JP4759697B2 - 差動位相シフト変調量子鍵配送 - Google Patents

Description

本発明は、暗号化(Cryptography)のための量子鍵配送(QKD; Quantum Key Distribution)に関する。

共有秘密鍵に基づくワンタイムパッド(one time pad)プロトコルの使用は、解読不能な暗号化を提供することができるため、暗号化において特別な関心を集めている。しかしながら、このプロトコルで暗号化されたメッセージは、その鍵を所有していれば誰でも復号することができ、従ってこのプロトコルの脆弱性は鍵配送のセキュリティによって決まる。次の標準的な方法で鍵配送の問題を明確にすることは有益である。アリスとボブは、チャネルを介して互いに通信している。盗聴者のイブは、このチャネルに対してフルアクセスすることが可能である。イブは、アリスとボブから盗聴及び／又は傍受信号を受信することができ、そしてまた、アリスとボブに信号を送信することもできる。アリスとボブとの間の信号は、鍵情報及び／又は暗号化メッセージを含んでいる。

量子鍵配送(QKD)は、危険にさらされたチャネルを介しても高い確実性で安全な鍵配送を提供することができるので、特別の意義を持つ。量子鍵配送の本旨は、アリスとボブからの信号のモニタリングにおけるイブのアクションが、これらの信号を変更することなく成し得ないことにある。換言すれば、“検出不能な盗聴”は物理的に存在しない。この信号の摂動(perturbation)は量子力学的効果であり、様々な種類の量子状態に基づく鍵配送プロトコルが提案されている。例として、エンタングル状態(entangled state)、非直交状態(non-orthogonal state)、直交状態(orthogonal state)があり（米国特許第６１８８７６８号）、単一光子源からの状態がある（米国公開公報第２００５／００９４８１８号）。種々のＱＫＤ方法は、その性能（安全な鍵配送レートによって評価されるようなもの）と、その技術的要件（コストに影響を与えるもの）の点で著しく相違する。現に、米国公開公報第２００５／０１５２５４０号は、高速で安全な鍵配送を提供するために、短い鍵（低速のＱＫＤ方法によって配送される）を使用する複合型鍵配送スキームを提案している。

簡単化のためには、過剰なコスト（例えば、エキゾチック量子状態の準備）を要することなく高速で安全な鍵配送を直接的に提供することができるＱＫＤ方法を採用することが望ましい。有望なアプローチは差動位相シフト（ＤＰＳ）ＱＫＤであり、それは、Inoueらにより、フィジカル・レビュー・レター，８９（３），０３７９０２，２００２において単一光子源に関連して提案された。ＤＰＳ ＱＫＤは、Inoueらにより、フィジカル・レビューＡ，６８，０２２３１７，２００３において、コヒーレント光源からのパルスに拡張された。これらの参考文献は、ＤＰＳ ＱＫＤが、ＢＢ８４及びＢ９２のような従来のＱＫＤプロトコルより優れていることを示しているが、ＤＰＳ ＱＫＤの完全なセキュリティ分析についてはこの文献では提示されていない。このような分析を用いなければ、種々のシステムパラメータ（例えば、伝送損失、検出効率など）が与えられ場合に、ＤＰＳ ＱＫＤについて安全な鍵配送レートを最大化（又は略最大化）する方法は明確にならない。

従って、安全な鍵配送レートを最大化（又は略最大化）するように構成できるＤＰＳ ＱＫＤを提供することは、本技術分野においては先進的である。

本発明は、他のシステムパラメータが与えられた場合に、安全な鍵生成レートが最大化（又は略最大化）されるように、伝送パルスあたりの光子の平均数を事前に決定するＤＰＳ ＱＫＤを提供することによって上記要請に応えるものである。これらのパラメータには、検出器量子効率、チャネル・トランスミッタンス、およびパルス間隔（又はクロックレート）が含まれる。最適化において随意的に含まれる付加的なシステムパラメータには、ベースライン・エラーレート(baseline error rate)、蒸留後の鍵エラーレート(sifted key error rate)、検出器デッドタイム(detector dead time)、検出器ダークカウントレート(detector dark count rate)、およびエラー訂正アルゴリズム性能因子(error correction algorithm performance factor)が含まれる。これらの結果をもたらすセキュリティ分析は、ビーム・スプリッター攻撃と傍受・再送攻撃(intercept-resend attack)との複合型攻撃の概念に基づいている。

