JP6257042B2

JP6257042B2 - 量子鍵配送システムおよび量子鍵配送方法

Info

Publication number: JP6257042B2
Application number: JP2014173308A
Authority: JP
Inventors: 武居　弘樹; 弘樹武居; 潔玉木; 雅斗小芦; 寿彦佐々木; 喜久山本
Original assignee: Nippon Telegraph and Telephone Corp; University of Tokyo NUC; Inter University Research Institute Corp Research Organization of Information and Systems
Current assignee: Nippon Telegraph and Telephone Corp; University of Tokyo NUC; Inter University Research Institute Corp Research Organization of Information and Systems
Priority date: 2014-08-27
Filing date: 2014-08-27
Publication date: 2018-01-10
Anticipated expiration: 2034-08-27
Also published as: JP2016048860A

Description

本発明は量子鍵配送システムおよび量子鍵配送方法に関する。

情報を暗号・復号するための暗号鍵として、量子力学を用いて生成されるランダムな秘密鍵（共有秘密鍵）を送信装置（アリス）と受信装置（ボブ）との間で共有する量子鍵配送システムが知られている。従来の量子鍵配送（QKD）は、量子力学的効果により、アリスとボブの間の通信内容を傍受しようとする盗聴者イブのいかなる試みも、その通信内容の変更を伴うという事実に基づいている。アリスはランダムなビット列をボブに送信し、共有する。その際の通信内容が変更された度合いの大きさを測定し、定量的な分析により、盗聴者イブへの情報の漏えい量を見積もり、それによって決まる適切な大きさの秘匿性増幅を共有されたランダムなビット列に施すことで、イブへの漏えいが任意に小さい共有秘密鍵を得る。ここで、秘匿性増幅の大きさが大きいほど、得られる共有秘密鍵の長さは小さくなる。

最終的に得られる共有秘密鍵のイブへの漏えい量を十分に小さくする（例えば、漏えいによって何らかの被害が起こる確率を１億回に１回程度に抑える）ためには、通信内容が盗聴者によって変更された度合いの大きさを非常に高い信頼性（例えば、見積もりを誤る確率が１億の自乗回に１回）を持った手法で評価しなければならない。実システムにおいては、盗聴行為によって変化する光信号の大きさを表すビットエラー率などの諸量を非常に高い信頼度で推定する必要があることを意味する。そして、このような評価には、内容の変更の確認に使用するデータの数を十分に大きくとらなければならない。内容の変更の確認は、該当部分の通信内容の公開を伴うため、この部分は共有秘密鍵の生成には使用できない。

一方で、一度に通信を行うビット数を、内容の変更の確認に必要なデータの数よりもはるかに大きくとれば、内容の変更の確認に使用するデータの全体に対する相対的な割合は小さくなる。しかし、秘匿性増幅に要する時間的、設備的なビット当たりのコストは、一度に通信を行うビット数の増大につれて増加する。このトレードオフのために、一般に、通信内容が変更される度合いを表すパラメータの数が増えるほど、現実的な装置の量子鍵配送の効率は理想的な極限に比べて低下する傾向になる。

Daniel Gottesman, "Security of quantum key distribution with imperfect devices", Quantum Information and Computation, Vol.4, No.5 (2004) pp.325-360. Kiyoshi Tamaki, et al., "Unconditionally Secure Key Distribution Based on Two Nonorthogonal States", PHYSICAL REVIEW LETTERS, Vol.90, No.16, (2003) 167904.

以上説明したように、従来の量子鍵配送システムでは、秘匿性増強の大きさを決定するのに、盗聴行為によって生じる通信内容の変更の大きさを表す物理的な諸量（例えば、ビットエラー率など）を非常に高い信頼度で推定する必要がある。

本発明は上記従来の問題に鑑みなされたものであって、本発明の課題は、盗聴行為によって生じる通信内容の変更の大きさとは無関係に秘匿性増幅の大きさを定めることができる、新しい原理に基づく量子鍵配送システムおよび量子鍵配送方法を実現することにある。

