JP2018037904A - 量子鍵配送システム - Google Patents

Abstract

【課題】伝送路制御の不完全性などによって誤り率が高くなってしまうようなシステムであっても安全な暗号鍵共有を可能にする。【解決手段】第１の受信部は、複数の単一光子検出器を含み、量子もつれ光子対のシグナル光子を受光し、シグナル光子を受光した時刻を示す第１の検出時刻、第１の基底情報及び第１のビット値を含む第１の生鍵Ａを取得する。第２の受信部は、複数の単一光子検出器を含み、量子もつれ光子対のアイドラー光子を受光し、アイドラー光子を受光した時刻を示す第２の検出時刻、第２の基底情報及び第２のビット値を含む第２の生鍵Ｂを取得する。第１の信号処理部は、第１の受信部から第１の生鍵Ａを受け取り、第２の信号処理部は、第２の受信部から第２の生鍵Ｂを受け取る。第１の信号処理部及び第２の信号処理部は、ビット値「１」を表わす光子を受光した時刻と、ビット値「０」を表わす光子を受光した時刻の間にΔτの遅延時間を与える。【選択図】図１

Description

この発明は、量子もつれ光子対を利用した量子鍵配送システムに関する。

情報漏洩のない安全な暗号通信を実現するためには、情報の暗号化・復号化に利用する暗号鍵を盗聴者などの第三者に知られることなく送信者・受信者が共有することが必須である。

量子鍵配送システムは、物理法則に則って究極の無条件安全性が保障された暗号鍵配送システムとして注目され、将来の高セキュリティ情報通信システムへの応用を目指した研究開発が近年活発化している。

量子鍵配送システムは、理想的には１パルスあたり１個の光子を発生する単一光子源、あるいは１パルスあたり１組の量子もつれ光子対を発生する量子もつれ光源を用いて実現される。

単一光子源を用いた場合、送信者が単一光子を発生し、受信者がそれを単一光子検出器で受光する。あるいはまた、受信者が単一光子を発生し、送信者がそれを単一光子検出器で受光する。その後、測定基底情報の交換や誤り訂正、秘匿増幅のプロセスを経て最終的な暗号鍵の共有を行う。

一方、量子もつれ光源を用いた場合、送受信者がそれぞれ量子もつれ光子対となる光子の一方ずつ（それそれをシグナル光子、アイドラー光子と呼ぶ）を単一受信部で受光することにより暗号鍵の共有を行う。

図１を参照して、量子もつれ光子対を利用した量子鍵配送システムの基本構成を説明する。図１は、量子もつれ光子対を利用した量子鍵配送システムの基本構成を示す模式図である。

量子鍵配送システムは、量子もつれ光源１０００、第１の受信部１００１、第２の受信部１００２、第１の信号処理部１００３及び第２の信号処理部１００４を備えて構成される。量子もつれ光源１０００は、シグナル光子及びアイドラー光子からなる量子もつれ光を生成する。シグナル光子及びアイドラー光子は、光ファイバ通信網や空間光学系などの量子チャンネル１及び２を経て、それぞれ、第１の受信部１００１及び第２の受信部１００２に伝送される。

第１の受信部１００１及び第２の受信部１００２は、それぞれ複数の単一光子検出器を含み、シグナル光子及びアイドラー光子をそれぞれ検出し、検出時間とその時の基底情報、ビット値を出力する。

第１の信号処理部１００３及び第２の信号処理部１００４は、それぞれ、第１及び第２の受信部１００１、１００２から、検出時間、基底情報、ビット値を受信し、暗号鍵生成のもととなる生鍵を生成する。第１の信号処理部１００３及び第２の信号処理部１００４は、さらに、古典チャンネル３を介した双方向通信などを行ってシフト鍵を生成し、さらには誤り訂正、秘匿増幅による鍵蒸留プロセスを実行し、暗号通信に用いる最終的な暗号鍵を生成する。

例えば第１の信号処理部１００３は、第１の受信部１００１の検出結果から、シグナル光子を受光した時間情報（Ｔａ）、その時の観測基底情報（Ｍａ）、ビット値（Ｂａ）を得る。ここではこれら情報Ｔａ、Ｍａ、Ｂａをまとめて生鍵Ａとする。また以下では、生鍵Ａを取得する側を送信者２０と規定する。

同様に第２の信号処理部１００４は、第２の受信部１００２の検出結果から、アイドラー光子を受光した時間情報（Ｔｂ）、その時の観測基底情報（Ｍｂ）、ビット値（Ｂｂ）を得る。ここではこれら情報Ｔｂ、Ｍｂ、Ｂｂをまとめて生鍵Ｂとする。また以下では、生鍵Ｂを取得する側を受信者３０と規定する。

このシステムにおける暗号鍵生成方法の概略は以下の通りである。

（１）受信者３０は、生鍵Ｂの一部（例えば半分）についてのＴｂ、Ｍｂ、Ｂｂを送信者２０に古典チャンネル３を介して送信する。

（２）送信者２０は、自らの有する生鍵Ａと受信者の送ってきた生鍵Ｂを第１の信号処理部１００３にて照合し、時間情報Ｔ、観測基底情報Ｍが一致するものに対してビット値を比較し、誤り率を計算する。この処理は、パラメータ推定と呼ばれる。それによって盗聴者が得た情報量の最大量を見積もる。誤り率が一定の規定値以上である場合、盗聴者は正規な受信者と同等ないしはそれ以上の情報量を持っているとみなし、当該セッションを破棄する。また受信者にもその旨通知する。

