JP2008294946A - 量子暗号通信システムおよび方法 - Google Patents

Abstract

【課題】ビット誤りの判別とは異なる方法で、なりすまし盗聴を判別する量子暗号通信システムおよび方法を提供する。
【解決手段】送信機（３１０）は、一定の時間間隔の光パルス列を位相変調し、位相変調された光パルス列を、光子数がほぼ１のおとりパルスを含む、パルス当の平均光子数が１光子未満の光パルス列として送出するとともに、おとりパルスの時間位置の情報を送信する。受信機（３３０）は、受信した光パルス列を分岐し、第１の光パルス列を上記一定の時間間隔だけ遅延させ、遅延させた第１の光パルス列と第２の光パルス列を合波し、合波後の光パルス列の相対的位相差が０である場合に第１の光子検出器で光子を検出し、πである場合に第２の光子検出器で光子を検出するとともに、おとりパルスの時間位置の情報を受信し、おとりパルスの時間位置に該当する時間スロットの近傍のパルスの光子検出率が所定の値と異なっていた場合には、盗聴ありと判断する。
【選択図】図５

Description

本発明は、送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムおよび方法に関し、より詳細には、位相変調した光パルス列の相対的位相差を利用して、安全な暗号鍵を供給する量子暗号通信システムおよび方法に関する。

従来、暗号技術としては数式の数学的な計算困難性（例えば、解読のための計算に膨大な時間がかかる）を基礎にした暗号方式が使用されてきたが、最近では、光子１個レベルの光を用いることにより、物理的に安全性が保証された量子暗号通信の研究が進められている。

量子暗号は、量子力学の理論を用いた暗号技術であって、盗聴しても内容が無意味なものになってしまい、かつ盗聴されたことが分かる究極の暗号技術として知られている。

量子通信の分野では、互いに離れた地点に存在する２者間で暗号通信を行うための秘密鍵を供給するシステムが知られており、そのシステムは、量子鍵配送システムとも呼ばれている。量子鍵配送には、各種方式が存在するが、本明細書では従来技術として、「差動位相シフト量子鍵配送方式」について説明する。

図１は、従来技術の「差動位相シフト量子鍵配送システム」の基本構成を示す。送信機１１０は、０またはπで任意にランダムに位相変調した一定間隔のコヒーレント光パルス列を、パルス当り平均１光子未満（例えば、０．１光子／パルス）で伝送路１２０に送出する。平均光子数１個未満という状態は、通常のレーザ光を大きく減衰させることにより実現することができる。

このような光パルス列を光子検出する場合、あるパルスでは光子が検出され、あるパルスでは何も検出されないという検出結果となる。どのパルスで光子が検出されるかは、測定するまで不確定である。

図１に示すように、送信機１１０から送出された光パルス列は、伝送路１２０を介して受信機１３０に到達する。まず、受信機１３０では、光分岐手段１３１を使用して、送信機１１０から受信した光パルス列をエネルギー的に等分になるよう２つに分岐し、分岐した各光パルス列を長経路１３２および短経路１３３に送出する。長経路１３２では、光パルス列に一定の遅延（時間Ｔとする）を加える。その後、長経路１３２および短経路１３３を通った光パルス列は、２×２合波カップラ１３４において再び合波する。２×２合波カップラ１３４は、２つの入力端子（長経路および短経路にそれぞれ接続されている）を備え、長経路および短経路を通った光パルス列を受け入れる。また、２×２合波カップラ１３４は、２つの出力端子も備え、それぞれの出力端子は、第１の光子検出器１３５、および第２の光子検出器１３６に接続される。

上記の長経路１３２で一方の光パルス列に与えられる一定の遅延時間Ｔは、送信機１１０から伝送路１２０を介して受信機１３０に入力される光パルス列の一定間隔Ｔに等しいものと仮定すると（図１においてＴで示す）、２×２合波カップラ１３４では、前後のパルスが重なり合って合波される。パルスが重なり合う様子は、図１の受信機１３０のブロック内の下方に図示している。

受信機１３０に入力された光パルス列は、上述したように、０またはπで位相変調されている。したがって、受信機１３０内の分岐・合波経路１３１−１３４の伝播位相が適切であれば、重なり合うパルスの位相差は０またはπとなる。

２×２合波カップラ１３４での合波の結果、両パルスは干渉し、位相差が０ならば第２の光子検出器１３６が光子を検出し、位相差がπならば第１の光子検出器１３５が光子を検出することになる。

上記の構成を用いて、送信機１１０と受信機１３０は、以下の手順により秘密鍵を得る。

まず、受信機１３０は、上記の構成により送信機１１０から送出され、伝送路１２０を経たパルスから光子を検出する。この際、受信機１３０は、光子を検出した時刻と光子検出器とを記録する。所定の数の光子が受信された後、受信機１３０は送信機１１０に対して光子が検出された時刻（光子検出時刻）を、通常上記の伝送路１２０とは異なる通信路（図示しない）を介して通知する。

送信機１１０は、受信機１３０から通知された光子検出時刻と、送信機自身が有する位相変調データとから、受信機１３０が第１の光子検出器１３５または第２の光子検出器１３６のいずれかで光子を検出したかを知ることができる。

そこで、第１の光子検出器１３５で光子を検出した場合をビット「０」、第２の光子検出器１３６で光子を検出した場合をビット「１」と予め取り決めておけば、送信機１１０と受信機１３０は、双方で同じビット列を得ることができる。

上記手順においては、受信機１３０から送信機１１０へ通知されるのは光子検出時刻のみであるため、ビット情報は受信機１３０の外部に出ることはなく、盗聴されることはない。

