JP2010062632A

JP2010062632A - 量子鍵配送システム

Info

Publication number: JP2010062632A
Application number: JP2008223503A
Authority: JP
Inventors: Toshimori Honjo; 利守本庄; Yasushi Inoue; 恭井上
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2008-09-01
Filing date: 2008-09-01
Publication date: 2010-03-18
Anticipated expiration: 2028-09-01
Also published as: JP4755231B2

Abstract

【課題】光子数分岐攻撃に対して強固な量子鍵配送システムを提供する。
【解決手段】本発明の一実施形態によれば、送信機は、一定の時間間隔Ｔで発生する光パルス列の各パルスを｛０，π｝または｛π／２，３π／２｝で位相変調し、パルス当り平均１光子未満の光パルス列として送出する。受信機は、送信機からの光パルス列を受信し、各パルスを｛０，π／２｝で位相変調し、遅延時間Ｔの分岐・遅延・合波回路で合波する。合波したパルス列のパルスの位相差が０のとき、第１の検出器で、位相差がπのとき、第２の検出器で光子が検出される。受信機は、光子を検出した時刻と、光子を検出したパルスの変調位相差Δθ_ｂを送信機に知らせ、送信機は、光子が検出されたパルスの変調位相差Δθ_ａが｛０，π｝または｛π／２，３π／２｝のいずれの組であったかを受信機に知らせる。これにより、送信機と受信機は、共通のビット値を生成することができる。
【選択図】図４

Description

本発明は、量子鍵配送システムに関する。

絶対に安全な暗号通信を実現する技術として、量子鍵配送の研究が進められている。これは、暗号通信を行なうための秘密鍵を、量子力学の原理を利用して離れた２者に安全に供給するシステムである。ここでは、通信としてはデジタル通信を前提としており、秘密鍵の実体は、ランダムな「０」「１」のビット列である。

量子鍵配送にもいくつかの方式があるが、ＢＢ８４プロトコルは、量子鍵配送として最初に提案された方式であり、現在でも広く研究されている（非特許文献１）。ＢＢ８４の中にも複数の方式がある。ここでは従来技術として、ファイバ伝送に適した方式である「位相エンコードＢＢ８４」について説明する。

図１は、位相エンコードＢＢ８４による量子鍵配送システム１００の基本構成図である。送信機１１０は、単一光子光源１１１からの出力される単一光子をビームスプリッタＢＳ−Ａ１により二分岐し、一方を遅延線１１２に通した後、ビームスプリッタＢＳ−Ａ２により再び合波して、伝送路１２０に送り出す。遅延線１１２上には位相変調器１１３が備えられており、遅延される光に対してθ_ａ＝｛０，π｝のいずれか、または｛π／２，３π／２｝のいずれかの位相変調を加えるものとする。これにより、送信機１１０からは位相差が変調された２パルスが送出される。なお、単一光子光源１１１は１パルスに光子１個を発生する光源であるが、そのような光源を実装することは難しく、レーザ光を平均光子数が１光子／パルス以下まで減衰させた光で代用することが多い。

受信機１３０は、送信機１１０からの信号光を、送信機１１０と同じ構成の分岐・遅延・合波回路に入力する。但し、遅延線１３１上の位相変調器１３２で加える位相変調θ_ｂは｛０，π／２｝のいずれかとする。分岐・遅延・合波回路の２つの出力ポートには、それぞれ光子検出器ＰＤ−１，ＰＤ−２が備えられており、これにより光子を検出する。

以上の構成において、受信機の光子検出器は３つの時刻で光子を検出し得る。すなわち、（１）送信機／受信機ともに短経路を通ったパルスから光子を検出する場合、（２）送信機の短経路及び受信機の長経路を通ったパルス、および、送信機の長経路及び受信機の短経路を通ったパルス、から光子を検出する場合、（３）送信機／受信機ともに長経路を通ったパルスから光子を検出する場合、の３つである。ここで、真ん中の時刻では、２つの異なる経路を経たパルスが重なり合って干渉する。干渉の結果、２つの検出器のどちらかで光子が検出される。

干渉の仕方は、２経路を経たパルスの位相差によって決まる。検出器ＰＤ−１へ到達するパルスについてみると、送信機の短経路から受信機の長経路を経るパルスの位相はπ／２＋θ_ｂ、送信機の長経路から受信機の短経路を経るパルスの位相はπ／２＋θ_ａ＋π／２＋π／２＝θ_ａ＋３π／２となる。したがって、２パルスの位相差Δθ_１はΔθ_１＝θ_ｂ−θ_ａ−πとなる。なおここで、光はビームスプリッタでの反射の際にπ／２の位相シフトを受けることを考慮に入れ、また、共通的な伝搬位相は省略した。一方、検出器ＰＤ−２については、送信機の短経路から受信機の長経路を経るパルスの位相はπ／２＋θ_ｂ＋π／２＝θ_ｂ＋π、送信機の長経路から受信機の短経路を経るパルスの位相はπ／２＋θ_ａ＋π／２＝θ_ａ＋πとなる。したがって、２パルスの位相差Δθ_２はΔθ_２＝θ_ｂ−θ_ａとなる。上記考察は、Δθ_１とΔθ_２はπだけ異なっていることを示している。