上記の課題を解決するために、一実施形態に記載の発明は、送信装置と受信装置において秘密鍵を共有する量子鍵配送システムであって、前記送信装置は、各ビットに２値の位相シフトをランダムに与えた長さＬパルスの光パルス列を１パルス当たり平均１光子未満で送信する送信手段を有し、前記受信装置は、任意の整数ｋ（１≦ｋ≦Ｌ−１）を発生させる乱数発生器と、該乱数発生器が発生した乱数ｋに光パルスの時間間隔Ｔを乗じたｋＴの遅延時間を一方のアームに設定可能なマッハツェンダ型の干渉計と、該干渉計の２つの出力それぞれに設けられた光子検出器とを有し、前記受信装置は、前記干渉計に長さＬパルスの光パルス列が入力されたときに、前記光子検出器で該光パルス列のｍ＋ｋ番目の光パルスにおいて１個の光子を検出し、かつ検出した１個の光子は前記干渉計にて２つの光パルスが合波された結果として得られたものであるか否かに基づいて、信号検出の成否を判定し、前記信号検出が成の場合、合波した２つの光パルスの位相シフトが同じか否かで異なるビット値を記録し、前記送信装置へ、前記信号検出の成否と前記光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）とを送信し、前記送信装置は、前記受信装置から受け取った信号検出の成否が成である場合には、光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）に基づいて、前記送信手段で送信した前記長さＬパルスの光パルス列のビット値のうちから前記番号（ｍ、ｍ＋ｋ）の２つの光パルスに相当する２つのビット値を抽出し、該２つのビット値が同じか否かで異なるビット値を記録し、前記送信装置および前記受信装置は、それぞれ、前記長さＬパルスの光パルス列がＭ回数入力された結果、信号検出が成であることをＮ回判定した場合に、該判定回数に基づいて秘匿性増強の値Ｓ（Ｎ）を決定し、該送信装置および該受信装置において記録したＮ個のビット列からＳ（Ｎ）ビットを差し引いて秘匿性増強を行なうことで、送信装置と受信装置とが秘密鍵を共有することを特徴とする量子鍵配送システムである。

他の実施形態に記載の発明は、送信装置と受信装置において秘密鍵を共有する量子鍵配送システムであって、前記送信装置は、各ビットに２値の位相シフトをランダムに与えた長さLパルスの光パルス列を１パルス当たり平均１光子未満で送信する送信手段を備え、前記受信装置は、（Ｌ−１）個の光遅延干渉測定手段を有し、該光遅延干渉測定手段は互いに異なる固定された光遅延時間ｋＴ（１≦ｋ≦（Ｌ−１））を一方のアームに設定可能なマッハツェンダ型の干渉計と、該干渉計の２つの出力それぞれに設けられた光子検出器とを有し、前記受信装置は、前記干渉計に長さLパルスの光パルス列が入力されたときに、ｋＴの光遅延時間を与えられた光遅延干渉測定手段の光子検出器で該光パルス列のｍ＋ｋ番目の光パルスにおいて１個の光子を検出し、かつ検出した１個の光子は当該光遅延干渉測定手段の干渉計にて２つの光パルスが合波された結果として得られたものであるか否かに基づいて、信号検出の成否を判定し、前記信号検出が成の場合、合波した２つの光パルスの位相シフトが同じか否かで異なるビット値を記録し、前記送信装置へ、前記信号検出の成否と前記光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）とを送信し、前記送信装置は、前記受信装置から受け取った信号検出の成否が成である場合には、光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）に基づいて、前記送信手段で送信した前記長さLパルスの光パルス列のビット値のうちから前記番号（ｍ、ｍ＋ｋ）の２つの光パルスに相当する２つのビット値を抽出し、該２つのビット値が同じか否かで異なるビット値を記録し、前記送信装置および前記受信装置は、それぞれ、前記長さLパルスの光パルス列がＭ回数入力された結果、信号検出が成であることをＮ回判定した場合に、該判定回数に基づいて秘匿性増強の値Ｓ（Ｎ）を決定し、該送信装置および該受信装置において記録したＮ個のビット列からＳ（Ｎ）ビットを差し引いて秘匿性増強を行なうことで、送信装置と受信装置とが秘密鍵を共有することを特徴とする量子鍵配送システムである。