一方、従来の量子鍵配送システムに対する、さらに高度な盗聴法である、なりすまし法と呼ばれる方法がある。図２は、従来技術である、なりすまし盗聴の説明図である。盗聴機（盗聴者）１４０は、伝送路１２０の途中で、送信機（送信者）１１０によって送出された伝送信号を本来の受信機（受信者）１３０と同様の機器構成で受信し、その受信結果に基づいてダミー信号を本来の受信機１３０に光送信機１４７を用いて送信する。盗聴機（盗聴者）１４０が送信機１１０からの伝送信号を正しく受信できれば、ダミー信号は元の送信信号と同一であり、受信機１３０に盗聴行為が気付かれないようにして情報を得ることができる。

しかしながら、上述の「差動位相シフト量子鍵配送システム」においては、送信機１１０からの送信信号はパルス当り平均１光子未満（例えば０．１光子／パルス）の光パルス列であるため、このような送信信号を受信しても、平均１０パルスに１回しか光子は検出されない。

したがって、盗聴機（盗聴者）１４０は、光子を検出した時刻に対応する２つのパルスの位相差は分かるが、それ以外の場合の位相差は検出できない。盗聴機（盗聴者）１４０がこのような検出結果に基づいてダミー信号を送ろうとすると、位相差が検出できなかったパルスについては、当て推量で選んだ位相を割り振って再送するか（なりすまし盗聴１）、何も信号を出さないか（なりすまし盗聴２）、のいずれかの方法を採るしかない。

前者の場合（なりすまし盗聴１）、当り推量で選んだ位相差を受信機１３０が検出した際、送信機１１０が送った信号と異なる可能性が高い。後者の場合（なりすまし盗聴２）、やはり信号の不一致が生じる。その理由は、この場合の盗聴機（盗聴者）１４０が送るのは光子を検出した時刻に対応する連続する２パルスを含むパルス列であるが、孤立した連続する２つのパルス以外は空のパルスだからである。つまり、孤立した連続する２つのパルスを受信機１３０が受信すると、分岐・合波回路１３１−１３４から出力される段階では３つの時刻で光子が検出され得る。

この３つの時刻で光子が検出される様子は、図２の受信機１３０のブロック内の下方に図示している。図２を参照して説明すると、図２では、光分岐手段１３１によって分岐された光パルス列のうち、遅延されない光パルス列（受信機内の光パルス列のうち、下に記載されている光パルス列）と遅延された光パルス列（受信機内の光パルス列のうち、上に記載されている光パルス列）を時系列的（右側が時間的に先）に図示している。

図２において、両光パルス列が重なる時刻は３つ示されているが、そのうちの真ん中の時刻（第２の時刻と呼ぶ）ｔ₂で光子が検出された場合には、その検出結果は２つのパルスの位相差に従っており、送信機１１０が意図した通りの光子検出器（ＤＥＴ）で光子が検出される。

ところが、２つの光パルス列が重なる時刻のうちの第２の時刻ｔ₂の前後である第１の時刻ｔ₁または第３の時刻ｔ₃で光子が検出される場合には、干渉する相手がいないため、第１の光子検出器１３５または第２の光子検出器１３６で光子が検出されるかは、全く無作為に起こる。

したがって、受信機１３０が第１の時刻ｔ₁または第３の時刻ｔ₃での光子検出結果から秘密鍵ビットを得ると、そのビットは送信機１１０が意図したものとは異なるものになる。

このように、なりすまし盗聴が行われると、送信機１１０および受信機１３０間でビットの不一致（ビット誤り）が生じる。そこで、送信機１１０および受信機１３０は、通常の手順に従って秘密鍵を得た後、いくつかのテストビットを用いて照合検査をする。システムが正常に動作していれば両者のビット情報は一致するが、なりすまし盗聴があれば一致しないビットが発生する。

より具体的には、受信機１３０が第１または第３の時刻で光子検出する確率は１／２であり、そしてこの光子検出から得られるビットが一致しない確率はさらにその１／２であることから、１／４の割合でビット不一致（ビット誤り）となる。ビット誤りがある場合、システムは正常に稼動していないと判断され、その秘密鍵は廃棄される。言い方を変えると、テストビットが一致していれば盗聴行為はなかったと判断することができ、その秘密鍵は安全であることが保証される。

このように、従来、差動位相シフト量子鍵配送システムにおいては、なりすまし盗聴を受けたとしても、送信信号が１パルス当り１光子未満であることにより、盗聴者（盗聴機）１４０は正確なダミー信号を送信できず、不正確なダミー信号により送受信機関でビット誤りが生じ、盗聴の有無を判別することができた（非特許文献１を参照）。

K.Inoue, E.Waks, Y.Yamamoto,「Differential-phase-shift quantum key distribution using coherent light」、2003年、Physical Review A,vol.68,paper number 022317

上述の説明では、送受信機の性能が完全であることを前提として、得られた秘密鍵が安全であることを説明した。しかしながら、実際には送受信機の性能の不完全さのために、システム元来のビット誤りが発生する。

この場合、そのビット誤りに紛れて、鍵の一部が盗聴される可能性がある。例えば、システム元来のビット誤り率がｅであったと仮定する。これに対して盗聴者（盗聴機）は、伝送信号の一部に対してだけ、上述のなりすまし盗聴２（位相差が検出できなかったパルスについては何も信号を出さない）を行うとする。盗聴する割合をｘとすると、それにより発生するビット誤り率は、ｘ×１／４＝ｘ／４である。

