JP4775820B2 - 非直交２状態量子暗号法及び盗聴探知のために量子ビット内及び量子ビット間干渉を有する装置 - Google Patents

Description

本発明は、総じて量子暗号の分野に関し、特に二者間でビット列を交換し、その秘密性を確認するための装置及び方法に関する。

二人の使用者が共有のランダムな秘密情報（以下「鍵」と記載）を所有している場合、確証された安全性をもって下記の暗号法の目的の２つを達成することができる。
１）彼らのメッセージを、盗聴者に理解不能にすること。
２）本物のメッセージを偽造もしくは変更されたメッセージから判別すること。
上記１の目的は、ワンタイムパッド暗号アルゴリズムによって達成可能であり、上記２の目的はＷｅｇｍａｎ−Ｃａｒｔｅｒ認証によって達成できる。しかし、残念なことに、どちらの暗号理論も鍵素材を破壊し、使用に適さない状態にしてしまう。よって、これらの一方もしくは両方の暗号技術を用いて交換するメッセージを保護したいと望む二者は、新しい鍵素材を交換する方法を考え出す必要がある。第１の可能性として、一方の使用者が鍵を生成して、もう一方の使用者に伝える前に物理的な媒体（ディスク、ＣＤ−ＲＯＭ、ＲＯＭなど)に記録する方法がある。この方法の問題は、鍵が生成及び使用され、最後に破棄されるまでの期間、常に保護されるかどうかによって、その安全性が依存する点にあり、また、非実用的で非常に面倒でもある。

これらの問題により、多くの場合、安全ではない通信チャネルを通して２つのメンバーが共有の秘密に合意することが可能な純粋な数学的方法が用いられる。残念なことに、鍵合意のための全ての数学的方法は、大数の因数分解の困難性などの確証のない仮定に基づくところが大きい。よって、これらの安全性は限定されており不確かなものと言える。これらが全く安全ではないことは、さらなる数学の発展によって証明されるだろう。

量子暗号法（ＱＣ）は、確証された絶対的な安全性をもって、送信側と受信側という離れた２つのメンバーの間で安全鍵の交換を可能にする方法である。この方法の詳しい説明は、Ｎｉｃｏｌａｓ Ｇｉｓｉｎ， Ｇｒeｇｏｉｒｅ Ｒｉｂｏｒｄｙ， Ｗｏｌｆｇａｎｇ Ｔｉｔｔｅｌ及びＨｕｇｏ Ｚｂｉｎｄｅｎによる「Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ」、Ｒｅｖ．ｏｆ Ｍｏｄ．Ｐｈｙｓ．７４（２００２）に記載されており、その内容は参照することにより本件に組み込まれる。一方のメンバー（送信側）は、量子系を対応する量子状態で準備することによって、光子などの量子系における鍵のそれぞれの２進数（又はビット）の数値を符号化する。鍵のビットを含む量子系は量子ビットと呼ばれる。量子ビットは、光ファイバーなどの量子チャネルを介して、それぞれの量子ビットがどの量子状態で準備されたかを特定するために量子測定を行うもう一方のメンバー（受信側）に伝送される。このときの測定結果は記録され、鍵の生成に用いられる。この方法の安全性は、未知の量子系の量子状態を測定するとその系に変化をきたすという周知の事実に基づく。すなわち、量子チャネルを盗聴するスパイは、送信側と受信側の間で交換される鍵に誤差を起こすことなく、情報を得ることができないのである。また、同様の意味で、スパイは伝送される量子系を複製し、完璧なコピーを受信側に送信することが不可能であるという量子力学における量子複製不可能定理によって、ＱＣの安全性は保証される。

ＱＣには、いくつかのプロトコルが存在する。プロトコルとは、量子状態の集合を用いてどのようにビット値が量子系に符号化され、鍵を生成するために送信側と受信側がどのように連携するかを説明するものである。これらのプロトコルの中で最も一般的に用いられ、また最初に考案されたのは、Ｃｈａｒｌｅｓ Ｂｅｎｎｅｔ， Ｇｉｌｌｅｓ Ｂｒａｓｓａｒｄ ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ＩＥＥＥ Ｉｎｔ． Ｃｏｎｆ． Ｏｎ Ｃｏｍｐｕｔｅｒｓ， Ｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ， Ｂａｎｇａｌｏｒｅ， Ｉｎｄｉａ（ＩＥＥＥ， Ｎｅｗ Ｙｏｒｋ， １９８４）、ｐｐ．１７５−１７９に開示され、参照することにより本件に組み入れられるＢｅｎｎｅｔｔ−Ｂｒａｓｓａｒｄ ８４ ｐｒｏｔｏｃｏｌ（ＢＢ８４）と呼ばれるものだ。送信側は、量子ビットを準備するために、送信したいそれぞれのビットを二準位系に符号化する。それぞれの量子ビットは、σ_x（“０”の場合は|＋χ〉符号化、“１”の場合は|−χ〉符号化）の固有状態、又はσ_y（同様に|＋у〉又は|−у〉）の固有状態として準備される。量子ビットは、２つの互換性のない基底に符号化されると言われている。送信側は、適切な乱数発生器を用いてそれぞれの量子ビットにつき、ビット値（１ランダムビット）及び基底情報（１ランダムビット）を特定するために用いられる情報のランダムビットを２つ生成する。それぞれの量子ビットは、量子チャネルを介して受信側へ送信され、２つのうち１つの基準に基づいて分析される（すなわち、σ_xかσ_yか測定される）。

受信側は、適切な乱数発生器を用いて、測定基底（基底情報）を特定するための情報のランダムビットを生成する。測定基底は、各量子ビットにランダムに選択される。多数の量子系の交換が行われると、送信側と受信側は基底照合と呼ばれる作業を行う。まず、送信側は、古典的な公共の通信チャネルを通して、それぞれの量子ビットが準備された基底がｘであるかｙであるか（固有状態σ_xかσ_yか）を通知する。受信側が送信側と同様の基底を測定に用いた場合、受信側は自分が測定したビット値は送信側が送信したものであることが分かるので、受信側はどの量子ビットの条件が満たされたかを公表する。そのビットが、いわゆる生鍵（ｒａｗ ｋｅｙ）を構成する。

誤った基底が用いられた測定結果は、単に廃棄される。スパイが存在しなかった場合、共有されたビット列はエラーフリーとなる。交換される量子ビット列に関する情報を入手しようとするスパイは、いくつかの攻撃の中から選択することも可能だが、鍵に顕著な摂動を生じさせることなく行うことは不可能であり、これは量子物理学の法則によって保証される。ＢＢ８４の安全性は、送信側が送信した量子ビットは互換性のない基底に属する量子状態で準備されるという事実に基づく。よって、盗聴者は完全な確信をもって、ある特定の量子ビットの量子状態を特定することは不可能となる。一般的には、ＢＢ８４は少なくとも２つの互換性のない基底の量子状態が少なくとも２つ用いられるプロトコルの種類に属する。

