JP2011228942A

JP2011228942A - 量子暗号通信システム

Info

Publication number: JP2011228942A
Application number: JP2010097054A
Authority: JP
Inventors: Toshimori Honjo; 利守本庄; Yasushi Inoue; 恭井上
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-04-20
Filing date: 2010-04-20
Publication date: 2011-11-10
Anticipated expiration: 2030-04-20
Also published as: JP5498234B2

Abstract

【課題】連続クリック攻撃を発見できる量子暗号通信システムを提供すること。
【解決手段】受信機４２０は、連続クリック攻撃において盗聴者から送られると想定される連続パルス数をＮとしたときに、(Ｎ＋１)Ｔより長い時間間隔の２つの時刻で光子がともに検出された事象を計数する。正常動作時であれば、受信機４２０に到達する１パルス当たりの平均光子数をμ、第１及び第２の光子検出器４２３、４２４の検出効率をηとすると、離れた２パルスからともに光子検出する確率はおおよそ（ημ）²である。一方、連続クリック攻撃が行われていると、その確率は、理想的にはゼロ、第１及び第２の光子検出器４２３、４２４の暗計数確率がｄである場合には（ημ）ｄとなる。いずれにしても、２パルス光子検出確率は、正常時と連続クリック攻撃時では異なることになる。離れた２パルスでともに光子検出された回数をモニターすれば連続クリック攻撃を発見する。
【選択図】図４

Description

本発明は、送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムに関する。

従来、暗号技術としては数式の数学的な計算困難性（例えば、解読のための計算に膨大な時間がかかる）を基礎にした暗号方式が使用されてきたが、最近では、光子１個レベルの光を用いることにより、物理的に安全性が保証された量子暗号通信の研究が進められている。

量子暗号は、量子力学の理論を用いた暗号技術であって、盗聴しても内容が無意味なものになってしまい、かつ盗聴されたことが分かる究極の暗号技術として知られている。

量子通信の分野では、互いに離れた地点に存在する２者間で暗号通信を行うための秘密鍵を供給するシステムが知られており、そのシステムは、量子鍵配送システムとも呼ばれている。量子鍵配送には、各種方式が存在するが、本明細書では従来技術として、「差動位相シフト量子鍵配送方式」（非特許文献１参照）について説明する。

図１（ａ）は、従来技術の「差動位相シフト量子鍵配送システム」の基本構成を示す。送信機は、０またはπで任意にランダムに位相変調した一定間隔のコヒーレント光パルス列を、パルス当り平均１光子未満（例えば、０．１光子/パルス）で伝送路に送出する。平均光子数１個未満という状態は、通常のレーザ光を大きく減衰させることにより実現される。

このような光パルス列を光子検出すると、パルスによって光子が検出されたりされなかったり、という検出結果となる。どのパルスで光子が検出されるかは、測定するまで不確定である。

図１（ａ）に示すように、送信機から送出されたパルス列は、伝送路を介して受信機に到達する。まず、受信機では、光分岐手段を使用して、送信機から受信した光パルス列をエネルギー的に等分になるように２つに分岐し、分岐した各光パルス列を長経路および短経路に送出する。長経路では、光パルス列に一定の遅延時間Ｔを加える。その後、長経路および短経路を通った光パルス列は、２×２合波カップラにおいて再び合波する。２×２合波カップラは、長経路および短経路にそれぞれ接続されている第１及び第２の入力端子を備え、長経路および短経路を通った光パルス列を受け入れる。また、２×２合波カップラは、第１及び第２の出力端子も備え、それぞれの出力端子には、第１及び第２の光子検出器が接続されている。

上記の長経路で一方の光パルスに与えられる一定の遅延時間Ｔは、送信機から伝送路を介して受信機に入力される光パルス列の一定間隔Ｔに等しいものと仮定すると、２×２合波カップラでは、前後のパルスが重なり合って合波される。パルスが重なり合う様子は、図１（ｂ）に図示している。

受信機に入力された光パルス列は、上述したように、０またはπで位相変調されている。したがって、受信機内の光分岐手段から２×２合波カップラにいたる分岐・合波経路の伝播位相が適切であれば、重なり合うパルスの位相差は０またはπとなる。

