JP3565256B2

JP3565256B2 - 量子暗号鍵を用いた通信システム

Info

Publication number: JP3565256B2
Application number: JP30433299A
Authority: JP
Inventors: メイヤースドミニク; 芳江河野; 芳弘南部; 章久富田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 1999-06-18
Filing date: 1999-10-26
Publication date: 2004-09-15
Anticipated expiration: 2019-10-26
Also published as: JP2001007798A; US6678379B1

Description

【０００１】
【発明の属する技術分野】
本発明は、量子暗号技術に関し、特に、暗号鍵を秘匿配送する方式に関する。
【０００２】
【従来の技術】
現代の暗号は、計算量的に安全な暗号と無条件に安全な暗号とに大別できる。ここで、「計算量的に安全」とは、「原理的には解読可能であるが、現在の計算機の能力では解読に膨大な時間を要するために、現実的には解読困難」という意味である。一方、「無条件に安全」とは、「無限の計算機能力を仮定しても解読不可能」という意味であり、Ｓｈａｎｎｏｎの情報理論に無条件に安全な暗号の存在が証明されている。
【０００３】
無条件に安全な暗号の代表的なものがＶｅｒｎａｎ暗号であり、その暗号通信手順は次のとおりである。
【０００４】
［共通鍵の生成］
送信者と受信者で、Ｎビットの乱数系列（各ビット値は０か１のいずれか）である暗号鍵を共有する。この暗号鍵は１回限りで使い捨てる（Ｏｎｅ−ｔｉｍｅ−ｐａｄ法）。
【０００５】
［暗号化］
送信者は、受信者に暗号通信で伝えようとする平文を２進数で表わす。そのビット数をＮとする。暗号文（Ｎビット）は、平文と暗号鍵のビットごとの排他的論理和（ビットごとのパリティ）とする。こうしてできた暗号文を受信者に送付する。
【０００６】
［復号化］
受信者は、受信した暗号文と暗号鍵のビットごとの排他的論理和をとる。それが、２進数で表わされた平文である。乱数系列という全く規則性がないデータを暗号鍵としているため、鍵そのものを入手しない限り暗号文の解読は原理的に不可能で、しかも鍵は１回限りの使い捨てのため、暗号文から情報は全く得られない。
【０００７】
上記の共通鍵は１回限りで使い捨てるために、情報の伝達毎に送信者／受信者間に共通の１個の鍵を必要とする。通信系を介して鍵を配送する場合、盗聴される危険性が常にあるため、配送時の盗聴の有無を確認できることが必要不可欠となる。
【０００８】
量子暗号鍵配送方式は、こうした無条件に安全な暗号の実現のために必要な共通鍵を、遠隔地にいる送信者・受信者間で安全に生成する、現在知られている唯一の方法である。この暗号鍵配送方式の無条件安全性は、盗聴者によるいかなる盗聴行為も必ず何らかの痕跡を量子レベルの信号に残す、という量子力学の不確定性原理により保証されている。
【０００９】
量子暗号鍵配送方式として、現在までに、４状態暗号方式（通称、ＢＢ８４暗号方式）、２粒子干渉暗号方式、非直交２状態暗号方式、直交２状態暗号方式などが提案されている。ここでは本研究に関連の深いＢＢ８４暗号方式の概略を記す。詳細は下記の文献［１］に記載されている。
【００１０】
［１］Ｃ．Ｈ．ＢｅｎｎｅｔｔａｎｄＧ．Ｂｒａｓｓａｒｄ，ｉｎＰｒｏｃｅｅｄｉｎｇｓｏｆＩＥＥＥＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒｓ，ＳｙｓｔｅｍｓａｎｄＳｉｇｎａｌＰｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ（ＩＥＥＥ，ＮｅｗＹｏｒｋ，１９８４），ｐ．１７５．
まず、ＢＢ８４暗号装置の構成を図２に示す。送信者２０１は、単一光子ソースと偏光変調器から構成される送信機２０３を操作することにより、制御された偏光状態をもつ単一光子を生成できる。この偏光情報を載せた単一光子が、情報の最小単位のキャリア（量子ビット）となる。
【００１１】
送信機２０３からでた単一光子は、量子チャンネル２０５を通って受信者２０２側に到達する。量子チャンネル２０５としては光ファイバや自由空間中の伝搬モードなどが考えられる。受信者２０２は、測定基底を制御できる測定器２０４を操作することにより、送られてきた単一光子の状態を測定する。この測定器２０４は偏光子と光子検出器から構成でき、また、ポッケルス・セルなどの電気光学偏光回転素子と組み合わせることにより、測定基底を切り替えることができる。送信者サイトに設けられた古典的送受信機２０９と受信者サイトに設けられた古典的送受信機２１０とを結ぶ古典的公開チャンネル２０６は、盗聴の有無をテストするために送受信結果を照合する際に使われる。古典的公開チャンネル２０６としては、無線や電話等が考えられ、盗聴されても分からないが、改竄は行われないことを仮定している。
【００１２】
次に、ＢＢ８４暗号方式の原理について説明する。
【００１３】
［コーディング規約］
単一光子の偏光状態に、「論理０」または「論理１」の１ビット情報を載せる。予め、送信者２０１と受信者２０２でコーディング方法を取り決めておく。以下、よく使用される例を挙げる。
【００１４】
コーディング規約例：
図３（ａ）に示す水平および垂直方向の偏光軸をもつ直線偏光の組｛｜０＞_＋，｜１＞_＋｝（以下、プラス（＋）基底と呼ぶ）と、図３（ｂ）に示す水平軸からの傾きが４５°および−４５°方向の偏光軸をもつ直線偏光の組｛｜０＞_Ｘ，｜１＞_Ｘ｝（以下、クロス（Ｘ）基底と呼ぶ）の二種類の基底を用いる。プラス基底とクロス基底は共役であり、４つの状態間の関係は次のとおり。
【００１５】
【数７】