ここで、ｘ／４＜ｅ、すなわち、システム元来のビット誤り率の方が盗聴により発生するビット誤り率より高い場合には、送信機および受信機では、このシステム元来のビット誤りによる揺らぎと盗聴による誤り増加との区別がつかず、盗聴に気づくことが困難である。すなわち、割合ｘに該当する分の鍵情報は、送信機および受信機が気付くことなく盗聴者によって盗まれる可能性がある。

実際の装置では、送信機および受信機の不完全さによるビット誤りの発生は避けられない。特に、量子鍵配送システムの場合、１光子が情報伝搬の担い手であるため、通常のデジタル光通信系のように光子の多寡により「０」「１」を判別するという手法をとることができず、ビット誤りが起きやすい。

したがって、上述のように盗聴によるビット誤りと、このシステム元来のビット誤りが区別できない場合、盗聴に気づきにくいため、なりすまし盗聴により鍵の一部が盗まれる可能性が高い。

これを防ぐには、ビット誤りに頼らずに、なりすまし盗聴を発見できるシステムが望まれる。

本発明は、このような問題に鑑みてなされたもので、その目的とするところは、ビット誤りの判別とは異なる方法で、なりすまし盗聴を判別する量子暗号通信システムおよび方法を提供することにある。

上記目的を達成するため、本発明のシステムは、送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおいて、前記送信機は、一定の時間間隔の連続パルスからなる光パルス列を送出する光源と、前記光パルス列を０またはπで位相変調する位相変調器と、位相変調された前記光パルス列を、パルス当の平均光子数が１光子に近いおとりパルスを含む、パルス当の平均光子数が１光子未満の光パルス列として送出する減衰手段と、前記おとりパルスの時間位置の情報を送信する通信手段とを備え、前記受信機は、前記送信機から送出された前記光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する分岐手段と、前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔と等しい時間だけ遅延させる遅延手段と、前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成する合波手段と、前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差が０である場合に光子を検出する第１の光子検出手段と、前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差がπである場合に光子を検出する第２の光子検出手段と、前記おとりパルスの時間位置の情報を受信する通信手段と、前記合波手段で合波後の前記光パルス列のうち、前記送信機から受信した前記おとりパルスの時間位置に該当する時間スロットの近傍のパルスの光子検出率を検出し、これら光子検出率が所定の値と異なっていた場合には、盗聴ありと判断する盗聴検知手段とを備えていることを特徴とする。

ここで、前記受信機は、前記送信機から受信した前記おとりパルスの時間位置の情報と、前記第１の光子検出手段および前記第２の光子検出手段から得られた光子検出信号の事象とから、光子を検出した事象が、（a）信号パルス同士が重なり合った時間スロットのものなのか、（ｂ）信号パルスと前記おとりパルスが重なった時間スロットのものなのか、を判定する判定手段を有し、前記判定手段の判定結果に従い、前記送信機と前記受信機は、信号パルス同士の干渉から起こった光子を検出した事象について、前記第１の光子検出手段による光子検出のものであればビット「０」を、前記第２の光子検出手段による光子検出のものであればビット「１」を付与し、これらビットを秘密鍵ビットとする。

また、前記受信機は、前記盗聴検知手段が盗聴ありと判断した場合には、前記秘密鍵ビットを破棄するとともに、盗聴ありを示す情報を前記送信機に通知し、該送信機は該通知を受けた場合は、前記秘密鍵ビットを破棄する。

上記目的を達成するため、本発明の方法は、送信側から受信側へ量子暗号鍵を配送する量子暗号通信方法において、０またはπで位相変調された一定の時間間隔で連続する光パルス列を、パルス当の平均光子数が１光子に近いおとりパルスを含む、パルス当の平均光子数が１光子未満の光パルス列として送出するステップと、前記おとりパルスの時間位置の情報を送信するステップと、送出された前記光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐し、前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔と等しい時間だけ遅延させ、遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成するステップと、合波後の前記パルスの相対的位相差が０である場合に光子を検出して光子検出信号を出力するステップと、合波後の前記パルスの相対的位相差がπである場合に光子を検出して光子検出信号を出力するステップと、前記おとりパルスの時間位置の情報を受信するステップと、合波後の前記光パルス列のうち、受信した前記おとりパルスの時間位置に該当する時間スロットの近傍のパルスの光子検出率を検出し、これら光子検出率が所定の値と異なっていた場合には、盗聴ありと判断するステップとを有することを特徴とする。

ここで、受信した前記おとりパルスの時間位置の情報と、前記光子検出信号の事象とから、光子を検出した事象が、信号パルス同士が重なり合った時間スロットのものなのか、信号パルスと前記おとりパルスが重なった時間スロットのものなのか、を判定するステップをさらに有する。

上記目的を達成するため、本発明の送信機は、送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおける送信機において、一定の時間間隔の連続パルスからなる光パルス列を送出する光源と、前記光パルス列を０またはπで位相変調する位相変調器と、位相変調された前記光パルス列を、パルス当の平均光子数が１光子に近いおとりパルスを含む、パルス当の平均光子数が１光子未満の光パルス列として送出する減衰手段と、前記おとりパルスの時間位置の情報を送信する通信手段とを備えていることを特徴とする。

