情報を対応付けて符号化
し、前記有効情報キャリアの並び替えの方法を前記秘密
証拠として前記被供託者装置に供託するステップと、前
記被供託者装置が前記有効情報キャリアの測定結果に関
する情報の開示を前記供託者装置に対して要求するステ
ップと、前記供託者装置が前記秘密情報ならびに前記有
効情報キャリアの測定結果に関する情報を前記被供託者
装置に対して開示するステップと、前記被供託者装置が
前記有効情報キャリアの測定結果と前記情報キャリアを
発生するときに符号化した前記２ビット情報との照合を
行い、両者が一致した場合には前記秘密情報が変更され
ていないことを承認するステップとから構成されること
を要旨とする。

【００２６】請求項１記載の本発明によれば、被供託者
装置は所定の量子力学的状態を有する複数の粒子ないし
は粒子系の各々に対して２ビット情報を符号化した複数
の情報キャリアを発生し、これら複数の情報キャリアを
供託者装置に送信し、受信した供託者装置は各情報キャ
リアに符号化された２ビット情報のうちの１ビット情報
分をそれぞれ測定した後、測定結果を記録するとともに
被供託者装置に対して各情報キャリアの測定の成否を通
知し、測定結果の通知を受けた被供託者装置は、供託者
装置が測定に成功した複数の有効情報キャリアからラン
ダムに選択したものに符号化された２ビット情報の開示
を被供託者装置に対して要求し、この要求に応じて被供
託者装置から開示された２ビット情報とこの２ビット情
報に該当する有効情報キャリアの測定結果との照合を行
い、照合した結果、開示された２ビット情報とこの２ビ
ット情報に該当する有効情報キャリアの測定結果とが一
致した場合、有効情報キャリアの一部を選択してその順
序を並び替えることによりランダム線形組織化符号系に
属する符号語を構成し、この符号語のいずれかに秘密情
報となる１ビット情報を対応付けて符号化し、符号語構
成時の有効情報キャリアの並び替えの方法を秘密証拠と
して被供託者装置に供託し、供託を受けた被供託者装置
は有効情報キャリアの測定結果に関する情報の開示を供
託者装置に対して要求し、この要求に応じて供託者装置
から開示された有効情報キャリアの測定結果と情報キャ
リアを発生するときに符号化した２ビット情報との照合
を行い、両者が一致した場合には前記秘密情報が変更さ
れていないことを承認することにより、供託者装置と被
供託者装置が互いに相手装置の不正を検出することを可
能にし、情報理論的に充分な信頼性を有する秘密証拠供
託方法を提供することができる。

【００２７】請求項２記載の本発明は、前記複数の情報
キャリアは、前記被供託者装置において、前記複数の粒
子ないしは粒子系の各々に対してそれぞれ四つの互いに
直交する量子力学的状態の組から構成される第１および
第２の正規直交基底のうちランダムに選択されたいずれ
か一方に前記２ビット情報が符号化される一方で、前記
供託者装置において、前記第１および第２の正規直交基
底とは異なる第３および第４の正規直交基底のうちラン
ダムに選択されたいずれか一方に応じて前記情報キャリ
アに符号化された２ビット情報のうちの１ビット情報分
が測定されることを要旨とする。

【００２８】請求項２記載の本発明においては、被供託
者装置から送信される複数の情報キャリアとして、複数
の粒子ないしは粒子系の各々に対してそれぞれ四つの互
いに直交する量子力学的状態の組から構成される第１お
よび第２の正規直交基底のうちランダムに選択されたい
ずれか一方の正規直交基底に２ビット情報が符号化され
たものが用いられる一方で、供託者装置での測定時に
は、前記第１および第２の正規直交基底とは異なる第３
および第４の正規直交基底のうちランダムに選択された
いずれか一方の正規直交基底に応じて情報キャリアに符
号化された２ビット情報のうちの１ビット情報分が測定
されることになる。

【００２９】請求項３記載の本発明は、秘密情報を保持
する供託者装置が、すでに当該秘密情報が確定している
ことを証拠付けるに足る秘密証拠を前記秘密情報は秘密
にしたままで被供託者装置に供託し、その後前記秘密情
報を開示するときに前記秘密情報が変更されていないこ
とを前記被供託者装置に承認させる秘密証拠供託システ
ムであって、所定の量子力学的状態を有する複数の粒子
ないしは粒子系の各々に対して２ビット情報を符号化し
た複数の情報キャリアを前記供託者装置に送信する一方
で、前記複数の情報キャリアのうち送信に成功した有効
情報キャリアの一部に対して符号化される前記秘密情報
に関する前記秘密証拠を前記被供託者装置から供託され
た後、前記被供託者装置から前記秘密情報ならびに前記
有効情報キャリアの測定結果に関する情報の開示を受
け、当該秘密情報と前記有効情報キャリアの測定結果に
基づいて前記秘密情報が変更されていないことを承認す
る前記被供託者装置と、この被供託者装置から送信され
る前記情報キャリアの量子力学的状態を物理的に保持し
たまま伝送する量子通信チャネルと、この量子通信チャ
ネルを介して前記複数の情報キャリアを受信し、当該複
数の情報キャリアに符号化された情報を測定し、測定に
成功した前記有効情報キャリアの一部から構成される符
号語のいずれかに秘密情報となる１ビット情報を対応付
けて符号化し、前記符号語の構成に関する情報を前記秘
密証拠として前記被供託者装置に供託した後、前記秘密
情報を前記被供託者装置に開示する前記供託者装置と、
この供託者装置と前記被供託者装置との間で送受信され
る前記情報キャリア以外の情報の伝送を行う古典通信チ
ャネルとを備えたことを要旨とする。

【００３０】請求項３記載の本発明によれば、所定の量
子力学的状態を有する複数の粒子ないしは粒子系の各々
に対して２ビット情報を符号化した複数の情報キャリア
を送信する一方で、複数の情報キャリアのうち送信に成
功した有効情報キャリアの一部に対して符号化される秘
密情報に関する秘密証拠の供託を受け、その後開示を受
けた有効情報キャリアの測定結果に基づいて秘密情報が
変更されていないことを承認する被供託者装置と、この
被供託者装置から送信される情報キャリアの量子力学的
状態を物理的に保持したまま伝送する量子通信チャネル
と、この量子通信チャネルを介して前記複数の情報キャ
リアを受信し、これら複数の情報キャリアに符号化され
た情報を測定し、測定に成功した有効情報キャリアの一
部から構成される符号語のいずれかに秘密情報となる１
ビット情報を対応付けて符号化し、符号語の構成に関す
る情報を秘密証拠として被供託者装置に供託した後、秘
密情報を被供託者装置に開示する供託者装置と、この供
託者装置と被供託者装置との間で送受信される情報キャ
リア以外の情報の伝送を行う古典通信チャネルとを備え
た秘密証拠供託システムを提供することにより、情報理
論的に充分な信頼性を有する秘密証拠供託を実現するこ
とができる。

【００３１】請求項４記載の本発明は、前記被供託者装
置は、前記複数の粒子ないしは粒子系を発生するキャリ
ア発生手段と、このキャリア発生手段で発生された前記
複数の粒子ないしは粒子系の各々に対して前記２ビット
情報を符号化する第１の符号化手段と、この第１の符号
化手段で前記２ビット情報が符号化された複数の情報キ
ャリアを送信するキャリア送信手段と、前記有効情報キ
ャリアを前記第１の符号化手段で符号化したときの前記
２ビット情報と前記供託者装置から受信した前記有効情
報キャリアの測定結果の照合を行う第１の照合手段とを
備えた一方で、前記供託者装置は、前記被供託者装置か
ら前記量子通信チャネルを介して送られてくる前記複数
の情報キャリアを受信するキャリア受信手段と、各情報
キャリアが有する量子力学的状態から前記２ビット情報
のうちの１ビット情報分を測定する測定手段と、この測
定手段で測定した前記１ビット情報と、その後前記被供
託者装置から前記古典通信チャネルを介して開示された
前記情報キャリアに符号化された２ビット情報との照合
を行う第２の照合手段と、前記有効情報キャリアの一部
を並べ替えてランダム線形組織化符号系に属する符号語
を構成し、この符号語のいずれかに秘密情報となる１ビ
ット情報を対応付けて符号化する第２の符号化手段とを
備えたことを要旨とする。