｜０＞_＋と｜０＞_Ｘが「論理０」を表わし、｜１＞_＋と｜１＞_Ｘが「論理１」を表わすことにする。
【００１６】
このように、１光子の４つの量子状態｛｜０＞_＋，｜１＞_＋，｜０＞_Ｘ，｜１＞_Ｘ｝を用いるので４状態暗号と呼ばれる。
【００１７】
［情報を伝送する量子ビットの状態の測定］
｜０＞_＋と｜１＞_＋の状態にある光子を誤りなく識別できる測定器をプラス系測定器と呼ぶことにする。プラス系測定器では｜０＞_Ｘと｜１＞_Ｘは全く識別できず、各々に対し、「論理０」あるいは「論理１」を確率１／２でランダムに出す。
【００１８】
一方、｜０＞_Ｘと｜１＞_Ｘの状態にある光子を誤りなく識別できる測定器をクロス系測定器と呼ぶことにする。クロス系測定器では｜０＞_＋と｜１＞_＋は全く識別できず、各々に対し、「論理０」あるいは「論理１」を確率１／２でランダムに出す。
【００１９】
光子の状態があらかじめ分かっていない場合、これらの測定器を用いても、光子の状態が４状態＝｛｜０＞_＋，｜１＞_＋，｜０＞_Ｘ，｜１＞_Ｘ｝のうちのいずれであるかを決定することはできない（不確定性原理）。
【００２０】
［盗聴の影響］
この暗号方式に対する最も素朴な盗聴法の一つは、送信信号を測定し、その測定結果と同じ状態の光子を再送する盗聴法「測定／再送」である（文献［１］参照）。
【００２１】
図４は、この盗聴法による信号状態への影響と盗聴検出を説明する図であり、例として、送信者が｜１＞_＋の信号を送り、それを受信者がプラス系測定器を用いて測定する場合を挙げている。
【００２２】
送信者が送った偏光状態（｜１＞_＋の例）からの出力のうち、上方の分岐は盗聴者がたまたま（確率１／２）送信基底と同じプラス基底を用いて測定した場合の状況を示し、下方の分岐は、盗聴者がたまたま（確率１／２）送信基底と異なるクロス基底を用いて測定した場合の状況を示す。
【００２３】
上方の分岐の場合、盗聴後、偏光状態は変わらない（｜１＞_＋のまま）ため、プラス系測定器を用いた受信者は正しい結果「１」を得る。
【００２４】
下方の分岐の場合、盗聴後、偏光状態が変わる（｜０＞_Ｘあるいは｜１＞_Ｘ）ため、受信者が盗聴前の状態を正しく測定できるはずのプラス系測定器を用いると、「０」あるいは「１」が各々確率１／２で出る。本来は、「１」と出るべきところなので、「０」と出た場合に盗聴が発覚する。
【００２５】
上述した［情報を伝送する量子ビットの状態の測定］の項に記述したように、送信基底と測定基底が一致した場合には、送信ビット値と測定ビット値はかならず一致する。図４に示した例では、送受信基底がいずれも＋の場合であり、したがって送信途中に何事もなければ、送信信号が｜１＞_＋なので受信者の測定結果は必ず「１」となるはずであり、双方のビット値が食い違うことはない。ところが、盗聴があると以下に説明するように、送受信基底が一致しても双方のビット値に食い違いが生じることがある。その食い違いを見つけることにより盗聴を検出することができる。
【００２６】
盗聴者が測定／再送の盗聴を行う場合、盗聴者は量子チャンネルにアクセスして鍵情報の載った光子の測定を行うが、この時点では信号の基底は送信者以外誰も知らないので、盗聴者も＋あるいはＸのいずれかの基底をランダムに選んで測定するしかすべがない。
【００２７】
図４における最初の分岐の上方に示した、盗聴者がたまたま識別可能なプラス系測定器を選択した場合（確率１／２）には、送信された光子の偏光状態を正しく測定することができ、測定後、送信された光子と全く同じ偏光状態の光子を再送信できるために盗聴を悟られずに確実に送信された光子のビット値を知ることができる。
【００２８】
一方、図４における最初の分岐の下方に示した、盗聴者が識別不可能なクロス系測定器を選択した場合（確率１／２）には、受信結果として｜０＞_Ｘか｜１＞_Ｘのいずれかがランダムに出るので、盗聴者は、その結果通りの信号を受信者へ再送する。受信者は、いま、プラス系測定器を用いているので、｜０＞_Ｘあるいは｜１＞_Ｘのいずれがきても「０」と「１」がランダムに出る。この場合、受信者が送信者の送信ビット値と同じビット値を得る確率は１／２になる。
【００２９】
以上をまとめると，盗聴が発覚する確率は１ビットにつき（１／２×１／２）＝１／４、盗聴があっても発覚しない確率は１ビットにつき，（１−１／４）＝３／４である。テストビットの個数をｓとすると、盗聴があってもｓ個のテストビット中１つもビット値の不一致が起こらない確率Ｐの値は、
Ｐ＝（３／４）^ｓ
であり、ｓの値を大きくとれば、このＰの値は０に近づいてゆく。したがって、この盗聴テストをパスすれば、十分に１に近い確率で盗聴されていないと結論できる。
【００３０】
以下に、ＢＢ８４暗号方式のプロトコルを説明する。
【００３１】
＜量子ビット送受信プロトコル＞
［送信］
送信者は、ビットごとにランダムに、４つの偏光状態｛｜０＞_＋，｜１＞_＋，｜０＞_Ｘ，｜１＞_Ｘ｝から１つを選んで、受信者に送信する。これをｎ回繰り返す。送信状態は記録しておく。
【００３２】
［受信］
受信者は、ビットごとにランダムに、２つの測定器｛プラス系測定器、クロス系測定器｝から１つを選んで測定し、測定基底（＋あるいはＸ）と測定結果（０あるいは１）を順次記録する。光子の偏光状態を識別可能な測定器を選んだ場合には、送信者と受信者のビット値は必ず一致するはずである。識別不可能な測定器を選んだ場合には送信者と受信者のビット値は１／２の確率で食い違う。
