JP3646561B2 - 量子暗号を用いた鍵配布方法 - Google Patents
量子暗号を用いた鍵配布方法 Download PDFInfo
- Publication number
- JP3646561B2 JP3646561B2 JP13198399A JP13198399A JP3646561B2 JP 3646561 B2 JP3646561 B2 JP 3646561B2 JP 13198399 A JP13198399 A JP 13198399A JP 13198399 A JP13198399 A JP 13198399A JP 3646561 B2 JP3646561 B2 JP 3646561B2
- Authority
- JP
- Japan
- Prior art keywords
- state
- quantum
- orthogonal
- wiretapping
- pulse
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000000034 method Methods 0.000 title claims description 55
- 238000009826 distribution Methods 0.000 title claims description 34
- 230000003287 optical effect Effects 0.000 claims description 53
- 230000001427 coherent effect Effects 0.000 claims description 49
- 238000005259 measurement Methods 0.000 claims description 47
- 230000005540 biological transmission Effects 0.000 claims description 31
- 238000001514 detection method Methods 0.000 claims description 27
- 230000010287 polarization Effects 0.000 description 30
- 238000010586 diagram Methods 0.000 description 7
- 238000005516 engineering process Methods 0.000 description 6
- 239000013307 optical fiber Substances 0.000 description 6
- 238000004891 communication Methods 0.000 description 5
- 230000006378 damage Effects 0.000 description 5
- 239000002245 particle Substances 0.000 description 5
- 238000012360 testing method Methods 0.000 description 4
- 239000013078 crystal Substances 0.000 description 3
- 230000005283 ground state Effects 0.000 description 3
- 230000005610 quantum mechanics Effects 0.000 description 3
- 239000004065 semiconductor Substances 0.000 description 3
- 230000035945 sensitivity Effects 0.000 description 3
- 238000012795 verification Methods 0.000 description 3
- 238000013459 approach Methods 0.000 description 2
- 238000000691 measurement method Methods 0.000 description 2
- 239000013598 vector Substances 0.000 description 2
- 241000282326 Felis catus Species 0.000 description 1
- 239000002131 composite material Substances 0.000 description 1
- 238000012937 correction Methods 0.000 description 1
- 230000003111 delayed effect Effects 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000002347 injection Methods 0.000 description 1
- 239000007924 injection Substances 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 230000001902 propagating effect Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
- 238000010561 standard procedure Methods 0.000 description 1
- 238000013519 translation Methods 0.000 description 1
- 239000002699 waste material Substances 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0852—Quantum cryptography
- H04L9/0858—Details about key distillation or coding, e.g. reconciliation, error correction, privacy amplification, polarisation coding or phase coding
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/34—Encoding or coding, e.g. Huffman coding or error correction
Description
【０００１】
【発明の属する技術分野】
本発明は、暗号による情報の秘匿伝送方法に関し、特に、量子暗号を用いた無条件に安全な鍵配布方法に関する。
【０００２】
【従来の技術】
従来技術の現代暗号と量子暗号の比較、および量子暗号における各種プロトコルの比較については、同出願人の先の出願公報、特願平１１ー０９０１７８に詳しい記載がされている。量子暗号は、現代暗号のように現在の計算機の計算能力によりどころをおく計算量的な安全（Computationally secure）性ではなく、無限の計算機の能力を仮定しても解読不可能な無条件の安全（Unconditionally secure）性を持つ暗号の実現のために必須となる共通鍵の配布（Key distribution）を遠隔地間で無条件に安全に行うことのできる、現在知られている唯一の技術である。量子暗号による鍵配布プロトコルは、量子チャネルを伝搬してきた量子レベルの信号の測定結果を、公開チャネルにおける通信で盗聴されていないことを確認しながら共通鍵を決定する手続きである。その安全性は、盗聴者のどんな盗聴行為も必ず何らかの痕跡を量子レベルの信号に残すという量子力学の不確定性原理により保証されており、無条件に安全である。量子暗号を用いれば恒常的に共通鍵の交換を行うことが可能であり、one-time-pad法と組み合わせる事により無条件に安全な暗号通信が可能となる。
【０００３】
量子暗号による鍵配布プロトコルとして現在までに４状態暗号、２粒子干渉暗号、非直交２状態暗号、時間差干渉暗号の各プロトコルが提案されている。これらのプロトコルの性能を評価する指標としては、盗聴検出感度（すなわち、盗聴によるデータのビットエラーを一定とするとき、盗聴者への情報漏洩をどれだけ小さくできるか、あるいは同じ事であるが、盗聴者への漏洩情報量を一定とするとき盗聴によるビットエラーレートをどれだけ大きくできるか）、および情報伝送速度（すなわち、量子暗号では盗聴検出のために必ず一部冗長データの廃棄を必要とするが、データ廃棄量をどれだけ減らすことができるか）の二つがある。現在までの研究によると、４状態暗号および２粒子干渉暗号が性能的には最も優れていることが明らかにされている。そこで、以下、本発明と関連の深い４状態暗号方式と比較のために、非直交２状態暗号方式の原理を説明する。
【０００４】
４状態暗号は最初に考案された量子暗号プロトコルであり、通称BB84プロトコルと呼ばれる。詳細は文献：［１］C. H. Bennett and G. Brassard, in Proceedings of IEEE International Conference on Computers, Systems and Signal Processing, Bangalore, India （IEEE, New York,1984），p.175 、［２］Ａ．エカート／井元信之訳「量子暗号への招待」パリティ，vol.7 ，No. 2，p.26（1992）、［３］Ｇ．コリンズ／井元信之訳「量子暗号は史上最強の暗号」パリティ，vol.8 ，No. 5，p.31（1993）などに述べられている。
【０００５】
４状態暗号においては、図２の、従来の量子暗号である遅延付き４状態の説明図に示すように、送信者２１と受信者２２は、１量子源２６から発生する量子を１つだけ含むキャリアパルス時系列２３と、キャリアパルスに１ビットの情報を変調する変調器２７と、キャリアパルス時系列２３を伝送する量子チャンネル２４と、送受信状態を確認し合う公開チャンネル２５とを使う。キャリアとしては光子や電子などが考えられているが、１ビットの情報を乗せるに足る内部自由度（離散的２固有状態）を有する量子であれば何でもよい。量子チャンネル２４は、量子として光子を用いる場合は光ファイバや自由空間中の伝搬モードなどであり、固体中の電子を用いる場合は電子の導波回路などである。量子暗号においては公開チャンネル２５は無線や電話等で、盗聴されていることを前提とするが改竄はされないこと、盗聴者は図の伝送路部にアクセスすることはできるが、送信者サイトおよび受信者サイトには物理的にアクセスできないことは仮定されている。
【０００６】
以下、キャリアが光子である場合の例を示す。
BB84プロトコルの一実施例では１光子の２つの偏光状態に”０”または”１”の１ビット情報を載せ、変調器２８により２進数列は一つ一つ偏光状態が異なる光パルス時系列に変調される。１ビット情報を光パルス２３にコーディングするにあたり、水平軸からの傾きが０°（水平）および９０°（垂直）方向の偏光軸をもつ直線偏光の組と４５°および１３５°方向の偏光軸をもつ直線偏光の組の二種類の直交基底ベクトルの組を用い、０°−９０°直線偏光基底を用いる場合には「０°」を”０”、「９０°」を”１”、４５°−１３５°直線偏光基底を用いる場合には「４５°」を”０”に、「１３５°」を”１”とするように、予め通信に使用するコーディング方法を取り決めておく。この２種類の直交基底ベクトルの組としては直線偏光と円偏光（右回り、左回り）の組み合わせを用いてもよい。この方式は１光子の４つの量子状態（０°、４５°、９０°、１３５°偏光軸の４偏光状態）を用いるので４状態量子暗号方式と呼ばれる。
【０００７】
０°−９０°直線偏光状態は直交する２状態であるので、これらの偏光を持つ光子は誤りなく識別できる。このような測定装置２９を０°系測定器と呼ぶことにする。同様に４５°−１３５°直線偏光状態を持つ光子は誤りなく識別でき、このような測定装置２９を４５°系測定器と呼ぶことにする。一方、０°−９０°直線偏光状態を持つ光子を記述する量子力学的作用素と４５°−１３５°直線偏光状態を持つ光子を記述する量子力学的作用素は非可喚であるため、０°系測定器で４５°−１３５°直線偏光状態を持つ光子を識別することはできず、同様に４５°系測定器で０°−９０°直線偏光状態を持つ光子を識別することはできない（１／２の確率で識別を誤る）。特に光パルスが高々１個の光子しか含まない場合には、これらの測定器を用いて０°−９０°直線偏光状態と４５°−１３５°直線偏光状態を同時に決定することはできない（不確定性原理）。
【０００８】
送信者と受信者はそれぞれ独自かつランダムにエンコードに用いる偏光基底を選ぶが、後に公開チャンネル２５における情報交換によって、偏光基底の一致した光子列を全体の光子列から少なくとも統計的には抽出する事ができる。また、遅延線２８のように受信者が受信した光子列を公開チャンネルにおける情報交換まで貯蔵する技術を持っておれば、受信時の測定に用いる偏光基底を送信者の用いた偏光基底と逐次一致させることが可能なので、確定的に送受信の偏光基底を一致させることができる。このようにして偏光基底が一致した光子列については、送受信者間でビット値列を共有することができる。これに対して、盗聴者は送受信者と偏光基底を一致させるいかなる手段も有さないので、盗聴行為により送受信者間で偏光基底が一致した共有ビット列中にエラーが発生する。従って、送受信者は共有ビット列から一部のビットを抽出し公開チャンネルで照合することによりエラーの有無を確認することにより盗聴の有無を知ることができる。盗聴がなかったと判定された場合には、照合ビットを除いたビット列からなる乱数列は送信者２１と受信者２２しか知らない同一の値を有することが保証されるので、それを共通鍵と決定する。
【０００９】