図１は、本発明の一実施形態によるＱＫＤシステムの構成を示す。図１のシステムは、チャネル１３０を介して受信器１２０（ボブ）と通信する送信器１１０（アリス）を備える。図示したように、盗聴者（イブ）は、チャネル１３０に対してフルアクセスが可能であるものとする。送信器１１０は、コヒーレント光の光源１１２と、位相変調器１１４と、減衰器１１６を備える。光源１１２は、パルス間隔（または期間）Ｔを有するコヒーレント光のパルスを放射する。コヒーレント光（単一光子またはエンタングル状態のような、さらにエキゾチックな量子状態とは対照的）の使用は本発明の長所である。光源１１２は、パルスレーザーであってもよく、または、パルスを形成するための強度変調器を出力部に備えたＣＷレーザーであってもよく、或いは、コヒーレント放射(coherent radiation)のパルスを供給する他の光源であってもよい。

動作において、時間的に隣接したパルスの各ペアの位相が、変調後に実質的にずれているか、または実質的に一致しているかの何れかであるように、位相変調器１１４が駆動される。このことは、無作為に位相変調器１１４を駆動して０とπ（又は、πだけ離間した任意の二つの位相）の位相シフトを与えることにより達成される。アリスは、プロトコルの後のステップにおいて使用するために、各パルスに適用される変調の記録を作成する。

減衰器１１６は、パルスあたりの光子の平均数μが１(unity)より小さな所定値であるように、出力パルス強度を調整するためのものである。μの選択は、本発明の重要な側面であり、後で更に詳細に検討する。概略的に言えば、μは、安全な鍵生成レートを最大化するために変える主要なパラメータである。μが小さ過ぎると、光子がほとんど伝送されないので、鍵生成レートは極めて低くくなる。μが大きすぎると、イブの攻撃がいっそう効果的になるので、安全な鍵生成レートは減少し得る。従って、最適または略最適なμは、イブが企てることができる種々の可能性のある攻撃の分析と上記プロトコルの分析によって決まる。

チャネル１３０は、自由空間及び／又は放射の伝送に適した任意の媒体（例えば光ファイバー）を含むことができる。チャネル・トランスミッタンスαは、重要なシステムパラメータである。パワー・トランスミッタンスであるところのαの定義によれば、α＝１は無損失に相当し、伝送パワーの１０％が受信器に到達すれば、α＝０．１である。また、検出前の受信器における光損失もαパラメータに含まれる。

受信器において、干渉計(interferometer)は、カプラー１２２，１２４と、時間遅延要素１２６から構成される。時間遅延要素１２６は時間遅延Ｔ（パルス間隔）をもたらす。以下の説明では、適宜、このような干渉計をＴ遅延干渉計と称す。上記干渉計は、平面光波技術（例えば、不平衡導波路マッハ・ツェンダー干渉計）を用いて構成することができる。時間遅延Ｔを有する干渉計を提供するための任意の他のアプローチもまた、本発明の実施に適する。Ｔ遅延干渉計は、検出器１２７（Ｄ１）及び１２８（Ｄ２）に接続された二つの出力を備える。隣接した二つのパルスの位相が一致していれば、変調されたパルスは、二つの検出器のうちの一方（例えばＤ１）に現れ、隣接した二つのパルスの位相がずれていれば、変調されたパルスは、二つの検出器のうちの他方（例えばＤ２）に現れる。本発明の他の実施形態では、Ｄ１とＤ２の役割を逆にしてもよい。

重要な検出器パラメータには、量子効率η、デッドタイムｔ_ｄ、ダークカウントレートｄが含まれる。量子効率は、単一入射光子を検出する確率であり、デッドタイムは、入力の検出直後の期間であって検出器が次の入力(a second input)に応答することができない期間である。ダークカウントレートは、信号光が入射していないときに検出器が誤って光子を“検出”するレートである。ηとｔ_dとｄの観点で実際の検出器をモデル化することは、分析を簡略化すると共に重要な物理を維持する近似である。更なる簡略化は、場合によってｄ及び／又はｔ_dの影響を無視することにより可能である。通常、検出器Ｄ１及びＤ２は、それぞれ異なる量子効率η₁及びη₂を有するが、これら検出器は同じ量子効率ηを有することが好ましく、この量子効率は可能な限り高いことが望ましい。

