JP2020503745A - 量子的に高められた物理層セキュリティのための装置および方法 - Google Patents

Abstract

物理層の盗聴チャネルモデルに基づいた送信者（１００）と受信者（２００）間での情報交換を含む、自由空間における鍵配送方法であって、２つの異なる想定可能な量子状態のうちの一方で符号化される１つの量子ビットを、送信者（１００）においてランダムに作成するステップ（７１０）と、前記チャネルを盗聴する盗聴者（３００）が、前記状態に関する部分的な情報しか得られないようにして、量子的に高められた物理層の盗聴チャネル（５００）を介して受信者（２００）に符号化された量子ビットを送信するステップ（７２０）と、受信された量子状態を検出および測定するステップ（７３０）と、古典チャネルを介し、送信者と受信者との間で鍵のシフティング処理を行うステップ（７４０）と、検出および受信された量子状態に基づき、任意の盗聴者（３００）が入手できる情報量を計算するステップ（７５０、７６０）とを含む、自由空間における鍵配送方法。【選択図】図２

Description

本発明は、自由空間光通信に関し、より詳細には、自由空間光量子チャネルを用いた通信のセキュリティ、およびそれに関連した方法に関する。

自由空間光通信（ＦＳＯ）は、自由空間を伝搬する光を使用して、電気通信またはコンピュータネットワーキングを行うためにデータをワイヤレスで伝送する光通信技術である。「自由空間」とは、光が直線的に伝搬する空気、宇宙空間、真空、またはこれらに近いものを意味する。これは、光が導波路によって導かれ、かつ方向付けされる光ファイバ、またはより一般的には光導波路などの導波路光学系とは対照的である。自由空間技術は、高いコストがかかるなどの理由で物理的な接続が実行できない場合に有用である。

他のあらゆるタイプの通信と同様に、自由空間光通信には盗聴を防止するためのセキュリティが必要となる。自由空間光通信の種々のセキュリティ手段が検討されると、送信者と受信者とがＦＳＯを介して秘密情報を共有できるようにする解決策を提供すべく検証されてきた、いくつかの解決策が確認される。一般的なものは、ＦＳＯチャネルを介した秘密鍵の交換に基づいている。この交換の後、それらの鍵を使用して、セキュアな方法で（たとえば暗号化の手段によって）メッセージを交換する。

通常、ＦＳＯによる鍵交換では２つの盗聴シナリオを検討することができる。その両方を図１に示している。

第１のシナリオでは、イブ１ ３００は、送信者１００と受信者２００との間の光路上に位置している。したがって、イブ１ ３００は光信号を傍受し、かつ修正された可能性のある光信号を受信者２００へと再送信することができる。これをアクティブシナリオと呼ぶ。第２のシナリオでは、イブ２ ３０５の能力は、送信者１００から受信者２００へと伝送された光信号の一部を抽出するものに限定されている。このシナリオでは、盗聴者（イブ２ ３０５）は、受信者２００に対していかなる光信号も再送信することはできない。これをパッシブシナリオと呼ぶ。なお、盗聴者の挙動を制限するパッシブシナリオとアクティブシナリオとの区別は、物理層レベルでしか生じ得ない。パッシブシナリオの通信チャネルは、Ｗｙｎｅｒによって最初に導入された盗聴チャネルとして知られている。ただし、盗聴チャネルの概念は、後にＣｚｉｓａｒとＫｏｒｎｅｒによってより抽象的なレベルで拡張されたものとなった。彼らの事例では、盗聴チャネルは抽象モデルであり、盗聴者に制限を課さない、任意の３つのチャネル（送信者、受信者、および盗聴者を含む）を含む。この抽象モデルでは、盗聴チャネルは２つの別々のチャネルを含み、そのうちの一方は送信者と受信者との間に、またもう一方は送信者とイブとの間に位置している。このモデルは、通信チャネルが量子状態を伝送する量子盗聴チャネルまでさらに拡張されたものとなっている（参考文献：Ｉｇｏｒ Ｄｅｖｅｔａｋ，Ｑｕａｎｔｕｍ ｐｒｉｖａｃｙ ａｎｄ ｑｕａｎｔｕｍ ｗｉｒｅｔａｐ ｃｈａｎｎｅｌｓ、Ｃａｉ，Ｎ．，Ｗｉｎｔｅｒ，Ａ．＆Ｙｅｕｎｇ，Ｒ．Ｗ．，Ｑｕａｎｔｕｍ Ｉｎｆｏｒｍａｔｉｏｎ：Ａｎ Ｉｎｔｒｏｄｕｃｔｉｏｎ Ｐａｒ Ｍａｓａｈｉｔｏ Ｈａｙａｓｈｉ）。抽象的なレベルであるこれらのモデルは、両方ともイブの能力について何ら仮定していないため、パッシブシナリオおよびアクティブシナリオの両方を包含している。アクティブシナリオとパッシブシナリオとを区別することを目的としているため、以下では、盗聴チャネルが物理的な通信チャネルであり、イブの能力をパッシブ盗聴に限定している、最初のＷｙｎｅｒによる用語を採用することとする。

過去数十年の間に、両方のシナリオでの盗聴を克服するための解決策が開発されている。

ＱＫＤは、アクティブシナリオで秘密鍵を交換できるようにするプロトコルである。ＱＫＤプロトコルでは、２人のユーザ間にある通信チャネルは量子チャネルとして知られている。量子チャネルは、量子粒子、典型的には光子を、それらの量子特性を保持するように伝送する通信チャネルである。量子符号化に使用される２組のパラメータが存在する。１つは光子の偏光であり、２つめは位相であり、これには干渉計の使用が必要となる。どちらにも、量子チャネルの物理層およびＱＫＤプロトコルのタイプに依存する利点と欠点とが存在する。

ＱＫＤの背景にある基本的な考え方は、盗聴者が信号を傍受し、量子力学に矛盾の無い方法でそれを処理することが可能であるということである。それでもなお、送信者および受信者として知られている合法的なユーザは、依然としてセキュアな鍵を交換することができる。