【００３２】請求項４記載の本発明によれば、請求項３
記載の秘密証拠供託システムにおいて、被供託者装置と
して、複数の粒子ないしは粒子系を発生するキャリア発
生手段と、このキャリア発生手段で発生された前記複数
の粒子ないしは粒子系の各々に対して前記２ビット情報
を符号化する第１の符号化手段と、複数の情報キャリア
を送信するキャリア送信手段と、有効情報キャリアを符
号化したときの２ビット情報と供託者装置から受信した
有効情報キャリアの測定結果の照合を行う第１の照合手
段とを備えたものを提供する一方で、供託者装置とし
て、被供託者装置から送られてくる複数の情報キャリア
を受信するキャリア受信手段と、各情報キャリアが有す
る量子力学的状態から２ビット情報のうちの１ビット情
報分を測定する測定手段と、この測定手段で測定した１
ビット情報と、その後被供託者装置から開示される情報
キャリアに符号化された２ビット情報との照合を行う第
２の照合手段と、有効情報キャリアの一部を並べ替えて
ランダム線形組織化符号系に属する符号語を構成し、こ
の符号語のいずれかに秘密情報となる１ビット情報を対
応付けて符号化する第２の符号化手段とを備えたものを
提供することにより、情報理論的に充分な信頼性を有す
る秘密証拠供託を実現することができる。

【００３３】請求項５記載の本発明は、前記第１の符号
化手段は、前記複数の粒子ないしは粒子系の各々に対し
てそれぞれ四つの互いに直交する量子力学的状態の組か
ら構成される第１および第２の正規直交基底のうちいず
れか一方をランダムに選択して前記２ビット情報を符号
化する一方、前記測定手段は、前記第１および第２の正
規直交基底とは異なる第３および第４の正規直交基底の
うちいずれか一方をランダムに選択して前記情報キャリ
アに符号化された２ビット情報のうちの１ビット情報分
を測定することを要旨とする。

【００３４】請求項５記載の本発明においては、被供託
者装置に具備された第１の符号化手段が、複数の粒子な
いしは粒子系の各々に対してそれぞれ四つの互いに直交
する量子力学的状態の組から構成される第１および第２
の正規直交基底のうちいずれか一方の正規直交基底をラ
ンダムに選択して２ビット情報を符号化する一方で、供
託者装置に具備された測定手段が、被供託者装置で情報
キャリア送信時に選択される第１および第２の正規直交
基底とは異なる第３および第４の正規直交基底のうちい
ずれか一方の正規直交基底をランダムに選択し、受信し
た情報キャリアに符号化された２ビット情報のうちの１
ビット情報分を測定する。

【００３５】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態を説明する。

【００３６】図１は、本発明の一実施形態に係る秘密証
拠供託システムの構成を表すブロック図である。同図に
示す秘密証拠供託システム１００は、情報キャリアを発
生して送信する送信装置１、この情報キャリアを転送す
る量子通信チャネル３、情報キャリアを受信する受信装
置７、秘密証拠供託ならびにその他種々の通信を行う古
典通信チャネル５を少なくとも有する。

【００３７】本実施形態に係る秘密証拠供託システム１
００においては、受信装置７が秘密情報を保持し、この
秘密情報に係る秘密証拠の供託を行う供託者装置、送信
装置１が秘密証拠供託ならびに秘密情報の開示を受け、
秘密情報の変更がなされていないことを承認する被供託
者装置に相当する。

【００３８】送信装置１は、四つの互いに直交する量子
力学的状態を有する粒子ないしは粒子系を情報キャリア
として発生するためのキャリア発生部１１と、符号値に
応じて発生した情報キャリアの状態を適切な量子状態に
設定するための符号化部１２、情報キャリアを量子通信
チャネル３を介して送信するキャリア送信部１３、符号
化に関する情報ならびに古典通信チャネル５を介して以
後の処理に必要な情報の送受信を行う送受信部１５、送
信した情報キャリアと送受信部１５を通じて取得した情
報を記録する記録部１４、記録部１４に記録された情報
とそれより時間的に後に受信装置７から開示される情報
の照合を行う照合部１６を少なくとも有する。

【００３９】送信装置１で発生され、送信される情報キ
ャリアとしては、具体的には四経路光子干渉計中を伝搬
する単一光子（例えば、K. Shimizu and N. Imoto, “S
ingle-photon-interference communication equivalent
to Bell-state-basis cryptographic quantum communi
cation”, Physical Review A, Vol.62, 054303 (200
0）を参照）や、偏光相関のある光子対（例えば、K. Sh
imizu and N. Imoto, “Communication channels secur
ed from eavesdropping via transmission of photonic
Bell states”, Physical Review A, Vol.60, p.157
(1999）を参照）などが利用される。

【００４０】量子通信チャネル３は、情報キャリアを物
理的に送信装置１から受信装置７へ伝えるものであり、
情報キャリアの量子状態を物理的に保持したまま撹乱す
ることなく送信装置１から受信装置７へと伝送すること
ができる伝送媒体であればどのようなものでもよい。

【００４１】受信装置７は、量子通信チャネル３を介し
て送信されてきた情報キャリアを受信する受信部７１、
受信した情報キャリアについての測定を行う測定部７
２、測定結果を記録する記録部７３、古典通信チャネル
５を介して必要な情報の送受信を行う送受信部７４、測
定結果に基づいて秘密証拠供託するための符号化を行う
符合化部７５、後述する処理で記録部７３に記録された
情報とそれより時間的に後に送信装置１から受信した情
報の照合を行う照合部７６を少なくとも有する。

【００４２】古典通信チャネル５は、インターネットや
専用回線等の通常用いられている通信回線であり、送信
装置１と受信装置７の間で秘密証拠供託に必要な情報の
送受信に利用される。

【００４３】以上説明した秘密証拠供託システム１００
のうち、送信装置１における符号化部１２、記録部１
４、送受信部１５、照合部１６に対応する部分、ならび
に受信装置７の記録部７３、送受信部７４、符号化部７
５、照合部７６に対応する部分は、それぞれ中央処理装
置やメインメモリ等を備えたコンピュータにより構成さ
れるものであり、これらのコンピュータには以下に説明
する各種処理を実行するためのプログラムが記録されて
いる。また、このプログラムはＣＤ−ＲＯＭ等のコンピ
ュータ読み取り可能な記録媒体に記録しておくことも勿
論可能である。

【００４４】次に、以上の構成を有する秘密証拠供託シ
ステム１００の作用について説明する。図２および図３
は、本実施形態に係る秘密証拠供託方法の処理の流れを
示す説明図である。

【００４５】本実施形態に係る秘密証拠供託方法は、大
別して以下の過程を時系列に沿って実行することによっ
て構成される。

【００４６】（１）送信装置１による情報キャリアの送
信と受信装置７による測定および測定結果の送信 （２）受信装置７による受信内容の検査・照合 （３）受信装置７による秘密証拠供託（量子ビットコミ
ットメントにおけるコミットメントフェーズ） （４）受信装置７による秘密情報開示と送信装置１によ
る検査・照合（量子ビットコミットメントにおける開示
フェーズ） このうち、（１）から（２）に至る過程について、その
処理の流れを示した説明図が図２であり、これらの処理
に引き続き実行される（３）から（４）までの過程につ
いて、その処理の流れを示した説明図が図３である。以
下、各過程で行われる処理の詳細な内容について順次説
明する。