【００３３】
＜古典的通信プロトコル＞
［基底の照合と基底不一致ビットの廃棄］
送信者と受信者は、古典的公開チャンネルを通して、ビットごとに用いた基底を照合する。なお、この際には、測定結果が０または１であるかは伝えない。送信者と受信者で用いた基底が一致した約半数のビットだけを残し、基底不一致だったビットは捨てる。盗聴がなければ、双方の乱数系列は完全に一致しているはずである。
【００３４】
［盗聴テスト］
送信者と受信者は、得られた乱数系列からランダムにテストビットを抽出し、ビットごとに双方のビット値を照合して一致しているかどうかを確かめる。十分な数のビットに対してこのテストを行い、ビット値がすべて一致していれば、先に述べた理由により１に近い確率で盗聴されていないと結論づけられる。盗聴がないという結論を得たならば、テストビットを廃棄し、残った乱数系列を用いて共通鍵を生成する。１つでも不一致のビットが発見された場合には、盗聴があったと結論されるので、このときの交信は無効とし、量子チャンネルをチェックしたり、他の量子チャンネルを使用する等の措置をとって、最初からやり直す。
【００３５】
以上の手順により、盗聴がないことを確認しながら、送受信者間で共通の鍵をもつことが可能になる。
【００３６】
【発明が解決しようとする課題】
しかし、従来のＢＢ８４暗号方式の技術では、以下に述べるように、量子暗号鍵配送装置の信頼性を確認する方法がないため、安全な鍵配送を保証することが不可能であった。
【００３７】
これまでの研究で、量子暗号鍵配送方式の安全性と装置の信頼性に関して、下記のことが知られている。
【００３８】
［ＢＢ８４暗号方式以外の代表的な方式の安全性］
２非直交状態暗号方式と２直交状態暗号方式に関しては、たとえ完全無欠な装置を用いたとしても、無限の能力をもつ盗聴者による攻撃に対して安全だという証明はまだ得られていない。ＢＢ８４暗号方式に比べて安全性が劣ると考えられている。
【００３９】
２粒子干渉暗号方式に関しては、「装置が完全無欠」という仮定が満たされている場合のみ、無限の能力を持つ盗聴者による攻撃に対して安全であることが証明されているが、「装置が完全無欠ではない」場合にはその安全性は保証されておらず、また、この場合、実際に盗聴を検出することが不可能な危険な状況があることが指摘されている。
【００４０】
「装置が完全無欠」の定義を以下に述べる。量子暗号装置は、一般に、送信機・受信機・量子チャンネルの３部品から構成されている。「装置が完全無欠」とは、量子装置を構成するすべての部品の各々が完全無欠であることを意味する。そして、「完全無欠な送信機」とは、鍵情報に対応する指定した状態を確実に有するただ１つの量子キャリアを生成・送信する装置のことである。もちろん、鍵情報はそのキャリア以外に漏れていてはいけない。例えば、指定した状態を有する２個以上のキャリアを生成・送信するような送信機は、「欠陥がある送信機」である。
【００４１】
「完全無欠な受信機」とは、受信機の基底がキャリア量子の状態の基底と一致する場合には、キャリアの状態を１００％誤りなく測定することが可能な装置のことである。
【００４２】
「完全無欠な量子チャンネル」とは、量子キャリアの状態を全く変えることなく伝送するチャンネルのことである。
【００４３】
［ＢＢ８４暗号方式の安全性］
ＢＢ８４暗号方式に関しては、この方式において使用される４状態が高い対称性をもつという理由で、安全性の数学的証明に関しては従来提案されている方式の中で最も研究が進んでおり、これまでに次のことが証明されている。
【００４４】
図２に示される送信機２０３が完全無欠であれば、すなわち、規定の偏光状態をもつ単一光子の生成が毎回確実に行われれば、量子チャンネル２０５や測定器２０４が、ある許容範囲内の誤り率をもっていても、ＢＢ８４暗号方式は無条件に安全である。この命題の詳しい証明は、次の文献に記載されている。
【００４５】
［２］Ｄ．Ｍａｙｅｒｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ：ＰｒｏｃｅｅｄｉｎｇｓｏｆＣｒｙｐｔｏ ’９６，・ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐ．Ｓｃｉ．Ｖｏ１．１１０９，（Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９６），Ｐ．３４３−３５７
［３］Ｄ．Ｍａｙｅｒｓ，ＬｏｓＡｌａｍｏｓｐｒｅｐｒｉｎｔａｒｃｈｉｖｅｑｕａｎｔ−ｐｈ／９８０２０２５
上記においてもまだ、「送信機２０３が完全無欠である」という厳しい条件が課せられていることに注意されたい。
【００４６】
現在、さらに進めて、「送信機も含めた量子装置全体にある程度の誤り率があっても、その誤り率が許容範囲内であればＢＢ８４暗号方式は無条件に安全である。」という命題を証明する研究が進んでおり、この命題が正しいことが予想されている。
【００４７】
ただし、古典装置の場合には誤りがあればそれを明らかに認識できるのが常識であるが、量子装置の場合には誤りがあっても簡単に認識できない場合も多いので、その点が量子暗号鍵配送の安全牲を確保する上で難しい問題となっている。認識可能な誤りしか有り得ないというのであれば、装置の信頼性チェックは容易である。しかし、表面上、誤りがないように見える認識不可能な誤りが有り得る場合には、装置の信頼性チェックはそう単純ではない。そして、欠陥のある量子装置（特に、ソースに欠陥がある装置）を使用した場合には、盗聴があっても全く検知できない危険なケースがいくらでもありうることが指摘されている。