光子を検出することが可能な任意のデバイスを検出器Ｄ１及びＤ２として使用することができる。適切なデバイスには、フォトダイオード、アバランシェ・フォトダイオード、光電子増倍管、アップコンバージョン検出器、超伝導転移端センサ、個体光電子増倍器が含まれる。

図２は、本発明の一実施形態によるＱＫＤ方法のステップを示す。ステップ２０２では、（例えば、光源１１２を用いて）パルス間隔Ｔを有するコヒーレント光のパルスを発生する。ステップ２０４では、（例えば、変調器１１４を用いて）上記パルスを無作為に位相変調する。ステップ２０６では、（例えば、減衰器１１６を用いて）パルスあたりの光子の平均数μを調整して安全な鍵生成レートを最大化または略最大化する。ステップ２０８では、トランスミッタンスαを有するチャネル（例えば、チャネル１３０）を介してアリスからボブにパルスを伝送する。ステップ２１０では、受信されたパルスをＴ遅延干渉計で復調する。ステップ２１２では、復調されたパルスを検出して検出イベント(detection events)を供給する。上述のように、検出器のうちの一方は、隣接した二つのパルスの位相が一致している場合にのみ光を受信し、他方の検出器は、隣接した二つのパルスの位相がずれている場合にのみ光を受信する。

ステップ２１４では、検出イベントを送信器に報告する。更に詳しくは、光子が検出された時間をアリスとボブに報告する。アリスは、各パルスに適用される変調の記録を作成しているので、アリスは、検出イベント時間から、どの検出器が各検出イベントを提供したかを推定することができる。アリスは、その変調記録を、ボブによって報告された検出イベント時間に同期させる必要がある。このような同期化を実施するための方法は、本技術分野では公知である。この手続きの最終結果は、アリスとボブが鍵を共有することである。更に詳しくは、検出器Ｄ１からの検出イベントを“０”（逆も同様）にすると共に、検出器Ｄ２からの検出イベントを“１”（逆も同様）にする。ボブによって報告された検出時間に対応する一連の０と１は鍵である。ボブは、この情報を直接的に知り、そしてアリスは、この情報を検出イベント時間とアリスの変調記録から推定する。

アリスとボブが同一の鍵を共有することを上述のプロトコルが可能にすることは明らかである。また、容易に利用可能な情報（即ち、パルス及び検出時間）は鍵を再構成するのに十分ではないので、イブによる如何なる攻撃も相対的に高度化する必要がある。

次のセキュリティ分析は、イブによる二つの攻撃があり得るという考えに基づいている。第１の攻撃は、チャネルを盗聴するためのビームスプリッタ（ＢＳ）を用いることに基づいている。第２の攻撃は、傍受・再送（Ｉ−Ｒ）攻撃であり、ここで、イブは、アリスからのパルスを傍受し、そしてボブにパルスを送信する。これら二つの攻撃は、ＢＳとＩ−Ｒの複合型攻撃として一緒に実施することができる。セキュリティ分析においては通例ではあるが、イブの詮索(snooping)に対して課される唯一の制限は基本的な量子力学的な制限である。更に詳しくは、イブは、トランスミッタンスαを有する実際のチャネルを、損失のないチャネルに置き換えることができるものと考えられ、且つ、量子効率η＜１を有するボブの実際の検出器を、η＝１を有する理想的な検出器に置き換えることができるものと考えられる。

問題を提起するために、イブの干渉(interference)以前では、チャネル・トランスミッタンスがαであり、パルスあたりの光子の平均数がμであり、ボブの両方の検出器が量子効率ηを有し、アリスの光源のコヒーレンス時間がＮＴであるものとし、ここで、Ｔは、パルスからパルスまでの間隔である。従って、ボブが検出する平均光子数はμＮαηであり、アリスが送信する平均光子数はμＮである。イブは、μＮ個の光子を受信し、（無損失チャネル及び理想的な検出器を用いて）ボブに伝送するために、ビームスプリッタでμＮαη個の光子を分離して、純粋なチャネル損失を再現する。残りのμＮ（１−αη）個の光子は、鍵を攻撃するためにイブが利用することができる。