２×２合波カップラでの合波の結果、両パルスは干渉し、位相差が０ならば第２の光子検出器が光子を検出し、位相差πならば第１の光子検出器が光子を検出することになる。

上記の構成を用いて、送信機と受信機は、以下の手順により秘密鍵を得る。

まず、受信機は、上記の構成により送信機から送出され、伝送路を経たパルスから光子を検出する。この際、受信機は、検出した時刻と光子検出器を記録する。所定の数の光子が受信された後、受信機は送信機に対して光子が検出された時刻（以下「光子検出時刻」とも言う。）を通知する。ただし、この通知経路は上記伝送路に限るものではない。

送信機は、受信機から通知された光子検出時刻と、送信機自身が有する位相変調データとから、受信機が第１及び第２の光子検出器のいずれで光子を検出したかを知ることができる。

そこで、第１の光子検出器で光子検出した場合をビット「０」、第２の光子検出で光子検出した場合をビット「１」と予め取り決めておけば、送信機と受信機は、双方で同じビット列を得ることができる。

上記手順においては、受信機から送信機へ通知されるのは光子検出時刻のみであるため、ビット情報は受信機の外部には出ることはなく、盗聴されることはない。

この「差動位相シフト量子鍵配送方式」に対する代表的な盗聴法として「なりすまし法」と呼ばれる方法が知られている。図２（ａ）は、なりすまし盗聴の説明図である。図中、光子検出器を便宜上「ＤＥＴ」と標記している。盗聴機（盗聴者）は、伝送路の途中で、送信機によって送出された伝送信号を本来の受信機と同様の機器構成で受信し、その受信結果に基づいてダミー信号を本来の受信機に光送信機を用いて送信する。盗聴機（盗聴者）が送信機からの伝送信号を正しく受信できれば、ダミー信号は元の送信信号と同一であり、受信機に盗聴行為が気付かれないようにして情報を得ることができる。

しかしながら、上述の「差動位相シフト量子鍵配送方式」においては、送信機からの送信信号はパルスあたり平均１光子未満（例えば０．１光子/パルス）の光パルス列であるため、このような送信信号を受信しても、平均１０パルスに１回しか光子は検出されない。

したがって、盗聴機（盗聴者）は、光子を検出することができた時刻に対応する２つのパルスの位相差は分かるが、それ以外の場合の位相差は検出できない。盗聴機（盗聴者）がこのような検出結果に基づいてダミー信号を送ろうとすると、位相差が検出できなかった時刻に対応するパルスについては、当て推量で選んだ位相を割り振って再送するか（なりすまし盗聴１）、何も信号を出さないか（なりすまし盗聴２）のいずれかの方法を採るしかない。

前者の場合（なりすまし盗聴１）、当て推量で選んだ位相差を受信機が検出した際、送信機が送った信号と異なる可能性が高い。後者の場合（なりすまし盗聴２）、やはり信号の不一致が生じる。その理由は、この場合の盗聴機（盗聴者）が送るのは光子を検出した時刻に対応する２パルスを含むパルス列であるが、孤立した連続する２つのパルス以外は空のパルスだからである。つまり、孤立した連続する２つのパルスを受信機が受信すると、２×２合波カップラら出力される段階では３つの時刻で光子が検出され得る。

この３つの時刻で光子が検出される様子は、図２（ｂ）に図示している。図２（ｂ）では、光分岐手段によって分岐された光パルス列のうち、遅延されない光パルス列（下に記載されている光パルス列）と遅延された光パルス列（上に記載の光パルス列）を時系列的に図示している。

図２において、両光パルス列が重なる時刻は３つ示されているが、そのうちの真ん中の時刻（「第２の時刻」と呼ぶ。）ｔ２で光子が検出された場合には、その検出結果は２つのパルスの位相差に従っており、送信機が意図した通りの光子検出器で光子が検出される。