実際には、使用者が用いる装置は不完全であり、盗聴者による量子ビットの相互作用がない場合でも、ビット列には多少のエラーが生じてしまう。そんな場合においても秘密鍵の生成を可能にするため、プロトコルの基底照合の作業は他のステップを付加することにより補完される。この全体的な作業は、鍵純粋化（ｋｅｙ ｄｉｓｔｉｌｌａｔｉｏｎ）と呼ばれる。送信側と受信側は、通信の秘密性を測定するために、ビット列のサンプルの、量子誤り率（ＱＢＥＲ）としても知られる摂動の度合いを確認する。誤り率が大きくなければ、生鍵から、純粋化された鍵（ｄｉｓｔｉｌｌｅｄ ｋｅｙ）としても知られる安全鍵を純粋化する妨げにはならない。盗聴者が入手し得る情報量を任意の低レベルに抑えることが可能な、いわゆるプライバシー増幅アルゴリズムを２つのメンバーが適用する前は、エラーは正しい場合もある。

その他にもいくつかの量子暗号プロトコルの提案がされている。１９９２年にＣｈａｒｌｅｓ Ｂｅｎｎｅｔは、量子ビットは２つの非直交状態のうち１つを用いて準備するだけで十分であることを示し、Ｐｈｙｓ． Ｒｅｖ． Ｌｅｔｔ． ６８， ３１２１（１９９２）においてＢ９２と呼ばれるプロトコルを公表し、その内容は参照することにより本件に組み込まれる。このプロトコルでは、送信側は非直交状態の２つの純粋状態|ｕ₁＞又は＜|ｕ₂のうちの１つの状態の量子ビットを繰り返し送信する。受信側は、それがどっちの状態であるか確定的には判別できない。しかし、正定置作用素測定としても知られ、解答が出ない場合もあるがその以外の場合では正しい解答を出す一般化測定（正式には、この測定は２つの射影子（ｐｒｏｊｅｃｔｏｒ）Ｐ₁＝１−|ｕ₂＞＜ｕ₂|又はＰ₂＝１−|ｕ₁＞＜ｕ₁|の集合である）を行うこともできる。そして量子ビットの測定結果を用いて鍵ビットが生成される。

このプロトコルには２つの状態しか必要ないということは、実際に簡単に実行できるということを意味する。しかしながら、重要なのは盗聴者も一般化測定を行えるということである。盗聴者は、解答が得られた場合にはその状態に応じて準備された量子ビットを送信することもできるし、結果が確定的でなければ何も行わないこともできる。量子チャネルの減衰と限られた検出率のせいで、受信側は送信側が送信した量子ビットのほんの僅かしか検出しないことを予期してしまうため、このような攻撃は実際の装置においてとりわけ威力を発揮する。しかし、実際に行われるように、純粋状態|ｕ₁＞又は＜|ｕ₂の代わりに混合状態ρ₁及びρ₂が用いられると、選択された混合状態がヒルベルト空間の２つの互いに素な部分空間（ｄｉｓｊｏｉｎｔ ｓｕｂｓｐａｃｅ）に必ず及ぶようにすることで、この攻撃を阻むことが可能となる。これにより受信側は、Ｐ₁はρ₂を、Ｐ₂はρ₁を無効にするが、どちらの演算子も量子状態を無効にしないような２つの演算子Ｐ₁及びＰ₂を見つけることができる。これによって、盗聴者が混合状態ρ₁及びρ₂のいずれか一方の代わりに真空状態を送信した場合も、受信側は非ゼロの確率でエラーを示す確定的な測定結果を記録することが保証される。多数の量子ビットを観測する場合においても、非ゼロの確率によって測定可能な誤り率が生じる。

過去１０年間に、光子を量子ビットとし、光ファイバーを量子チャネルとして用いた量子暗号通信装置のデモンストレーションがいくつか行われた。それらが実用されるには、操作が簡単であり、かつ現在の技術的制限にもかかわらず高速な鍵交換が行えることが重要となる。このような検討材料は、量子暗号通信装置及び量子ビットが準備される量子状態の集合の選択に影響する。電磁界の偏光状態は、量子暗号を行うには最適の候補になり得るが、実用では光ファイバーに量子ビットを伝送させる場合には使用が難解となる。それは実際に、光ファイバーが通常偏光状態の変換を誘発するためである。逆に、タイミング情報に関しては非常に安定しており、簡単な量子暗号装置を操作する際に用いられることもある。

Ｄｅｂｕｉｓｓｃｈｅｒｔ ｅｔ．ａｌ．は、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ａ ７０，０４２３０６（２００４）において、時間符号化（ｔｉｍｅ ｃｏｄｉｎｇ）プロトコルの類を提案し、その内容は、参照することで本件に組み込まれる。このプロトコルで最も簡単なものは、送信側がそれぞれのビットに単一光子パルスを送信するもので、ビット値の１つ、例えば“０”が遅延のないパルス（ｕｎｄｅｌａｙｅｄ ｐｕｌｓｅ）によって符号化され、“１”が遅延パルス（ｄｅｌａｙｅｄ ｐｕｌｓｅ）によって符号化される。このとき、遅延値はパルス期間よりも小さくされる。受信側は時間基準に関連して光子の到着時間を測定し、事象の集合を３つ特定する。第１集合は、遅延のないパルスからのみ検出されるものを含み、“０”値ビットとして数えられる。第２集合は、遅延パルスからのみ検出されるものを含み、“１”値ビットとして数えられる。最後に、第３集合は、遅延のないパルスと遅延パルスの両方から検出されるものを含み、これらは不確定な結果に相当するため廃棄される。

受信側はパルスを干渉計にも送信し、それらの期間を干渉計測により測定することもある。このプロトコルの安全性は、盗聴者は不確定な結果が出ると、受信側に送信する量子状態を必ず推測から判断しなければならず、その場合、非ゼロの確率でエラーを誘発するという事実に基づいている。パルス期間を干渉計測することで、受信側に測定結果を出させるために、盗聴者が元のパルスよりも短いパルスを送信することが防がれる。さらに、何の情報も含まない２つの付加的な遅延パルスを用いることで、盗聴者に補足的な対称制約を与え、量子チャネル減衰が悪用されるのを防ぐことができる。

最初の量子暗号法の提案では、鍵を符号化するための量子ビットとして単一光子の使用が提示されていたが、その生成は困難であり、良質な単一光子源はいまだ存在しない。その代わりに、理想的な量子ビットの近似として弱コヒーレント状態を送信側と受信側の間で交換する手法が、簡潔さを考慮した結果、多くの実施において用いられた。コヒーレント状態とはコヒーレントに重ね合わせられた光子状態から構成されることを言い、すなわち、コヒーレント状態の内部の異なる光子状態の素子の間では、固定位相関係（ｆｉｘｅｄ ｐｈａｓｅ ｒｅｌａｔｉｏｎｓｈｉｐ）が成り立っていると言える。このような状態の説明には、その振幅及びグローバル位相（ｇｌｏｂａｌ ｐｈａｓｅ）を知っているだけで十分である。コヒーレント状態は、振幅が小さいと弱くなるといわれており、弱コヒーレント状態はレーザー光を減衰することで生成することができる。