【００４８】
例えば、完全無欠な単一光子ソース（各試行において必ず１光子しか出さないソース）ではなく、２つ以上の光子を出してしまう欠陥のある単一光子ソースを使用した場合を例に挙げる。この時、盗聴者は複数個ある光子の一部をビームスプリッタで盗めば、盗聴を全く検知されることなくほとんどすべての情報を得ることが可能なので、盗聴に対して極めて危険である。このことを以下に説明する。
【００４９】
図５は上記の危険を説明するための図である。
【００５０】
欠陥のある単一光子ソース２０３が、各送信実行の際にｈν１とｈν２（ただし、ｈはプランク定数、ν１とν２は振動数、ｈν１≠ｈν２）のエネルギーをもつ２つの光子５０８、５０９を発生してしまう例である。
【００５１】
２つの光子は同時に偏光変調器で偏光状態が制御されるために同じ偏光状態をもつ。２つの光子５０８、５０９は量子チャンネル２０５を通過するが、盗聴者５０７はエネルギーｈν１の光子５０８だけを選択的に盗み、それ以外のエネルギーの光子はそのまま通過するビームスプリッタ５１０を用いて光子５０８を盗めばよい。受信者２０２にはエネルギーｈν２の光子５０９だけが届くが、その状態は全く乱されていないので、受信者２０２の測定器２０４でその状態を測定した結果には盗聴の痕跡は全くみられない。盗聴者５０７は、送受信者間の古典的公開チャンネル２０６を通した古典通信を盗聴して使用基底を確認するまで盗んだ光子５０８の偏光状態を保持し、基底が明らかになった時点で測定器５１１として識別可能な基底の測定器を使用して状態を測定する。この状況においては、盗聴者は全く盗聴に気づかれずにすべての情報を得ることができる。送受信者間のビットの食い違いは全くないので、送信者２０１と受信者２０２には、装置は誤りなく機能して盗聴も全くないかのように見える。ところが実は、暗号鍵の情報を盗聴者に１００％盗聴されているのである。
【００５２】
現時点では、一般に量子装置は古典的装置のようには信頼できないと考えられている。技術レベルが低いために欠陥装置を製造してしまう可能性も高いので、上述のような危険を避けるためには、当然、装置の信頼性チェックは必須である。しかし、十分高度な技術を保有する時代が将来訪れたとしても、なお、装置の信頼性チェックは不可欠である。そのことは、例えば、「高い技術を保有する悪意をもったメーカーが、意図的に装置本体やチェック装置を巧妙に工夫し、一見正しく動作するように見えるが実は盗聴に対して危険な装置を作り、願客に安全だと信用させておいて自ら顧客の暗号鍵の盗聴を行う。」という極端ではあるが十分に有り得る状況を考えてみるとよく分かる。
【００５３】
量子装置の信頼性をチェックする方法として、２つのアプローチが考えられる。１つは現存する個々の技術の信頼の上に成り立つチェック法であり、もう１つは実際に装置上でチェック・プロトコル（暗号プロトコルと同程度の単純なのものが適切）を実行すれば、それが装置のテストとなり得るようなチェック法である。
【００５４】
第１のアプローチについでは、装置の信頼性は「仮定」として示される。例えば、単光子ソースのチェック法として、ソースのそばに光子検出器を置いて光子数をチェックするという状況を考えてみる。光子検出器の単一光子検出率は現在７０〜８０％が上限であり、光子数を確実にカウントできる検出法・技術はいまだ確定していない。このように、「チェック装置も信用できない」という前提条件のもとでは、こうした類の信頼性検査結果はあくまで「仮定」の域を出ない。また、専門家ではない一般の使用者は、チェック装置を製造した専門技術者が悪意を持っていたり、あるいは、不注意であったりする可能性があるにもかかわらず、その専門的意見を信じるしかすべがない。したがって、こうしたアプローチは、量子暗号鍵配送が物理的に可能だということを示す科学的な目的のためには十分かもしれないが、一般の使用者が安全に暗号通信を達成するという実用目的に対しては受け入れ難い。装置が信頼できるという「仮定」が間違いであったらならば、安全性は全く保証されないからである。
【００５５】
第２のアプローチは、一般の使用者でも簡単にできる何らかのチェック・プロトコルを装置上で実行すれば、それが装置全体の信頼性テストとなっていて装置の信頼性を確認できる、というテスト方法をとることである。このアプローチは、専門技術者の意見や個々の装置に閑する「仮定」を必要とせず、第１のアプローチより受け入れやすく、実用上はるかに安全である。
【００５６】
以上のポイントから明らかなように、安全な暗号鍵配送の保証を得るためには、送信機・量子チャンネル・測定器（必要とあれば、信頼性チェック装置）から構成される量子装置全体の信頼性を評価することは必須である。
【００５７】
しかし、起こりうる様々な場合を想定した総合的な状況において、上述の２番目のアプローチにあたる量子暗号装置一式の信頼性をチェックする方法はこれまでになかった。
【００５８】
【課題を解決するための手段】
本発明では、量子暗号鍵配送において、鍵情報を載せるキャリアとして、量子相関を有する３個の量子を用いる技術、
あるいは、その量子相関を有する３個の量子の状態が、ある２次元正規直交基底Ｂ＝｛｜０＞，｜１＞｝において
【００５９】
【数８】

