JP4358829B2 - Ｑｋｄシステムのウォッチドッグ検出器 - Google Patents

Description

本発明は量子暗号に関し、特に「双方向」折り返し型光学システムを用いた量子鍵配送（ＱＫＤ）を行う際の安全性を高めるための装置、および方法に関する。

量子鍵配送は、「量子チャネル」越しに送信された弱い光信号（例えば、平均で０．１フォトン）を用いて、送信者（「アリス」）と受信者（「ボブ」）との間で、鍵を設定することに関係する。鍵配送の安全性は、不確定状態にある量子系はどれでも測定するとその状態を変えるという、量子力学の原則に基づいている。結果として、量子信号を妨害あるいは測定しようとする盗聴者（「イブ」）は、送信信号にエラーを引き起こしてしまうため、その存在が明らかになる。量子暗号の一般的な原則は、ベネットとブラッザールの論文（非特許文献１参照）の中で、初めて発表された。具体的なＱＫＤシステムは、ベネットの特許文献１（以下、‘４１０特許と称す）に記載されている。

ベネット‐ブラッザールの論文と‘４１０特許は、それぞれいわゆる一方向型ＱＫＤシステムについて述べている。一方向型ＱＫＤシステムとは、アリスが単一光子の偏光をランダムに暗号化して、ボブがそれら光子の偏光をランダムに測定するものである。‘４１０特許に述べられている一方向型システムは、二光束マッハ・ツェンダー干渉計に基づいている。アリスとボブは、干渉計の位相を制御できるように、干渉計の各部にアクセスすることが可能である。アリスからボブに送信された信号（パルス）は、時分割され、異なった経路をたどる。従って、干渉計は、熱ドリフトを補正するために、伝送中は数十ナノメートルの精度で常に安定化している必要がある。これは、送信距離がキロメートル単位で測定されるような実際のアプリケーションにとって、通常不便である。

本明細書で参照することにより本明細書に組み込まれる、ギシンの特許文献２（以下、‘２３４特許と称す）では、偏光や熱ゆらぎを自動補正する、いわゆる「双方向」型ＱＫＤシステムについて開示されている。

図１は、‘２３４特許によるＱＫＤ装置に、さらに光遅延ラインＤＬを加えた概略図である。光遅延ラインＤＬの役割は以下に述べる。

この装置は、光ファイバ３で接続されたアリスとボブを備えている。ボブは、２×２型カプラ１２を有する。原理上は、ボブ側は、一つの長い腕がアリスに延びている非対称なマイケルソン干渉計である。ボブ側は、パルスレーザ１０と、第１カプラ１１と、ファラデーミラー１６と、第２カプラ１２と、位相変調器１３と、第２ファラデーミラー１４と、単一光子検出器１７とを有している。パルスレーザ１０は、例えばＤＦＢレーザであればよく、例えば１ＭＨｚの繰返し数で、例えば１３００ｎｍで３００ピコ秒（ｐｓ）の長パルスを発する。アリス側は、カプラ２０と、「通常」の検出器２３（すなわち、非単一光子検出器）と、位相変調器２１と、ファラデーミラー２２と、検出器２３で制御されるアッテネータ２４とを有している。

ボブは、アリスに、短くかつ比較的強いレーザパルスを送信することによって、送信を初期化する。カプラ１２に到着したパルスは、図示しないＰ１とＰ２の二つの部分（パルス）に分割される。Ｐ１は、直接アリスに向かい、Ｐ２は、まずミラー１４と１６（遅延ライン）で、一往復分だけ遅延させられる。パルスＰ１とＰ２は、アリスに向かって、ファイバを下っていく。二つのパルスは、カプラ２０で分割される。その際、弱いパルスを位相変調器２１を介して送信するために、大部分のパルスが検出器２３に向かうように分割される。ビットを暗号化するために、アリスはミラー２２で第１パルスＰ１を反射させる。しかし、第２パルスＰ２については、ファラデーミラー２２の前に配置された位相変調器２１を用いて、その位相を変調する（位相シフトΦ_A）。その後、二つのパルスはボブに戻る。

ボブ側での検出は、同様な遅延ライン１４〜１６におけるＰ１の遅延部により行われる。ボブは、パルスＰ２を変化させずに通過させるが、ミラー１４の前に配置された位相変調器１３で第１パルスＰ１の位相を変調する（位相シフトΦ_B）。それから、このパルスは、Ｐ２に干渉する。アリスとボブの位相変調器が共に停止、あるいはΦ_A−Φ_B＝０（つまり、パルスＰ１とＰ２には、同じ位相シフトがなされている）であれば、強めあう干渉となる（２つのパルスは、全く同じ経路をたどる）。しかし、アリスもしくはボブが、二つのパルス間の位相設定を変更した場合、干渉は相殺されてしまう可能性もある。Φ_A−Φ_B＝πの場合、干渉は完全に相殺される。

この場合は、単一光子検出器１７において、光は検出されない。なお、位相シフトが異なる場合に得られる干渉は、完全に相殺されることが重要である。これによって、ボブが検出イベントを得る場合に、アリスが異なった位相を用いていない、従って、ボブと同じ位相を用いたことを確実に特定できるのである。