前述のように、θ_ａは０もしくはπ／２、またはπもしくは３π／２、θ_ｂは０またはπ／２である。したがって、Δθ_１とΔθ_２の値は、〈１〉｛Δθ_１＝０，Δθ_２＝π｝、〈２〉｛Δθ_１＝π／２，Δθ_２＝３π／２｝、〈３〉｛Δθ_１＝π，Δθ_２＝０｝、または〈４〉｛Δθ_１＝３π／２，Δθ_２＝π／２｝となる。〈１〉の場合は検出器ＰＤ−１が、〈３〉の場合は検出器ＰＤ−２が、それぞれ光子を検出する。〈２〉〈４〉の場合には、半分ずつの確率（５０％）で検出器ＰＤ−１またはＰＤ−２のどちらかで光子が検出される。表１は、以上の光子検出特性をまとめたものである。ここでは、検出器ＰＤ−１による光子検出を「１」、検出器ＰＤ−２による光子検出を「２」、半分ずつの確率で検出される場合を「１／２」、で表わしている。

以上の構成及び光子検出特性を利用して、送信機と受信機は、次の手順により同じの「０」「１」のビット列すなわち秘密鍵を得る。（１）光子を送受信後、送信機は、加えた変調位相が｛０，π｝であったか｛π／２，３π／２｝であったかを受信機に知らせる。ここで知らせるのはどちらの組であったかだけであり、位相値そのものを知らせない。（２）受信機は、光子を検出した時刻が真ん中の時刻であったか否か、及び、加えた変調位相が０であったかπ／２であったか、を送信機に知らせる。（３）送信機は、光子検出時刻が真ん中の時刻である場合について、受信機の変調位相が０かつ自身の変調位相がπ、または、受信機の変調位相がπ／２かつ自身の変調位相がπ／２、ならばビット「０」とする。また、受信機の変調位相が０かつ自身の変調位相が０、または、受信機の変調位相がπ／２かつ自身の変調位相が３π／２、ならばビット「１」とする。（４）受信機は、光子検出時刻が真ん中の時刻である場合について、送信機の変調位相が｛０，π｝かつ自身の変調位相が０なら、検出器ＰＤ−１による光子検出をビット「０」、検出器ＰＤ−２による光子検出をビット「１」とする。また、送信機の変調位相が｛π／２，３π／２｝かつ自身の変調位相がπ／２なら、検出器ＰＤ−１による光子検出をビット「０」、検出器ＰＤ−２による光子検出をビット「１」とする。表１に示した光子検出特性より、以上のようにして生成したビット値は、送信機と受信機で一致する。上記では、１つのビットについて説明したが、光子の送受信を連続して行ない、各光子検出事象について上記手順を行なうことにより、送受信機は同一のビット列を得る。

上記ビット列生成手順において、送信機は変調位相θ_ａが｛０，π｝であったか｛π／２，３π／２｝であったかを受信機に知らせ、受信機は変調位相θ_ｂを送信機に知らせているが、盗聴者がこれらの情報を盗聴したとしても、送受信機のビット値はわからない。したがって、上記により生成したビット列は暗号通信のための秘密鍵となる。

Bennet et al., "QUANTUM CRYPTOGRAPHY: PUBLIC KEY DISTRIBUTION AND COIN TOSSING," International Conference on Computers, Systems & Signal Processing, Bangalore, India, December 10-12, 1984

上記システムには、送信機の単一光子光源１１１として弱めたレーザ光を用いる場合に、「光子数分岐攻撃」と呼ばれる盗聴に対して脆弱であるという課題がある。以下、光子数分岐攻撃について説明する。

レーザ光の光子数は本質的に揺らぎを伴っている。そのため、平均的には光子数１個以下である強度に光を弱めても、有限の確率で光子数が２個以上となることがある。量子力学の理論によると、平均光子数μのパルスの光子数が２以上である確率は、μ＜＜１の場合、近似的にμ^２／２であることが知られている。このレーザ光の光子数揺らぎを利用して、盗聴者は次のような盗聴を行うことができる。

図２及び３は、光子数分岐攻撃を説明するための図である。盗聴者は、送信機の直後で伝送信号の光子数を測定する（図２の２１１）。但し、通常の光子検出のように電気信号に変換するのではなく、光の状態は変えずに光子数を測定するものとする。このような測定は量子非破壊測定と呼ばれる。測定の結果、ひとつの信号について光子数が２以上であった場合は、そのうちの１個を分岐器２１２で抜き出してメモリ２１３に保存する。そして、残りの光子は無損失伝送路２２０を介して受信機に送信する。一方、光子数が１または０の場合は、受信機に届く光子数を変えない範囲で、その信号をブロックする（図２の２１４）。

ここで、「受信機に届く光子数を変えない範囲で」というのは次のような意味である。盗聴が発覚しないためには、受信機に届く光子数を変えない必要がある。送信機の１信号あたりの送信平均光子数をμ、伝送路透過率をＴとすると、正常時に受信機に届く平均光子数はμＴである。一方、上記盗聴が行われた場合、光子数が２以上である信号から光子が抜き出され残りが受信機に到達する確率は、盗聴者が無損失伝送路を使用することより、光子数が２以上である確率に等しくμ^２／２である。そこで、μ^２／２＜μＴのときには、受信光子数を変えないために、（μＴ−μ^２／２）分は１光子信号のブロックを解除する。逆に、μ^２／２＞μＴのときには、受信光子数を変えないように、１光子信号に加え２光子信号の一部もブロックする。