以上のように、BB84プロトコルでは１量子系においては互いに非直交な２組の直交基底状態を同時に測定することはできないという原理を用いている。ある直交基底状態（例えば４５°−１３５°直線偏光状態）は常にこれと非直交な直交状態（例えば０°−９０°直線偏光状態）の重ね合わせ状態として表すことができる。ある２直交状態Ａ（例えば０°偏光状態と９０°偏光状態）を確実に識別できる測定は、別の２直交状態Ｂ（例えば４５°偏光状態と１３５°偏光状態）に存在する重ね合わせ状態を壊し、測定後の状態は２直交状態Ａに属するどちらかの状態に変化させる。もっと一般的に、ある２直交状態Ａを不完全ながら識別できる測定は、別の２直交状態Ｂに存在する重ね合わせ状態を部分的に壊し、測定後の状態は２直交状態Ａに属するどちらかの状態（統計的混合状態）に近づくことが示される。
【００１０】
BB84プロトコルではこの重ね合わせ状態の壊れ方を検出することにより、盗聴の有無を判定していることに等しいということが、最近文献：［４］ C. A. Fuchs et al.,Phys. Rev. A56, 1663（1997）によって明らかにされた。またこの文献［４］において、複合系の量子力学的状態の非分離性に基づく遠距離相関（ＥＰＲ（Einstein-Podolsky-Rosen）相関）を利用する二粒子干渉暗号（通称E91プロトコル：文献：［５］A. K. Ekert, Phys. Rev. Lett. 67, 661（1991）、［６］A. K. Ekert et al., Phys. Rev. Lett. 69, 1293（1992））は４状態暗号と等価であり、４状態暗号方式と全く同じ暗号強度を有することが明らかにされた。また、文献：［７］D. Bruss, Phys. Rev. Lett. 81, 3018（1998）で直交基底として３組の異なる直交基底（つごう６直交状態）をコーディングに用いると安全性をさらに高めることができることが明らかにされた。
【００１１】
なお、測定による重ね合わせ状態の破壊が起こるためには、測定する系を構成する量子の数が１であることが必要であると従来考えられていたが、これは必要条件ではなく、系に含まれる量子の数が複数個であることを許容している。後に述べるように本発明はこれを利用して、系に含まれる量子の数が複数個であるようなメゾスコピックな量子力学的状態を利用して量子暗号を実現する。
【００１２】
次に非直交２状態暗号について説明する。これは、直交しない２つの量子状態をビット“０”と“１”に対応させて通信する方式で、通称B92プロトコルと呼ばれる。詳細は、文献：［８］C. H. Benett, Phys. Rev. Lett. 68, 3121（1992）、［９］A. K. Ekert, B. Huttner, G. M. Palma, and A. Peres, "Eavesdropping on quantum-cryptographycal systems", Phys. Rev. A50, 1047 (1994)に述べられている。
【００１３】
以下、非直交２状態量子暗号の一実施形態について、文献［８］で提案された構成を説明のために、より簡略化した図である図３の、従来の量子暗号である非直交２状態暗号の説明図を用いて説明する。送信者２１は微弱なコヒーレント光パルス３１を５０％のビームスプリッタ３２で光パルス３３と３４に分け、位相変調器３５を用いて光パルス３３の位相をビット値が“０”ならば０°、ビット値が“１”ならば１８０°に変調し、光ファイバ３６と３７からなる量子チャンネルに送る。受信者２２は、５０％のビームスプリッタ３８で光パルス３３および３４を干渉させる。
【００１４】
ビームスプリッタ３２からビームスプリッタ３８までは１つのマッハツェンダー干渉計を構成する。受信者２２はビームスプリッタ３８においてビット値“０”のパルスは受光器４０に、ビット値“１”のパルスは受光器４０に出射されるように光ファイバ３６と３７の間の位相差θを位相変調器３９で制御する。コヒーレント光パルス３１は、平均光子数が１よりずっと小さい（例えば０．１個の）コヒーレント状態の光である。これは光パルス３３に含まれる光子の数が２以上になる確率をできる限り０に近づけるためで、これにより盗聴者による光パルスの分岐複製を防ぐと同時に、コヒーレント光パルス３１で作られる２状態（位相０°状態と位相１８０°状態）の非直交性（重なり）が大きくなる。コヒーレント光パルス３１は非直交２状態を実現するほど微弱であるので、必然的に真空状態（平均光子数０の状態）との非直交性（重なり）が大きくなる。
【００１５】
真空状態との重なりが大きい（真空状態の寄与が大きい）ので、パルス到着時に受光器３９と４０のいずれにも光子が計数されず（すなわち、検出器は真空状態を計数しない）、受信者２にとってビット値判定不能となるケースがほとんどとなるが、受光器３９で計数された場合にはビット値は”１”、受光器２０で計数された場合には”０”であると“確定的に”結論することができる。
【００１６】
B92プロトコルの原理は、非直交２状態に存在するこの種の半確定的測定とでも言うべき測定方法の存在に依っている。量子力学の原理によると、非直交２状態を誤りなく識別できる測定は存在せず、ある確率で識別誤りを伴う測定しか実現できない。しかしながら、２状態から３つの検定結果が得られるような測定を許すと、ある検定結果については確定的に正しいという結論導き出すことが可能となるような、半確定的測定とでもいうべき測定方法が存在する。これは、直交していない２つの状態ＡとＢについての測定の結果として、(i)Ａではありえない、(ii)Ｂではありえない、(iii)どちらであるかわからない、という３種類の答えが得られるような測定である。もし、考えられる状態がＡとＢ以外にない場合、これは、(i)確実にＢと言える、(ii)確実にＡと言える、(iii)どちらであるかわからない、という３種類の答えと等価である。この場合、(i)又は(ii)のケースを確定成功、(iii)を不成功と言うことにすれば、受信者は成功であったか不成功であったかを送信者に通知するだけで、(i)か(ii)かの情報は送受信者間で共有できる。
【００１７】
一方、ビット列中のどのビットが確定に成功し、どのビットが不成功であったかは、受信者と盗聴者で相関がない。従って、盗聴者は送受信者と確定したビット列を共有することは不可能である。この事情から、送受信者間で共有した確定ビット列中にエラーを発生せずに盗聴行為を行うことは不可能である。従って、送受信者は成功したビットについて適当な割合でテストビットを抽出し、公開チャンネルでデータに矛盾がないか照合を行うことにより盗聴者の有無を確認できる。盗聴者がいないと検定された場合には、照合ビットを除いたビット列は送信者２１と受信者２２しか知らない同一の値を有することが保証されるので、それを共通鍵と決定する。
【００１８】
このプロトコルではキャリア光源として現在の技術で実現可能なコヒーレント光源を用いることが可能であるが、その原理から光強度は十分に微弱となるようにしなければならない。その場合、(iii)の測定不成功のケースが増大し、識別不可能な残りの光パルスは無駄になるため伝送速度を上げることが不可能であるというデメリットがある。この方式の安全性は状態の非直交性に基づいているため、この無駄はこの方式において不可避なものである。
【００１９】
【発明が解決しようとする課題】
しかしながら、安全性および伝送速度の観点で優れている４状態暗号および２粒子相関暗号は、これまでのところ、１つのパルス中には１光子あるいは１電子が含まれるような１量子系を伝送する実現方法しか提案されていない。このためには単光子列あるいは単電子列などを制御性よく発生する技術が必要であるが、このような技術は現在まだ実現されていない。この暗号方式を現在の技術で実現するためには、レーザ光源などで発生可能なコヒーレント状態と呼ばれる古典的量子状態の光で実現することが望まれている。コヒーレント光により４状態暗号を実現する方法としては、非直交２状態を組み合わせて擬似的な４状態暗号を実現する、文献：［１１］B. Huttner, N. Imoto, N. Gisin, and T. Mor, Phys. Rev. A51, 1863 （1995）、[１２] Y. Mu et al., Optics Letters 123, 344 (1996)などの提案はある。しかし、安全性を高めるためには平均光子数を十分小さく抑える必要があり、非直交２状態と同様に伝送速度や安全性の点で問題が残っている。
【００２０】
本発明は、上記のような従来技術の問題点に鑑みてなされたもので、その目的とするところは、安全性および伝送速度の観点で優れている４状態暗号を、現在手に入るコヒーレント光源を用いて実現する方法を提供することにある。
【００２１】
【課題を解決するための手段】
上記の課題を解決するために、請求項１に係る量子暗号を用いた鍵配布方法は、鍵として使用するランダムビットデータを、２種あるいはそれ以上の数のコヒーレント光状態から構成される光パルス列にエンコードし、盗聴検出用に、これらのコヒーレント状態の重ね合わせ状態の光パルス列を光パルスの時系列に混入して伝送し、公開チャネルにおける情報交換において、正規受信者が測定装置の測定条件を設定して盗聴検出用の光パルスの干渉状態をチェックすることにより、盗聴の有無を検定することを特徴とする。
【００２２】
請求項２に係る量子暗号を用いた鍵配布方法は、請求項１記載の量子暗号を用いた鍵配布方法において、送受信者間でデータ伝送を共有する直交２状態と、盗聴を検出する第三の非直交状態とからなる３状態暗号方式が、コヒーレント光状態から構成されるパルス列により実現され、３状態暗号方式が、初めから盗聴検出用のビット列を設けてこの全部を照合することにより盗聴検出を行うことを特徴とする。
【００２３】
請求項３に係る量子暗号を用いた鍵配布方法は、請求項２記載の量子暗号を用いた鍵配布方法において、３状態暗号方式における盗聴者の検出に必要な量子力学的状態の必要条件は、盗聴者による誤った基底の測定によって、その基底における重ね合わせ状態が破壊され、且つ、重ね合わせ状態は盗聴者による１量子レベルの測定によっても破壊されることを特徴とする。
【００２４】
請求項４に係る量子暗号を用いた鍵配布方法は、請求項３記載の量子暗号を用いた鍵配布方法において、量子力学的状態の必要条件が成り立つコヒーレント状態の重ね合わせ状態は、盗聴検出用の非直交状態として用いられることを特徴とする。
【００２５】
【発明の実施の形態】
以下、本発明の実施の形態を詳細に説明するが、先ず、前述のような手段を備えた本発明の量子暗号を用いた鍵配布方法の作用について詳しく述べる。すなわち、上述したように、１量子系においては、量子力学的要請により或る２直交状態Ａを不完全ながらも識別できる測定は、別の２直交状態Ｂに存在する重ね合わせ状態を少なくとも部分的に壊し、測定後の状態は２直交状態Ａに属するどちらかの状態（統計的混合状態）に近づく。４状態暗号ではこの重ね合わせ状態の壊れ方を検出することにより、盗聴の有無を判定している。この原理を利用すると、盗聴を検出しつつ鍵配布を安全に行うためには４状態は必要ないと言うことが最初に導かれる。
【００２６】
文献：［１３］K. J. Blow et al., J. Mod Opt. 40, 33-36 (1993)、［１４］S. M. Barnett et al., Phys. Rev. A48, 48 (1993)、［１５］S. M. Barnett et al., J. Mod Opt. 40, 2501-2513 (1993)、［１６］T. Mor, Phys. Rev. Lett. 80, 3137 (1998)、［１７］特開平７−２０２８８０などによると、送信者の選択する量子力学的状態として直交２状態とこれらに非直交な一つの状態を利用することにより、量子暗号が構成できることが示されている。このとき、直交２状態は０、１からなる１ビット乱数列を送受信者間で共有するためのデータ伝送に用いる。一方、第三の非直交状態は盗聴を検出するために用いる。
【００２７】
送信者と受信者は、それぞれ、独自かつランダムに直交２状態または非直交状態を選択し、送信者は送信し、受信者は選択した状態に適応した測定基底を有する測定器で測定する。後に、公開チャンネルにおける情報交換によって、受信者は、伝送されたビット列のなかから、送信基底と測定基底が合致したビット列を全体のビット列から少なくとも統計的には抽出する事ができる。また、受信者が受信したビット列を公開チャンネルにおける情報交換時まで貯蔵する技術を持っておれば、受信時の測定に用いる測定基底を送信者の用いた送信基底と逐次一致させることが可能なので、確定的に送受信の基底を一致させることができる。
【００２８】
送信および測定基底が一致したビット列については、送受信者間でビット値列を共有することができる。これに対して、盗聴者は送受信者と基底を一致させるいかなる手段も有さないので、盗聴行為により送信者の送った非直交状態が壊されるケースが必ず発生し、非直交状態に関する共有ビット列中（盗聴がなければ全て０または全て１のはずである）にエラーが発生する。従って、送受信者は非直交状態により共有したビット列の全て（一部ではない）を公開チャンネルで照合しエラーの有無を確認することにより盗聴の有無を知ることができる。
【００２９】
盗聴がなかったと判定された場合には、直交２状態により伝送したビット列からなる乱数列は送信者１と受信者２しか知らない同一の値を有することが保証されるので、それを共通鍵と決定する。
この簡便な３状態を利用する暗号方法では、４状態暗号のように後で暗号として用いる共有したビット列の一部を犠牲にして照合に用いるのではなく、初めから盗聴検出用のビット列を設け、この全部を照合することにより盗聴検出を行っている。照合用のビット列はあらかじめ最終的には棄却することを念頭に設計されているため、この種のプロトコルはrejected data protocolと呼ばれている。このプロトコルも盗聴者による量子力学的重ね合わせ状態の破壊の検出を原理的拠り所にしており、４状態暗号の１種としてよいものである。
この簡便なプロトコル実現においても従来１量子パルス時系列の実現が必須とされていた。本発明の方法は、このrejected data protocolに基づく３状態暗号方式を、コヒーレント光パルスにより実現するものである。
【００３０】
上記の３状態暗号において、盗聴者の検出に必要な量子力学的状態の必要条件は、