【００４７】（１）送信装置１による情報キャリアの送
信と受信装置７による測定および測定結果の送信 送信装置１は、キャリア発生部１１で四つの互いに直交
する量子力学的状態（以後、量子状態と称する）を有す
る複数の粒子または粒子系を発生し、その各々に対して
２ビット情報（Ｘ，Ｙ）を符号化部１２で符号化した情
報キャリアをキャリア送信部１３から送信する。ここ
で、Ｘ∈｛０，１｝およびＹ∈｛０，１｝である。

【００４８】このような情報キャリアの具体的な例とし
ては、前述したように、四経路光子干渉計中を伝搬する
単一光子や偏光量子相関のある光子対などを用いること
ができる。

【００４９】四つの互いに直交する量子状態を|Ｐ>，|
Ｑ>，|Ｒ>，|Ｓ>と表すことにすると、これらは一つの
正規直交基底を成しており、情報キャリアの任意の量子
状態はこれら四つの量子状態の線形結合で表される。な
お、ここで各量子状態を表すケットベクトルの中の文字
Ｐ，Ｑ，Ｒ，Ｓは、各々のケットベクトルを固有状態と
する固有値を表し、例えば情報キャリアとして光子の偏
光状態を利用する場合には、直線偏光（垂直、水平）な
らびに円偏光（右回り、左回り）を表すものである。

【００５０】より具体的な情報キャリアの量子状態は、
送信装置１が２ビット情報（Ｘ，Ｙ）を情報キャリアに
符号化して送信するときに、以下に示すような４つの量
子状態の組｛|Ａ^＋>，|Ｂ^＋>，|Ａ⁻>，|Ｂ⁻>｝または
｛|Ｃ^＋>，|Ｄ^＋>, |Ｃ⁻>，|Ｄ⁻>｝のいずれか一方を
ランダムに選択して符号化することにより設定される。

【００５１】

【数１】 これらの量子状態は、いずれも|Ｐ>，|Ｑ>，|Ｒ>，|Ｓ>
のうちのいずれか２つの量子状態についての等確率二項
重ね合わせ状態になっており、それぞれ｛|Ｐ>，|Ｑ>，
|Ｒ>，|Ｓ>｝とは異なる別の正規直交基底を成してい
る。以後、｛|Ａ ^＋>，|Ｂ^＋>，|Ａ⁻>，|Ｂ⁻>｝を第１
の正規直交基底、｛|Ｃ^＋>，|Ｄ^＋>, |Ｃ ⁻>，|Ｄ⁻>｝
を第２の正規直交基底と呼ぶことにする。

【００５２】送信装置１は、２ビット情報（Ｘ，Ｙ）を
符号化部１２で符号化する際に、第１または第２の正規
直交基底のうち、どちらか一方をランダムに選択して採
用する。この正規直交基底の選択に関する情報は、以後
の処理において秘密にしておく。

【００５３】第１および第２の正規直交基底は互いに非
直交なので、符号化に利用された正規直交基底が知らさ
れていない場合、受信装置７は送られてきた情報キャリ
アが有する量子状態を一意に決定することは不可能であ
る。このことは、２ビット情報（Ｘ，Ｙ）をともに読み
出すことが不可能であることを意味する。

【００５４】仮に（Ｘ，Ｙ）の両ビット値について推測
を行ったとしても、その推測結果の信頼度はたかだか８
５％程度の上限を有するにすぎない。これは、例えば情
報キャリアとして未知の偏光状態にある単一の光子を用
いる場合、この光子の偏光状態を測定によって完全に決
定することは不可能であるという量子力学の不確定性原
理と物理的に同等な原理的制約である。

【００５５】以上の手順を繰り返すことにより、送信装
置１は全部で２Ｎ個（Ｎ：自然数）程度の情報キャリア
を発生し、その各々に対して２ビット情報（Ｘ，Ｙ）を
ランダムに符号化して時刻ｔ₁に受信装置７に送る（以
上ステップＳ１０１、ｄ１１）。

【００５６】なお、図２および図３においては、情報の
送信を示す矢印のうち、ステップｄ１１を表す矢印を他
の矢印よりも太い線で表示してある。これは、ステップ
ｄ１１のみ量子通信チャネル５を介して送信されるの
で、古典通信チャネル５を介して送信されるステップｄ
１３以降の各ステップと区別するための措置である。

【００５７】受信装置７は、送られてきた情報キャリア
を時刻ｔ₂（＞ｔ₁）にキャリア受信部７１で受信し、測
定部７２で測定を行う（ステップＳ７０１）。測定にあ
たっては、まず送られてきたビット情報のうち、ＸとＹ
のどちらを測定して読み出すかをランダムに選択しなけ
ればならない。そのために、測定に用いるビット値をＺ
として、この値を０とするか１とするかをランダムに選
択しておく。

【００５８】Ｚ＝０を選択した場合には正規直交基底
｛|Ｐ>，|Ｑ>，|Ｒ>，|Ｓ>｝（以後、第３の正規直交基
底と称する）を用いて測定を行う。他方、Ｚ＝１を選択
した場合には、第３の正規直交基底とは異なる別の正規
直交基底｛|Ｐ’>，|Ｑ’>，|Ｒ’>，|Ｓ’>｝（以後、
第４の正規直交基底と称する）を用いて測定を行う。こ
こで第４の正規直交基底は、第３の正規直交基底によっ
て次のように表される。

【００５９】

【数２】 なお、受信装置７は各情報キャリアのビット情報を測定
する際に選択したビット値Ｚを後述する（４）の過程ま
で秘密にしておく。

【００６０】受信装置７がＺ＝０を選択したとき、即ち
第３の正規直交基底を採用した場合には、測定結果とし
て固有値Ｐ，Ｑ，Ｒ，Ｓのいずれかを得ることになる。

【００６１】図４は、Ｚ＝０が選択されたとき、すなわ
ち第３の正規直交基底を用いて測定が行われたとき、送
信装置１が送った情報キャリアの量子状態と受信装置７
が受信した量子状態の測定結果の相関関係を示す説明図
である。

【００６２】図４においては、井桁型に構成された２行
２列のうち、行４１が第１の正規直交基底でＸが０であ
る量子状態|Ａ^＋>および|Ａ⁻>を有する情報キャリアが
送られてきたときに測定し得る固有値Ｐ，Ｑを表すと同
時に，これらの量子状態が|Ｐ>と|Ｑ>の等確率重ね合せ
状態で与えられることを示している。量子状態|Ａ^＋>お
よび|Ａ⁻>でＡの肩にある引数±は、|Ｐ>と|Ｑ>の重ね
合わされ方、すなわち|Ｐ>±|Ｑ>に対応している（式
（１）参照）。

【００６３】同様に行４３は、第１の正規直交基底でＸ
が１である量子状態|Ｂ^＋>および|Ｂ⁻>を有する情報キ
ャリアが送られてきたときに測定し得る固有値Ｒ、Ｓ
と、これらの量子状態の重ね合わされ方（±）を表す。

【００６４】列４５は、第２の正規直交基底でＹが０で
ある量子状態|Ｃ^＋>および|Ｃ⁻>を有する情報キャリア
が送られてきたときに測定し得る固有値Ｐ，Ｒを表すと
同時に，これらの量子状態が|Ｐ>と|Ｒ>の等確率重ね合
せ状態で与えられることを示している。すなわち、量子
状態|Ｃ^＋>および|Ｃ⁻>でＣの肩にある引数±は、上記
同様|Ｐ>と|Ｒ>の重ね合わされ方（|Ｐ>±|Ｒ>）に対応
している（式（１）参照）。