ＱＫＤにおいて最もよく知られているプロトコルとしては、１９８４年にＢｅｎｎｅｔｔとＢｒａｓｓａｒｄによって説明された、４つの異なる量子状態に基づいたＢＢ８４プロトコルが挙げられる。たとえば、以下のような他のプロトコルもいくつか考案されている。

・量子もつれに基づくＥ９１。

・２つの量子状態のみに基づいているが、干渉計の検出を要するＢ９２。

・および位相パラメータの変形を使用し、また符号化を行うにあたり検出時間を使用する、ＣＯＷ。

これらのプロトコルはすべて、量子チャネルを介した単一光子の伝送に基づいており、離散変数ＱＫＤまたはＤＶ−ＱＫＤとして知られている。これらにおいては、受信者側での単一光子検出装置の使用が必要となる。この必要性を軽減するために、連続変数ＱＫＤまたはＣＶ−ＱＫＤと呼ばれる別のタイプのＱＫＬＤが提案され、実証されている。ＣＶ−ＱＫＤは通常、位相パラメータとともに使用される。

光ファイバを介して分配される地上ＱＫＤ用の商用システムは、ほとんどの場合ＩＤ Ｑｕａｎｔｉｑｕｅ社によって開発されている。地上ＱＫＤのすべてを実用化するにあたり、量子符号化に使用されるパラメータは位相、または、ＣＯＷプロトコルのための関連するタイミングパラメータである。その理由は、偏光は光ファイバでは保持されないため、偏光方式では複雑で高価な構成要素を必要とするからである。一方、干渉計の検出についてはシングルモード光ファイバで実現する方がより容易となり、これは地上ＱＫＤにおいて選択すべき媒体である。

地上ＱＫＤにおいて最も制限的制約となるものの１つは、距離制限である。光導波路における不可避の損失と、量子チャネルでは光増幅器を使用できないという事実とに起因して、送信者と受信者との間の距離は商用設定では約１００キロメートル、学術実験では最大３００キロメートルに制限される。このため、距離範囲を拡大するために、量子チャネルが自由空間となり、同様の損失制限のないＦＳＯ ＱＫＤが提案されている。

近年では、自由空間で、典型的には衛星または飛行ドローンと地上基地局との間において、送信者と受信者との間でセキュアに鍵を交換するために、ＦＳＯ ＱＫＤが研究されている。一例として、米国特許公報第９３０６７４０号はＱＫＤ望遠鏡用の装置を開示しており、また米国特許出願公開公報第２０１００１６６１８７号は、高高度プラットフォームを使用してＱＫＤを実行するシステムを開示している。また、大気連続−可変ＱＫＤがどのように実行され得るかを示している（Ｈｅｉｍら、２０１４年）、または自由空間ＱＫＤの実現可能性を実証している（Ｅｌｓｅｒら、２００９年）研究も、いくつか行われている。

ＦＳＯ ＱＫＤの原理は学術的な設定でも実証されているが、今なおその実証は困難である。地上ＱＫＤとは対照的に、自由空間での位相の使用はより困難となっている。実際、大気の歪みのせいで波の波面は伝搬中に歪んでしまい、これによって受信者側で干渉不良が発生することになる。補償光学ミラーを使用することで、これを改善することができる。しかしながら、これによってシステムのコストと複雑性とが大幅に増大する。自由空間では偏光が保持されるため、偏光ベースのシステムはより訴求力のあるものとなっている。ただし、送信者に対して受信者が移動するため、光子の偏光は衛星の通過中に変動し、このために複雑な偏光補償構成要素が必要となる。したがって、想定可能な上記のプロトコルおよび方式にはどれもいくつかの重大な欠点があり、このためにそれらを実施するのが困難となっている。

・ＢＢ８４、通常自由空間における偏光に基づいており、４つの異なる偏光状態の生成、補償および追跡を要する。

・Ｅ９１、偏光または位相に基づいている可能性があるため、もつれ合った粒子の複雑な発生源を要する。

・Ｂ９２、２つの異なる状態しか必要としないが、偏光のみで実行することができず、かつ干渉計の検出を要し、したがってこれは自由空間での実施は容易ではない。

・ＣＯＷプロトコルは、上記のような盗聴者に対する干渉計の検出をまさに要する。

・ＣＶ−ＱＫＤシステムも位相に依存しており、干渉計の検出を要する。

チャネルが完全に光導波路内にあって、影響および外界がほとんどない地上ＱＫＤには存在しないが、ＦＳＯ ＱＫＤでのもう１つの難点は、迷光が存在することである。実際、自由空間チャネルを外部光から隔離することは、とりわけ低軌道周回衛星用の８００長のチャネルなど、高損失チャネルにとっては困難な作業である。したがって、通信チャネルの電力レベルをＱＫＤシステムに必要なレベルよりも上昇させながら、鍵交換時のセキュリティを維持できることが有利となるであろう。なお、ＱＫＤシステムの場合、そのチャネルが十分に良好な信号対雑音比を有するかどうかを判定するのに使用されるパラメータを、量子ビット誤り率（ＱＢＥＲ）と呼ぶ。このパラメータは、何らかの理由で信号対雑音比の逆数となる。ＱＢＥＲ値はＱＫＤシステムによって測定される。ＱＢＥＲ値が所定の閾値を超えると、ＱＫＤシステムは量子ビットの交換から秘密鍵を生成することができなくなる。ＱＢＥＲ値が高いほど、信号レートに対する誤り率が上昇する。こうした誤り率の上昇は、量子信号の減少、またはＱＫＤシステムの何らかのパラメータの改変（たとえば、光学系のアライメントを変更する温度体系の変動、もしくはＱＫＤ受信機内の単一光子検出装置が有する固有雑音の変化）、または盗聴の試みのいずれかに起因している可能性がある。