i. 盗聴者による誤った基底の測定によって、その基底における重ね合わせ状態が破壊される（測定基底状態のいずれかに収縮する）
ことに加えて、
ii. 重ね合わせ状態は盗聴者による１量子レベルの測定によっても破壊される
ことが必要である。
【００３１】
ここで(ii)の条件について説明を加える。盗聴者は可能な限り測定による状態の破壊を防ぐ盗聴作戦をとると考えられる。例えば、コヒーレント状態のように状態が多光子の状態からなり、かつコーディングに用いる２状態がプロトコルにより明らかにされている場合には、そのうち最低１光子をビームスプリッティングなどの方法により分岐して盗むことにより、状態を大きく壊さずに特定することが原理的に可能である。逆に言えば、既知のコヒーレント状態を特定するためには最低１光子相当を測定することが必要である。この条件は、キャリアパルスに含まれる量子の数が１のときは明らかに満たされている（１量子盗めば、パルスは受信者に届かなくなる）。
この２条件を満たすキャリアパルスの状態は１量子状態のみであると多くの場合考えられていた。しかしながら、量子力学はキャリアパルスに含まれる量子の数が複数個であっても上記の２条件が成り立つことを許容している。
【００３２】
本発明は、上記２条件が成り立つコヒーレント状態の重ね合わせ状態を盗聴検出用の非直交状態として用いることを特徴としている。以下、より具体的に説明する。尚、信号光パルスの光の量子状態はコヒーレント状態なので、慣例にしたがってこれを｜α＞と書くと、位相０、π／２、π／３、３π／２の変調を受けた後の状態は、それぞれ、｜α＞、｜ｉα＞、｜−α＞、｜−ｉα＞と書くことにする。
【００３３】
本発明においては、鍵として使用するビット列をエンコードするために、｜α＞および｜−α＞のような位相が１８０°異なる２つのコヒーレント状態を用いる。この２状態は振幅｜α｜の値が１よりも十分に小さいときは非直交性が高い（状態の重なり＜α｜−α＞が大きい）が、｜α｜が１よりも十分に大きければほぼ直交（＜α｜−α＞≒０）する。本発明においては｜α｜の値としては、非直交２状態暗号と比べると大きい１程度の値（平均光子数｜α｜2〜１）を用いる。これは、後に述べるように｜α｜2を大きくとりすぎると、盗聴検出用の状態が伝送路の光学損失などにより破壊されやすくなり、盗聴検出感度が低下してしまうためである。
【００３４】
このコヒーレント光パルス列中約３個に１個のパルスが光子０個を、約３個に１個のパルスが光子１個を、約５個に１個のパルスが光子２個を、約１６個に１個が光子３個を含んでいる。｜α＞と｜−α＞の状態を識別できる標準的な方法は光ホモダイン検波測定であるが、｜α｜が１近辺でこれらの２状態を識別する際の誤り率の標準量子限界は２％程度である（文献：［１８］M. Sasaki et al., Phys. Rev.A54, 2728 (1996)に示されているような最適受信機を実現できれば誤り率は０．４％程度にまで低減できる）。
【００３５】
従って、盗聴が一切なかったとしても、送受信者間で完全にビット列を共有することは不可能である（５０個に１個は誤っている）が、このビットエラーは一部のビットを犠牲にすれば古典的な誤り訂正の方法などにより、修正することが可能である。また、後に述べるように盗聴検出用に用いる光パルスは平均光子数｜α｜2〜１のコヒーレント光とし、鍵となる乱数ビット列生成に用いる光パルスは、平均光子数｜α｜2＞＞１（１０以上程度：このとき光ホモダイン検波のビット識別誤り率は１０―9以下となる）のコヒーレント光を用いることにより、ほぼ完全なビット列を共有することも可能である。
【００３６】
次に、盗聴検出用の状態として送信者は、｜α＞＋｜−α＞のような重ね合わせ状態を用意する。ここで、従来のコヒーレント光を用いた疑似的４状態暗号と異なるのは、盗聴検出用状態として、位相が９０°異なる｜ｉα＞のような状態ではなく、｜α＞＋｜−α＞を用いることである。このような重ね合わせ状態は、シュレディンガーの猫状態と呼ばれるメゾスコーピックな重ね合わせ状態であり、非線形光学結晶中にコヒーレント光を通過させることにより実現可能であることが文献：[１９] B. Yurke et al., Phys. Rev. Lett. 57, 13 (1986)、［２０］A. Mecozzi etal., Phys. Rev. Lett. 58, 1055 (1987)に示されている。また、近年（別の方法により）実験的にも実現されている（文献：[２１] M. Brune et al., Phys. Rev. Lett. 77, 4887 (1996)）。
【００３７】
このようなメゾスコピックな重ね合わせ状態は、以下のような特性を持つことが文献［１９］に示されている。
1. 重ね合わせ状態が保持されているか否かは光ホモダイン検波測定により検
出可能である。
2. ｜α＞、｜−α＞を識別するための光ホモダイン検波測定条件と｜α＞＋｜−α＞の重ね合わせ状態を検出するための光ホモダイン検波測定条件は異なる。前者と後者の局発光の位相条件はπ／２だけ異なっている。
3. ｜α＞、｜−α＞を識別するための光ホモダイン検波測定条件で｜α＞＋｜−α＞の重ね合わせ状態を測定すると、光の状態は｜α＞または｜−α＞に収縮する。これは間違った基底で測定を行うことにより重ね合わせ状態が破壊されるという前記(i)の条件を満たすことを意味する。
4. 重ね合わせ状態は光学損失により容易に破壊される。文献：［１９］や ［２２］D. F. Walls et al., Phys. Rev. A31, 2403 (1985)、［２３］A .O. Caldeira et al. Phys. Rev. A31, 1059 (1985)によると、重ね合わ せ状態を破壊するのに１光子の損失があれば十分であることが示されてい る。これは、状態が｜α＞と｜−α＞のどちらにあるかを特定するに足る 情報が損失した１光子に載っており、これを測定することにより原理的に 状態を｜α＞と｜−α＞のどちらかに収縮させることが可能であるためで ある。これはこの重ね合わせ状態が盗聴者による１量子レベルの測定によ っても破壊されるという前記(ii)の条件を満たすことを意味する。
【００３８】
以上のようにこのメゾスコピックな重ね合わせ状態｜α＞＋｜−α＞の特性は盗聴検出用状態としての必要条件(i)および(ii)を満たしており、これを利用すれば、コヒーレント光状態の利用を基本とした３状態暗号を構成することが可能である。
【００３９】
先に従来技術として紹介した、コヒーレント光により擬似的な４状態暗号を実現する方法（文献：［１１］、[１２]）では、４状態として非直交な｜α＞、｜−α＞、｜ｉα＞、｜−ｉα＞などの状態を用いていた。｜ｉα＞≠（｜α＞＋｜−α＞）/√２であり、これらの状態は｜α｜の小さい領域で間違った基底で測定を行うことにより重ね合わせ状態が破壊されるという必要条件(i)は満たすが、盗聴者による１量子レベルの測定によっても破壊されるという必要条件(ii)を満たしていなかった。そのため、多数の｜α＞状態の中に確率的に含まれる光子を２個含むパルスから１光子のみを取り出して気づかれずに情報を盗聴できる可能性が残されていた。
【００４０】
この問題を克服するため、これらの方法では｜α｜2を０．１のような極端に小さい値として光子を２個含むパルス自体の数を減らし、かつ状態の非直交性を大きくして、非直交２状態暗号方式を併用することによって安全性を確保していた。しかしながら、この場合、光子を１個だけ含むパルスの数も減少し検出できない頻度が上がってしまうので、伝送速度が極端に低下するという問題が残っていたが、本発明ではこの問題は生じない。
【００４１】
なお、本発明で使用するメゾスコピックな重ね合わせ状態はその性質により光学損失に対して脆弱である。１光子の損失により状態は破壊されるため、状態を破壊するために必要な光学損失の大きさは｜α｜-2にスケールする。盗聴検出用状態は盗聴行為のみならず、伝送路の光学損失によっても同様に破壊されるため、状態の破壊の原因が盗聴行為によるものであるか、伝送路の損失によるものであるか区別がつかないと言う問題が存在する。
【００４２】
しかしながらこれは従来の１量子パルスを用いる４状態暗号においても存在する問題であり、用いるコヒーレント光パルス中の平均光子数｜α｜2〜１と選べば、１量子パルスを用いる方法と同等である。これらの暗号方法では、安全性を確保するため状態の破壊は全て盗聴行為により発生すると仮定して盗聴行為の有無の検定を行う。この検定はビットエラーの値があるレベル以上のとき、盗聴行為があったとして伝送路の使用を棄却するものである。光学損失はビットエラーに一定のバイアスを生じさせるので、盗聴検出感度の低下につながる。従って、可能な限り損失の少ない伝送路を送受信者間で用意することが必要であるのは言うまでもない。
【００４３】
次に、、本発明の具体的な実施の形態について図面を参照して説明する。
図１は、本発明に係る量子暗号の構成方法の一実施の形態について説明するための図である。同図に示す実施の形態の量子暗号の構成方法は、従来の測定遅延を伴う４状態暗号をベースにしたものであり、キャリアとしてコヒーレント光を、情報をコーディングする属性として位相属性を用いて実現する一方法について説明したものである。
【００４４】
図１において、送信者１と受信者２は共有すべき鍵となる１ビットの情報を載せて運ぶコヒーレント光パルス３あるいは盗聴検出用重ね合わせ状態光パルス４からなる時系列を送る光ファイバーからなる量子チャンネル５と、送信および受信状態を確認し合う公開チャンネル６を使う。
コヒーレント光源７は鍵となる共有ビット乱数列配布のために用いられる光源で、その平均光子数は｜α｜2＞＞１である半導体レーザ光源を用いる。光子の位相状態に“０”または“１”の１ビット情報を載せるため、コヒーレント光パルス３は位相変調器９でビット“０”の時位相０°（状態｜α＞）、ビット“１”の時位相１８０°（状態｜−α＞）となるように変調される、２進数列は一つ一つ位相状態が異なる光子時系列で表される。
【００４５】
コヒーレント光源８は盗聴検出用の重ね合わせ光状態を作成するため用いられる半導体レーザからなる光源で、その光出力は光パルス中の平均光子数が｜α｜2〜１となるようにアッテネータ１０で調節され、メゾスコピックな重ね合わせ状態作成用の非線形光学結晶１１に入射される。コヒーレント光源７と８は注入同期などの方法により、発生するコヒーレント光の位相が一致するように同期制御されている。
【００４６】
鍵作成用の光パルス３およびメゾスコピックな重ね合わせ状態の光パルス４の時系列は送信者１の制御する光路切り替えスイッチ１２により順次切り替えられて量子チャネル５を通り、さらに遅延１３を通過する。遅延１３の長さは、公開チャンネル６における情報交換により必要な測定条件に受信者の測定器を設定してから光状態の測定を行うに足るものとする（測定遅延）。なお、この測定遅延は情報伝送速度を向上させるための手段であって、情報伝送速度を犠牲にすれば、必ずしも必要なものではない。その場合、受信者の測定条件は用いるべき測定条件と確率的にしか一致しない。
【００４７】
受信者は量子チャネル５を伝送してきた鍵作成用光パルス３または盗聴検出用光パルス４の時系列を光ホモダイン検波により測定する。光ホモダイン検波器はビームスプリッター１４において局発光発振器１５である半導体レーザからの局発光と結合し、光出力１６が高感度のフォトダイオード１７に入射し、光電流１８に変換される。光電流１８の大きさは測定器１９により測定される。局発光発信器の位相は位相制御器２０により受信者が自由に制御できる。
受信者は、公開チャネル６により送信パルスが鍵作成用光パルス３のときと、盗聴検出用光パルス４のときとで、位相制御器２０の位相の大きさをπ／２変化させる。
【００４８】
図４は、設定位相条件と観測される光電流値の大きさの確率分布の関係を示したものである。送信者の制御するコヒーレント光源７および８からのコヒーレント光の（共通の）位相をφとし、受信者の制御する光ホモダイン検波器の局発光の位相をθとすると、状態｜α＞と｜−α＞を識別する測定条件はｃｏｓ（φ＋θ）＝１で、重ね合わせ状態を確認できる測定条件はｓｉｎ（φ＋θ）＝１で表される。
【００４９】
コヒーレント光の直交位相振幅ａ１およびａ２の確率分布を位相空間（ａ１，ａ２）上で示すと、状態｜α＞と｜−α＞については確率分布は（ａ１，ａ２）＝（±１，０）上の直径１／２の円内に集中している。測定条件ｃｏｓ（φ＋θ）＝１は、この確率分布をａ２＝０の平面上に射影して観測することに等しく、期待される確率分布は送信状態が｜α＞のときはａ１＝１に、｜−α＞のときはａ１＝−１にピークを持つひとつのガウス分布に（図４(a),(b)）、｜α＞＋｜−α＞のときはａ１＝±１にピークを持つ２つのガウス分布になる（図４(c)）。 一方、測定条件ｓｉｎ（φ＋θ）＝１は確率分布をａ１＝０の平面上に射影して観測することに等しく、期待される確率分布は送信状態が｜α＞および｜−α＞のときはａ２＝０をピークとするガウス分布に（図４(a),(b)）、｜α＞＋｜−α＞のときはａ２＝０をピークとする干渉フリンジをもつガウス分布になる（図４(c)）。
【００５０】
重ね合わせ状態が保持されていると、図４（ｃ）に見られる干渉フリンジが観測されるが、盗聴行為や光学損失などにより重ね合わせ状態が壊されると干渉フリンジは消失し、図４（ａ），（ｂ）のような単純なガウス分布に近づく。従って、正規受信者はこの干渉フリンジの有無あるいはその明瞭度を観測することによって盗聴行為の有無を推定することが可能である。この干渉フリンジは観測量である電流値の観測確率分布であるので、１回の観測だけでは盗聴者の有無について答えることは難しいが、この盗聴検出のための観測を繰り返すことにより干渉フリンジの明瞭度を得ることができ、この明瞭度の大きさと理論から求めることのできる盗聴危険限界とを比較することによって盗聴者の有無を検定することができる。
【００５１】