イブは、ボブと同じ種類の受信器を用いてイブの光子を復調し、イブの一連の検出イベントを得る。しかしながら、イブの検出イベントは、ごく稀に、（同じ時間基準で両方のシーケンスを同期させた後でさえも）ボブによって報告された検出イベントと同時に発生することがある。イブの光子の検出は、Ｎ個のパルスインターバルにわたるコヒーレンス時間内の任意の時刻に起こり得るので、同時発生の確率はμ（１−αη）である。

イブは、イブの光子を量子メモリ(quantum memory)に格納することにより、自身の勝算(odds)を向上させる。検出イベントが起こる時間を一旦ボブが公表すると、イブは、ボブと同じ種類の受信器で、上記格納された光子を復調する。同時発生の確率は２μ（１−αη）である。イブが、所望の時間（即ち、ボブによって報告される検出イベント時間）に動作するだけの光スイッチでイブの干渉計を開閉(gate)すると考えられるので、二つの改善の要因が生じる。検出時間のボブの公表は任意に遅延し得るので、イブの量子メモリは、盗聴に必要とされる十分に長いコヒーレンス時間を有するものとする。

イブの検出時間がボブの報告時間と一致する任意の検出イベントについて、イブは、鍵の関連ビットを識別する。従って、ｎ_sifビットを有する蒸留後の鍵(a sifted key)で、イブは２μｎ_sif（１−αη）ビットを識別する。このイブとボブとの間の相互情報は、αη＜＜１であれば、α及びηと無関係であり、μが減少すると減少する。

また、イブは、純粋なシステムビットエラーを利用することよりＩ−Ｒ攻撃を実施することもできる。更にイブは、イブによるボブへの伝送のために配分されたμＮαη個の光子から幾分かの光子を分離する。イブは、Ｔ遅延干渉計でこれらの傍受された光子の位相差を測定する。イブによるこれらの光子の検出は、一連の傍受イベントをもたらす。各傍受イベントについて、イブは、単一光子をボブに伝送し、それは、Ｔ遅延干渉計で二つのタイムスロットに分離される。再送された光子のこれら二つのタイムスロット間の相対的位相は、イブの測定結果に従って０またはπに設定される。この偽物の光子(fake photon)はボブに受信され、３つの可能性のある時間：ｔ１＜ｔ２＜ｔ３に検出される。時間ｔ１は、（イブとボブの）両方の干渉計における短い方の経路をとることと関連し、時間ｔ３は、両方の干渉計における長い方の経路をとることと関連し、そして時間ｔ２は、一方の干渉計における長い方の経路と、他方の干渉計における短い方の経路をとることと関連する。ｔ１、ｔ２、ｔ３での検出の確率は、それぞれ、１／４、１／２、１／４である。

もし、ボブが時間ｔ１またはｔ３で偽物の光子を検出すれば、アリスが適用する位相変調と、ボブの複数の検出器のうちの何れが上記偽物の光子を検出するかということとの間に相関関係は存在しない。もし、ボブが時間ｔ２で偽物の光子を検出すれば、アリスが適用する位相変調と、ボブの複数の検出器のうちの何れが上記偽物の光子を検出するかということとの間に、適切な相関関係が生じるであろう。従って、イブのＩ−Ｒ攻撃は、鍵にエラーを取り込む。純粋なエラーレートがゼロである理想的なケースにおいては、このＩ−Ｒ攻撃は、鍵におけるエラーレートをモニタし、任意の有限のエラーレートの原因が盗聴にあると考えることにより見つけ出すことができる。

さらに実際的な状況は、アリスとボブによって使用されるシステムが、蒸留後の鍵ビットにおいてゼロでない純粋なエラーレートｅを提供する場合である。イブは、この実際のシステムの代わりにゼロのエラーレートを有する完全なシステムを使用することができるものとする。そして、（アリスとボブが何らエラーレートの違いに気づかないように）Ｉ−Ｒ攻撃によって引き起こされたエラーレートをｅとすれば、検出されることなく、イブはＩ−Ｒ攻撃を実施することができる。偽物の各光子が１／４の確率でエラーを取り入れるので、ｎ_sifビットを有する蒸留後の鍵で、イブは４ｅｎ_sifビットを攻撃することができる。偽物の光子の１／２がｔ２で検出されるので、イブは、Ｉ−Ｒ攻撃の結果として鍵の２ｅｎ_sifビットを識別する。