【００６５】列４７は、第２の正規直交基底でＹが１で
ある量子状態|Ｄ^＋>および|Ｄ⁻>を有する情報キャリア
が送られてきたときに測定し得る固有値Ｑ，Ｓを表すと
同時に，これらの量子状態が|Ｑ>と|Ｓ>の等確率重ね合
せ状態で与えられることを示している。Ｄの肩にある引
数±も、上記同様の意味を持つ。

【００６６】図４に示すように、測定によりＰが得られ
たときには、送信装置１が第１または第２の正規直交基
底のいずれを採用して符号化を行ったとしてもビット値
Ｘの値が０であることが一意に確定する。同様にＳが得
られたときには送信装置１の正規直交基底の選択に関わ
らずにビット値Ｘの値が１であることが一意に確定す
る。しかしながら、いずれの場合にもビット値Ｙの値を
得ることはできない。

【００６７】一方で測定によりＱやＲが得られたときに
は、ビット値Ｘの値とビット値Ｙの値の双方を求めるこ
とができない。

【００６８】このように、ビット値Ｚの値を０にした場
合には、受信装置７は確率１／２で送信装置１が符号化
したビット値Ｘの値を測定して読み出すことができる。
ただし、第３の正規直交基底を採用して測定する限り、
ビット値Ｙの値を知ることは不確定性原理により不可能
である。

【００６９】次にＺ＝１が選択された場合、すなわち第
４の正規直交基底を採用した場合を説明する。

【００７０】この場合に受信装置７は、測定結果として
固有値Ｐ’，Ｑ’，Ｒ’，Ｓ’のいずれかを得ることに
なる。送信されてくる情報キャリアの量子状態の各々は
第４の正規直交基底のいずれか２つの量子状態を用いて
次のような等確率二項重ね合わせ状態で表すことができ
る。

【００７１】・第１の正規直交基底

【数３】 ・第２の正規直交基底

【数４】 図５は、Ｚ＝１が選択されたとき、すなわち第４の正規
直交基底を用いて測定が行われたとき、送信装置１が送
った量子状態と受信装置７が受信した量子状態の測定結
果の相関関係を示す説明図である。

【００７２】図５においても図４と同様に、井桁型に構
成された２行２列のうち、行５１が第１の正規直交基底
でＹが０である量子状態|Ａ^＋>および|Ｂ⁻>を有する情
報キャリアが送られてきたときに測定し得る固有値
Ｐ’，Ｑ’を表すと同時に，これらの量子状態が|Ｐ’>
と|Ｑ’>の等確率重ね合わせ状態（±の対応も図４と同
様）で与えられることを示している。

【００７３】同様に行５３は、第１の正規直交基底でＹ
が１である量子状態|Ａ⁻>および|Ｂ^＋>を有する情報キ
ャリアが送られてきたときに測定し得る固有値Ｒ’，
Ｓ’とこれらの量子状態の重ね合わされ方を表す。

【００７４】列５５は、第２の正規直交基底でＹが０で
ある量子状態|Ｃ^＋>および|Ｄ⁻>を有する情報キャリア
が送られてきたときに測定し得る固有値Ｐ’，Ｒ’を表
すと同時に，これらの量子状態が|Ｐ’>と|Ｒ’>の等確
率重ね合わせ状態で与えられることを示している。量子
状態|Ｃ^＋>および|Ｄ⁻>のＣおよびＤの肩にある引数
＋、−は、上記同様|Ｐ’>と|Ｒ’>の重ね合わされ方に
対応している。

【００７５】列５７は、第２の正規直交基底でＹが１で
ある量子状態|Ｃ⁻>および|Ｄ^＋>の測定し得る固有値
Ｑ’，Ｓ’を表すと同時に，これらの量子状態が|Ｑ’>
と|Ｓ’>の等確率重ね合わせ状態で与えられることを示
している。

【００７６】図５に示すように、測定の結果Ｐ’が得ら
れた場合には、送信装置１が第１または第２の正規直交
基底のいずれを採用して符号化を行ったとしてもビット
値Ｙの値が０であることが一意に確定する。同様にＳ’
が得られたときには送信装置１の正規直交基底の選択に
関わらずにビット値Ｙの値が１であることが一意に確定
する。しかし、いずれの場合にもビット値Ｘの値は求め
られない。

【００７７】一方でＱ’やＲ’が得られた場合には、ビ
ット値Ｘの値だけでなくビット値Ｙの値も得ることがで
きない。

【００７８】結局、ビット値Ｚの値を１にした場合に
は、受信装置７は確率１／２で送信装置１が符号化した
ビット値Ｙの値を測定して読み出すことができる。ただ
しこの場合には、ビット値Ｘの値を知ることは上記Ｚ＝
０の場合と同様に不確定性原理により不可能である。

【００７９】以上説明した情報キャリアの測定が成功し
た場合には、受信装置７は各々の情報キャリアに対して
ビット値ＸもしくはＹの値を記録部７３に記録する。

【００８０】受信装置７はその後、各々の情報キャリア
についての受信の成否、すなわち測定結果を送受信部７
４から古典通信チャネル５を介して時刻ｔ₃（＞ｔ₂）に
送信装置１に送信する（以上ステップＳ７０３、ｄ１
３）。

【００８１】送信装置１は、受信装置７からの測定結果
を送受信部１５で受信して記録部１４に記録する（ステ
ップｄ１０３）。

【００８２】なお、上述した受信装置７の測定は、Ｚの
値に関わらずビット値の読み出しに成功する確率が１／
２なので、受信した情報キャリアの約半数にあたるＮ個
程度の情報キャリアの測定に成功することになる。以
後、測定に成功した情報キャリアのことを有効情報キャ
リアと呼ぶ。

【００８３】（２）受信装置７による受信内容の検査・
照合 受信装置７は、情報キャリアの測定時に用いた正規直交
基底に対応するビット値Ｚの値が時刻ｔ₃において送信
装置１に知られていないことを確認するために、古典通
信チャネル５を用いて送信装置１に対して質問を行い、
回答を得て、その正否を有限の確率で判定する。

【００８４】受信装置７は、Ｎ個の有効情報キャリアの
中からその半分（Ｎ／２個）程度であるｍ個の有効情報
キャリアを試験ビットとしてランダムに指定し、この試
験ビットの各々に対応して符号化された２ビット情報
（Ｘ，Ｙ）を開示するように送受信部７４から古典通信
チャネル５を介して送信装置１に要求する（ステップＳ
７０５、ｄ２１）。

【００８５】送信装置１は、受信装置７の要求に応じて
記録部１４に記録された２ビット情報（Ｘ，Ｙ）を送受
信部１５から古典通信チャネル５を介して受信装置７に
開示する（ステップＳ１０５、ｄ２３）。

【００８６】受信装置７は、ｍ個の試験ビットの各々に
ついて、送信装置１から開示された２ビット情報（Ｘ，
Ｙ）を時刻ｔ₂において測定したビット値ＸもしくはＹ
の値と照合部７６で照合し（ステップＳ７０７）、照合
の結果矛盾が生じていないことを確認した場合には残り
のｎ（＝Ｎ−ｍ）個の有効情報キャリアの各々に対する
ビット値Ｚの値についても時刻ｔ₃において送信装置１
に知られていない、すなわち送信装置１による不正がな
いものと判定し、プロトコルを先に進める（ステップＳ
７０９、Ｓ７１１）。