盗聴者が上記のような信号ブロック操作を行うと、μ^２／２≧μＴの場合には、受信機が受け取る信号群と全く同じ信号群が盗聴者に保有されることになる。この条件はμ／２≧Ｔと書き換えられ、伝送路透過率Ｔが小さいほど、すなわち伝送距離が長いほど満たされやすい。

送受信機は、光信号送受信後、変調位相に関する情報を交換し合う。盗聴者はこれを盗聴し、メモリ２１３に保存しておいた信号を受信機の変調位相に応じて測定する（図３）。具体的には、保存していた２パルス信号の第１パルスと第２パルスを光スイッチ３１１により別の経路に分離し、一方を遅延線３１２で遅延させた後に再び合波して光子検出する。この際、受信機の変調位相が０であった場合には遅延線３１２上の位相変調器３１３の位相を０、π／２であった場合には位相変調器３１３の位相をπ／２とする。このようにすると、盗聴者は光子検出器ＰＤ−１，ＰＤ−２で受信機と同じ光子検出結果を得ることができる。これにより、盗聴者は受信機と同じビット列が得られて盗聴に成功する。

本発明は、このような従来技術の課題に鑑みてなされたものであり、光子数分岐攻撃に対して強固な量子鍵配送システムを提供することを目的とする。

本発明は、このような目的を達成するために、請求項１に記載の発明は、送信機と受信器を備えた量子鍵配送システムであって、前記送信機は、一定の時間間隔Ｔの光パルス列を送出する光源と、前記光源から送出された前記光パルス列の各パルスを｛０，π｝または｛π／２，３π／２｝で位相変調する第１の位相変調手段と、前記第１の位相変調手段で位相変調された前記光パルス列を、パルス当り平均１光子未満の光パルス列として送出する光減衰手段とを備え、前記受信機は、前記送信機の前記光減衰手段から送出された前記光パルス列を受信し、前記光パルス列の各パルスを｛０，π／２｝で位相変調する第２の位相変調手段と、前記第２の位相変調手段で位相変調された前記光パルス列を、第１の光パルス列と第２の光パルス列とに分岐する分岐手段と、前記第１の光パルス列を前記第２の光パルス列に対して、前記時間間隔Ｔだけ遅延させる遅延手段と、前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列とを合波する合波手段と、前記合波手段で合波した前記第１の光パルス列のパルスと前記第２の光パルス列のパルスとの位相差が０のとき、前記合波したパルスの光子を検出する第１の光検出手段と、前記合波手段で合波した前記第２の光パルス列のパルスと前記第２の光パルス列のパルスとの位相差がπのとき、前記合波したパルスの光子を検出する第２の光検出手段とを備え、前記受信機は、前記合波したパルスの光子を検出した時刻と、前記光子を検出したパルスについて前記第２の位相変調手段で付与した変調位相差Δθ_ｂとを前記送信機に知らせ、前記送信機は、前記受信機で光子が検出されたパルスについて、前記第１の位相変調手段で付与した変調位相差Δθ_ａが｛０，π｝または｛π／２，３π／２｝のいずれの組であったかを前記受信機に知らせることを特徴とする。

また、請求項２に記載の発明は、請求項１に記載の量子鍵配送システムであって、前記受信機で光子が検出されたパルスについて、前記送信機は、Δθ_ｂ＝０かつΔθ_ａ＝０、Δθ_ｂ＝π／２かつΔθ_ａ＝３π／２、またはΔθ_ｂ＝−π／２かつΔθ_ａ＝π／２のとき、ビットを０とし、Δθ_ｂ＝０かつΔθ_ａ＝π、Δθ_ｂ＝π／２かつΔθ_ａ＝π／２、またはΔθ_ｂ＝−π／２かつΔθ_ａ＝３π／２のとき、ビットを１とし、前記受信機は、前記光子を検出したのが前記第１の光検出手段であって、Δθ_ａ＝｛０，π｝かつΔθ_ｂ＝０、Δθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝π／２、またはΔθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝−π／２のとき、ビットを０とし、前記光子を検出したのが前記第２の光検出手段であって、Δθ_ａ＝｛０，π｝かつΔθ_ｂ＝０、Δθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝π／２、またはΔθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝−π／２のとき、ビットを１とすることを特徴とする。