この背景を念頭に置くと、ＦＳＯ ＱＫＤに関して現在存在している解決策は、多くの技術的課題および限界に直面している。より簡素で、より安価かつセキュアな伝送システムを実現するために着目すべきは、盗聴者の能力を制限する物理層（古典または量子）の盗聴チャネルモデルである。このモデルでは、盗聴者が伝送を直接傍受できないとの確信を得ている必要がある。これは、送信者と受信者とが見通し距離内にいる自由空間では合理的な仮説である。

一例として、第１のシナリオによる盗聴を防止するために、送信者１００と受信者２００との間の光チャネルを覆う領域における盗聴者の侵入を検出するために、レーダ１５０が開発かつ使用されている。その上、第１のシナリオによると、盗聴者イブ１が送信者１００および受信者２００と完全に位置合わせされること、すなわち送信者１００と受信者２００とを結ぶ経路にちょうど位置することは実に困難であり、これはなぜなら、送信者１００とイブ１とが同じ速度かつ同じ方向となることで初めて、同じ軌道上に並ぶからである。最終的に、ビームを傍受して再送信するために、盗聴者は２つの異なる望遠鏡を所有する必要があり、このうちの一方は送信者の方向を指し、もう一方は受信者の方向を指し、両方とも光学系のロックを保持するのに十分な精度を有する必要がある。

したがって、盗聴者が送信者と受信者との間に物理的に存在しているという第１のシナリオは起こらない可能性があると考えられ、たとえ万が一起こったとしても、レーダを使用することでそれを検出できると考える方がはるかに現実的である。物理層の盗聴チャネルシナリオは、ＦＳＯ通信のほとんどの盗聴状況における条件に適合するシナリオを代表している。

物理層の盗聴チャネルは、物理層セキュリティに特化した研究潮流の一部である。物理層セキュリティは、無線ネットワークの通信セキュリティを補完し、かつ大幅に改善させるために近年新たに出現した技術である。暗号化アルゴリズム手法と比較して、物理層セキュリティは根本的に異なるパラダイムであり、ここでは熱雑音、干渉、およびフェージングチャネルの時変特性などの通信システムの物理層特性を利用することにより、秘密性が得られる。

図１に示す物理層の盗聴チャネルモデルでは、正規ユーザ、すなわち送信者１００および受信者２００が目的とするのは、盗聴者イブ２ ３０５が、盗聴したチャネルの出力から交換済みの情報に関するいかなる情報も取得できないか、または少なくともその情報へのアクセスを有効にする信号を抽出できないことを保証しながら、主チャネル上で通信を行うことである。この事例の根底にある基本的な理論的枠組みは、Ｗｙｎｅｒによって提示された。主な仮定としては、送信者から盗聴者へと至るチャネルが、送信者から正規の受信者へと送信されたチャネルの劣化バージョンである場合、メッセージレートのごく一部を犠牲にすることによって非ゼロの秘密性レートが得られるということである。その場合の「劣化」とは、ノイズが増加した状態であると理解すべきである。近年では、Ｗｙｎｅｒによる物理層の盗聴チャネルがＭａｕｒｅｒとＷｏｌｆによって再検討され、その際彼らは、盗聴チャネルが劣化バージョンでなくても、すなわちイブの方が送信者および受信者よりもノイズが少ない場合でも、イブと受信者との間におけるノイズの独立性について仮定するだけで、非ゼロの秘密性レートが依然として得られることを明らかにしている。秘密情報を引き出すために、送信者および受信者は盗聴チャネルのノイズについて認識する必要がある。

このシナリオの観点からは、近年多くの理論的研究が発表されており（Ｌｏｐｅｓ−Ｍａｒｔｉｎｅｚら、２０１５年）、（Ｗａｎｇら、２０１４年）、（Ｓｕｎ、２０１６年）、（Ｓａｓａｋｉら、２０１６年）、これらは、光信号強度が１００ｍＷの範囲内である光古典信号を利用した設定を有する盗聴者が信号を抽出する際、その信号に対するノイズの影響を分析している。

したがって、イブ２ ３０５のノイズチャネルおよびその信号抽出能力に関していくらか仮定することにより、ＦＳＯチャネルを介したセキュアな方法で、送信者と受信者との間における情報の交換、たとえば鍵の交換を有効にすることができる。

ただし、この手法ではイブ２ ３０５のノイズレベルおよび信号抽出能力について仮定することが必要となる。イブの検出装置のノイズについては下限を設けている必要があり、またその境界が認識されている必要もある。イブ２が備える検出装置の品質状況を確かめることは決してできないので、これを解決するのは非常に困難である。

このため、物理層の盗聴チャネルシナリオに対してセキュアなＦＳＯ通信を提供し、なおかつ盗聴者に対する技術的な制限に依存しないシステムおよび方法についての差し迫った必要性がある。

したがって、本発明の目的は、盗聴者に対する技術的な制限に依存しないセキュアなＦＳＯ通信を実現するシステムおよび方法を提供することである。

この目的は、物理層の盗聴チャネルに関する仮説（盗聴者は聴取にとどまる）と単純な量子チャネルの使用とを組み合わせることによって達成され、ここでは量子力学の原理によって、イブが入手できる情報量が制限されることとなる。この種の通信チャネルを、量子的に高められた盗聴チャネルと呼ぶこととする。

提案される本発明は、物理層の盗聴チャネルシナリオを背景とした、ＦＳＯ通信を介したセキュアな鍵の交換を、送信者と受信者との間の光チャネルからデータを抽出するイブの能力に関して何ら仮定せずに、なおかつＱＫＤベースのシステムに必要な複雑かつ高価な実装を必要とせずに有効にするシステムおよび方法を提供する。本明細書において、使用する装置および方法について以下で詳細に説明する。

開示される本発明は、盗聴者が抽出できる情報が量子力学の原理によって限定されるように、チャネルが量子状態を伝送するという、盗聴チャネルモデルに基づいて自由空間で鍵を配送するための方法である。

より具体的には、本発明のシステムおよび方法は以下に基づいている。

・２つの量子状態をランダムに符号化して、それらを受信者へと送信する能力を有する送信者。本発明の特定の実施形態によれば、これらの状態は単一光子、またはほんの数個の光子を伴う弱いコヒーレント状態となり得る。偏光、タイムビンまたは他のパラメータで符号化を行うことができる。いくつかの実施形態のみを提示しているが、他のタイプの量子状態および符号化を同様に使用してもよい。