【００８７】ステップＳ７０９で照合結果が一致しなか
った場合には、送信装置１による不正が行われたものと
して処理を中断する（ステップＳ７１３）。

【００８８】以上説明した受信装置７による送信装置１
の不正の有無の判定について、より詳細な内容を説明す
る。

【００８９】送信装置１は、受信装置７から測定結果の
通知を受けることでビット値ＸまたはＹのどちらの値が
受信装置７によって読み出されたことを知ることができ
るが、さらに加えて、受信装置７から送信装置１にもた
らされる伝送の成否を伝える１ビットの情報は、情報キ
ャリアの送信装置１をして、受信装置７が選択したビッ
ト値Ｚの値を知ることも可能ならしめてしまう。

【００９０】これをより具体的に説明するために、ま
ず、送信装置１が情報キャリアを一つだけ送る場合を考
える。この場合、送信装置１は予め情報キャリアの量子
状態を

【数５】 のいずれかに設定して受信装置７に送る。

【００９１】上記二つの量子状態のうち、量子状態|Ｅ
^＋>の情報キャリアを送信した場合、もし受信装置７が
第３の正規直交基底（Ｚ＝０）を選択していれば、受信
装置７が得るであろう測定結果はそれぞれ確率１／２で
ＰかＳになるため、伝送は確実に成功する。

【００９２】一方、送信装置１が量子状態|Ｅ^＋>を送っ
た場合、受信装置７が第４の正規直交基底（Ｚ＝１）を
選択していれば、受信装置７が得るであろう測定結果は
それぞれ確率１／２でＱ’かＲ’になるので、伝送は確
実に失敗する。

【００９３】したがって、量子状態|Ｅ^＋>の情報キャリ
ア伝送成功の連絡が返ってきた場合には、送信装置１は
受信装置７がＺ＝０を選択していることを知ることがで
きる。一方、伝送不成功の連絡が返ってきた場合には、
受信装置７がＺ＝１を選択したことを知ることができる
（ただしこの場合には、伝送不成功になった情報キャリ
アは結局使用されないので、受信装置７の選択を知る意
味はない）。

【００９４】同様に、送信装置１が量子状態|Ｆ^＋>を送
信し、伝送成功の連絡を受けた場合には、受信装置７が
Ｚ＝１を選択していることを知ることができる。

【００９５】このようにして送信装置１は、各々の有効
情報キャリアに対して受信装置７のビット値Ｚを不正に
知ることができる。

【００９６】これに対して受信装置７は、「自らのビッ
ト値Ｚの値が送信装置１に知られてしまった」ことを０
ではない有限の確率で確認することが可能である。

【００９７】そのために、受信装置７は送信装置１に対
して符号化した２ビット情報（Ｘ，Ｙ）を開示するよう
に要求し、開示された２ビット情報（Ｘ，Ｙ）が、受信
して記録したビット値Ｘ（Ｚ＝０である場合）もしくは
ビット値Ｙ（Ｚ＝１である場合）の値と一致しているか
どうかの照合を行う。

【００９８】送信装置１が正当な２ビット情報（Ｘ，
Ｙ）を符号化して量子状態を送っている限り、不一致が
現われる確率は０である。ところが、送信装置１が不正
な量子状態|Ｅ^＋>や|Ｆ^＋>の情報キャリアを送信した場
合、これらの情報キャリアにはもともと意味のある２ビ
ット情報（Ｘ，Ｙ）が符号化されているわけではないの
で、送信装置１は要求されたＸやＹのビット値を推測し
て送信しなければならない。

【００９９】実際、送信装置１が量子状態|Ｅ^＋>を送
り、この情報キャリアが有効情報キャリアになった場
合、受信装置７はＰ（Ｘ＝０に対応）かＳ（Ｘ＝１に対
応）のどちらかを測定結果として得たことになるが、そ
れぞれが得られる確率は１／２であり、送信装置１が
「受信装置７がＰかＳのどちらを得たのか」を確定的に
知ることは原理的に不可能である。したがって、受信装
置７は１／２の確率で送信装置１の不正を検出すること
ができる。

【０１００】以上説明した内容を、送信装置１が２Ｎ個
の情報キャリアを送信する本実施形態の場合に一般化す
る。

【０１０１】送信装置１は、Ｎ個の有効情報キャリアの
中のα×Ｎ個（α＜１）に対してビット値Ｚの値を不正
に知ろうと試みるものとする。ここでαは、Ｎ個の有効
情報キャリアの中で送信装置１が不正を仕掛ける情報キ
ャリアの割合である。

【０１０２】受信装置７は送信装置１に対して、ｍ個の
試験ビット全てに係る符号化した２ビット情報（Ｘ，
Ｙ）を開示するように要求する（上記ステップＳ７０５
参照）。

【０１０３】送信装置１は要求にしたがって開示を行わ
なければならない（ステップＳ１０５）。ここで受信装
置７により指定されたｍ個の試験ビットの中に、送信装
置１が不正を施した情報キャリアはおよそα×ｍ個含ま
れることになる。不正を施した各々の情報キャリアにつ
いて検出されずに済む確率は１／２なので、α×ｍ個の
情報キャリアの全てについて不正を検出されずに済む確
率Ｐ_１は、およそ

【数６】 となり、この値は試験ビットの個数ｍを大きくすれば指
数関数的に零に漸近していく。このことは、Ｎ（〜２
ｍ）の値を増やしていけばＰ_１の値をいくらでも指数関
数的に零に近づけることが可能であることを意味する。

【０１０４】結局受信装置７は、時刻ｔ₃において「送
信装置１がビット値Ｚの値を知ること」を有限の確率で
検出し、送信装置１による不正を防止することができ
る。

【０１０５】したがって、以上説明した（２）の過程を
実行することにより、受信装置７から見た場合の情報理
論的な安全性は充分保証されることになる。

【０１０６】（３）受信装置７による秘密証拠供託（量
子ビットコミットメントにおけるコミットメントフェー
ズ） 受信装置７は、全体でＮ個の有効情報キャリアの中から
ｍ個の試験ビットを取り除いたｎ（＝Ｎ−ｍ）個（Ｎ／
２個程度）の有効情報キャリアを秘密証拠供託用ビット
とする。

【０１０７】以下、受信装置７が前記ｎ個の秘密証拠供
託用ビットからなるｎ桁のビット列のいずれかに対応付
けて１ビット情報Ｗ（∈｛０，１｝）を秘密情報として
符号化し、送信装置１に対してＷに関連する情報を秘密
証拠として供託する処理（量子ビットコミットメントの
コミットメントフェーズに相当）について説明する。

【０１０８】Ｎ個の有効情報キャリアの中からｍ個の試
験ビットを取り除いた段階では、各々の秘密証拠供託用
ビットに対応するビット値Ｚからなるｎ桁のビット列は
乱数である。

【０１０９】受信装置７は、送信装置１が不正を行って
いないことを確認後、ｎ桁の秘密証拠供託用ビット列を
並び替えて有意なｎ桁の符号語を符号化部７５で作成す
る（ステップＳ７１５）。ここでの不正検出については
後述する。

【０１１０】各々の秘密証拠供託用ビットに対応するビ
ット値Ｚの値は送信装置１にはほとんど知られていない
ため、並び替えの方法を送信装置１に開示しても送信装
置１は受信装置７が意図した符号語を知ることはできな
い。

【０１１１】受信装置７は符号化部７５において、ｎ個
の秘密証拠供託用ビットからなるビット値Ｚについての
ｎ桁のビット列に、秘密証拠供託の対象となる１ビット
情報Ｗを符号化するにあたり、ランダム要素線形組織化
符号系Ｇを導入する。

【０１１２】ランダム要素線形組織化符号系Ｇは、符号
長ｎ、情報記号数ｋを有し、その生成行列はｋ×ｎ行列
である。この行列の行列要素はランダムに０か１かの二
値であるとする。

【０１１３】このような二値ランダム生成行列によって
生成されるランダム要素線形組織化符号系Ｇにおいて、
符号語間のハミング距離が少なくともｄ以上である確率
Ｐ₂の値は、条件