カプラ２０は、ほとんどの光を検出器２３に送信するため、この検出器はＰＩＮ光ダイオードなどの従来の検出器である。さらに、カプラ２０は、図示しない盗聴者に対する防護を確実に行うために必要な単一光子レベル（平均）を下回るまで、信号を減衰させる働きをする。さらに、検出器２３では、ボブからの入力信号の強度を監視する働きをすることも可能であり、いわゆる「トロイの木馬」攻撃を監視する。「トロイの木馬」は、盗聴者が、位相シフトされた反射パルスの値を読み取るために、アリスに強い探知パルスを送信するものである。
米国特許第５，３０７，４１０号公報 米国特許第６，４３８，２３４号公報 Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ ｃｏｉｎ ｔｏｓｓｉｎｇ， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒｓ、Ｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，１９８４，ｐｐ．１７５−１７９（ＩＥＥＥ、Ｎｅｗ Ｙｏｒｋ、１９８４）

ギシンらの論文（“Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ，” Ｒｅｖ． Ｍｏｄ． Ｐｈｙｓ．，Ｖｏｌ．７４、Ｎｏ．１、Ｊａｎｕａｒｙ ２００２、１７２−１７３ページ）中で議論されているように、反射ＱＫＤシステムの本質である双方向性によって、レイリー後方散乱が懸念される。図１をさらに示すように、ボブにより光ファイバ３に放射された光パルスＰ１とＰ２は、光ファイバの材料の不均質性により散乱される。この光のごくわずかな部分（〜１％）が、ファイバに再度取り込まれ、ボブに向かって後方に送信される。上記の後進光は、アリスからボブに戻る位相暗号化された信号と結合し得る。そのため、ボブにおいて誤ったカウントがなされる可能性がある。

上記課題を解決するために、‘２３４特許と図１に示されたＱＫＤシステムは、ボブによって送信されたパルス列が格納されている前述の光遅延ラインＤＬ（例えば、光ファイバスプール）を、アリスにさらに備える必要がある。これにより、ボブに向かう、あるいはボブからやってくるパルスが、ボブとアリスを連結している光ファイバ３内に同時に存在しないことが保証される。

レイリー後方散乱の課題を解決する他の方法としては、より弱いパルスをボブから送信させるものがある。しかし、このアプローチを成功させるためには、システムは減衰を抑える必要がある。例えば、アリスのカプラ２０から、はるかに少量の光を検出器２３に送ることが可能でなければならない。困ったことに、これによって、システムは盗聴に対して脆弱になってしまう。これは、イブが、検出器２３に検出されないだけの十分に弱い探知パルスを用いることができるからである。検出器２３は、何百もの光子、あるいはそれ以上のオーダの光信号でなければ、検出できないのである。

特に、図１の双方向型システムは、検出器２３の検出感度が不足することで、２種類の攻撃に対して脆弱になる。一つは、トロイの木馬攻撃であり、他方は、「中間者」攻撃である。トロイの木馬攻撃の例では、盗聴者イブは、量子チャネルに侵入して、アリスに比較的弱く、かつ短い探知信号を送信する。この探知パルスは、アリスがパルスに伝える位相情報を得るために、ボブが送信するパルスと、同時もしくはほぼ同時（あるいは、中心周波数かその近傍）に、アリスの位相変調器２１に送られるよう調整される。ボブからアリスに送信された信号は、アリスで変調されボブに送り返された信号であって、探知パルスの影響は受けないままである。再掲すると、弱い探知パルスに関して、従来の検出器２３ではこのような攻撃を検出できない。

中間者攻撃では、イブは、アリスとボブの間にイブの装置を設置して、アリスかボブであるかのように装う。イブは、適切な時間と周波数に関する位相変調器の設定を確定するために、アリスに送信される弱い信号を準備することが可能である。さらに、イブはアリスによって変調された信号の複製を作り、その複製信号を、ボブが受信した信号と同一であるかのように光ファイバ上にのせる。イブは、アリスの元信号について学習すると、それに対応する位相シフトを行う。チャネル中のロスのため、イブはタイムビンのわずかな部分を学習するだけでよい。これによって、このような種類の攻撃は非常に強力なものとなる。

再掲すると、通常の検出器２３は、設置されているとしても、弱い信号（すなわち、何千もの光子よりも少ない光子数の信号）に対する検出感度が十分ではないため、このような攻撃を防ぐことはできない。

本発明の一態様は、双方向型量子鍵配送システムのための反射鍵暗号化ステーションである。本システムは、位相変調器と、送信鍵暗号化ステーションから位相変調器を介して到着する放射パルスを反射するよう配置された、ファラデーミラーとを備えている。本システムは、位相変調器に連結されているコントローラも備えている。コントローラは、放射パルスの一つを変調するために位相変調器を駆動させる必要があることから、位相変調器に第１ゲート信号を提供する。本システムは、コントローラに連結され、反射鍵暗号化ステーションに入力、および／または反射鍵暗号化ステーションから出力する光パルスを検出するために、コントローラからの第２ゲート信号をゲートする、単一光子検出器をさらに備えている。