・当該状態を受信者へと伝送する、量子的に高められた物理層の盗聴チャネル。盗聴チャネルに関する仮説では、盗聴者は量子状態の一部を収集することはできるが、それらの傍受はできないことになっている。本発明の基礎として使用する量子チャネルの主な特性は、盗聴者がチャネルを盗聴しても、当該状態に関する部分的な情報しか得られないということである。対照的に、古典チャネルでは原理上、盗聴すれば当該信号に関する完全な情報を得ることができる。

・送信者によって送信された量子状態を検出かつ測定する能力を有する受信者。

加えて、元のトランザクションから共有されたセキュアな鍵を抽出するために、認証済みの古典チャネルを介して送信者と受信者とが連携することができる。このステップは鍵蒸留として定義されており、送信中に損失のあった状態を識別して破棄する情報整合と、送信中に発生した可能性のあるエラーを除去する誤り訂正と、盗聴者に漏洩した可能性のある情報を、選択した任意の低い値まで減少させるプライバシー増幅とを含む。

このため、本発明の第１の態様は、２つの異なる想定可能な量子状態のうちの一方で符号化される１つの量子ビットを、送信者においてランダムに作成するステップと、前記チャネルを盗聴する盗聴者が、前記状態に関する部分的な情報しか得られないようにして、量子的に高められた物理層の盗聴チャネルを介して受信者に符号化された量子ビットを送信するステップと、受信された量子状態を検出および測定するステップと、古典チャネルを介して、送信者と受信者との間で鍵のシフティング処理を行うステップと、検出かつ受信された量子状態に基づいて、任意の盗聴者が入手できる情報量を計算するステップとを含む、物理層の盗聴チャネルモデルに基づいた送信者と受信者間での情報交換を含む、自由空間における鍵配送方法に関する。

有利には、２つの異なる想定可能な量子状態は単一光子から成る。

好ましくは、単一光子がそれぞれＵＳＤ測定によって検出され、その後、秘密鍵生成ステップで利用する。

あるいは、前記２つの異なる想定可能な量子状態は、複数の光子のコヒーレント状態から成る。

本発明の好ましい一実施形態によれば、自由空間における鍵配送方法は、まず受信者の表面に相当する集光領域Ｓ_ＣＺと、光量子チャネルを介して伝送される信号に対し、いずれの盗聴者もアクセスできないと受信者が仮定できる領域に相当するセキュア領域Ｓ_ＳＺと、光ビームによって覆われる全面積に相当する照射領域Ｓ_ＩＺと、盗聴者が位置し得、盗聴者が入手できる量子状態の平均数が、次の式によって画定されている非セキュア領域Ｓ_{非セキュア領域}とを定義している、さらに別の盗聴者が入手可能な情報の判定ステップを含む。

ここで
は、盗聴者によって傍受される可能性のある光子の平均数であり、
−は、量子チャネルの伝送係数であり、
は、放出される光子の平均数である。

有利には、自由空間における鍵配送方法は、送信者によって送信される各コヒーレント状態の少なくとも１つの光子を盗聴者が収集する確率に基づく、照射領域の表面画定ステップをさらに含み、前記確率は次の式によって求められる。

ここで、送信者によって送信されるコヒーレント状態の強度を調整することにより、前記照射領域画定ステップを定義している。

本発明の好ましい一実施形態によれば、計算ステップは、送信者および受信者の蒸留エンジンによって実行される誤り訂正ステップである。

有利には、鍵のシフティング処理を行うステップは、蒸留エンジンに対して検出タイムスロットを通知し、かつ量子状態が検出されなかったタイムスロットを除外する蒸留エンジンを含む。

好ましくは、２つの異なる想定可能な量子状態は非直交である。

本発明の好ましい一実施形態によれば、誤り訂正ステップの後に、誤り訂正ステップ中に判明したビットを破棄することによって、送信者と受信者との間で共通の秘密鍵を生成するプライバシー増幅ステップが続く。

有利には、自由空間における鍵配送方法は、量子ビット作成ステップの前に同期ステップをさらに含む。

本発明の第２の態様は、送信者と、受信者と、前記送信者および前記受信者を連結している光量子チャネルとを備え、前記送信者は、量子状態送信機と蒸留エンジンとを備え、前記受信者は、量子状態受信機と蒸留エンジンとを備えることを特徴とする、本発明の第１の態様による方法を実行するように構成された、自由空間における鍵配送システムに関する。

本発明の好ましい一実施形態によれば、量子状態送信機は、乱数発生装置と量子状態符号化装置とを備え、乱数発生装置は、量子状態を２つの異なる量子状態のうちの一方として符号化するように、量子状態符号化装置に命じる値を出力する。

有利には、量子状態は光子の偏光状態である。

好ましくは、量子状態受信機は、受信者の生鍵を表すビットのシーケンスを生成するように適合される、確実な状態識別測定（Ｕｎａｍｂｉｇｕｏｕｓ Ｓａｔｅ Ｄｉｓｃｒｉｍｉｎａｔｉｏｎ）を行うように構成されたＵＳＤ装置である量子状態検出装置を備える。

図面を参照しながら、本発明の好ましい実施形態を以下に記載するが、これらは本発明の現在の好ましい実施形態を例示するためのものであり、これらの実施形態を限定するためのものではない。図面において、
盗聴チャネルおよび物理層の盗聴チャネルにおける盗聴を含む、種々の盗聴シナリオを示す図である。 本発明の概略的な装置を示す図である。 単一光子によって搬送される偏光状態の場合に適した、本発明の好ましい一実施形態を示す図である。 コヒーレント状態の場合に適した、本発明の好ましい一実施形態を示す図である。 本発明の概略的な装置に関連する方法を示す図である。