上記目的を達成するため、本発明の受信機は、送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおける受信機において、前記送信機から送出された光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する分岐手段と、前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔と等しい時間だけ遅延させる遅延手段と、前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成する合波手段と、前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差が０である場合に光子を検出する第１の光子検出手段と、前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差がπである場合に光子を検出する第２の光子検出手段と、前記送信機から送信されたパルス当の平均光子数が１光子に近いおとりパルスの時間位置の情報を受信する通信手段と、前記合波手段で合波後の前記光パルス列のうち、前記送信機から受信した前記おとりパルスの時間位置に該当する時間スロットの近傍のパルスの光子検出率を検出し、これら光子検出率が所定の値と異なっていた場合には、盗聴ありと判断する盗聴検知手段とを備えていることを特徴とする。

ここで、前記送信機から受信した前記おとりパルスの時間位置の情報と、前記第１の光子検出手段および前記第２の光子検出手段から得られた光子検出信号の事象とから、光子を検出した事象が、信号パルス同士が重なり合った時間スロットのものなのか、信号パルスと前記おとりパルスが重なった時間スロットのものなのか、を判定する判定手段を有し、前記判定手段の判定結果に従い、信号パルス同士の干渉から起こった光子を検出した事象について、前記第１の光子検出手段による光子検出のものであればビット「０」を、前記第２の光子検出手段による光子検出のものであればビット「１」を付与し、これらビットを秘密鍵ビットとする。

また、前記受信機は、前記盗聴検知手段が盗聴ありと判断した場合には、前記秘密鍵ビットを破棄するとともに、盗聴ありを示す情報を前記送信機に通知する。

上記構成により、本発明によれば、平均光子数１個未満の連続したパルス列を送出する系において、１パルスの平均光子数が１光子に近い「おとりパルス」を含む光パルス列を送信し、受信機側では、おとりパルスの近傍パルスの光子検出率を検出して、それらの光子検出率が所定の値と異なっていた場合には、盗聴ありと検知するので、装置の不完全さに由来するビット誤りがある中でも、本発明の課題であるビット誤りに頼ることなく、盗聴を確実に発見することができる。

以下、図面を参照して本発明の実施の形態を詳細に説明する。

図３は、本発明の一実施形態における量子暗号通信システムを示す構成図である。図３において、送信機３１０は、一定の時間間隔Ｔのパルスからなる光パルス列を送出する光源３１１、その光パルス列を０またはπで位相変調する位相変調器３１２、位相変調された光パルス列を、光子数がおよそ１であるパルスを含む、パルス当の平均１光子未満の光パルス列として送出する減衰手段３１３、および制御部（ＣＰＵ１）３１４を備える。

光源３１１は、位相変調器３１２に接続されている。また、位相変調器３１２は、減衰手段３１３に接続されている。すなわち、光源３１１と減衰手段３１３の間には、位相変調器３１２が存在する。

制御部３１４は、送信機全体の主制御を行う。送信機３１０は、また、光源３１１、位相変調器３１２、減衰手段３１３、および制御部３１４の制御プログラム等を格納したＲＯＭ（図示せず）の他、各種データを保管し、また一時ワークステーションとして利用するＲＡＭ等のメモリ（図示せず）を備える。このような構成により、制御部３１４は、送信機全体の主制御を行うことができる。

光源３１１は、一定の時間間隔Ｔで光パルス列を送出し、該光パルス列は位相変調器３１２に入力される。位相変調器３１２は、光源３１１から入力された光パルス列に含まれる各パルスを０またはπで位相変調した後、減衰手段３１３に該光パルス列を受け渡す。すなわち、その光パルス列に含まれるパルスのそれぞれの位相は、０またはπである。

減衰手段３１１は、例えば、ＮＤフィルタ（Neutral Density Filter：減光フィルタ）等、レーザ光などの光源から入射される光を大きく減衰させることができる手段であれば、いずれの素子やデバイスを用いても構わない。

後述する「おとりパルス」を随意自在に挿入するためには、この減衰手段３１１と光強度変調器を組み合わせて利用することも有効である。本発明では、減衰手段３１１を用いることで、パルス当り平均１光子未満の光パルス列を送信機３１０から送出するが、パルス当り１光子未満の光パルス列は、通常のレーザ光を大きく減衰させ、平均光子数１未満という状態を実現することができる。より詳細に説明すると、本発明で言う「パルス当り１光子未満の光パルス列」とは、所定の数の光パルス列であって、光子数が約１個であるおとりパルスを含み、かつ、おとりパルス以外の光パルスに含まれている光子の数がパルスの数よりも少ない状態のことを指す。

また、本実施形態では、「おとりパルス」とは、光子数が約１個であるパルスのことを指す。光源３１１は、一定時間間隔Ｔで光パルス列を送出するが（この時点では、各パルスが含む光子数は均等である）、この光パルス列は減衰手段３１３を通ることにより、光子数が各パルス均等に平均１光子未満であるパルス列に対して、ときおり平均光子数が約１個であるパルスが挿入されたパルス列が生成される。本発明では、このような平均よりも光子確率の大きいパルスを盗聴検出に用いるため、「おとりパルス」と定義する。

その後、送信機３１０は、減衰手段３１０を通った光パルス列を、伝送路３２０を介して受信機３３０に送出する。

受信機３３０は、送信機から送出された光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する光分岐手段（Ｃ１）３３１、第１の光パルス列を上記の一定の時間間隔Ｔと等しい時間だけ遅延させる遅延手段である長経路３３２、第２の光パルス列を通過させる短経路３３３、遅延させられた第１の光パルス列と第２の光パルス列を合波して、合波後の光パルスを生成する２×２合波カップラ（Ｃ２）３３４、遅延させられた第１の光パルス列と第２の光パルス列の相対的位相差が０である場合に光子を検出する第１の光子検出器３３５、遅延させられた第１の光パルス列と第２の光パルス列の相対的位相差がπである場合に光子を検出する第２の光子検出器３３６、および制御部（ＣＰＵ２）３３７を備える。