本発明の他の態様は、双方向型量子鍵配送（ＱＫＤ）システムの安全性を向上させる方法である。本方法は、単一光子検出器を有する反射鍵暗号化ステーションを提供し、かつ単一光子検出器を用いて、鍵暗号化ステーションに入力、および／またはステーションから出力される光パルスを監視することを含む。

２つの場所間で慎重を期する情報を送信する場合に、安全性が強化された装置や方法を得ることができる。

本発明は、量子暗号の分野に関し、量子暗号の分野で工業的実用性を有する。特に、２つの場所間で慎重を期する情報を送信する場合に、安全性の強化を必要とする装置や方法に対して工業的実用性を有する。
［装置］
図２は、図１で図示されたものと同様な折り返し型ＱＫＤシステム２００の概念図であるが、主要部のみを示すために簡略化されている。システム２００は、鍵暗号化ステーション、すなわち、送信／受信ステーションであるボブと、反射ステーションであるアリスとを有する。以下、単にボブ、アリスとして称する。盗聴者イブも、図２に示されている。

ボブ
ボブは、光パルス２０４を発光するレーザ２０２を有する。レーザ２０２は、入力端２０８Ａ、入力／出力端２０８Ｂ、および出力端２０８Ｃを有する時間多重化／逆多重化光学システム２０６に連結されている。光学システム２０６は、入力端２０８Ａで入力パルス２０４を受信し、各パルスを２つの時間多重化されたパルス（図示せず）に分割し、それらのパルスを入力／出力端２０８Ｂに出力する。同様に、光学システム２０６は、アリスから来る時間多重化されたパルスのペアを入力／出力端２０８Ｂで受信し、受信したパルスを単一パルスに合体（干渉）する。合体されたパルスは、出力端２０８Ｃの外へ導かれる。

単一光子検出器２１６は、出力端２０８Ｃで光学システム２０６に連結されている。位相変調器（ＰＭ）２２０は、光学システムの入力／出力端２０８Ｂに連結されている。ボブは、ＰＭ２２０の下流に配置され、４つのポート２２８Ａ〜２２８Ｄを有する光切替／分割部２２６も有する（ビームスプリッタの場合には、上記４つのポートは単に、軸２２８Ａ〜２２８Ｄとなる）。実施例として、光切替／分割部２２６は、通常の２×２型ビームスプリッタである。他の実施例として、光切替／分割部２２６は、駆動光スイッチであってもよい。ＰＭ２２０は、ポート２２６Ａに接続されている。実施例では、以下に述べるように、ミラー２３０が、補正を行うためにポート２２６Ｂに連結されていてもよい。ボブとアリスを接続する光ファイバ２４０は、ポート２２６Ｃに連結されている。

ボブは、さらに、コントローラ２４８を有している。コントローラ２４８は、レーザ２０２と、検出器２１６と、ＰＭ２２０と、光切替／分割部２２６が切り替え可能である場合にはポート２２８Ｄで光切替／分割部２２６とに、動作可能なように（例えば、電気的に）連結されている。

アリス
アリスは、光切替／分割部２２６と同様な光切替／分割部２６０を有している。光切替／分割部２６０は、一般的に４つのポート（軸）２６２Ａ〜２６２Ｄを有する。実施例として、光切替／分割部２２６はビームスプリッタ（例えば、２×２型カプラ）であれはよく、他の例としては、駆動光スイッチであってもよい。光ファイバ２４０は、ポート２６２Ａに連結されている。可変光学アッテネータ（ＶＯＡ）２６４は、光切替／分割部２６０の下流に配置され、同部２６０にポート２６２Ｃで連結されている。位相変調器（ＰＭ）２６６は、ＶＯＡ２６４の下流に配置され、ＶＯＡ２６４に光学的に連結されている。ファラデーミラー２７０はＰＭ２６６の下流に配置され、ＰＭ２６６に光学的に連結されている。

アリスは、光切替／分割部２６０のポート２６２Ｄに連結された光子発光デバイス２８０（例えば、レーザ）と、同部２６０のポート２６２Ｂに連結された単一光子検出器２８６とを、さらに有している。以下、単一光子検出器２８６は、「ウォッチドッグ検出器」、あるいはＷＤＤ２８６と称す。これは、単一光子検出器２８６が、アリスに対して行なわれる可能性のある様々な探索攻撃に対して、監視者のように振る舞うからである。この観点から、本発明は、従来のＱＫＤシステムと比して、双方向型ＱＫＤシステムの安全性向上において、工業的実用性を有するものである。

実施例として、ＷＤＤ２８６は、パルスＰ１やＰ２とは異なる波長を持つ光信号（例えば、探知信号Ｐ３）を検出するために、かなり広いスペクトル検出感度を有する。実施例として、ＶＯＡ２８２は、光子発光デバイス２８０の経路に任意に配置されている。