図１は、上記で言及しかつ記載したように、種々の盗聴シナリオを提示している。送信者１００および受信者２００は、破線で画定されたＦＳＯ通信チャネルを介してデータを交換しており、盗聴者イブ１ ３００は１００と２００との間に位置してもよく、盗聴チャネルシナリオに従ってビームを傍受して再送信するか、または盗聴者イブ２ ３０５は地上に位置してもよく、その場合は物理層の盗聴チャネルシナリオに従って、ビームの一部の収集のみが可能となるが、再送信はせず、両方のシナリオにおいて、交換されるデータに関する情報の取得が試みられている。それに関する説明を、ここでは詳細に繰り返さないものとする。

図２は、量子チャネル５００を介した量子状態および古典チャネル５５０を介した認証信号を交換する送信者１００と受信者２００とを含む、本発明の概略的な装置を示す。なお、これらのチャネルは盗聴されていると見なし、これはすなわち、盗聴者はチャネルを通過する情報および／または量子状態を抽出することはできるが、この情報およびこれらの量子状態を変更することはできないということである。古典信号は、同期化、ポインティングおよび追跡または後処理作業を行うために、送信者１００と受信者２００との間で交換される古典的なＲＦ信号または光信号であってもよい。送信者１００は、量子状態送信機１１０と蒸留エンジン１２０とを備える。量子状態送信機１１０は、それぞれビット０または１を表す量子状態源｜φ_０＞または｜φ_１＞１１１であって、ここではたとえば、量子状態が単一光子によって搬送される偏光状態であり得る、量子状態源と、たとえば従来のＲＮＧまたは量子ＲＮＧで作成可能な、ランダムビット値１１２を生成することができるモジュールとから構成されている。

ランダムビット値生成装置１１２によって出力されたビット値（０または１）に応じて、状態源１１１は、相当する量子状態（たとえば、「０」＝｜φ_０＞；「１」＝｜φ_１＞）を送信するように構成されている。生成装置１１２によって選択されたビット値のコピーは、送信者の生鍵を構成するために蒸留エンジン１２０へと送信される。蒸留エンジン１２０は、生鍵から秘密鍵を生成するために鍵蒸留プロセスを実行するように構成されている。

その一方で、受信者２００は量子状態受信機２１０と、類似の蒸留エンジン２２０とを備える。量子状態受信機２１０は、チャネル５００を介して受信された量子状態を検出し、かつ２つの異なる状態である｜φ_０＞と｜φ_１＞とを識別することができる。蒸留エンジン２２０は、古典チャネル５５０上で１２０と連携させながら使用することで、生鍵の交換から秘密鍵を蒸留する。受信者の生鍵を構成するために、「１」または「０」から成る測定シーケンス出力が蒸留エンジン２２０へと送信される。

蒸留エンジン１２０と蒸留エンジン２２０とが古典チャネル５００を介し協働して、秘密鍵１３０を生成する。蒸留エンジン１２０および２２０は両方とも３つのモジュール、すなわち整合モジュール１２１および２２１と、誤り訂正モジュール１２２および２２２と、プライバシー増幅モジュール１２３および２２３とから構成される。蒸留エンジン１２０および２２０の両方とも、処理装置から作製することができる。蒸留エンジン１２０または２２０を構成している３つのモジュールは、それらの処理装置上で実行されるソフトウェア部分から構成することができる。

タイムビン検出の場合、整合モジュール２２１は、まず整合モジュール１２１に検出タイムスロットを通知し、次いで量子状態が検出されなかったタイムスロットを除外する。実際、量子チャネル５００において、また２１０内の検出装置において損失が発生する可能性があるため、１１１によって送信される状態がすべて検出されるわけではない。自由空間量子チャネル５００の典型的な損失は、高高度プラットフォームでは１０〜２０ｄＢ、衛星では３０〜５０ｄＢ、そして静止衛星では５０ｄＢを超える範囲となる。

次に、誤り訂正モジュール１２２および２２２が残りのビットに対して誤り訂正を行う。この誤り訂正は、たとえばビットのサンプルを取得する（そして情報漏洩のないように、後でそれらを破棄する）ことにより、誤り数を評価するステップと、誤り訂正コードを使用して誤り数をゼロまで減少させるステップとから成る。

最後に、プライバシー増幅モジュール１２３および２２３が、盗聴者に漏洩した可能性がある情報量を推定し、残りのビット数をさらに減少させることで、これを任意に選択された値、典型的にはゼロに近い値まで減少させる。正確な計算の実行は実施形態に依存しており、２つの事例、すなわち単一光子およびコヒーレント状態については以下に例示している。他の実施形態でも同様に推定することができる。この手順の終了時に、送信者１００および受信者２００は必要に応じて秘密鍵１３０を共有する。

図３ａは、単一光子状態に基づき、飛行プラットフォームと地上局との間でのセキュアな鍵交換を可能にする、本発明の第１の実施オプションを示す。この第１の実施形態では、量子状態送信機１１０は２つの状態のうちの一方、たとえば｜φ_０＞または｜φ_１＞（０または１のビット値に相当する）にある単一光子状態の列を、たとえば直交偏光で送信する。先行技術で説明した欠点、すなわち飛行中に偏光が送信者の位置によって変動し得る状態を回避するために、たとえば右円偏光と左円偏光とから成る２つの円偏光モード１１５を使用することができ、これらは飛行プラットフォームの位置に対して不変である。この量子状態の列を矢印の束で示しており、大きな点はそれぞれ１つの光子に相当し、種々の時間に送信されたものである。光子はすべて送信機１１０の回折円錐内にあり、地上の種々の場所に到達することになる。受信者領域２００（図３ｂを参照のこと）とも呼ばれる集光領域６５０に到達する光子は、受信者２００によって検出されることになる（不完全な検出による損失を伴う）。これらの状態は受信者２００において、量子状態受信機２１０を用いて容易に識別することができ、この量子状態受信機２１０は、２つの円偏光を２つの直線偏光へと変換する４分の１波長板（ＱＷＰ）と、２つの直線偏光を分離し、かつこれらをそれぞれ２つの検出装置２０２および２０３のうちの一方へと送信する偏光ビームスプリッタ２０１とから構成されている。