ところが、２つの光パルス列が重ねる時刻のうち第２の時刻ｔ２の前後である第１の時刻ｔ１又は第３の時刻ｔ３で光子が検出された場合には、干渉する相手がいないため、第１及び第２の光子検出器のいずれで光子が検出されるかは全く無作為に起こる。

したがって、受信機が第１の時刻ｔ１又は第３の時刻ｔ３での光子検出結果から秘密鍵ビットを得ると、そのビットは送信機が意図したものとは異なるものになる。

このように、なりすまし盗聴が行われると、送信機と受信機との間でビットの不一致が生じる。これをビット誤りと言う。そこで、送信機および受信機は、通常の手順に従って秘密鍵を得た後、いくつかのテストビットを用いて照合検査する。システムが正常に動作していれば両者のビット情報は一致するが、なりすまし盗聴があれば一致しないビットが発生する。

より具体的には、盗聴機が１個の光子を含むダミー信号を送信した場合、受信機が第１または第３の時刻で光子検出する確率は１／２であり、そしてこの光子検出から得られるビットが一致しない確率はさらにその１／２であることから、１／４の割合でビット誤りとなる。ビット誤りがある場合、システムは正常に動作していないと判断され、その秘密鍵は廃棄される。言い方を変えると、テストビットが一致していれば盗聴行為はなかったと判断することができ、その秘密鍵は安全であることが保証される。

このように、差動位相シフト量子鍵配送方式においては、なりすまし盗聴を受けたとしても、送信信号が１パルスあたり１光子未満であることにより、盗聴者（盗聴機）は正確なダミー信号を送信できず、不正確なダミー信号により送受信機間でビット誤りが生じ、盗聴の有無を判別することができた。

K. Inoue, E. Waks, Y. Yamamoto, ‘‘Differential-phase-shift quantum key distribution using coherent light,’’ Physical Review A, 2003, vol. 68, paper number 022317 T. Tsurumaru, ‘‘Sequential attack with intensity modulation on differential-phase-shift quantum key distribution protocol,’’ Physical Review A, 2007, vol. 75, paper number 062319

上述の説明では、送受信機の性能が理想的であることを前提として、得られた秘密鍵が安全であることを説明した。しかしながら、実際には送受信機の性能の不完全さのために、システム元来のビット誤り率が発生する。

この場合、そのビット誤りに紛れて、鍵の一部が盗聴される可能性がある。例えば、システム元来のビット誤り率がｅであったと仮定する。これに対して盗聴者（盗聴機）は、伝送信号の一部に対してだけ、上述のなりすまし盗聴２（位相差が検出できなかったパルスについては何も信号を出さない）を行なうとする。盗聴する割合をｘとすると、それにより発生するビット誤り率は、ｘ×１／４＝ｘ／４である。

ここで、ｘ／４＜ｅ、すなわち、システム元来のビット誤り率の方が盗聴により発生するビット誤り率より高い場合には、送信機および受信機では、このシステム元来のビット誤りと盗聴によるビット誤りとの区別がつかず、盗聴に気づくことが困難である。すなわち、割合ｘに該当する分の鍵情報は、送信機および受信機が気付くことなく盗聴者によって盗まれる可能性がある。

上記の説明では、盗聴により発生するビット誤り率を１／４としたために、盗聴成功条件がｘ／４＜ｅすなわちｘ＜４ｅであった。もし、盗聴によるビット誤り率が１／４より小さい１／ｍであれば（ｍ＞４）、盗聴成功条件はｘ＜ｍｅとなる。つまり、盗聴者が、盗聴によって生じるビット誤り率を小さくできれば、システム元来のビット誤りを利用する盗聴量を大きくすることができる。そうするための盗聴法として、「連続クリック攻撃」という方法が知られている（非特許文献２）。この盗聴法は、「差動位相シフト量子鍵配送方式」に対して、もっとも強力な盗聴方法とされている。以下、「連続クリック攻撃」について説明する。