以上の本発明の方法により、盗聴されていないことを公開チャネルにおける情報交換によりモニタしながら共通鍵を生成することができる。本発明によれば、安全性および情報伝送速度の面で優れる４状態暗号と等価な３状態暗号を、現在入手可能なコヒーレント光通信技術を用いて実装することができる。コヒーレント光は古典的デバイスにより制御可能な光状態なので、その生成に確率現象は関与せず確実に生成できる。また、本発明の方法によれば、状態｜α＞と｜−α＞の直交性が保たれるほど強いコヒーレント光を用いることができるので、非直交２状態暗号に比較すると情報伝送速度は格段に向上する。
【００５２】
以上述べた実施の形態は本発明を説明するための一例であり、本発明は、上記の実施の形態に限定されるものではなく、発明の要旨の範囲で種々の変形が可能である。すなわち、上述の実施の形態は、情報を載せて運ぶキャリアが光子、また情報をコーディングする属性が光の位相であることを想定して説明したものであるが、同様のメゾスコピックな重ね合わせ状態が存在すれば、キャリアが他の粒子、例えば電子であっても、また情報をコーディングする属性が他の属性、例えばキャリアの偏光属性やスピン属性などであってもかまわない。
【００５３】
【発明の効果】
以上説明の量子暗号を用いた鍵配布方法によれば、安全性および情報伝送速度の面で優れる４状態暗号と等価な３状態暗号を、現在入手可能なコヒーレント光通信技術を用いて実装することができる。これによって、安全性及び情報伝送効率の優れた量子暗号を用いた鍵配布を行うことができる。
【図面の簡単な説明】
【図１】 本発明の一実施の形態に係る量子暗号の構成方法を説明するための図である。
【図２】 従来の量子暗号である遅延付き４状態暗号を説明するための図である。
【図３】 従来の量子暗号である非直交２状態暗号を説明するための図である。
【図４】 設定位相条件と観測される光電流値の大きさの確率分布の関係を位相空間（ａ１，ａ２）を用いて説明した図である。
【符号の説明】
１ 送信者
２ 受信者
３ 鍵作成用コヒーレント光パルス
４ 盗聴検出用光パルス
５ 量子チャネル
６ 公開チャネル
７ 鍵作成用コヒーレント光源
８ 盗聴検出光パルス作成用コヒーレント光源
９ 位相変調器
１０ アッテネータ
１１ 非線形光学結晶
１２ 光路切り替えスイッチ
１３ 遅延
１４ ビームスプリッタ
１５ 局発光発振器
１６ 光出力
１７ フォトダイオード
１８ 光電流
１９ 電流測定器
２０ 位相制御器
２１ 送信者
２２ 受信者
２３ １量子キャリアパルス
２４ 量子チャネル
２５ 公開チャネル
２６ １量子源
２７ 変調器
２８ 遅延線
２９ 測定装置
３１ 微弱コヒーレント光パルス
３２ ５０％ビームスプリッタ
３３ 光パルス
３４ 光パルス
３５ 位相変調器
３６ 光ファイバ
３７ 光ファイバ
３８ ５０％ビームスプリッタ
３９ 位相変調器
４０ 受光器
【発明の属する技術分野】
本発明は、暗号による情報の秘匿伝送方法に関し、特に、量子暗号を用いた無条件に安全な鍵配布方法に関する。
【０００２】
【従来の技術】
従来技術の現代暗号と量子暗号の比較、および量子暗号における各種プロトコルの比較については、同出願人の先の出願公報、特願平１１ー０９０１７８に詳しい記載がされている。量子暗号は、現代暗号のように現在の計算機の計算能力によりどころをおく計算量的な安全（Computationally secure）性ではなく、無限の計算機の能力を仮定しても解読不可能な無条件の安全（Unconditionally secure）性を持つ暗号の実現のために必須となる共通鍵の配布（Key distribution）を遠隔地間で無条件に安全に行うことのできる、現在知られている唯一の技術である。量子暗号による鍵配布プロトコルは、量子チャネルを伝搬してきた量子レベルの信号の測定結果を、公開チャネルにおける通信で盗聴されていないことを確認しながら共通鍵を決定する手続きである。その安全性は、盗聴者のどんな盗聴行為も必ず何らかの痕跡を量子レベルの信号に残すという量子力学の不確定性原理により保証されており、無条件に安全である。量子暗号を用いれば恒常的に共通鍵の交換を行うことが可能であり、one-time-pad法と組み合わせる事により無条件に安全な暗号通信が可能となる。
【０００３】
量子暗号による鍵配布プロトコルとして現在までに４状態暗号、２粒子干渉暗号、非直交２状態暗号、時間差干渉暗号の各プロトコルが提案されている。これらのプロトコルの性能を評価する指標としては、盗聴検出感度（すなわち、盗聴によるデータのビットエラーを一定とするとき、盗聴者への情報漏洩をどれだけ小さくできるか、あるいは同じ事であるが、盗聴者への漏洩情報量を一定とするとき盗聴によるビットエラーレートをどれだけ大きくできるか）、および情報伝送速度（すなわち、量子暗号では盗聴検出のために必ず一部冗長データの廃棄を必要とするが、データ廃棄量をどれだけ減らすことができるか）の二つがある。現在までの研究によると、４状態暗号および２粒子干渉暗号が性能的には最も優れていることが明らかにされている。そこで、以下、本発明と関連の深い４状態暗号方式と比較のために、非直交２状態暗号方式の原理を説明する。
【０００４】
４状態暗号は最初に考案された量子暗号プロトコルであり、通称BB84プロトコルと呼ばれる。詳細は文献：［１］C. H. Bennett and G. Brassard, in Proceedings of IEEE International Conference on Computers, Systems and Signal Processing, Bangalore, India （IEEE, New York,1984），p.175 、［２］Ａ．エカート／井元信之訳「量子暗号への招待」パリティ，vol.7 ，No. 2，p.26（1992）、［３］Ｇ．コリンズ／井元信之訳「量子暗号は史上最強の暗号」パリティ，vol.8 ，No. 5，p.31（1993）などに述べられている。
【０００５】
４状態暗号においては、図２の、従来の量子暗号である遅延付き４状態の説明図に示すように、送信者２１と受信者２２は、１量子源２６から発生する量子を１つだけ含むキャリアパルス時系列２３と、キャリアパルスに１ビットの情報を変調する変調器２７と、キャリアパルス時系列２３を伝送する量子チャンネル２４と、送受信状態を確認し合う公開チャンネル２５とを使う。キャリアとしては光子や電子などが考えられているが、１ビットの情報を乗せるに足る内部自由度（離散的２固有状態）を有する量子であれば何でもよい。量子チャンネル２４は、量子として光子を用いる場合は光ファイバや自由空間中の伝搬モードなどであり、固体中の電子を用いる場合は電子の導波回路などである。量子暗号においては公開チャンネル２５は無線や電話等で、盗聴されていることを前提とするが改竄はされないこと、盗聴者は図の伝送路部にアクセスすることはできるが、送信者サイトおよび受信者サイトには物理的にアクセスできないことは仮定されている。
【０００６】
以下、キャリアが光子である場合の例を示す。
BB84プロトコルの一実施例では１光子の２つの偏光状態に”０”または”１”の１ビット情報を載せ、変調器２８により２進数列は一つ一つ偏光状態が異なる光パルス時系列に変調される。１ビット情報を光パルス２３にコーディングするにあたり、水平軸からの傾きが０°（水平）および９０°（垂直）方向の偏光軸をもつ直線偏光の組と４５°および１３５°方向の偏光軸をもつ直線偏光の組の二種類の直交基底ベクトルの組を用い、０°−９０°直線偏光基底を用いる場合には「０°」を”０”、「９０°」を”１”、４５°−１３５°直線偏光基底を用いる場合には「４５°」を”０”に、「１３５°」を”１”とするように、予め通信に使用するコーディング方法を取り決めておく。この２種類の直交基底ベクトルの組としては直線偏光と円偏光（右回り、左回り）の組み合わせを用いてもよい。この方式は１光子の４つの量子状態（０°、４５°、９０°、１３５°偏光軸の４偏光状態）を用いるので４状態量子暗号方式と呼ばれる。
【０００７】
０°−９０°直線偏光状態は直交する２状態であるので、これらの偏光を持つ光子は誤りなく識別できる。このような測定装置２９を０°系測定器と呼ぶことにする。同様に４５°−１３５°直線偏光状態を持つ光子は誤りなく識別でき、このような測定装置２９を４５°系測定器と呼ぶことにする。一方、０°−９０°直線偏光状態を持つ光子を記述する量子力学的作用素と４５°−１３５°直線偏光状態を持つ光子を記述する量子力学的作用素は非可喚であるため、０°系測定器で４５°−１３５°直線偏光状態を持つ光子を識別することはできず、同様に４５°系測定器で０°−９０°直線偏光状態を持つ光子を識別することはできない（１／２の確率で識別を誤る）。特に光パルスが高々１個の光子しか含まない場合には、これらの測定器を用いて０°−９０°直線偏光状態と４５°−１３５°直線偏光状態を同時に決定することはできない（不確定性原理）。
【０００８】
送信者と受信者はそれぞれ独自かつランダムにエンコードに用いる偏光基底を選ぶが、後に公開チャンネル２５における情報交換によって、偏光基底の一致した光子列を全体の光子列から少なくとも統計的には抽出する事ができる。また、遅延線２８のように受信者が受信した光子列を公開チャンネルにおける情報交換まで貯蔵する技術を持っておれば、受信時の測定に用いる偏光基底を送信者の用いた偏光基底と逐次一致させることが可能なので、確定的に送受信の偏光基底を一致させることができる。このようにして偏光基底が一致した光子列については、送受信者間でビット値列を共有することができる。これに対して、盗聴者は送受信者と偏光基底を一致させるいかなる手段も有さないので、盗聴行為により送受信者間で偏光基底が一致した共有ビット列中にエラーが発生する。従って、送受信者は共有ビット列から一部のビットを抽出し公開チャンネルで照合することによりエラーの有無を確認することにより盗聴の有無を知ることができる。盗聴がなかったと判定された場合には、照合ビットを除いたビット列からなる乱数列は送信者２１と受信者２２しか知らない同一の値を有することが保証されるので、それを共通鍵と決定する。
【０００９】
以上のように、BB84プロトコルでは１量子系においては互いに非直交な２組の直交基底状態を同時に測定することはできないという原理を用いている。ある直交基底状態（例えば４５°−１３５°直線偏光状態）は常にこれと非直交な直交状態（例えば０°−９０°直線偏光状態）の重ね合わせ状態として表すことができる。ある２直交状態Ａ（例えば０°偏光状態と９０°偏光状態）を確実に識別できる測定は、別の２直交状態Ｂ（例えば４５°偏光状態と１３５°偏光状態）に存在する重ね合わせ状態を壊し、測定後の状態は２直交状態Ａに属するどちらかの状態に変化させる。もっと一般的に、ある２直交状態Ａを不完全ながら識別できる測定は、別の２直交状態Ｂに存在する重ね合わせ状態を部分的に壊し、測定後の状態は２直交状態Ａに属するどちらかの状態（統計的混合状態）に近づくことが示される。
【００１０】
BB84プロトコルではこの重ね合わせ状態の壊れ方を検出することにより、盗聴の有無を判定していることに等しいということが、最近文献：［４］ C. A. Fuchs et al.,Phys. Rev. A56, 1663（1997）によって明らかにされた。またこの文献［４］において、複合系の量子力学的状態の非分離性に基づく遠距離相関（ＥＰＲ（Einstein-Podolsky-Rosen）相関）を利用する二粒子干渉暗号（通称E91プロトコル：文献：［５］A. K. Ekert, Phys. Rev. Lett. 67, 661（1991）、［６］A. K. Ekert et al., Phys. Rev. Lett. 69, 1293（1992））は４状態暗号と等価であり、４状態暗号方式と全く同じ暗号強度を有することが明らかにされた。また、文献：［７］D. Bruss, Phys. Rev. Lett. 81, 3018（1998）で直交基底として３組の異なる直交基底（つごう６直交状態）をコーディングに用いると安全性をさらに高めることができることが明らかにされた。
【００１１】
なお、測定による重ね合わせ状態の破壊が起こるためには、測定する系を構成する量子の数が１であることが必要であると従来考えられていたが、これは必要条件ではなく、系に含まれる量子の数が複数個であることを許容している。後に述べるように本発明はこれを利用して、系に含まれる量子の数が複数個であるようなメゾスコピックな量子力学的状態を利用して量子暗号を実現する。
【００１２】
次に非直交２状態暗号について説明する。これは、直交しない２つの量子状態をビット“０”と“１”に対応させて通信する方式で、通称B92プロトコルと呼ばれる。詳細は、文献：［８］C. H. Benett, Phys. Rev. Lett. 68, 3121（1992）、［９］A. K. Ekert, B. Huttner, G. M. Palma, and A. Peres, "Eavesdropping on quantum-cryptographycal systems", Phys. Rev. A50, 1047 (1994)に述べられている。
【００１３】
以下、非直交２状態量子暗号の一実施形態について、文献［８］で提案された構成を説明のために、より簡略化した図である図３の、従来の量子暗号である非直交２状態暗号の説明図を用いて説明する。送信者２１は微弱なコヒーレント光パルス３１を５０％のビームスプリッタ３２で光パルス３３と３４に分け、位相変調器３５を用いて光パルス３３の位相をビット値が“０”ならば０°、ビット値が“１”ならば１８０°に変調し、光ファイバ３６と３７からなる量子チャンネルに送る。受信者２２は、５０％のビームスプリッタ３８で光パルス３３および３４を干渉させる。
【００１４】
ビームスプリッタ３２からビームスプリッタ３８までは１つのマッハツェンダー干渉計を構成する。受信者２２はビームスプリッタ３８においてビット値“０”のパルスは受光器４０に、ビット値“１”のパルスは受光器４０に出射されるように光ファイバ３６と３７の間の位相差θを位相変調器３９で制御する。コヒーレント光パルス３１は、平均光子数が１よりずっと小さい（例えば０．１個の）コヒーレント状態の光である。これは光パルス３３に含まれる光子の数が２以上になる確率をできる限り０に近づけるためで、これにより盗聴者による光パルスの分岐複製を防ぐと同時に、コヒーレント光パルス３１で作られる２状態（位相０°状態と位相１８０°状態）の非直交性（重なり）が大きくなる。コヒーレント光パルス３１は非直交２状態を実現するほど微弱であるので、必然的に真空状態（平均光子数０の状態）との非直交性（重なり）が大きくなる。