さらに他の実施形態に記載の発明は、送信装置と受信装置において秘密鍵を共有する量子鍵配送方法であって、前記送信装置は、各ビットに２値の位相シフトをランダムに与えた長さLパルスの光パルス列を１パルス当たり平均１光子未満で送信する送信手段を有し、前記受信装置は、任意の整数ｋ（１≦ｋ≦Ｌ−１）を発生させる乱数発生器と、該乱数発生器が発生した乱数ｋに光パルスの時間間隔Ｔを乗じたｋＴの遅延時間を一方のアームに設定可能なマッハツェンダ型の干渉計と、該干渉計の２つの出力それぞれに設けられた光子検出器とを有し、前記受信装置が、前記干渉計に長さLパルスの光パルス列が入力されたときに、前記光子検出器で該光パルス列のｍ＋ｋ番目の光パルスにおいて１個の光子を検出し、かつ検出した１個の光子は前記干渉計にて２つの光パルスが合波された結果として得られたものであるか否かに基づいて、信号検出の成否を判定し、前記信号検出が成の場合、合波した２つの光パルスの位相シフトが同じか否かで異なるビット値を記録し、前記送信装置へ、前記信号検出の成否と前記光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）とを送信するステップと、前記送信装置が、前記受信装置から受け取った信号検出の成否が成である場合には、光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）に基づいて、前記送信手段で送信した前記長さＬパルスの光パルス列のビット値のうちから前記番号（ｍ、ｍ＋ｋ）の２つの光パルスに相当する２つのビット値を抽出し、該２つのビット値が同じか否かで異なるビット値を記録するステップと、前記送信装置および前記受信装置は、それぞれ、前記長さＬパルスの光パルス列がＭ回数入力された結果、信号検出が成であることをＮ回判定した場合に、該判定回数に基づいて秘匿性増強の値Ｓ（Ｎ）を決定し、該送信装置および該受信装置において記録したＮ個のビット列からＳ（Ｎ）ビットを差し引いて秘匿性増強を行なうことで、送信装置と受信装置とが秘密鍵を共有するステップとを含むことを特徴とする量子鍵配送方法である。

第１の実施形態の量子鍵配送システムの構成例を示す図である。量子鍵を配送するための手順を示す図である。第２の実施形態の量子鍵配送システムの構成例を示す図である。

以下、本発明の実施の形態について、詳細に説明する。
（第１の実施形態）
図１は、第１の実施形態の量子鍵配送システムの構成例を示す図である。図２は、図１の量子鍵配送システムにおける、量子鍵を配送するための手順（プロトコル）を示す図である。

量子鍵配送システムは、図１に示すように、送信装置１と受信装置２とが光伝送路３および公開通信路（不図示）とにより結ばれた構成を備えている。光伝送路３は、地上間通信であれば、光ファイバにより構成されるが、海上あるいは衛星地上間通信であれば、指向性をもって大気中に光波を射出する装置によって構成されていてもよい。公開通信路は、無線、有線を問わず、デジタル信号を伝達するいかなる手段であってもよく、光伝送路３が公開通信路の役割を兼ねていてもよい。

送信装置１は、光源１０と、乱数発生器１１と、位相変調器１２と、送信装置１全体を制御する送信側制御記録装置（不図示）とを含んで構成される。

光源１０は、連続パルスレーザー光をパルス当たり平均１光子未満の強度に減光することで、時間間隔Ｔをおいて並んだＬ＝６４個のコヒーレントな光パルスから成る光パルス列を送出する。本実施形態ではＬ＝６４として説明するが、２のべき乗であれば別の数であっても構わない。本実施形態では、光パルス列を構成するＬ＝６４個のパルスに共通な位相シフトを無作為に選んで与える装置が光源に含まれているとする。この位相シフトを与える装置は、秘匿性増強の大きさを決定する数式を変更することによって省略することも可能である。

乱数発生器１１は、無作為に選ばれた０または１からなる長さＬのビット列を発生する。送信側制御記録装置はこの長さＬのビット列を記録する（ステップＳ１）。位相変調器１２は、この長さＬのビット列を参照し、ｊ番目のビット値が０であればｊ番目のパルスをそのまま通過させ、ｊ番目のビット値が１であればｊ番目のパルスに位相シフトπを与えるという操作をｊ＝１，…６４について行い、受信装置２へ送信する（ステップＳ２）。そのまま通過した場合の位相シフトは０と解釈する。

受信装置２は、光分岐手段２０と、乱数発生器２１と、可変光遅延回路２２と、２×２の光合波器２３と、２つの光子検出器２４、２５と、受信装置２全体を制御する受信側制御記録装置（不図示）を含んで構成される。

光分岐手段２０は、入射された光のエネルギーを等分して出射端から出力するもので、例えば、ビームスプリッタ、方向性結合器、光カップラー等、いずれのものを用いてもよい。

乱数発生器２１は、１からＬ−１＝６３までの整数の中からひとつの数を無作為に選んで発生する（ステップＤ１）。可変光遅延回路２２は、乱数発生器２１において発生した数に従い、遅延時間の大きさをＴ，２Ｔ，…，６３Ｔの６３種類のうちのひとつに設定する（ステップＤ２）。例えば、乱数発生器２１が発生した数がｋだったとすると、可変光遅延回路２２は、光源１０が発生した連続パルスレーザー光の時間間隔Ｔのｋ倍であるｋＴの遅延時間を与えるように設定される。なお、可変光遅延回路２２は、例えば、遅延時間がそれぞれＴ，２Ｔ，４Ｔ，８Ｔ，１６Ｔ，３２Ｔの複数の固定遅延路と、その使用・不使用を切り替える光経路スイッチで構成されていてもよい。