上述の「なりすまし攻撃」において、盗聴によるビット誤りが起こるのは、受信機が、第１の時刻または第３の時刻で光子検出する場合であった。これは、言い方を変えると、光子を検出し得る時刻のうちの両端の時刻である。もし、盗聴者の送るダミー信号において、光子が存在し得る連続パルス数が大きければ、当該両端の時刻で光子を検出する確率は相対的に小さくなる。上述の「なりすまし攻撃」では、盗聴者が送るダミー信号のうち光子が存在し得るのは２連続パルスであったため、受信機が光子を検出し得るのは３つの時刻であり、片端の時刻で光子検出する確率は１／４、両端では１／２であったが、例えば、光子が存在し得るのが４連続パルスであれば、受信機は５つの時刻で光子を検出する可能性があり、そのうち片端の時刻で光子検出する確率は１／８、両端では１／４となる。両端の時刻で光子検出する確率が小さくなれば、ビット誤りを起こす確率も小さくなる。そして、その結果、盗聴量も増えることになる。

「連続クリック」攻撃は、上述の原理を利用した盗聴法である。図３（ａ）は、差動位相シフト量子鍵配送システムに対する連続クリック攻撃の説明図である。なりすまし攻撃と同様に、盗聴者は伝送路の途中で、送信機によって送出された伝送信号を受信し、その受信結果に基づいてダミー信号光子を本来の受信機に光送信機を用いて送信する。ただし、なりすまし攻撃のように光子を検出する度にダミー光子を送信するのではなく、連続して光子検出したときのみダミー光子を送信する。送信機から送られる光パルス列は、例えば０．１光子/パルスなので、２回連続して光子検出する確率は(０．１)²、３回連続して光子検出する確率は(０．１)³、であり、１回検出確率よりは小さいが、ゼロではない。

盗聴者は、連続光子検出した場合、当該連続パルスの位相差を知ることができる。そこで、図３（ａ）に示すように、得られた位相差を付与した連続パルスを本来の受信機へ送信する。さらにその際、連続パルスの包絡線が真ん中のパルスをピークとするガウス波形となるようにして送信する。すなわち、連続パルスの両端のパルスにおける光子の存在確率が小さくなるようにして送信する。

さらに、盗聴者は、上記連続パルスを、極低損失伝送路を介して、本来の受信機へ送信する。これは、受信機が、受信する光子数の減少から盗聴を検知するのを防ぐためである。上述のように、連続クリック攻撃においては、盗聴者は、連続して光子を検出した場合にのみダミー信号を送信し、単独検出の時には何も送らない。したがって、元と同じ伝送路を介してダミー信号を送信したのでは、受信機が受け取る全光子数が減ることになり、これより盗聴が発覚する。そこで、盗聴者は、極低損失伝送路を用いる。

元の伝送路には伝送損失があり、送信機から送出された光子の何割かは、伝送中に消滅して受信機には届かない。消滅する割合は伝送距離が長いほど大きい。例えば、伝播損失０．３ｄＢ／ｋｍであるファイバー伝送路の場合、１００ｋｍ伝送路では９９．９％の光子が消滅する。

盗聴者が極低損失伝送を用いると、ダミー光子は、消滅することなく本来の受信機に到達する。単独検出のため盗聴者でブロックされる光子の割合が、元の伝送路で消滅する光子の割合（上の例で言えば、９９．９％）と同じであれば、受信機に到達する光子数は、盗聴がある場合と無い場合で変わりはない。したがって、受信機は、受信光子数からは盗聴行為に気が付かない。

盗聴者から送られたダミー信号は、極低損失伝送路を介して、正規の受信機に到達する。受信機は、受信信号を光分岐手段から２×２合波カップラにいたる分岐・合波回路に通した後、光子検出する。ここで、ダミー信号において光子が存在し得る連続パルス数をＮとすると、分岐・合波回路から出力される段階では（Ｎ＋１）個の時刻で光子が検出され得る。これらの時刻で光子が検出される様子は、図３（ｂ）に図示している（図の例ではＮ＝６）。

図３（ｂ）に示されているように、(Ｎ＋１)個の時刻のうち、１番目の時刻または（Ｎ＋１）番目の時刻で光子が検出される場合、干渉する相手がいないため、第１及び第２の光子検出器のいずれで光子が検出されるかは、全く無作為に起こる。したがって、受信機が１番目の時刻または（Ｎ＋１）番目の時刻での光子検出結果から秘密鍵ビットを得ると、そのビットは送信機が意図したものとは異なるものになる。