実用において、単一光子の代わりに弱コヒーレント状態が用いられるということは、光子数分岐（ＰＮＳ）攻撃と呼ばれる非常に強力な攻撃を盗聴者から受ける可能性もあることを意味する。まず、盗聴者はそれぞれの弱パルスに含まれる光子数を測定するために量子非破壊測定を行う。そして、ちょうど１つの光子がパルスに含まれる場合、それをブロックする。２つの光子がパルスに含まれる場合、一方の光子を受信側に送信しつつ、もう一方を盗んで量子メモリに保存する。最後に、プロトコルの基底照合の後、盗聴者は保存してあった光子の量子状態を測定する。この段階で、送信側によって送信された量子状態の完全な情報を得るためにはどの測定を行えばよいかは、盗聴者には知られてしまう。盗聴はパルスの一部がブロックされると受信側による検出率が低下することで発見されてしまうため、光子の１つを抜き取った多光子パルスを受信側に送信するために完全な無損失チャネル（量子暗号において、盗聴者は物理的な制限は受けるが、技術的な制限は受けない）を用いることで発見を防ぐ。受信側は、量子チャネル減衰及び限られた検出性能のせいで、光子の一部しか検出しないことを想定しているため、光子数分岐盗聴は実社会においてとりわけ威力を持つ。そのため、これらの攻撃に耐性のある量子暗号通信装置及びプロトコルを考案することは重要となる。

盗聴者による光子数分岐攻撃が行われる可能性を低下させるいくつかの方法が提案された。Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ ９１，０５７９０１（２００３）のＨｗａｎｇ Ｗ．Ｙ．、Ｐｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ ９４，２３０５０３（２００５）のＷａｎｇ Ｘ．Ｂ．及びＰｈｙｓｉｃａｌ Ｒｅｖｉｅｗ Ｌｅｔｔｅｒｓ ９４，２３０５０４（２００５）のＬｏ Ｈ．Ｋ．ｅｔ ａｌ．は、おとりの量子状態を用いることを提案しており、その内容は参照することにより本件に組み入れられる。また、Ｈ．Ｔａｋｅｓｕｅ ｅｔ ａｌ．による「１０５ｋｍのファイバーを用いた差動位相シフト量子鍵配送実験（Ｄｉｆｆｅｒｅｎｔｉａｌ ｐｈａｓｅ ｓｈｉｆｔ ｑｕａｎｔｕｍ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ｅｘｐｅｒｉｍｅｎｔ ｏｖｅｒ １０５ｋｍ ｆｉｂｅｒ）」において、光子数分岐攻撃に抵抗力のある新規のプロトコルも提案されており、その内容は参照により本件に組み込まれる。Ｔａｋａｓｕｅ ｅｔ ａｌ．は、ビット値を符号化するために、無限ストリーム（ｉｎｆｉｎｉｔｅ ｓｔｒｅａｍ）において時間Ｔだけ隔てられ、Ｔよりも小さいとされる期間ｔを有する２つの隣接する弱コヒーレント状態の間の２つ（０、π）の位相差を利用したプロトコルを発表した。このストリームにおいては、２つの弱コヒーレント状態は位相コヒーレントであるという。受信側は差動位相を特定するために干渉的な測定を行い、ビット値を定める。

このプロトコルの安全性は、それぞれの差動位相値と一致する２つの量子状態は非直交であるという事実に基づく。ビット値を測定しようとする盗聴者は、不確定な結果を得ることがあり、その場合にはどの状態を送信するか推測によって判断しなければならない。すると、非ゼロの確率でエラーを誘発する。逆に、不確定な結果を得たら受信側に何も送信しないことを選ぶと、隣接する弱コヒーレント状態にかかる干渉を抑制してしまい、非ゼロの確率でエラーを誘発する。このプロトコルにおいて、ビット値は隣接する量子状態の間の位相差に符号化されているため、個々の弱コヒーレント状態に対して光子数分岐攻撃を行うことは明らかに無意味である。光子数分岐攻撃を成功させるには、隣接する２つの弱コヒーレント状態における光子数を測定する必要があるが、そうすると近隣のその他の量子状態との位相コヒーレンスが破壊されるため、非ゼロの確率でエラーを誘発する。

本発明における装置及び方法は、生鍵とも呼ばれるビット列を送信側と受信側の間で交換し、生鍵に関して盗聴者が入手し得た情報の最大量を推定するために提供される。後に生鍵は、適切な鍵純粋化の過程を経て安全鍵として純粋化される。

本件の方法はいくつかのステップから構成される。方法における第1ステップでは、量子情報源によって生成され、かつストリームにおいて隣接する２つの量子ビットは固定位相関係にあり、それぞれの量子ビットが非直交状態ではない２つの状態のうち１つの状態で準備された量子ビットのストリームが、送信側を介して送信される。第2ステップでは、正定値作用素測定と呼ばれる１つ目の測定が受信側を介して量子ビットの一部に行われ、それらがどの状態で送信側によって準備されたかを特定しようとする。第3ステップでは、２つめの測定が受信側を介して量子ビットのペアに行われ、２つの間の位相関係のコヒーレンス度が推定される。第４ステップでは、生鍵の生成に役立てられるように、どの量子ビットが正定値作用素測定で確定的な結果が得られたかが受信側を介して通知される。第5ステップでは、古典チャネルを介した通信及び送信側と受信側間の連携によって、ストリームの量子ビットの間のコヒーレンス度が測定され、生鍵について盗聴者が入手し得た情報の量が推定される。

この量子暗号通信装置及び方法の第1の利点は、それが簡単に行えることである。その簡潔性は、量子ビットがたった２つの非直交状態で準備されるだけでよいことに由来する。それに加え、本件の装置及び方法は、量子ビット値の時間符号化を用いることを可能とする。ビット値の１つは、それぞれの間の時間よりも短いとされる２つの時間ビンのうち２つ目の時間ビンを空に保ちつつ、1つ目の時間ビンに非空（ｎｏｎ−ｅｍｐｔｙ）の弱コヒーレント状態からなる量子ビットを準備することによって符号化される。その他のビット値は、空の時間ビンと非空の時間ビンが入れ替えられた量子ビットに符号化される。また、送信側によって送信される２つの量子ビットは固定位相関係（すなわち、位相コヒーレント）でなくてはならない。その場合、２つの状態を判別するための最適な正定値作用素測定の１つに、光子計数検出器を用いて光子の到着時間を測定する方法がある。この測定法は非常に簡単に行うことができる。また、これらの量子状態は量子チャネルにおける環境変動に非常にロバストであり、例えば偏光変動などによってエラーが誘発しない。そして、簡単に行えるので、既存の技術でも高速鍵交換が可能となる。盗聴は、受信側が２つの量子状態の２つの時間ビンの間の位相コヒーレンスを干渉計測することにより監視される。

本件の量子暗号通信装置及び方法の第2の利点は、光子数分岐攻撃に対してロバストな点である。これは、盗聴者によって量子ビットが取り除かれると顕著な摂動が生じることに基づく。もし量子ビットの１つが取り除かれ、受信側がその量子ビットと他のビットとの間のコヒーレンスを測定した場合、測定結果は非ゼロの確率で量子ビットが取り除かれたことを示す。