上述の考えに基づき、ボブとイブに所有されているビット間の不一致(collision)の確率は下記の数式（１）によって与えられ、ここで、ビームスプリッター攻撃と傍受再送攻撃の両方が説明される。プライバシー拡大圧縮因子(privacy amplification compression factor)τ₁は下記の数式（２）によって与えられる。エラー訂正とプライバシー拡大を仮定すれば、安全な鍵生成レートＲ_sは下記の数式（３）によって与えられる。ここで、Ｒ_ngは、蒸留後の鍵生成レートであり、ｆ（ｅ）≧１は、エラー訂正アルゴリズムの性能を特徴づける。因子ｆ（ｅ）＝１は、エラー訂正ビットの数がシャノン限界に等しい理想的極端な場合である。この因子は、種々のエラー訂正アルゴリズムについてｅの関数として知られ、典型的には、１と約１．５との間の値である。

蒸留後の鍵生成レートＲ_ngは、下記の数式（４）によって与えられ、ここで、ｄは、検出器のダークカウントレートであり、ｔ_dは検出器のデッドタイムである。上述のように、エラーレートｅは、蒸留後の鍵ビットにおけるエラーレートである。このエラーレートは下記の数式（５）によって与えられ、ここで、ｂはシステム・ベースライン・エラーレートである。ベースライン・エラーレートｂは、システムレベルの光子エラーレートであり、種々のシステムの非理想的性質（例えば、不完全状態準備、チャネルノイズ、調整誤差、不完全検出器など）の影響を含む。もしダークカウントレートを無視できるのであれば、ｅおよびｂは概ね同じである。

この解析フレームワークに基づいて、概ね最適な量子鍵配送(near optimal quantum key distribution)が次の方法で提供される。システムパラメータη、α、ｄ、ｔ_ｄ、Ｔ、ｂは既定であるものとする。また、採用されているエラー訂正は所定のものであり、ｆ（ｅ）はこのアルゴリズムにのみ依存するので、上記既定の量はｆ（ｅ）も含む。数式（３）乃至（５）から、安全な鍵生成レートＲ_s（μ）は、パルスあたりの光子の平均数であるμの関数として知られている。安全な鍵生成レートは、極めて小さなμ（即ち、μαη＜＜ｄ）と大きなμ（即ち、μ＞１／２）の両方についてゼロになるので、安全な鍵生成レートは、ビットあたりの光子の最適平均数μ_optで最大値Ｒ_maxをとる（即ち、Ｒ_s（μ_opt）＝Ｒ_max）。好ましくは、μは、Ｒ_s（μ）が約０．５Ｒ_maxよりも大きくなるように予め決定され、更に好ましくは、μは、Ｒ_s（μ）が０．８Ｒ_maxよりも大きくなるように予め決定される。

上述の分析は、本発明の好ましい実施形態に関連している。本発明の他の実施形態は、上述の分析に対して種々の変形を加えることによって得られる。例えば、ダークカウントレートｄが無視できるのであれば、蒸留後の鍵生成レートは、近似的に、Ｒ_ng＝（μαη／Ｔ）ｅｘｐ（−μαηｔ_d／２Ｔ）によって与えられ、蒸留後の鍵エラーレートｅはｂに概ね等しい。蒸留後の鍵エラーレートｅが無視できるものであれば、安全な鍵生成レートは、近似的に、Ｒ_s＝Ｒ_ng（１−２μ（１−αη））によって与えられる。これらの近似の何れか（または両方）が有効である場合、μについての最適化は、Ｒ_s（μ）についての適切に簡略化された表現に基づくことができる。本分析は、数学的に等価な種々の形式で表すことができ、その全てが本発明に含まれる。例えば、上述の数式は、システムクロックレートｆ＝１／Ｔの観点から表すことができる。