光分岐手段３３１は、長経路３３２および短経路３３３に接続されている。２×２合波カップラ３３４は、入力端子および出力端子がそれぞれ２つずつ備わっており、その入力端子は長経路３３２および短経路３３３に接続されており、その出力端子は第１の光子検出器３３５および第２の光子検出器３３６に接続されている。２×２合波カップラ３３４は、一方の入力端子で長経路３３２からの光パルス列を受信し、他方の入力端子で短経路３３３からの光パルス列を受信する。その後、２×２合波カップラ３３４は、２つの光パルス列の位相差がπの場合には一方の出力端子から第１の光子検出器３３５に光子を出力し、２つの光パルス列の位相差が０の場合には他方の出力端子から第２の光子検出器３３６に光子を出力する特性を有する。ただし、合波される一方がおとりパルスである場合には、光子確率が均等ではないため、必ずしも位相差に従って出力されるわけではない。

受信機３３０については、制御部（ＣＰＵ２）３３７が受信機全体の主制御を行う。受信機３３０が、制御部３３７の制御プログラム等を格納したＲＯＭ（図示せず）や送信機３１０の有するメモリと同様の機能を果たすメモリ（図示せず）を有する点も送信機３１０と同様である。

受信機３３０へ入力された光は、光分岐手段３３１により長経路３３２および短経路３３３にエネルギー的に等分（例えば、５０対５０）にそれぞれ分岐される。長経路３３２に分岐された光パルス列は、一定の遅延時間Ｔだけ遅延させられた後、２×２光合波カップラ３３４で短経路３３３を通った光パルス列と再び合波される。ここで、一定の遅延時間Ｔは、図３の伝送路３２０の上方に図示したように、入力された光パルス列のパルス間隔Ｔに等しいものとする。図３に示すパルス列は、３番目のパルスがおとりパルスである例を示している。

以上の構成において、送信機３３０は、０またはπで任意（随意自在の他、ランダムを含む）に位相変調した一定時間間隔（パルス間隔）Ｔの光パルス列を、パルス当り平均１個光子未満（例えば、０．１光子／パルス）で、受信機３３０に対して送出する。

以下の説明では、説明の便宜上、上記の条件で説明するが、本発明を上記条件に限定するという意図ではない。

受信機３３０は、光伝送路３２０を経て送信機３１０から伝送されてきた光パルス列を、光分岐手段３３１において受け取る。光分岐手段３３１によって長経路３３２および短経路３３３にエネルギー的に等分（例えば、５０対５０）にそれぞれ分岐された光パルス列は、２×２合波カップラ３３４で合波され、合波された光パルス列は、後述するようにパルス間の位相差にしたがって第１の光子検出器３３５、または第２の光子検出器３３６によって検出される。

上記のように受信機３３０の回路を構成すると、受信機３３０の２×２合波カップラ３３４では、前後のパルスが重なり合い、干渉を起こす。すなわち、送信機３１０から送出された光パルス列の各パルスは一定の時間間隔Ｔで送出されており、また長経路３３２を通った光パルス列は一定の時間間隔Ｔだけ遅延しているので、長経路３３２を通った光パルス列はちょうど１パルス分遅延した状態で、短経路３３３を通った光パルス列と合波される。２×２合波カップラ３３４における、かかるパルスの重なり状態を、図４に詳細に示す。

２×２合波カップラ３３４での合波による干渉の結果、パルス間の位相差が０ならば第１の光子検出器３３６が光子を検出し、パルス間の位相差がπならば第１の光子検出器３３５が光子を検出する。ただし、送信機３１０から送信された光は、パルス当り平均１個光子未満なので、光子が光子検出器３３５，３３６で検出されるのは稀である。

光子検出器３３５，３３６で光子を検出したという信号を得た場合、受信機３３０の制御部３３７は、受信機３３０が備えるメモリなど（図示せず）に、光子を検出した時刻（光子検出時刻）を格納する。

図４では、図３で説明したおとりパルス（３番目がおとりパルス）が送信された場合の受信パルスの重なり具合を示す。ここで、上方の光パルス列は長経路３３２を通った光パルス列を示し、下方の光パルス列は短経路３３３を通った光パルス列を示す。図４では、斜線長方形（１、２、４、５）と黒塗り長方形（３）のパルスが示されているが、斜線長方形（１、２、４、５）は、平均光子数が１個未満（例えば、０．１光子／パルス）であるパルス（以後、信号パルスと呼ぶ）を表わし、一方、黒塗り長方形（３）は。おとりパルスを表わす。

図４に示すように、おとりパルスが存在するために、重なり合うパルスの一方が信号パルスで他方がおとりパルスである場合（ｔ₃、ｔ₄）が生じる。この場合、干渉するパルス同士の振幅が均等でないので、光子は必ずしも位相差に従った方の光子検出器（３３５または３３６）では検出されない。

また、おとりパルスが存在するこの時間スロット近辺の光子検出確率は、おとりパルスが存在しない他の時間スロットとは異なる。振幅が均等なパルス列（例えば、０．１光子／パルス）が入力された場合には、その光子検出確率は、どの時間スロットでも等しく０．１である。一方、図４の状況では、合波前の信号パルスとおとりパルスの光子検出確率は、それぞれ０．０５と０．５であり、したがって、合波後の時刻ｔ₂，ｔ₃，ｔ₄，ｔ₅における光子検出確率は、それぞれ、０．１，０．５５，０．５５，０．１となる。本発明では、このおとりパルス近辺の時間スロットでの光子検出確率を、なりすまし盗聴の発見に利用する。