【数７】 が充たされている限り、

【数８】 であることが知られている。ここでＨ（ｘ）＝−ｘlog₂
ｘ−（１−ｘ）log₂（１−ｘ）（０≦ｘ≦１）はシャノ
ンエントロピーであり、ｕは１以下の正の数である（こ
の性質ついては、例えば、F. J. MacWilliams and N.
J. A. Sloane, TheTheory of Error-Correction Codes
(North-Holland, 1977）を参照）。

【０１１４】この性質によれば、符号長ｎを長くするこ
とによってハミング距離が最小符号語間距離ｄ以上であ
る確率を指定関数的に１に近づけることが可能になる
（式（８）参照）。

【０１１５】そこで、例えばｋ／ｎ＝０．４，ｕ＝０．
１とすると、ハミング距離の値が最小符号語間距離ｄを
下回る確率（１−Ｐ₂）を２^-0.1nに抑えることができ
る。ｎの値が１０００であればこの値は２^-100となるの
で、この場合のハミング距離はｄであるとみなしてよ
い。

【０１１６】ランダム要素線形組織化符号系Ｇは全部で
２^k個の符号語からなる（各要素は２^n-k個）が、受信装
置７と送信装置１は予めこれらの符号語の集合を二つの
副集合Ｃ₁とＣ₂とに分類し、副集合Ｃ₁に属する符号語
はビット値Ｗの値が“０”、副集合Ｃ₂に属する符号語
はビット値Ｗの値が“１”、にそれぞれ対応するもので
あることを取り決めておく。

【０１１７】このようにして受信装置７は、送信装置１
に対しビット値Ｗの値として０を秘密証拠供託する場合
には、並び替えられたｎ桁のビット列が、ランダム線形
組織化符号系Ｇに属する２^k個の符号語のうち、副集合
Ｃ₁に属する符号語の中のいずれか一つを表現するよう
にし、送信装置１にビット値Ｗの値として１を秘密証拠
供託する場合には、並び替えられたｎ桁のビット列が、
副集合Ｃ₂に属する符号語の中のいずれか一つを表現す
るようにする（以上ステップＳ７１７）。

【０１１８】受信装置７は、ｎ個の有効情報キャリアに
対する並び替えの方法を、各々の秘密証拠供託用ビット
Ｚの値は秘密にしたままで古典通信チャネル５を介して
送信装置１に供託することにより、ビット値Ｗの値を秘
密情報として送信装置１に秘密証拠供託する（ステップ
Ｓ７１９、ｄ３１）。

【０１１９】送信装置１は、上記並び替えの方法を秘密
証拠として受信し、記録部１４で記録する（ステップＳ
１０７）。

【０１２０】（４）受信装置７による秘密情報開示と送
信装置１による検査・照合（量子ビットコミットメント
における開示フェーズ） 送信装置１は受信装置７に、ｎ個の有効情報キャリアに
対してそれぞれ選択されたＺの値に加えて、Ｚ＝０であ
れば測定したビット値Ｘの値を、Ｚ＝１であれば測定し
たビット値Ｙの値を開示するように要求する（ステップ
Ｓ１０９、ｄ４１）。

【０１２１】受信装置７は、秘密証拠を供託したビット
値Ｗの値を、秘密証拠供託後の時刻ｔ₄（＞ｔ₃)におい
て送信装置１に開示する。その際には、ｎ個の有効情報
キャリアの各々についてビット値Ｚの値も開示するとと
もに、ビット値Ｚが０であれば時刻ｔ₂において読み出
したビット値Ｘの値を、ビット値Ｚが１であれば時刻ｔ
₂において読み出したビット値Ｙの値を開示する（ステ
ップＳ７２１、ｄ４３）。

【０１２２】送信装置１は、ｎ個の有効情報キャリアの
各々について、受信装置７により開示されたビット値Ｘ
もしくはＹの値が、送信装置１が時刻ｔ₁において符号
化したビット値ＸもしくはＹの値とそれぞれ一致してい
るかどうかの照合を照合部１６で行うことにより、開示
されたビット値Ｗの値が秘密証拠供託されたビット値Ｗ
の値から変更されていないと判定し、処理を終了する
（ステップＳ１１１、１１３、１１５）。

【０１２３】ステップＳ１１１における照合の結果が一
致しなかった場合には、処理を中断する（ステップＳ１
１７）。

【０１２４】以上説明した送信装置１による受信装置７
の不正検出について、より詳細な内容を説明する。

【０１２５】受信装置７が実行する可能性のある不正と
しては、ビット値Ｚの値を測定結果通知後に変更する事
後変更と、情報キャリアを受け取った時点ではＺの選択
をなんら行わず、したがって測定も行わずにしておき、
その後、送信装置１から開示の要求が来たときに初めて
ビット値Ｚの値を選択して測定を実行する遅延選択があ
る。これらの不正をより具体的に説明するために、まず
送信装置１が情報キャリアを一つだけ送る場合を考え
る。

【０１２６】１．事後変更 受信装置７がビット値Ｚの値を後で変更しようとする場
合を考える。受信装置７はＺ＝０で測定後、このビット
値をＺ＝１へ変更したとする。この場合、送信装置１か
らの開示要求に対して受信装置７はＺ＝１およびビット
値Ｙの値を回答しなくてはならない。ところが受信装置
７はＺ＝０で測定を行ったため、ビット値Ｘの値は得て
いるものの、不確定性原理によりビット値Ｙの値につい
ては何も知ることができない（上記（１）の過程を参
照）。

【０１２７】したがって、Ｙの値を回答するときには適
当に０か１かを推測しなくてはならなくなる。

【０１２８】受信装置７の推測が正しい確率は１／２な
ので、送信装置１は確率１／２で「受信装置７がＺの値
を変更する」という不正を検出することができる。

【０１２９】２．遅延選択 受信装置７は、情報キャリアを受け取った時点でＺの選
択をなんら行わず、したがって測定も行わずに受信した
量子状態のままの状態で温存しておき、測定を行ってい
ないにもかかわらず、送信装置１に対して伝送成功であ
ることを通知する。

【０１３０】その後、送信装置１から開示要求が来たと
きに初めてビット値Ｚの値を選択して測定を実行する。

【０１３１】ビット値としてＺ＝０を遅延選択する場合
には、第３の正規直交基底を選択して測定を行い、他方
Ｚ＝１を遅延選択する場合には、第４の正規直交基底を
選択して測定を行う。

【０１３２】ところが上記（１）の過程でも説明したよ
うに、Ｚについていずれの値を選択するにせよ、受信装
置７がビット値ＸまたはＹの値を測定できる確率は１／
２にすぎない（図４および図５参照）。換言すれば、受
信装置７がビット値Ｚの遅延選択に成功する確率は１／
２であり、ＸもしくはＹのビット値について判定不能な
測定結果が出た場合には、これらのビット値を適当に推
測しなければならなくなる。この推測が正しい確率も１
／２である。

【０１３３】以上により、遅延選択という不正を試みる
受信装置７に対しても、送信装置１は有限の確率１／４
（＝１／２×１／２）で不正を検出することが可能にな
る。

【０１３４】３．複数の情報キャリアを送る場合に受信
装置７が行う不正の検出 以上説明した内容を、送信装置１が２Ｎ個の情報キャリ
アを送信する本実施形態の場合に一般化する。

【０１３５】受信装置７は、ｎ（＝Ｎ−ｍ）個の秘密証
拠供託用ビットの中のβ×ｎ個（β＜１）の情報キャリ
アの各々に対してビット値Ｚの変更を試みるか、もしく
は遅延選択を行うものとする。ここでβは、ｎ個の秘密
証拠供託用ビットの中で受信装置７が不正（事後変更ま
たは遅延選択）を試みる情報キャリアの割合である。