本分析の他の変形は、イブについて仮定される能力に関連する。例えば、イブが、任意のコヒーレンス時間を有する量子メモリに対するアクセスを保有しないと仮定すれば、不一致の確率は、ｐ_ｃ＝２^{−ｎsif（１−μ（１−αη）−２ｅ）}によって与えられ、それは、本分析の残りの部分において、対応する変化をもたらす。同様に、イブが、（ボブに警告することなく）ボブの検出器を完全な検出器に置き換えることができるものとしなければ、不一致の確率は、ｐ_c＝２^{−ｎsif（１−２μ（１−α）−２ｅ）}によって与えられ、それもまた、本分析の残りの部分において、対応する変化をもたらす。

図３は、本発明の幾つかの実施形態を含んでおり、種々のＱＫＤ方法についての鍵生成レートの実験値と計算値を比較したものである。安全な鍵生成レートが、種々の場合について、ファイバー長の関数としてプロットされている。ファイバーは０．２ｄＢ／ｋｍの損失を有するものとし、ベースライン・エラーレートｂは３％であるとする。これらの実験において、アリスの送信器は、その出力にＬｉＮｂＯ_３強度変調器を備えて間隔Ｔ＝１ｎｓのパルスを供給する外部キャビティ半導体レーザである。そのパルス幅は１００ｐｓである。μを最適化するための上述の減衰は送信器で実施される。結果として得られるμの最適値は、システムパラメータに応じて約０．１６から約０．１８の範囲に存在する。ボブの受信器におけるＴ遅延干渉計は、２．５ｄＢの挿入損失を有する平面光波回路である。

次のＤＰＳ ＱＫＤの結果は、アップコンバージョン検出器を用いて得られ、ここで、１５６０ｎｍの受信光子と１３１９ｎｍの強ポンプ波(strong pump wave)との間での周期的に分極されるニオブ酸リチウム導波路における非線形混合は、７１５ｎｍの和周波数光子を生成する。１５６０ｎｍの光子と７１５ｎｍの光子との間の内部変換効率は９９％を超える。７１５ｎｍの光子は、シリコン・アバランシェ・フォトダイオードに基づく単一光子カウントモジュール（ＳＰＣＭ）で検出され、この単一光子カウントモジュールは、高い量子効率（約７０％）と、低いダークカウントレート（約５０Ｈｚ）と、５０ｎｓのデッドタイムを有する。アップコンバージョン検出器の全体的量子効率は、上記１３１９ｎｍのポンプパワーを変えることにより変更することができ、３７％程度に高めることができる。しかしながら、導波路において偽の非線形相互作用(a spurious nonlinear interaction)が発生すると、検出器のダークカウントレートは、ポンプパワーが増すにつれて２次関数的に増加する。或る場合には、ダークカウントレートを減少させるためには、低い量子効率を受け入れることは有益である。タイムゲーティング（即ち、処理の前に記録データに対して時間ウィンドウを適用すること）は、検出器のタイミングジッターの影響を低減させるために採用される。

□印は、ファイバー伝送を用いた場合のＤＰＳ ＱＫＤの実験結果を示し、×印は、ファイバー損失を模擬するための減衰器を用いた場合のＤＰＳ ＱＫＤの実験結果を示す。これらの結果は、η＝８．８％を有するように設定されたアップコンバージョン検出器を用いて得られたものである。時間ウィンドウは０．６ｎｓであり、結果として得られたダークカウントレートは２６ｋＨｚであった。各場合において、ビットあたりの光子の平均数は、Ｒ_sを最大化するために上述のように最適化される。図３の特性線３０８は、これらの場合について、Ｒ_maxの計算値をファイバー長の関数として示し、理論値と実験値との間に優れた一致が見られる。η＝８．８％についての蒸留後の鍵生成レートが特性線３０２として示されている。実験データポイントは、５つの個々の実験結果を平均して得られた結果値である。３０ｋｍ以下のファイバー長では、蒸留後の鍵生成レートは１Ｍビット／ｓを超えた。ファイバー長が２０ｋｍを超える場合の安全な鍵生成レートは０．４５５Ｍビット／ｓであった。