（３）誤り率が一定の規定値以下である場合、セッションを続行し、受信者３０は上記（１）で送信したのとは重複しない、残りの生鍵Ｂに対してその時間情報Ｔ、観測基底情報Ｍのみを古典チャンネル３を介して送信者に送信する。

（４）送信者２０は、自らの有する生鍵Ａの時間情報Ｔａ、観測基底情報Ｍａと受信者の送ってきた時間情報Ｔｂ、観測基底情報Ｂｂを第１の信号処理部１００３にて照合し、時間情報Ｔ、観測基底情報Ｍの両方が一致するものに対してシフト鍵を生成する。

（５）送信者２０は、古典チャンネル３を介して、上記（４）の処理でシフト鍵を生成した際に使用した時間情報Ｔａ、観測基底情報Ｍａを受信者３０に送信する。

（６）受信者３０は、自らの有する生鍵Ｂの時間情報Ｔｂ、観測基底情報Ｍｂと送信者の送ってきた時間情報Ｔａ、観測基底情報Ｍａを第２の信号処理部１００４にて照合し、時間情報Ｔ、観測基底情報Ｍが一致するものに対してシフト鍵を生成する。

（７）送受信者は、各々の信号処理部１００３、１００４において、古典チャンネル３を介した相互通信などによって互いの持つシフト鍵に対して誤り訂正を行い、訂正鍵を作成する。また、（２）のパラメータ推定で得た誤り率に対応した鍵の圧縮（秘匿増幅）を行い、最終的な暗号鍵を共有する。

上記のように、送受信者が暗号鍵を生成するもととなる生鍵とは、光子を検出した時間情報Ｔａ、Ｔｂと、この時に利用した観測基底情報Ｍａ、Ｍｂと、この時の観測結果（ビット値）Ｂａ、Ｂｂである。これらの情報は、基本的には受信部１００１、１００２からの出力情報を見ることで得られる。

図２を参照して、受信部の代表的な構成を説明する。図２は、偏光もつれ光子対を用いた量子鍵配送システムにおける受信部の代表的な構成を示す模式図である。

図２では、受信部として第１の受信部１００１を用いて説明する。この第１の受信部１００１は、光の入力端子１００、ハーフミラー１０１、１/２波長板ないしは１/４波長板から成る波長板１０２、二つの偏光ビームスプリッタ１０３、１０４、第１〜第４の単一光子検出器１０５〜１０８から構成される。

入力端子１００から入力された光子はハーフミラー１０１の入力端１０１−１に入力され、第１出力端１０１−２及び第２出力端１０１−３のいずれかに出力される。ハーフミラー１０１の二つの出力端のうちどちらに出力されたかが観測基底の選択に相当する。その結果は最終的に第１〜第４の単一光子検出器１０５〜１０８のいずれで光子が検出されたかでわかる。

第１の出力端１０１−２から出力された光子は、第１の偏光ビームスプリッタ１０３の入力端１０３−１に入力され、第１の出力端１０３−２及び第２の出力端１０３−３のいずれかへ出力される。

第１の出力端１０３−２へ出力された場合、この光子の偏光は（例えば）Ｈ偏光であると規定される。そしてそれは、第１の単一光子検出器１０５での光子検出という形で測定される。

一方、第２の出力端１０３−３へ出力された場合、この光子の偏光は（例えば）Ｖ偏光であると規定される。そしてそれは、第２の単一光子検出器１０６での光子検出という形で測定される。

一方、ハーフミラー１０１の第２の出力端１０１−３から光子が出力された場合、光子は波長板（ここでは１/２波長板とする）１０２で４５°偏光回転され、第２の偏光ビームスプリッタ１０４の入力端１０４−１に入力され、第１の出力端１０４−２及び第２の出力端１０４−３のいずれかへ出力される。

第１の出力端１０４−２へ出力された場合、この光子の偏光は（例えば）右斜め４５°直線（Ｄ（＋））偏光であると規定される。そしてそれは、第３の単一光子検出器１０７での光子検出という形で測定される。

一方、第２の出力端１０４−３へ出力された場合、この光子の偏光は（例えば）左斜め４５°直線（Ｄ（−））偏光であると規定される。そしてそれは、第４の単一光子検出器１０８での光子検出という形で測定される。

以上のように、光子がＨ偏光、Ｖ偏光、Ｄ（＋）偏光、Ｄ（−）偏光の、どの偏光状態で検出されたかは、第１〜第４の単一光子検出器１０５〜１０８のうちどの単一光子検出器で光子が検出されたかを見ればわかる。

光子が４つの単一光子検出器１０５〜１０８のいずれかで、いつ検出されたかが、時間情報Ｔａとなる。

観測基底情報Ｍａは、光子がＨ偏光、Ｖ偏光のいずれかで検出された場合を第１の観測基底が選択された状態、光子がＤ（＋）偏光、Ｄ（−）偏光のいずれかで検出された場合を第２の観測基底が選択された状態、と規定することで得られる。

またビット値情報Ｂａとは、例えば光子がＨ偏光、Ｄ（＋）偏光のいずれかで検出された場合をビット値１、光子がＶ偏光、Ｄ（−）偏光のいずれかで検出された場合をビット値０と規定することで得られる。

単一光子検出器１０５〜１０８の出力を第１の信号処理部１００３に送り、適当な信号処理を実行することで、上記の時間情報（Ｔａ）、観測基底情報（Ｍａ）、ビット値情報（Ｂａ）からなる生鍵Ａを作成する。

第２の受信部１００２は、第１の受信部１００１と同様に構成される。第２の受信部１００２では、時間情報（Ｔｂ）、観測基底情報（Ｍｂ）、ビット値情報（Ｂｂ）が得られる。これらの情報は、第２の信号処理部１００４に送られ、適当な信号処理を実行することで、上記の時間情報（Ｔｂ）、観測基底情報（Ｍｂ）、ビット値情報（Ｂｂ）からなる生鍵Bを作成する。