光分岐手段２０の２つの出射端の一方は、可変光遅延回路２２を間にはさんでから光合波器２３の２つの入射端の一方に接続する。光分岐手段２０のもう一方の出射端は、光合波器２３のもう一方の入射端に直接接続する。光合波器２３の２つの出力端には、それぞれ光子検出器２４、２５を置く。この接続により、可変光遅延回路２２の遅延時間がｋＴのとき、光合波器２３の出射端を出るｊ番目（ｊ＝ｋ＋１，ｋ＋２，…，６４）の光パルスは、ｊ番目の光パルスと光遅延回路２２で遅延を受けた（ｊ−ｋ）番目の光パルスが合波したものになる。遅延時間がｋＴである場合、光合波器２３の出射端を出る１，…，ｋ番目および６５，…，６４＋ｋ番目の光パルスは、２つのパルスが合波したものではない。一方、ｋ＋１番目から６４番目の光パルスが、２つのパルスが合波したものとなる。なお、送信装置１と受信装置２とは共通する時計を有しており、かつ同期されているので、光パルスの番号は送信装置１と受信装置２とにおいて共通して認識可能である。

光分岐手段２０から光合波器２３に至る２つの光経路の位相差の微調整を行い、合波した２つのパルスが等しい位相シフトを持つ場合には干渉により光子検出器２５に向かうパルスの振幅がゼロになるよう設定する。一方で、合波したパルスの位相シフトが一方はゼロ、一方はπの場合には、光子検出器２４に向かうパルスの振幅がゼロになるように設定する。光子検出器２４、２５でｊ番目の光パルスにおける光子の有無を検出する（ステップＤ３）。例えば、ｊ番目の光パルスは送信装置１にて位相シフトπが与えられており、（ｊ−ｋ）番目の光パルスは送信装置１にて位相シフト０が与えられていたとすると、光合波器２３で合波したこの２つの光パルスが合計1個の光子を含む場合、光子検出器２４に向かうパルスの振幅がゼロであるから、光子検出器２５で１個の光子が検出される。一方で、ｊ番目の光パルスは送信装置１にて位相シフトπ（あるいは位相シフト０）が与えられており、（ｊ−ｋ）番目の光パルスは送信装置１にて位相シフトπ（あるいは位相シフト０）が与えられていたとし、光合波器２３で合波したこの２つの光パルスが合計1個の光子を含む場合、光子検出器２４で１個の光子が検出される。なお、当然であるが、両光パルスともに光子を１個も含んでいない場合は、光子検出器２４および光子検出器２５のいずれからも、光子は検出されない。

受信側制御記録装置は、６４個のパルスの入力に対して、光子検出の数とタイミングから、信号検出の成否を以下の規則によって決定する（ステップＤ４）。（Ａ）全６４パルスの入力に対し、光子検出器２４、２５がともに１個も光子を検出しなければ、信号検出は否である。（Ｂ）全６４パルスの入力に対し、光子検出器２４、２５があわせて光子を２個以上検出したら、信号検出は否である。（Ｃ）全６４パルスの入力に対し、光子検出器２４、２５があわせて１個の光子を検出しても、光子検出に至ったパルスが２つの光パルスの合波によるものでない場合、信号検出は否である。これは、合波されていないパルスに唯１個の光子が含まれている場合に相当する。最後に、（Ｄ）全パルスの入力に対し、光子検出器２４、２５があわせて１個の光子を検出し、光子検出に至ったパルスが２つの光パルスの合波によるものであった場合、信号検出は成である。

受信側制御記録装置は、信号検出が成であって、光子検出器２４が光子を検出していた場合には、受信側制御記録装置は受信側ビットとして値０を記録する。信号検出が成であって、光子検出器２５が光子を検出していた場合には、受信側制御記録装置は受信側ビットとして値１を記録する（ステップＤ５）。

さらには、受信側制御記録装置は、公開通信路を介して、信号検出の成否を送信装置１に伝達する。信号検出が成の場合はさらに、光子検出に至ったパルスを合波によって構成した元のパルスの番号（ｊおよびｊ−ｋとする）を、公開通信路を介して送信装置１に伝達する（ステップＤ６）。あるいは、光子検出に至った光合波器２３の出射端を出たパルスの番号（ｊ）および、乱数発生器２１が生成した乱数（ｋ）を、公開通信路を介して送信装置１に伝達するようにしてもよい。