また、アリスは、コントローラ２８８を有している。コントローラ２８８は、ＰＭ２６６と、光子発光デバイス２８０と、ＶＯＡ２６４と、ＷＤＤ２８６と、任意にＶＯＡ２８２と、光切替／分割部２６０が切り替え可能である場合には光切替／分割部２２６とに、動作可能なように（例えば、電気的に）連結されている。

コントローラ２４８および２８８は、（例えば、電気的あるいは光学的に）リンクされている。これは、アリスとボブの動作を同期させるためである。特に、位相変調器２２０および２６６、検出器２１６、並びにＷＤＤ２８６の動作は、アリスとボブ間で鍵が交換された時のゲート信号を用いて、コントローラ２４８および２８８で調整される。

光切替／分割部２６０がビームスプリッタである場合、２６０の伝達比は、透過率約９０％／１０％で変化してもよい（すなわち、光ファイバ２４０からＶＯＡ２６４までの送信は９０％であり、光ファイバ２４０からＷＤＤ２８６へは１０％である）。これに対して、光子発光デバイス２８０からＷＤＤ２８６へは９０％であり、ＶＯＡ２６４からＷＤＤ２８６へは１０％である。

［想定される動作］
以下の想定は、システム２００の動作を考慮するに当たってなされたものである。第１に、アリスは、ランダムに短い既知の時間間隔で、ＰＭ２６６において可能な位相設定の１つを選択すると想定する。そのため、ＰＭ２６６の設定情報は、この間隔外から取り出すことができない。これは、例えば、コントローラ２８８からＰＭ２６６に送信されるゲート信号Ｓ１を用いて行われる。第２に、アリスは、検出器２８６のバンド幅外の波長を用いようとする盗聴を抑えるために配置された、狭帯域フィルタ（図示せず）を任意に有すると想定する。第３に、イブは、アリスにおける検出器２８６、もしくはボブにおける検出器２１６の量子的効率、あるいはアリスもしくはボブのロス（減衰）を変えることができないと想定する。第４に、イブは、光ファイバ２４０にフルアクセス可能であり、光ファイバ越しに送信された光信号を変調、ブロック、あるいは置換することができると想定する。

さらに、イブは、ＰＭ２６６の状態を探知する能力を制限されている（例えば、探知ビームをアリスを通して送信する）。従って、イブは以下を行うことができると想定する。

１）接触なしにボブ→アリス→ボブと信号を送り続け、探知信号を加えることで、トロイの木馬攻撃を行う。
２）ボブ→アリス→ボブと送信された信号をブロックし、イブ自身の信号に置き換えることで、中間者攻撃を行う。
３）上記１）と２）の組合せを使用して、量子鍵情報を最大限得ようとする。

アリスとボブ間の通信をイブに盗聴されないためには、以下が要求される。
１）ボブの検出器２１６が、適切に調整されること。
２）アリスからボブへの位相変調されたパルスが、パルス当たりの平均光子数μであること、およびシステムの安全性分析に依存すること。ここで、μはあらかじめ定義されていてもよい。
３）ＷＤＤ２８６が、確実にμを一定とするよう調整され、かつ正しく設定されていること。
４）光ファイバ２４０におけるロスは、ロスの測定における基準と比較しながら監視されること（例えば、ロスの測定は、光ファイバ２４０が設置された時に行われる）。これは、ファイバに対する環境もしくは物理的な変化による信号の減衰が、認識可能かつ特定の値を超えないようにして行われる。

［動作方法］
図２にさらに示すように、システム２００の動作において、時間多重化／逆多重化光学システム２０６によって、パルス２０４は２つの別個のパルスＰ１とＰ２に分離される。図１の従来のＱＫＤシステムに対して、パルスＰ１とＰ２は、比較的弱いパルスである。パルスは、ＰＭ２２０に向かって光学システムの入力／出力端２０８Ｂを出て行く。ＰＭ２２０は、パルスが変調されずに通過可能なようにゲートされている。パルスＰ１とＰ２は、次に光ファイバ２４０越しにアリスへ送られる。パルスＰ１とＰ２は、光切替／分割部２６０とＶＯＡ２６４を通過する。そこでは、必要であれば、パルスを減衰可能である。次に、パルスは、ＰＭ２６６を通過し、ファラデーミラー２７０で反射され、再度ＰＭ２６６に送り返される。

ＰＭ２６６を介したパルスＰ１とＰ２の通過に際して、ＰＭはパルスの１つ（例えば、Ｐ１）を変調する。これは、コントローラ２８８によって行われ、コントローラ２８８では、パルスＰ１がＰＭ２６６を通過する際に、ＰＭ２６６を短時間で駆動させる、間合いの取れたゲート信号Ｓ１（すなわち、パルス間のタイムセパレーションよりも小さい）を送信する。次に、パルスＰ１とＰ２は、ＶＯＡ２６４を通って送り返される。ＶＯＡ２６４では、必要であれば、再度パルスを減衰してもよい。次に、パルスは、光切替／分割部２６０が光スイッチであるかビームスプリッタであるかによって、またシステムの動作モードにもよって、完全にＷＤＤ２８６に偏向されてボブにそのまま戻るか、あるいはパルスの１つもしくは各々のパルスの一部がＷＤＤ２８６に偏向される。