第１の信号処理部１００３及び第２の信号処理部１００４は、これら時間情報（Ｔａ、Ｔｂ）、観測基底情報（Ｍａ，Ｍｂ）、ビット値情報（Ｂａ，Ｂｂ）をもとにパラメータ推定以降のプロセスを実行する。

なお時間情報Ｔａ、Ｔｂに関しては、シグナル光の量子チャンネル1、アイドラー光の量子チャンネル２で生じる伝搬遅延時間は必ずしも同じではないことを考慮すると、ペアとして発生した量子もつれ光子対に対しての時間情報Ｔａ、Ｔｂは、本来は必ずしも一致するとは限らない。例えば量子チャンネル１に比べて量子チャンネル２の伝送距離が長い場合、アイドラー光はシグナル光よりも遅れた時間に検出される。本来、このような遅延時間差の補正は量子鍵配送システムにおいて必須である。

ここでの時間情報Ｔａ、Ｔｂとは、このような量子チャンネルでの伝搬遅延時間差を補正した後の値であり、すなわち、ペアとして発生した量子もつれ光子対は同一の時間情報Ｔａ、Ｔｂを持つものとする。

上述のように、量子鍵配送システムにおける暗号鍵共有の最初のステップは、（２）〜（６）に記載される誤り率の推定とシフト鍵の生成である。

ステップ（２）で誤り率がｅと見積もられたとき、従来の量子もつれを用いた量子鍵配送システムにおいて、生成されるシフト鍵の生成レートR_siftと最終鍵の生成レートR_secureの関係は、以下の式（１）で与えられることが知られている（例えば、非特許文献１参照）。

ここでh(e)はshannonのバイナリエントロピーであり、以下の式（２）で与えられる。

shannonのバイナリエントロピーは誤りによる情報量の減少を示し、逆にいえば誤り訂正に必要な情報の冗長量を示している。f(e)は誤り訂正の効率を表わし、理想的な状況ではf(e)=１である。

τ(e)は秘匿増強での鍵の圧縮を示している。非特許文献１に開示の、個別攻撃を考慮した安全性モデルによれば、τ(e)は以下の式（３）で与えられる。

安全な暗号鍵は、R_secure＞０のときに共有可能であり、従って、許容される誤り率の上限は上式（１）〜（３）のモデルによって計算すれば、約１１.４%となる。

シフト鍵における誤りは、光源の発生する量子もつれ光子とは無相関な雑音光子の存在、複数の光子対の発生による偶発同時検出、伝送路である量子チャンネルで発生するラマン散乱などの雑音光子、単一光子検出器の暗電流雑音やアフターパルス、また、伝送路（量子チャンネル）中での偏波回転などによる観測基底の不整合、などによって発生する。

一般的に量子鍵配送システムにおいては、上記のような伝送システム起因の誤りと、盗聴者の存在による誤りとを区別できないため、伝送システム起因の誤りもすべて盗聴者の攻撃とみなして、式（１）〜（３）に準じた手法で最終鍵を生成する。

特に伝送路中での偏波回転などによる観測基底の不整合の問題は影響が大きい。例えば、量子もつれ光源において、次式（４）で示すような量子もつれ光を準備したとする。

上式（４）は、シグナル光(s)がＨ偏光であればアイドラー光（i）は必ずＨ偏光として、シグナル光がＶ偏光であればアイドラー光は必ずV偏光として検出される、いわゆる偏光量子もつれ状態を表わす。

Benjamin Miquel and Hiroki Takesue, "Observation of 1.5μm band entanglement using single photon detectors based on sinusoidally gated InGaAs/InP avalanche photodiodes," New Journal of Physics, vol. 11, 045006 (2009) .

仮にシグナル光側の量子チャンネル1での偏光制御が完全であり、それに対してアイドラー光側の量子チャンネル２での偏光制御が不完全であるような場合、シグナル光がＨ偏光として検出される場合であっても、アイドラー光はＶ偏光として検出される場合が生じる。この場合、送受信者間のシフト鍵にビット反転が生じ、盗聴者がいないにも関わらず、シフト鍵に誤りが生じる。

例えば上記の場合、偏光回転によって、Ｈ偏光で観測されるべきアイドラー光の約１１．４％以上がＶ偏光として観測されてしまうと、R_secure≦０となり安全な暗号鍵共有が不可能となってしまう。

すなわち、従来の量子鍵配送システムにおいては、安全な暗号鍵を共有するためには、光子を伝送させる量子チャンネルの高度な伝送制御が必要であった。

したがって本発明の目的は、伝送路制御の不完全性などによって誤り率が高くなってしまうようなシステムであっても、安全な暗号鍵共有を可能とする量子鍵配送システムを提供することにある。

上述した目的を達成するために、この発明の量子鍵配送システムは、量子もつれ光源と、第１の受信部と、第２の受信部と、第１の信号処理部と、第２の信号処理部とを用いて構成される。

量子もつれ光源は、量子もつれ光子対を生成する。第１の受信部は、複数の単一光子検出器を含み、量子もつれ光子対のシグナル光子を受光し、シグナル光子を受光した時刻を示す第１の検出時刻、第１の基底情報及び第１のビット値を含む第１の生鍵Ａを取得する。

第２の受信部は、複数の単一光子検出器を含み、量子もつれ光子対のアイドラー光子を受光し、アイドラー光子を受光した時刻を示す第２の検出時刻、第２の基底情報及び第２のビット値を含む第２の生鍵Ｂを取得する。