量子力学の原理からよく知られているが、単一光子状態を分割することはできない。したがって、集光領域６５０の外側に到達する光子は、この場合イブ２ ３０５によって検出される可能性があり、また受信者２００では受信されないことになる。これに相当する状態は、上記で説明した整合プロトコルの間に破棄されることになる。したがって、本実施形態において送信者１１０と受信者２００との間で共有され、なおかつイブ２ ３０５が入手できる情報はゼロとなる。このため、単一光子を使用する量子的に高められた物理層の盗聴モデルにおいて、プライバシー増幅ステップでは、誤り訂正ステップ中に判明したビットを破棄しさえすれば十分である。誤り訂正ステップ中に判明したビットを持たない訂正済みの鍵は、すでに非公開となっている。ただし残念なことに、単一光子の流れを生成するのは困難な作業である。これは実験室では実現されているが、すぐに利用できる商業的供給源は存在していない。かかる供給源を衛星搭載レベルとするために、多大な努力も必要となるであろう。このため、本実施形態は最も単純な実施態様を示しているが、まだ実用的ではない。

第２の実施形態では、２つの量子状態はコヒーレント状態である。量子光学では、コヒーレント状態を最初に導入したのはＲ．Ｇｌａｕｂｅｒであり、その後広く研究されている（たとえばＲ．Ｌｏｕｄｏｎによる書籍「Ｑｕａｎｔｕｍ Ｔｈｅｏｒｙ ｏｆ Ｌｉｇｈｔ」を参照のこと）。ここで最も重要な特徴は、コヒーレント状態が、たとえば光パルスにおいて、レーザによって送信される量子状態であるという点である。本実施形態で使用するコヒーレント状態の第２の特徴は、コヒーレント状態が、たとえば大気を介して伝送される間に減衰した場合に、コヒーレント状態を維持するという点である。本実施形態でやはり使用するコヒーレント状態の第３の特徴は、コヒーレント状態を、独立したコヒーレント状態の直積に分割することができるという点である。これは、コヒーレント状態が異なるモードに分割された場合、各モードにおける光子の検出確率が別個のものとなることを意味している。図３ｂは、この特定の発明実施形態と、典型的な鍵交換の実行とを示す。この図は、衛星が地上局との秘密鍵の交換を望む場合の構成を示している。盗聴者であるイブ２ ３０５は、地上で受信者２００の近くに位置していると考えられる。イブ２ ３０５は、光ビーム内にあるとき、送信者１００によって送信された量子状態の一部を収集することができる。イブ２ ３０５は、衛星内の送信者１００と地上局内の受信者２００との間の光通信チャネル内を伝搬する信号の一部を収集する能力しか有していないので、ここで提示している構成は物理層の盗聴チャネルシナリオに関する仮説と一致している。送信者１００は、光量子チャネル５００を介してコヒーレント状態（たとえば、レーザによって放出される光パルス）を受信者２００へと送信する。このパルスの強度は、受信者において、平均して１光子程度の非常に低い強度を有するように選択される。送信者１００は、たとえば時間内に符号化された量子状態、すなわちＣＯＷプロトコルで使用される基底のような、異なるタイムビンに相当する各ビットを用いた稼働を選択することができる。偏光符号化（前実施形態に記載した通り）も可能となり得る。ただし偏光符号化は、たとえば光学ミラー内の偏光保持構成要素を必要とするため、これによってシステム全体がより高価になる。したがって、実用的な理由から、実行に際しパルスレーザのみを要する時間符号化の方が、より安価な解決策と思われる。このパルスレーザは、次の２つの量子状態を生成するために適時に有効になる。これらの量子状態はすなわち、たとえばゼロを表す、後期タイムビンの真空状態がその後に続く初期タイムビンの１つの弱い光パルスか、またはたとえば１を表す、後期タイムビンの１つの弱い光パルスがその後に続く初期タイムビンの１つの真空状態のいずれかである。受信者２００側では、初期または後期タイムビンで光子検出が行われたかどうかを確認することにより、これら２つの量子状態を識別することができる。これは、固有の単一光子検出装置の使用に続き、検出時間をタイムビン定義と比較して測定する装置を使用することにより、実施することができる。また、検出システムを適宜同期することも必要である。回避できない回折効果が生じるために、送信者１００からのビームは伝搬中に広がる。したがって、量子チャネル５００を円錐形の光ビームによって表している。明示することを目的として、この効果を図３ｂではかなり強調している。実際には、たとえば１０ｃｍのミラーの場合、ビームのアパーチャは約２０秒角である。ただし、低軌道周回衛星の場合は、伝搬距離が約８００ｋｍと長くなるため、ビームは通常数メートルの広い領域を照射し、この領域を照射領域（ＩＺ）６００と呼んでいる。ここでは、ＩＺ ６００を３つの領域へと分割している。

１−光を収集し、受信者２００内に位置する、ミラーの表面に相当する集光領域（ＣＺ）６５０。受信者２００が入手できる平均光子数は、次の式によって求められる。

ここで、
−受信者２００が受信する平均光子数
−量子チャネルの伝送係数
−受信者側の量子効率
−送信者１００から送信される平均光子数
−ＣＺ ６５０の表面
−ＩＺ ６００の表面であり、光ビームによって覆われる全面積を表し、たとえば、衛星から放出された光ビームが地表に衝突するとき、約５０メートルの円となる可能性がある。

２−セキュア領域（ＳＺ）６６０、光量子チャネル５００を介して伝送される信号に対し、いずれの盗聴者もアクセスできないと受信者２００が仮定できる領域であり、一例としてこの領域は、盗聴者が侵入できない、たとえば建物の屋内駐車場などの、受信者２００を包囲している閉鎖された領域であってもよい。