【００１５】
真空状態との重なりが大きい（真空状態の寄与が大きい）ので、パルス到着時に受光器３９と４０のいずれにも光子が計数されず（すなわち、検出器は真空状態を計数しない）、受信者２にとってビット値判定不能となるケースがほとんどとなるが、受光器３９で計数された場合にはビット値は”１”、受光器２０で計数された場合には”０”であると“確定的に”結論することができる。
【００１６】
B92プロトコルの原理は、非直交２状態に存在するこの種の半確定的測定とでも言うべき測定方法の存在に依っている。量子力学の原理によると、非直交２状態を誤りなく識別できる測定は存在せず、ある確率で識別誤りを伴う測定しか実現できない。しかしながら、２状態から３つの検定結果が得られるような測定を許すと、ある検定結果については確定的に正しいという結論導き出すことが可能となるような、半確定的測定とでもいうべき測定方法が存在する。これは、直交していない２つの状態ＡとＢについての測定の結果として、(i)Ａではありえない、(ii)Ｂではありえない、(iii)どちらであるかわからない、という３種類の答えが得られるような測定である。もし、考えられる状態がＡとＢ以外にない場合、これは、(i)確実にＢと言える、(ii)確実にＡと言える、(iii)どちらであるかわからない、という３種類の答えと等価である。この場合、(i)又は(ii)のケースを確定成功、(iii)を不成功と言うことにすれば、受信者は成功であったか不成功であったかを送信者に通知するだけで、(i)か(ii)かの情報は送受信者間で共有できる。
【００１７】
一方、ビット列中のどのビットが確定に成功し、どのビットが不成功であったかは、受信者と盗聴者で相関がない。従って、盗聴者は送受信者と確定したビット列を共有することは不可能である。この事情から、送受信者間で共有した確定ビット列中にエラーを発生せずに盗聴行為を行うことは不可能である。従って、送受信者は成功したビットについて適当な割合でテストビットを抽出し、公開チャンネルでデータに矛盾がないか照合を行うことにより盗聴者の有無を確認できる。盗聴者がいないと検定された場合には、照合ビットを除いたビット列は送信者２１と受信者２２しか知らない同一の値を有することが保証されるので、それを共通鍵と決定する。
【００１８】
このプロトコルではキャリア光源として現在の技術で実現可能なコヒーレント光源を用いることが可能であるが、その原理から光強度は十分に微弱となるようにしなければならない。その場合、(iii)の測定不成功のケースが増大し、識別不可能な残りの光パルスは無駄になるため伝送速度を上げることが不可能であるというデメリットがある。この方式の安全性は状態の非直交性に基づいているため、この無駄はこの方式において不可避なものである。
【００１９】
【発明が解決しようとする課題】
しかしながら、安全性および伝送速度の観点で優れている４状態暗号および２粒子相関暗号は、これまでのところ、１つのパルス中には１光子あるいは１電子が含まれるような１量子系を伝送する実現方法しか提案されていない。このためには単光子列あるいは単電子列などを制御性よく発生する技術が必要であるが、このような技術は現在まだ実現されていない。この暗号方式を現在の技術で実現するためには、レーザ光源などで発生可能なコヒーレント状態と呼ばれる古典的量子状態の光で実現することが望まれている。コヒーレント光により４状態暗号を実現する方法としては、非直交２状態を組み合わせて擬似的な４状態暗号を実現する、文献：［１１］B. Huttner, N. Imoto, N. Gisin, and T. Mor, Phys. Rev. A51, 1863 （1995）、[１２] Y. Mu et al., Optics Letters 123, 344 (1996)などの提案はある。しかし、安全性を高めるためには平均光子数を十分小さく抑える必要があり、非直交２状態と同様に伝送速度や安全性の点で問題が残っている。
【００２０】
本発明は、上記のような従来技術の問題点に鑑みてなされたもので、その目的とするところは、安全性および伝送速度の観点で優れている４状態暗号を、現在手に入るコヒーレント光源を用いて実現する方法を提供することにある。
【００２１】
【課題を解決するための手段】
上記の課題を解決するために、請求項１に係る量子暗号を用いた鍵配布方法は、鍵として使用するランダムビットデータを、２種あるいはそれ以上の数のコヒーレント光状態から構成される光パルス列にエンコードし、盗聴検出用に、これらのコヒーレント状態の重ね合わせ状態の光パルス列を光パルスの時系列に混入して伝送し、公開チャネルにおける情報交換において、正規受信者が測定装置の測定条件を設定して盗聴検出用の光パルスの干渉状態をチェックすることにより、盗聴の有無を検定することを特徴とする。
【００２２】
請求項２に係る量子暗号を用いた鍵配布方法は、請求項１記載の量子暗号を用いた鍵配布方法において、送受信者間でデータ伝送を共有する直交２状態と、盗聴を検出する第三の非直交状態とからなる３状態暗号方式が、コヒーレント光状態から構成されるパルス列により実現され、３状態暗号方式が、初めから盗聴検出用のビット列を設けてこの全部を照合することにより盗聴検出を行うことを特徴とする。
【００２３】
請求項３に係る量子暗号を用いた鍵配布方法は、請求項２記載の量子暗号を用いた鍵配布方法において、３状態暗号方式における盗聴者の検出に必要な量子力学的状態の必要条件は、盗聴者による誤った基底の測定によって、その基底における重ね合わせ状態が破壊され、且つ、重ね合わせ状態は盗聴者による１量子レベルの測定によっても破壊されることを特徴とする。
【００２４】
請求項４に係る量子暗号を用いた鍵配布方法は、請求項３記載の量子暗号を用いた鍵配布方法において、量子力学的状態の必要条件が成り立つコヒーレント状態の重ね合わせ状態は、盗聴検出用の非直交状態として用いられることを特徴とする。
【００２５】
【発明の実施の形態】
以下、本発明の実施の形態を詳細に説明するが、先ず、前述のような手段を備えた本発明の量子暗号を用いた鍵配布方法の作用について詳しく述べる。すなわち、上述したように、１量子系においては、量子力学的要請により或る２直交状態Ａを不完全ながらも識別できる測定は、別の２直交状態Ｂに存在する重ね合わせ状態を少なくとも部分的に壊し、測定後の状態は２直交状態Ａに属するどちらかの状態（統計的混合状態）に近づく。４状態暗号ではこの重ね合わせ状態の壊れ方を検出することにより、盗聴の有無を判定している。この原理を利用すると、盗聴を検出しつつ鍵配布を安全に行うためには４状態は必要ないと言うことが最初に導かれる。
【００２６】
文献：［１３］K. J. Blow et al., J. Mod Opt. 40, 33-36 (1993)、［１４］S. M. Barnett et al., Phys. Rev. A48, 48 (1993)、［１５］S. M. Barnett et al., J. Mod Opt. 40, 2501-2513 (1993)、［１６］T. Mor, Phys. Rev. Lett. 80, 3137 (1998)、［１７］特開平７−２０２８８０などによると、送信者の選択する量子力学的状態として直交２状態とこれらに非直交な一つの状態を利用することにより、量子暗号が構成できることが示されている。このとき、直交２状態は０、１からなる１ビット乱数列を送受信者間で共有するためのデータ伝送に用いる。一方、第三の非直交状態は盗聴を検出するために用いる。
【００２７】
送信者と受信者は、それぞれ、独自かつランダムに直交２状態または非直交状態を選択し、送信者は送信し、受信者は選択した状態に適応した測定基底を有する測定器で測定する。後に、公開チャンネルにおける情報交換によって、受信者は、伝送されたビット列のなかから、送信基底と測定基底が合致したビット列を全体のビット列から少なくとも統計的には抽出する事ができる。また、受信者が受信したビット列を公開チャンネルにおける情報交換時まで貯蔵する技術を持っておれば、受信時の測定に用いる測定基底を送信者の用いた送信基底と逐次一致させることが可能なので、確定的に送受信の基底を一致させることができる。
【００２８】
送信および測定基底が一致したビット列については、送受信者間でビット値列を共有することができる。これに対して、盗聴者は送受信者と基底を一致させるいかなる手段も有さないので、盗聴行為により送信者の送った非直交状態が壊されるケースが必ず発生し、非直交状態に関する共有ビット列中（盗聴がなければ全て０または全て１のはずである）にエラーが発生する。従って、送受信者は非直交状態により共有したビット列の全て（一部ではない）を公開チャンネルで照合しエラーの有無を確認することにより盗聴の有無を知ることができる。
【００２９】
盗聴がなかったと判定された場合には、直交２状態により伝送したビット列からなる乱数列は送信者１と受信者２しか知らない同一の値を有することが保証されるので、それを共通鍵と決定する。
この簡便な３状態を利用する暗号方法では、４状態暗号のように後で暗号として用いる共有したビット列の一部を犠牲にして照合に用いるのではなく、初めから盗聴検出用のビット列を設け、この全部を照合することにより盗聴検出を行っている。照合用のビット列はあらかじめ最終的には棄却することを念頭に設計されているため、この種のプロトコルはrejected data protocolと呼ばれている。このプロトコルも盗聴者による量子力学的重ね合わせ状態の破壊の検出を原理的拠り所にしており、４状態暗号の１種としてよいものである。
この簡便なプロトコル実現においても従来１量子パルス時系列の実現が必須とされていた。本発明の方法は、このrejected data protocolに基づく３状態暗号方式を、コヒーレント光パルスにより実現するものである。
【００３０】
上記の３状態暗号において、盗聴者の検出に必要な量子力学的状態の必要条件は、
i. 盗聴者による誤った基底の測定によって、その基底における重ね合わせ状態が破壊される（測定基底状態のいずれかに収縮する）
ことに加えて、
ii. 重ね合わせ状態は盗聴者による１量子レベルの測定によっても破壊される
ことが必要である。
【００３１】
ここで(ii)の条件について説明を加える。盗聴者は可能な限り測定による状態の破壊を防ぐ盗聴作戦をとると考えられる。例えば、コヒーレント状態のように状態が多光子の状態からなり、かつコーディングに用いる２状態がプロトコルにより明らかにされている場合には、そのうち最低１光子をビームスプリッティングなどの方法により分岐して盗むことにより、状態を大きく壊さずに特定することが原理的に可能である。逆に言えば、既知のコヒーレント状態を特定するためには最低１光子相当を測定することが必要である。この条件は、キャリアパルスに含まれる量子の数が１のときは明らかに満たされている（１量子盗めば、パルスは受信者に届かなくなる）。
この２条件を満たすキャリアパルスの状態は１量子状態のみであると多くの場合考えられていた。しかしながら、量子力学はキャリアパルスに含まれる量子の数が複数個であっても上記の２条件が成り立つことを許容している。
【００３２】
本発明は、上記２条件が成り立つコヒーレント状態の重ね合わせ状態を盗聴検出用の非直交状態として用いることを特徴としている。以下、より具体的に説明する。尚、信号光パルスの光の量子状態はコヒーレント状態なので、慣例にしたがってこれを｜α＞と書くと、位相０、π／２、π／３、３π／２の変調を受けた後の状態は、それぞれ、｜α＞、｜ｉα＞、｜−α＞、｜−ｉα＞と書くことにする。
【００３３】
本発明においては、鍵として使用するビット列をエンコードするために、｜α＞および｜−α＞のような位相が１８０°異なる２つのコヒーレント状態を用いる。この２状態は振幅｜α｜の値が１よりも十分に小さいときは非直交性が高い（状態の重なり＜α｜−α＞が大きい）が、｜α｜が１よりも十分に大きければほぼ直交（＜α｜−α＞≒０）する。本発明においては｜α｜の値としては、非直交２状態暗号と比べると大きい１程度の値（平均光子数｜α｜2〜１）を用いる。これは、後に述べるように｜α｜2を大きくとりすぎると、盗聴検出用の状態が伝送路の光学損失などにより破壊されやすくなり、盗聴検出感度が低下してしまうためである。
【００３４】
このコヒーレント光パルス列中約３個に１個のパルスが光子０個を、約３個に１個のパルスが光子１個を、約５個に１個のパルスが光子２個を、約１６個に１個が光子３個を含んでいる。｜α＞と｜−α＞の状態を識別できる標準的な方法は光ホモダイン検波測定であるが、｜α｜が１近辺でこれらの２状態を識別する際の誤り率の標準量子限界は２％程度である（文献：［１８］M. Sasaki et al., Phys. Rev.A54, 2728 (1996)に示されているような最適受信機を実現できれば誤り率は０．４％程度にまで低減できる）。
【００３５】
従って、盗聴が一切なかったとしても、送受信者間で完全にビット列を共有することは不可能である（５０個に１個は誤っている）が、このビットエラーは一部のビットを犠牲にすれば古典的な誤り訂正の方法などにより、修正することが可能である。また、後に述べるように盗聴検出用に用いる光パルスは平均光子数｜α｜2〜１のコヒーレント光とし、鍵となる乱数ビット列生成に用いる光パルスは、平均光子数｜α｜2＞＞１（１０以上程度：このとき光ホモダイン検波のビット識別誤り率は１０―9以下となる）のコヒーレント光を用いることにより、ほぼ完全なビット列を共有することも可能である。
【００３６】