【０１３６】送信装置１は受信装置７に対して、ｎ個の
秘密証拠供託用ビットの全てについて各々受信時に選択
したビット値Ｚの値、ならびそのＺの値に応じて測定し
て読み出したビット値ＸまたはＹのうちのいずれかを開
示するように要求する（上記ステップＳ１０９、ｄ４
１）。

【０１３７】受信装置７は要求にしたがって開示を行わ
なければならない（ステップＳ７２１）。前述したよう
に、一つの秘密証拠供託用ビットにつきビット値Ｚの事
後変更が検出されずに済む確率は１／２であり、他方遅
延選択が検出されずに済む確率は３／４なので、不正を
施したβ×ｎ個の秘密証拠供託用ビットの全てについて
事後変更による不正が検出されないで済む確率Ｐ₃は、
およそ

【数９】 となり、他方遅延選択による不正が検出されないで済む
確率Ｐ₄は、およそ

【数１０】 となる。

【０１３８】式（９）および式（１０）より、事後変更
及び遅延選択のいずれの場合にも、受信装置７の不正が
送信装置１に検出されない確率は、秘密証拠供託用ビッ
トの個数ｎ（〜２Ｎ）に対して指数関数的に零に漸近し
ていくことが分かる。

【０１３９】結局送信装置１は、時刻ｔ₂において受信
装置７が選択したビット値Ｚの値がその後の時刻ｔ₄に
おいて受信装置７によって変更されていないことを確認
するために、古典通信チャネル５を用いて受信装置７に
対して質問を行い、回答を得て、その正否を有限の確率
で判定する。これにより、時刻ｔ₄において受信装置７
が送信装置１に見破られることなくビットＺの値を変更
する不正を防止できる。

【０１４０】したがって、送信装置１が送信する情報キ
ャリアの数２Ｎを増やしていけば、送信装置１から見た
場合の情報理論的な安全性も充分保証されることにな
る。

【０１４１】なお、（２）の過程において説明した受信
装置７が行う不正検出ならびに前述した送信装置１が行
う不正検出では、互いに相手装置の不正を検出し得る確
率がそれぞれパラメータαおよびβで表されていたが、
本実施形態に係る秘密証拠供託方法においては、これら
のパラメータを予め合理的に想定しておくことが可能で
ある。

【０１４２】まず、αについて説明する。本実施形態に
おいては、送信装置１が並び替えられた後の符号語を特
定するためには、ｎ個の秘密証拠供託用ビットのうちの
少なくともｋ個についてＺの値を知る必要がある。その
ためには、予め全体でＮ個の有効情報キャリアのうち
（ｋ／ｎ）×Ｎ個の情報キャリアに対してＺの値を知る
ことが必要である。

【０１４３】したがって、式（６）におけるパラメータ
αの値は、採用したランダム要素線形組織化符号系Ｇに
おける（情報記号数／符号長）であるｋ／ｎで与えられ
る。上記のランダム要素線形組織化符号系Ｇの場合に想
定されるαの値は０．４程度である。

【０１４４】この場合、不正を試みた送信装置１が、受
信装置７に検出されずに並び替えられた符号語を特定し
て秘密証拠供託された１ビット情報Ｗの値を知ることが
できる確率は（１／２）^0.4m程度となる。試験ビットの
個数ｍは全有効情報キャリア数Ｎに比例するため、Ｎを
大きくすれば指数関数的にこの確率を０に近づけること
ができる。

【０１４５】次にβについて説明する。本実施形態にお
いては、前述したように符号語間の最小距離がｄである
ため、受信装置７がビット値Ｗの値を事後変更するため
には、少なくともｄ個の秘密証拠供託用ビットの各々に
ついて符号化されたビット値Ｚの値を変更しなければな
らない。

【０１４６】よって式（９）及び式（１０）におけるパ
ラメータβの値は、採用したランダム要素線形組織化符
号系Ｇにおける（最小符号語間距離／符号長）であるｄ
／ｎで与えられる。上記のランダム要素線形組織化符号
系Ｇでは、βの値として０．１程度が想定される。

【０１４７】この想定値を用いると、不正を試みた受信
装置７が送信装置１に検出されずに１ビット情報Ｗの値
の事後変更に成功する確率Ｐ₃は（１／２）^0.1nとな
り、他方送信装置１に検出されずに１ビット情報Ｗの遅
延選択に成功する確率Ｐ₄は（３／４）^0.1nとなる。秘
密証拠供託用ビットの個数ｎは全有効情報キャリア数Ｎ
に比例しているため、受信装置７が不正を試みる場合に
もＮを大きくすれば指数関数的にこれらの確率をいくら
でも０に近づけることができる。

【０１４８】なお、例え受信装置７が送信装置１の不正
を検出したとしても、秘密証拠供託の対象である１ビッ
ト情報Ｗの値が送信装置１に知られてしまう恐れは皆無
である。なぜならば、受信装置７は、送信装置１による
不正がないことを確認した上で初めて、符号語を構成す
るためのｎ桁の二値乱数の並べ替えの方法を送信装置１
に供託すれば充分であるからである。

【０１４９】このように本実施形態に係る秘密証拠供託
方法においては、二つのパラメータαとβの値が予め合
理的に想定されるため、受信装置７を供託者装置とし送
信装置１を被供託者装置とした１ビット情報Ｗの量子ビ
ットコミットメントを、それらの想定値に基づいて情報
理論的に充分な安全性を保ちつつ実現することができ
る。

【０１５０】以上説明した本発明の一実施形態によれ
ば、受信装置７が送信装置１に対して「所定の情報Ｗ
（秘密情報）の内容が既に確定していること」を証拠づ
けるに足る情報（秘密証拠）を秘密情報Ｗの内容を秘密
にしたまま提供し、時間が経過して後に受信装置７が秘
密情報Ｗの内容を開示するときに「秘密情報Ｗの内容が
変更されていないこと」を送信装置１に承認させること
を可能にする信頼性の高い秘密証拠供託を実現すること
ができる。

【０１５１】また本実施形態によれば、「量子ビットコ
ミットメントの不可能定理」における前提条件、すなわ
ち情報キャリア送信時に被供託者が秘密証拠供託された
ビット値を知ることが完全に不可能になるように量子状
態が設定されているという条件が満たされていない場合
の秘密証拠供託方法および秘密証拠供託システムを提供
することができる。

【０１５２】

【発明の効果】以上説明した本発明によれば、量子力学
の不確定性原理に基づく量子暗号を利用することによっ
て情報理論的に充分な信頼性を有する秘密証拠供託方法
および秘密証拠供託システムを提供することができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る秘密証拠供託システ
ムの構成を表すブロック図である。

【図２】本発明の一実施形態に係る秘密証拠供託方法の
処理の流れ（情報キャリア送信から受信内容の検査・照
合まで）を説明する説明図である。

【図３】本発明の一実施形態に係る秘密証拠供託方法の
処理の流れ（量子ビットコミットメントに係る処理）を
説明する説明図である。

【図４】受信装置が第３の正規直交基底を用いて測定を
行うときの情報キャリアの送信量子状態／受信測定結果
の量子状態の相関関係を示す説明図である。

【図５】受信装置が第４の正規直交基底を用いて測定を
行うときの情報キャリアの送信量子状態／受信測定結果
の量子状態の相関関係を示す説明図である。

【符号の説明】

１ 送信装置（被供託者装置） ３ 量子通信チャネル ５ 古典通信チャネル ７ 受信装置（供託者装置） １１ キャリア発生部（キャリア発生手段） １２ 符号化部（第１の符号化手段） １３ キャリア送信部（キャリア送信手段） １４、７３ 記録部 １５、７４ 送受信部 １６ 照合部（第１の照合手段） ７１ キャリア受信部（キャリア受信手段） ７２ 測定部（測定手段） ７５ 符号化部（第２の符号化手段） ７６ 照合部（第２の照合手段） １００ 秘密証拠供託システム