本件のその他の課題及び利点は、添付の図面を参照として、一例としての本件の具体案が開示された以下の説明から明らかになる。

図１及び２を参照すると、本件の方法１０及び装置１２は、送信ステーション１４と受信ステーション１６の間で、生鍵（例えば、１０１１００１０１００１１１１００１００１０１０…０１０１０１００などのデータ列）を伝送するための図３で示される量子系（すなわち量子ビット）２０のストリーム２２に符号化された信号列を交換し、送信ステーション及び受信ステーションが生鍵について盗聴者２４が入手し得た情報の最大量を測定するために提供される。後に生鍵は、周知である適切な鍵純粋化過程を経て純粋化され、安全鍵（１００１１０００…１１００などの生鍵のデータ列よりも少ない桁数を有する純粋化されたデータ列）が生成される。

送信ステーション１４と受信ステーション１６は量子チャネル２６及び古典チャネル３０によって接続される。信号値は、ある特定の量子状態（データ状態とも呼ばれる）で量子系を準備することによって符号化される。送信ステーション１４と受信ステーション１６の間で交換される量子系は、どんなアルファベットの記号が用いられようと、量子ビットと呼ばれる。

また、用いられる量子系は直交状態ではない。これは、量子物理学の法則によると、ある量子ビットを１００％の確率で特定するには、その量子ビットがどの量子状態で準備されたかを考慮することが不可欠であることを意味する。よって、ｐ＜１の確率で確定的な結果を、１−ｐの確率で不確定な結果を得られる一般化測定を行うのが最良の方法となる。そのため、受信ステーション１６は、送信ステーション１４から送信された量子状態及び信号のほんの一部しか特定することができない。この原理は盗聴者２４にとっても同様であり、不確定な結果が出た場合、盗聴者２４は量子状態を推測して送信するか、何も送信しないかのどちらかを選択しなければならない。

盗聴者２４が量子状態を推測して送信した場合、ストリーム２２の量子ビット２０を測定することにより、生成される信号列２０において非ゼロの確率でエラーを誘発する。後に、このエラーを検出するためのいわゆる鍵純粋化位相（ｋｅｙ ｄｉｓｔｉｌｌａｔｉｏｎ ｐｈａｓｅ）を行う際、送信ステーション１４と受信ステーション１６は連携して動作する。盗聴者２４が、不確定な結果が出た際にその代わりを何も送信しなかった場合、状況はより難解となる。なぜなら、それが盗聴者によるものか、損失性の量子チャネル２６の量子吸収によるものか判別することは不可能なためである。このため、送信ステーション１４及び受信ステーション１６がこの類の攻撃に気付くような手段を付加する必要がある。その手段としては、まず２つの量子ビット２０の間でコヒーレント位相関係が成り立ち、ストリーム２２において十分近隣に位置するように送信ステーション１４が設定される。送信ステーションは時折、適切な測定（例えば干渉測定など）を行って、ランダムに選択された２つの量子系の間でコヒーレント位相関が成り立っているかを確認する。量子ビット２０の除去、又は位相関係の破壊は、非ゼロの確率で検知可能な摂動を生誘発する。

残念なことに、盗聴者２４にはさらに別の可能性も残されている。盗聴者は、２つの量子ビット間の間隔にわたって、信号値を符号化するために用いられる量子的性質に、コヒーレンス測定を行うことができる。この攻撃を用いると、完全な情報が得られるうえに、量子ビット間のコヒーレンス関係を破壊することがないためアラームを誘発することもない。このため、送信ステーション１４及び受信ステーション１６がこのような攻撃に気付くことができる手段を付加する必要がある。その手段として、まず送信ステーションはデータ状態で準備されたいくつかの量子ビットの間に、上記データ状態とは非直交で、かつ重ね合わせでない状態で準備された、証拠の状態（ｗｉｔｎｅｓｓ ｓｔａｔｅ）としても知られる量子系を付加する。このような証拠の状態で準備された量子系は、下位の量子ビット（ｑｕｂｉｔｓ ｂｅｌｏｗ）とも呼ばれる。データ状態で準備された量子ビット２０に実行されるとそのデータ状態を特定することができる測定が、証拠の状態に行われたどうかを判別することが可能な測定が少なくとも１つ存在する。受信ステーション１６は、この測定をいくつかの量子ビット２０にランダムに行う。それらの量子ビット２０の一部は証拠の状態で準備されるため、量子ビットの間隔における攻撃を特定することが可能となる

以上をまとめると、本件における方法１０及び装置１２は以下の３つの原理に基づく：
第１に、非直交状態で準備され、近隣の状態とコヒーレント位相関係にある量子ビット２０を用いること。
第２に、コヒーレント位相関係がまだ成り立っているかどうかを、数ペアの量子ビットで確認を行うこと。
第３に、量子系の間隔にわたって行われる攻撃を見破る介助をするための、証拠の状態と呼ばれる状態で準備された量子ビットを用いること。
本発明における、信号値の時間符号化と時間ビンにおける電磁界のパルス弱コヒーレント状態とを用いた方法１０及び装置１２の具体案は、以下に記載される。

図２を参照として、量子チャネル２６と古典チャネル３０によって接続された送信ステーション１４及び受信ステーション１６を含んで構成される装置１２の具体案の一例が示される。上記量子チャネル２６は、例えば専用光ファイバーや、波長分割多重光通信システムのチャネルであってもよい。上記古典チャネル３０は、例えばインターネットや、明るい光パルス（ｂｒｉｇｈｔ ｏｐｔｉｃａｌ ｐｕｌｓｅｓ）を伝送する第２光ファイバーであってもよい。

受信ステーション１４は、処理装置３６によって制御された量子情報源３４を備える。処理装置３６は、メモリ、出力／入力ポート、中央処理管理入力装置を備え、所望の出力を生成するためにそれらに基づいて作動するコンピューター、又は装置のその他の部品と通信可能なデータ伝送及び通信機構であってもよい。量子情報源３４は、伝送線４０によって処理装置３６に接続される。この伝送線４０は、例えば電気信号を伝送するワイヤー又はケーブルなどを備えたものであってもよい。処理装置３６には、さらに乱数発生器４２が接続される。

次に図４を参照すると、量子情報源３４には、光路４６によって振幅変調器４８に接続された光源４４が備わってなる。光源４４は、例えばモードロックされたレーザーや連続波レーザーなどから形成されてもよい。量子情報源３４には、量子ビット２０の全体的な振幅を調整するために、光路５２によって振幅変調器４８に接続された可変光減衰器５０が備わってもよい。光路４６及び５２は、例えば光ファイバーや自由空間光路（ｆｒｅｅ ｓｐａｃｅ ｏｐｔｉｃｓ ｐａｔｈｓ）を構成してもよい。量子情報源３４の出力は、放射光が量子チャネルに入射されるように、量子チャネル２６に接続される。