上記の構成及び動作特性を利用して、以下の手順により、送信機３１０と受信機３３０は共通のビットを得る。なお、この共通のビットを得る手順についても、上述したように、送信機３１０の制御部３１４および受信機３３０の制御部３３７が、対応する送信機３１０および受信機３３０をそれぞれ制御して行う。また、制御部３１４，３３７は、通信路３５０を通じて情報を送受するための、モデム等の必要な送受信の通信機能を内蔵している。通信路３５０としては、光通信網や無線網等、どのような種類の通信網でもかまわない。

（ステップ１）まず、送信機３１０は、光伝送路３２０を介して受信機３３０に所定の長さのパルス列を送信する。
（ステップ２）受信機３３０は、通信路３５０を通じて、光子を検出した時間スロット（光子検出時刻）を送信機３１０に通知する。
（ステップ３）送信機３１０は、通信路３５０を通じて、おとりパルスの時間位置（上記の例では、３番目のパルスの時間位置）を受信機３３０に通知する。
（ステップ４）送信機３１０は、送信機自身の位相変調データと受信機３３０から受信した光子検出時刻とから、受信機３３０において第１の光子検出器３３５または第２の光子検出器３３６のいずれが光子を検出したかを順次判定する。ただし、信号パルスとおとりパルスが重なった場合（図４の時刻ｔ₃およびｔ₄の場合）には、上述したように、光子は必ずしも位相差に従って検出されないので、それら光子検出器のどちらが光子を検出したのかは判定できない。
（ステップ５）受信機３３０は、送信機３１０から送信されたおとりパルスの時間位置の情報に基づいて、光子を検出した事象が、
（ａ）信号パルス同士が重なり合った時間スロットのものなのか、
（ｂ）信号パルスとおとりパルスが重なった時間スロットのものなのか、
を判定する。さらに詳細に説明すると、受信機３３０の制御部３３７は、受信機内のメモリ（図示せず）から判定用のプログラムを読み出し、その時間位置の情報と光子検出信号を得た事象とから、上記（ａ）, （ｂ）の判定を行う。
（ステップ６）ステップ５の判定結果に従い、送信機３１０と受信機３３０は、信号パルス同士の干渉から起こった光子を検出した事象について、第１の光子検出器３３５による光子検出のものであればビット「０」を、第２の光子検出器３３６による光子検出のものであればビット「１」を、付与する。この場合、光子を検出する光子検出器は確定しているので、送受信機は同じビット値を得ることになる。この得られたビット値を秘密鍵ビットとする。
（ステップ７）さらに、受信機３３０は、後で詳述するように、おとりパルス近辺の光子検出率を検出し、それらの光子検出率が所定の値（例えば、０．１，０．５５，０．５５，０．１）と異なっていた場合は、なりすまし盗聴ありと判断する。受信機３３０は、なりすまし盗聴ありと判断したときには、ステップ６で得られた秘密鍵ビットを破棄し、なりすまし盗聴ありの情報を送信機３１０に通知する。送信機３１０はなりすまし盗聴ありの通知を受けた場合には、ステップ１から処理をやり直す。受信機３３０が、なりすまし盗聴ありと判断しなかった場合には、ステップ６で得られた秘密鍵ビットが確定する。

次に、図５を参照しながら、上述の構成・手順による本発明のシステムにおいて、なりすまし盗聴を発見するメカニズムについて以下に詳細に説明する。

図５において、符号３４０は、なりすまし盗聴を行う盗聴機（以下、盗聴者という）であって、受信機３３０と同様の受信回路を有する。さらに詳しくは、盗聴者３４０、例えば、送信機３１０から送出された光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する光分岐手段３４１、第１の光パルス列を一定の時間間隔Ｔと等しい時間だけ遅延させる長経路３４２、第２の光パルス列を通過させる短経路３４３、遅延させられた第１の光パルス列と第２の光パルス列を合波して、合波後の光パルスを生成する２×２合波カップラ３４４、遅延させられた第１の光パルス列と第２の光パルス列の相対的位相差が０である場合に光子を検出する第１の光子検出器３４５、遅延させられた第１の光パルス列と第２の光パルス列の相対的位相差がπである場合に光子を検出する第２の光子検出器３４６、およびこれら光子検出器３４５，３４６の光子検出結果に基づいてダミー信号を受信機３３０に送信する光送信器３４７を有する。

なりすまし盗聴では、盗聴者３４０は、通常、光伝送路３２０の途中で上記のように受信機３３０と同様の受信回路により光子を検出する（光子を検出する流れについては、上述の説明を重なるので省略する）。そして、盗聴者３４０は、光子検出結果に基づき、正規の受信機３３０が同じ検出結果となるようにダミー信号を送出し、受信機３３０が盗聴に気付かないようにする。

しかしながら、本実施形態では、送信機３１０が送出しているのは、送出レベルがパルス当り平均１個光子未満（例えば０．１個光子／パルス）であるパルス列である。この場合、盗聴者３４０は平均１０スロットに１回しか光子を検出しない。

そのため、盗聴者３４０は、光子を検出したスロットについては、正規の受信機３３０が第１の光子検出器３３５、または第２の光子検出器３３６で光子を検出するように位相が設定された２連続パルスを、正規の受信機３３０に送出することができる。一方、光子検出しないスロットについては、盗聴者３４０は、第１の光子検出器３３５、または第２の光子検出器３３６のいずれの光子検出器で光子を検出できるようにしたら良いのか分からないため、正規の受信機３３０に何も送らない。その結果、孤立した２連続パルスが盗聴者３４０から正規の受信機３３０に送られる。