次に、盗聴検出用の状態として送信者は、｜α＞＋｜−α＞のような重ね合わせ状態を用意する。ここで、従来のコヒーレント光を用いた疑似的４状態暗号と異なるのは、盗聴検出用状態として、位相が９０°異なる｜ｉα＞のような状態ではなく、｜α＞＋｜−α＞を用いることである。このような重ね合わせ状態は、シュレディンガーの猫状態と呼ばれるメゾスコーピックな重ね合わせ状態であり、非線形光学結晶中にコヒーレント光を通過させることにより実現可能であることが文献：[１９] B. Yurke et al., Phys. Rev. Lett. 57, 13 (1986)、［２０］A. Mecozzi etal., Phys. Rev. Lett. 58, 1055 (1987)に示されている。また、近年（別の方法により）実験的にも実現されている（文献：[２１] M. Brune et al., Phys. Rev. Lett. 77, 4887 (1996)）。
【００３７】
このようなメゾスコピックな重ね合わせ状態は、以下のような特性を持つことが文献［１９］に示されている。
1. 重ね合わせ状態が保持されているか否かは光ホモダイン検波測定により検
出可能である。
2. ｜α＞、｜−α＞を識別するための光ホモダイン検波測定条件と｜α＞＋｜−α＞の重ね合わせ状態を検出するための光ホモダイン検波測定条件は異なる。前者と後者の局発光の位相条件はπ／２だけ異なっている。
3. ｜α＞、｜−α＞を識別するための光ホモダイン検波測定条件で｜α＞＋｜−α＞の重ね合わせ状態を測定すると、光の状態は｜α＞または｜−α＞に収縮する。これは間違った基底で測定を行うことにより重ね合わせ状態が破壊されるという前記(i)の条件を満たすことを意味する。
4. 重ね合わせ状態は光学損失により容易に破壊される。文献：［１９］や ［２２］D. F. Walls et al., Phys. Rev. A31, 2403 (1985)、［２３］A .O. Caldeira et al. Phys. Rev. A31, 1059 (1985)によると、重ね合わ せ状態を破壊するのに１光子の損失があれば十分であることが示されてい る。これは、状態が｜α＞と｜−α＞のどちらにあるかを特定するに足る 情報が損失した１光子に載っており、これを測定することにより原理的に 状態を｜α＞と｜−α＞のどちらかに収縮させることが可能であるためで ある。これはこの重ね合わせ状態が盗聴者による１量子レベルの測定によ っても破壊されるという前記(ii)の条件を満たすことを意味する。
【００３８】
以上のようにこのメゾスコピックな重ね合わせ状態｜α＞＋｜−α＞の特性は盗聴検出用状態としての必要条件(i)および(ii)を満たしており、これを利用すれば、コヒーレント光状態の利用を基本とした３状態暗号を構成することが可能である。
【００３９】
先に従来技術として紹介した、コヒーレント光により擬似的な４状態暗号を実現する方法（文献：［１１］、[１２]）では、４状態として非直交な｜α＞、｜−α＞、｜ｉα＞、｜−ｉα＞などの状態を用いていた。｜ｉα＞≠（｜α＞＋｜−α＞）/√２であり、これらの状態は｜α｜の小さい領域で間違った基底で測定を行うことにより重ね合わせ状態が破壊されるという必要条件(i)は満たすが、盗聴者による１量子レベルの測定によっても破壊されるという必要条件(ii)を満たしていなかった。そのため、多数の｜α＞状態の中に確率的に含まれる光子を２個含むパルスから１光子のみを取り出して気づかれずに情報を盗聴できる可能性が残されていた。
【００４０】
この問題を克服するため、これらの方法では｜α｜2を０．１のような極端に小さい値として光子を２個含むパルス自体の数を減らし、かつ状態の非直交性を大きくして、非直交２状態暗号方式を併用することによって安全性を確保していた。しかしながら、この場合、光子を１個だけ含むパルスの数も減少し検出できない頻度が上がってしまうので、伝送速度が極端に低下するという問題が残っていたが、本発明ではこの問題は生じない。
【００４１】
なお、本発明で使用するメゾスコピックな重ね合わせ状態はその性質により光学損失に対して脆弱である。１光子の損失により状態は破壊されるため、状態を破壊するために必要な光学損失の大きさは｜α｜-2にスケールする。盗聴検出用状態は盗聴行為のみならず、伝送路の光学損失によっても同様に破壊されるため、状態の破壊の原因が盗聴行為によるものであるか、伝送路の損失によるものであるか区別がつかないと言う問題が存在する。
【００４２】
しかしながらこれは従来の１量子パルスを用いる４状態暗号においても存在する問題であり、用いるコヒーレント光パルス中の平均光子数｜α｜2〜１と選べば、１量子パルスを用いる方法と同等である。これらの暗号方法では、安全性を確保するため状態の破壊は全て盗聴行為により発生すると仮定して盗聴行為の有無の検定を行う。この検定はビットエラーの値があるレベル以上のとき、盗聴行為があったとして伝送路の使用を棄却するものである。光学損失はビットエラーに一定のバイアスを生じさせるので、盗聴検出感度の低下につながる。従って、可能な限り損失の少ない伝送路を送受信者間で用意することが必要であるのは言うまでもない。
【００４３】
次に、、本発明の具体的な実施の形態について図面を参照して説明する。
図１は、本発明に係る量子暗号の構成方法の一実施の形態について説明するための図である。同図に示す実施の形態の量子暗号の構成方法は、従来の測定遅延を伴う４状態暗号をベースにしたものであり、キャリアとしてコヒーレント光を、情報をコーディングする属性として位相属性を用いて実現する一方法について説明したものである。
【００４４】
図１において、送信者１と受信者２は共有すべき鍵となる１ビットの情報を載せて運ぶコヒーレント光パルス３あるいは盗聴検出用重ね合わせ状態光パルス４からなる時系列を送る光ファイバーからなる量子チャンネル５と、送信および受信状態を確認し合う公開チャンネル６を使う。
コヒーレント光源７は鍵となる共有ビット乱数列配布のために用いられる光源で、その平均光子数は｜α｜2＞＞１である半導体レーザ光源を用いる。光子の位相状態に“０”または“１”の１ビット情報を載せるため、コヒーレント光パルス３は位相変調器９でビット“０”の時位相０°（状態｜α＞）、ビット“１”の時位相１８０°（状態｜−α＞）となるように変調される、２進数列は一つ一つ位相状態が異なる光子時系列で表される。
【００４５】
コヒーレント光源８は盗聴検出用の重ね合わせ光状態を作成するため用いられる半導体レーザからなる光源で、その光出力は光パルス中の平均光子数が｜α｜2〜１となるようにアッテネータ１０で調節され、メゾスコピックな重ね合わせ状態作成用の非線形光学結晶１１に入射される。コヒーレント光源７と８は注入同期などの方法により、発生するコヒーレント光の位相が一致するように同期制御されている。
【００４６】
鍵作成用の光パルス３およびメゾスコピックな重ね合わせ状態の光パルス４の時系列は送信者１の制御する光路切り替えスイッチ１２により順次切り替えられて量子チャネル５を通り、さらに遅延１３を通過する。遅延１３の長さは、公開チャンネル６における情報交換により必要な測定条件に受信者の測定器を設定してから光状態の測定を行うに足るものとする（測定遅延）。なお、この測定遅延は情報伝送速度を向上させるための手段であって、情報伝送速度を犠牲にすれば、必ずしも必要なものではない。その場合、受信者の測定条件は用いるべき測定条件と確率的にしか一致しない。
【００４７】
受信者は量子チャネル５を伝送してきた鍵作成用光パルス３または盗聴検出用光パルス４の時系列を光ホモダイン検波により測定する。光ホモダイン検波器はビームスプリッター１４において局発光発振器１５である半導体レーザからの局発光と結合し、光出力１６が高感度のフォトダイオード１７に入射し、光電流１８に変換される。光電流１８の大きさは測定器１９により測定される。局発光発信器の位相は位相制御器２０により受信者が自由に制御できる。
受信者は、公開チャネル６により送信パルスが鍵作成用光パルス３のときと、盗聴検出用光パルス４のときとで、位相制御器２０の位相の大きさをπ／２変化させる。
【００４８】
図４は、設定位相条件と観測される光電流値の大きさの確率分布の関係を示したものである。送信者の制御するコヒーレント光源７および８からのコヒーレント光の（共通の）位相をφとし、受信者の制御する光ホモダイン検波器の局発光の位相をθとすると、状態｜α＞と｜−α＞を識別する測定条件はｃｏｓ（φ＋θ）＝１で、重ね合わせ状態を確認できる測定条件はｓｉｎ（φ＋θ）＝１で表される。
【００４９】
コヒーレント光の直交位相振幅ａ１およびａ２の確率分布を位相空間（ａ１，ａ２）上で示すと、状態｜α＞と｜−α＞については確率分布は（ａ１，ａ２）＝（±１，０）上の直径１／２の円内に集中している。測定条件ｃｏｓ（φ＋θ）＝１は、この確率分布をａ２＝０の平面上に射影して観測することに等しく、期待される確率分布は送信状態が｜α＞のときはａ１＝１に、｜−α＞のときはａ１＝−１にピークを持つひとつのガウス分布に（図４(a),(b)）、｜α＞＋｜−α＞のときはａ１＝±１にピークを持つ２つのガウス分布になる（図４(c)）。 一方、測定条件ｓｉｎ（φ＋θ）＝１は確率分布をａ１＝０の平面上に射影して観測することに等しく、期待される確率分布は送信状態が｜α＞および｜−α＞のときはａ２＝０をピークとするガウス分布に（図４(a),(b)）、｜α＞＋｜−α＞のときはａ２＝０をピークとする干渉フリンジをもつガウス分布になる（図４(c)）。
【００５０】
重ね合わせ状態が保持されていると、図４（ｃ）に見られる干渉フリンジが観測されるが、盗聴行為や光学損失などにより重ね合わせ状態が壊されると干渉フリンジは消失し、図４（ａ），（ｂ）のような単純なガウス分布に近づく。従って、正規受信者はこの干渉フリンジの有無あるいはその明瞭度を観測することによって盗聴行為の有無を推定することが可能である。この干渉フリンジは観測量である電流値の観測確率分布であるので、１回の観測だけでは盗聴者の有無について答えることは難しいが、この盗聴検出のための観測を繰り返すことにより干渉フリンジの明瞭度を得ることができ、この明瞭度の大きさと理論から求めることのできる盗聴危険限界とを比較することによって盗聴者の有無を検定することができる。
【００５１】
以上の本発明の方法により、盗聴されていないことを公開チャネルにおける情報交換によりモニタしながら共通鍵を生成することができる。本発明によれば、安全性および情報伝送速度の面で優れる４状態暗号と等価な３状態暗号を、現在入手可能なコヒーレント光通信技術を用いて実装することができる。コヒーレント光は古典的デバイスにより制御可能な光状態なので、その生成に確率現象は関与せず確実に生成できる。また、本発明の方法によれば、状態｜α＞と｜−α＞の直交性が保たれるほど強いコヒーレント光を用いることができるので、非直交２状態暗号に比較すると情報伝送速度は格段に向上する。
【００５２】
以上述べた実施の形態は本発明を説明するための一例であり、本発明は、上記の実施の形態に限定されるものではなく、発明の要旨の範囲で種々の変形が可能である。すなわち、上述の実施の形態は、情報を載せて運ぶキャリアが光子、また情報をコーディングする属性が光の位相であることを想定して説明したものであるが、同様のメゾスコピックな重ね合わせ状態が存在すれば、キャリアが他の粒子、例えば電子であっても、また情報をコーディングする属性が他の属性、例えばキャリアの偏光属性やスピン属性などであってもかまわない。
【００５３】
【発明の効果】
以上説明の量子暗号を用いた鍵配布方法によれば、安全性および情報伝送速度の面で優れる４状態暗号と等価な３状態暗号を、現在入手可能なコヒーレント光通信技術を用いて実装することができる。これによって、安全性及び情報伝送効率の優れた量子暗号を用いた鍵配布を行うことができる。
【図面の簡単な説明】
【図１】 本発明の一実施の形態に係る量子暗号の構成方法を説明するための図である。
【図２】 従来の量子暗号である遅延付き４状態暗号を説明するための図である。
【図３】 従来の量子暗号である非直交２状態暗号を説明するための図である。
【図４】 設定位相条件と観測される光電流値の大きさの確率分布の関係を位相空間（ａ１，ａ２）を用いて説明した図である。
【符号の説明】
１ 送信者
２ 受信者
３ 鍵作成用コヒーレント光パルス
４ 盗聴検出用光パルス
５ 量子チャネル
６ 公開チャネル
７ 鍵作成用コヒーレント光源
８ 盗聴検出光パルス作成用コヒーレント光源
９ 位相変調器
１０ アッテネータ
１１ 非線形光学結晶
１２ 光路切り替えスイッチ
１３ 遅延
１４ ビームスプリッタ
１５ 局発光発振器
１６ 光出力
１７ フォトダイオード
１８ 光電流
１９ 電流測定器
２０ 位相制御器
２１ 送信者
２２ 受信者
２３ １量子キャリアパルス
２４ 量子チャネル
２５ 公開チャネル
２６ １量子源
２７ 変調器
２８ 遅延線
２９ 測定装置
３１ 微弱コヒーレント光パルス
３２ ５０％ビームスプリッタ
３３ 光パルス
３４ 光パルス
３５ 位相変調器
３６ 光ファイバ
３７ 光ファイバ
３８ ５０％ビームスプリッタ
３９ 位相変調器
４０ 受光器
Claims (4)
- 鍵作成用光源が、鍵として使用するランダムビットデータを載せる鍵作成用光パルスを作成し、
変調器が、前記鍵作成用光源が生成する鍵作成用光パルスを２種あるいはそれ以上の数の互いに直交状態にあるコヒーレント光状態から構成される光パルス列にエンコードし、
盗聴検出光パルス作成用光源が、前記直交状態にある２種以上のコヒーレント光状態の重ね合わせ状態からなる盗聴検出用重ね合わせ状態光パルスを作成し、
前記盗聴検出用重ね合わせ状態光パルスを前記変調器がエンコードする光パルス列にランダムに混入して量子チャンネルより伝送し、
公開チャネルにおける情報交換において、検波器が、前記鍵作成用光パルスまたは盗聴検出用重ね合わせ状態光パルスが混入されたパルス列を検波し、
測定器が、前記検波されるパルス列において、前記盗聴検出用重ね合わせ状態光パルスを測定し、重ね合わせ状態が保持されているか否かによって、盗聴の有無を検定する
ことを特徴とする量子暗号を用いた鍵配布方法。 - 前記コヒーレント光状態から構成されるパルス列により、送受信者間でデータ伝送を共有する直交２状態と、盗聴を検出する第三の非直交状態とからなる３状態暗号方式が実現され、
前記測定器が、初めから盗聴検出用のビット列を設けて、この全部を照合することにより盗聴検出を行う