○印は、ファイバー伝送を用いた場合のＤＰＳ ＱＫＤの実験結果を示し、＋印は、ファイバー損失を模擬するための減衰器を用いた場合のＤＰＳ ＱＫＤの実験結果を示す。これらの結果は、η＝２．０％を有するように設定されたアップコンバージョン検出器を用いて得られたものである。時間ウィンドウは０．２ｎｓであり、結果として得られたダークカウントレートは２．７ｋＨｚであった。各場合において、ビットあたりの光子の平均数は、Ｒ_sを最大化するために上述のように最適化される。図３の特性線３１０は、これらの場合について、Ｒ_maxの計算値をファイバー長の関数として示し、理論値と実験値との間に優れた一致が見られる。η＝２．０％についての蒸留後の鍵生成レートが特性線３０４として示されている。実験データポイントは、５つの個々の実験結果を平均して得られた結果値である。ここで、１００ｋｍの距離では、安全な鍵生成レートは２０９ビット／ｓであった。

△印は、ＩｎＧａＡｓアバランシェ・フォトダイオード検出器およびポアソン光源(Poissonian light source)を用いた従来のＢＢ８４ ＱＫＤプロトコルを使用した場合のＱＫＤの実験結果を示す。この場合についてのセキュリティ分析は、光子数スプリット攻撃(a photon number splitting(PNS) attack)を考慮している。特性線３０６は、ＢＢ８４の安全な鍵生成レートの対応理論計算値である。ＤＰＳ ＱＫＤの結果（鍵生成レート及び距離の両方）は、ＢＢ８４の結果よりも顕著に優れている。上記実証されたＤＰＳ ＱＫＤの性能における更なる改善は、検出器のダークカウントレートを減少させることにより（例えば、偽の非線形相互作用を除去することにより）、及び／又は、検出器のタイミングジッターを減少させることにより得ることができる。これらの改善の可能性の観点において、ＤＰＳ ＱＫＤは、３００ｋｍ以上の長距離にわたって安全なＱＫＤを提供することができるはずである。

本発明の一実施形態によるＱＫＤシステムの構成を示す図である。 本発明の一実施形態によるＱＫＤ方法を示す図である。 本発明の幾つかの実施形態を含む種々のＱＫＤ方法についての鍵生成レートの計算値と実測値との比較を示す図である。

符号の説明

１１０；送信器（アリス）、１１２；コヒーレント光源、１１４；位相変調器、１１６；減衰器、１２０；受信器（ボブ）、１２２，１２４；カプラー、１２６；時間遅延要素、１２７；検出器（Ｄ１）、１２８；検出器（Ｄ２）、１３０；チャネル、２０２，２０４，２０６，２０８，２１０，２１２，２１４；ステップ。

Claims (14)

1. 量子鍵配送方法であって、
   ａ）送信器で、隣接パルス間の時間間隔Ｔを有するコヒーレント光のパルスを供給するステップと、
   ｂ）隣接したパルスの各ペアが実質的に同じ位相であるか、または実質的に異なる位相であるように、前記送信器で前記パルスを無作為に位相変調し、各パルスに適用される前記変調が変調時間を提供するために記録されるものであるステップと、
   ｃ）伝送されるパルスあたりの光子の平均数が１より小さい所定値μであるように、前記パルスの強度を調整するステップと、
   ｄ）前記送信器からの前記パルスを、トランスミッタンスαを有するチャネルを介して受信器に伝送するステップと、
   ｅ）二つの出力（Ｏ１及びＯ２）を備えると共に各出力には対応する検出器（Ｄ１及びＤ２）が設けられた干渉計であって実質的にＴに等しい時間遅延差を有する２アーム干渉計を通すことにより前記受信器で受信されたパルスを復調するステップと、
   ｆ）変調されたパルスを、量子効率η₁及びη₂をそれぞれ有する前記検出器（Ｄ１及びＤ２）で検出して、検出時間を有する検出イベントを提供するステップと、
   ｇ）前記検出時間を前記送信器に供給するステップと、
   ｉ）前記検出時間を前記変調時間と比較して、前記受信器における何れの検出器が前記検出イベントのそれぞれと関連するのかを前記送信器で推定するステップと
   を含み、
   安全な鍵生成レートＲ_sは、少なくとも、μ、α、η₁、η₂の所定の関数であって、ビットあたりの光子の最適平均数μ_optに対して最大値Ｒ_maxをとり、
   μは、Ｒ_sが約０．５Ｒ_maxより大きくなるように予め決定される方法。
2. μは、Ｒ_ｓが約０．８Ｒ_maxよりも大きくなるように予め決定される請求項１記載の方法。
3. 前記検出器（Ｄ１及びＤ２）は、実質的に等しい量子効率ηを有する請求項１記載の方法。
4. ｔ_dは、前記検出器のデッドタイムであり、蒸留後の鍵生成レートＲ_ngは、Ｒ_ng＝（μαη／Ｔ）ｅｘｐ（−μαηｔ_d／２Ｔ）によって与えられる請求項３記載の方法。
5. 前記所定の関数は、Ｒ_s＝Ｒ_ng（１−２μ（１−αη））によって与えられる請求項４記載の方法。
6. 前記検出器は、ダークカウントレートｄを有し、Ｒ_sは、少なくとも、μ、α、η、ｄの所定の関数である請求項３記載の方法。
7. ｔ_dは、前記検出器のデッドタイムであり、蒸留後の鍵生成レートＲ_ngは、Ｒ_ng＝（（μαη＋２ｄ）／Ｔ）ｅｘｐ（−（μαη＋２ｄ）ｔ_d／２Ｔ）によって与えられる請求項６記載の方法。
8. 前記所定の関数は、Ｒ_s＝Ｒ_ng（１−２μ（１−αη））によって与えられる請求項７記載の方法。
9. 前記システムは、ベースライン・エラーレートｂを提供し、蒸留後の鍵エラーレートｅは、
   