パルスＰ１およびＰ２と光切替／分割部２６０との相互作用について、以下に詳細に述べる。パルスＰ１とＰ２は、ボブと、パルスがＰＭ２２０に進むことを許可する光切替／分割部２２６とに直接送り返されると、当面は想定する。ＰＭ２２０は、選択的位相変調値の１つを用いてランダムにパルスＰ２を変調する。これは、ＰＭ２２０に間合いの取れたゲート信号Ｓ２を提供する、コントローラ２４８により行うことができる。ゲート信号Ｓ２は、パルスＰ２がＰＭ２２０を通過する短い時間の間に位相変調器を駆動させるものである。

変調されたパルスＰ１とＰ２は、光学システム２０６に進む。光学システム２０６は、パルスを結合し、この結合パルスを出力端２０８Ｃの外部へ、検出器２１６に向かわせる。検出器２１６は、結合パルスを受信し、コントローラ２４８に信号を出力する。信号は、ＰＭ２６６と２０６によって、各々パルスＰ１とＰ２に伝えられる相対位相に対応している。

［ＷＤＤの動作］
ボブとアリスが、量子鍵を設定する過程で弱いパルスの交換を初期化する際、実施例では、ボブからアリスに到着するパルス数、およびアリスを出てボブに向かうパルス数をカウントするために、ＷＤＤ２８６を使用した。このカウントは、ＰＭ２６６がパルスＰ１を変調するために駆動された時に行われる。

上述のように、アリスのコントローラ２８８は、ＰＭ２６６を駆動させるために、間合いの取れたゲート信号Ｓ１を送信する。これは、ＰＭ２６６を通過するパルスＰ１の位相を変調するためである。しかし、実施例では、コントローラ２８８は、ＷＤＤゲート信号ＳＤもＷＤＤ２８６に送信している。信号ＳＤは、イブからの弱い探知パルスＰ３をＷＤＤ２８６で検出するために、ＷＤＤ２８６を駆動するよう調整されている。探知パルスＰ３は、アリスに潜入し、わずかな動作時間の間にＰＭ２６６の位相設定を検出するように設計されている。実施例では、ゲート信号Ｓ１とＳＤが同じになるよう、光切替／分割部２６０とＷＤＤ２８６、および光切替／分割部２６０とＰＭ２６６間の光経路長が等しくなるよう設計されている。光経路長が異なる場合には、タイミング差をうめるために、ゲート信号Ｓ１とＳＤのタイミングが調整される（すなわち、時間遅延が導入される）。

光切替／分割部２６０がビームスプリッタである場合、パルスＰ１とＰ２の一部（例えば、１０％）は、ＷＤＤ２８６に向かう。これにより、アリスに到着する単位時間当たりのパルス数を測定することができる。ボブからアリスに到着する平均のパルス数は、盗聴者がいなければ、特定の時間窓において一定であり、所定値を超えるべきではない。しかし、ＷＤＤ２８６によってカウントされるパルス数が所定値を超えて増加した場合、余分のパルスは、盗聴者によるものであると想定でき、鍵配送の工程は終了する。

アリスから出力されるパルス数のカウント
実施例では、アリスから出ていくパルス数もカウントされる。これは、イブが、限られたタイムスロット数で強いパルスをアリスに送信していないことを保証するためである。ＷＤＤ２８６は、単一光子検出器であるため、単一光子パルスか多重光子パルスかを区別することは不可能である。

しかし、アリスに入力するパルス（μ_IN）、またアリスから出力するパルス（μ_OUT）の所定の時間間隔にわたるＷＤＤ２８６からの時間間隔当たりの平均光子数（あるいは、平均カウント数（「クリック」））を比較することで、イブの存在が明らかになる。

アリスのＶＯＡ２６４は、パルスがボブに戻る前に、所定の強度で通過するパルス（あるいは、パルス当たりの光子数）を減衰する。アリスに入力およびアリスから出力される平均光子数は、アリスでの減衰のために（すなわち、μ_IN≠μ_OUT）強い探知パルスがない場合には、一般的に、所定時間間隔において異なっている。しかし、イブが、ＰＭ２６６の状態に関する情報を得ようとして、アリスに強い探知パルスを送信する場合、アリスから出力されるパルスのＷＤＤ２８６における平均カウント数は、アリスに入力されてくるパルスの平均カウント数と等しく（あるいは、ほぼ等しく）なる（すなわち、μ_IN≒μ_OUT）。

従って、ＷＤＤ２８６は、アリスに入力およびアリスから出力されると考えられる光子数に関連するポアソン統計量を確認する。

図３Ａは、アリスに入力、および／またはアリスから出力されるパルス数をカウントするための配置例を示すアリスの拡大概略図である。図３において、光切替／分割部２６０は、ポート２６２Ａ〜２６２Ｄを含む２×２型カプラである。ポート２６２Ａには、光ファイバ２４０が連結されている。光ファイバ部３０２と３０４は、ポート２６２Ｂと２６２Ｃに連結されている。追加の光ファイバ部３０６は、ポート２６２Ｄに連結され、カプラをＶＯＡ２６４、ＰＭ２６６、ファラデーミラー２７０に接続している。光ファイバ部３０２と３０４は、単一ファイバ部３１０に継ぎ合わされている。単一ファイバ部３１０は、光学的にＷＤＤ２８６に連結されている。