３−第３の領域は非セキュア領域６７０であり、この領域は照射されているがセキュアではなく、盗聴者が位置し得る場所に相当する。非セキュア領域の表面は次の通りとなる。

したがって、イブ２ ３０５が入手できる平均光子数は、次の法則によって制限される。

ここで、
−盗聴者（イブ２−３０５）によって傍受される可能性のある平均光子数。ここで、イブ２ ３０５が入手できる可能性のある情報の上限を計算するために、イブが完全な検出装置を用いて非セキュア領域６７０の全体を対象とすることができると仮定する（これは、１の量子効率を仮定していることを意味する）。

既述したように、送信者１００はコヒーレント状態を送信する。これらの状態を、セキュア領域６６０および非セキュア領域６７０の２つの領域に相当する、２つの異なるモードに分割することができる。各領域における検出確率は別個のものとなる。これはコヒーレント状態の特性である。換言すれば、イブ２ ３０５による光子の検出確率は、受信者２００における検出確率とは完全に無関係である。

送信者１００からイブ２ ３０５へと至るチャネルがいかなる余分なノイズも導入せず、またイブ２ ３０５が送信者１００によって送信された状態間を完全に分割することができると仮定すると、イブ２ ３０５は、そのコヒーレント状態が少なくとも１つの光子を有するたびに、送信者１００によって送信され、受信者２００によって受信される状態（すなわち、ビット値）について知ることができる。このコヒーレント状態の特性を使用して、送信者１００によって送信される各コヒーレント状態に関して、イブ２ ３０５が少なくとも１つの光子を収集する確率は、次の式によって求められる。

この式により、送信者１００によって送信された各量子状態に関して、イブ２ ３０５が取得した情報を得ることができる。上記の独立性から、これは、誤り訂正の前に送信者１００と受信者２００とが共有している各ビットに関して、イブ２ ３０５が取得する可能性のある情報でもある。イブ２ ３０５が情報を取得することができない単一光子状態を有する既述の実施形態とは対照的に、送信者１００と受信者２００とがコヒーレント状態を使用する場合、イブ２ ３０５は状態に関する部分的な情報を取得することができる。ただし、この情報は上記の式によって制限される。２つの実施形態における１つの共通した特徴は、イブ２に漏洩される可能性のある情報がチャネル内の誤り率に依存するのではなく、送信者１００によって使用される状態のタイプおよび本システムの幾何学構造にのみ依存するということである。送信者１００によって送信されるコヒーレント状態の強度を減少させることによって、イブ２ ３０５が受信するコヒーレント状態の平均光子数はゼロへと近づく。このため、送信者１００によって選択されたビット値に関するこうした情報は、コヒーレント状態の強度が低いほど少なくなる。また、照射領域６００に対してセキュア領域６６０が十分に大きい場合、イブ２ ３０５が光子を受信する確率は低くなる。このことは、イブ２ ３０５が入手できる可能性のある情報を減少させるために、次の２つの異なる方法が使用できることを示している。

（１）制限された数の光子を送信するか、
（２）または十分な大きさのセキュア領域を用意することによって、イブがビームの大部分にアクセスできないようにする。

この情報は、プライバシー増幅により、必要な任意の値まで減少されることになる。

図４は、本発明に関連する方法を示す。

第１のステップ７００では、送信者１００および受信者２００が、古典的なＲＦ信号または光信号交換を行うことにより、チャネル５５０を介して同期する。この動作を、たとえば衛星システム用のポインティングおよびトラッキングシステムを介して行ってもよいが、これは任意である。

第２のステップ７１０では、２つの異なる想定可能な量子状態のうちの一方で符号化された１つの量子ビットを送信者１００がランダムに作成し、前記量子状態は、単一光子またはコヒーレント状態のいずれかから成る。このランダムな量子ビット値は、送信者の生鍵に付加される。

第３のステップ７２０では、選択されたビット値に相当する、２つの異なる量子状態の間で符号化された量子ビットを送信者が受信者２００へと送信する。

第４のステップ７３０では、受信者２００が量子状態を検出かつ測定し、「１」または「０」を出力する。任意選択で、受信された状態に対する確実な状態識別測定（Ｕｎａｍｂｉｇｕｏｕｓ Ｓｔａｔｅ Ｄｉｓｃｒｉｍｉｎａｔｉｏｎ）を通じてこの測定を行ってもよく、この場合は「１」、「０」、または確定的でない結果「
」のいずれかを出力する。この結果は受信者の生鍵に付加される。

次いで、鍵のシフティング処理ステップ７４０では、送信者と受信者とが、検出タイムスロットを受信者が送信者に対して通知し、状態の非検出に相当するビット値を送信者が自身の生鍵から消去するように、通信する。

第５のステップ７５０では、送信者１００と受信者２００とが協働して、それらの２つの生鍵間の誤り訂正を行う。

第６のステップ７６０では、上記で説明したように、送信者によって送信される２つの異なる量子状態に基づいた物理層における盗聴を通じて、光量子チャネル５００からの情報を抽出する能力を有する盗聴者３０５が入手できる可能性のある最大限の情報を、送信者１００および受信者２００が判定する。

最終ステップ７７０では、共通の秘密鍵１３０を生成するために、送信者１００および受信者２００が訂正済みの生鍵のプライバシー増幅を実行する。

１００ 送信者
１１０ 量子状態送信機
１１１ 量子状態符号化装置
１１２ ＲＮＧ
１２０ 送信者側蒸留エンジン
１２１ 整合モジュール
１２２ 誤り訂正モジュール
１２３ プライバシー増幅モジュール
１３０ 秘密鍵
２００ 受信者
２１０ 量子状態受信機
２１１ 量子状態検出
２２０ 受信者側蒸留エンジン
２２１ 整合モジュール
２２２ 誤り訂正モジュール
２２３ プライバシー増幅モジュール
３００ イブ１
３０５ イブ２
５００ 量子チャネル
５５０ 古典チャネル
６００ 照射領域
６５０ 集光領域
６６０ セキュア領域
６７０ 非セキュア領域
７００ 送信者と受信者との同期
７１０ 「０」または「１」のランダム選択
７２０ 量子状態の送信
７３０ 受信者による量子状態の測定
７４０ 鍵のシフティング処理
７５０ 送信者および受信者による誤り訂正
７６０ イブに関する情報の推定
７７０ プライバシー増幅