図３を参照として、量子情報源３４は量子ビット２０のストリーム２２を生成する。それぞれの量子ビット２０は、期間ｔを有する時間ビン６０と６２において、減衰されたレーザーパルスなどの電磁界のパルス弱コヒーレント状態５６の１つのペア５４から構成される。ある特定の量子ビット２０において、時間ビン６０の中間と６２の中間は、ｔよりも大きいとされる時間Ｔ１だけ隔たれる。量子ビット２０の２つ目のパルス弱コヒーレント状態７２の中間は、次の量子ビット２０の１つ目のパルス弱コヒーレント状態の中間から、ｔよりも大きいとされる時間Ｔ２だけ隔たれる。原理上は、Ｔ１とＴ２は同等である必要はないが、以下においては便宜上Ｔ１＝Ｔ２＝Ｔであると仮定する。“０”ビット値が付された量子ビット７４は、第１時間ビン６０においてプロトコルの安全を保証するように選択されたμの平均光子数を有する非空の弱コヒーレント状態７１と、第２時間ビン６２においてプロトコルの安全を保証するように選択されたμの平均光子数を有する空の弱コヒーレント状態７２とから構成される。図３には、量子ビット７４における第１時間ビン６０と第２時間ビン６２しか示されていないが、ストリーム２２のそれぞれの量子ビットは第１時間ビン及び第２時間ビンを有する。

次に図５を参照すると、２つの時間ビン６０と６２における直角座標空間（ｑｕａｄｒａｔｕｒｅ ｓｐａｃｅ）が示されており、量子ビット２０の２つの数値にそれぞれ対応する量子状態は重なり合っており、このため非直交である。

形式的な表記法では、量子ビットｑは|ｑ＞＝|β;α＞と記される。数式の第２の「ケット（ｋｅｔ）」におけるそれぞれの配置はモードを表す。上記で示された状態は時間符号化に相当する。この場合、それぞれのモードは重複しない時間ビンとなる。α及びβの記号は、それぞれの時間ビンにおけるコヒーレント状態の振幅を示す。この表記法から、第１時間ビンにおける平均光子数は|α|²によって、また第２時間ビンにおける平均光子数は|β|²によって計算することが可能となる。よって、非空の弱コヒーレント状態における平均光子数μが|α|²と同等であれば、０の量子ビット値は|０＞＝|０;α＞、１の量子ビット値は|１＞＝|α;１＞と表記される。

量子情報源３４は、証拠の状態８０としても知られる配列|ｄ＞＝|δ₂; δ₁＞も生成することもできる。証拠状態８０は、第１時間ビン、第２時間ビンにおいて、それぞれ|δ₁|²、|δ₂|²の平均光子数を有する非空の弱コヒーレント状態８２、８４から構成される。おとりの配列８０はビット値の符合とはならないが、特定の盗聴攻撃を防ぐために用いられる。

量子情報源３４の重要な性質は、ある特定の量子ビット２０の２つの時間ビン６０又は６２においても、またその近隣にある量子ビットの時間ビン６２又は８６においても、隣接する２つの弱コヒーレント状態は必ず固定位相関係にあるという点である。これと同様に、ストリーム２２において隣接する弱コヒーレント状態は位相コヒーレントであるといえる。矢印８８及び８９は、隣接する弱コヒーレント状態、例えば６６と７２、又は７１と７２の間の固定位相関係を示す。これは、２つの弱コヒーレント状態は、重ね合わされるとコヒーレントに干渉することを示している。このような位相コヒーレンスを示すストリーム２２のパルス弱コヒーレント状態は、振幅変調器を用いて連続波レーザービームからパルスを取り出すことによって生成できる。モードロックされたレーザーによって生成されたパルスもこのような性質を有する。

送信ステーション１４における処理装置３６は、乱数発生器４２が提供する乱数を用いて、ストリーム２２のそれぞれの量子ビット２０に“０”量子ビット、“１”量子ビット又は証拠の状態８０のどれを量子チャネル２６で送信するかを選択する。そして、処理装置３６は、それぞれの量子ビット２０に対してどれが選択されたかを記録する。それぞれが選択される可能性の確率は同等である必要はなく、それぞれの量子ビットは鍵交換率を最大限にするように選択される。

次に図２を参照すると、受信ステーション１６は光学サブシステム９０と処理装置９２を備えてなる。処理装置９２は、例えばメモリ、出力／入力ポート、中央処理管理入力装置を備え、所望の出力を生成するためにそれらに基づいて作動するコンピューター、又は装置のその他の部品と通信可能なデータ伝送及び通信機構であってもよい。光学サブシステム９０は、伝送線９４によって処理装置９２に接続される。この伝送線９４は、例えば電気信号を伝送するワイヤー又はケーブルなどを備えたものであってもよい。

次に図６を参照として、光学サブシステム９０は、少なくとも１つの入力ポート９８と少なくとも２つの出力ポート１００、１０２を備えたスイッチング装置９６を有する。スイッチング装置９６は、適切な反射率及び伝達率を有するカプラ、又は処理装置９２によってランダムにトリガーされる光学スイッチであってもよい。スイッチング装置９６の入力ポート９８は量子チャネル２６に接続される。第１出力ポート１００は、時間に基づいて測定を行うために用いられるビット値測定装置１０６の検出装置１０４に接続される。第２出力ポート１０２は、ライン監視装置１１４における不均衡な干渉計１１２の入力ポート１１０に接続される。スイッチング装置９６は、受信した量子ビット２０を光路１１６又は１１８を用いてビット値測定装置１０６又はライン監視装置１１４のいずれかに送信するために用いられる。光路１１６及び１１８は、例えば光ファイバー又は自由空間光路を含んでなってもよい。干渉計１１２は、例えばＴ時間の遅延を誘発する不均衡マッハツェンダー干渉計であってもよく、単一量子ビット（７１と７２）又は隣接する２つの量子ビット（６６と７２）のいずれかにおける隣接する弱コヒーレント状態を重ね合わせるために用いられる。

重ね合わせ状態７１、７２が、単一量子ビット７４における２つの時間ビン６０，６２から得られたものならば、それは量子ビット内（ｉｎｔｒａ−ｑｕｂｉｔ）コヒーレンスを検証するための内部重ね合わせ（ｉｎｔｅｒｎａｌ ｓｕｐｅｒｐｏｓｉｔｉｏｎ）であるといえ、またそれが、例えば６６、７２などの隣接する量子ビットから得られたものならば、量子ビット間（ｉｎｔｅｒ−ｑｕｂｉｔ）コヒーレンスを検証するための相互重ね合わせ（ｃｒｏｓｓ−ｓｕｐｅｒｐｏｓｉｔｉｏｎ）であるといえる。干渉計１１２の出力ポート１２４、１２６には２つの検出装置１２０、１２２が接続される。この干渉計１１２の不均衡は、２つの隣接するパルスにおいて非空の弱コヒーレント状態が存在する場合、検出装置１２０又は１２２の一方（例えば検出装置１２２）に接続された出力ポート１２４又は１２６のどちらかに相殺的干渉が生じるように調整される。これが、（内部重ね合わせによる）証拠の状態８０の場合のケースであり、（相互重ね合わせによる）“１”量子ビットの後に“０”量子ビットが続く場合のケースである。検出装置１０４、１２０，１２２は、量子情報源３４によって生成された量子状態における２つの時間ビン、例えば６０と６２を判別することが可能な、例えばＴよりも小さい時間分解能を有する光子計数検出器からなる。この光子計数検出器１０４、１２０、１２２は、例えばガイガーモードで作動されるアバランシェフォトダイオード、又は受信した信号をアップコンバートするために非線形過程を利用した装置を備えてもよい。検出装置１０４，１２０，１２２は、伝送線１２４によって処理装置９２に接続される。この伝送線１２４は、電気信号を伝送するワイヤー又はケーブルで構成されたものでもよい。