と表わされるＧＨＺ状態と呼ばれる状態である技術、
あるいは、送信者が、ある２次元正規直交基底Ｂ＝｛｜０＞，｜１＞｝においてＧＨＺ状態で表わされる量子相関を有する３量子を鍵情報キャリアとして生成し、
３量子のうち２個の状態は送信者自身が測定し、残りの１個を受信者に送信して受信者がその状態を測定、
ただし、各量子の状態の測定には、次の２種類の基底のうちいずれかを使用する、
基底Ｂと次の関係がある２次元正規直交基底Ｂａ＝｛｜０＞ａ，｜１＞ａ｝：
【００６０】
【数９】

基底Ｂと次の関係がある２次元正規直交基底Ｂｂ＝｛｜０＞ｂ，｜１＞ｂ｝：
【００６１】
【数１０】

という手順を複数回行った後、公開チャンネルにおける送信者・受信者間の情報交換で、測定器果のパリティを照合することを特徴とする、安全に量子暗号鍵配送を実行できる技術、
あるいは、量子暗号鍵配送装置の信頼性をチェックする技術、
あるいは、鍵情報を載せるキャリアとして、光子あるいは電子あるいは原子を用いる上記記載の技術、
あるいは、鍵情報を載せる信号空間として、光子の偏光状態あるいは電子のスピン状態あるいは原子核スピン状態の張る２次元ヒルベルト空間を用いる上記記載の技術を提供する。
【００６２】
上記のように構成される本発明においては、量子暗号鍵配送の安全牲が確認不可能という問題を解決することができる。すなわち、本発明技術により量子暗号鍵配送装置の信頼性および暗号鍵配送時の盗聴の有無の両方が確認できるという理由により、暗号鍵配送の安全性の保証が可能になる。
【００６３】
【発明の実施の形態】
量子暗号鍵配送方式の無条件な安全性の基礎は不確定性原理である。すなわち、あらかじめ分かっていない量子系の状態について情報を得ようと系に相互作用を及ぼすと必ず系の状態が乱れる、ということを盗聴の検知に利用している。古典系では安全性は保証されない。このことを、ＢＢ８４暗号方式の場合にあてはめてみると、単一光子という量子を情報キャリアに用いれば安全性は保証されるが、前に述べた２光子以上を出してしまう欠陥のあるソースの危険な例は、光子の一部を盗まれても検知できない古典系（複数個の光子）を情報キャリアとして使ったことに対応しているので、安全性は保証されない、ということになる。したがって、安全牲の確証を得るためには、「情報キャリアが確かにひとつの量子であり、そして、情報キャリアの張る信号空間にのみ情報が載っており、それ以外には決して情報が漏れていないこと」を確認することが必要となる。
【００６４】
量子のみが達成可能で古典系では不可能なこと、かつ、結果を見ればキャリアが確かに量子だと主張できるように定式化や数値化が可能なこととして、量子力学的波動の非局所性が挙げられる。量子相関をもつ２個以上の量子のみが達成可能な相関関係を示せば、その系は確かに量子系であり、情報はその量子だけに載っていることの確証が得られる。本発明は、この原理を利用して量子暗号鍵配送装置の信頼性および暗号鍵配送時の盗聴の有無をテストする。
【００６５】
２個以上の量子が量子相関をもつ系として、Ｂｅｌｌ状態にある２量子が一般に最もよく知られている。ただし、Ｂｅｌｌ状態とは、ある２次元正規直交基底Ｂ＝｛｜０＞，｜１＞｝において、
【００６６】
【数１１】