第１の信号処理部は、第１の受信部から第１の生鍵Ａを受け取り、第２の信号処理部は、第２の受信部から第２の生鍵Ｂを受け取る。第１の信号処理部及び第２の信号処理部は、ビット値「１」を表わす光子を受光した時刻と、ビット値「０」を表わす光子を受光した時刻の間にΔτの遅延時間を与える。

この発明の量子鍵配送システムによれば、送受信者が従来技術でのいわゆる「誤った」同時カウントR_eを検出した時、光子を検出する単一光子検出器での遅延時間は、第１の受信部と第２の受信部において、一方がΔＴであるのに対し他方はΔＴ＋Δτとなる。このとき、送受信者の時間情報が一致しなくなり、この検出は同時カウントとして検出されない。その結果、シフト鍵における誤り率を従来例より格段に小さくできる。

量子もつれ光子対を利用した量子鍵配送システムの基本構成を示す模式図である。 量子もつれ光子対を利用した量子鍵配送システムで用いられる受信部の代表的な構成を示す模式図である。 この発明の量子鍵配送システムが備える第１の受信部の構成を示す模式図である。 誤り率eのp依存性を計算した結果を示す図である。 最終鍵生成レートR_secureのp依存性を示す図である。 光学遅延回路を挿入した時の効果を、説明するための模式図である。 シフト鍵の誤り率e_patのp依存性を計算した結果を示す図である。 この発明での最終鍵生成レートR_secureのp依存性を示す図である。 この発明と従来技術とで、最終鍵生成レートR_secureのp依存性を比較した結果を示す図である。 この発明の量子鍵配送システムが備える第１の受信部の他の構成例を示す模式図である。 この発明の量子鍵配送システムが備えるアクティブモジュレーション方式の受信部を示す模式図である。 この発明の量子鍵配送システムが備えるアクティブモジュレーション方式の受信部の他の構成例を示す模式図である。

以下、図を参照して、この発明の実施の形態について説明するが、各構成要素の形状、大きさ及び配置関係については、この発明が理解できる程度に概略的に示したものに過ぎない。また、以下、この発明の好適な構成例につき説明するが、各構成要素の材質及び数値的条件などは、単なる好適例にすぎない。従って、この発明は以下の実施の形態に限定されるものではなく、この発明の構成の範囲を逸脱せずにこの発明の効果を達成できる多くの変更又は変形を行うことができる。

この発明の量子鍵配送システムの基本構成は、図１を参照して説明した従来の量子鍵配送システムと同様に構成できる。

図３を参照して、この発明の量子鍵配送システムが備える第１の受信部について説明する。図３は、この発明の量子鍵配送システムが備える第１の受信部の構成を示す模式図である。

第１の受信部１００１は、光の入力端子１００、ハーフミラー１０１、１/２波長板ないしは１/４波長板から成る波長板１０２、二つの偏光ビームスプリッタ１０３、１０４、第１〜第４の単一光子検出器１０５〜１０８、第１光学遅延回路３０１及び第２光学遅延回路３０２を備えて構成される。

入力端子１００から入力された光子はハーフミラー１０１の入力端１０１−１に入力され、第１出力端１０１−２及び第２出力端１０１−３のいずれかに出力される。ハーフミラー１０１の二つの出力端のうちどちらに出力されたかが観測基底の選択に相当する。その結果は最終的に第１〜第４の単一光子検出器１０５〜１０８のいずれで光子が検出されたかでわかる。

第１の出力端１０１−２から出力された光子は、第１の偏光ビームスプリッタ１０３の入力端１０３−１に入力され、第１の出力端１０３−２及び第２の出力端１０３−３のいずれかへ出力される。

第１の出力端１０３−２へ出力された場合、この光子の偏光は（例えば）Ｈ偏光であると規定される。そしてそれは、第１の単一光子検出器１０５での光子検出という形で測定される。

一方、第２の出力端１０３−３へ出力された場合、この光子の偏光は（例えば）Ｖ偏光であると規定される。そしてそれは、第２の単一光子検出器１０６での光子検出という形で測定される。

一方、ハーフミラー１０１の第２の出力端１０１−３から光子が出力された場合、光子は波長板（ここでは１/２波長板とする）１０２で４５°偏光回転され、第２の偏光ビームスプリッタ１０４の入力端１０４−１に入力され、第１の出力端１０４−２及び第２の出力端１０４−３のいずれかへ出力される。

第１の出力端１０４−２へ出力された場合、この光子の偏光は（例えば）右斜め４５°直線（Ｄ（＋））偏光であると規定される。そしてそれは、第３の単一光子検出器１０７での光子検出という形で測定される。

一方、第２の出力端１０４−３へ出力された場合、この光子の偏光は（例えば）左斜め４５°直線（Ｄ（−））偏光であると規定される。そしてそれは、第４の単一光子検出器１０８での光子検出という形で測定される。

以上のように、光子がＨ偏光、Ｖ偏光、Ｄ（＋）偏光、Ｄ（−）偏光の、どの偏光状態で検出されたかは、第１〜第４の単一光子検出器１０５〜１０８のうちどの単一光子検出器で光子が検出されたかを見ればわかる。

光子が４つの単一光子検出器１０５〜１０８のいずれかで、いつ検出されたかが、時間情報Ｔａとなる。

観測基底情報Ｍａは、光子がＨ偏光、Ｖ偏光のいずれかで検出された場合を第１の観測基底が選択された状態、光子がＤ（＋）偏光、Ｄ（−）偏光のいずれかで検出された場合を第２の観測基底が選択された状態、と規定することで得られる。