ビット値測定装置１０６は、ある光子が第１時間ビン６０又は第２時間ビン６２のどちらに到着したかを特定することが可能な検出装置１０４を備えてなる。これは本質的には、非直交状態を識別するために正定置作用素測定が行われることを意味する。量子ビット２０毎の平均光子数が低いため、ビット値測定装置１０６は時間ビン６０又は６２のいずれかにおける検出を記録し損じることがある。このような場合には、測定は不確定なものとなる。検出装置１０４によって検出が示されると、その結果は処理装置９２によって記録される。

ライン監視装置１１４によって、２つの異なる量子ビット７４又は７６（量子ビット内コヒーレンス）、又は証拠の状態８０内（量子ビット間コヒーレンス）において隣接する時間ビン６０又は６２の隣接する弱コヒーレント状態６６と７２の間の位相コヒーレンス度の監視が可能となる。２つの弱コヒーレント状態は干渉計１１２によって重ね合わせられ、干渉は記録される。

次に図７の左側の列を参照すると、量子ビット値ｎとｎ＋１の部分列が“１１”又は“００”であった場合、干渉の時間窓（ｔｉｍｅ ｗｉｎｄｏｗ）においてカウントが記録される確率は、検出装置１２２及び１２０の両方において非ゼロであることが示されている。非空の弱コヒーレント状態は空の弱コヒーレント状態に重ね合わせられるため、干渉は生じず、光子は干渉計１１２の出力ポート１２４又は１２６のどちらかを確率的に選択する。部分列が“１０”であった場合、２つの寄与は空であるため、検出装置１２２及び１２０では干渉の時間窓にカウントは記録されない。最後に、部分列が“０１”であった場合、破壊的な干渉が生じるため、検出装置１２２ではカウントは記録されないが、一方で検出装置１２０では非ゼロの確率でカウントは記録される。

次に図７の真中の列を参照すると、“０１”の部分列において、盗聴者によって量子ビットの１つが取り除かれると、干渉が破壊されることが示されている。すると、検出装置１２２では非ゼロの確率で干渉の時間窓にカウントが記録される。これらのカウントは、下記においては警告カウント（ｗａｒｎｉｎｇ ｃｏｕｎｔｓ）と称される。これは、例えば不確定な結果が出た際に盗聴者２４がある量子ビット２０を取り除いた場合、顕著な摂動が誘発されるということである。このような不干渉事象の発生を避けるために、盗聴者２４が全ての量子ビット２０をブロックした場合、通信が妨害され、送信ステーション１４及び受信ステーション１６に明らかに発見される。

図７の右側の列を参照すると、１つの量子ビット値を摩り替えると、カウントが生じないはずの干渉時間窓にカウントが誘発されることが示されている。未知の量子ビット値をランダムに推測する盗聴者２４は、５０％の確率で間違った数値を選択する。この場合、盗聴者が警告カウントを誘発する確率は非ゼロとなる。また、盗聴者２４によるこのような介入は、ビット値測定装置１０６によって検出される配列においても非ゼロの確率でエラーを誘発する。

最後に、攻撃された量子ビットにおける１つの弱コヒーレント状態が近隣の量子ビットにおける隣接する弱コヒーレント状態に重ね合わせられると、量子非破壊測定は、例えば７４などの単一量子ビットに属する、例えば７１及び７２などの２つの弱コヒーレント状態と、隣接する弱コヒーレント状態との間の位相コヒーレンスを破壊し、非ゼロの確率で警告カウントを誘発する。また同様に、例えば２つの異なる量子ビット７６と７４に属する６６と７２などの２つの弱コヒーレント状態に量子非破壊測定が行われると、これらの弱コヒーレント状態の両方と、それぞれの量子ビットにおける第２の弱コヒーレント状態との間の位相コヒーレンスは破壊される。このため、このような攻撃が証拠の状態に行われた際にも警告カウントが誘発される。量子非破壊測定による攻撃が２つの弱コヒーレント状態以上に行われた場合、位相コヒーレンスは同様に破壊され、警告カウントが誘発される。そして、検出装置１２０及び１２２による検出は、処理装置９２によって記録される。

多数の量子ビット２０が交換されると、受信ステーション１６はビット値測定装置１０６によってどの量子ビット値で確定的な結果が得られたかを古典チャネル３０を通して公表する。送信ステーション１４はその結果を照合し、どれが証拠の状態８０で、どれがそうではないかを通知する。証拠の状態８０と一致するものは、信号値を符号化しないため考慮されない。その他の量子ビット値は生鍵に加えられる。また、受信ステーション１６は、どの量子ビットでライン監視装置１１４の検出装置１２０及び１２２による検出が記録されたかも、古典チャネル３０を通して送信ステーション１４に公表する。送信ステーション１４は、その検出が想定されていたものかどうか、送信した量子ビット２０のリストをチェックする。警告カウントの生起確率により、送信ステーション１４と受信ステーション１６は行われた盗聴の強度を推測することができるため、鍵について盗聴者２４が入手し得た情報の量を推定することが可能となる。この推定値から、生鍵から安全な最終鍵（ｆｉｎａｌ ｋｅｙ）を生成するための、例えばエラー補正やプライバシー増幅などを含む鍵純粋化過程のステップを十分にパラメータ化することができる。

本件の装置１２の別の具体案では、装置１２の送信ステーション１４は独立して備えられるが、受信ステーション１６と相互に作動するために用いられる。

再び図１を参照として、本件の鍵交換の方法１０は以下のステップから構成される。
第１ステップ１３０において、送信ステーション１４は量子情報源３４を用いて量子ビット２０を生成し、量子チャネル２６を介して受信ステーション１６に送信する。
第２ステップ１３２において、量子ビット２０はスイッチング装置９６（図６参照）を通過し、ビット値測定装置１０６又はライン監視装置１１４のどちらかに送信され、それぞれの関連する測定が各量子ビットのストリームにそれぞれ行われる。
第１の代案的なサブステップ１３４ａにおいて、スイッチング装置９６からビット値測定装置１０６に送信された量子ビット２０については、それぞれの光子の到着時間が観測される。
第２の代案的なサブステップ１３４ｂにおいて、スイッチング装置９６からライン監視装置１１４に送信された量子ビットの量子ビット内位相コヒーレンス又は量子ビット２０に隣接する量子ビット間の量子ビット間位相コヒーレンスは、干渉的に測定される。サブステップ１３４ａとサブステップ１３４ｂは、互いを除外する。
第４ステップ１３６において、上記サブステップにおけるそれぞれの測定で得られた結果は受信ステーション１６の処理装置９２によって記録される。
第５ステップ１３８において、方法１０では、十分な数の量子ビット２０のストリーム２２が交換されるまで、上記のステップ１３０，１３２，１３４ａ、１３４ｂと１３６が繰り返して行われる。
第６ステップ１４０において、十分な数の量子ビット２０が交換されると、ステップ１３４ｂの測定結果から量子ビット内及び量子ビット間の位相コヒーレンス度を推定することによって、交換中に行われた盗聴の度合いを測定するために、関連する情報を受信ステーション１６と送信ステーション１４との間で交換する。また、送信ステーション１４と受信ステーション１６は連携して、ステップ１３４ａで行われたどの測定で生鍵のビットが得られたのかを明らかにする。