また、請求項３に記載の発明は、送信機と受信器を備えた量子鍵配送システムであって、前記送信機は、一定の時間間隔Ｔの光パルス列を送出する光源と、前記光源から送出された前記光パルス列の各パルスを｛０，π｝または｛π／２，３π／２｝で位相変調する位相変調手段と、前記位相変調手段で位相変調された前記光パルス列を、パルス当り平均１光子未満の光パルス列として送出する光減衰手段とを備え、前記受信機は、前記送信機の前記光減衰手段から送出された前記光パルス列を受信し、第１の光パルス列と第２の光パルス列とに分岐する第１の分岐手段と、前記第１の光パルス列を第３の光パルス列と第４の光パルス列とに分岐する第２の分岐手段と、前記第２の光パルス列を第５の光パルス列と第６の光パルス列とに分岐する第３の分岐手段と、前記第３の光パルス列を前記第４の光パルス列に対して、前記時間間隔Ｔだけ遅延させ、位相０を付与する第１の遅延・位相付与手段と、前記第５の光パルス列を前記第６の光パルス列に対して、前記時間間隔Ｔだけ遅延させ、位相π／２を付与する第２の遅延・位相付与手段と、前記第１の遅延・位相付与手段からの前記第３の光パルス列と前記第４の光パルス列とを合波する第１の合波手段と、前記第２の遅延・位相付与手段からの前記第５の光パルス列と前記第６の光パルス列とを合波する第２の合波手段と、前記第１の合波手段で合波した前記第３の光パルス列のパルスと前記第４の光パルス列のパルスとの位相差が０のとき、前記合波したパルスの光子を検出する第１の光検出手段と、前記第１の合波手段で合波した前記第３の光パルス列のパルスと前記第４の光パルス列のパルスとの位相差がπのとき、前記合波したパルスの光子を検出する第２の光検出手段と、前記第２の合波手段で合波した前記第５の光パルス列のパルスと前記第６の光パルス列のパルスとの位相差が３π／２のとき、前記合波したパルスの光子を検出する第３の光検出手段と、前記第２の合波手段で合波した前記第５の光パルス列のパルスと前記第６の光パルス列のパルスとの位相差がπ／２のとき、前記合波したパルスの光子を検出する第４の光検出手段とを備え、前記受信機は、前記合波したパルスの光子を検出した時刻と、前記光子を検出したのが前記第１もしくは第２の光検出手段であったか、または前記第３もしくは第４の光検出手段であったかを前記送信機に知らせ、前記送信機は、前記光子を検出したパルスについて前記位相変調手段で付与した変調位相差Δθ_ａが｛０，π｝または｛π／２，３π／２｝のいずれの組であったかを前記受信機に知らせることを特徴とする。

また、請求項４に記載の発明は、請求項３に記載の量子鍵配送システムであって、前記受信機で光子が検出されたパルスについて、前記送信機は、前記光子を検出したのが前記第１もしくは第２の光検出手段であり、かつΔθ_ａ＝０、または前記光子を検出したのが前記第３もしくは第４の光検出手段であり、かつΔθ_ａ＝３π／２のとき、ビットを０とし、前記光子を検出したのが前記第１もしくは第２の光検出手段であり、かつΔθ_ａ＝π、前記光子を検出したのが前記第３もしくは第４の光検出手段であり、かつΔθ_ａ＝π／２のとき、ビットを１とし、前記受信機は、前記光子を検出したのが前記第１の光検出手段であり、かつΔθ_ａ＝｛０，π｝、または前記光子を検出したのが前記第３の光検出手段であり、かつΔθ_ａ＝｛π／２，３π／２｝のとき、ビットを０とし、前記光子を検出したのが前記第２の光検出手段であり、かつΔθ_ａ＝｛０，π｝、前記光子を検出したのが前記第４の光検出手段であり、かつΔθ_ａ＝｛π／２，３π／２｝のとき、ビットを１とすることを特徴とする。

本発明によれば、従来技術よりも安全性の高い量子鍵配送システムが実現できる。

以下、図面を参照しながら本発明の実施形態について詳細に説明する。

（第１の実施形態）
図４に、本発明の第１の実施形態に係る量子鍵配送システム４００の構成例を示す。送信機４１０は、コヒーレントパルス光源６１１から一定時間間隔Ｔの可干渉性のある（コヒーレントな）光パルス列を発生させ、位相変調器４１２において、各パルスをθ_ａ＝｛０，π｝のいずれか、または｛π／２，３π／２｝のいずれかで位相変調する。そして、光減衰器４１３において、光強度を平均１光子／パルス未満（例えば、０．２光子／パルス）まで減衰させてから伝送路４２０を介して受信機４３０へ送信する。受信機４３０は、位相変調器４３１において、送られてきた各パルスをθ_ｂ＝｛０，π／２｝のいずれかで位相変調する。次に、位相変調した光パルス列をビームスプリッタＢＳ−１により２分岐し、遅延線４３２で一方にパルス列の時間間隔Ｔに等しい遅延を与えた後、２×２のビームスプリッタＢＳ−２により再び合波する。そして、２×２ビームスプリッタＢＳ−２の出力ポートで光子検出器ＰＤ−１，ＰＤ−２により光子を検出する。

この構成において、受信機の光子検出器ＰＤ−１，ＰＤ−２では、前後のパルスが重なり合って干渉し、その結果に応じて光子が検出される。ただし、送られてくるのが、平均１光子／パルス未満のパルス列なので、すべてのパルスについて光子が検出されるわけではなく、ごくまれに光子は検出される。光子が検出される場合の特性は、次のようになる。