と表わされる２量子の状態である。このＢｅｌｌ状態を用いても、ある程度の信頼性チェックが可能であるが、この場合、相関結果の出現確率が整数ではないため、「試行が各回独立」という仮定が満たされている必要があること、そして、盗聴者による意図的な攻撃がある場合には、この仮定が成立しない場合があることが、次の文献に証明されている。
【００６７】
［４］Ｄ．ＭａｙｅｒｓａｎｄＡ．Ｙａｏ，ｉｎＰｒｏｃｅｅｄｉｎｇｏｆ３９ｔｈＡｎｎｕａｌＳｙｍｐｏｓｉｕｍｏｎＦｏｕｎｄａｔｉｏｎｓｏｆｃｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ｐ．５０３（１９９８）
本発明においては、このＢｅｌｌ状態にある２量子ではなく、Ｇｒｅｅｎｂｅｒｇｅｒ，Ｈｏｒｎｅ−Ｚｅｉｌｉｎｇｅｒ状態（略して、ＧＨＺ状態）にある量子相関を有する３量子を用いる。ただし、ＧＨＺ状態とは、ある２次元正規直交基底Ｂ｛｜０＞，｜１＞｝において、
【００６８】
【数１２】

と表わされる３量子の状態である。このＧＨＺ状態を用いれば、全く仮定なしに、装置が信頼できるかどうかを評価することができる。もちろん、表面に現われない欠陥を見落とすこともない。以下、信号空間として光子の偏光状態を用いる場合の実施形態の例について述べるが、下記の基底間の関係を満たす３つの基底の各状態を保有でさる量子系であれば光子に限るものではない。
【００６９】
３つの２次元正規直交基底として、右回り／左回り円偏光状態の組（円偏光基底）、水平／垂直直線偏光状態の組（プラス基底）、水平軸と４５°／−４５°をなす直線偏光状態の組（クロス基底）を用い、それぞれ、Ｂ_０＝｛｜０＞_０，｜１＞_０｝，Ｂ_＋＝｛｜０＞_＋，｜１＞_＋｝，Ｂ_Ｘ＝｛｜０＞_Ｘ，｜１＞_Ｘ｝と表わす。これらの基底間には次の関係がある。
【００７０】
【数１３】

基底Ｂ_０において、次のＧＨＺ状態
【００７１】
【数１４】

で表わされる量子相関をもつ３量子を考える。Ｍ_＋、Ｍ_Ｘの各々をプラス系測定器、クロス系測定器を表わす記号とする。表１に、第１、第２、第３の量子の測定に用いる測定器の組み合わせ（Ｍ１，Ｍ２，Ｍ３）に対する各々の測定結果（ｘ，ｙ，ｚ）の出現確率を示す。この表は、Ｂ_０基底で表わされる上記ＧＨＺ状態の式を、各量子の測定基底で展開すれば容易に確かめられる。上記のＧＨＺ状態にある３量子ならば、必ず表１にある出現確率を示す。
【００７２】
【表１】

本発明にあたっては、「逆に、３粒子の生成／３粒子の状態測定を多数回繰り返し行って、その結果が下記の表２と同一になれば、生成される３粒子は上記ＧＨＺ状態にある３量子である。」ことを数学的に証明し、これを利用した。
【００７３】
より正確に述べると、「毎回、全く同じ状態にある３個以上の粒子を生成し、全く同じ選び方で、その中から３粒子を選び、その３粒子の各々の状態を測定する、という手順を十分に多い回数繰り返し行って、その結果が表２となれば、その測定される３粒子は測定前は確かに上記ＧＨＺ状態にある３量子である。」ことを証明した。
【００７４】
【表２】