上記盗聴により、送受信機でビットが不一致となる確率、ビット誤り率は、１番目の時刻または（Ｎ＋１）番目の時刻で光子が検出される確率によって決まる。この確率は、盗聴者が送るダミー信号の連続光子パルス数Ｎが３以上であることと、その包絡線が中心パルスをピークとするガウス波形状であることにより、前述のなりすまし盗聴における確率よりも小さい。したがって、連続クリック攻撃によって生じるビット誤り率は、なりすまし盗聴によって生じるビット誤り率よりも小さい。その結果、前者による盗聴量が後者によるものより大きくなる。

以上の原理により、連続クリック攻撃が差動位相シフト量子鍵配送システムに対する最も強力な盗聴法とされている。

本発明は、このような問題に鑑みてなされたもので、その目的は、連続クリック攻撃を発見できる量子暗号通信システムを提供することにある。

このような目的を達成するために、本発明の第１の態様は、送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおいて、前記送信機は、一定の時間間隔Ｔの連続パルスからなる光パルス列を送出する光源と、前記光パルス列を０またはπで位相変調する位相変調器と、位相変調された前記光パルス列を、パルス当りの平均光子数を１光子未満に減衰して送出する減衰器とを備えることを特徴とする。さらに、前記受信機が、前記送信機から送出された前記光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する光分岐手段と、前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔Ｔと等しい時間だけ遅延させる遅延手段と、前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成する２×２光カップラと、前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対位相差が０である場合に光子を検出する第１の光子検出器と、前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対位相差がπである場合に光子を検出する第２の光子検出器と、前記第１または第２の光子検出器で光子が検出された光子検出時刻および検出した光子検出器を記録する記録手段と、前記記録手段により記録された前記光子検出時刻を照合して、ｎ・Ｔだけ離れた２つの時刻（ｎは予め定めた自然数）でともに光子を検出した回数を計数する計数手段と、前記計数手段により計数した前記回数が所定の値と異なっていた場合に盗聴ありと判断する盗聴検知手段とを備えることを特徴とする。

また、本発明の第２の態様は、第１の態様において、前記予め定めた自然数ｎが、前記量子暗号通信システムに対する連続クリック攻撃において盗聴者から送られると想定される連続パルス数をＮとしたときに、ｎ＞Ｎ＋１を満たす一定値であることを特徴とする。

また、本発明の第３の態様は、前記予め定めた自然数ｎが、前記量子暗号通信システムに対する連続クリック攻撃において盗聴者から送られると想定される連続パルス数をＮ、ｎ_minをｎ_min＞Ｎ＋１を満たす自然数、ｎ_maxを盗聴者がＮ回連続で光子検出した後に、次のＮ回連続の光子検出が始まるまでに要するパルス数の平均値としたときに、ｎ_min ＜ｎ＜ｎ_maxを満たし、前記計数手段により計数する前記回数は、ｎ_min ＜ｎ＜ｎ_maxであるｎについての積算値であることを特徴とする。

本発明によれば、量子暗号通信システムの受信機において、ｎ・Ｔだけ離れた２つの時刻（ｎは予め定めた自然数）でともに光子を検出した回数を計数することにより、連続クリック攻撃を発見することができる。

（ａ）は、従来の差動位相シフト量子鍵配送システムの基本構成を示す図であり、（ｂ）は、受信機の２×２合波カップラにおいてパルスが重なり合う様子を示す図である。（ａ）は、従来のなりすまし盗聴の説明図であり、（ｂ）は、孤立した連続する２つのパルスを受信した受信機の２×２合波カップラにおいてパルスが重なり合う様子を示す図である。（ａ）は、従来の差動位相シフト量子鍵配送システムに対する連続クリック攻撃の説明図であり、（ｂ）は、受信機の２×２合波カップラにおいてパルスが重なり合う様子を示す図である。本発明の第１の実施形態に係る量子暗号通信システムの構成図である。連続クリック攻撃において盗聴者が送出するダミー信号を説明するための図である。第１の実施形態に係る量子暗号通信システムによる盗聴検知を説明するための図である。第２の実施形態に係る量子暗号通信システムによる盗聴検知を説明するための図である。