例えば、ｉ番目のパルスと（ｉ＋１）番目のパルスの干渉を考えると、検出器で重なり合うのは、分岐・遅延・合波回路の長経路を通ったｉ番目パルスと短経路を通った（ｉ＋１）番目パルスである。ｉ番目パルスは、送信機でθ_ａ（ｉ）、受信機でθ_ｂ（ｉ）、の位相変調をそれぞれ受けている。ここで添え字の（ｉ）はｉ番目パルスに対するものであることを表わす。ビームスプリッタでの反射の際にπ／２の位相シストを受けることを考慮に入れると、長経路を経て検出器ＰＤ−１及びＰＤ−２に到達するｉ番目パルスの位相はそれぞれ、θ_ａ（ｉ）＋θ_ｂ（ｉ）＋π／２及びθ_ａ（ｉ）＋θ_ｂ（ｉ）＋πとなる。一方、短経路を通る（ｉ＋１）番目パルスについては、検出器ＰＤ−１での位相はθ_{ａ（ｉ＋１）}＋θ_{ｂ（ｉ＋１）}＋π／２、検出器ＰＤ−２での位相はθ_{ａ（ｉ＋１）}＋θ_{ｂ（ｉ＋１）}である。したがって、２つのパルスの位相差は、検出器ＰＤ−１においては｛θ_ａ（ｉ）＋θ_ｂ（ｉ）＋π／２｝−｛θ_{ａ（ｉ＋１）}＋θ_{ｂ（ｉ＋１）}＋π／２｝＝Δθ_ａ＋Δθ_ｂ、検出器ＰＤ−２においてはΔθ_ａ＋Δθ_ｂ＋πとなる。なおここで、Δθ_ａ＝θ_ａ（ｉ）−θ_{ａ（ｉ＋１）}、Δθ_ａ＝θ_ｂ（ｉ）−θ_{ｂ（ｉ＋１）}とおいた。ここで、検出器ＰＤ−１に着目し、２パルスの位相差が０ならば両者は同相となり光子が検出される。位相差πであれば逆相となり光子は検出されない。その中間の位相差のときには、検出される場合もあればされない場合もある。

前述のように、送受信機での変調位相は、θ_ａ＝｛０，π｝または｛π／２，３π／２｝およびθ_ｂ＝｛０，π／２｝であるので、Δθ_ａは０、π／２、πまたは３π／２、Δθ_ｂは０、π／２、または−π／２である。したがって、Δθ_ａ＋Δθ_ｂは０、π／２、π、または３π／２となる。Δθ_ａ＋Δθ_ｂ＝０ならば検出器ＰＤ−１で、Δθ_ａ＋Δθ_ｂ＝πならば検出器ＰＤ−２で、それぞれ光子が検出される。Δθ_ａ＋Δθ_ｂ＝π／２または３π／２のときは、検出器ＰＤ−１で検出される場合もあれば検出器ＰＤ−２で検出される場合もある。以上の光子検出特性をまとめると、表２のようになる。表において、「１」「２」「１／２」の意味は表１と同様である。

以上の構成及び光子検出特性を利用して、送信機と受信機は、次の手順により同じ「０」「１」のビット列すなわち秘密鍵を得る。（１）光パルス列の送受信後、受信機は、光子を検出した時刻、及び、対応するパルスに対して加えた変調位相差Δθ_ｂ（０、π／２、または−π／２）を送信機に知らせる。（２）送信機は、光子が検出されたパルスに対して加えた変調位相差Δθ_ａが｛０，π｝であったか｛π／２，３π／２｝であったかを受信機に知らせる。ここで知らせるのはどちらの組であったかだけであり、位相値そのものを知らせない。（３）送信機は、光子検出されたパルスについて、受信機の変調位相差がΔθ_ｂ＝０かつ自身の変調位相差がΔθ_ａ＝０、または、受信機の変調位相差がΔθ_ｂ＝π／２かつ自身の変調位相差がΔθ_ａ＝３π／２、または、受信機の変調位相差がΔθ_ｂ＝−π／２かつ自身の変調位相差がΔθ_ａ＝π／２ならばビット「０」とする。また、受信機の変調位相差がΔθ_ｂ＝０かつ自身の変調位相差がΔθ_ａ＝π、または、受信機の変調位相差がΔθ_ｂ＝π／２かつ自身の変調位相差がΔθ_ａ＝π／２、または、受信機の変調位相差がΔθ_ｂ＝−π／２かつ自身の変調位相差がΔθ_ａ＝３π／２ならばビット「１」とする。（４）受信機は、光子検出したパルスについて、送信機の変調位相差がΔθ_ａ＝｛０，π｝かつ自身の変調位相差がΔθ_ｂ＝０で光子を検出したのが検出器ＰＤ−１、送信機の変調位相差がΔθ_ａ＝｛π／２，３π／２｝かつ自身の変調位相差がΔθ_ｂ＝π／２で光子検出したのが検出器ＰＤ−１、または送信機の変調位相差がΔθ_ａ＝｛π／２，３π／２｝かつ自身の変調位相差がΔθ_ｂ＝−π／２で光子検出したのが検出器ＰＤ−１ならばビット「０」とする。また、送信機の変調位相差がΔθ_ａ＝｛０，π｝かつ自身の変調位相差がΔθ_ｂ＝０で光子検出したのが検出器ＰＤ−２、送信機の変調位相差がΔθ_ａ＝｛π／２，３π／２｝かつ自身の変調位相差がΔθ_ｂ＝π／２で光子検出したのが検出器ＰＤ−２、または送信機の変調位相差がΔθ_ａ＝｛π／２，３π／２｝かつ自身の変調位相差がΔθ_ｂ＝−π／２で光子検出したのが検出器ＰＤ−２ならばビット「１」とする。表２に示した光子検出特性より、以上のようにして生成したビット値は、送信機と受信機で一致する。

上記ビット列生成手順において、送信機は変調位相差Δθ_ａが｛０，π｝であったか｛π／２，３π／２｝であったかを受信機に知らせ、受信機は変調位相差Δθ_ｂを送信機に知らせているが、盗聴者がこれらの情報を盗聴したとしても、これだけでは送受信機のビット値はわからない。そこで、上記により生成したビット列を暗号通信のための秘密鍵とする。