Ｂｅｌｌ状態の場合とは違い、表２の測定結果の出現確率がすべて０か１だけの整数である点がＧＨＺ状態を使用するメリットである。この数学的証明結果は、「上述の試行を多数回行い、第１、第２、第３の粒子に使用する測定器の組み合わせが（Ｍ_＋，Ｍ_＋，Ｍ_＋）の場合には３つの測定値のパリティが必ず１となり、（Ｍ_＋，Ｍ_Ｘ，Ｍ_Ｘ）あるいは（Ｍ_Ｘ，Ｍ_＋，Ｍ_Ｘ）あるいは（Ｍ_Ｘ，Ｍ_Ｘ，Ｍ_＋）の場合にはパリティが必ず０となるならば、その３粒子は測定の直前まで完全なＧＨＺ状態にある３量子であり、かつ、その測定も誤りなく行われている。」ことを保証する。ＧＨＺ状態以外の系、ましてや、量子相関をもたない古典系では、表２の結果を出すことは不可能である。
【００７５】
また、表２と完全には一致しない結果が出た場合には、装置全体の誤り率は本来出ないはずのパリティが現われた確率から評価することができる。
【００７６】
もう１つのＧＨＺ状態
【００７７】
【数１５】

を使用する場合には、上記（および表１、表２中）のパリティの０と１が逆になる。
【００７８】
この理論を利用した装置の信頼性チェック方法と暗号鍵配送法を以下に説明する。
【００７９】
図１は、本発明が提案するＧＨＺソースを用いた量子暗号鍵配送装置の実施例を説明するための図である。送信者１は、ＧＨＺ状態にある光子３個組を生成するソース（ＧＨＺソースと呼ぶ）３と２つの測定器７、８を操作する。受信者２は、量子チャンネル５を通ってきた光子を測定器４で測定する。また、送信者１および受信者２は、送信者サイトに設けられた古典的送受信機９と受信者サイトに設けられた古典的送受信機１０の間を結ぶ古典的公開チャンネル６により古典通信を行う。なお、ＧＨＺ状態の生成法としては、３つの単一光子ソース・偏光変調器と制御ＮＯＴ量子ゲートを用いる方法など、いくつかの方法が現在研究されている。
【００８０】
＜装置信頼性テスト法＞
［送信手順］
送信者１は、ＧＨＺソース３で基底Ｂ_０においてＧＨＺ状態にある光子３個組を生成し、第１・第２の光子の各々を測定器７、８で測定する。測定基底は、各々、ランダムにＢ_＋かＢ_Ｘのいずれかを選び、測定基底と結果を記録する。第３の光子は、量子チャンネル５を通して受信者２に送信する。
【００８１】
［受信手順］
受信者２は、送信された第３の光子を測定器４で測定する。測定基底は、ランダムにＢ_＋かＢ_Ｘのいずれかを選び、測定基底と結果を記録する。
【００８２】
上記の［送信手順］と［受信手順］を多数回線り返す。
【００８３】
［結果の照合］
古典的公開チャンネル６を通して、各試行において使用した３つの基底を送受信者間で照合する。表２にある４種類の測定器の組み合わせを用いた約半数の試行に関し、３光子の測定結果のパリティを照合する。このとき、これら以外の測定器の組み合わせを用いた試行の結果は不要なので棄却する。十分に多い数の試行に対し、表２と全く同じ、あるいは、ほぼ同じ結果を得た場合には、その装置は信頼できると判断する。誤り率が大きな場合には、その装置は信頼できない、あるいは、盗聴や妨害があると判断する。このテストにより装置が信頼できると分かったら、以下の手順で暗号鍵配送を行う。
【００８４】
＜暗号鍵配送手順＞
［送信手順］
送信者１は、ＧＨＺソース３で基底Ｂ_０においてＧＨＺ状態にある光子３個組を生成し、第１の光子および第２の光子の各々を測定器７、８で測定する。測定基底は、各々、ランダムにＢ_＋かＢ_Ｘのいずれかを選び、測定基底と結果を記録する。第３の光子は、量子チャンネル５を通して受信者２に送信する。
【００８５】
［受信手順］
受信者２は、送信された第３の光子を測定器４で測定する。測定基底は、ランダムにＢ_＋かＢ_Ｘのいずれかを選び、測定基底と結果を記録する。
【００８６】
［基底の照合と不要ビットの廃棄］
古典的公開チャンネル６を通して、各試行において使用した３つの基底を送受信者間で照合する。なお、この際には、測定結果は伝えない。表２にある４種類の測定器の組み合わせを用いた約半数のビットだけを残し、それ以外のビットは捨てる。盗聴がなければ、残ったビットの各ビット３つの測定結果のパリティは表２と同じになっているはずである。
【００８７】
［盗聴テスト］
送信者１と受信者２は、残ったビットからランダムにテストビットを抽出し、古典的公開チャンネル６を通して、ビットごとに双方の測定結果を照合してそのパリティが表２のとおりかどうかを確かめる。十分な数のビットに対してこのテストを行い、パリティがすべて正しければ、１に近い確率で盗聴されていないと結論づけられる。盗聴がないという結論を得たならば、テストビットを廃棄する。残ったビットにおいて、
測定器の組み合わせが、（Ｍ_＋，Ｍ_＋，Ｍ_＋）のビットに対しては、送信者は（ｘ，ｙ）のパリティの値、受信者は（１−ｚ）の値、
測定器の組み合わせが、（Ｍ_＋，Ｍ_Ｘ，Ｍ_Ｘ）、あるいは、（Ｍ_Ｘ，Ｍ_＋，Ｍ_Ｘ）、あるいは、（Ｍ_Ｘ，Ｍ_Ｘ，Ｍ_＋）のビットに対しては、送信者は、（ｘ，ｙ）のパリティの値、受信者はｚの値、
をビット値として採用する。こうして得られた乱数系列から共通鍵を生成する。不一致のビット数が許容範囲を超えて発見された場合には、盗聴により多くの情報が盗まれている可能性があると結論されるので、このときの交信は無効とする。量子チャンネル５をチェックしたり、他の量子チャンネルを使用する等の措置をとって、最初からやり直す。
【００８８】
以上の手順により、盗聴がないことを確認しながら、送受信者間で共通の鍵をもつことが可能になる。
【００８９】
上記のプロトコルにおいて、送信者が送信者側の２個の光子を各々測定した後は、確実に単一光子を使用した場合のＢＢ８４と同等になっている。
【００９０】
以上述べたように、確かにＧＨＺ状態にある３光子だけが上記の量子暗号鍵配送装置の信頼性テストにパスし、ＧＨＺ状態の生成・送信・検出という一連のプロセスの途中に盗聴や装置の欠陥によりＧＨＺ状態が乱される要因がある場合には信頼性テストにパスしないという理由から、量子暗号鍵配送の安全性が確認不可能という問題を解決できる。
【００９１】
【発明の効果】
本発明は、量子暗号鍵配送方式において、量子暗号鍵配送装置の信頼性および盗聴の有無がチェックすることにより、量子暗号鍵配送の安全性を確認することができ、安全にデータの送受信を行うことが可能となる。
【図面の簡単な説明】
【図１】本発明が提案するＧＨＺソースを用いた量子暗号鍵配送装置の実施例を説明するための図である。
【図２】従来より行われているＢＢ８４量子暗号鍵配送装置を説明するための図である。
【図３】（ａ）はプラス基底、図３（ｂ）はクロス基底を説明するための図である。
【図４】測定／再送の盗聴法の影響を説明するための図である。
【図５】欠陥のある単一光子ソースを用いた場合の盗聴に対して、危険な量子暗号鍵配送の一例を説明するための図である。
【符号の説明】
１送信者
２受信者
３ＧＨＺソース
４，７，８測定器
５量子チャンネル
６古典的公開チャンネル
９古典的送受信機
１０古典的送受信機