生鍵だけでなく、その生鍵について盗聴者が入手し得た情報の推定値によって、鍵交換の方法１０の生成物は構成される。

本件の利点は、量子暗号通信装置１２及び方法１０が簡単に行える点である。この簡潔性は、量子ビット２０がたった２つの非直交状態で準備されるだけでよいことに基づく。

本件の更に別の利点は、装置１２及び方法１０は、量子ビット２０の数値の時間符号化を用いることができる点である。非空の弱コヒーレント状態７１からなる量子ビット、例えば７４を２つの時間ビンのうちの１つ目の時間ビン６０において準備しつつ、２つ目の時間ビン６２を空に保ち、それぞれの時間ビンを量子ビット間の時間よりも短く設定することで、量子ビット値の１つを符号化することができる。その他の量子ビット値は、空の時間ビンと非空の時間ビンが入れ替えられた量子ビット、例えば７６に符号化される。この場合、２つの量子状態を識別するのに最適な正定置作用素測定では、光子計数検出器による光子の到着時間の測定が必要とされるが、この測定は非常に簡単に行うことができる。

本件のもう１つの利点は、用いられる量子状態は量子チャネル２６における環境的変動に非常にロバストである点である。例えば偏光変動によってエラーは誘発されない。

本件のもう１つの利点は、本発明が簡単に行えるため、既存の技術を用いても高速鍵交換が可能な点である。

本件の量子暗号通信装置１２及び方法１０の更に別の利点は、ある量子ビット、例えば７４における２つの時間ビン、例えば６０と６２と、ある量子ビットのペア７６と７４の間の２つの時間ビン、例えば８６と６２の間の位相コヒーレンスの干渉測定を行うことによって盗聴が監視されるため、盗聴に対してロバストである点である。とりわけ、本件の装置１２及び方法１０は光子数分岐攻撃に対してロバストである。この性質は、盗聴者２４によって量子ビット２０が取り除かれると顕著な摂動が生じることに基づく。量子ビット２０のうち１つが取り除かれ、受信ステーション１６がこの量子ビットと別の量子ビットのコヒーレンスを測定しようとした場合、量子ビットが除去されたことは非セロの確率で測定結果に示される。

本件において説明された具体案には、様々な変更及び改良が加えられてもよい。本件では例として限定された具体案が開示及び説明されているが、多岐に渡る改良、変更、代替が可能である。場合によっては、本発明におけるある機能が、対応するその他の機能を用いることなく使用されることも可能である。よって、本件の上述の説明は広く解釈され、ほんの一例として挙げられたに過ぎず、本発明の精神及び範囲は添付の請求項によってのみ限定されることを考慮されたい。

鍵配布のハイレベル・フローチャート（ｈｉｇｈ−ｌｅｖｅｌ ｆｌｏｗｃｈａｒｔ)である。 本発明による装置の概念図である。 送信ステーションによって生成された量子ビットのストリームを示したグラフである。 送信ステーションにおける量子情報源の具体案を示した概念図である。 直角座標において、送信ステーションによって生成された非直交２状態を示した図である。 受信ステーションにおける光学サブシステムの概念図である。 受信ステーションの光学サブシステムの、干渉計の出力ポートのうち１つにおける量子系と、その量子系の１つの数値が盗聴者によって除去又は交換された際の影響を示したグラフである。

符号の説明

１０ 方法
１２ 装置
１４ 送信ステーション
１６ 受信ステーション
２０ 量子系（量子ビット）
２２ ストリーム
２４ 盗聴者
２６ 量子チャネル
３０ 古典チャネル
３４ 量子情報源
３６ 処理装置
４０ 伝送線
４２ 乱数発生器
４４ 光源
４６ 光路
４８ 振幅変調器
５０ 可変光減衰器
５２ 光路
５４ パルス弱コヒーレント状態５６のペア
５６ パルス弱コヒーレント状態
６０ 時間ビン
６２ 時間ビン
７１ 非空の弱コヒーレント状態
７２ 空の弱コヒーレント状態
７４ 量子ビット
７６ 量子ビット
８０ 証拠の状態／おとりの配列
８２ 非空の弱コヒーレント状態
８４ 非空の弱コヒーレント状態
８６ 時間ビン
８８ 矢印
８９ 矢印
９０ 光学サブシステム
９２ 処理装置
９４ 伝送線
９６ スイッチング装置
９８ 入力ポート
１００ 出力ポート
１０２ 出力ポート
１０４ 検出装置
１０６ ビット値測定装置
１１０ 入力ポート
１１２ 干渉計
１１６ 光路
１１８ 光路
１２０ 検出装置
１２２ 検出装置
１２４ 出力ポート／伝送線
１２６ 出力ポート／伝送線
１３０ 第１ステップ
１３２ 第２ステップ
１３４ａ 第１の代案のサブステップ
１３４ｂ 第２の代案のサブステップ
１３６ 第４ステップ
１３８ 第５ステップ
１４０ 第６ステップ

Claims (25)