次に、図５を参照して、本実施形態が光子数分岐攻撃に対して強固であることを説明する。

光子数分岐攻撃においては、盗聴者５２０は、光子数が２以上である信号から光子１個を抜き出した残りを受信機５３０に送り、光子数が１以下である信号はブロックする。すると、盗聴者から受信機へ送られる信号は、連続したパルス列ではなく、例えば、２連続パルスが間欠的に存在する状態となる。

このような信号を受信機５２０が合波・遅延・分岐回路に通して受信すると、受信機は３つの時刻で光子を検出し得る。（１）第１パルスが短経路を経た時刻、（２）第１パルスが長経路を経た時刻＝第２パルスが短経路を経た時刻、（３）第２パルスが長経路を経た時刻の３つである。このうち、最初と最後の時刻では、干渉する相手がいないままに光子が検出される。この場合、光子は検出器ＰＤ−１またはＰＤ−２でランダムに検出される。すると、この検出事象から正規の手順に従って受信機がビットを生成すると、送信機の作るビット値とは異なることになる。

そこで、送受信機は、ビット列を生成後、そのうちのいくつかをテストビットとして互いに照合する。光子数分岐攻撃が行われていたとすれば、上記のようにビット不一致が生じ、これより盗聴されていたことが検知できる。逆に言うと、ビット不一致がなければ、盗聴されていない安全な秘密鍵であることが保証されたことになる。

（第２の実施形態）
図６に、本発明の第２の実施形態に係る量子鍵配送システム６００の構成例を示す。送信機６１０の構成は第１実施形態と同様であり、これにより送信機６１０からは、各パルスが｛０，π｝のいずれか、または｛π／２，３π／２｝のいずれかで位相変調され、平均光子数が１光子／パルス未満であるコヒーレントパルス列が送出される。受信機６３０は、送られてきた信号をビームスプリッタＢＳ−１により２分岐し、それぞれを実施形態１と同様の分岐・遅延・合波回路に入力する。但し、長経路と短経路の位相差を、一方の回路では０、他方の回路ではπ／２とする。位相差０の回路の出力ポートには光子検出器ＰＤ−１１とＰＤ−１２が、位相差π／２の回路の出力ポートには光子検出器ＰＤ−２１とＰＤ−２２が、それぞれ備えられており、これにより光子を検出する。

光子検出器では、第１の実施形態と同様にして、前後のパルスが干渉し合い、その結果に応じて光子が検出される。ｉ番目のパルスと（ｉ＋１）番目のパルスについて考えると、検出器では長経路を経たｉ番目パルスと短経路を経た（ｉ＋１）番目パルスが干渉する。各検出器における２パルスの位相差は、検出器ＰＤ−１１では、ｉ番目パルスの位相はθ_ａ（ｉ）＋π／２、（ｉ＋１）番目パルスの位相はθ_{ａ（ｉ＋１）}＋π／２であり、よって２つのパルスの位相差はΔθ_ａである。検出器ＰＤ−１２では、ｉ番目パルスの位相はθ_ａ（ｉ）＋π、（ｉ＋１）番目パルスの位相はθ_{ａ（ｉ＋１）}であり、よって２つのパルスの位相差はΔθ_ａ＋πである。検出器ＰＤ−２１では、ｉ番目のパルスの位相はθ_ａ（ｉ）＋π／２＋π／２＋π／２＝θ_ａ（ｉ）＋３π／２、（ｉ＋１）番目パルスの位相はθ_{ａ（ｉ＋１）}＋π／２＋π／２＝θ_{ａ（ｉ＋１）}＋πであり、よって２つのパルスの位相差はΔθ_ａ＋π／２である。検出器ＰＤ−２２では、ｉ番目パルスの位相はθ_ａ（ｉ）＋π／２＋π／２＋π／２＋π／２＝θ_ａ（ｉ）＋２π、（ｉ＋１）番目パルスの位相はθ_{ａ（ｉ＋１）}＋π／２であり、よって２つのパルスの位相差はΔθ_ａ＋３π／２である。なお、Δθ_ａの意味は第１の実施形態と同様である。

２つのパルスの位相差が０であれば光子が検出され、πであれば検出されない。その中間の値のときは、検出される場合もあればされない場合もある。Δθ_ａの値によって、どの検出器が光子を検出されるかをまとめると、表３のようになる。表において、「〇」は「検出する」、「×」は「検出しない」、「△」は「検出する場合もあればしない場合もある」ことを表わしている。