以下、図面を参照して本発明の実施形態を詳細に説明する。

（第１の実施形態）
図４は、本発明の第１の実施形態に係る量子暗号通信システムの構成図である。図４において、送信機４１０は、光源４１１と、位相変調器４１２と、減衰器４１３とを備える。光源４１１は、一定間隔Ｔの光パルス列を発生する。位相変調器４１２は、各パルスを０もしくはπでランダムに位相変調を施す。そして、減衰器４１３を用いて１パルス当たり平均光子数を１未満に減衰して、伝送路に送出する。減衰器４１３は、例えば、ＮＤフィルタ等、レーザ光などの光源４１１から入射される光を大きく減衰させるための手段であればいずれのものを用いてもよい。この送信機４１０の構成は、従来技術の差動位相シフト量子鍵配送システムと同様である。

光検出装置としての受信機４２０は、光分岐手段４２１と、２×２光カップラ４２２と、第１及び第２の光子検出器４２３、４２４と、メモリー４２５（「記録手段」に対応）と、ＣＰＵ４２６で構成されている。受信機４２０へ入力された光は、光分岐手段４２１により２分岐され、一方に長経路（「遅延手段」に対応）により遅延時間Ｔが与えられた後、２×２光カップラ４２２により再び合波される。遅延時間Ｔは入力されたパルス列のパルス間隔に等しいものとする。２×２光カップラ４２２の第１及び第２の出力端子にはそれぞれ、第１及び第２の光子検出器４２３、４２４が接続されている。

以上の構成により、送信機４１０が、０またはπでランダムに位相変調した一定間隔（パルス間隔）Ｔの光パルス列を、パルス当り平均１個光子未満（例えば、０．１光子/パルス）として送出する。光パルスのコヒーレンス時間はパルス間隔Ｔより充分長いものとする。受信機４２０は、光伝送路を経て送信機４１０より伝送されてきたパルス列を、光分岐手段４２１に入力する。分岐された光パルス列は、２×２光カップラ４２２で合波され、第１及び第２の光子検出器４２３、４２４にてそれぞれ検出される。

このように受信機４２０を構成すると、２×２光カップラ４２２では、前後のパルスが重なり合い干渉を起こす。干渉の結果、パルス間の位相差が０なら第２の光子検出器４２４が、πなら第１の光子検出器４２３が、光子を検出する。但し、送信光はパルス当り平均１個光子未満なので、光子が検出されるのは稀である。

上記構成及び動作特性を利用して、以下の手順により、送信機４１０と受信機４２０は共通のビットを得る。（１）送信機４１０と受信機４２０は必要な長さのパルス列を送受信する。この際、受信機４２０は光子を検出した時刻および検出した光子検出器をメモリー４２５に記録する。（２）受信機４２０のＣＰＵ４２６は、記録した光子検出時刻を調べ、特定時間だけ離れた２つの時刻でともに光子が検出された回数を計数する。そして、その回数が所定の値と同一であれば、次のプロセスに進む。所定の値と異なっていた場合には、ＣＰＵ４２６は盗聴有りと判断して、ビット生成作業を中止する。（３）受信機４２０は、光子検出時刻を送信機に通知する。（４）送信機４１０は、自身の位相変調データと光子検出時刻から、受信機４２０においてどちらの光子検出器が光子を検出したかを知る。（５）送信機４１０と受信機４２０は、光子検出事象について、第１の光子検出器４２３によるものであればビット「０」を、第２の光子検出器４２４によるものであればビット「１」を付与する。この場合、光子を検出する光子検出器は確定しているので、送信機４１０と受信機４２０は同じビット値を得ることになる。これを秘密鍵ビットとする。

以上の構成・手順によるシステムでは、以下の原理により、連続クリック攻撃を発見する。

連続クリック攻撃では、盗聴者は、伝送路の途中で伝送信号光を検出し、連続して検出結果が得られた場合にのみ、光子検出結果に基づき、正規の受信機が同じ検出結果となるようにダミー信号を送出する。連続検出されない場合には、何も送らない。