送信側制御記録装置は、公開通信路を介して、信号検出の成否の情報を受け取るとともに、信号検出が成であった場合には、パルスの番号ｊおよびｊ−ｋを受け取る。送信側制御記録装置には、送信装置１から出力される光パルスに重畳された、０または１からなる長さＬのビット列が記録してあるので、この記録してあったビット列のｊ番目のビット値とｊ−ｋ番目のビット値を抽出し、両者のビット値がともに０あるいは１の場合には「０」を、両者のビット値が異なる場合には「１」を送信側ビットとして記録する（ステップＳ３）。

このようにすることで、位相シフト０（ビット値０に相当）あるいは位相シフトπ（同１に相当）のいずれかが与えられたＬ個の光パルスを送信装置１および受信装置２間で送受し、信号検出が成であった場合には、理想的には、送信装置１における送信側制御記録装置と受信装置２における受信側制御記録装置には、同じビット値が保持されることになる。

上述のような構成で、送信装置１および受信装置２間でＬ個の光パルスの送受手続きを所定の回数Ｍだけ繰り返すと、繰り返し毎に信号検出の成否が決まり、信号検出が成である毎に送信側制御記録装置および受信側制御記録装置のそれぞれにはビット値が記録される。信号検出が成であった回数をＮとすれば、送信側制御記録装置にはＮ個のビット値が記録されている。このような長さＮのビット列を送信側ビット列と言うことにする。同じく、受信側制御記録装置にもＮ個のビット値が記録されており、この長さＮのビット列を受信側ビット列と言うことにする。

全ての光伝送過程が理想的であれば、送信側ビット列と受信側ビット列は一致するはずであるが、一般の光伝送路には、例えばＳＮ劣化などに起因する信号検出の誤りなどが存在するため、このような場合には両ビット列は一致しない。この状況を、送信側ビット列が正しい値であり、それに対して、受信側ビット列が誤りを含んでいると解釈する。受信側ビット列の誤りを訂正するために、送信装置１と受信装置２の間で最低限の通信を行い、誤り訂正を行う。通常、誤り訂正には冗長ビットを付加して行うことから、冗長ビットによる通信量の増大をＫビットとする。この通信は、あらかじめ用意しておいた共有秘密鍵のビット列を用いて暗号化する。これは、共有秘密鍵にも当てられるビット列をＫビット消費することを意味する。

送信装置１および受信装置２は、それぞれ、送信側ビット列と、誤りを訂正した受信側ビット列に対して、秘匿性増強を行い、長さをＮビットから（Ｎ−Ｓ（Ｎ））ビットに短縮し、共有秘密鍵とする。ここで、秘匿性増強とは、上記ならびに図２の過程で生成されたビット列に対し、盗聴される可能性のあるビットに相当する情報量を除去する操作のことを言う。Ｓ（Ｎ）は、Ｎのみによって決まる所定の関数であり、後述する。このような操作により生成される、共有秘密鍵の正味のビット長は、Ｎ−Ｓ（Ｎ）−Ｋビットとなる。なお、誤り訂正に要する通信の暗号化を省略して、替わりに秘匿性増強の大きさをＳ（Ｎ）からＳ（Ｎ）＋Ｋに変更してもよい。

従来の量子鍵配送システムでは、秘匿性増強の大きさを決定するのに、盗聴行為による光信号の変化の大きさを表すビットエラー率などの諸量を非常に高い信頼度で推定する必要があり、秘匿性増強の大きさは推定された値の関数となっていた。これに対して、本実施形態の量子鍵配送システムでは、秘匿性増強の大きさＳ（Ｎ）は信号検出が成であった回数Ｎのみの所定の関数であり、推定のためのサンプリングテストなどの手続きを必要としない。このような特徴は、以下のような考察により証明される。

盗聴者は、光伝送路を通るＬ＝６４個の光パルスの振幅や量子力学的状態を自由に変更できるが、受信側制御記録装置が公開する二つのパルス番号ｊおよびｊ−ｋの差であるｋは、乱数発生器２１によって決定されるので、盗聴者が関与できない。従って、盗聴者は、二つの番号のうちの一方、例えばｊの値を恣意的に操作することができても、もう一方の番号j-ｋは、ｊ以外のＬ−１＝６３個の候補の中から無作為に決定されてしまう。従って、乱数発生器１１の発生したＬ個のビットのうち、盗聴者がｍ個程度についてその値を知ることができたとしても、送信側ビットの値が盗聴者の知るところとなるのは、無作為に選ばれた番号がｍ個のなかにたまたま含まれていた場合のみであり、その確率は、ｍ／（Ｌ−１）にすぎない。送信装置１が光伝送路に送出したＬ＝６４個の光パルスに含まれる光子の総数をｎとすると、ｍはおおむねｎと同じ程度の大きさにしかならない。量子力学に基づく詳しい分析によると、Ｎが大きい極限で、光子の総数ｎが一定であって（Ｌ−１）／２を越えない場合には、