以上の構成及び光子検出特性を利用して、送信機と受信機は、次の手順により同じビット列すなわち秘密鍵を得る。（１）光パルス列の送受信後、受信機は、光子を検出した時刻、及び、光子を検出したのが位相差０の分岐・遅延・合波回路の出力ポートであったか位相差π／２の回路の出力ポートであったかを送信機に知らせる。（２）送信機は、光子が検出されたパルスに対して加えた変調位相差Δθ_ａが｛０，π｝であったか｛π／２，３π／２｝であったかを受信機に知らせる。ここで知らせるのはどちらの組であったかだけであり、位相値そのものを知らせない。（３）送信機は、光子検出されたパルスについて、検出されたのが位相差０の分岐・遅延・合波回路の出力ポートでありかつ自身の変調位相差がΔθ_ａ＝０、または、検出されたのが位相差π／２の回路の出力ポートでありかつ自身の変調位相差がΔθ_ａ＝３π／２ならばビット「０」とする。また、検出されたのが位相差０の分岐・遅延・合波回路の出力ポートでありかつ自身の変調位相差がΔθ_ａ＝π、または、検出されたのが位相差π／２の回路の出力ポートでありかつ自身の変調位相がΔθ_ａ＝π／２、ならばビット「１」とする。（４）受信機は、光子検出したパルスについて、送信機の変調位相差が｛０，π｝かつ光子検出したのが検出器ＰＤ−１１、または、送信機の変調位相差がΔθ_ａ＝｛π／２，３π／２｝かつ光子検出したのが検出器ＰＤ−２１、ならばビット「０」とする。また、送信機の変調位相差がΔθ_ａ＝｛０，π｝かつ光子検出したのが検出器ＰＤ−１２、または、送信機の変調位相差がΔθ_ａ＝｛π／２，３π／２｝かつ光子検出したのが検出器ＰＤ−２２ならばビット「１」とする。表３に示した光子検出特性より、以上のようにして生成したビット値は、送信機と受信機で一致する。

上記ビット列生成手順において、送信機は変調位相差Δθ_ａが｛０，π｝であったか｛π／２，３π／２｝であったかを受信機に知らせ、受信機は光子検出したのが位相差０の分岐・遅延・合波回路の出力ポートであったか位相差π／２の分岐・遅延・合波回路の出力ポートであったかを送信機に知らせているが、盗聴者がこれらの情報を盗聴したとしても、送受信機のビット値はわからない。そこで、上記により生成したビット列を暗号通信のための秘密鍵とする。

本実施形態では、送信機が平均光子数が１光子／パルス未満である連続パルス列を送り、受信機がそれを分岐・遅延・分岐回路を通して光子検出し、干渉の結果から秘密鍵ビットを生成するという点では第１の実施形態と同じである。したがって、第１の実施形態と同様に、光子数分岐攻撃に対して強固な秘密鍵配送システムとなっている。

以上、本発明について、具体的にいくつかの実施形態について説明したが、本発明の原理を適用できる多くの実施可能な形態に鑑みて、ここに記載した実施形態は、単に例示に過ぎず、本発明の範囲を限定するものではない。ここに例示した実施形態は、本発明の趣旨から逸脱することなくその構成と詳細を変更することができる。さらに、説明のための構成要素および手順は、本発明の趣旨から逸脱することなく変更、補足、またはその順序を変えてもよい。

位相エンコードＢＢ８４による従来の量子鍵配送システムの構成例を示す図である。従来の量子鍵配送システムに対する光子数分岐攻撃を説明するための図である。従来の量子鍵配送システムに対する光子数分岐攻撃を説明するための図である。本発明の第１の実施形態に係る量子鍵配送の構成例を示す図である。本発明による量子鍵配送システムに対する光子数分岐攻撃を説明するための図である。本発明の第２の実施形態に係る量子鍵配送の構成例を示す図である。

符号の説明

１００，４００，６００量子鍵配送システム
１１２，１３１，３１２，４３２遅延線
１２０，４２０伝送路
４１３，６１３光減衰器
ＢＳ，ＢＳ−１，ＢＳ−２，ＢＳ−３，ＢＳ−４，ＢＳ−５，ＢＳ−Ａ１，ＢＳ−Ａ２，ＢＳ−Ｂ１，ＢＳ−Ｂ２ビームスプリッタ
ＰＤ−１，ＰＤ−２，ＰＤ−１１，ＰＤ−１２，ＰＤ−２１，ＰＤ−２２光子検出器