本動作において、入力パルス３２０は、パルスの半分（パルス３２０’とする）が光ファイバ部
３０４を通過して、ＷＤＤ２８６で検出されるように、光切替／分割部（カプラ）２６０によって分割される。さらに、出力パルス３３０は、パルスの半分（パルス３３０’とする）が光ファイバ
部３０２を通過して、ＷＤＤ２８６で検出されるように、光切替／分割部（カプラ）２６０によって分割される。ＷＤＤ２８６は、入力および出力パルスを認識するために、コントローラ２８８でゲートされる。

図３Ｂに示される同様な実施例においては、２つのＷＤＤ２８６Ａと２８６Ｂが使用される。ここで、ＷＤＤは各々、光ファイバ部である３０２と３０４に連結されている。

図１で示すように、他の実施例では、光切替／分割部２６０は光スイッチであり、入力および出力パルスは、ランダムにスイッチを駆動することでカウントされる。その際、光ファイバ２４０からＷＤＤ２８６への光経路を方向付けるためにコントローラ２８８を用いる。これらの組み合わせで、ＷＤＤ２８６は、ＷＤＤ２８６に向かう放射パルスを検出するためにゲートされる。実施例では、スイッチングとゲーティングのタイムビンを選択するために、コントローラ２８８に位置するランダム数生成器ＲＮＧが使用される。

アリスとボブの検出器自動調整
システム２００の物理的な安全性を維持する重要な鍵は、アリスとボブを別個に適応させ、調整できるということである。アリスとボブ共に、安全ではない光ラインを通じて送信された光子を使用せずに、μを独立に選択できることが好ましい。そうでなければ、盗聴者が、パルスの強度を変更することが可能となってしまう（増幅、あるいは置換するなど）。その結果、ノード調整の質が落ち、悪意ある目的にパルスが使用されることになる（例えば、探知パルスのパワーを増加させたり、パルス当たりの平均光子数μとして安全ではない値を使用するように、アリスに強制したりするなど）。

従って、実施例では、光子発光デバイス２８０は、ボブから独立してＷＤＤ２８６を調整するために用いられる。ＷＤＤ２８６を調整するために、コントローラ２８８は、光子発光デバイス２８０とＷＤＤ２８６間の光経路を確立するように、光子発光デバイスを駆動する。また、光切替／分割部２６０が駆動スイッチであれば、状況に応じて２６０を制御する。実施例では、単一光子を含む、あるいは選択的なパルス当たりの平均光子数μ（例えば、パルス当たりμ＝０．１フォトン）を含む出力調整ビームＢＣを生成するために、可変光学アッテネータ（ＶＯＡ）２８２を光子発光デバイス２８０の前に配置する。

同様に、ボブは、アリスから来る信号を使用することなく、検出器２１６の調整が可能である必要がある。従って、実施例では、ボブは、光切替／分割部２２６を経てミラー２３０に、次に光学システム２０６を経て検出器２１６に、一つ以上の光パルス２０４（あるいは、Ｐ１および／またはＰ２）の一部または全部を反射することで、自身の検出器を調整する。次に、検出器２１６は、コントローラ２４８に調整信号を送信する。コントローラ２４８には、検出器の調整を独立して行うための調整信号にうめこまれた情報が保存されている。ここで、ＢＢ８４の構成において、実際に、ボブが、調整の必要な二つの検出器を備えていることについて言及しておく。

ここでは、光子発光デバイス２８０とレーザ２０２が、各々、内部調整デバイスを含んでいると想定している。あるいは、コントローラ２８８と２４８において、各々、デバイス／レーザ調整が可能であることを想定している。

［ＷＤＤによる盗聴の制限］
盗聴に際して、イブは古典的なパルスを使用していると想定する。従って、イブが用いるいかなる量子状態もロスに対して脆弱である。また、アリスは、レイリー散乱を大きく増加させないためには十分小さいが、イブが用いる量子レベル（すなわち、弱い）にある探知パルスの量子相関を破壊するには十分高いロスを有している。

イブが所定の条件で、アリスを探知して受信可能な相互情報量の束縛条件を発見するためには、推定理論を用いることが可能である。一般的に、以下に述べるように、情報の漏洩は、秘密増幅段階で考慮され得る。アリスを探知し、しかもボブの検出器２１６あるいはＷＤＤ検出器２８６の量子効率を変更するために、イブが用いる可能性のある抜け穴をできる限り最小にするためは、検出器調整工程を行うことが好ましい。