またビット値情報Ｂａとは、例えば光子がＨ偏光、Ｄ（＋）偏光のいずれかで検出された場合をビット値１、光子がＶ偏光、Ｄ（−）偏光のいずれかで検出された場合をビット値０と規定することで得られる。

単一光子検出器１０５〜１０８の出力を第１の信号処理部１００３に送り、適当な信号処理を実行することで、上記の時間情報（Ｔａ）、観測基底情報（Ｍａ）、ビット値情報（Ｂａ）からなる生鍵Ａを作成する。

ここで、第１の光学遅延回路３０１は、第１の偏光ビームスプリッタ１０３の第２の出力端子１０３−３と第２の単一光子検出器１０６の入力端との間に設けられ、Δτの遅延時間を与える。

また、第２の光学遅延回路３０２は、第２の偏光ビームスプリッタ１０４の第２の出力端子１０４−３と第４の単一光子検出器１０８の入力端との間に設けられ、Δτの遅延時間を与える。

先ず、従来の量子鍵配送システムで生じる誤り率と最終鍵生成レートの関係について説明する。

図１、図２を参照して説明した、従来の量子鍵配送システムにおける誤り率を見積もる。

上述のような偏光回転によるビット誤りが確率ｐで生じるとする。

このようなシステムで、送受信者が、互いのビット値が一致する「正しい」同時カウントを得る確率R_cは、以下の式（５）で与えられる。

ここでμ₀は１タイムスロットあたりの平均光子対数、ｌ_sig、ｌ_idは量子チャンネル（光ファイバなど）での伝搬損失、η_sig、η_idは単一光子検出器での検出効率、α_sig、α_idはその他の過剰損失である。ここで、添字sigはシグナル光に対するものであり、idはアイドラー光に対するものである。初項の１/２は、送受信者の観測基底が一致する確率が５０％であることに由来する。

一方、送受信者が、互いのビット値が反転する「誤った」同時カウントを得る確率R_eは、以下の式（６）で与えられる。

送受信者間の同時カウントは、単一光子検出器の暗電流や、また量子もつれ光源の多光子対発生などによっても生じる。量子もつれ光子対の光子対数分布がポアソン分布であると仮定した場合、このような偶発的現象により同時カウントを得る確率R_accは、以下の式（７）で与えられる。

ここでd_sig、d_idは送信者、受信者側の単一光子検出器の暗電流カウント率である。初項の８は、４×４＝１６通りの単一光子検出器の組み合わせのうち、送受信者の観測基底が一致する確率が５０％であることに由来する。また（）内の１/４は、それぞれ４個の単一光子検出器に等分に光子が到来することによる。

同時カウントを得る確率の総和は、以下の式（８）で与えられる。

上記R_totalが上式（１）におけるシフト鍵レートR_siftに相当する。誤りとなるのは、R_eの全てと、偶発的に一致するR_accの半分である。この結果、このシステムの誤り率は、以下の式（９）で与えられる。

図４を参照して、誤り率ｅのビット反転誤り確率（ｐ）依存性を説明する。図４は、d＝２×１０^-6、α=0.1、η=0.1、１＝１（伝送なし）として、誤り率ｅのｐ依存性を計算した結果を示す図である。図４では、横軸にビット反転誤りの確率ｐを取って示し、縦軸に誤り率ｅを取って示している。ここでは、平均光子対数（μ₀）を0.001、0.01、0.1の３通りの場合で計算を行った。

誤り率ｅはｐとともに一様に増加する。平均光子対数を上げると誤り率が増加するのは、多光子対生成による偶発同時カウント確率(R_acc)が相対的に増加し、それによる誤りが増加するためである。

次に、図５を参照して、最終鍵生成レートR_secureのp依存性を説明する。図５は、上式（１）〜（３）と図４を用いて導出した最終鍵生成レートR_secureのp依存性を示す図である。図５では、横軸にビット反転誤りの確率ｐを取って示し、縦軸にR_secureをR_siftで規格化した値として取って示している。

図５からわかるように、いずれの平均光子対数においてもｐ=0.1前後でR_secureは０となっている。すなわち、従来例では上記のようなビット反転誤り確率ｐの許容度はせいぜい１０％程度までであり、上述の伝送路の偏光回転などに対する高度な伝送路制御が必要であることを示している。

次に本発明で示すように、光学遅延回路を挿入した時の効果を、図６を参照して説明する。

図６（Ａ）は従来例において、受信部１００１に含まれる４つの単一光子検出器１０５〜１０８での光子検出の時間関係を表わした図である。受信部１００２も同様な関係を持つ。

時間t₀で入力端子１００に入力された光子は、受信部内部を伝送するために要する時間遅延（ΔT）後、４つの単一光子検出器１０５〜１０８のいずれかに到達し、その検出効率の確率で検出される。

従来の量子もつれ光を用いた量子鍵配送システムにおいて、誤り推定とシフト鍵生成のプロセスは、「同時に」発生した光子対、すなわち基本的にはＴａ＝Ｔｂである光子対が、どの観測基底で、どのビット値で検出されたかの情報をもとに実行される。

この同時性を担保するために、従来の量子もつれ光を用いた量子鍵配送システムにおいては、受信部１００１ないしは１００２に含まれる４つの単一光子検出器１０５〜１０８のタイムベースは一致しているか（すなわち、受信部内部での遅延時間がΔＴで一致）、あるいは現実には一致していなくてもその差は既知で、信号処理部１００３等の段階で補正できるようにされている。

すなわち、時間t₀で入力端子１００に入力された光子は、４つの単一光子検出器１０５〜１０８のいずれで検出される場合でも、実質的に同じ時刻t₀＋ΔＴで検出されるように構成されている。