前述のように、本実施形態では、送信機４１０が送出しているのは、送信レベルがパルス当り平均１個光子未満、例えば０．１個光子／パルスであるパルス列である。そのため、盗聴者が連続して信号検出するのは稀である。したがって、盗聴者から送出されるダミー信号は、ほとんどが空パルスで、ごく稀に光子を含んだ数パルスが連続して送られることになる（図５参照）。

これに対し受信機４２０は、連続クリック攻撃において盗聴者から送られると想定される連続パルス数をＮとしたときに（図５の例では、Ｎ＝６）、(Ｎ＋１)Ｔより長い時間間隔の２つの時刻で、光子がともに検出された事象を計数する。例えば、Ｎ＝６であれば、図６に示すように、８パルス分離れた２つの時刻で共に光子が検出された事象を数え上げる。ここで、連続パルス数Ｎに関しては、次のような値を想定する。Ｎの値は、伝送路の損失などを含む送信側から受信側への伝送効率に応じて変化する値である。送信側から送出される各光パルスには、所定の平均光子数(例えば０．１光子／パルス)を平均とするポアソン分布に従った数の光子が確率的に含まれている。したがって、盗聴者が連続してＮ回、光子を検出できる確率もこの平均光子数により決まる。連続クリック攻撃では、盗聴者は、Ｎ回連続して光子検出できたときに、１光子、極低損失伝送路を通じて、受信側に信号を送出する攻撃である。ただし、盗聴者は、盗聴が行なわれていない状況下で、受信側で受信すべき光子検出数に変化がないように盗聴行為を行なわなければならないという制約がある。光子検出数に変化があると、そこから盗聴が発覚するからである。そこで、盗聴者は、上記の制約が満たされる最大のＮを採用すると想定する。

盗聴されていない正常動作時であれば、受信機４２０に到達する１パルス当たりの平均光子数をμ、第１及び第２の光子検出器４２３、４２４の検出効率をηとすると、離れた２パルスからともに光子検出する確率はおおよそ（ημ）²である。一方、連続クリック攻撃が行われていると、その確率は、理想的にはゼロ、第１及び第２の光子検出器４２３、４２４の暗計数確率（光子が無い時に誤ってカウントする確率）がｄである場合には（ημ）ｄとなる。いずれにしても、２パルス光子検出確率は、正常時と連続クリック攻撃時では異なることになる。

そこで、離れた２パルスでともに光子検出された回数をモニターすることにより、連続クリック攻撃を発見する。

なお、一定時間だけ離れた２つの時刻でともに光子が検出された回数を計数する計数処理、及びその回数が所定の範囲内でない場合に盗聴有りと判断する盗聴検知処理は、図４に示したように、ＣＰＵ４２６を計数手段４２７及び盗聴検知手段４２８として機能させることで実現できる。

（第２の実施形態）
第１の実施形態に係るシステムにより、原理的には連続クリック攻撃が検知できるが、伝送損失が大きい又は光子検出器の検出効率が悪い場合には、検知が困難となることがある。このような場合には、ημが小さな値となり、（ημ）²はさらに小さくなる。連続クリック攻撃を検知するためには、（ημ）²がゼロ又は（ημ）ｄと有意に違っていなければならないが、（ημ）²が非常に小さくほぼゼロであると、正常時と盗聴時との区別がつかず、盗聴が検知できない。本発明の第２の実施形態はこの課題を解決する。