第１に、ボブから光信号（パルス）は送られて来ず、アリスが入力および出力信号の両方を測定している場合を考える（ここでは、アリスの位相変調器２６６が作動中であると想定する）。ここでの課題は、ＷＤＤ２８６の信号の平均が与えられる、ＰＭ２６６の実際の位相設定に関して、盗聴者が得ることのできる情報の計算を行うことである。所定のタイムスロットの平均光子数が扱いやすい。平均光子数は、＜ｎ_i＞と表す。ここで、ｉ＝Ａ、Ｂ、Ｅ（アリス、ボブ、イブ）である。本システムにおける、次のパラメータは、アリスにおけるロスである。アリスは、いくらかのロスを加える。加えなければ、イブが測定に際し、正しい単一光子源を使用し、利益を得てしまう。アリスにおけるロスは比較的小さいと想定されるが、それでも盗聴者による正しい単一光子源の悪用などを防ぐには、まだ不十分である。

アリスにおいて前述のロスが存在する場合には、イブは、弱い探知パルスを生成するために、弱い相関パルス源を使用するしかない。Ｌ_Aは、アリスにおけるワンパスのロスを示し、イブが平均光子数＜ｎ_E＞を有する、弱い相関パルス（ＷＣＰ）源を使用していると想定する。

イブがアリスからやってくる全ての光子を解読でき、また、タイムスロットが１つあるいは２つの光子を含んでいることなどを、正確に把握していると想定することは適切である。なお、イブが量子非破壊（ＱＮＤ）を有していないとすると、イブはタイムビンを全て測定する必要がある。アリスの空もしくは満杯のタイムビンを解読できると、イブは、ＰＭ２６６の位相情報を得るために必要な探知パルスの数を制限することができる。従って、アリスのノード内部のロスにより、入力される平均光子数は、探知パルスと近い値、あるいはより高い値にすらなる。

イブがパルスを有していない確率は、ポワソン分布により定義されるクリックなしの確率であり、以下のように表される。

Ｓ₀＝ｅｘｐ（−Ｔ_A＜ｎ_E＞） （０．１）
ここで、Ｔ_A＝（１−Ｌ_A）²は、アリスの２重パス透過性を示す。アリスから出力される平均光子数は、１より小さいと仮定する（すなわち、μ_OUT＜１）。再度、簡単にするために、ＷＤＤ２８６は、以下の条件でこの問題を簡単に解けるとする。

＜ｎ_E＞≒＜ｎ_B＞ （０．２）
従って、ＷＤＤ２８６は、平均光子数＜ｎ_i＞の倍増を解決できる。信号がアリスから出た後、ボブに入力される平均光子数はＴ_A＜ｎ_B＞となる。Ｔ_A＜ｎ_E＞の量は、イブから送信された探知信号の平均光子数となる。ボブに入力されるパルスあたりの平均光子数は、μと等しくならねばならない。これは、安全な送信のために、十分に低い値に維持される（例えば、μ＜０．１）、「マジック」光子数である。従って、以下は望ましい評価である。

Ｔ_A＜ｎ_B＞≒Ｔ_A＜ｎ_E＞ （０．３）
ここで、μが小さい数であることを利用して、鍵の値、特にタイムスロットの値を測定しているイブの確率は、以下のように抑えることができる。

Ｔ_A＜ｎ_B＞・Ｔ_A＜ｎ_B＞≒μ² （０．４）
上記（０．４）式は、「衝突確率」と呼ばれる。これは、本方法を用いると、イブが測定している、アリスからの光子を少なくとも一つ含むタイムスロットの確率は、μよりも小さいことを意味している。さらに、イブは、単一光子パルスから全ての情報を取り出すことができない（具体的には、イブは、両ベースにおいて完全な情報を同時に取り出すことができない）。

μ＝０．１であるとすると、イブはタイムスロットの１０％の情報を得ることになり、これは、秘密増幅時に考慮され得る。情報の１０％は、送信におけるエラーの５％に対応しており、これはまだ、秘密増幅によって行われる可能性がある。

中間者攻撃に対処するために、アリスは、出力信号のレベルをμと同等な低いレベルに維持する。これにより、「通常の」ＢＢ８４プロトコル（２つの光子イベントが同じ方法で扱われる）で盗聴者が行うものと同じ方法で、イブが両方の相補的ベースにおける情報を測定することを防ぐのである。有利なことに、物理的な安全性は、ここでも量子論によって扱われ、不確定性原理によって守られる。

従って、アリスにとって、入力光パルスを監視し、出力流量をタイムスロット当たりの平均強度μに保つことは有益である。上記議論から、秘密増幅に利用するために十分低い相互情報量が保証される。イブが弱い相関パルスによりアリスを探知しようとしても、イブは、μの値に依存する所定の束縛を超えた情報を得ることはできない。むしろ、イブは、ＱＫＤシステムの安全性全体には影響を与えずに、鍵のレートを減少させるだけなのである。

以上、本特許出願は、２００３年２月７日に出願された、米国仮特許出願第６０／４４５，８０５号と、２００３年９月２５日に出願された、米国特許出願第１０／６７０，９７９号とから、優先権を主張する。

本発明は、量子暗号の分野に関し、量子暗号の分野で工業的実用性を有する。特に、２つの場所間で慎重を期する情報を送信する場合に、安全性の強化を必要とする装置や方法に対して工業的実用性を有する。