Claims (15)

1. ２つの異なる想定可能な量子状態のうちの一方で符号化される１つの量子ビットを、送信者（１００）においてランダムに作成するステップ（７１０）と、
   前記チャネルを盗聴する盗聴者（３００）が、前記状態に関する部分的な情報しか得られないようにして、量子的に高められた物理層の盗聴チャネル（５００）を介して前記受信者（２００）に前記符号化された量子ビットを送信するステップ（７２０）と、
   前記受信された量子状態を検出および測定するステップ（７３０）と、
   古典チャネルを介して、前記送信者と前記受信者との間で鍵のシフティング処理を行うステップ（７４０）と、
   前記検出かつ受信された量子状態に基づいて、任意の盗聴者（３００）が入手できる情報量を計算するステップ（７５０、７６０）とを含む、
   物理層の盗聴チャネルモデルに基づいた送信者（１００）と受信者（２００）間での情報交換を含む、自由空間における鍵配送方法。
2. 送信者（１００）と受信者（２００）との間で交換される情報にいかなる盗聴者もアクセスすることができないように、前記２つの異なる想定可能な量子状態が単一光子から成ることを特徴とする、
   請求項１に記載の自由空間における鍵配送方法。
3. 前記単一光子がそれぞれＵＳＤ測定によって検出され、その後、秘密鍵生成ステップ（７７０）で利用することを特徴とする、
   請求項２に記載の自由空間における鍵配送方法。
4. 前記２つの異なる想定可能な量子状態が、複数の光子のコヒーレント状態から成ることを特徴とする、
   請求項１に記載の自由空間における鍵配送方法。
5. 前記プロセスが、まず前記受信者（２００）の表面に相当する集光領域Ｓ_ＣＺ（６５０）と、光量子チャネル（５００）を介して伝送される信号に対し、いずれの盗聴者もアクセスできないと前記受信者（２００）が仮定できる領域に相当するセキュア領域Ｓ_ＳＺ（４００）と、
   光ビームによって覆われる全面積に相当する照射領域Ｓ_ＩＺ（６００）と、盗聴者が位置し得、盗聴者が入手できる量子状態の平均数が、次の式によって画定されている非セキュア領域Ｓ_{非セキュア領域}（６７０）とを定義している、
   さらに別の盗聴者が入手可能な情報の判定ステップを含むことを特徴とし、
   ここで
   は、盗聴者によって傍受される可能性のある光子の平均数であり、
   −は、前記量子チャネルの伝送係数であり、
   は、放出される光子の平均数である、
   請求項４に記載の自由空間における鍵配送方法。
6. 送信者（１００）によって送信される各コヒーレント状態の少なくとも１つの光子を盗聴者（３００）が収集する確率に基づく、照射領域（６００）の表面画定ステップをさらに含み、前記確率が次の式によって求められることを特徴とし、
   このようにして前記盗聴者が入手できる情報が
   によって制限され、ここで、送信者（１００）によって送信される前記コヒーレント状態の強度を調整することにより、前記照射領域（６００）画定ステップを定義している、
   請求項５に記載の自由空間における鍵配送方法。
7. 前記計算ステップ（７５０）が、前記送信者（１００）および前記受信者（２００）の蒸留エンジン（１２０、２２０）によって実行される誤り訂正ステップであることを特徴とする、
   請求項１から６のいずれか一項に記載の自由空間における鍵配送方法。
8. 前記鍵のシフティング処理を行うステップ（７４０）が、蒸留エンジン（１２０）に対して検出タイムスロットを通知し、かつ量子状態が検出されなかったタイムスロットを除外する蒸留エンジン（２２０）を含むことを特徴とする、
   請求項１から７のいずれか一項に記載の自由空間における鍵配送方法。
9. 前記２つの異なる想定可能な量子状態が非直交であることを特徴とする、
   請求項１から８のいずれか一項に記載の自由空間における鍵配送方法。
10. 前記誤り訂正ステップ（７５０）の後に、前記誤り訂正ステップ中に判明したビットを破棄することによって、前記送信者（１００）と前記受信者（２００）との間で共通の秘密鍵（１３０）を生成するプライバシー増幅ステップ（７６０）が続くことを特徴とする、
    請求項１から９のいずれか一項に記載の自由空間における鍵配送方法。
11. 前記量子ビット作成ステップ（７１０）の前に同期ステップ（７００）をさらに含むことを特徴とする、
    請求項１から１０のいずれか一項に記載の自由空間における鍵配送方法。
12. 送信者（１００）と、
    受信者（２００）と、
    前記送信者（１００）および前記受信者（２００）を連結している光量子チャネル（５００）とを備え、
    前記送信者が、量子状態送信機（１１０）と蒸留エンジン（１２０）とを備え、
    前記受信者が、量子状態受信機（２１０）と蒸留エンジン（２２０）とを備えることを特徴とする、
    請求項１から１０のいずれか一項に記載の方法を実行するように構成された、自由空間における鍵配送システム。
13. 前記量子状態送信機（１１０）が、乱数発生装置（１１２）と量子状態符号化装置（１１１）とを備え、
    前記乱数発生装置（１１２）が、前記量子状態を前記２つの異なる量子状態のうちの一方として符号化するように、前記量子状態符号化装置（１１１）に命じる値を出力することを特徴とする、
    請求項１２に記載の自由空間における鍵配送システム。
14. 前記量子状態が光子の偏光状態であることを特徴とする、
    請求項１２または１３に記載の自由空間における鍵配送システム。
15. 前記量子状態受信機（２１０）が、受信者の生鍵を表すビットのシーケンスを生成するように適合される、確実な状態識別測定（Ｕｎａｍｂｉｇｕｏｕｓ Ｓａｔｅ Ｄｉｓｃｒｉｍｉｎａｔｉｏｎ）を行うように構成されたＵＳＤ装置である量子状態検出装置（２１１）を備えることを特徴とする、
    請求項１２から１４のいずれか一項に記載の自由空間における鍵配送システム。