   

   によって与えられる請求項７記載の方法。
10. エラー訂正アルゴリズムは、シャノン限界に対する補正因子を提供し、前記所定の関数は、
    

    

    によって与えられる請求項９記載の方法。
11. 量子鍵配送システムであって、
    ａ）送信器に備えられ、隣接パルス間の時間間隔がＴであるコヒーレント光パルスの光源と、
    ｂ）前記送信器に設けられ、隣接したパルスの各ペアが実質的に同じ位相であるか、または実質的に異なる位相であるように、前記パルスを変調する機能を有し、各パルスに適用される前記変調が変調時間を提供するために記録される位相変調器と、
    ｃ）前記送信器に設けられ、伝送されるパルスあたりの光子の平均数が１より小さな所定値μであるように、前記パルスの強度を調整する機能を有する強度調整器と、
    ｄ）トランスミッタンスαを有し、前記パルスを前記送信器から受信器に伝送するチャネルと、
    ｅ）前記受信器に設けられ、実質的にＴに等しい時間遅延差を有すると共に二つの出力（Ｏ１及びＯ２）を有し、且つ、前記チャネルから前記パルスを受信して、二つの出力（Ｏ１及びＯ２）に変調されたパルスを供給する機能を有する２アーム干渉計と、
    ｆ）二つの出力（Ｏ１及びＯ２）にそれぞれ接続され、量子効率η₁及びη₂をそれぞれ有する二つの検出器（Ｄ１及びＤ２）と
    を備え、
    前記変調されたパルスは、検出イベントを提供するために前記検出器によって検出され、各検出イベントは検出時間を有し、
    前記検出時間は、前記送信器に供給され、
    前記検出時間は、前記受信器における何れの検出器が前記検出イベントのそれぞれと関連するのかを前記送信器で推定するために前記変調時間と比較され、
    安全な鍵生成レートＲ_sは、少なくとも、μ、α、η₁、η₂の所定の関数であり、
    Ｒ_sは、ビットあたりの光子の最適平均数μ_optに対して最大値Ｒ_maxをとり、
    μは、Ｒ_sが約０．５Ｒ_maxより大きくなるように予め決定されるシステム。
12. 前記チャネルは光ファイバーを含む請求項１１記載のシステム。
13. 前記検出器は、フォトダイオード、アバランシェ・フォトダイオード、光電子増倍管、アップコンバージョン検出器、超電導転移端センサ、固体光電子増倍器からなるグループの中から選択される請求項１１記載のシステム。
14. 前記コヒーレント光は、光変調器と組み合わされたＣＷレーザーとパルスレーザーからなるグループの中から選択される光源により供給される請求項１１記載のシステム。

Images