第２の実施形態の装置構成は、ＣＰＵ４２６内の処理を除いて第１の実施形態と同一である。第１の実施形態では、離れた２パルスでともに光子検出が起こる回数をメモリー４２５に記録した光子検出時刻からＣＰＵ４２６で計数した。この場合の２パルスの時間間隔は、図６に示したように、特定の時間間隔、例えば、連続パルス間隔をＴとするとｎ₁・Ｔという時間間隔（ｎ₁はｎ₁＞Ｎ＋１を満たす自然数）であった。これに対し本実施形態では、パルス間隔が特定の一定値ではなく、ある時間幅内にある２パルス光子検出の回数をモニターする。すなわち、次式を満たすｎ₂について、ｎ₂・Ｔという時間間隔の２パルスでの光子検出回数の積算値をモニターする（図７参照）。
ｎ_min ＜ｎ₂ ＜ｎ_max
ここで、ｎ_min、ｎ₂、ｎ_maxは自然数であり、ｎ_min＞Ｎ＋１である。ｎ_maxは、次のように定義する。前述のように、送信側から送出される各光パルスには、所定の平均光子数（例えば０．1光子／パルス）を平均とするポアソン分布に従った数の光子が確率的に含まれている。したがって、盗聴者がＮ回連続で光子検出した後に、次のＮ回連続の光子検出が始まるまでに要するパルス数ｍも確率的になる。そこで、このｍの平均値をｎ_maxとする。

このようにすると、正常時には、光子検出確率は一様であるため、２パルス光子検出積算値は特定時間間隔の２パルス光子検出回数の（ｎ_max−ｎ_min＋１）倍となる。一方、盗聴時の２パルス光子検出積算値は、ｎ_minはｎ_min＞Ｎ＋１を満たし、ｎ_maxは連続クリック攻撃で想定されるダミー信号の隣接する光子パルス間隔数の平均値より小さい値としているため、第１の実施形態と同様にゼロ又は（ημ）ｄである。すなわち、正常時と盗聴時の差が大きくなる。そのため、伝送損失が大きい又は光子検出器の検出効率が悪い場合でも、盗聴を検知することができる。

Claims

送信機から受信機へ量子暗号鍵を配送する量子暗号通信システムにおいて、
前記送信機は、
一定の時間間隔Ｔの連続パルスからなる光パルス列を送出する光源と、
前記光パルス列を０またはπで位相変調する位相変調器と、
位相変調された前記光パルス列を、パルス当りの平均光子数を１光子未満に減衰して送出する減衰器と
を備え、
前記受信機は、
前記送信機から送出された前記光パルス列を受信して第１の光パルス列と第２の光パルス列に分岐する光分岐手段と、
前記第１の光パルス列を前記第２の光パルス列に対して前記一定の時間間隔Ｔと等しい時間だけ遅延させる遅延手段と、
前記遅延手段で遅延させられた前記第１の光パルス列と前記第２の光パルス列を合波して合波後の光パルスを生成する２×２光カップラと、
前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対位相差が０である場合に光子を検出する第１の光子検出器と、
前記遅延させられた前記第１の光パルス列と前記第２の光パルス列の相対位相差がπである場合に光子を検出する第２の光子検出器と、
前記第１または第２の光子検出器で光子が検出された光子検出時刻および検出した光子検出器を記録する記録手段と、
前記記録手段により記録された前記光子検出時刻を照合して、ｎ・Ｔだけ離れた２つの時刻（ｎは予め定めた自然数）でともに光子を検出した回数を計数する計数手段と、
前記計数手段により計数した前記回数が所定の値と異なっていた場合に盗聴ありと判断する盗聴検知手段と
を備えることを特徴とする量子暗号通信システム。
前記予め定めた自然数ｎは、前記量子暗号通信システムに対する連続クリック攻撃において盗聴者から送られると想定される連続パルス数をＮとしたときに、ｎ＞Ｎ＋１を満たす一定値であることを特徴とする請求項１に記載の量子暗号通信システム。
前記予め定めた自然数ｎは、前記量子暗号通信システムに対する連続クリック攻撃において盗聴者から送られると想定される連続パルス数をＮ、ｎ_minをｎ_min＞Ｎ＋１を満たす自然数、ｎ_maxを盗聴者がＮ回連続で光子検出した後に、次のＮ回連続の光子検出が始まるまでに要するパルス数の平均値としたときに、ｎ_min ＜ｎ＜ｎ_maxを満たし、
前記計数手段により計数する前記回数は、ｎ_min ＜ｎ＜ｎ_maxであるｎについての積算値であることを特徴とする請求項１に記載の量子暗号通信システム。