‘２３４特許に記載された従来の折り返し型ＱＫＤシステムに、レイリー散乱を抑えるための遅延ラインをさらに有する、折り返し型ＱＫＤシステムの概略図。 折り返し型ＱＫＤシステムの安全性を向上させるウォッチドッグ検出器と関連構成要素を有する、折り返し型ＱＫＤシステムの概略図。 １つのＷＤＤを使用して、アリスに入力および／またはアリスから出力されるパルス数をカウントする配置の例を示す、アリスの拡大概略図。 ２つのＷＤＤを使用して、アリスに入力および／またはアリスから出力されるパルス数をカウントする配置の例を示す、アリスの拡大概略図。

符号の説明

２００ ＱＫＤシステム
２０２ レーザ
２０４ 光パルス
２０６ 光学システム
２１６ 検出器
２２６，２６０ 光切替／分割部
２４０ 光ファイバ
２４８，２８８ コントローラ
２６６ 位相変調器
２８０ 光子発光デバイス
２８６ ＷＤＤ検出器

Claims (13)

1. 双方向型量子鍵配送（ＱＫＤ）システムのための鍵暗号化ステーションであって、
   位相変調器と、
   前記位相変調器を介して送信／受信鍵暗号化ステーションから到着する放射パルスを反射するよう配置されたファラデーミラーと、
   前記放射パルスの一つを変調するための前記位相変調器を駆動させるために、第１ゲート信号を前記位相変調器に供給する、前記位相変調器に連結されたコントローラと、
   前記コントローラに連結され、所定の時間間隔で前記鍵暗号化ステーションに入力、および／または前記鍵暗号化ステーションから出力される放射パルスを検出するために、前記コントローラからの第２ゲート信号でゲートされる、単一光子検出器と、
   を備え、
   前記光子検出器およびコントローラは、所定の時間間隔で前記鍵暗号化ステーションに入力および前記鍵暗号化ステーションから出力される放射パルスの数を比較して、入力される放射パルスのいずれかが前記送信／受信鍵暗号化ステーションによって送信されなかったかどうかを判断する、
   鍵暗号化ステーション。
2. 前記放射パルスの一部を前記単一光子検出器に導くよう配置された、ビームスプリッタをさらに備えた、請求項１に記載の鍵暗号化ステーション。
3. 前記単一光子検出器に調整用放射ビームを供給するよう配置された、光子発光デバイスをさらに備えた、請求項１に記載の鍵暗号化ステーション。
4. 少なくとも前記放射パルスの一部を前記単一光子検出器に導くよう配置された、光カプラを備えた、請求項１に記載の鍵暗号化ステーション。
5. 前記放射パルスを前記単一光子検出器に選択的に反射するよう配置された、光スイッチを備えた、請求項１に記載の鍵暗号化ステーション。
6. 前記単一光子検出器に光学的に連結され、前記単一光子検出器を調整するために単一光子パルスを発光するよう調整された光子発光デバイスをさらに備えた、請求項１に記載の鍵暗号化ステーション。
7. 双方向型量子鍵配送（ＱＫＤ）システムの安全性を向上させる方法であって、
   単一光子検出器を備えた鍵暗号化ステーションを提供し、
   前記単一光子検出器を用いて、所定の時間間隔で前記鍵暗号化ステーションに入力、および／または前記鍵暗号化ステーションから出力される所定の波長を有する放射パルスを検出し、
   前記所定の時間間隔で入力される平均の放射パルス数と出力される平均の放射パルス数とを判断し、
   前記入力される平均の放射パルス数と前記出力される平均の放射パルス数とを比較して、盗聴者の存在を検出する、
   方法。
8. さらに、前記鍵暗号化ステーションに備えられた光子発光デバイスを用いて、前記単一光子検出器を調整する、請求項７に記載の方法。
9. 前記単一光子検出器が、前記鍵暗号化ステーションにおける位相変調器が駆動している時間に対応した放射パルスを検出するように、前記単一光子検出器をゲートする、請求項７に記載の方法。
10. 前記単一光子検出器をゲートするためにコントローラから前記単一光子検出器にゲートパルスを送信する、請求項９に記載の方法。
11. 前記入力される放射パルスのいくらかを前記単一光子検出器にランダムに導くために光スイッチをランダムに駆動させ、
    前記ランダムに導かれた入力される放射パルスを検出するために、前記単一光子検出器をゲートする、
    請求項７に記載の方法。
12. 前記出力される放射パルスのいくらかを前記単一光子検出器にランダムに導くために光スイッチをランダムに駆動させ、
    前記ランダムに導かれた出力される放射パルスを検出するために、前記単一光子検出器をゲートする、
    請求項１１に記載の方法。
13. 前記入力および出力される放射パルスのいくらかを前記単一光子検出器にランダムに導くために光スイッチをランダムに駆動させ、
    前記ランダムに導かれた入力および出力される放射パルスを検出するために、前記単一光子検出器をゲートする、
    請求項７に記載の方法。

Images