Claims (5)

【特許請求の範囲】
1. 【請求項１】 秘密情報を保持する供託者装置が、すで
   に当該秘密情報が確定していることを証拠付けるに足る
   秘密証拠を前記秘密情報は秘密にしたままで被供託者装
   置に供託し、その後前記秘密情報を開示するときに前記
   秘密情報が変更されていないことを前記被供託者装置に
   承認させる秘密証拠供託方法であって、 前記被供託者装置が所定の量子力学的状態を有する複数
   の粒子ないしは粒子系の各々に対して２ビット情報を符
   号化した複数の情報キャリアを発生し、当該複数の情報
   キャリアを、各情報キャリアがそれぞれ有する量子力学
   的状態を物理的に保持したまま伝送する量子通信チャネ
   ルを介して前記供託者装置に送信するステップと、 前記供託者装置が前記複数の情報キャリアを受信し、当
   該複数の情報キャリアに符号化された前記２ビット情報
   のうちの１ビット情報分をそれぞれ測定するステップ
   と、 前記供託者装置が各情報キャリアについて測定した結果
   を記録するとともに前記被供託者装置に対して各情報キ
   ャリアの測定の成否を通知するステップと、 前記供託者装置が測定に成功した複数の有効情報キャリ
   アからランダムに選択した前記有効情報キャリアの各々
   に符号化された前記２ビット情報の開示を前記被供託者
   装置に対して要求するステップと、 前記被供託者装置が前記供託者装置から開示を要求され
   た前記２ビット情報を前記供託者装置に開示するステッ
   プと、 前記供託者装置が前記被供託者装置から開示された前記
   ２ビット情報とこの２ビット情報に該当する前記有効情
   報キャリアの測定結果との照合を行うステップと、 このステップで照合した結果、開示された前記２ビット
   情報とこの２ビット情報に該当する前記有効情報キャリ
   アの測定結果とが一致した場合、前記供託者装置が前記
   有効情報キャリアの一部を選択してその順序を並び替え
   ることによりランダム線形組織化符号系に属する符号語
   を構成し、この符号語のいずれかに秘密情報となる１ビ
   ット情報を対応付けて符号化し、前記有効情報キャリア
   の並び替えの方法を前記秘密証拠として前記被供託者装
   置に供託するステップと、 前記被供託者装置が前記有効情報キャリアの測定結果に
   関する情報の開示を前記供託者装置に対して要求するス
   テップと、 前記供託者装置が前記秘密情報ならびに前記有効情報キ
   ャリアの測定結果に関する情報を前記被供託者装置に対
   して開示するステップと、 前記被供託者装置が前記有効情報キャリアの測定結果と
   前記情報キャリアを発生するときに符号化した前記２ビ
   ット情報との照合を行い、両者が一致した場合には前記
   秘密情報が変更されていないことを承認するステップと
   から構成されることを特徴とする秘密証拠供託方法。
2. 【請求項２】 前記複数の情報キャリアは、 前記被供託者装置において、前記複数の粒子ないしは粒
   子系の各々に対してそれぞれ四つの互いに直交する量子
   力学的状態の組から構成される第１および第２の正規直
   交基底のうちランダムに選択されたいずれか一方に前記
   ２ビット情報が符号化される一方で、 前記供託者装置において、前記第１および第２の正規直
   交基底とは異なる第３および第４の正規直交基底のうち
   ランダムに選択されたいずれか一方に応じて前記情報キ
   ャリアに符号化された２ビット情報のうちの１ビット情
   報分が測定されることを特徴とする請求項１記載の秘密
   証拠供託方法。
3. 【請求項３】 秘密情報を保持する供託者装置が、すで
   に当該秘密情報が確定していることを証拠付けるに足る
   秘密証拠を前記秘密情報は秘密にしたままで被供託者装
   置に供託し、その後前記秘密情報を開示するときに前記
   秘密情報が変更されていないことを前記被供託者装置に
   承認させる秘密証拠供託システムであって、 所定の量子力学的状態を有する複数の粒子ないしは粒子
   系の各々に対して２ビット情報を符号化した複数の情報
   キャリアを前記供託者装置に送信する一方で、前記複数
   の情報キャリアのうち送信に成功した有効情報キャリア
   の一部に対して符号化される前記秘密情報に関する前記
   秘密証拠を前記被供託者装置から供託された後、前記被
   供託者装置から前記秘密情報ならびに前記有効情報キャ
   リアの測定結果に関する情報の開示を受け、当該秘密情
   報と前記有効情報キャリアの測定結果に基づいて前記秘
   密情報が変更されていないことを承認する前記被供託者
   装置と、 この被供託者装置から送信される前記情報キャリアの量
   子力学的状態を物理的に保持したまま伝送する量子通信
   チャネルと、 この量子通信チャネルを介して前記複数の情報キャリア
   を受信し、当該複数の情報キャリアに符号化された情報
   を測定し、測定に成功した前記有効情報キャリアの一部
   から構成される符号語のいずれかに秘密情報となる１ビ
   ット情報を対応付けて符号化し、前記符号語の構成に関
   する情報を前記秘密証拠として前記被供託者装置に供託
   した後、前記秘密情報を前記被供託者装置に開示する前
   記供託者装置と、 この供託者装置と前記被供託者装置との間で送受信され
   る前記情報キャリア以外の情報の伝送を行う古典通信チ
   ャネルとを備えたことを特徴とする秘密証拠供託システ
   ム。
4. 【請求項４】 前記被供託者装置は、 前記複数の粒子ないしは粒子系を発生するキャリア発生
   手段と、 このキャリア発生手段で発生された前記複数の粒子ない
   しは粒子系の各々に対して前記２ビット情報を符号化す
   る第１の符号化手段と、 この第１の符号化手段で前記２ビット情報が符号化され
   た複数の情報キャリアを送信するキャリア送信手段と、 前記有効情報キャリアを前記第１の符号化手段で符号化
   したときの前記２ビット情報と前記供託者装置から受信
   した前記有効情報キャリアの測定結果の照合を行う第１
   の照合手段とを備えた一方で、 前記供託者装置は、 前記被供託者装置から前記量子通信チャネルを介して送
   られてくる前記複数の情報キャリアを受信するキャリア
   受信手段と、 各情報キャリアが有する量子力学的状態から前記２ビッ
   ト情報のうちの１ビット情報分を測定する測定手段と、 この測定手段で測定した前記１ビット情報と、その後前
   記被供託者装置から前記古典通信チャネルを介して開示
   された前記情報キャリアに符号化された２ビット情報と
   の照合を行う第２の照合手段と、 前記有効情報キャリアの一部を並べ替えてランダム線形
   組織化符号系に属する符号語を構成し、この符号語のい
   ずれかに秘密情報となる１ビット情報を対応付けて符号
   化する第２の符号化手段とを備えたことを特徴とする請
   求項３記載の秘密証拠供託システム。
5. 【請求項５】 前記第１の符号化手段は、前記複数の粒
   子ないしは粒子系の各々に対してそれぞれ四つの互いに
   直交する量子力学的状態の組から構成される第１および
   第２の正規直交基底のうちいずれか一方をランダムに選
   択して前記２ビット情報を符号化する一方、 前記測定手段は、前記第１および第２の正規直交基底と
   は異なる第３および第４の正規直交基底のうちいずれか
   一方をランダムに選択して前記情報キャリアに符号化さ
   れた２ビット情報のうちの１ビット情報分を測定するこ
   とを特徴とする請求項４記載の秘密証拠供託システム。