にとれば、秘匿性増強後の共有秘密鍵の盗聴者への漏えいが無視できるレベルになることが示される。ｈ（ｘ）はいわゆるバイナリエントロピー関数である。

光源１０が、常にｎ＝１ないしｎ＝０であることを保証できる性質を持つ場合には、バイナリエントロピー関数ｈを用いて、秘匿性増強の大きさＳ（Ｎ）は、Ｓ（Ｎ）＝Ｎｈ（１／（Ｌ−１））で表される関数により得られる値である。また、この実施形態ではＬ＝６４であるとして説明しているので、Ｓ（Ｎ）＝Ｎｈ（１／６３）と表される関数により得られる値となる。

実際には、レーザー光を用いた場合に光子の総数ｎは揺らぎを持つことや、Ｎの大きさが有限であることから無作為の選択結果の揺らぎも無視できないことなどの考慮が必要である。Ｍ回の繰り返しのうちで、信号検出が成となったＮ回は、盗聴者にとって都合のいいように、つまりｎがなるべく大きいケースが恣意的に選択されたと想定する必要がある。簡単のために、ｎの揺らぎに関する保証として、（Ｌ−１）／２を越えない定数ｎ’があって、ｎがｎ’を越える確率はたかだかｅであるとする。この保証のもとでは、

とすればよい。は、Ｎの大きさが有限であることから秘匿性増強を大きめにとる必要がある部分を表し、Ｎが大きくなると０に近づく関数である。ｎの揺らぎについて、より詳しい統計性が既知であれば、それを反映して同様にＳ（Ｎ）を定めることができる。

なお、盗聴行為による光信号の変化の大きさを推定するという既存の量子鍵配送の考え方を本実施形態の量子鍵配送システムに組み合わせることで、鍵生成効率を向上させることもできる。例えば、ビットエラー率の良い推定値が得られる場合には、量子力学に基づく分析により、秘匿性増強後の共有秘密鍵の盗聴者への漏えいが無視できるレベルになるために十分な、秘匿性増強の大きさＳ（Ｎ，ｂ）を定めることができる。通常この関数は、ｂが０．５に近づくと上記のＳ（Ｎ）に一致し、ｂが小さいほど小さくなる関数である。この場合は、本発明による考え方によって生成される共有秘密鍵に加えて、長さＳ（Ｎ）−Ｓ（Ｎ，ｂ）の共有秘密鍵が従来の量子鍵配送の考え方を用いて生成されることになる。

本実施形態の量子鍵配送システムによれば、受信装置の乱数発生器によって決定した乱数ｋが公開されるが、この値の決定に対して盗聴者は関与できないので、量子力学の原理に基づくと、盗聴行為によって生じる通信内容の変更の大きさを表す物理的な諸量（ビットエラー率など）を非常に高い信頼度で推定する必要なく秘匿性増強の大きさを表す関数Ｓ（N）を定めることができるため、秘匿性増幅にかかる時間的、設備的なコストの増大を抑制した、高い効率の量子鍵配送を実現できる。

（第２の実施形態）
図３に本発明の第２の実施形態の量子鍵配送システムを示す。本実施形態の量子鍵配送システムは、受信装置４の構成が第１の実施形態の受信装置２とは異なる。この実施形態でも１回の信号送信に用いられるパルス列が６４である場合を例に挙げて説明する。第１の実施形態と同様の構成については、その説明を省略する。

受信装置４は、入力ポートと６３個の出力ポートをもち、入力ポートから入力された光子を出力ポートの何れかよりランダムに出力する光分岐手段２６と、同出力ポートに接続されたＴから６３Ｔまでの固定の光遅延回路（固定光遅延回路２７−ｍ（ｍは１から６３までの整数））を含む合計６３個の光遅延干渉測定手段Ｐｍと、受信装置全体を制御する受信側制御記録装置（不図示）とを含む。

光遅延干渉測定手段Ｐｍは、光分岐手段２０−ｍと、ｍＴの時間遅延を与える固定光遅延回路２７−ｍと、２×２の光合波器２３−ｍと、２つの光子検出器２４−ｍ、２５−ｍとを備えて構成される。