1. 量子チャネルと古典チャネルで接続された送信ステーションと受信ステーションの間において信号列を配信し、上記２つのチャネルにアクセスした盗聴者が入手し得た情報の量を測定するための装置であり、
   上記受信ステーションの関連する部品と連携して、上記送信ステーションにおける各部品を指令及び制御可能とする制御手段と、量子系のストリームを生成するための量子情報源とを備える送信ステーションであって、
   上記量子系は、ストリームにおいて近傍に位置する量子系との間でコヒーレント位相関係を有し、
   上記量子系の一部は、信号値と関連する少なくとも２つの非直交量子状態からなる第１集合に属する量子状態で準備され、
   上記送信ステーションは、上記第１集合の量子状態の一部と非直交状態で、かつ重ね合わせ状態にない、少なくとも１つの量子状態からなる第２集合に属する状態の量子系を生成するように設定され、
   上記第２集合の量子状態は、上記第１集合に属する量子状態で準備された量子系に行われると、その量子系がどの状態で準備されたかが少なくともある場合には特定できるように適合された測定によって摂動が生じる状態から選択される送信ステーションを備えてなることを特徴とする装置。
2. 上記量子チャネル及び古典チャネルによって上記送信ステーションに接続された受信ステーションであって、
   受信ステーションの操作を制御し、受信ステーションにおける各部品を送信ステーションの関連する部品と連携して指令及び制御可能にするように上記送信ステーションとの操作及び通信を調整するための制御手段と、
   少なくとも２つの測定サブシステムのうち１つに量子系を伝送するためのスイッチング装置と、
   適切な光路によって上記スイッチング装置に接続され、ある量子系が送信ステーションにおいてどの量子状態で準備されたかを特定することが可能な第１測定を上記量子系の一部に行うための第１測定サブシステムと、
   を備えた受信ステーションをさらに備えてなることを特徴とする請求項１に記載の装置。
3. 適切な光路によって上記スイッチング装置に接続され、受信ステーションによって受信された２つの量子系の位相関係のコヒーレンス度に関する情報を得ることが可能な第２測定を、少なくとも２つの量子系からなるグループに行うための測定サブシステムと、
   適切な光路によって上記スイッチング装置に接続され、上記第２集合に属する状態で準備された量子系に行われると、送信ステーションと受信ステーションの間で測定を受けたかどうかを少なくともある場合には特定でき、また上記第１集合に属する状態で準備された量子系に行われると、その量子系がどの状態で準備されたかを少なくともある場合には特定できる第３測定を行うための測定サブシステムと、
   をさらに備えてなることを特徴とする請求項２に記載の装置。
4. 上記送信ステーションとのデータの双方向通信を可能にすることによって、上記量子チャネルに及ぼされた盗聴の度合いを測定するために、送信ステーションと受信ステーションとが連携するように設定され、
   ある特定の量子系が第１集合のどの量子状態で準備され、どの信号が送信ステーションから送信されたかを特定するための、上記第１測定で確定的な結果が得られた少なくとも一部の量子系のストリームにおける位置と、
   上記第２測定及び第３測定の結果のうち少なくとも一部と、
   を送信ステーションに通知する通信手段を備えてなることを特徴とする請求項３に記載の装置。
5. 上記各測定サブシステムは、上記第１、第２及び第３測定のいずれか１つ又は複数を実行可能に設定された多くとも２つの統合測定サブシステムに備わることを特徴とする請求項３に記載の装置。
6. 上記送信ステーションの量子情報源は、
   電磁場において少なくとも２つの弱コヒーレント状態を含むグループをそれぞれ期間ｔの時間ビンで準備し、
   上記各弱コヒーレント状態の中間は、最近傍の中間から上記期間ｔよりも大きいとされる時間Ｔ１だけ隔たれ、ある１つのグループにおける最後の弱コヒーレント状態の中間は次のグループにおける最初の弱コヒーレント状態の中間から、上記時間ｔよりも大きいとされる時間Ｔ２だけ隔たれており、１つのグループの任意の２つの弱コヒーレント状態は位相コヒーレントであり、ある１つのグループの弱コヒーレント状態はその隣接するグループの弱コヒーレント状態の少なくとも一部と位相コヒーレントであり、
   配列における各信号が伝送されるように、時間ビンの１つにおいては非ゼロ振幅の弱コヒーレント状態と、その他の時間ビンにおいてはゼロ振幅の弱コヒーレント状態とからなる１つの量子系を生成し、
   信号に関連する一部の量子系の間に、少なくとも２つの時間ビンにおいて非ゼロ振幅を有する弱コヒーレント状態を少なくとも２つ備えた量子系を付加し、
   上記量子系を適切な量子チャネルを介して受信ステーションへ送信することを特徴とする請求項１に記載の装置。
7. 上記送信ステーションの上記量子情報源は、適切な光路によって振幅変調器に接続されたモードロックされたレーザーを備えてなることを特徴とする請求項６に記載の装置。
8. 上記送信ステーションの上記量子情報源は、適切な光路によって振幅変調器に接続された連続波レーザーを備えてなることを特徴とする請求項６に記載の装置。
9. 上記情報源は光可変減衰器を備えてなることを特徴とする請求項６に記載の装置。
10. 上記受信ステーションにおけるスイッチング装置は、選択された反射率及び伝達比を有する光ファイバーカプラを備えてなることを特徴とする請求項６に記載の装置。
11. 上記受信ステーションにおけるスイッチング装置は、選択された反射率及び伝達率を有するビームスプリッタを備えてなることを特徴とする請求項６に記載の装置。
12. 上記受信ステーションにおけるスイッチング装置は、光学時計を備えてなることを特徴とする請求項６に記載の装置。
13. 上記受信ステーションにおけるスイッチング装置は、能動素子及び受動素子からなる装置のグループから選択されることを特徴とする請求項６に記載の装置。
14. 上記受信ステーションは、適切な光路によってスイッチング装置に接続されると共に、制御手段に電気的に接続された検出装置を備え、該検出装置はＴ１及びＴ２より小さい分解能を有する光子の到着時間を特定することにより、ある量子系がどの量子状態で送信ステーションによって準備されたのかが、少なくともある場合においては特定できることを特徴とする請求項６に記載の装置。
15. 上記検出装置は、ガイガーモードで動作されるアバランシェフォトダイオードを備えてなることを特徴とする請求項１４に記載の装置。
16. 上記検出装置は、適切な光路によって第２検出装置に接続された光周波数アップコンバージョン装置を備えてなることを特徴とする請求項１４に記載の装置。
17. 上記受信ステーションは、適切な光路によって上記スイッチング装置に接続されると共に、異なる時間ビンにおける少なくとも２つの弱コヒーレント状態を光学的に重ね合わせ、それらが位相コヒーレントであった場合には破壊的に干渉し、その重ね合わせ状態を少なくとも１つの検出装置に伝送して、Ｔ１及びＴ２よりも小さい分解能を有する光子の到着時間を特定させることが可能な光学装置を備えることを特徴とする請求項６に記載の装置。
18. 上記光学装置は、干渉計を備えてなることを特徴とする請求項１７に記載の装置。
19. 上記干渉計は、マッハツェンダー干渉計であることを特徴とする請求項１８に記載の装置。
20. 上記干渉計は、少なくとも１つのファラデーミラーを備えた自動補正の干渉計であることを特徴とする請求項１８に記載の装置。
21. 上記１つ又はそれ以上の検出装置は、ガイガーモードで動作されるアバランシェフォトダイオードを備えてなることを特徴とする請求項１７に記載の装置。
22. 上記１つ又はそれ以上の検出装置は、適切な光路によって第2検出装置に接続された光周波数アップコンバージョン装置を備えてなることを特徴とする請求項１７に記載の装置。
23. 請求項１に記載の装置において作動する方法であって、
    ａ）送信ステーションにより、隣接する量子系との間でコヒーレント位相関係を有する量子系のストリームを生成するステップと、
    ｂ）受信ステーションにより、盗聴者によって引き起こされた一部の量子系の間のコヒーレンスの状態収縮を検出するステップと、
    ｃ）送信ステーションにより、盗聴者が２つの量子系間のコヒーレント位相関係が変化なく保たれるように選択された測定を証拠の状態（ｗｉｔｎｅｓｓ ｓｔａｔｅ）及びその他の量子系に対して行うと状態が変化するように、ストリームにおける一部の量子系の間に１つの証拠の状態を付加するステップと、
    ｄ）受信ステーションにより、盗聴者によって引き起こされた少なくとも一部の証拠の状態におけるどんな変化をも見つけ出すステップと
    からなることを特徴とする方法。
24. 請求項２３に記載の方法を用いて生成され、送信ステーションから受信ステーションまで伝送されたデータ伝送量子系からなる生鍵（ｒａｗ ｋｅｙ）から鍵純粋化（ｋｅｙ ｄｉｓｔｉｌｌａｔｉｏｎ ｍｅｔｈｏｄ）によって純粋化されてなる安全鍵。
25. 請求項２３に記載の方法を用いて生成され、送信ステーションから受信ステーションまで伝送されたデータ伝送量子系からなる生鍵。

Images