ことを特徴とする請求項１記載の量子暗号を用いた鍵配布方法。 - 前記３状態暗号方式において、盗聴者の検出に必要な量子力学的状態の必要条件は、盗聴者による誤った基底の測定によって、その基底における重ね合わせ状態が破壊され、且つ、前記重ね合わせ状態は盗聴者による１量子レベルの測定によっても破壊される
ことを特徴とする請求項２記載の量子暗号を用いた鍵配布方法。 - 前記量子力学的状態の必要条件が成り立つコヒーレント状態の重ね合わせ状態は、盗聴検出用の非直交状態として用いられる
ことを特徴とする請求項３記載の量子暗号を用いた鍵配布方法。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP13198399A JP3646561B2 (ja) | 1999-05-12 | 1999-05-12 | 量子暗号を用いた鍵配布方法 |
| US09/567,784 US6801626B1 (en) | 1999-05-12 | 2000-05-09 | Cryptographic key distribution using light pulses of three macroscopic quantum states |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP13198399A JP3646561B2 (ja) | 1999-05-12 | 1999-05-12 | 量子暗号を用いた鍵配布方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000324100A JP2000324100A (ja) | 2000-11-24 |
| JP3646561B2 true JP3646561B2 (ja) | 2005-05-11 |
Family
ID=15070819
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP13198399A Expired - Fee Related JP3646561B2 (ja) | 1999-05-12 | 1999-05-12 | 量子暗号を用いた鍵配布方法 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US6801626B1 (ja) |
| JP (1) | JP3646561B2 (ja) |
Families Citing this family (58)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7324647B1 (en) * | 2000-10-23 | 2008-01-29 | Bbn Technologies Corp. | Quantum cryptographic key distribution networks with untrusted switches |
| FR2816772B1 (fr) * | 2000-11-10 | 2003-01-31 | Thomson Csf | Procede et systeme de transmission par cryptographie quantique |
| FR2816780B1 (fr) * | 2000-11-10 | 2003-01-31 | Thomson Csf | Procede et systeme de transmission par cryptographie quantique |
| JP4462806B2 (ja) | 2002-02-22 | 2010-05-12 | 日本電気株式会社 | 量子暗号鍵配布システム |
| US7403623B2 (en) * | 2002-07-05 | 2008-07-22 | Universite Libre De Bruxelles | High-rate quantum key distribution scheme relying on continuously phase and amplitude-modulated coherent light pulses |
| US7274791B2 (en) * | 2002-07-15 | 2007-09-25 | Lucent Technologies Inc. | Quantum cryptographic system and method for achieving unambiguous state discrimination measurement of coherent light states |
| US7457416B1 (en) | 2002-07-17 | 2008-11-25 | Bbn Technologies Corp. | Key distribution center for quantum cryptographic key distribution networks |
| AU2002338042A1 (en) | 2002-09-26 | 2004-04-19 | Mitsubishi Denki Kabushiki Kaisha | Cryptographic communication apparatus |
| US7627126B1 (en) | 2002-10-15 | 2009-12-01 | Bbn Technologies Corp. | Systems and methods for implementing path length control for quantum cryptographic systems |
| US7460670B1 (en) | 2002-12-20 | 2008-12-02 | Bbn Technologies Corp. | Systems and methods for managing quantum cryptographic networks |
| US7236597B2 (en) | 2002-12-20 | 2007-06-26 | Bbn Technologies Corp. | Key transport in quantum cryptographic networks |
| US7777177B2 (en) * | 2003-01-13 | 2010-08-17 | Klotzer Daniel S | System for responding to a superposition of quantum states |
| US9897894B2 (en) | 2003-01-13 | 2018-02-20 | Daniel S Klotzer | Morphable identity, networkable photonic quantum logic gate system and method |
| US7430295B1 (en) | 2003-03-21 | 2008-09-30 | Bbn Technologies Corp. | Simple untrusted network for quantum cryptography |
| US7706535B1 (en) | 2003-03-21 | 2010-04-27 | Bbn Technologies Corp. | Systems and methods for implementing routing protocols and algorithms for quantum cryptographic key transport |
| US7983422B2 (en) * | 2003-07-25 | 2011-07-19 | Hewlett-Packard Development Company, L.P. | Quantum cryptography |
| EP1715614B1 (en) * | 2004-02-10 | 2014-05-07 | Mitsubishi Electric Corporation | Quantum key delivering method and communication device |
| US7515716B1 (en) | 2004-02-26 | 2009-04-07 | Bbn Technologies Corp. | Systems and methods for reserving cryptographic key material |
| US7697693B1 (en) | 2004-03-09 | 2010-04-13 | Bbn Technologies Corp. | Quantum cryptography with multi-party randomness |
| GB0405573D0 (en) * | 2004-03-11 | 2004-04-21 | Univ Heriot Watt | Secure data communication system |
| US20060029229A1 (en) * | 2004-08-03 | 2006-02-09 | Alexei Trifonov | QKD station with EMI signature suppression |
| EP1784944B1 (en) * | 2004-09-02 | 2009-03-18 | ID Quantique S.A. | Two non-orthogonal states quantum cryptography method and apparatus with intra-and inter-qubit interference for eavesdropper detection |
| JP4654649B2 (ja) * | 2004-10-07 | 2011-03-23 | ソニー株式会社 | 量子暗号通信方法、および量子暗号通信装置、並びに量子暗号通信システム |
| US7920704B2 (en) * | 2004-10-09 | 2011-04-05 | The United States Of America As Represented By The Secretary Of The Army | Systems and methods for obtaining information on a key in BB84 protocol of quantum key distribution |
| US20060083379A1 (en) * | 2004-10-19 | 2006-04-20 | Brookner George M | Cryptographic communications session security |
| US7643633B2 (en) * | 2005-05-06 | 2010-01-05 | Research In Motion Limited | Adding randomness internally to a wireless mobile communication device |
| US7853011B2 (en) * | 2005-05-13 | 2010-12-14 | Ciena Corporation | Methods and apparatus for monitoring the integrity of a quantum channel supporting multi-quanta pulse transmission |
| CN101176297B (zh) * | 2005-05-17 | 2014-09-03 | 朗迅科技公司 | 量子信息的多信道传输 |
| US20060263096A1 (en) * | 2005-05-17 | 2006-11-23 | Mihaela Dinu | Multi-channel transmission of quantum information |
| US7706536B2 (en) * | 2005-05-17 | 2010-04-27 | Alcatel-Lucent Usa Inc. | Phase locking in a multi-channel quantum communication system |
| US7747019B2 (en) * | 2005-09-28 | 2010-06-29 | Nortel Networks Limited | Methods and systems for communicating over a quantum channel |
| US20070076887A1 (en) * | 2005-09-30 | 2007-04-05 | Nortel Networks Limited | Double phase encoding quantum key distribution |
| US20070076878A1 (en) * | 2005-09-30 | 2007-04-05 | Nortel Networks Limited | Any-point-to-any-point ("AP2AP") quantum key distribution protocol for optical ring network |
| JP4883273B2 (ja) * | 2006-01-11 | 2012-02-22 | 日本電気株式会社 | 乱数品質管理装置および管理方法 |
| EP1985061A1 (fr) * | 2006-02-03 | 2008-10-29 | ATT- Advanced Track & Trace S. A. | Procede et dispositif d'authentification |
| US7447386B2 (en) * | 2006-02-23 | 2008-11-04 | Magiq Technologies, Inc | Cascaded modulator system and method for QKD |
| JP2007251678A (ja) * | 2006-03-16 | 2007-09-27 | Sony Corp | 量子暗号通信装置および通信端末における平均光子数設定方法 |