このような条件下で動作する従来の量子もつれ光を用いた量子鍵配送システムにおいては、パラメータ推定で見積もられる誤り率と、シフト鍵における誤り率は等しくなる。

一方、本発明では、図６（Ｂ）に示すように、例えば、第１、第３の単一光子検出器１０５、１０７への遅延時間はΔＴで同一なのに対し、第２、第４の単一光子検出器１０６、１０８への遅延時間はΔＴ＋Δτとなる。

受信者が有する他方の受信部１００２においても同様に、第１、第３の単一光子検出器１０５、１０７への遅延時間はΔＴで同一なのに対し、第２、第４の単一光子検出器１０６、１０８への遅延時間はΔＴ＋Δτとなるように設計されているとする。

この場合、送受信者が「正しい」同時カウントR_cを検出した時、光子を検出する単一光子検出器への遅延時間は、送受信者の有する受信部１００１、１００２においてともにΔＴもしくはΔＴ＋Δτで同一である。この場合、送受信者の時間情報が一致し、この検出は同時カウントとして検出される。

一方、送受信者が（従来方法でいうところの）「誤った」同時カウントR_eを検出した時、光子を検出する単一光子検出器への遅延時間は、送受信者の有する受信部１００１、１００２において、常に一方がΔＴであるのに対し他方はΔＴ＋Δτとなる。このとき、送受信者の時間情報が一致しなくなり、この検出は同時カウントとして検出されない。

すなわち、本発明の方式では、シフト鍵を作成する際のR_eが０となる。

従って、本発明におけるシフト鍵の誤り率をe_patとすると、e_patは以下の式（１０）で与えられる。

上式（９）及び上式（１０）を比較すると、すべてのｐにおいて、e_pat＜eの関係が成り立つ。すなわち、本発明におけるシフト鍵の誤り率e_patは、従来方法でのシフト鍵の誤り率ｅよりも常に小さくなることがわかる。

図７は、本発明でのシフト鍵の誤り率e_patのp依存性を計算した結果を示す。平均光子対数（μ₀）を0.001、0.01、0.1の３通りの場合で計算を行った。

図５に示す従来例との結果と比較して、ｐの増加に対してe_patの増加が非常に緩やかであることがわかる。例えば平均光子対数が0.1の場合であっても、ｐ＝５０％のとき（つまり、半分はビット反転が生じている）の場合でも誤り率は１０％以下となっている。

すなわち、本発明においては、シフト鍵における誤り率を従来例より格段に小さくできる。

一方、盗聴者への情報量漏洩を知るパラメータは、本発明でも従来例と同様にパラメータ推定で得られる誤り率ｅである。従って本発明においてもｅを知る必要がある。これは次のような方法で知ることができる。

すなわち、先のプロセス（１）、（２）におけるパラメータ推測の過程では、受信者は生鍵Bの一部についてはビット値情報も含めてすべて送信者に公開している（この生鍵情報は暗号鍵生成には用いないので、安全性を劣化させない）。

ビット値情報がわかれば、その光子検出が遅延時間ΔＴの単一光子検出器で検出されたか、遅延時間ΔＴ＋Δτの単一光子検出器で検出されたかがわかる。

このとき、送信者は時間情報にビット値に応じてΔτ分の時間補正をかけたうえで、時間情報Ｔ、観測基底情報Ｍが一致するものに対してビット値を比較することで、従来と同様に盗聴者への情報漏えいを推測するパラメータとしての誤り率（e）を計算することができる。

結果として、本発明に得られる最終鍵のレートは、従来例の上式（１）に対して、shannonエントロピーの項の誤り率を上式（１０）の誤り率e_patとした以下の式（１１）で与えられる。

この場合のシフト鍵レートＲ´_siftは、R_eが０になった分若干減少して、以下の式（１２）で与えられる。

式（１１）を用いて、本発明での最終鍵生成レートR_secureのｐ依存性を計算した結果を図８に示す。R_secureはR´_siftで規格化した値として表されている。

図５に示す従来例と比較して、ｐに対する許容度が改善している様子がわかる。例えば平均光子対数が0.01である時、ｐは約３５％まで許容され、従来例(約１０．９％)に対して３倍前後の改善が得られている。

図９は従来例との比較を示す（実線：本発明、点線：従来例）。本発明の方法により、従来例より高い最終鍵レートが得られることを示している。

例えば平均光子対数が0.001である時、従来例ではｐ＝１０．９％の時R_secureは０となるが、本発明の場合、このような条件下でもシフト鍵の４５．６％が最終鍵として得られている。

同様に、平均光子対数が0.1である時、従来例ではｐ＝７．５％の時R_secureは０となるが、本発明の場合、このような条件下でもシフト鍵の２２．６％が最終鍵として得られている。

これらの結果は、本発明においては、伝送路制御の不完全性への耐性が格段に高く、かつ、従来例よりも高いレートでの暗号鍵生成が可能であることを示している。

本発明を実施するにあたって、必要な付加遅延時間Δτに関しては、ΔＴの遅延時間で検出された信号とΔＴ＋Δτの遅延時間で検出された信号が同時ではないと判別できるだけの量であればよい。具体的には用いる単一光子検出器の時間分解能より大きければよく、またシステム要件で規定されるタイムスロットより大きければよい。例えば単一光子検出器の時間分解能が100 psec、システムクロックが１GHzであるなら、Δτとしては１nsec以上あればよい。１nsecの遅延時間は、光ファイバの長さに換算してたかだか20 cm程度であり、ゆえにこのような付加遅延を与えても、受信部等の大型化や高コスト化、性能劣化などの問題はほぼ無視できる。

また、用いる単一光子検出器が、InGaAsアバランシェフォトダイオードなどの、いわゆるゲート動作型の単一光子検出器である場合、ΔＴの遅延時間を有する信号とΔＴ＋Δτの遅延時間を有する信号がともに同等な検出効率で単一光子検出器で検出されるようにするために、Δτを単一光子検出器にかけるゲート信号のゲート周期の自然数倍とした構成にしてもよい。

光学遅延回路３０１、３０２は、第１、第３の単一光子検出器１０５、１０７の手前に配置してもよい。また、第１、第４の単一光子検出器１０５、１０８の手前に配置してもよいし、第２、第３の単一光子検出器１０６、１０７の手前に配置してもよく、これらは単に設計的手法による。

本発明の効果は、量子もつれ光子対の同時性を利用して得られる効果であるため、本発明で説明した偏光もつれ光子対の場合に限らず、時間位置もつれ光子対の場合でも適用できる。

図１０を参照して、この発明の量子鍵配送システムが備える第１の受信部の他の構成例について説明する。

この受信部は、光の入力端子１００、ハーフミラー２０１、二つの非対称マッハツェンダ干渉計２０２、２０３、第１〜第４の単一光子検出器２０４〜２０７から構成される。

２つの非対称マッハツェンダ干渉計２０２、２０３は、例えば、第１の非対称マッハツェンダ干渉計２０２はアーム間での光位相差が０になるように設計されているのに対し、第２の非対称マッハツェンダ干渉計２０３はアーム間での光位相差がπ/２になるように設計されている。

入力端子１００から入力された光子はハーフミラー２０１の入力端２０１−１に入力され、２つの出力端２０１−２、２０１−３のいずれかに出力され、その後それぞれ第１および第２の非対称マッハツェンダ干渉計２０２、２０３へ入力される構成となっている。偏光もつれ光子対の場合と同様、ハーフミラーのどちらの出力端に光子が出力されたかが観測基底の選択に相当し、その結果は第１〜第４の単一光子検出器２０４〜２０７のいずれの単一光子検出器で光子が検出されたかでわかる。

この場合も偏光もつれ光子対の場合と同様、光子が４つの単一光子検出器２０４〜２０７のいずれかで、いつ検出されたかが、時間情報ＴａあるいはＴｂとなる。

観測基底情報ＭａあるいはＭｂは、光子が第１の非対称マッハツェンダ干渉計２０２へ入力され第１もしくは第２の単一光子検出器２０４、２０５のいずれかで検出された場合を第１の観測基底が選択された状態、光子が第２の非対称マッハツェンダ干渉計２０３へ入力され第３もしくは第４の単一光子検出器２０６、２０７のいずれかで検出された場合を第２の観測基底が選択された状態と規定することで得られる。

またビット値情報ＢａあるいはＢｂとは、例えば光子が第１の単一光子検出器２０４、第３の単一光子検出器２０６のいずれかで検出された場合をビット値１、光子が第２の単一光子検出器２０５、第４の単一光子検出器２０７のいずれかで検出された場合をビット値０、と規定することで得られる。

偏光もつれ光子対の場合と同様に、単一光子検出器２０４〜２０７の出力を信号処理部１００３ないしは１００４に送り、適当な信号処理を実行することで、上記の時間情報（Ｔａ、Ｔｂ）、観測基底情報（Ｍａ，Ｍｂ）、ビット値情報（Ｂａ，Ｂｂ）からなる生鍵Ａ、Ｂを作成し、これらをもとにパラメータ推定以降のプロセスを実行するのが量子鍵配送システムとなる。

第２、第４の単一光子検出器２０５、２０７の手前に光遅延回路３０１、３０２を配置する。

また同様に本方式は、アクティブモジュレーション方式の受信部を用いた場合にも適用できる。

図１１は、アクティブモジュレーション方式の偏光もつれ光子対用受信部に適用した場合の構成例である。

アクティブモジュレーション方式においては、図３に示すパッシブモジュレーション方式で用いたハーフミラー１０１、波長板１０２の代わりに、偏光変調器４０１、乱数発生器４０２を用いる。乱数発生器４０２からの乱数に応じて偏光変調器４０１を駆動することで、いわば人為的な観測基底選択を行う。

この方式の特長は、偏光ビームスプリッタが、パッシブモジュレーション方式では２台であるのに対し、１台（４０３）でよいことと、単一光子検出器が、パッシブモジュレーション方式では４台であるのに対し、２台（４０４、４０５）でよいことである。一方、乱数発生器４０２の乱数情報が漏えいすると、安全な暗号鍵共有が不可能となるというデメリットがある。

この方式においても、ビット値は２台の単一光子検出器４０４、４０５のどちらが光子を検出したかで決まる。なお、観測基底は乱数発生器の乱数で決まる。ゆえに一方の単一光子検出器への光路に付加遅延時間を与える光学遅延回路を備えれば（図１１の場合、単一光子検出器４０５の手前）、本発明の効果をそのまま適用できる。

同様なことは、アクティブモジュレーション方式の時間位置もつれ光子対用受信部に適用した場合もいえる。

図１２はアクティブモジュレーション方式の時間位置もつれ光子対用受信部に適用した場合の構成例である。

この場合、乱数発生器５０２からの乱数に応じて非対称マッハツェンダ干渉計５０１のアーム間の位相を０、π/２と変調することで人為的な観測基底選択を行うが、このような場合でもビット値は２台の単一光子検出器５０３、５０４のどちらが光子を検出したかで決まる。この場合、観測基底は乱数発生器の乱数で決まる。ゆえに一方の単一光子検出器への光路、図１２の例では、単一光子検出器５０４の手前に付加遅延時間を与える光学遅延回路５０５を備えれば、本発明の効果をそのまま奏する。