Claims

送信側は暗号鍵の元となる鍵情報を送信し、受信側は鍵情報を受信する通信システムであって、
送信側は、鍵情報を載せるキャリアとして、ある２次元正規直交基底Ｂ＝｛|0>，|1>｝において、

と表わされるＧＨＺ状態である、量子相関を有する３個の量子を生成するソースと、
３量子のうちの２個の状態を測定する第１および第２の測定器と、
３量子のうちの１個の状態を測定する受信側に設けられた第３の測定器とを具備し、
前記ソースは、生成した３個の量子のうちの２個は前記第１および第２の測定器に送出し、残りの１個は前記第３の測定器に送出し、
前記第１、第２、第３の測定器のそれぞれは、各量子の状態の測定には、次の２種類の基底のうちいずれかを使用する、基底Ｂと次の関係がある２次元正規直交基底Ｂａ＝｛|0>a，|1>a｝：

基底Ｂと次の関係がある２次元正規直交基底Ｂｂ＝｛|0>b，|1>b｝：

という手順を複数回行った後、公開チャンネルにおける送信側・受信側間の情報交換で、測定結果のパリティを照合することを特徴とする通信システム。
請求項１記載の通信システムにおいて、
鍵情報を載せるキャリアとして、光子を用いることを特徴とする通信システム。
請求項１または請求項２記載の通信システムにおいて、
ソースは、鍵情報を載せる信号空間として、光子の偏光状態が張る２次元ヒルベルト空間を用い、請求項１２に記載の２次元正規直交基底Ｂ、Ｂａ、Ｂｂとして、各々、右回り／左回り円偏光状態の組、水平／垂直直線偏光状態の組、水平軸と４５°／−４５°をなす直線偏光状態の組を用いることを特徴とする通信システム。
請求項１記載の通信システムにおいて、
鍵情報を載せるキャリアとして、電子を用いることを特徴とする通信システム。
請求項１または請求項４記載の通信システムにおいて、
鍵情報を載せる信号空間として、電子のスピン状態が張る２次元ヒルベルト空間を用いることを特徴とする通信システム。
請求項１記載の通信システムにおいて、
鍵情報を載せるキャリアとして、原子を用いることを特徴とする通信システム。
請求項１または請求項６記載の通信システムにおいて、
鍵情報を載せる信号空間として、原子核スピン状態が張る２次元ヒルベルト空間を用いることを特徴とする通信システム。