光遅延干渉測定手段Ｐｍにおいては、光合波器２３−ｍから出力されるｊ番目（ｊ＝ｍ＋１，ｍ＋２，… ６４）の光パルスは、ｊ番目と遅延を受けたｊ−ｍ番目光パルスとが合波したものとなる。なお、光合波器２３−ｍから出力される１，…，ｍ番目および６５，…６４＋ｍ番目の光パルスは、２つのパルスが合波したものではない。合波した２つの光パルスが等しい位相シフトを持つ場合には干渉により光子検出器２５−ｍに向かうパルスの振幅がゼロに、異なる位相シフトを持つ場合は光子検出器２４−ｍに向かうパルスの振幅がゼロとなるように光分岐手段２０−ｍと光合波器２３−ｍ間の２光路の位相差を調整する。

以上に述べた受信装置４を用いて、第１の実施形態と同様の手順（図２）で量子鍵配送を行う。ただし、乱数を発生して（ステップＤ１）遅延時間を設定する（ステップＤ２）処理は行なわず、ステップＤ３に代えて光遅延干渉測定手段に備わるＬ−１対全ての光子検出器での光子の有無を検出して、ステップＤ４に代えて受信側制御記録装置は、光遅延干渉測定手段に備わるＬ−１対の光子検出器における検出結果に基づき、信号検出の成否とｋを決定する点で、第１の実施形態と異なる。ｋは、ｋＴの時間遅延を与える固定光遅延回路を有する光遅延干渉測定手段Ｐｋに備わる光子検出器２４−ｋ、２５−ｋで光子が有りと検出された事実に基づいて決定される。

１送信装置
１０光源
１１乱数発生器
１２位相変調器
２受信装置
２０光分岐手段
２１乱数発生器
２２可変光遅延回路
２３２×２の光合波器
２４、２５光子検出器
２６光分岐手段
２７固定光遅延回路
Ｐｍ光遅延干渉測定手段
３光伝送路