また本発明の説明においては、付加遅延時間Δτを光学的に与える構成について説明したが、このような付加遅延時間Δτを電気的に与える電気遅延回路を備えてもよい。例えば、受信部からの出力を信号処理部１００３に送るための電気ケーブルの長さに差を与えることで、同様な遅延時間Δτを与える手法を採用しても、本発明の効果を得ることができる。

また生鍵Ａ，Ｂを例えばコンピュータ上で動作するソフトウェアなどで電子データとして取り込む際に、そのビット値（Ｂａ，Ｂｂ）に応じて時間情報（Ｔａ，Ｔｂ）に付加遅延時間Δτを与える手法を採用しても、本発明の効果を得ることができる。この場合、光学的・電気的遅延回路は不要であり、図２等に示すような従来と同様なハードウェア構成を採用しても本発明の効果を得ることができる。

本発明の量子鍵配送システムに依れば、以下の効果が期待できる。すなわち、伝送路制御が不完全であっても低い誤り率のシフト鍵が生成でき、従って従来例よりも高いレートでの暗号鍵生成が可能であり、それに依って量子もつれ光源を用いた量子鍵配送システムをより高速化、低コスト化、高安定化することが可能となる。

また、本発明の効果は、付加遅延時間Δτを、受信部からの出力を信号処理部１００３に送るための電気ケーブルの長さに差を与えることで、電気的な遅延を与える方法によっても得ることができる。

また生鍵Ａ，Ｂを例えばコンピュータ上で動作するソフトウェアなどで電子データとして取り込む際に、そのビット値（Ｂａ，Ｂｂ）に応じて時間情報（Ｔａ，Ｔｂ）に付加遅延時間Δτを与える手法を採用しても、本発明の効果を得ることができる。

１、２ 量子チャンネル
３ 古典チャンネル
１００ 入力端子
１０１、２０１ ハーフミラー
１０２ 波長板
１０３、１０４ 偏光ビームスプリッタ
１０５、１０６、１０７、１０８ 単一光子検出器
２０２、２０３、５０１ 非対称マッハツェンダ干渉計
２０４、２０５、２０６、２０７ 単一光子検出器
３０１、３０２、４０６、５０５ 光学遅延回路
４０１ 偏光変調器
４０２、５０２ 乱数発生器
４０３ 偏光ビームスプリッタ
４０４、４０５、５０３、５０４ 単一光子検出器
１０００ 量子もつれ光源
１００１、１００２ 受信部
１００３、１００４ 信号処理部

Claims (8)

1. 量子もつれ光子対を生成する量子もつれ光源と、
   複数の単一光子検出器を含み、前記量子もつれ光子対のシグナル光子を受光し、該シグナル光子を受光した時刻を示す第１の検出時刻、第１の基底情報及び第１のビット値を含む第１の生鍵Ａを取得する第１の受信部と、
   複数の単一光子検出器を含み、前記量子もつれ光子対のアイドラー光子を受光し、該アイドラー光子を受光した時刻を示す第２の検出時刻、第２の基底情報及び第２のビット値を含む第２の生鍵Ｂを取得する第２の受信部と、
   前記第１の受信部から前記第１の生鍵Ａを受け取る第１の信号処理部と、
   前記第２の受信部から前記第２の生鍵Ｂを受け取る第２の信号処理部と、
   を用いて構成される量子鍵配送システムであって、
   前記第１の信号処理部及び前記第２の信号処理部は、ビット値「１」を表わす光子を受光した時刻と、ビット値「０」を表わす光子を受光した時刻の間にΔτの遅延時間を与える
   ことを特徴とする量子鍵配送システム。
2. 前記第１の受信部及び前記第２の受信部は、ビット値「０」及びビット値「１」のいずれか一方を表わす光子を受光する単一光子検出器の入力側に、Δτの遅延時間を与える光学遅延回路を備える
   ことを特徴とする請求項１に記載の量子鍵配送システム。
3. 前記第１の受信部及び前記第２の受信部は、ビット値「０」及びビット値「１」のいずれか一方を表わす光子を受光する単一光子検出器の出力側に、Δτの遅延時間を与える電気遅延回路を備える
   ことを特徴とする請求項１に記載の量子鍵配送システム。
4. 前記第１の信号処理部及び前記第２の信号処理部は、ビット値「０」及びビット値「１」のいずれか一方に、Δτの遅延時間を与える信号処理を施す
   ことを特徴とする請求項１に記載の量子鍵配送システム。
5. 前記量子もつれ光子対は、偏光もつれ光子対であり、
   前記第１の受信部及び前記第２の受信部は、パッシブモジュレーション式である
   ことを特徴とする請求項１〜４のいずれか一項に記載の量子鍵配送システム。
6. 前記量子もつれ光子対は、偏光もつれ光子対であり、
   前記第１の受信部及び前記第２の受信部は、アクティブモジュレーション式である
   ことを特徴とする請求項１〜４のいずれか一項に記載の量子鍵配送システム。
7. 前記量子もつれ光子対は、時間位置もつれ光子対であり、
   前記第１の受信部及び前記第２の受信部は、パッシブモジュレーション式である
   ことを特徴とする請求項１〜４のいずれか一項に記載の量子鍵配送システム。
8. 前記量子もつれ光子対は、時間位置もつれ光子対であり、
   前記第１の受信部及び前記第２の受信部は、アクティブモジュレーション式である
   ことを特徴とする請求項１〜４のいずれか一項に記載の量子鍵配送システム。

Images