ここで、図５に示すように、おとりパルス３が送信機３１０から盗聴者３４０の受信回路に入ってきたとする。すると、盗聴者３４０の受信回路では、信号パルス２とおとりパルス３が重なった時間スロット（図５の矢印Ａ１）、またはおとりパルス３と信号パルス４が重なった時間スロット（図５の矢印Ａ２）で光子を検出する場合がある。しかし、盗聴者３４０には、この場合の光子検出が、信号パルス同士の干渉によるものなのか、一方がおとりパルスである検出結果なのかが区別がつかない。そこで、盗聴者３４０は、信号パルス同士の干渉結果を測定したものと想定して、時間位置２、３または時間位置３、４に等しい振幅の２連続パルスを発生させて、そのパルス列を正規の受信機３３０に送信する。なりすまし盗聴では、正規の受信機３３０の受信光子数を変えないように、盗聴者３４０は検出した光子数の分だけ、光子をその受信機３３０に送信しなければならない。今の事例の場合、盗聴者３４０は光子１個を検出したことになるので、光子１個が２連続パルスにわたっている存在している状態、すなわち１パルス当りの光子検出確率を０．５として送信する。なお、図５では、時間位置２、３に等しい振幅の２連続パルスを発生させる場合を例示している。

時間位置２、３の２連続パルスが受信機３３０に入力されると、受信機３３０は３つの時間スロットｔ₂，ｔ₃，ｔ₄で光子を検出する可能性がある。受信機３３０に入力前の各パルスの光子検出確率は０．５なので、干渉計の後段の光カップラ３３４で合波される前の各パルスの光子検出確率はそれぞれ０．２５である。したがって、光カップラ３３４で合波後のｔ₂，ｔ₃，ｔ₄での光子検出確率は、それぞれ０．２５，０．５，０．２５となる。

上記の光子検出確率０．２５，０．５，０．２５は、盗聴者３４０が時刻Ａ１で光子検出し、時間位置２、３の２連続パルスを発生させた場合である。一方、盗聴者３４０の光子検出時刻がＡ２であり、時間位置３、４の２連続パルスが受信機３３０に送られた場合には、受信機３３０の光カップラ３３４で合波後の光子検出は、時間スロットｔ₃，ｔ₄，ｔ₅で起こり、その光子検出確率は、それぞれ０．２５，０．５，０．２５である。

おとりパルス１個について、盗聴者３４０の光子検出時刻がＡ１であるかＡ２であるかの確率は０．５ずつであることを考慮すると、上記の２つのケースを合わせせた受信機３３０の光子検出確率は、時間スロットｔ₂，ｔ₃，ｔ₄，ｔ₅でそれぞれ、０．１２５，０．３７５，０．３７５，０．１２５となる。

一方、図４を用いてすでに説明したように、盗聴されていないときのおとりパルス近辺の光子検出確率は、ｔ₂，ｔ₃，ｔ₄，ｔ₅でそれぞれ、０．１，０．５５，０．５５，０．１である。すなわち、なりすまし盗聴の有無により、おとりパルス近辺の光子検出確率が異なることになる。

そこで、受信機３３０は、おとりパルス近辺の光子検出率を検出し、それらの光子検出率が所定の値（例えば、０．１，０．５５，０．５５，０．１）と異なっていた場合は、なりすまし盗聴ありと判断する。これにより、正規の受信機３３０は、本発明の課題であるビット誤りに頼ることなく、なりすまし盗聴を的確に発見することができるようになる。

（他の実施の形態）
上記では、本発明の好適な実施形態を例示して説明したが、本発明の実施形態は上記例示に限定されるものではなく、特許請求の範囲に記載の範囲内であれば、その構成部材等の置換、変更、追加、個数の増減、形状の設計変更等の各種変形は、全て本発明の実施形態に含まれる。また、本発明は、複数の機器から構成されるシステムに適用しても良いし、１つの機器からなる装置に適用してもよい。

従来の差動位相シフト量子鍵搬送システムの構成を示すブロック図である。 従来技術に対するなりすまし盗聴法を説明するブロック図である。 本発明の一実施形態における量子鍵搬送システムの構成を示すブロック図である。 図３の受信機におけるパルスの重なり方を示す図である。 本発明の一実施形態に対するなりすまし盗聴の一例を示すブロック図である。

符号の説明

３１０ 送信機（送信者）
３１１ 光源
３１２ 位相変調器
３１３ 減衰手段
３１４ 制御部
３２０ 光伝送路
３３０ 受信機（受信者）
３３１ 光分岐手段
３３２ 長経路
３３３ 短経路
３３４ ２×２合波カップラ
３３５ 第１の光子検出器
３３６ 第２の光子検出器
３３７ 制御部
３４０ 盗聴機（盗聴者）
３４１ 光分岐手段
３４２ 長経路
３４３ 短経路
３４４ ２×２合波カップラ
３４５ 第１の光子検出器
３４６ 第２の光子検出器
３４７ 光送信器
３５０ 通信路

Claims (9)