Claims

送信装置と受信装置において秘密鍵を共有する量子鍵配送システムであって、
前記送信装置は、各ビットに２値の位相シフトをランダムに与えた長さLパルスの光パルス列を１パルス当たり平均１光子未満で送信する送信手段を有し、
前記受信装置は、任意の整数ｋ（１≦ｋ≦Ｌ−１）を発生させる乱数発生器と、該乱数発生器が発生した乱数ｋに光パルスの時間間隔Ｔを乗じたｋＴの遅延時間を一方のアームに設定可能なマッハツェンダ型の干渉計と、該干渉計の２つの出力それぞれに設けられた光子検出器とを有し、
前記受信装置は、前記干渉計に長さLパルスの光パルス列が入力されたときに、前記光子検出器で該光パルス列のｍ＋ｋ番目（１≦ｍ≦Ｌ）の光パルスにおいて１個の光子を検出し、かつ検出した１個の光子は前記干渉計にて２つの光パルスが合波された結果として得られたものであるか否かに基づいて、信号検出の成否を判定し、前記信号検出が成の場合、合波した２つの光パルスの位相シフトが同じか否かで異なるビット値を記録し、前記送信装置へ、前記信号検出の成否と前記光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）とを送信し、
前記送信装置は、前記受信装置から受け取った信号検出の成否が成である場合には、光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）に基づいて、前記送信手段で送信した前記長さLパルスの光パルス列のビット値のうちから前記番号（ｍ、ｍ＋ｋ）の２つの光パルスに相当する２つのビット値を抽出し、該２つのビット値が同じか否かで異なるビット値を記録し、
前記送信装置および前記受信装置は、それぞれ、前記長さLパルスの光パルス列がＭ回数入力された結果、信号検出が成であることをＮ回判定した場合に、該判定回数に基づいて秘匿性増強の値Ｓ（Ｎ）を決定し、該送信装置および該受信装置において記録したＮ個のビット列からＳ（Ｎ）ビットを差し引いて秘匿性増強を行なうことで、送信装置と受信装置とが秘密鍵を共有することを特徴とする量子鍵配送システム。
送信装置と受信装置において秘密鍵を共有する量子鍵配送システムであって、
前記送信装置は、各ビットに２値の位相シフトをランダムに与えた長さLパルスの光パルス列を１パルス当たり平均１光子未満で送信する送信手段を備え、
前記受信装置は、（Ｌ−１）個の光遅延干渉測定手段を有し、該光遅延干渉測定手段は互いに異なる固定された光遅延時間ｋＴ（１≦ｋ≦（Ｌ−１））を一方のアームに設定可能なマッハツェンダ型の干渉計と、該干渉計の２つの出力それぞれに設けられた光子検出器とを有し、
前記受信装置は、前記干渉計に長さLパルスの光パルス列が入力されたときに、ｋＴの光遅延時間を与えられた光遅延干渉測定手段の光子検出器で該光パルス列のｍ＋ｋ番目（１≦ｍ≦Ｌ）の光パルスにおいて１個の光子を検出し、かつ検出した１個の光子は当該光遅延干渉測定手段の干渉計にて２つの光パルスが合波された結果として得られたものであるか否かに基づいて、信号検出の成否を判定し、前記信号検出が成の場合、合波した２つの光パルスの位相シフトが同じか否かで異なるビット値を記録し、前記送信装置へ、前記信号検出の成否と前記光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）とを送信し、
前記送信装置は、前記受信装置から受け取った信号検出の成否が成である場合には、光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）に基づいて、前記送信手段で送信した前記長さLパルスの光パルス列のビット値のうちから前記番号（ｍ、ｍ＋ｋ）の２つの光パルスに相当する２つのビット値を抽出し、該２つのビット値が同じか否かで異なるビット値を記録し、
前記送信装置および前記受信装置は、それぞれ、前記長さLパルスの光パルス列がＭ回数入力された結果、信号検出が成であることをＮ回判定した場合に、該判定回数に基づいて秘匿性増強の値Ｓ（Ｎ）を決定し、該送信装置および該受信装置において記録したＮ個のビット列からＳ（Ｎ）ビットを差し引いて秘匿性増強を行なうことで、送信装置と受信装置とが秘密鍵を共有することを特徴とする量子鍵配送システム。
前記送信装置および前記受信装置は、前記秘匿性増強を行う前に、最低限の通信を行い、誤り訂正を行なうことを特徴とする請求項１または２に記載の量子鍵配送システム。
前記送信装置から送出されるＬパルスのパルス列が合計ｎ光子を含む場合には、前記秘匿性増強の値Ｓ（Ｎ）は、バイナリエントロピー関数ｈを用いて、Ｓ（Ｎ）＝Ｎｈ（ｎ／（Ｌ−１））で表される関数により得られる値とし、ｎの値に揺らぎがある場合には、その影響を考慮してＳ（Ｎ）を決定する請求項１から３のいずれかに記載の量子鍵配送システム。
送信装置と受信装置において秘密鍵を共有する量子鍵配送方法であって、
前記送信装置は、各ビットに２値の位相シフトをランダムに与えた長さLパルスの光パルス列を１パルス当たり平均１光子未満で送信する送信手段を有し、
前記受信装置は、任意の整数ｋ（１≦ｋ≦Ｌ−１）を発生させる乱数発生器と、該乱数発生器が発生した乱数ｋに光パルスの時間間隔Ｔを乗じたｋＴの遅延時間を一方のアームに設定可能なマッハツェンダ型の干渉計と、該干渉計の２つの出力それぞれに設けられた光子検出器とを有し、
前記受信装置が、前記干渉計に長さLパルスの光パルス列が入力されたときに、前記光子検出器で該光パルス列のｍ＋ｋ番目（１≦ｍ≦Ｌ）の光パルスにおいて１個の光子を検出し、かつ検出した１個の光子は前記干渉計にて２つの光パルスが合波された結果として得られたものであるか否かに基づいて、信号検出の成否を判定し、前記信号検出が成の場合、合波した２つの光パルスの位相シフトが同じか否かで異なるビット値を記録し、前記送信装置へ、前記信号検出の成否と前記光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）とを送信するステップと、
前記送信装置が、前記受信装置から受け取った信号検出の成否が成である場合には、光子を検出した２つの光パルスの番号（ｍ、ｍ＋ｋ）に基づいて、前記送信手段で送信した前記長さLパルスの光パルス列のビット値のうちから前記番号（ｍ、ｍ＋ｋ）の２つの光パルスに相当する２つのビット値を抽出し、該２つのビット値が同じか否かで異なるビット値を記録するステップと、
前記送信装置および前記受信装置は、それぞれ、前記長さLパルスの光パルス列がＭ回数入力された結果、信号検出が成であることをＮ回判定した場合に、該判定回数に基づいて秘匿性増強の値Ｓ（Ｎ）を決定し、該送信装置および該受信装置において記録したＮ個のビット列からＳ（Ｎ）ビットを差し引いて秘匿性増強を行なうことで、送信装置と受信装置とが秘密鍵を共有するステップとを含むことを特徴とする量子鍵配送方法。