Claims

送信機と受信器を備えた量子鍵配送システムであって、
前記送信機は、
一定の時間間隔Ｔの光パルス列を送出する光源と、
前記光源から送出された前記光パルス列の各パルスを｛０，π｝または｛π／２，３π／２｝で位相変調する第１の位相変調手段と、
前記第１の位相変調手段で位相変調された前記光パルス列を、パルス当り平均１光子未満の光パルス列として送出する光減衰手段と
を備え、
前記受信機は、
前記送信機の前記光減衰手段から送出された前記光パルス列を受信し、前記光パルス列の各パルスを｛０，π／２｝で位相変調する第２の位相変調手段と、
前記第２の位相変調手段で位相変調された前記光パルス列を、第１の光パルス列と第２の光パルス列とに分岐する分岐手段と、
前記第１の光パルス列を前記第２の光パルス列に対して、前記時間間隔Ｔだけ遅延させる遅延手段と、
前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列とを合波する合波手段と、
前記合波手段で合波した前記第１の光パルス列のパルスと前記第２の光パルス列のパルスとの位相差が０のとき、前記合波したパルスの光子を検出する第１の光検出手段と、
前記合波手段で合波した前記第２の光パルス列のパルスと前記第２の光パルス列のパルスとの位相差がπのとき、前記合波したパルスの光子を検出する第２の光検出手段と
を備え、
前記受信機は、前記合波したパルスの光子を検出した時刻と、前記光子を検出したパルスについて前記第２の位相変調手段で付与した変調位相差Δθ_ｂとを前記送信機に知らせ、
前記送信機は、前記受信機で光子が検出されたパルスについて、前記第１の位相変調手段で付与した変調位相差Δθ_ａが｛０，π｝または｛π／２，３π／２｝のいずれの組であったかを前記受信機に知らせることを特徴とする量子鍵配送システム。
請求項１に記載の量子鍵配送システムであって、
前記受信機で光子が検出されたパルスについて、
前記送信機は、Δθ_ｂ＝０かつΔθ_ａ＝０、Δθ_ｂ＝π／２かつΔθ_ａ＝３π／２、またはΔθ_ｂ＝−π／２かつΔθ_ａ＝π／２のとき、ビットを０とし、Δθ_ｂ＝０かつΔθ_ａ＝π、Δθ_ｂ＝π／２かつΔθ_ａ＝π／２、またはΔθ_ｂ＝−π／２かつΔθ_ａ＝３π／２のとき、ビットを１とし、
前記受信機は、前記光子を検出したのが前記第１の光検出手段であって、Δθ_ａ＝｛０，π｝かつΔθ_ｂ＝０、Δθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝π／２、またはΔθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝−π／２のとき、ビットを０とし、前記光子を検出したのが前記第２の光検出手段であって、Δθ_ａ＝｛０，π｝かつΔθ_ｂ＝０、Δθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝π／２、またはΔθ_ａ＝｛π／２，３π／２｝かつΔθ_ｂ＝−π／２のとき、ビットを１とすることを特徴とする量子鍵配送システム。
送信機と受信器を備えた量子鍵配送システムであって、
前記送信機は、
一定の時間間隔Ｔの光パルス列を送出する光源と、
前記光源から送出された前記光パルス列の各パルスを｛０，π｝または｛π／２，３π／２｝で位相変調する位相変調手段と、
前記位相変調手段で位相変調された前記光パルス列を、パルス当り平均１光子未満の光パルス列として送出する光減衰手段と
を備え、
前記受信機は、
前記送信機の前記光減衰手段から送出された前記光パルス列を受信し、第１の光パルス列と第２の光パルス列とに分岐する第１の分岐手段と、
前記第１の光パルス列を第３の光パルス列と第４の光パルス列とに分岐する第２の分岐手段と、
前記第２の光パルス列を第５の光パルス列と第６の光パルス列とに分岐する第３の分岐手段と、
前記第３の光パルス列を前記第４の光パルス列に対して、前記時間間隔Ｔだけ遅延させ、位相０を付与する第１の遅延・位相付与手段と、
前記第５の光パルス列を前記第６の光パルス列に対して、前記時間間隔Ｔだけ遅延させ、位相π／２を付与する第２の遅延・位相付与手段と、
前記第１の遅延・位相付与手段からの前記第３の光パルス列と前記第４の光パルス列とを合波する第１の合波手段と、
前記第２の遅延・位相付与手段からの前記第５の光パルス列と前記第６の光パルス列とを合波する第２の合波手段と、
前記第１の合波手段で合波した前記第３の光パルス列のパルスと前記第４の光パルス列のパルスとの位相差が０のとき、前記合波したパルスの光子を検出する第１の光検出手段と、
前記第１の合波手段で合波した前記第３の光パルス列のパルスと前記第４の光パルス列のパルスとの位相差がπのとき、前記合波したパルスの光子を検出する第２の光検出手段と、
前記第２の合波手段で合波した前記第５の光パルス列のパルスと前記第６の光パルス列のパルスとの位相差が３π／２のとき、前記合波したパルスの光子を検出する第３の光検出手段と、
前記第２の合波手段で合波した前記第５の光パルス列のパルスと前記第６の光パルス列のパルスとの位相差がπ／２のとき、前記合波したパルスの光子を検出する第４の光検出手段と
を備え、
前記受信機は、前記合波したパルスの光子を検出した時刻と、前記光子を検出したのが前記第１もしくは第２の光検出手段であったか、または前記第３もしくは第４の光検出手段であったかを前記送信機に知らせ、
前記送信機は、前記光子を検出したパルスについて前記位相変調手段で付与した変調位相差Δθ_ａが｛０，π｝または｛π／２，３π／２｝のいずれの組であったかを前記受信機に知らせることを特徴とする量子鍵配送システム。
請求項３に記載の量子鍵配送システムであって、
前記受信機で光子が検出されたパルスについて、
前記送信機は、前記光子を検出したのが前記第１もしくは第２の光検出手段であり、かつΔθ_ａ＝０、または前記光子を検出したのが前記第３もしくは第４の光検出手段であり、かつΔθ_ａ＝３π／２のとき、ビットを０とし、前記光子を検出したのが前記第１もしくは第２の光検出手段であり、かつΔθ_ａ＝π、前記光子を検出したのが前記第３もしくは第４の光検出手段であり、かつΔθ_ａ＝π／２のとき、ビットを１とし、
前記受信機は、前記光子を検出したのが前記第１の光検出手段であり、かつΔθ_ａ＝｛０，π｝、または前記光子を検出したのが前記第３の光検出手段であり、かつΔθ_ａ＝｛π／２，３π／２｝のとき、ビットを０とし、前記光子を検出したのが前記第２の光検出手段であり、かつΔθ_ａ＝｛０，π｝、前記光子を検出したのが前記第４の光検出手段であり、かつΔθ_ａ＝｛π／２，３π／２｝のとき、ビットを１とすることを特徴とする量子鍵配送システム。