1. 送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおいて、
   前記送信機は、
   一定の時間間隔の連続パルスからなる光パルス列を送出する光源と、
   前記光パルス列を０またはπで位相変調する位相変調器と、
   位相変調された前記光パルス列を、パルス当の平均光子数が１光子に近いおとりパルスを含む、パルス当の平均光子数が１光子未満の光パルス列として送出する減衰手段と、
   前記おとりパルスの時間位置の情報を送信する通信手段と
   を備え、
   前記受信機は、
   前記送信機から送出された前記光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する分岐手段と、
   前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔と等しい時間だけ遅延させる遅延手段と、
   前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成する合波手段と、
   前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差が０である場合に光子を検出する第１の光子検出手段と、
   前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差がπである場合に光子を検出する第２の光子検出手段と、
   前記おとりパルスの時間位置の情報を受信する通信手段と、
   前記合波手段で合波後の前記光パルス列のうち、前記送信機から受信した前記おとりパルスの時間位置に該当する時間スロットの近傍のパルスの光子検出率を検出し、これら光子検出率が所定の値と異なっていた場合には、盗聴ありと判断する盗聴検知手段と
   を備えていることを特徴とする量子暗号通信システム。
2. 前記受信機は、前記送信機から受信した前記おとりパルスの時間位置の情報と、前記第１の光子検出手段および前記第２の光子検出手段から得られた光子検出信号の事象とから、光子を検出した事象が、
   （a） 信号パルス同士が重なり合った時間スロットのものなのか、
   （b） 信号パルスと前記おとりパルスが重なった時間スロットのものなのか、
   を判定する判定手段を有し、
   前記判定手段の判定結果に従い、前記送信機と前記受信機は、信号パルス同士の干渉から起こった光子を検出した事象について、前記第１の光子検出手段による光子検出のものであればビット「０」を、前記第２の光子検出手段による光子検出のものであればビット「１」を付与し、これらビットを秘密鍵ビットとすることを特徴とする請求項１に記載の量子暗号通信システム。
3. 前記受信機は、前記盗聴検知手段が盗聴ありと判断した場合には、前記秘密鍵ビットを破棄するとともに、盗聴ありを示す情報を前記送信機に通知し、該送信機は該通知を受けた場合は、前記秘密鍵ビットを破棄することを特徴とする請求項２に記載の量子暗号通信システム。
4. 送信側から受信側へ量子暗号鍵を配送する量子暗号通信方法において、
   ０またはπで位相変調された一定の時間間隔で連続する光パルス列を、パルス当の平均光子数が１光子に近いおとりパルスを含む、パルス当の平均光子数が１光子未満の光パルス列として送出するステップと、
   前記おとりパルスの時間位置の情報を送信するステップと、
   送出された前記光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐し、前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔と等しい時間だけ遅延させ、遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成するステップと、
   合波後の前記パルスの相対的位相差が０である場合に光子を検出して光子検出信号を出力するステップと、
   合波後の前記パルスの相対的位相差がπである場合に光子を検出して光子検出信号を出力するステップと、
   前記おとりパルスの時間位置の情報を受信するステップと、
   合波後の前記光パルス列のうち、受信した前記おとりパルスの時間位置に該当する時間スロットの近傍のパルスの光子検出率を検出し、これら光子検出率が所定の値と異なっていた場合には、盗聴ありと判断するステップと
   を有することを特徴とする量子暗号通信方法。
5. 受信した前記おとりパルスの時間位置の情報と、前記光子検出信号の事象とから、光子を検出した事象が、
   信号パルス同士が重なり合った時間スロットのものなのか、
   信号パルスと前記おとりパルスが重なった時間スロットのものなのか、
   を判定するステップをさらに有することを特徴とする請求項４に記載の量子暗号通信方法。
6. 送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおける送信機において、
   一定の時間間隔の連続パルスからなる光パルス列を送出する光源と、
   前記光パルス列を０またはπで位相変調する位相変調器と、
   位相変調された前記光パルス列を、パルス当の平均光子数が１光子に近いおとりパルスを含む、パルス当の平均光子数が１光子未満の光パルス列として送出する減衰手段と、
   前記おとりパルスの時間位置の情報を送信する通信手段と
   を備えていることを特徴とする送信機。
7. 送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおける受信機において、
   前記送信機から送出された光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する分岐手段と、
   前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔と等しい時間だけ遅延させる遅延手段と、
   前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成する合波手段と、
   前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差が０である場合に光子を検出する第１の光子検出手段と、
   前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対的位相差がπである場合に光子を検出する第２の光子検出手段と、
   前記送信機から送信されたパルス当の平均光子数が１光子に近いおとりパルスの時間位置の情報を受信する通信手段と、
   前記合波手段で合波後の前記光パルス列のうち、前記送信機から受信した前記おとりパルスの時間位置に該当する時間スロットの近傍のパルスの光子検出率を検出し、これら光子検出率が所定の値と異なっていた場合には、盗聴ありと判断する盗聴検知手段と
   を備えていることを特徴とする受信機。
8. 前記送信機から受信した前記おとりパルスの時間位置の情報と、前記第１の光子検出手段および前記第２の光子検出手段から得られた光子検出信号の事象とから、光子を検出した事象が、
   信号パルス同士が重なり合った時間スロットのものなのか、
   信号パルスと前記おとりパルスが重なった時間スロットのものなのか、
   を判定する判定手段を有し、
   前記判定手段の判定結果に従い、信号パルス同士の干渉から起こった光子を検出した事象について、前記第１の光子検出手段による光子検出のものであればビット「０」を、前記第２の光子検出手段による光子検出のものであればビット「１」を付与し、これらビットを秘密鍵ビットとすることを特徴とする請求項７に記載の受信機。
9. 前記受信機は、前記盗聴検知手段が盗聴ありと判断した場合には、前記秘密鍵ビットを破棄するとともに、盗聴ありを示す情報を前記送信機に通知することを特徴とする請求項８に記載の受信機。

Images