| US8340298B2 (en) * | 2006-04-18 | 2012-12-25 | Magiq Technologies, Inc. | Key management and user authentication for quantum cryptography networks |
| FR2906424B1 (fr) * | 2006-09-25 | 2008-11-28 | Centre Nat Rech Scient | Systeme et procede pour la transmission securisee de code binaire par codage en phase et en intensite |
| US7876901B2 (en) * | 2007-03-29 | 2011-01-25 | The United States Of America As Represented By The Secretary Of The Army | Alternative design for quantum cryptographic entangling probe |
| WO2009110282A1 (ja) * | 2008-03-06 | 2009-09-11 | 日本電気株式会社 | 量子暗号装置、量子暗号装置の観測結果記録装置および方法 |
| US8934633B2 (en) * | 2010-02-15 | 2015-01-13 | Hitachi, Ltd. | Encrypted communication system, transmitter and receiver using same |
| US9219605B2 (en) * | 2011-02-02 | 2015-12-22 | Nokia Technologies Oy | Quantum key distribution |
| CN103227718A (zh) * | 2012-12-31 | 2013-07-31 | 安徽问天量子科技股份有限公司 | 量子密钥发送接收一体控制器及控制方法 |
| CN107347058B (zh) | 2016-05-06 | 2021-07-23 | 阿里巴巴集团控股有限公司 | 数据加密方法、数据解密方法、装置及系统 |
| CN107370546B (zh) * | 2016-05-11 | 2020-06-26 | 阿里巴巴集团控股有限公司 | 窃听检测方法、数据发送方法、装置及系统 |
| CN106254072B (zh) * | 2016-10-18 | 2022-11-25 | 清华大学 | 一种量子密钥分发方法 |
| US10382141B2 (en) * | 2017-07-12 | 2019-08-13 | The United States Of America, As Represented By The Secretary Of Commerce | Communication linker for communication linking |
| CN108123803B (zh) * | 2018-02-14 | 2024-02-09 | 清华大学 | 一种量子密钥分发系统和方法 |
| CN108712254B (zh) * | 2018-06-20 | 2023-03-10 | 清华大学 | 一种量子密钥分发系统及方法 |
| US11258580B2 (en) * | 2019-10-04 | 2022-02-22 | Red Hat, Inc. | Instantaneous key invalidation in response to a detected eavesdropper |
| US11423141B2 (en) | 2020-02-10 | 2022-08-23 | Red Hat, Inc. | Intruder detection using quantum key distribution |
| US10951404B1 (en) * | 2020-06-09 | 2021-03-16 | Quantropi Inc. | Methods and systems for digital message encoding and signing |
| US11582030B2 (en) * | 2021-02-25 | 2023-02-14 | Oracle International Corporation | Secure distribution of entropy |
| US11641347B2 (en) | 2021-03-10 | 2023-05-02 | Quantropi Inc. | Quantum-safe cryptographic methods and systems |
| CN113259104B (zh) * | 2021-06-21 | 2021-10-26 | 南京大学 | 一种高抗噪性四态调制零差测量量子密钥分发方法和系统 |
| CN115276822B (zh) * | 2022-07-11 | 2024-04-19 | 清华大学 | 量子通信方法、装置、计算机设备、存储介质和程序产品 |
| CN117459153B (zh) * | 2023-12-26 | 2024-04-02 | 万事通科技(杭州)有限公司 | 一种光纤信道窃听检测装置 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07202880A (ja) | 1993-12-28 | 1995-08-04 | Nec Corp | 量子暗号方式 |
| EP0881558B1 (en) * | 1997-05-28 | 2003-04-16 | Siemens Aktiengesellschaft | Computer system for protecting software and a method for protecting software |
| JP2000174747A (ja) | 1998-12-07 | 2000-06-23 | Nippon Telegr & Teleph Corp <Ntt> | 量子暗号装置 |
| US6601170B1 (en) * | 1999-12-30 | 2003-07-29 | Clyde Riley Wallace, Jr. | Secure internet user state creation method and system with user supplied key and seeding |
| US6601169B2 (en) * | 1999-12-30 | 2003-07-29 | Clyde Riley Wallace, Jr. | Key-based secure network user states |
-
1999
- 1999-05-12 JP JP13198399A patent/JP3646561B2/ja not_active Expired - Fee Related
-
2000
- 2000-05-09 US US09/567,784 patent/US6801626B1/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2000324100A (ja) | 2000-11-24 |
| US6801626B1 (en) | 2004-10-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3646561B2 (ja) | 量子暗号を用いた鍵配布方法 | |
| KR100631242B1 (ko) | 양자 송신 장치, 양자 수신 장치, 양자 암호 통신 장치 및양자 암호 통신 방법 | |
| US7929690B2 (en) | Two non-orthogonal states quantum cryptography method and apparatus with inter-and inter-qubit interference for eavesdropper detection | |
| US7787628B2 (en) | Double phase encoding quantum key distribution | |
| US8650401B2 (en) | Network having quantum key distribution | |
| US7899183B2 (en) | Random number generating and sharing system, encrypted communication apparatus, and random number generating and sharing method for use therein | |
| US20050036624A1 (en) | Quantum cryptography | |
| US20220294618A1 (en) | Improvements to qkd methods | |
| Al‐Ghamdi et al. | On the security and confidentiality of quantum key distribution | |
| JP2000286841A (ja) | 量子暗号を用いた鍵配布方法 | |
| JP3542699B2 (ja) | 量子暗号の構成方法 | |
| Wang et al. | Efficient quantum key distribution via single-photon two-qubit states | |
| JPH11234265A (ja) | 情報セキュリティ通信装置および方法 | |
| WO1994008409A1 (en) | Quantum cryptography using discarded data | |
| Abbade et al. | Security in optical communication systems: data encryption and beyond | |
| Dodson et al. | Updating quantum cryptography report ver. 1 | |
| Denny | Faked states attack and quantum cryptography protocols | |
| Youplao et al. | A Simulation of Quantum Key Distribution Protocol with Enhancing Ability to Against PNS Attack | |
| WO2023096586A2 (en) | Quantum key generation method and system | |
| Grice et al. | Quantum Key Distribution for the Smart Grid | |
| Gupta et al. | Quantum cryptographic protocols for secure comunication | |
| Jiao et al. | Efficient and stable QKD scheme based on differential phase shift and polarization coding | |
| Venkatraman | Methods and implementation of quantum cryptography | |
| Houston III | Secure ballots using quantum cryptography | |
| Cincotti | On the security of spectrally encoded quantum-encryption protocols |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040928 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041126 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050118 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050131 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080218 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090218 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100218 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100218 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110218 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110218 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120218 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120218 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130218 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130218 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140218 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |